我們研究了 ZK 的技術史 發現下一個千億應用蕴藏其上

加密世界的焦點經歷了比特幣、以太坊、DeFi、NFT、元宇宙和Web3的多次變遷，唯獨缺少對加密技術本身的關注，除了比特幣的橢圓曲线加密算法（ECC）還算有一點大衆認知度，其他加密算法基本停留在研究員和开發者的自嗨中。

R3PO認爲這不夠去中心化，會嚴重阻礙Web3的進一步擴展，密碼學是區塊鏈的基礎件，不應該被少數人掌握，而應走向更廣闊的領域。

R3PO希望能用新的書寫範式去闡述術語的含義，兼顧專業性和可讀性，致力於爲機構投資者、項目方發現潛藏在發展中的投資機會、創業方向和切入點，尋找到未被發掘的α收益。

近期大熱的零知識證明技術仍是一個不斷發展、不斷革新的細分領域，但其技術本身又具備足夠廣闊的應用場景，因此對其進行全景梳理顯得十分重要。

零知識證明技術（Zero-Knowledge Proof）並非新概念，細細梳理可知，迄今已經經過40年的發展，誕生出多種模型和應用。

進入Web3時代，早在2017年，V神便已經注意到ZK技術在以太坊上的使用潛力，而最近Starkware獲得1億美元的融資使其總融資額度達2.25億，這代表機構是以公鏈級別的估值和潛力來看待ZK技術。這將是一個長期鏖战的領域，會暴露出更多的投資機會。

向後推演20年，R3PO認爲ZK發展至少具備一個甲子的生命長度，因此描繪整個ZK的發展歷程需要追本溯源，以更好地釐清其發展邏輯，尋找到下一步的潛在機會。

本系列首篇將會從零知識證明起步，超越ZK只能應用於L2領域的固有觀念，帶給大家全新的系統性認知。

1982年，後來的圖靈獎得主姚期智便設想過這個問題，這就是著名的百萬富翁問題，省略其數學過程，其大致運作模式如下：

當然，以上過程並不全面，但足以說明一個問題，我們確實可以在兩方之間，並且在不暴露信息的前提下進行計算，如果將兩方擴展至多方，將區間擴展至更大範圍，那么這就是典型的多方安全計算MPC (Secure Multi-party Computation) 問題。

百萬富翁問題是ZK討論的一個起點：

此處的零知識並不完全准確，以Alice和Bob的互動爲例，Alice和Bob可以互爲驗證者和證明者，但是兩者間傳遞的信息不能和財富數量本身有關，這裏的零知識是指相關性爲零，而並非不傳遞信息。

而交互式指的是可以多次進行交互，這個過程可以反復進行，直至得出正確結果。

至此，目前所熟知的ZK技術邁出了成型的第一步，接下來的一切發展，都是在其上的刪減增改。

1991：非交互式零知識證明 

當時間來到1991年，Manuel Blum、Alfredo Santis、Silvio Micali和Giuseppe Persiano提出非交互式零知識證明，聞名即可知，此次升級重點是進行非交互式的證明過程，也就是在雙方之間不進行交互的同時，驗證一個定理、假說的真僞性，這看似很反直覺，但是有一個絕妙的例子可以說明：

非交互式零知識證明將交互次數減少到最多一次，可實現线下驗證和公开驗證，前者爲Rollups奠定了有效性基礎，後者耦合區塊鏈的廣播機制，可避免多次計算帶來的資源浪費。

至此，我們目前見到的ZK便已經成爲成熟理論模型，但此時的ZK更多是數學和密碼學領域的研究對象，和區塊鏈並無太多關聯，而在比特幣出現後，加密技術+區塊鏈才成爲研究的方向，而ZK無疑是其中的佼佼者。

值得注意的是，中本聰本人並不排斥ZK技術在比特幣網絡的使用，更多的是當時的ZK技術不成熟，因此最終選擇了較爲安全的ECC算法，而ZK本身可以直接應用到Layer1區塊鏈上，Zcash、Mina，以及以太坊的伊斯坦布爾升級都涉及到了零知識證明的相關領域。 

2010-2014 Zcash: SNARKs (Zero-Knowledge Succinct Non-Interactive Argument of Knowledge) 實用化場景 

