zk-STARK

什么是 zk-STARK？

zk-STARK 是一种用于加密货币的零知识证明系统，可证明某项计算已被正确执行，而无需每个网络参与者重复完整计算。

zk-STARK 的全称是 Zero-Knowledge Scalable Transparent Argument of Knowledge。

在区块链系统中，zk-STARK 最常被讨论为用于扩容、安全性和可验证计算的有效性证明。

zk-STARK 可让一方——称为证明者——向另一方——称为验证者——证明一组交易或复杂计算是有效的。

验证者检查证明的速度，远快于从头执行完整计算所需的时间。

这对加密货币很有用，因为公链的区块空间有限，无法以低成本在基础层处理无限量活动。

通过将计算移至链下，并通过证明在链上验证结果，zk-STARK 可帮助区块链网络支持更多用户和更复杂的应用。

Ethereum 对零知识证明的官方说明将 ZK-STARK 描述为可扩展且透明、无需可信设置的证明系统。

StarkWare 的STARK 技术概述也将 STARK 描述为旨在实现可扩展验证的证明系统，仅依赖最少且具备后量子安全性的假设。

对加密用户而言，理解 zk-STARK 最简单的方式是：它是一种数学证据，证明与区块链相关的计算正确，而无需强制所有人手动检查全部工作。

zk-STARK 为何对加密货币重要

zk-STARK 很重要，因为区块链同时需要信任和效率。

区块链之所以有用，是因为用户无需信任中心化运营方即可验证规则。

然而，当网络处理大量交易、智能合约、代币转账、游戏、支付或去中心化金融操作时，完整验证可能变得昂贵。

zk-STARK 允许用更小的验证流程证明大型计算，从而帮助减轻这一负担。

在保持强大验证模型的同时，这可以让区块链更快、成本更低且更具可扩展性。

在许多现代区块链系统中，zk-STARK 的主要用途并非隐藏所有交易数据。

它们通常被用作有效性证明，即证明一批交易或状态更新遵循了规则。

StarkWare 在其关于使用零知识证明扩展区块链的文章中解释，许多 Layer 2 系统主要使用这些证明，以较少的验证者工作量建立交易完整性。

这一区别很重要，因为“零知识”一词可能让初学者以为 zk-STARK 只与隐私有关。

隐私是一个可能的用例，但可扩展性和可验证计算也是主要用例。

在加密基础设施中，zk-STARK 可支持 Rollup、有效性证明、可验证执行、隐私应用、基于证明的身份以及依赖高效验证的未来区块链设计。

zk-STARK 如何运作

zk-STARK 的工作原理是将计算转化为可高效检查的数学证明。

证明者首先执行计算，例如在链下处理大量区块链交易。

随后，证明者创建证明，以表明计算遵循了所需规则。

验证者检查证明，而不是重复整个计算。

如果证明有效，验证者接受结果。

如果证明无效，验证者拒绝结果。

在区块链环境中，验证者通常是基础链上的智能合约。

例如，Layer 2 网络可以在基础链之外处理大量交易，并提交 zk-STARK 证明来表明新状态有效。

基础链无需执行该批次中的每笔交易。

它只需验证证明，并在证明正确时接受状态更新。

这种设计可减少基础层所需的计算量。

它还可让区块链生态系统在仍将安全性锚定于基础链的同时处理更多活动。

从用户角度看，这可能意味着更低的手续费、更快的操作和更流畅的应用体验。

拆解 zk-STARK 名称

“zk”代表零知识。

零知识意味着证明可表明某项陈述为真，而无需披露该陈述背后的全部私密信息。

在加密货币中，这有助于保护敏感数据，但并非每个基于 zk-STARK 的系统都旨在实现完整交易隐私。

“S”代表可扩展性（Scalable）。

可扩展性意味着证明系统旨在高效处理大型计算，尤其是当计算量远大于验证任务时。

“T”代表透明（Transparent）。

透明意味着 zk-STARK 无需通过可信设置仪式生成秘密公共参数。

这是 zk-STARK 与部分较早零知识证明系统之间最重要的区别之一。

“ARK”代表知识论证（Argument of Knowledge）。

这意味着证明表明证明者掌握生成有效结果所需的信息。

StarkWare 在其STARK 技术文档中将这些部分解释为 Zero-Knowledge、Scalable、Transparent 和 Argument of Knowledge。

