zk-SNARK

什么是 zk-SNARK？

zk-SNARK 是一种密码学证明系统，可让一方证明某项陈述为真，而不泄露该陈述背后的私密信息。

zk-SNARK 的全称是 Zero-Knowledge Succinct Non-Interactive Argument of Knowledge。

在加密货币中，zk-SNARK 用于支持私密交易、区块链扩容、可验证计算、身份系统和基于证明的应用。

zk-SNARK 可证明交易遵循协议规则，而无需公开交易的每项细节。

这很重要，因为许多区块链默认透明，这意味着使用区块链浏览器的任何人都可能看到钱包活动、余额和交易模式。

Ethereum 对零知识证明的官方说明将 zk-SNARK 描述为能够验证信息而不泄露信息本身的证明系统。

Zcash 也在其zk-SNARK 指南中解释，该技术允许用户证明拥有特定信息，而无需披露该信息。

对加密用户而言，简单来说，zk-SNARK 可帮助区块链验证真实性，而无需迫使用户暴露不必要的数据。

zk-SNARK 为何对加密货币重要

zk-SNARK 很重要，因为加密网络需要隐私、可扩展性和最小化信任的验证。

公链之所以有用，是因为任何人都可验证规则是否被遵守。

但完全透明可能为用户、企业、交易者、捐赠者、薪资系统和去中心化应用带来隐私问题。

如果每个钱包余额和交易路径永久可见，即便用户没有做错任何事，也可能失去金融隐私。

zk-SNARK 允许网络验证正确性而不披露全部敏感细节，从而帮助解决部分问题。

它们也适用于扩容，因为区块链可验证紧凑证明，而不是重新执行大量计算。

Ethereum 关于零知识 Rollup的文档解释，有效性证明可确认链下状态转换的正确性，而无需 Ethereum 重新执行每笔交易。

这使 zk-SNARK 对 Layer 2 网络、去中心化金融、支付、游戏、代币化资产及其他高交易量加密应用十分重要。

简而言之，zk-SNARK 可让加密系统在保持强验证能力的同时更私密、更高效。

拆解 zk-SNARK 术语

“zk”代表零知识。

零知识意味着证明可表明某件事为真，而不泄露用于证明它的秘密数据。

“S”代表简洁（Succinct）。

简洁意味着与所证明的完整计算相比，证明较小且验证速度快。

“N”代表非交互式（Non-Interactive）。

非交互式意味着证明者可创建验证者能够检查的证明，无需进行长时间的来回通信。

“ARK”代表知识论证（Argument of Knowledge）。

论证意味着证明在计算假设下是安全的。

知识意味着证明者必须知道使陈述为真的隐藏信息，通常称为见证（witness）。

当这些部分结合时，zk-SNARK 成为一种可快速检查且不泄露私密信息的紧凑证明。

正因如此，zk-SNARK 在验证成本、公开数据暴露和用户隐私都很重要的区块链系统中十分强大。

zk-SNARK 如何运作

zk-SNARK 通常涉及证明者、验证者、公开陈述和私密见证。

证明者是创建证明的一方。

验证者是检查证明的一方。

公开陈述是所有人都可看到的声明。

私密见证是证明该声明为真的隐藏信息。

例如，用户可能希望证明私密交易有效，而不向公众展示发送方、接收方或金额。

zk-SNARK 让用户证明交易遵循协议规则，同时不披露这些选定细节。

在许多系统中，计算首先必须被表示为电路或数学约束系统。

电路定义了证明必须满足的规则。

如果私密见证满足电路，证明者就能创建有效证明。

随后，验证者使用验证密钥或验证者算法检查证明。

若证明有效，验证者接受该陈述为真。

若证明无效，验证者拒绝该陈述。

该过程允许区块链在不了解用户全部私密数据的情况下执行规则。

zk-SNARK 为何简洁？

简洁性是 zk-SNARK 的主要优势之一。

简洁证明的体积足够小，因此可高效存储、传输和验证。

这对区块链很重要，因为每个字节的数据和每一步验证都可能产生费用。

如果证明很大或验证很慢，链上使用成本可能过高。

zk-SNARK 很有价值，因为它们通常能够生成比原始计算验证成本低得多的紧凑证明。

这也是它们用于扩容系统的原因。

Layer 2 系统可在链下处理大量交易、生成证明并将其提交至基础链。

基础链只需验证证明，而不必逐笔处理交易。

这可减少拥堵，并使用户交易成本更可负担。

简洁性也有助于隐私系统，因为紧凑证明可在不披露私密交易细节的情况下证明遵守规则。

zk-SNARK 为何是非交互式？

非交互性意味着证明者可创建一份验证者稍后检查的证明。

这对区块链很重要，因为智能合约无法与每位用户进行长时间私密对话。

