零知识证明允许一方（证明者）向另一方（验证者）证明一个陈述是真实的，而不透露任何超出陈述本身有效性的信息。近10年来，区块链技术快速发展，隐私和扩容成为了区块链领域极其受关注的两个方向。零知识证明技术因其在区块链领域的隐私保护和扩展能力上的优势逐渐进入大众视野。零知识技术可以让开发者既能利用以太坊等底层区块链的安全性，又能提高dApp的交易吞吐量和速度，同时保护用户隐私。本文将从基本概念、理论发展、主流算法、开源库、典型应用等方面展开，对零知识证明技术进行相关梳理。
01｜基本概念
零知识证明（Zero-Knowledge Proof）实质上是一种涉及两方或更多方的协议，即两方或更多方完成一项任务所需采取的一系列步骤。零知识证明允许一方（证明者）向另一方（验证者）证明一个陈述是真实的，而不透露任何超出陈述本身有效性的信息。例如，给定一个随机数的哈希值，证明者可以说服验证者确实存在具有该哈希值的数字，而无需透露它是什么。
02｜理论发展
现代零知识证明体系最早来源于 Goldwasser、Micali 和 Rackoff 于1985年合作提出并发表的论文《The Knowledge Complexity of Interactive Proof Systems》（即 GMR85），这篇论文阐释了在一个交互系统中，经过 K 轮交互，需要多少知识被交换，从而证明一个证言是正确的，如果需要交换的知识为零，则称之为零知识证明。
但是早年的零知识证明系统在效率以及可用性方面都有所欠缺，所以一直都停留在理论层面，直到最近 10 年才开始快速发展。一个重要突破是 Groth 在 2010 年的论文 《Short Pairing-based Non-interactive Zero-Knowledge Arguments》中提出了目前零知识证明的关键性理论，实现了基于 ECC 算法的 O(1) 常数级的ZK，也是zk-SNARK 的理论先驱。
零知识证明在应用上的重要进展是 2015 年 Zcash 使用的零知识证明系统，实现了对交易及金额隐私的保护，后来发展到 zk-SNARKs 和智能合约相结合，ZK技术进入了更为广泛的应用场景。
期间还出现了一些重要的研究成果，包括：
2013年，Pinocchio协议《Pinocchio: Nearly Practical Verifiable Computation》实现了分钟级别证明，毫秒级别验证，证明大小不到300字节，将零知识证明从理论带到了应用，Zcash使用的SNARKs正是基于Pinocchio的改进版；
2016年，《Groth16:On the Size of Pairing-based Non-interactive Arguments》算法对证明的大小进行了精简，是目前主流的 ZK 算法中的基础性算法之一；
2017年， 《 Bulletproofs: Short Proofs for Confidential Transactions and More》 算法被提出，设计出了一种非常短的非交互式的零知识证明，无需可信设置，让证明提供者和验证者不必在同时在线，6个月后被应用到区块链项目 Monero；
2018年，论文《 zk-STARKs (BBHR18) Scalable, transparent, and post-quantum secure computational integrity》提出了一种无需可信设置的算法，这让 zk-STARK 的发展有了一个新的突破口，后来运用在重量级 L2 项目 Starkware 项目中；
此外，Sonic、Halo、Marlin、Plonk等算法的提出对 zk-SNARK 做出了某些层面上的改进：
2019，Sonic，一种早期的通用 zk-SNARK 协议，支持通用、可升级的参考字符串，Sonic 的证明大小固定，但是验证成本高，理论上可以将多个证明分批验证以获得更好的性能；
2019，Fractal，一种允许递归的 zk-SNARK，通过对电路的预处理实现了透明设置。证明最大 250KB，这比其他构建生成的证明都要大的多；
2019，Halo ，支持递归证据组织，无需可信设置，与其他新的 zk-SNARK 构建不同，Halo 的验证时间是线性的；
2019，SuperSonic，Sonic 的改进版，是第一个在验证时间和证明数据量方面实用化的透明 zk-SNARK；
