SHAUN:DAOrayaki Podcast ｜對話姚翔：零知識證明（ZKP）的應用場景_StarSharks

創作者：Hahaho?

審核者：Shaun

在上一期播客中，我們對零知識證明進行了詳細的溯源，姚翔老師給大家解讀了零知識證明的誕生背景，介紹了1985年那篇著名的行業論文《交互式證明系統的知識復雜性》。我們深入探討了零知識證明可能給整個行業帶來的可延展性，包括如何解決隱私問題，擴容技術對區塊鏈未來發展的重要性，ZK-STARK與ZK-SNARKs的區別，以及實現ZKP所面臨的技術難題及負面影響等。

如果您只是想對零知識證明有一個簡單的了解，相信上一期的播客已經能夠充分的幫助到您。然而，DAOrayaki社區對零知識證明的探索遠不止于此，隨著ZKP在整個行業不斷的深入發展，我們更關心這個技術在實際場景中的運用，所以，今天我們很高興再次邀請到姚翔老師，就ZKP在實際場景中的一些運用的話題。

Shaun

Hello，大家好，歡迎來到Yaki叨叨，我是主持人Shaun。

首先感謝“原語里弄”的發起人姚翔老師，在百忙之中再次做客DAOrayaki的播客，繼續跟我們普及ZKP的相關知識。

在上一期播客中，我們對零知識證明進行了詳細的溯源，姚翔老師給大家解讀了零知識證明的誕生背景，介紹了1985年那篇著名的行業論文《交互式證明系統的知識復雜性》。我們深入探討了零知識證明可能給整個行業帶來的可延展性，包括如何解決隱私問題，擴容技術對區塊鏈未來發展的重要性，ZK-STARK與ZK-SNARKs的區別，以及實現ZKP所面臨的技術難題及負面影響等。

如果您只是想對零知識證明有一個簡單的了解，相信上一期的播客已經能夠充分的幫助到您。然而，DAOrayaki社區對零知識證明的探索遠不止于此，隨著ZKP在整個行業不斷的深入發展，我們更關心這個技術在實際場景中的運用，所以，今天我們很高興再次邀請到姚翔老師，就ZKP在實際場景中的一些運用的話題，跟大家細致深入的聊一聊。

有請姚翔老師跟社區的小伙伴打個招呼。

姚翔

DAOrayaki的朋友們大家晚上好，取決于你在哪個時區哈哈哈。

Shaun

如同開篇談到的，我們在上期聊了關于ZKP的入門知識。在本期開始之前，我大致把零知識證明正在使用與未來可能使用的場景做了簡要分類，包括：擴容，隱私公鏈，通用公鏈的隱私保護，抗共謀及去中心化存儲。

Circle：USDC可提升美國經濟競爭力和國家安全利益:金色財經報道，據Circle官方博客，該USDC穩定幣發行方于4月19日參加了美國國會的《了解穩定幣在支付中的作用和立法必要性》聽證會，Circle首席戰略官兼全球政策負責人Dante Disparte表示，像USDC這樣的支付穩定幣傳輸就是以美元計價的電子現金形式，可以同步提升美國的經濟競爭力和國家安全利益。隨著時間的推移，只要美國監管框架到位，就會出現一種數字美元形式，它具有法律確定性、互聯網規模的可傳輸性、基本保護（包括發行人破產時的同等贖回權、隱私）、法治和其他關鍵特征，實現這一目標的唯一方法是美國國會頒布全面的支付穩定幣立法。[2023/4/20 14:15:26]

所以我們今天對這幾個場景，做一些深入的探討。先聊第一個場景，ZK與擴容，可能也會涵蓋ZK-EVM的部分內容。

姚翔

嚴格來說，提到的五個場景之間，并不是完全并列的關系。

其次擴容這個場景，比較特殊，因為它本身不是ZK的。也就是在擴容場景中，它沒有用到零知識的特性，它本身也不是隱私問題的解決方案；這項技術是對鏈上計算與驗證模型的調整，比如像zkSync網絡這類產品，我們稱為ZK-Rollup技術，是因為它起到了擴容的效果，但擴容又是怎么實現的呢？