区块链需要可作为数据提交并自动验证的证明。

在较早的交互式证明系统中，证明者和验证者可能需要进行多轮通信。

这种设计对许多加密应用并不实用，因为区块链交易应具备最终性、公开性并易于节点验证。

非交互式证明更适合智能合约和去中心化网络。

证明者在链下创建证明。

证明被提交至区块链或其他验证者。

验证者通过一次验证流程进行检查。

这种结构使 zk-SNARK 适用于私密支付、Rollup、跨链桥、身份验证和链上验证系统。

zk-SNARK 与隐私

zk-SNARK 常与隐私相关联，因为它们可在证明交易有效的同时隐藏敏感信息。

在注重隐私的加密支付中，zk-SNARK 可证明发送方拥有足够资金、资金未被双花且交易遵循规则。

公链可以接受该交易，而无需向所有人展示全部交易细节。

Zcash 文档在其Zcash 基础指南中解释，Zcash 使用屏蔽地址和 zk-SNARK 支持保护隐私的交易。

这并不意味着每个 zk-SNARK 应用默认具有隐私性。

一些系统主要将 zk-SNARK 用于扩容，而不是隐私。

在这些系统中，交易数据仍可能公开，但证明有助于更高效地验证正确性。

用户应始终检查哪些信息被隐藏、哪些信息公开，以及哪些元数据仍可能可见。

zk-SNARK 是隐私工具，但隐私取决于工具的实施方式。

zk-SNARK 与区块链扩容

zk-SNARK 对区块链扩容也很重要。

扩容是指帮助区块链支持更多用户和更多交易，同时避免网络变得过于昂贵或难以验证。

在 zkRollup 中，大量交易在链下处理，然后通过有效性证明加以证明。

基础链检查证明，并在证明有效时接受更新后的状态。

这种方式可以节省区块空间，因为基础链无需重新执行每笔交易。

Ethereum 的zk-Rollup 指南解释，这些系统将计算和状态存储移至链下，同时将证明和选定数据发布到基础层。

zk-SNARK 是此类扩容设计可采用的一种证明系统。

它们可帮助降低手续费、提高吞吐量，并使去中心化应用更易使用。

这对游戏、支付、兑换、借贷和链上社交工具等需要频繁交易的应用尤其有用。

随着区块链采用增长，zk-SNARK 可能会变得更加重要，因为用户期望在不放弃安全性的情况下使用快速应用。

zk-SNARK 与可信设置

可信设置是与部分 zk-SNARK 系统相关、最受讨论的风险之一。

可信设置是创建用于生成和验证证明的密码学参数的过程。

如果设置过程中的秘密材料未被正确销毁，在某些系统中攻击者可能能够创建伪造证明。

这种秘密材料有时被称为“有毒废料”。

较早的 zk-SNARK 设计通常需要可信设置，从而为用户带来额外信任假设。

一些系统通过多方仪式降低该风险，多名参与者在其中贡献随机性。

其理念是，只要至少一名诚实参与者销毁其秘密贡献，设置就仍然安全。

较新的证明系统也在努力降低或消除可信设置要求。

Electric Coin Company 解释，Halo 2 被设计为无需可信设置的高性能 zk-SNARK 实现。

Zcash 的NU5 升级页面也指出，该升级使 Zcash 转向 Halo 证明系统，并取消了可信设置需求。

这很重要，因为它表明 zk-SNARK 技术仍在持续发展。

用户不应假定所有 zk-SNARK 都采用相同的设置模型。

具体安全假设取决于证明系统、实现和协议设计。

zk-SNARK 与 zk-STARK

zk-SNARK 和 zk-STARK 都是零知识证明系统，但两者作出了不同权衡。

zk-SNARK 通常以证明体积小和验证高效著称。

zk-STARK 通常以透明性、大型计算可扩展性和避免可信设置著称。

Ethereum 的零知识证明文档指出，zk-STARK 生成的证明通常大于 zk-SNARK，可能导致更高验证开销。

这意味着，当证明大小和链上验证成本非常重要时，zk-SNARK 可能具有吸引力。

不过，许多 zk-SNARK 系统依赖的密码学假设，相比基于哈希的系统，可能对强大未来量子计算机的抵抗力较弱。

zk-STARK 通常被描述为更具抗量子能力，因为它们通常依赖抗碰撞哈希函数。

这并不意味着某一种系统总是优于另一种。

开发者可能因紧凑证明和成熟工具选择 zk-SNARK。

开发者也可能因透明设置和不同的长期安全假设选择 zk-STARK。

最佳证明系统取决于应用需求、成本限制、安全模型和用户体验目标。

zk-SNARK 在私密交易中的应用

私密交易是 zk-SNARK 最知名的用例之一。

公链可以验证不会凭空创建币，且用户不会进行双花。

