本文不重在讲述ZK技术的技术细节，而在于尽可能多的描绘ZK的应用方向，ZK技术的迭代仍在持续进行中，但是技术的落地需要应用来承载，我们会从最接近用户的应用层逐步深入至底层EVM、L2、跨链桥和公链。
导语
本文不重在讲述ZK技术的技术细节，而在于尽可能多的描绘ZK的应用方向，ZK技术的迭代仍在持续进行中，但是技术的落地需要应用来承载，我们会从最接近用户的应用层逐步深入至底层EVM、L2、跨链桥和公链。
在社会化分工的大背景下，不同领域的技术对行外人而言如同魔法一般，而以“可用之物”构建切身感知可帮助我们抓住最主要脉络，从而反求ZK的技术特征，这也是最符合人的认知逻辑的安排。
简要发展史
1985年，Goldwasser、Micali和Rackoff首次提出Zero-KnowledgeProof模型，准确而言这是一种“交互式零知识证明”模型，该模型允许在双方多次交互的前提下，不暴露信息本身的前提下，通过特定技术来验证真假。
1991年，ManuelBlum、AlfredoSantis、SilvioMicali和GiuseppePersiano提出“非交互式零知识证明”，闻名可知这是进行非交互式的证明方式，也就是在双方之间只进行一次最终验证的条件下，验证信息的真伪。
非交互式零知识证明带来的进步是巨大的，第一，双方交互次数减少到固定的一次，借此可进行线下验证和公开验证，前者为Rollups奠定了有效性基础，后者耦合区块链的广播机制，可避免多次计算带来的的资源浪费。
其后出现的Zcash也是SNARKs技术路线第一次成规模使用，单独的隐私币成为人们ZK技术和区块链联系的桥接。
简要而言，此次改进在于“简洁”上，SNARKs致力于压缩信息本身的大小，而不单纯压缩验证信息的数据量，在ZCash中，程序电路是写死的、固定的、不变的，因此对其进行多项式验证也是固定的。
ZK技术的通用化：起步于专用L2，但终将闪耀于整个区块链
用大器晚成来描述零知识证明技术再合适不过，这样一种发源于20世纪80年代的密码学算法，直到30年后才真正开始迎来自己的用武之地，伴随着Zcash、门罗币等初代算法隐私币的面世，ZK技术也开始更多和区块链技术结合起来。
在此时，以太坊还挣扎在生存边缘，但是扩容已经是长期规划的构思，随着Plasma方案事实上的失败，以太坊才开始转向Layer2Rollup方案，ZK也经历了SNARK、PLONK以及STARK等更为工程化的迭代版本，构建了如今生态繁荣的ZKRollup家族。
隐私和扩容，TornadoCash和L2，分别成为等同于这一技术名词的用途和实践案例。
但这只是故事的冰山一角，究其本质，ZK是用以在双方之间进行信息核验的手段，而要点在于不涉及信息的本身，以及尽可能成本低廉和高效，我们可以仿照Vitalik提出的区块链不可能三角概念，来描绘ZK的技术特征。
图片说明：ZK不可能三角
图片来源：R3PO
这三者要求互相冲突，越好的兼容性需要链下进行运算以提高性能表现；追求去中心化则需要尽可能链上验证又会降低性能，以及提高兼容性的成本；如果要做到最好的兼容性则会损失验证性能。
但是ZK技术就是在对不可能三角探索中进行迭代，诞生了如今足以称得上丰富的用途，但首先要摆脱既有认知，ZK不是只能存在于Layer2，在本文中，我们会逐次介绍Dapp、L2、ZK-EVM、ZKBridge、ZK公链等五个主要领域的实际用途。
ZKDapp：黑暗森林的曙光
图片说明：ZK原理示意
图片来源：R3PO
在《三体》中，云天明透过三个三体人熟知的“童话故事”向地球同胞传递了三种在黑暗森林中的生存法则：
投降，将自己隐藏起来，人为降低文明等级，等于向埋伏在森林中的猎手发出安全声明；
跑路，发展曲率引擎技术，摆脱地球是家的思维定势，地球人在哪里哪里就是家；
蚂蚁集团发布兼容以太坊的Web3开放联盟链等多个Web3产品:金色财经现场报道，蚂蚁集团数字数字科技开发者大会4月26日在杭州举行。蚂蚁集团资深副总裁、数字科技事业群总裁蒋国飞在演讲中披露，蚂蚁数科推出多个Web3产品，包括：1、支持万级节点、十万级交易TPS性能，以及PB级数据账本存储与处理能力的大规模区块链开放架构HOU；
2、开源跨链异构跨链协议AntChainBridge，AntChainBridge基于IEEE全球首个跨链通用国际标准打造，开源后开发者可以使用蚂蚁链的跨链代码，共建Web3开放生态；