zk-STARK 的透明性体现在哪里？

透明性是 zk-STARK 重要的主要原因之一。

一些零知识证明系统需要可信设置。

可信设置是创建证明系统所用参数的过程。

如果设置过程中的秘密信息未被正确销毁，可能造成严重的安全风险。

这种隐藏的秘密在密码学讨论中有时被称为“有毒废料”。

zk-STARK 使用可公开验证的随机性，而非依赖秘密设置材料，因此避免了这一问题。

Ethereum 的零知识证明文档解释，ZK-STARK 使用可公开验证的随机性生成公共参数，而不是可信设置。

这种透明性可使 zk-STARK 对开放区块链系统更具吸引力。

公链旨在减少对私人主体的信任需求。

避免可信设置仪式的证明系统与这一目标高度契合。

对用户而言，透明性意味着系统不依赖于相信过去的设置仪式已被完美处理。

对开发者而言，在构建基于证明的系统时，这可降低运营和安全复杂性。

zk-STARK 与 zk-SNARK

zk-STARK 和 zk-SNARK 都是零知识证明系统，但两者作出了不同权衡。

zk-SNARK 通常生成非常小的证明，并可高效验证。

zk-STARK 通常生成较大的证明，但不需要可信设置。

Ethereum 的零知识证明指南指出，ZK-STARK 生成的证明通常比 ZK-SNARK 更大，可能带来更高的验证开销。

不过，对于非常大型的计算，zk-STARK 可能更具可扩展性。

由于依赖基于哈希的假设而非椭圆曲线假设，它们也通常被认为对未来量子计算威胁具有更强抵抗力。

这并不意味着 zk-STARK 在所有情形下都自动更好。

证明大小、验证成本、证明者时间、开发者工具、智能合约支持和应用需求都很重要。

项目在需要更小证明和成熟工具时，可能选择 zk-SNARK。

项目在重视透明性、大型计算的可扩展性以及对未来量子攻击更强的假设时，可能选择 zk-STARK。

正确选择取决于系统设计。

zk-STARK 与区块链扩容

区块链扩容是 zk-STARK 最重要的用例之一。

当用户需求上升时，许多基础层区块链会变得昂贵。

如果每个节点都必须执行每笔交易，系统可能变慢或成本高昂。

zk-STARK 允许在链下执行计算，而由基础链验证紧凑证明，从而提供帮助。

这对有效性 Rollup 等 Layer 2 系统尤其有用。

有效性 Rollup 在基础链之外处理交易，并提交状态转换有效的证明。

Starknet 在其官方网络概述中将自身描述为使用 STARK 技术，通过高级数学和密码学验证链下交易的有效性 Rollup。

在该模式中，基础链仍是结算层和安全层。

Rollup 则更高效地处理执行。

STARK 证明通过证明链下执行正确，将两层连接起来。

基础链验证证明而非直接处理每个用户操作，因此可提高吞吐量。

由于许多用户共同分摊一份证明和一次状态更新的成本，它还可降低手续费。

zk-STARK 与有效性证明

在加密货币中，zk-STARK 常被称为有效性证明。

有效性证明确认计算被正确执行。

这不同于欺诈证明模式，后者假定结果正确，除非有人提出质疑。

使用有效性证明时，结果被接受前即已证明其正确性。

这可改善最终性，因为用户无需像某些其他扩容设计那样等待较长的挑战期。

例如，Rollup 可以处理一批交易、生成 zk-STARK 证明并将该证明提交至基础链。

一旦证明得到验证，状态更新即可被视为有效并接受。

这一机制很强大，因为它改变了基础链的角色。

基础链不再必须执行每项操作。

它充当基于证明的计算验证者。

这也是许多区块链研究者将有效性证明视为大规模加密货币采用重要路径的原因之一。