2019，Marlin，Sonic 的改进版，证明时间缩短 10 倍，验证时间缩短 4 倍；
2019，Plonk，Sonic 的改进版，证明时间缩短 5 倍；
03｜技术概述
3.1 零知识证明算法
目前零知识证明最主流的算法是zk-SNARKS、zk-STARKS以及Bulletproofs。下文将对三种算法进行简单介绍。
zk-SNARKs
zk-SNARK（Zero-Knowledge Succinct Non-Interactive Argument of Knowledge），代表零知识简洁非交互式知识论证，由加州大学伯克利分校教授 Alessandro Chiesa 等人于2012年在论文《From extractable collision resistance to succinct non-interactive arguments of knowledge, and back again》中提出，是最早和最受欢迎的零知识证明实现之一。非交互零知识证明（Non-interactive proof）即证明者只需要给出证明信息，验证者进行验证即可，在此过程验证者和证明者之间不需要进行交互。
zk-SNARK使用椭圆曲线密码学 ( ECDSA ) 进行加密，虽然 ECDSA 算法目前是安全的，但未来量子计算机的发展可能会打破其安全模型。除此之外，zk-SNARKs的启动需要可信设置，可信设置是指在受信任的设置中，多方各自生成一个部分密钥来启动网络，然后销毁该密钥。如果用于创建信任设置的密钥的保密信息没有被销毁，那么这些保密信息可能会被利用通过虚假验证来伪造交易。
zk-SNARKs作为区块链中应用最广泛的一种零知识证明，已经发展出了诸多各具特点的协议算法，在研究路线上分为两个方向，一类是以Groth 16 、 GKM+18 、Sonic 19 、PLONK 19等算法为代表的研究，专注于在保持有效证明系统的同时摆脱可信设置；另一类以 Ligero 17 、 Aurora 18 、Fractal 19等算法为代表，专注于后量子安全。其中，Groth 16和PLONK 19因提供常量级验证时间，是目前区块链领域最广泛使用的零知识证明方案。
zk-STARKs
zk-STARK （Zero-Knowledge Succinct Transparent Arguments of Knowledge），代表零知识简洁透明的知识论证，由Eli-Ben Sasson 在论文《Scalable, transparent, and post-quantum secure computationalintegrity》中提出。zk-STARK是zk-SNARK算法的一种技术演变，解决了SNARK依赖可信设置的弱点，可以不依赖任何信任设置来完成区块链验证，从而降低启动网络的复杂性并消除任何串通风险。zk-STARK 使用更精简的加密方法，避免了椭圆曲线、配对和指数假设知识的需要，而是依赖散列和信息理论，因此能够抵御量子攻击。由此导致的代价是，zk-STARK证明大小达到了zk-SNARKs的数千倍，但是在有信任最小化需求或量子计算机的场景下，这种代价是值得的。
Bulletfroofs
Bulletproofs（Short Non-interactive Zero-knowledge Proofs）是简短的非交互式零知识证明协议，由斯坦福应用密码学小组于2017年的论文《Bulletproofs: Short Proofs for Confidential Transactions and More》中提出。Bulletproofs兼顾了SNARKs和 STARKs的优点，无需可信设置即可运行，并且可以将加密证明的大小从超过 10kB 缩小到不到 1kB，压缩比率达到80%以上，同时降低80%的交易费用。但是Bulletproofs的证明和验证时间相比于 SNARKs 和 STARKs更长 。2018 年，Bulletproofs 被应用于隐私币Monero，因其相对较低的交易费用、证明大小和无需信任在领域内受到极大关注。
小结
以下是Matter Labs 提供的三种主流算法在性能上的对比图，总体上看zk-SNARKs的优势较为明显。
![]()
