Применения ZKP: ZK-роллапы и конфиденциальные монеты

Ethereum обрабатывает около 15 TPS. Visa: около 1700 TPS. Для масштабирования ZK-роллапы объединяют тысячи транзакций вне сети, вычисляют SNARK-доказательство их корректности и публикуют это доказательство в блокчейне. Валидаторы проверяют только доказательство (1 мс), а не каждую транзакцию.

Пользователи отправляют транзакции секвенсору. Секвенсор объединяет транзакции в пакеты, выполняет их вне сети, вычисляет доказательство перехода состояния (SNARK/STARK доказывает корректность нового корня состояния) и публикует доказательство и сжатые данные вызова в Ethereum L1.

zkSync Era (Matter Labs) — совместимый с EVM ZK-роллап, использующий собственный SNARK (Boojum на основе STARK). Разработчики развёртывают контракты Solidity, которые компилируются в байт-код zkEVM. Пропускная способность: более 2000 TPS при гарантиях безопасности уровня Ethereum.

StarkNet использует STARK (через доказыватель Stark) и язык Cairo. Доверенная настройка не требуется. Программы компилируются в байт-код Cairo, доказываются с помощью STARK и проверяются в Ethereum. Используется dYdX (v3), Immutable X (невзаимозаменяемые токены), Sorare (фэнтези-спорт).

Polygon zkEVM использует доказательства на основе PLONK, чтобы в точности воспроизводить работу EVM. Любой смарт-контракт Ethereum работает без изменений. Доказыватель создаёт доказательство PLONK для каждой группы транзакций, которое можно проверить в Ethereum L1 одной транзакцией.

Zcash (ZEC) использует SNARK Groth16 (протокол Sapling) для защищённых транзакций: отправитель, получатель и сумма скрыты. SNARK доказывает корректность транзакции (отсутствие двойной траты и соответствие сумм) без раскрытия каких-либо закрытых полей.

Защищённая запись Zcash фиксирует (значение, получатель, случайность) с помощью хеша Pedersen. SNARK доказывает: (1) вы знаете прообраз коммитмента (вы владеете записью), (2) запись не потрачена (она отсутствует в наборе аннулирующих значений), (3) выходные суммы равны входным суммам.

Monero использует кольцевые подписи и коммитменты Pedersen (RingCT) — не использует SNARK, все транзакции по умолчанию защищены. Zcash основан на SNARK; прозрачные и защищённые адреса сосуществуют. Monero: более простая криптография и более строгие настройки конфиденциальности по умолчанию; Zcash: более сильные криптографические гарантии.

ZK-доказательства личности: доказать, что вам больше 18 лет, не раскрывая дату рождения; доказать, что вы гражданин, не раскрывая номер паспорта; доказать, что вы квалифицированный инвестор, не раскрывая размер состояния. Реализации: Polygon ID, Semaphore (анонимная подача сигналов).

ZK-доказательства для машинного обучения позволяют доказать, что вывод нейронной сети был корректно вычислен на закрытых входных данных. Применения: медицинская диагностика (доказать, что модель обработала ваши данные, не передавая сами данные), оценка кредитоспособности (доказать, что модель выдала результат, не раскрывая входные данные). Для крупных моделей это пока направление исследований.

ZK-доказательства позволяют проверять вычисления, выполненные внешним исполнителем: облачный провайдер доказывает корректность вычисления, а клиент проверяет доказательство за миллисекунды, не выполняя вычисление повторно. Это полезно для вывода моделей ИИ, анализа данных и мостов без необходимости доверять их оператору.

Что ZK-роллап публикует в Ethereum L1, чтобы доказать корректность транзакций?

ZK-роллапы (zkSync, StarkNet, Polygon zkEVM) используют SNARK/STARK для масштабирования L2. Zcash использует Groth16 для защищённых транзакций. ZKP применяются также для идентичности, вывода моделей машинного обучения и проверяемых вычислений, выполненных внешним исполнителем. Далее: гомоморфное шифрование.