3、联合多家机构发起成立Web3开放联盟链，覆盖Web3的区块链网络层、中间件层、应用层、访问层等四层架构的技术能力，并兼容以太坊等生态协议接入。此外，蚂蚁数科还与联通数科、紫光展锐联合发布了面向新能源场景的可信基带芯片。[2023/4/26 14:27:13]
战斗，发展星际文明，并且把三体人打趴下，如果遇见更强的文明，就遇强则强；
在三体人监视下传递这个故事本身就是一种ZK技术的工作流程说明，三体人、云天明、地球人三方都知道了所有的“信息”，但是只有云天明和地球人明白了信息所代表的“知识”。
图片说明：路印工作原理
图片来源：L2Beat.com
ZK的这种“信息包裹知识”的特性非常适合用于链间通信、跨链DEX等对于知识有加密需求，但信息传输需要公开的领域。
我们以Loopring为例，其虽然自称为L2，但属于专注于交易和支付的特定型L2方案，其使用的方案为zkSNARKs路线，按照其官方文档描述，其将更多验证工作放在链下进行，链上存储的验证信息尽可能的简洁。
为了获得最高的吞吐量，我们只支持链外余额。这些是存储在Merkle树中的余额。用户可以向我们的智能合约存入和提取代币，他们的余额将在Merkle树中更新。这样一来，我们就可以通过更新链外的Merkle树在用户之间转移代币，不需要在链上进行昂贵的代币转移。
这样做的好处是设计了特定领域内可工作的ZK方案，本质上是使用ZK技术将Rollup作为单一应用解决方案，真正将这一模式发扬光大的是使用StarkEx开发的dYdX，成为衍生品赛道的龙头。
但是这样的问题就在于非通用型方案带来的故步自封，和外界的通信始终是个问题，而内部的升级维护同时要兼顾以太坊主网和自身应用的需求，艰难的走钢丝无法长远，而dYdX选择迁移至Cosmos，以及通用RollupTaiko的推出，也宣告了L2的竞争在于通用化。
ZKRollup：梦想的中点
起点在腹部，是本轮ZK技术革新的典型特点，更早之前的ZCash、TornadoCash等隐私币赛道出于监管原因中道崩殂，并未扛起ZK的大旗。
图片说明：ZK胜出过程
图片来源：R3PO
而L2Rollup赛道既非底层公链，也非上层应用，在整体加密格局中非常奇怪的存在，而与之对应的是以太坊事实上的一家独大，剩余的公链本质上都是以太坊的待兼容链。
L2并非以太坊专属，理论上而言，比特币的闪电网络也是一种L2，但只有以太坊的L2可以称之为赛道，从纵向而言，历时弥久日新，经历了Plasma、侧链、OptimisticRollup、ZKRollup等多条路线之争；而从横向观之，单独的ZKRollup也发展出ZKVM与ZKEVM、SNARK和STARK等方向的区别，直观表现就是项目众多，众说纷纭。
但究其本质，Rollup是次公链级的基础叙事，其自身的运行并不能直接利润，而是依赖于其上的功能和应用的生态效应，如zkSync聚焦于Gitcoin的转账支付，dYdX依靠StarkEx搭建的应用链，都在证明rollup叙事的公链相似性。
在目前的整体Layer2格局下，技术路线的主要在于SNARK和STARK之争，其代表性项目前者有zkSync，后者有StarkWare，两者的主要区别在于如下：
zkSync：迈向EVN兼容的ZKSnark方案
基本信息：
研发方：MatterLabs
Injective与Trezor集成，新增对所有以太坊应用程序的EIP-712支持:Injective宣布帮助Trezor完成对EIP-712签名标准的支持，这将允许Trezor的用户能够访问更多基于以太坊的应用程序，并参与到蓬勃发展的Layer-2生态系统以及NFT热潮中。[2021/4/16 20:28:21]
TVL：52M，170M
转账费用：0.1U
技术范式：ZK-SNARK
团队信息：
AlexGluchowski联创兼CEO
DanilLugovskoi高级软件工程师
融资历史：截止2021年11月份MatterLabs从a16z、UnionSquareVentures、Placeholder共融到5800万美元。
表格说明：Matter?Labs?融资历史
表格来源：R3PO
图片说明：zkSync?生态