zk-STARK 与隐私

zk-STARK 可以支持隐私，但隐私并非自动实现。

零知识证明可以在证明陈述为真的同时隐藏某些输入。

例如，用户可能证明自己满足某项条件，而不披露该条件背后的全部个人信息。

在区块链支付中，证明系统可帮助证明交易有效，而不公开所有交易信息。

但许多基于 zk-STARK 的扩容系统使用证明来验证正确性，而非实现完整隐私。

交易数据是否仍然可见，取决于网络设计。

因此，用户不应仅因某条链或应用使用 zk-STARK 就假定其具备隐私性。

用户应检查哪些数据公开、哪些数据隐藏，以及哪些信息仍可能通过钱包行为被关联。

对于 SEO 和用户教育而言，这是一个关键点：zk-STARK 是证明技术，本身并非隐私保证。

zk-STARK 与数据可用性

数据可用性是基于 zk-STARK 的区块链系统面临的重要问题。

有效性证明可表明状态转换正确。

但用户仍需获取足够数据，才能了解链状态、确认余额并安全提取资金。

如果交易数据或状态数据不可用，即使证明有效，用户也可能难以独立验证自身仓位。

因此，Rollup 设计必须同时考虑证明有效性和数据可用性。

zk-STARK 证明回答的是计算是否被正确执行。

数据可用性回答的是用户能否获取跟踪系统所需的信息。

强大的区块链扩容设计应清晰应对这两个问题。

用户应检查数据是发布到基础链、通过数据可用性层存储，还是由独立委员会或运营方保管。

安全模型会随答案不同而变化。

zk-STARK 的优势

zk-STARK 的第一项优势是透明性。

由于 zk-STARK 不需要可信设置，用户无需信任秘密设置材料已被正确销毁。

第二项优势是可扩展性。

zk-STARK 旨在让大型计算更容易验证。

这使其适用于 Rollup、区块链游戏、高交易量支付和复杂的去中心化应用。

第三项优势是强大的安全假设。

zk-STARK 高度依赖哈希函数，而哈希函数在密码学中已得到广泛研究。

第四项优势是可能抵抗未来量子攻击。

Ethereum 的零知识证明文档称，ZK-STARK 被认为可抵御量子计算威胁，因为它们依赖抗碰撞哈希函数。

第五项优势是广泛适用性。

zk-STARK 可应用于区块链扩容、私密计算、身份系统、可验证机器计算和基于证明的基础设施。

第六项优势是可审计性。

验证者可以检查证明，并在无需重复每个步骤的情况下增强对计算有效性的信心。

zk-STARK 的局限性

zk-STARK 的第一项局限性是证明大小。

zk-STARK 证明通常比 zk-SNARK 证明更大。

较大证明可能增加存储、带宽和链上验证成本。

第二项局限性是生成证明的复杂性。

创建 zk-STARK 证明可能需要大量计算、专用软件和优化基础设施。

第三项局限性是开发难度。

构建使用高级证明系统的应用需要密码学、编程语言、电路设计和区块链工程知识。

第四项局限性是用户困惑。

许多用户看到“zk”就认为系统具有隐私性，但许多 zk-STARK 系统主要为可扩展性而构建。

第五项局限性是基础设施集中化。

如果证明生成需要昂贵硬件或专业运营方，证明过程可能比用户预期更加中心化。

第六项局限性是某些区块链上的验证成本。

尽管验证远低于重新执行大型计算的成本，但仍会产生费用。

对于区块链应用，此成本必须与批量处理多笔交易节省的成本进行平衡。

zk-STARK 的常见用例

zk-STARK 最常见的加密用例是 Layer 2 扩容。

Layer 2 网络可使用 zk-STARK 证明来表明链下交易批次有效。

这有助于网络降低手续费、提高吞吐量，同时与基础链保持强连接。