来源：Matter Labs 的 github 代码库https://github.com/matter-labs/awesome-zero-knowledge-proofs#learn
![]()
来源：https://docs.google.com/presentation/d/1gfB6WZMvM9mmDKofFibIgsyYShdf0RV_Y8TLz3k1Ls0/edit#slide=id.g443ebc39b4_0_110下文将对ZK开源库以及ZK在区块链领域的典型应用展开描述。3.2 开源算法库
3.2.1 开源库汇总
下表列举了十余个零知识证明相关的开源算法库，包含以不同语言支持的zk-SNARKs、zk-STARKs、Bulletproofs开源库以及同时支持多种算法的Plonky2。所列ZK库中大部分支持zk-SNARKs算法，其中又以Groth16和PLONK居多。部分开源库是特定算法论文的具体实现，仅用于学术用途，不建议工程使用，如Spartan、Dizk、Nova、libSTARK等。![]()
3.2.2 最佳实践
zk-SNARKs 等算法库不能直接应用于任何计算问题。在使用之前，首先需要将问题转换为正确的形式，第一步就是将其转换为代数电路。Circom是一个用Rust编写的编译器，可以轻松构建代数电路。因此，一个最佳实践是结合circom库和ZK算法库解决计算问题。以snarkjs为例，实践步骤如下：- 使用专用电路语言编写要证明的逻辑/约束，同时Circom项目已经提供了安全的常用工具库（椭圆曲线点运算、验签、哈希等），可直接引入；
- 使用Circom的编译器将电路逻辑编译成底层表示(R1CS)；
- 使用Circom配套的snarkjs工具进行可信设置并生成js证明代码和solidity合约验证代码；
- 后续即可在链下通过生成的证明代码生成ZK证明，在链上通过智能合约验证ZK证明。
![]()
来源：https://docs.circom.io/
04｜典型应用
当前区块链行业里零知识证明应用不断涌现，特别是在扩容和隐私保护层面出现了众多优秀的项目。下文从扩容和隐私保护两方面对零知识证明在区块链领域的应用生态进行了整理。4.1 扩容
区块链由于自身的性能问题导致其难以满足当下需求，基于零知识的扩容方案将有望解决区块链性能瓶颈。扩容是指在不牺牲去中心化和安全性的前提下提高交易速度和交易吞吐量。4.1.1 zk-Rollup
ZK-Rollups是基于零知识证明的Layer2扩容方案，通过将计算转移到链下来提高区块链的吞吐量，即将大量交易打包到一个Rollup 区块内，并在链下为该区块生成一个有效性证明，Layer 1 上的智能合约只需验证该证明即可直接应用新的状态，可以实现更低的 Gas 和更高的链上安全性。下文整理了部分基于ZK技术实现的区块链L2扩容方案。zkSync
zkSync 是 Matter Labs 推出的一款 Layer2 扩容方案，通过采用基于零知识证明的 Rollup 提升以太坊网络的可拓展性。目前该项目已经上线聚焦于支付目的 1.0 主网和完全兼容 EVM 的通用 2.0 主网。zkSync 2.0 是构建于以太坊之上可兼容 EVM 的 L2解决方案，它重新编译了 EVM 代码来实现任意智能合约的功能（将 EVM 的Solidity、 Yul 、Vvper以及 zkSync 自己的语言Zinc 转换成 SNARK 兼容的代码），并用零知识证明来校验 Rollup 交易，因此也被称为zkEVM。zkSync 2.0 的架构包含了 zk-Rollup 和 validium（zkporter），二者的结合方式又被称作 “volition”，它给用户在 zk-Rollup和 validium 两者间选择的自由。zkSync 2.0通过zk-Rollup提供链上数据可用性，通过zkporter提供链下数据可用性，从而达到指数级别可扩展性。zkSync的开发团队Matter labs共计完成了4轮融资，最近一轮于22年11月完成2 亿美元 C 轮融资，融资总额达到 4.58 亿美元。StarkWare