图片来源：/img/20230515164946000889/6.jpg "/>
图片说明：StarkNet运作原理
图片来源：L2BEAT.COM
团队信息：
联创及主席EliBen-Sasson，于2001年获得希伯来大学理论计算机科学博士学位，专攻密码学和零知识证明。他是STARK证明系统的发明人之一，参与建立过多个加密项目，其中包括Zcash。在联合创立StarkWare之前，Eli曾在以色列理工学院担任计算机教授。
联创及CEOUriKolodny，在希伯来大学获得计算机科学学士学位、在MITSloan获得MBA。Uri是位连续创业者，曾联合创办过多家科技公司，包括医疗器械公司OmniGuide、大数据可视化开发工具Mondria等。此前，Uri曾在两家以色列VC担任EIR，也做过麦肯锡分析师。
联创及首席架构师MichaelRiabzev博士，是EliBen-Sasson带的博士生，也是ZK-STARK协议的共同发明者。
联创及首席科学家AlessandroChiesa，和EliBen-Sasson联合创办了Zcash，在UCBerkeley计算机系任教。
融资历史：共计获得2.25亿美元的融资。
简要评价：
STARK技术开发难度较大，但前景广阔，并且抗量子攻击，这是其TVL较低但能获得巨额融资的主要原因；
研究人员：垃圾交易激增导致以太坊费用大幅增加:去中心化金融（DeFi）一直在阻塞以太坊网络，但并非是以大多数分析师所猜测的方式。根据Certus One联合创始人Hendrik Hofstadt的说法，在最近六个月中，以太坊最常用的软件版本Geth的体系结构怪异，导致垃圾交易散布网络以确保交易利润的做法激增。根据Coin Metrics的数据，垃圾交易是自5月以来平均以太坊用户费用增加约800％的众多原因之一。Hofstadt表示，算法交易公司已经创建了机器人群来监视以太坊交易队列（称为内存池）。这些机器人在Uniswap等DeFi平台上等待大型交易。机器人通过检查后，便迅速下订单，以利用所谓的“补货”中的价格变动优势。但是，太多的公司知道这种做法。因此，一些公司在春季的几个月中改变了他们的策略，通过发送大量的执行挤出其他人并确保一个”补货”。（CoinDesk）[2020/8/6]
dYdX出走对其造成重创，但后续MakerDAO、Aave会继续部署，长期看来，适合对安全性有独特要求的应用；
StarkNet可以承载较大的计算量，对于开发游戏非常有利如/img/20230515164946000889/9.jpg "/>
图片说明：STarkWare和zkSync生态对比
图片来源：/img/20230515164946000889/10.jpg "/>
图片说明：Polygon?hermez运作原理
图片来源：Polygon
融资历史：2021年8月，Polygon以2.5亿美元收购iden3研发的以太坊ZKRollup扩容方案HermezNetwork，更名为PolygonHermez并纳入Polygon生态。
简要评价：
这是首次一个区块链网络合并另一个区块链网络，证明了双方团队的技术能力；
兼顾性能与高效，通过POE等模型，尽量在不增加开发者负担的前提下提升兼容性；
三支zk队伍在技术方案与架构上能直接地进行协作与互相帮助。PolygonHermez,PolygonZero,PolygonMiden,与PolygonNightfall,。比如PolygonHermez选择64-bit的smallfield的STARK证明生成就是采取了PolygonZero的建议。
Aztec：隐私+DeFi+L2三花聚顶
基本信息：
发行方：Aztec
TVL：3M，14M
技术范式：ZK-SNARK，底层证明系统PLONK
产品特点：
聚焦于隐私领域，不属于通常意义上的为其他应用构建低gasfee场景的L2，而更像是使用L2技术确保隐私；
其上的defi产品较少，更多承担的是类似TornodaCash的链上匿名转账的作用，其目前只有zk.money便可说明这一点；
为确保隐私，存在单笔打包证明的选择，明显会拉高gasfee，多笔打包则不如其他L2方案便捷；
总结：特化的隐私+defi的L2解决方案。
图片说明：Aztec运作原理
图片来源：L2BEAT.COM
团队背景：