同时，zk-SNARK 可将选定交易细节隐藏起来，不对公众公开。

这在可验证性和保密性之间建立平衡。

例如，屏蔽交易可证明发送方有权使用特定资金，而无需向公众展示具体花费的是哪些资金。

根据协议设计，它还可隐藏接收方和金额。

这可保护用户免受金融监控、定向攻击、商业情报泄露和不必要的公开暴露。

隐私并不代表系统没有规则。

设计良好的 zk-SNARK 系统可在减少不必要披露的同时执行规则。

这也是许多隐私倡导者将零知识证明视为使加密货币更适用于普通金融活动的实用途径的原因。

zk-SNARK 在去中心化身份中的应用

zk-SNARK 也可支持去中心化身份。

在身份系统中，用户常需证明与自身有关的某项事实，而不泄露全部个人信息。

例如，用户可能需要证明自己达到特定年龄、属于特定群体或满足某项要求，而不披露完整身份。

zk-SNARK 可证明所需事实，同时保持额外数据私密。

这有助于减少数据泄露，因为应用无需收集超出必要范围的个人信息。

在加密货币中，这可支持保护隐私的访问控制、合规检查、投票系统、声誉工具和空投资格系统。

它还可帮助用户避免将每项链上操作与同一公开身份关联。

核心理念是选择性披露。

用户可证明所需信息，而无需披露全部信息。

zk-SNARK 在储备证明与审计中的应用

zk-SNARK 可用于储备证明和审计系统。

企业或协议可能希望证明自己满足某项财务条件，而不披露每个钱包、客户余额或内部记录。

零知识证明可帮助证明选定事实，同时保持敏感细节私密。

例如，系统可证明总资产大于总负债，而无需公开每个用户账户。

这种方法可在降低隐私风险的同时提高透明度。

然而，零知识证明本身并不能解决所有审计问题。

证明必须基于正确数据。

负债必须完整。

资产必须由提出声明的实体控制。

证明电路必须与所作声明相匹配。

这意味着基于 zk-SNARK 的审计仍需强大的数据控制、清晰的方法论和独立审查。

证明的可靠性取决于其所证明的陈述。

zk-SNARK 的优势

zk-SNARK 的第一项主要优势是隐私。

它们可证明交易或陈述有效，而无需披露全部私密信息。

第二项优势是证明体积小。

更小的证明可降低链上存储和验证成本。

第三项优势是验证速度快。

验证者检查证明的速度远快于重复完整计算。

第四项优势是可扩展性。

zk-SNARK 可帮助 Layer 2 系统批量处理大量交易并高效证明。

第五项优势是应用设计灵活。

它们可支持支付、身份、游戏、金融、治理、跨链桥和私密计算。

第六项优势是用户对数据拥有更好的控制权。

用户无需向应用提供敏感信息的完整访问权限，而可仅证明必要内容。

zk-SNARK 的局限性

第一项局限性是复杂性。

zk-SNARK 的设计、实现、审计和解释都很困难。

第二项局限性是部分证明系统中的可信设置风险。

如果需要设置且处理不当，系统可能面临严重安全问题。

第三项局限性是电路风险。

如果电路错误，证明可能会正确证明错误规则。

第四项局限性是实现风险。

证明者软件、验证者合约、钱包、跨链桥或密码学库中的漏洞可能导致真实损失。

第五项局限性是生成证明成本。

生成证明可能需要大量计算、内存和专业工程能力。

第六项局限性是用户误解。

许多用户认为“zk”始终意味着完整隐私，但部分 zk 系统主要使用证明进行扩容。

第七项局限性是元数据泄露。

即使证明隐藏核心数据，钱包行为、时间、网络信息、充值、提现或应用模式仍可能泄露线索。

应如何评估 zk-SNARK 系统的安全性

用户应询问证明系统是否需要可信设置。

用户应询问设置是通用、可更新、特定于电路，还是已完全取消。

用户应询问智能合约是否经过审计。

用户应询问证明电路是否由独立专家审查。

用户应询问系统是隐藏交易数据，还是仅证明执行正确性。

用户应询问提现是否依赖跨链桥、排序器、管理员密钥或紧急委员会。

用户应询问当运营方离线时，用户是否能安全退出。

用户应询问数据可用性如何处理。

用户应询问项目是否清晰解释其风险模型。

这些问题很重要，因为 zk-SNARK 虽然强大，但不会消除加密系统中的全部风险。

zk-SNARK 应用的整体安全性取决于密码学、软件、治理、数据可用性、托管设计和用户行为。

关于 zk-SNARK 的常见误解

一种误解是，zk-SNARK 会自动使每笔交易私密。

实际上，隐私取决于应用设计及所发布的数据。

另一种误解是，zk-SNARK 完全消除了信任需求。

它们减少某些信任假设，但用户仍可能需要信任代码质量、设置设计、跨链桥安全性、治理控制和钱包软件。

第三种误解是，zk-SNARK 只对隐私币有用。