StarkWare是zkSynk最大的竞争对手，由zk-STARKs 的共同发明人Eli Ben-Sasson等人于2018年创立。旗下项目包括starkEx和starkNet（分别对标zksynk1.0和2.0），starkEx专注于提供zk-Rollup的定制化SAAS服务，starkNet是无许可的去中心化通用zk-Rollup。- StarkEx ：利用 STARK 技术为 DeFi 和游戏等应用程序提供可扩展的自托管交易（交易和支付）并收取SAAS费。主要客户有 dYdX 、 ImmutableX、DeversiFi 等企业客户。StarkWare仅2021年就从其最大客户dYdX获得了超过5000 万美元收入 ，但有消息称后续dYdX要脱离StarkWare 。
- StarkNet：基于 zk-Rollups 的以太坊L2平台，相比于starkEx提供了更灵活的链下扩展能力，用户可以直接编写L2上的合约。StarkNet 支持与以太坊网络相同的计算和操作，具有相同程度的安全性和更高的可扩展性，并且发布了自己的编程语言 Cairo（一种用于编写STARK可证明程序的编程语言），允许开发人员编写他们的应用程序并部署在 StarkNet 上，但是和现有以太坊生态不兼容。
StarkWar在7轮融资中累计已获得2.73 亿美元，最近一轮于22年5月以 80 亿美元估值完成 1 亿美元 D 轮融资。Polygon
Polygon 于2018 年由Jaynti Kanani等人创建于印度，目前已经发展出一套自己的以太坊扩展工具。Polygon正在积极布局他们的ZK（Zero Knowledge）战略，承诺将投入超10亿美元的资金用于ZK技术的研究和探索。他们有许多 L2 解决方案，大部分是被收购的独立团队、项目，包括Hermez 、Zero、Miden 、Nightfall，四款产品在技术路线上有所不同：- Hermez基于SNARK技术，主要聚焦于支付和转账；
- Zero基于Plonky2技术，提供以太坊EVM兼容的虚拟机，主要特色是生成证明快（普通电脑170ms）、证明大小只有45kb；
- Miden基于STARK技术，提供以太坊EVM兼容的虚拟机，主要特色是无可信设置和后量子安全。
- Nightfall通过结合OP-Rollup和ZK-Rollup的技术优势达成可扩展性和隐私性，执行效率和吞吐量更高，每笔交易只需要12kGas，使用ZK技术来保护交易数据的隐私。
2022 年 2 月 7 日，Polygon 通过私下出售其原生 MATIC 代币筹集了约 4.5 亿美元。这轮融资由红杉资本印度牵头，将帮助Polygon巩固他在以太坊扩容赛道中的领先地位。Scroll
Scrol旨在为以太坊构建原生zkEVM Layer2解决方案，使用 zk-Rollup扩展以太坊，将以太坊交易捆绑在链下，以更低的成本支持更多的交易。与zkSync和Starkware相比，前两者的架构需要专门的编译器将智能合约代码编译成ZK友好的IR，这种方法是语言兼容而不是原生 EVM 兼容，而Scroll正在建立一个零知识证明以太坊虚拟机（EVM），意味着 Scroll 生态系统中的开发者将享受以太坊虚拟机等效的体验，即任何在零知识证明L1上运行的 dApp 都可以部署在 Scroll 上。Scroll 于2021年初创立，2022年4月完成 3000 万美元 A 轮融资，2022年7月发布了公开测试的Pre-alpha版本，按照路线图预计在2023上线主网。![]()
来源：Scroll官方
zkSpace 是一个涵盖 DEX、NFT 和支付的全功能 Layer2 平台，包括 ZKSwap、ZKSea 和 zkSquare。其中zkSwap 是一个基于 ZK-Rollup 技术和AMM模型的 Layer-2 去中心化交易协议，能在保证去中心化交易的核心价值的同时实现实时交易，目标是在 Layer-2 上实现 Uniswap 所有功能。但相比于Uniswap ，zkSwap 的TPS 提升了多个数量级，用户在交易的过程几乎不需要消耗任何 Gas 费。在技术细节上，zkSwap 基于 Plonk 零知识证明算法，效率更高且能够更新可信设置。4.2 隐私保护
零知识证明允许一方向另一方证明他们知道一个秘密，而不透露该信息的真实情况。在区块链背景下，零知识证明可以用于验证交易的有效性而不会泄露交易中的发送者、接受者、涉及金额及其他敏感数据。因此零知识证明在保护链上数据隐私方面发挥着巨大作用。以下整理了部分ZK技术在隐私保护方面的应用，包括隐私L2、隐私公链和隐私币。4.2.1 隐私L2