我們知道區塊鏈上的狀態變化是由交易驅動的：A向B發送一筆交易的同時，會驅動狀態由當前狀態向新狀態發生變化。

在以太坊的計算模型下，狀態轉移的流程是：1、當前狀態；2、交易驅動；3、得出新的結果。其中的問題在于，計算交易的過程不是并行的，只能串行執行，這也是為什么每個區塊的交易數量是有限的：在短時間內保證每個節點將交易計算完成；當前以太坊的狀態數據規模在上百G，而產生新區塊的間隔只有13秒，如果考慮最壞的情況，13秒內沒有將交易執行完，整個網絡就永遠不可能把所有的事情驗證完，就會陷入一種危險的狀況。所以在狀態轉移過程中，“機械”的將每筆交易的串行計算，造成了很大阻礙。

而此時零知識證明起到的作用就是，從舊狀態到新狀態的跨越中，不去實際的計算交易過程，只需要簡單驗證提供的證明，節點就會確信交易存在，隨后進行狀態轉移。比如在zkSync網絡中，你可以發送Token或ETH，這是針對一種特殊類型的交易，構建的零知識證明電路，以此提高效率。它的好處也在于，從鏈的角度來說，只需要驗證不需要計算，所耗費的資源會大大減少，這是一個很大的變化或進步；但還有一點要說明的是，這實際上是構建了一個二層網絡，狀態轉移也是在二層網絡中發生的，所以需要每隔一段時間去以太坊上更新智能合約里的狀態數據。

比特幣全網未確認交易數量為8687筆:金色財經報道，BTC.com數據顯示，目前比特幣全網未確認交易數量為8687筆，全網算力為349.43 EH/s，24小時交易速率為3.52交易/s，目前全網難度為47.89 T，預測下次難度上調1.32%至48.52 T，距離調整還剩2天20小時。[2023/4/18 14:09:36]

而有關ZK-EVM，可以把它認為是一種兼容EVM的特殊類型Rollup。它之所以重要，是基于一個假定：一直以來智能合約的開發過程中所遺留下來的代碼，安全審計報告，安全運行時間等等是有極大價值的，所以大家會希望將這些有價值的智能合約可以比較容易的遷移到新的ZK-Rollup上，開發者也不必再為新的使用場景設計特定電路。

但目前來看這種方式不太可行，因為EVM最初在設計的時候沒有考慮過零知識證明，所以從算法層面等設計）對零知識證明的兼容并不是很友好。所以大家在“希望設計出比EVM更兼容零知識證明的虛擬機”和“過去的經驗積累”中，找到了一個平衡點，就是ZK-EVM。也就是State0到State1的狀態轉移過程中，只需要檢查提交的證明，同時在EVM里用Solidity寫的一個智能合約也可以正常運行的新虛擬機環境。其中的技術設計比較復雜，解決方案也有很多；但很重要，一定要提到的一點是：ZK-EVM到底證明了什么？

第一個就是程序的字節碼，即是否正確的載入了程序；第二個是要證明操作哪些數據；第三件就是具體狀態數值的改變。一旦ZK-EVM做成之后，節點在運行的時候，就不需要去重新執行交易，只需要驗證Proof是否正確，隨即執行狀態轉移。這種節點的驗證方式，比重新計算交易所消耗的時間和計算資源要小很多。所以對于單個節點來說，驗證交易的效率與可拓展性提高了，同時對以太坊的全節點來說，硬件的運行門檻也不會很高。

所以從設計上來看，ZK-Rollup本質上是計算與驗證模型的變化。

Shaun

我聽下來的理解是，結合了ZK的擴容技術，一是成本會降低，二是效率更高，最后是硬件的門檻降低？

可以這么理解，但要說明的一點是，以太坊本身是沒有變化的，這些事情只發生在ZK-Rollup一層，在以太坊上還是要去執行各種交易，只是以太坊上的交易比例會發生變化。ZK-Rollup在以太坊上就是一個或幾個一組的智能合約，管理著自己的狀態數據，假設以太坊上每個區塊里90%多的交易都是ZK-Rollup之間的交易，那么對于節點來說，它只需要考慮對這些狀態數據訪問的優化，但這種想法過于樂觀且不現實。

派盾：2千萬枚USDC從Binance轉入FTX相關地址:11月16日消息，據派盾監測（PeckShieldAlert）數據顯示，2千萬枚USDC從Binance轉入0xA107開頭地址，該地址最初的資金由與FTX互動密切的0x417a開頭地址注入。[2022/11/16 13:11:16]

所以ZK-Rollup對以太坊的擴容，和以太坊本身的驗證模型轉變，是沒有關系的；以太坊仍要全節點裝載所有數據狀態，執行交易計算，只是對于特定智能合約來說驗證門檻減輕了，這本質上是兩件事情。