CEOZacWilliamson，牛津大学粒子物理学博士，PLONK发明者之一，曾在CERN和T2K担任物理学家。
CPO产品总监JoeAndrews，伦敦帝国学院材料科学工学士，曾在硅谷的餐饮创业公司Radish担任CTO。
首席科学家ArielGabizon，以色列魏兹曼研究所计算机博士，曾在Zcash担任研究员和工程师，也是PLONK的发明者之一。
融资历史：共计完成两轮，总计1910万美元的融资，需要注意两笔融资隔得时间很长，团队还是很有耐心的。
发展历史：
2022-09-16AztecNetwork与收益协议Yearn完成部分集成，目前用户可以从Aztec的ZKRollup中存入至Yearn的DAI和ETH金库。
2022-09-09存入AztecNetwork的DAI已超过600万枚，网络已产生了1900个Rollup交易且已有超过11万个账户。
2022-08-16私人多重签名协议Nucleo已在基于ZKRollup的隐私和扩容解决方案AztecNetwork上开启内测，利用多重签名和零知识密码学技术，允许用户通过查看密钥进行私人交易、私人DeFi、私人筹款等操作，并具备可审计性。
2022-07-07AztecNetwork宣布推出具备原生智能合约隐私的去中心化零知识网络AztecConnect。AztecConnect使任何人都可以通过两个易于使用的工具向以太坊应用程序添加隐私，两个工具分别为桥接合约和SDK。另外，Aztec还重新启动了zk.money作为隐私DeFi聚合器，允许任何人使用Lido、Curve和Element等DeFi应用，Aztec表示，「完全隐私并可节省高达100倍的成本。」
2022-03-25更新的SDK中，提升内部Rollup证明数量，一个最终提交的Rollup证明中可以包含896笔交易。
2022-02-28Aztec已提出与Compound进行集成的提案，Aztec计划通过使用zkRollup批量处理用户交易，来降低用户存款等操作在L1上的Gas成本。
产品架构：
Aztec的产品体系为：基于底层的PLONK证明系统，实现账户间的匿名交易，并通过网关合约的嫁接来实现和Defi项目的隐私交互。
隐私架构：使用UTXO模型确保隐私，在Aztec的数据结构中，所有票据的状态存储在两个MerkleTrees中，其中一个是notetree，存储着所有生成过的票据，另一个则是nullifiertree，存储所有被销毁过的票据。
Aztec通过「网关」的方式，将交易聚合到L1。当用户要进行一个Defi交易时，Aztec会把同类型的交易打包，并把这些交易传递给AztecBridgeContract——一个部署在L1的合约，再通过这个合约聚合资金并调用相应的Defi功能，最后将交易完成的资金按比例返还给L2上的账户。
Scroll：以太坊基金会支持的兼容性最好的通用L2
基本信息：
发行方：Scroll
测试网状态，暂无数据
技术范式：zkEVM，并且是字节码级的兼容。
图片说明：各类L2兼容性示意图
图片来源：ETH官网
融资情况：据创始人透露，2021年底便已经完成融资，今年4月才官宣。
团队成员：
YeZhang：本科北大，从2018年开始从事ZK证明方面的工作，之前主要在研究zk证明硬件加速和zk密码学算法原理，后面博士也是zk方向的，但是现在quit掉了，全职在做Scroll的事情。
SandyPeng毕业于剑桥大学，曾在香港证监会从事研究方面的工作，17年开始开始从事Web3项目投资方面的工作。目前其在Scroll负责BD、融资、生态等方面的事宜。
HaichenShen本科就读于清华姚班，博士毕业于华盛顿大学，其博士研究方向偏向于底层系统领域。毕业后在亚马逊从事搭建机器学习系统等方面的工作。
产品特点：
Scroll跟以太坊原生执行方式会更像，Scroll出块节点会直接复用以太坊一层节点的代码，Scroll字节码级别的兼容可以完全适应以太坊的各种升级，包括EIP等代码升级
Scroll会和以太坊基金会的紧密合作，因为很多代码都是我们共同开发的，将来他们可能直接会把这一套用在以太坊网络上。
开发进度：
pre-alphatestnet已有一些预部署的应用，比如已经可以把Uniswapv2的合约部署到测试网上，允许用户执行一些功能如L1和L2之间的转账，swap等用户级别的交互。但目前还仅对加入白名单的用户开放。