Aztec Network
Aztec是以太坊上第一个Layer2隐私区块链项目，旨在为中心化应用程序提供隐私和扩展能力，由知名密码学家Zac Williamson创立，Zac同时也是PLONK和zk-SNARK 协议的共同发明者。Aztec是唯一一个从头开始采用zk-Rollup构建的项目，使用了PLONK零知识证明机制，允许用户在Layer1层完全隐私地访问他们的dApp。22年10月，Aztec推出零知识通用语言Noir，支持开发者更快地构建ZK应用程序。Aztec采用类似比特币账户原理的UTXO模型。在该模型中，票据note是协议运算的基础单元，资产交易时，票据的值被加密，票据所有权变更，票据登记所将会记录每个票据的状态，用户的AZTEC资产即票据登记所里所有被该用户地址所拥有的有效票据之和。与以太坊的账户模型不同，基于UTXO模型的资产交易可以看作是note的所有权变更，而不是交易双方账户的余额状态更新，且只有进行交易的双方才知道所有权已经变更。2022年12月，Aztec完成1亿美元B轮融资，由a16z领投，A Capital、King River、Variant、SV Angel、Hash Key、Fenbushi 和 AVG 跟投。4.2.2 隐私L1
Aleo
Aleo是第一个提供完全隐私保护应用程序的平台，是基于零知识证明隐私保护的公链。Aleo的核心是ZEXE（一个分布式隐私计算账本系统），而ZEXE的核心依赖密码学原语在账本上做计算，即去中心化隐私计算DPC（decentralized private computation），将计算和共识分开，提供zkCloud在链下执行交易，执行交易结束后将证明提交到链上。由于只有证明被提交到链上，从技术上来讲任何人都不可能看到或利用任何交易细节的知识，从而实现交易隐私。Aleo提供leo语言用于编写在zkCloud执行的智能合约（零知识友好），使用marlin算法实现隐私保护，其在效率上接近Groth16且支持通用且可更新的CRS。目前项目累积融资达到$2.28亿，估值近14.5亿美元。Partisia
Partisia Blockchain是一条半许可隐私公链，专为信任、透明、隐私和高速而构建，用于公共和私人信息的通用协调。Partisia在区块链上提供额外的数据保护层，用户可以通过零知识计算（ZK Computations ）控制对其数据的访问。零知识计算即融合零知识证明、安全多方计算、全同态加密等技术，为区块链增加隐私和保密性。通过建立计算方集群，基于MPC协议运行在多个计算节点上执行智能合约，安全地对分布式数据执行任何计算，数据将不会离开服务器，因此不会泄露任何不应该泄露的秘密信息。在此过程中，ZK技术可以保证协议正确执行，只要有安全阈值个以上节点诚实就可以保证交易输入和输出的安全。![]()
来源：https://partisiablockchain.com/
Manta Network
Manta Network是Polkadot的隐私平行链。其隐私交易的原理是基于ZK和UTXO模型，在资产交易时使用接收者的公钥和临时秘钥构建一笔加密交易，接收者再使用自己的公钥进行解密，若成功解密意味着该笔资产是接收者的资产。在此过程中，ZK技术能保证发送者确实有这么多资产，具体使用了Groth16零知识证明算法。目前 Manta 已经在进行零知识证明的可信设置，并即将推出隐私支付产品 MantaPay，接下来会有更多的隐私产品推出。Penumbra
Penumbra是Cosmos上的隐私跨链网络，使用Snark算法实现隐私交易，可定向披露细节。与Aztec类似，Penumbra采用类UTXO的账户模型，链上不存储note详细信息，只存储note的承诺用于证明对note的拥有权，但是只能从一个note派生到另一个note，通过同态承诺保证转移前后的总价值不变。支持IBC协议将代币转移到其他链。Mina Protocal