Shaun

我們聊過了擴容，那想請姚老師再聊一聊，關于ZK在隱私公鏈上的應用。對我個人而言，像個人身份類的數據，都屬于隱私的部分。

姚翔

我覺得這個命題其實可以分成兩部分，首先是我們的需求是什么，其次是它是不是一定要用零知識證明來做。

首先說需求，我們都知道區塊鏈是一個公開網絡可以驗證，這里就要提到Zcash，它是在2014年提出的一條公鏈協議，也可以算是一個加強版的Bitcoin。

我們不討論共識算法或數據結構層面的問題，只考慮一個核心區別：在比特幣上，一筆交易的Sender，Receiver以及金額的信息都是公開的，且全部節點都參與驗證，UTXO模型也決定了需要驗證Output的總金額要比Input的總金額小；而Zcash并不對以上提到的這些數據開啟全部默認保護，是有一定比例的。它保護的數據包括借款人，收款人以及金額，也就是說你可以給一個人秘密的發一筆錢，在公共賬本上其他人并不能看到是誰發的，也看不到誰收的以及有多少錢。

這個功能的實現，基于它構造了一個大的匿名的集合。舉一個不太恰當的比方，與洗錢很像：想做這件事的人，共同組建一個巨大的池子，在這個池子里把自己的東西藏起來。核心在于這個池子要很大，如果只有一個人在用，再怎么保護也沒用，因為鏈上進出就一個地址，中間怎么繞都沒用，這就是Zcash的原理。而且它其實是一個非常開拓性的工作，例如ZK-SNARK的首先使用，包括Zcash的基金會也對整個零知識證明技術的發展提供了非常大的幫助。

那么再往下追問，它還能保護什么？我們能否對更一般的狀態進行保護？因為誰給誰轉多少錢這件事似乎過于簡單，一開始以太坊要做智能合約平臺，就是覺得比特幣能做的計算類型或復雜度是有限的。

數據：灰度GBTC負溢價率超40%，創歷史新低:金色財經報道，據OKLink數據顯示，灰度比特幣信托基金（GBTC）的負溢價達40.73%，創歷史新低，ETH信托負溢價為32.6%，BCH信托負溢價為16.09%，LTC信托負溢價為43.43%。[2022/11/10 12:41:45]

從動機的角度分析這件事，我們能不能對一般的狀態轉移模型，也結合零知識證明技術，現在來看這件事比較困難，而且這些鏈關心的更多是應用層面的狀態轉換，而不像Zcash一樣在底層對Sender，Receiver和金額進行保護。

第二個問題是，這件事情是不是一定要用零知識證明來做？其實也不是，比如Monero是用環簽名以及相關的技術做的，并沒有用到零知識證明技術。密碼學的技術或原語是很多的，為了實現同樣的目的可能會使用不同的技術，雖然本質思想是相似的。此外這些新公鏈與Zcash不一樣的原因，我覺得還有一個比較重要的點：就是監管的介入。監管介入后自然希望對數據有更大的控制權，最近發生的很多事情也體現了這點，而且很多項目走的是融資流程，相關內容就比較敏感了。所以這個命題很難再往下繼續推進，如果對這個問題實在感興趣，我覺得只需要了解Zcash就夠了。

Shaun

在通用公鏈上呢，最近好像也有用ZK在通用公鏈上實現隱私性的需求，在這個領域應該也有比較廣泛的應用？

姚翔

大家能看到的常見應用，應該也是最近被OFAC制裁的Tornado.cash。它相當于在以太坊上建了一個混幣器，可以將一筆錢存入池子里，同時生成一個收據，并可以隨時憑收據從池子里把錢提走，中間的關聯關系其它人也沒辦法知曉。這整個過程就是通過零知識技術來實現的，收據的作用是證明有從池中取錢的“權利”。

這整個過程中，團隊確實有很大技術上的成就，因為除了以太坊每個賬戶上面固有的ETH余額，其它ERC-20Token，是在各自Token合約里記錄的，這樣分散的狀態下很難設計一個可以同時保護借款人，收款人和金額的模型。

所以Tornado.cash寫了一個新的智能合約，將所有的Token打入智能合約里，實現一個關系的盲化。但很多Token因為要符合監管的要求，所以本身內置了對Token權限的控制：可以使一些地址禁止轉賬，甚至直接把地址的金額凍結。所以當OFAC出臺相關規則之后，像USDC第一時間把公布的地址進行了“拉黑”，地址里的錢也無法進行其它動作；但也有像DAI的類似Token，因為是去中心化代幣，它沒有保留相關控制權限。

