Applicazioni degli ZKP: ZK Rollup e monete orientate alla privacy

Ethereum elabora circa 15 TPS. Visa: circa 1700 TPS. Per scalare, gli ZK Rollup raggruppano migliaia di transazioni off-chain, calcolano una prova SNARK della loro validità e pubblicano la prova on-chain. I validator verificano solo la prova (1 ms), invece di ogni singola transazione.

Gli utenti inviano le transazioni a un sequencer. Il sequencer raggruppa le transazioni, le esegue off-chain, calcola una prova della transizione di stato (uno SNARK/STARK che dimostra la correttezza del nuovo state root) e pubblica la prova e i calldata compressi sulla Ethereum L1.

zkSync Era (Matter Labs) è uno ZK Rollup compatibile con l'EVM che usa uno SNARK personalizzato (Boojum, basato su STARK). Gli sviluppatori distribuiscono contratti Solidity che vengono compilati in bytecode zkEVM. Throughput: oltre 2000 TPS con garanzie di sicurezza di livello Ethereum.

StarkNet usa gli STARK (tramite Stark prover) e il linguaggio Cairo. Non richiede un trusted setup. I programmi vengono compilati in bytecode Cairo, dimostrati con STARK e verificati su Ethereum. Utilizzato da dYdX (v3), Immutable X (NFT) e Sorare (fantasy sports).

Polygon zkEVM usa prove basate su PLONK per emulare esattamente l'EVM. Qualsiasi smart contract Ethereum funziona senza modifiche. Il prover produce una prova PLONK per ogni batch di transazioni, verificabile su Ethereum L1 con un'unica transazione.

Zcash (ZEC) usa gli SNARK Groth16 (protocollo Sapling) per abilitare transazioni schermate: mittente, destinatario e importo sono tutti nascosti. Lo SNARK dimostra che la transazione è valida (nessuna doppia spesa, importi bilanciati) senza rivelare alcun campo privato.

Una nota Zcash schermata crea un commitment a (value, recipient, randomness) usando un hash di Pedersen. Lo SNARK dimostra: (1) che si conosce la preimmagine del commitment (si possiede la nota), (2) che la nota non è stata spesa (nell'insieme dei nullifier), (3) che gli importi in output sono uguali agli importi in input.

Monero usa ring signature e commitment di Pedersen (RingCT) — non usa SNARK e tutte le transazioni sono schermate per impostazione predefinita. Zcash: basato su SNARK, con indirizzi trasparenti e schermati che coesistono. Monero: crittografia più semplice e privacy predefinita più forte; Zcash: garanzie crittografiche più solide.

Le prove di identità ZK consentono di dimostrare di avere più di 18 anni senza rivelare la data di nascita; di dimostrare di essere cittadini senza rivelare il numero di passaporto; di dimostrare di essere investitori accreditati senza rivelare il patrimonio netto. Implementazioni: Polygon ID, Semaphore (segnalazione anonima).

ZK-ML: dimostrare che l'inferenza di una rete neurale è stata calcolata correttamente su input privati. Utilizzato per: diagnosi mediche (dimostrare che il modello è stato eseguito sui propri dati senza condividerli), valutazione del credito (dimostrare che il modello ha prodotto un risultato senza rivelare gli input). È ancora in fase di ricerca per i modelli di grandi dimensioni.

Le prove ZK consentono di verificare calcoli esternalizzati: un cloud provider dimostra di aver eseguito correttamente un calcolo e il client lo verifica in pochi millisecondi senza ricalcolarlo. Utile per l'inferenza AI, l'analisi dei dati e i bridge trustless.

Che cosa pubblica uno ZK Rollup sulla Ethereum L1 per dimostrare la validità delle transazioni?

Gli ZK Rollup (zkSync, StarkNet, Polygon zkEVM) usano SNARK/STARK per la scalabilità L2. Zcash usa Groth16 per le transazioni schermate. Le ZKP si estendono all'identità, all'inferenza ML e ai calcoli esternalizzati verificabili. Prossimo argomento: crittografia omomorfica.