Mina基于高级密码学和递归零知识证明设计了一条轻量级区块链。基于snark-Pickles零知识证明系统实现，Pickles 是唯一支持任意分支递归的无可信设置 zk-SNARK，证明更小且递归证明效率更高。Mina不在链上存储区块数据，而是通过在链上存状态的证明，在链下服务存数据，执行交易后将产生的证明提交到链上更新证明。每当新块生成时，Mina无需重新验证整个块序列，只需在原来的有效性证明上扩展新的证明来支持新块，即将整个区块链状态捕获为快照并发布，并以此为背景拍摄新块的快照，依此类推。因此链上可包含无限量证明信息，但快照大小始终维持在22kb左右，验证时间约200毫秒，使得轻量级客户端和移动设备也能对系统历史进行全面验证。Mina同时也是一条隐私公链，可以在一定程度上保护交易隐私，前提是需自行运行服务生成证明。4.2.3 隐私币
Zcash
Zcash被戏称为隐私币鼻祖，币价巅峰曾高达到 4293 美元之高，约 3 万人民币。Zcash 是首个引入零知识证明技术，且可以进行实时交易和匿名交易的隐私项目，其项目代币为 ZEC。Zcash 保密交易的隐私依赖于标准密码学中的哈希函数和流密码，在链上将交易记录中的发送人、接收人、交易量进行加密，用户可裁量选择是否向其他人提供查看密钥（拥有此密钥的人才能看到交易的内容），在链下使用zk-SNARKs 对交易的有效性进行验证。2022 年 5 月，Zcash 开始升级其底层密码学并采用 Halo 2零知识证明系统。Halo2是一种新的 zk-SNARK，能在达到性能目标的同时移除可信设置，以及支持用于私人数字支付的可扩展架构。Tornado Cash
Tornado Cash是一种完全去中心化的非托管协议，可以用于匿名化以太坊交易。在实现原理上，Tornado Cash 本质上使用了一个zk-SNARK 混币池，可以通过使用 ZKP 打破源地址和目标地址之间的链上链接来解决隐私问题，可信设置基于Groth算法。2022 年 8 月，Tornado Cash 的开发者 Alexey Pertsev 涉嫌洗钱在荷兰被捕入狱，这是历史上首次链上智能合约被 OFAC （美国海外资产管理办公室）直接制裁。Monero
门罗币（XMR）是最早的知名隐私币项目之一，也是第一个部署Bulletproof技术的隐私币项目。Monero通过融合隐形地址、环签名和环机密交易等技术，实现了对交易双方地址和交易数量的隐藏，开辟了加密数字货币的新篇章。其中，Bulletproof针对环机密交易隐藏交易中的数量。门罗币（XMR）曾在美国暗网交易的推动下一度成为市值排名前十、甚至前五的加密数字货币。Dash
达世币采用了混币系统来实现一定程度的隐私。为了实现混币系统，达世币改造了比特币网络，建立了一个由主节点和矿工组成的双层网络。在第一层网络中，矿工使用 POW 挖矿的方式来计帐和保护网络安全；第二层网络实现混币相关功能，包括执行隐私交易、即时交易和网络管理。Dash 的混币系统服务中，主节点将多个用户的交易混合在一起，将多方资金合并再一起对外发送，达到无法追踪交易历史的效果。但是Dash的混币技术只能实现交易地址的隐藏，无法隐藏交易金额。SERO
SERO(超零协议) 也是一种基于零知识证明技术的新兴隐私保护货币。在匿名交易领域，SERO 与门罗币和 Zcash 具有相同的特点。SERO 通过支持 Solidity 虚拟机，对智能合约提供了相对完整的支持。在零知识证明方面，SERO 团队建立了基于 zk-SNARKs 的 Super-ZK 零知识证明加密系统，可实现100% 匿名交易，且当前的 Super-ZK 系统在加密速度上比 Zcash 现有的系统有了数量级上的改进。区块链开发人员可以在 SERO 链上发行自己的隐私代币，以建立自己的隐私生态系统，这些新发行的代币可以像 SERO 币一样拥有基于零知识证明的隐私交易特性。4.2.4 隐私KYC
zkPass
zkPass是基于安全多方计算和零知识证明的去中心化KYC 解决方案，允许用户通过他们在 Web2 身份颁发者那里持有的凭据向第三方（其他项目方/验证者）匿名证明他们的身份声明。在将Web2 身份凭证转换为匿名凭证的整个过程中，不需要集中式服务器（传统 KYC 平台）或可信硬件（TEE ）。zkPass协议是传统KYC服务提供商的完美替代品，可以为企业和用户提供更高水平的KYC解决方案。4.3 上层应用
基于上述基础设施，零知识证明技术在游戏、Defi、NFT、数字身份等赛道的上层应用中也展现了其扩容和隐私保护的能力，部分应用如下表所示：
![]()
内容来源：https://github.com/ventali/awesome-zk