ZKP-Anwendungen: ZK-Rollups und Privacy Coins

Ethereum verarbeitet etwa 15 TPS. Visa verarbeitet etwa 1700 TPS. Für eine bessere Skalierbarkeit bündeln ZK-Rollups Tausende von Transaktionen off-chain, berechnen einen SNARK-Beweis für deren Gültigkeit und veröffentlichen den Beweis on-chain. Validatoren verifizieren nur den Beweis (1 ms), statt jede Transaktion einzeln zu prüfen.

Benutzer senden Transaktionen an einen Sequencer. Der Sequencer bündelt die Transaktionen, führt sie off-chain aus, berechnet einen Zustandsübergangsbeweis (ein SNARK/STARK weist nach, dass die neue State Root korrekt ist) und veröffentlicht den Beweis zusammen mit komprimierten Calldata auf Ethereum L1.

zkSync Era (Matter Labs) ist ein EVM-kompatibles ZK-Rollup mit einem benutzerdefinierten SNARK (Boojum, basierend auf STARK). Entwickler stellen Solidity-Contracts bereit, die in zkEVM-Bytecode kompiliert werden. Durchsatz: mehr als 2000 TPS bei Sicherheitsgarantien auf Ethereum-Niveau.

StarkNet verwendet STARKs (über den Stark Prover) und die Sprache Cairo. Ein Trusted Setup ist nicht erforderlich. Programme werden in Cairo-Bytecode kompiliert, mit STARKs bewiesen und auf Ethereum verifiziert. Eingesetzt von dYdX (v3), Immutable X (NFTs) und Sorare (Fantasy-Sport).

Polygon zkEVM verwendet PLONK-basierte Beweise, um die EVM exakt nachzubilden. Jeder Ethereum-Smart-Contract funktioniert ohne Änderungen. Der Prover erzeugt für jedes Transaktions-Batch einen PLONK-Beweis, der auf Ethereum L1 in einer einzigen Transaktion verifiziert werden kann.

Zcash (ZEC) verwendet Groth16-SNARKs (Sapling-Protokoll), um abgeschirmte Transaktionen zu ermöglichen: Sender, Empfänger und Betrag bleiben verborgen. Der SNARK weist nach, dass die Transaktion gültig ist (keine doppelte Ausgabe, ausgeglichene Beträge), ohne private Felder offenzulegen.

Eine abgeschirmte Zcash-Notiz committed sich auf (Wert, Empfänger, Zufälligkeit) mithilfe eines Pedersen-Hashs. Der SNARK weist nach: (1) Sie kennen das Urbild des Commitments (Sie besitzen die Notiz), (2) die Notiz wurde noch nicht ausgegeben (sie befindet sich nicht im Nullifier-Set), (3) die Ausgabebeträge entsprechen den Eingabebeträgen.

Monero verwendet Ringsignaturen und Pedersen-Commitments (RingCT) — keine SNARKs; standardmäßig sind alle Transaktionen abgeschirmt. Bei Zcash basieren die Transaktionen auf SNARKs, wobei transparente und abgeschirmte Adressen nebeneinander existieren. Monero: einfachere Kryptografie und stärkere standardmäßige Privatsphäre; Zcash: stärkere kryptografische Garantien.

Mit ZK-Identitätsnachweisen lässt sich beweisen, dass Sie über 18 sind, ohne Ihr Geburtsdatum offenzulegen; dass Sie Staatsbürger sind, ohne Ihre Passnummer offenzulegen; oder dass Sie ein akkreditierter Investor sind, ohne Ihr Vermögen offenzulegen. Implementierungen: Polygon ID, Semaphore (anonymes Signalisieren).

ZK-ML weist nach, dass die Inferenz eines neuronalen Netzes korrekt mit privaten Eingaben berechnet wurde. Anwendungen sind etwa medizinische Diagnosen (das Modell wurde korrekt mit Ihren Daten ausgeführt, ohne die Daten weiterzugeben) und Kreditwürdigkeitsprüfungen (das Modell hat ein Ergebnis geliefert, ohne die Eingaben offenzulegen). Für große Modelle befindet sich die Technologie noch im Forschungsstadium.

ZK-Beweise ermöglichen verifizierbare ausgelagerte Berechnungen: Ein Cloud-Anbieter weist nach, dass er eine Berechnung korrekt ausgeführt hat, und der Client verifiziert dies in Millisekunden, ohne die Berechnung erneut auszuführen. Das ist nützlich für KI-Inferenz, Datenanalysen und vertrauensminimierte Bridges.

Was veröffentlicht ein ZK-Rollup auf Ethereum L1, um die Gültigkeit von Transaktionen nachzuweisen?

ZK-Rollups (zkSync, StarkNet, Polygon zkEVM) verwenden SNARKs/STARKs für die Skalierbarkeit von L2. Zcash verwendet Groth16 für abgeschirmte Transaktionen. ZKPs werden auch für Identität, ML-Inferenz und verifizierbare ausgelagerte Berechnungen eingesetzt. Als Nächstes folgt homomorphe Verschlüsselung.