ZKP 应用：ZK Rollup 与隐私币

Ethereum 每秒处理约 15 TPS。Visa：约 1700 TPS。为了实现扩展，ZK Rollup 在链下批量处理数千笔交易，计算一个证明这些交易有效的 SNARK 证明，并将该证明发布到链上。验证者只需验证证明（1 毫秒），而不必逐笔验证交易。

用户向排序器提交交易。排序器将交易批处理，在链下执行，计算状态转换证明（SNARK/STARK 证明新的状态根正确），并将证明 + 压缩的调用数据发布到 Ethereum L1。

zkSync Era（Matter Labs）是一个兼容 EVM 的 ZK Rollup，使用定制 SNARK（Boojum，基于 STARK）。开发者部署 Solidity 合约，这些合约会编译为 zkEVM 字节码。吞吐量：2000+ TPS，同时提供以太坊级别的安全保证。

StarkNet 使用 STARK（通过 Stark 证明器）和 Cairo 语言。无需可信设置。程序会被编译为 Cairo 字节码，使用 STARK 生成证明，并在 Ethereum 上验证。被 dYdX（v3）、Immutable X（NFT）和 Sorare（幻想体育）采用。

Polygon zkEVM 使用基于 PLONK 的证明来精确模拟 EVM。任何以太坊智能合约无需修改即可运行。证明者为每批交易生成一个 PLONK 证明，该证明可在 Ethereum L1 上通过一笔交易验证。

Zcash（ZEC）使用 Groth16 SNARK（Sapling 协议）实现屏蔽交易：发送方、接收方和金额全部隐藏。SNARK 证明交易有效（没有双花、金额平衡），不泄露任何私有字段。

Zcash 屏蔽票据使用 Pedersen 哈希对（价值、接收者、随机数）作出承诺。SNARK 证明：(1) 您知道承诺的原像（您拥有该票据）；(2) 该票据尚未花费（在无效化标识符集合中）；(3) 输出金额等于输入金额。

Monero 使用环签名 + Pedersen 承诺（RingCT）——不使用 SNARK，所有交易默认都是屏蔽的。Zcash：基于 SNARK，透明地址和屏蔽地址并存。Monero：密码学更简单，隐私默认设置更强；Zcash：密码学保证更强。

ZK 身份证明：证明您已满 18 岁而不泄露出生日期；证明您是公民而不泄露护照号码；证明您是合格投资者而不泄露净资产。实现包括：Polygon ID、Semaphore（匿名信号）。

ZK 机器学习：证明神经网络推理是在私有输入上正确计算的。用途包括：医疗诊断（证明模型在您的数据上运行而不共享数据）、信用评分（证明模型给出了某个结果而不泄露输入）。对于大型模型仍处于研究阶段。

ZK 证明支持可验证的外包计算：云服务商证明其正确执行了一项计算，客户端无需重新运行计算即可在毫秒内完成验证。适用于人工智能推理、数据分析和无需信任的跨链桥。

ZK Rollup 会向 Ethereum L1 发布什么来证明交易有效？

ZK Rollup（zkSync、StarkNet、Polygon zkEVM）使用 SNARK/STARK 实现 L2 扩展。Zcash 使用 Groth16 实现屏蔽交易。ZKP 还可用于身份、机器学习推理和可验证的外包计算。下一步：同态加密。