在比特幣網絡出現後，安全和隱私成爲人們對區塊鏈的最初認知。市場上出現了一系列基於隱私的公鏈和應用，如Zerocash/Zcash使用的SNARKs，以及在Monero中使用的子彈證明Bulletproofs（BP）等。

2010年，Groth實現了首個基於ECC算法的，O(1)常數級的ZK。也即ZK-SNARKs或者ZK-SNARGs。

從應用角度來說，此次改進在於“簡潔”Succinct功能上，具體而言，SNARK致力於壓縮信息本身的大小，在ZCash中，程序電路是固定的，因此多項式驗證也是固定的，這使得設置只需執行一次，交易後續只需改變輸入便可復用。

在2013年，Pinocchio協議提升效率至分鐘級別證明，以及毫秒級別的驗證時間，开銷控制在300字節以內，這也是ZK-SNARKs技術真正首次落地到區塊鏈領域。

這證明了ZK技術可以在隱私場景上發揮作用，R3PO判斷後續的隱私路线會具備脫離L2單獨存在的潛力，Aztec證明了隱私DeFi路线的可行性，而在tornado被制裁後，鏈上金融隱私仍舊是強烈的剛需，這個方向的投資機會仍未被廣泛發掘，值得後續期待。

此外，隱私幣項目Zerocash進一步改進了相關算法，使用的是SCIPR Lab優化後的zk-SNARKs算法，在理論條件下，可以做到既隱藏付款來源、接受者和金額，並且交易可以控制在1KB以內，驗證時間在6ms之內。

Mina：遞歸ZK壓縮數據 

Mina不同於以太坊L2，其是一條L1級別的高性能公鏈，其運行節點只有22KB，而之所以能做到如此之小，在於其大幅度利用遞歸來證明ZK確認的有效性，即每一條信息都帶有之前的確認結果。

傳遞結果的有效性，而非保存全節點數據，這是Mina證明行之有效的手段，而在以太坊L2，ZK-Rollup可以通過打包多次交易數據，結算一次的方式完成有效性證明，而進一步推演，L2之上可以疊加L3，或者Dapp應用，這些都是ZK可以發展的細分賽道，比如dYdX目前運行在Starkex之上，以及架構在Starkware之上的L2 ImmutableX，都證明ZK的使用潛力，這個賽道的價值目前仍未被全部挖掘，仍留有長期的投資價值。

至此，ZK-Rollup涉及所有的技術要件就已經基本齊備了，我們已經裝備好足夠的ZK基礎知識，並且可以總結ZK的以下特點：

對比二者的差異，主要在於STARK中的S是Scalability之意，面向的是更加大型數據的復雜使用場景，但其整體上仍舊是一個正在發展中的技術路线。

本文不過多涉及具體L2之間的區別，但有一點很明顯，除StarkWare之外，其他的L2項目，包括zkSync、Aztec、Loopring、Scroll等都採用的是SNARKs技術路线。

究其原因，在於STARK的开發難度過大，目前只有StarkWare有能力進行自研，但其好處也十分明顯，相較於SNARK，其可承載的運算量也會更大，在運行大型數據時，其安全性會更高，比如遊戲、社交、NFT等方向。

其次，STARK路线具備抗量子攻擊的特性，這在未來十年具備顛覆行業格局能力的可能，比特幣採用的ECC算法並不能完全具備抗量子破解的可能，如果加入zk-STARKs技術，其安全性會顯著提高。

可以總結以太坊L2的格局，短期Optimistic Rollup，5年後zk-SNARKs路线，10年後zk-STARK路线終將會勝出。

ZK-Rollup：數據的上探，信息的下鑽 

介紹完zk-STARKs之後，L2擴容的全部技術特徵便已完備，只缺少對Rollup的介紹，實際上，Rollup利用的是ZK的驗證機制，而擺脫其對數據量的需求：在L1負責共識和結算的前提下，由L2負責應用的具體日常運營，用戶不需要和L1直接交互，其體驗會高度接近於目前的App。

更進一步的說，Rollup在完成信息的打包後，會將驗證後的信息加密成知識，隨後傳遞給L1，以攻破安全性、去中心化和擴展性的不可能三角。

總結

我們從百萬富翁問題出發，由MPC問題過渡到零知識證明領域，出於經濟原因，交互式的零知識證明不完全適用於鏈上活動，而非交互零知識證明逐漸成爲主流。