它们也适用于扩容、身份、游戏、审计和可验证计算。

第四种误解是，更小的证明总是代表更好的系统。

小证明很有用，但安全假设、证明者成本、数据可用性和去中心化程度也同样重要。

第五种误解是，零知识技术只适合专家。

用户无需理解每项数学细节即可从使用 zk-SNARK 的应用中受益，但应了解基本风险。

zk-SNARK 与开发者

开发者通过将应用逻辑转换为适合证明的格式来使用 zk-SNARK。

这通常意味着编写定义必须证明内容的电路或程序。

电路可能检查余额、签名、Merkle 树成员资格、交易有效性、身份声明或游戏规则。

随后，证明者创建电路已被满足的证明。

验证者在链上或链下检查证明。

开发者工具已有改善，但 zk-SNARK 开发仍比普通智能合约开发复杂。

开发者必须仔细考虑约束、见证生成、证明系统、验证者成本和安全假设。

还必须测试边界情况，因为小错误可能使私密系统变得不安全，或使扩容系统产生错误。

ZKProof 倡议致力于支持行业内零知识证明标准化、互操作性和安全实践。

这种标准化很重要，因为 zk-SNARK 可能保护大量加密资产价值。

简单理解 zk-SNARK

zk-SNARK 就像证明你知道谜题的答案，却不展示答案本身。

检查证明的人可以确信你知道答案。

他们无需看到答案。

他们也不需要从头观看你解开整道谜题。

在加密货币中，谜题可能是一笔交易、余额检查、私密身份声明或一批 Layer 2 活动。

zk-SNARK 证明规则得到遵守。

区块链可以快速检查证明。

这就是 zk-SNARK 对隐私和可扩展性都很有用的原因。

它们让区块链在披露更少信息的同时验证更多内容。

FAQ

zk-SNARK 代表什么？

zk-SNARK 代表 Zero-Knowledge Succinct Non-Interactive Argument of Knowledge。

zk-SNARK 在加密货币中有什么用途？

zk-SNARK 用于证明交易、计算或私密声明有效，而不披露全部基础信息。

zk-SNARK 只用于隐私吗？

不是。zk-SNARK 可用于隐私，也用于扩容、身份、审计、游戏和可验证计算。

为什么 zk-SNARK 证明被称为简洁？

之所以称为简洁，是因为与完整计算相比，证明体积小且可快速验证。

zk-SNARK 中的非交互式是什么意思？

非交互式意味着证明者可创建验证者无需多轮通信即可检查的证明。

所有 zk-SNARK 都需要可信设置吗？

不是。部分 zk-SNARK 系统需要可信设置，而较新的设计和实现可能会降低或取消该要求。

zk-SNARK 与 zk-STARK 有何区别？

zk-SNARK 通常具有更小的证明和快速验证，而 zk-STARK 通常避免可信设置并使用不同安全假设。

zk-SNARK 能降低区块链手续费吗？

可以。在扩容系统中，zk-SNARK 可将大量交易一并证明，而非在基础链上逐笔执行，从而可能降低手续费。

zk-SNARK 安全吗？

当证明系统、电路、实现、设置、智能合约和治理模型经过谨慎设计和审计时，zk-SNARK 可以是安全的。

zk-SNARK 会隐藏钱包地址吗？

在部分注重隐私的系统中，它们可以隐藏钱包地址，但这取决于协议设计以及链上发布的数据。

初学者能使用基于 zk-SNARK 的应用吗？

可以。初学者可以使用基于 zk-SNARK 的应用，但仍应了解跨链桥风险、智能合约风险和元数据泄露等基本风险。

为什么 zk-SNARK 对 Web3 很重要？

zk-SNARK 对 Web3 很重要，因为它们可帮助应用验证真实性、保护用户数据，并更高效地扩展区块链活动。

结论

zk-SNARK 是现代加密货币中最重要的密码学工具之一。

它允许用户、应用或网络证明某件事为真，而不披露证明背后的全部私密信息。

这使 zk-SNARK 适用于私密交易、Layer 2 扩容、去中心化身份、储备证明、游戏、治理和可验证计算。

zk-SNARK 的主要优势是证明体积紧凑、验证速度快、隐私保护以及对区块链扩容的强大实用性。

主要风险包括部分系统中的可信设置假设、电路漏洞、实现错误、生成证明成本、元数据泄露和用户误解。

对加密用户而言，关键在于：zk-SNARK 可让区块链更私密、更高效，但不会自动使每个应用都安全或匿名。

zk-SNARK 系统的整体安全性取决于证明设计、数据可用性、智能合约、治理、钱包、跨链桥和审计。

随着加密应用日益先进，zk-SNARK 很可能继续成为可扩展且保护隐私的区块链基础设施未来的核心组成部分。