另一个用例是可验证计算。

用户或应用可证明计算被正确执行，而无需要求每个验证者重复工作。

这可用于游戏、金融应用、拍卖、投票系统和复杂智能合约逻辑。

第三个用例是私密身份。

用户可以证明自己满足某项条件，例如达到规定年龄或属于获批群体，而无需披露不必要的个人数据。

第四个用例是合规友好型隐私。

证明可帮助用户披露选定事实，同时保持其他信息私密。

第五个用例是区块链压缩。

大量交易活动可由证明和承诺表示，而无需每个节点完整重新执行。

第六个用例是未来的基于证明的基础设施。

随着零知识研究进步，zk-STARK 可能成为可验证 AI 计算、跨链消息、去中心化身份和高性能区块链应用系统的一部分。

zk-STARK 与量子抵抗力

量子抵抗力是 zk-STARK 在加密安全讨论中受到关注的原因之一。

一些证明系统使用椭圆曲线密码学。

足够强大的量子计算机未来可能威胁某些椭圆曲线假设。

zk-STARK 不同，因为它们通常基于抗碰撞哈希函数。

这使其与依赖椭圆曲线配对的证明系统具有不同的安全特征。

Ethereum 的零知识证明文档因其依赖抗碰撞哈希，将 ZK-STARK 描述为被认为可抵御量子计算威胁。

这并不意味着每个使用 zk-STARK 的区块链系统在其设计的各个部分都完全具备抗量子能力。

钱包签名、跨链桥、智能合约和其他密码学组件可能采用不同假设。

不过，zk-STARK 通常被视为希望采用具备更强未来抵抗假设的证明技术系统的有力选择。

zk-STARK 与标准化

零知识证明系统仍是密码学中高级且快速发展的领域。

标准化很重要，因为开发者、审计师、监管机构和用户需要共同语言和最佳实践。

ZKProof Community Reference推动零知识证明开发所需的术语、示例、解释和建议。

美国国家标准与技术研究院也在其隐私增强密码学零知识证明页面中记录了其过去与 ZKProof 的合作。

这对加密货币很重要，因为证明系统可保护大量用户价值。

即使数学理念强大，薄弱的实现仍可能产生风险。

良好标准、审慎审计、开放研究和同行评审有助于降低这些风险。

随着 zk-STARK 的采用增长，安全审查和形式化方法仍将对保护用户至关重要。

zk-STARK 如何影响加密用户

大多数用户不会手动创建 zk-STARK 证明。

但在使用依赖基于证明的扩容技术的应用时，用户仍可能从 zk-STARK 中受益。

例如，用户可能在使用 STARK 证明的 Layer 2 网络上进行代币转账。

用户体验可能如同普通交易，但背后的系统正在批量处理活动并证明其正确性。

这可降低手续费，并使去中心化应用更易于使用。

用户仍应了解风险。

zk-STARK 证明不会消除所有智能合约风险。

它不会自动保证隐私。

它不会消除跨链桥风险。

它不保证排序器或运营方已完全去中心化。

它仅证明系统定义的特定计算或状态转换。

这种证明很强大，但只是更广泛区块链安全模型的一部分。

开发者如何使用 zk-STARK

开发者使用 zk-STARK 构建验证成本低于直接执行成本的系统。

这可能涉及使用适合证明的语言编写程序、将逻辑编译为中间表示、生成证明，并在链上或链下验证这些证明。

部分生态系统使用为基于 STARK 的计算设计的专用编程语言。

开发者必须仔细思考所证明的陈述是什么。

证明的价值取决于它所代表的规则。

如果程序存在漏洞，证明可能会正确证明错误的逻辑。

因此，审计、测试、形式化验证和谨慎设计十分重要。

开发者还需考虑证明时间、证明大小、验证成本、数据可用性、升级路径和用户退出机制。

在加密货币中，证明系统并非与产品设计分离。