跨鏈橋Horizon黑客地址今日凌晨再度轉出18,036枚ETH:7月1日消息，據Etherscan數據顯示，跨鏈橋Horizon黑客相關地址（0x0d04開頭）于今日00:12再度轉出18,036枚ETH至中轉地址（0x5238開頭），隨后分3筆（6,012枚ETH、6,012枚ETH及6,009枚ETH）轉出至3個不同地址，并開始轉入TornadoCash。目前該地址余額約為13,722枚ETH。

此前報道，Harmony已經開始聯合執法部門和所有交易平臺對黑客進行全球追查，與此同時，Harmony將黑客盜幣返還讓利的金額提升至1,000萬美元，并表示相關線人也可以通過提供情報獲取1,000萬美元的懸賞，最后溝通期限為北京時間7月5日07:00，逾期將不再存在協商解決機會。[2022/7/1 1:44:32]

所以可以看到，零知識證明在類似場景中實在的發揮了作用，但從監管的角度來說卻又很危險，這也是目前技術和現行法律監管制度的碰撞。

Shaun

所以在這個場景，去中心化變成了類似“偽命題”？難免要使用中心化的思路。

姚翔

從這個角度來說，這可能也是保護隱私的必然方法，簡單說就是藏葉于林，假如100個人給另外100個人轉錢，如何知道誰和誰的對應關系呢，這取決于匿名級的大小，匿名級要足夠大這件事可能才有意義。

Shaun

那您對抗共謀這個場景熟悉嗎？

姚翔

因為我自己也在做二次方籌款的相關研究，有關MACI協議大概了解一點。有趣的地方在于，它是一個經典場景下的新問題，因為在二次方籌款中，賄賂的問題會更加突顯，假如一個人想賄賂投票人，在鏈上內容公開的前提下，可以容易的證明賄賂成功；但在MACI下，類似于創建了一個假身份，投票者就無法證明真的依照了賄賂者的意愿行事，賄賂這件事就變得困難，賄賂行為雙方的“信任”無法建立。

雖然二次方籌款這個命題是成立的，但我們先回到這個經典場景中，最重要的事情其實是投票者的隱私，如果從這個角度去想，二次方籌款其實是解決兩件事，首先是投票者隱私。這只是第一步，在抗共謀的場景里，要再前進一步，即就算你想披露，也無法披露，這可以有效的防止賄賂行為的達成。

但這其中的遞進問題是：你自己無法證明你投給了誰，但假設場景是委托代表投票，這就造成了代表也無法向對他授權的人，證明他的確的執行了委托，這個方向可能會展開更多的討論。

Shaun

這個話題可能會涉及到有關去中心化身份，DAOrayaki是業內最早對MACI做跟蹤報道分析的，最近在跟行業內的人交談時，確實也會談到代理投票時的投票者身份驗證問題；所以我想，如果去中心化身份的發展能夠結合零知識證明，相關的解決方案可能會更完整一些。

姚翔

據我所知確實有一些團隊在討論基于零知識證明的可驗證憑證。如果可以在鏈上基于憑證，既不泄露相關信息，又起到驗證的作用，當然是很好。比如說我持有某個證件，我的某一個屬性又符合條件，比如我的年齡大于多少歲，或我的存款大于多少，但我又沒有泄露信息本身，這確實是可以解決很多現有問題。

但這可能也是整個行業的發展問題，零知識證明的算法和技術在目前工程的實現方面，還是一個比較小的因素。

Shaun

那接下來聊最后一個場景，去中心化存儲，可能要提到Filecoin，這也是我在看相關資料時最看不懂的。

姚翔

這個例子很有趣，大概4年前我看了相關白皮書。為什么存儲文件會涉及零知識證明呢，這和它的機制設計有關：Filecoin的設計就是要證明某個時間內存有對應的某個文件數據，這樣才能獲得相應的激勵。

這里存在一個矛盾點，就是在查詢數據的時候是要付錢的，這也暗示著數據不是公開的，但是如果不公開，某人如何證明確實存有這個數據呢？所以在整個機制的設計中，零知識證明技術的作用就是在不泄露數據的前提下，證明自己擁有數據。且每隔一段時間會有挑戰者，針對你有沒有存某一個特定數據發起挑戰，隨后接受挑戰的人，會根據存有數據生成一份一次性證明，這份證明所有人都可以驗證。