alphatestnet允许任何人在测试网上进行交互，是无需许可的，此外开发者也可以无需许可地在网络上部署合约，alpha-testnet预计会在近期上线。
完整的testnet预计在今年年底推出，到时候会支持测试完整证明的生成，目前的证明部分已经包含了大部分opcode和storage的读写访问，还有一些剩余的电路因为工程进度原因仍在逐渐完善。
直观理解二者的区别，主要在于STARK中的重在Scalability，面向的是更加为传统的高并发、低延迟场景，其安全性会更高，比如游戏、社交、NFT等方向。其整体开发难度非常之大。
因此除StarkWare之外，其他的L2项目，包括zkSync、Scroll等在内的主要方向都采用的是更为通用化的SNARKs路线。
ZK-EVM：兼容一切
取代以太坊的会是另外一条公链吗？
目前看来以太坊是没有对手的特殊存在，除比特币之外的公链竞争在于生态，而并非在于TPS等具体技术指标，Solona采取的PoH机制虽然确保了上千的TPS，但是无法保证去中心化程度，频繁的宕机显然比GasFee贵更为严重，宕机是使用体验问题，而昂贵是贫穷的错误。
随着FTX的倒下，跟其深度绑定的Solona也殃及池鱼，其上所铸造的soBTC本质上是一种承诺，具体有无BTC一比一支持，目前看来已经无法证实，换而言之，SolonaDeFi生态已经接近灭亡。
Solana并未被师出同门的Move系公链击败，反而是死于最大利益相关方，如此观之，其和EOS也别无二致，终将化为历史的尘埃。
经此一役，所有的公链都要认真考虑对以太坊的兼容问题，不论是Ripple的侧链兼容EVM路线，还是Layer2的ZKVM/ZKEVM之争，都是对以太坊本身的一种补强作用。
EVM及以太坊开发生态足够开发者友好，开发者只需要面向EVM开发一次，便可依赖以太坊主网安全性而确保自身的安全性和运行效率，而无需过多考虑其他公链的适配问题。
Solidity并不完美，EVM也不是缺乏改进空间，但随着越来越多的公链兼容EVM，如同iOS的开发工作一样，在ARM芯片的架构支持下，可直接在Mac、iPad和iPhone上无缝流转，极大减轻了开发者的工作量。
而EVM是从Solidity语言级去进行兼容性操作，开发者利用Infura提供的API和主网交互，利用Truffle进行智能合约开发，测试和部署等等，开发套件一应俱全，完成对EVM的适配后Dapp便可在任意兼容EVM的公链上运行。
这也是ZKVM和ZKEVM的竞争方向，Vitalik曾给出不同的EVM分类的兼容性和性能表现关系，可以发现，越底层的实现兼容性越强，但其性能表现则会越差，这个道理其实很简单，联想下以太坊主网那可怜的性能和极强的安全性便可明白机理。
图片说明：不同EVM兼容性和性能表现
图源：vitalik.eth
ZKEVM，接近原生EVM的运作模式，则兼容性越强，但性能也会遭受严重限制，比如Scroll。
ZKVM，和以太坊原生EVM差异较大，则性能越强，兼容性越差，比如PolyonHermez。
究其路线之争的本质，架构在以太坊之上的L2Rollup还是过于底层，对用户直接使用体验较差，为了追求更高的性能，继续在其之上叠床架屋就成为必经之路，L3也就应运而生，L3之上部署真正的应用层，这样使得以太坊成为四级纵向模块化公链，在数据可用性和公链安全性之间去求平衡。
结语
以太坊的路线发展已经来到关键时刻，左转会走向横向扩展的模块化路线，右转会走向纵向分层的堆叠式格局。
在目前的竞争格局下，TPS、EVM兼容性成为两大必争之地，Rollup路线证明了ZK的效率可以兼顾公链级的安全以及L2的证明速度。
但是在EVM兼容性上，究竟在何种程度上兼容以太坊成为进退两难的选择，高度兼容会导致性能危机，但是降低兼容性也会导致安全危机。StarkWare给出的Cario方案比较适合，但同时也对开发能力提出远超一般的要求。
总之，目前是以太坊，甚至是整个公链格局的十字路口，未来会走向何方，这是否会是下一个十年的主旋律，让我们拭目以待。
原文：《零知识证明网络：一种自顶向下方法》
来源：panews
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。