它塑造手续费、安全性、去中心化程度和用户体验。

简单理解 zk-STARK

zk-STARK 就像老师通过一份特殊证书检查学生的最终答案，而不是阅读学生作业的每一行。

证书证明作业遵循了规则。

老师可快速验证该证书。

用区块链术语来说，学生是证明者。

老师是验证者。

作业是一项大型计算，例如数千笔交易。

证书就是 zk-STARK 证明。

这很有用，因为公链无法承受让每个节点永远重复每项繁重计算的成本。

zk-STARK 让区块链以更少工作验证更多活动。

这正是它们对加密货币可扩展性重要的原因。

FAQ

zk-STARK 代表什么？

zk-STARK 代表 Zero-Knowledge Scalable Transparent Argument of Knowledge。

zk-STARK 在加密货币中有什么用途？

zk-STARK 用于证明区块链计算或交易批次有效，而无需每个验证者重复完整计算。

zk-STARK 只用于隐私吗？

不是。zk-STARK 可以支持隐私，但在许多区块链系统中主要用于可扩展性和有效性证明。

为什么 zk-STARK 被称为透明？

它们被称为透明，是因为无需可信设置仪式来创建秘密公共参数。

zk-STARK 与 zk-SNARK 有何不同？

zk-STARK 通常具有更大的证明，但避免可信设置，并且通常被视为更适合大型计算扩展。

zk-STARK 具备抗量子能力吗？

zk-STARK 通常被认为对未来量子攻击具有更强抵抗力，因为它们依赖抗碰撞哈希函数，而非椭圆曲线配对。

zk-STARK 会让交易变得私密吗？

它们可以用于隐私系统，但网络使用 zk-STARK 技术并不意味着交易会自动私密。

什么是有效性证明？

有效性证明是一种密码学证明，表明计算或状态转换在结果被接受前已被正确执行。

为什么 Rollup 使用 zk-STARK？

Rollup 可使用 zk-STARK 证明大量链下交易已被正确处理，从而有助于降低成本并提高吞吐量。

zk-STARK 的主要弱点是什么？

主要弱点是 zk-STARK 证明通常比 zk-SNARK 证明更大，可能增加部分系统的验证和数据成本。

初学者能使用基于 zk-STARK 的应用吗？

可以。初学者无需理解所有密码学知识即可使用基于 zk-STARK 的应用，但仍应了解跨链桥风险、智能合约风险和数据可用性风险等基本风险。

为何 zk-STARK 对区块链采用很重要？

它们之所以重要，是因为可帮助区块链以更少工作验证更多计算，从而支持更低手续费、更高吞吐量和更实用的去中心化应用。

结论

zk-STARK 是现代加密货币中最重要的证明技术之一。

它允许证明者表明某项计算被正确执行，同时让验证者高效检查结果。

其主要优势是可扩展性、透明性和强大的密码学假设。

对于区块链网络，zk-STARK 可支持 Layer 2 扩容、有效性 Rollup、可验证计算和以隐私为重点的应用。

它们尤其具有价值，因为其避免可信设置仪式，并能以基于证明的方式处理大型计算。

不过，zk-STARK 也存在权衡，包括更大的证明大小、复杂开发、生成证明成本以及基础设施可能集中化。

用户应记住，zk-STARK 技术很强大，但不会自动消除加密系统中的所有风险。

基于 zk-STARK 的应用整体安全性取决于智能合约、数据可用性、跨链桥、排序器、治理、审计和具体证明设计。

随着区块链采用增长，zk-STARK 很可能继续成为加密基础设施的重要组成部分，因为它有助于解决行业最困难的问题之一：在不放弃最小化信任安全性的前提下验证更多活动。