還有數據的可用性問題，冷數據實際上處于不可用狀態，這就會使得證明的生成時間與挑戰時間不對等，通過機制設計，可以確保挑戰時間內成功完成挑戰，同時查詢者又不知道數據的詳細內容。

這也使Filecoin產生了大量的硬件需求，這些硬件本身是用來對數據的存在性證明進行計算，也有圍繞著這些計算做的各種硬件與算法的優化。總的來說，這個場景的核心就是，通過整個網絡的激勵設計來向“你”證明“我”擁有某個數據。

Shaun

所以其實圍繞的核心話題還是關于隱私安全與隱私效率問題，那您怎么看待零知識證明相關的隱私安全與隱私效率問題？

姚翔

這個問題，我覺得可能需要精確一點。剛才在聊天區，我看到有一個朋友也在問：ZK-EVM有沒有保護隱私。再比如前面談到擴容的時候也提及了，在這里零知識證明不是為了保護隱私，只是給驗證狀態轉移合法性一個新工具或者說新模式。

所以現在也有一種新的東西出現，叫ZK-ZK-Rollup，有個相關項目叫Aztec，它相當于在ZK-Rollup上又實現了一層ZK，這層ZK是用來保護隱私的。所以我們討論的ZK-EVM和ZK-Rollup的ZK，嚴格來講跟零知識沒有太大關系。這也是行業早期發展過程中，約定俗成的叫法，讓很多問題有些混淆。

所以可能要更關注這件事情本身，如果它是為了解決安全問題提出的算法，那就只談論安全；在談到ZK-Rollup，就談論驗證或擴容的內容。這和場景是息息相關的，而不是用一個固定標準去評判。

Shaun

那從您目前的從業經驗來看，ZKP是否也有一些潛在的風險呢？

姚翔

從算法上來說，近些年的研究和實際應用已經有很大的進展和突破了，但總體來說，這還是一個很新的領域，出現問題是必然的。

其次是目前應用層確實存在一些狀態過熱的問題，可能是急于求成，就都在想未來能實現多么多么好的效果，但算法本身，包括構造零知識證明的思路，都有存在巨大變化的可能性。

簡單來說也是因為基礎層的創新依然在發展，所以也存在一種可能性：未來要重新設計現有的應用層或上層系統。這不是很大的問題，但我個人認為確實存在應用層過熱的現象。

Shaun

零知識證明有多種用途，并會徹底改變我們共享數據的方式以及區塊鏈的工作方式。借助數字身份和零知識證明，人們可以證明它們的年齡或公民身份，而不必放棄其身份證明文件中的敏感和有價值的數據。它還可以用于數字投票，并確保匿名投票有效且可計入。

但是，零知識技術仍然是一個令人難以置信的新事物，要成為密碼學的主要組成部分還有很長的路要走。然而，它的研究正在取得巨大進展，有朝一日可以為各種事物創建零知識證明，包括以太坊智能合約和金融應用程序。這將徹底改變我們與數據交互的方式，并導致個人隱私的復興。

DAOrayaki社區一直保持著對Web3領域前沿技術的持續，深入，跟蹤式的研究跟報道。我們在研究中發現，目前零知識證明在整個Web3領域普及化的程度還很低。尤其是在中文社區，還沒有一個成型的專業性的普及ZKP相關知識的社區。介于零知識證明這項技術，可能對行業未來發展所起到的至關重要的作用，DAOrayaki社區覺得有義務跟責任讓更多的小伙伴了解，熟悉，甚至參與到零知識證明未來的建設中來。結合Yaki叨叨dMediaPodcast平臺，由淺入深，多角度，全方位的介紹，探討，分析零知識證明的相關內容。

再次感謝姚翔老師的傾情分享，讓社區的小伙伴受益良多，謝謝姚翔老師。同時也感謝DAOrayaki社區。

今天相關討論的音頻晚些時候會上傳在DAOrayaki官網，DAOrayaki.org的專屬播客頻道里。我們也會同時發布在國內的小宇宙播客平臺，喜馬拉雅FM，全球各大流媒體平臺，例如蘋果播客、谷歌播客、YouTube以及Spotify上，歡迎大家收聽及訂閱。我們下期不見不散。

來源：金色財經

Tags：以太坊SHASHAUNAUN以太坊幣今日價格行情StarSharksshaun幣哪里能買LaunchMyNFT

ETH