ROLL:詳解 zk 在擴容和隱私保護賽道的投資機會 ( 二 )_ROL

零知識證明和擴容

目前來看，區塊鏈所有設計的出發點，本質都是圍繞區塊。交易構成區塊數據，共識機制決定區塊生成、驗證和順序。按照交易的角度思考，交易經過用戶私鑰簽名發起，經由網絡廣播，進入全網交易內存池，區塊構造者/MEV搜索者/定序器挑選交易，提交交易列表給區塊構造者，區塊構造者/區塊生產者向網絡提交區塊，區塊驗證者驗證區塊合法有效以后確認上鏈。按照區塊的角度思考，區塊要完成構造、提交上鏈和上鏈確認三個步驟。去中心化的設計機制，會為交易或區塊的每個環節增加全網成本和安全性，以此實現機器信任。合法的最長區塊鏈，我們稱之為主鏈/一層網絡/基層鏈/Layer1。

在軟件設計開發領域，設計模式有單一職責、設計架構有分層架構，設計原則有高內聚低耦合，這一切的理論和指導為的都是以模塊化的思想重構軟件。區塊鏈的模塊化，可以從數據可用、邏輯執行和共識機制三個主要層面進行劃分。如果將擴容對應到這三個層面，那么，分別會有數據層擴容、執行層擴容和共識層擴容。為了簡化，我們按照主鏈變動與否，分為鏈上擴容和鏈下擴容。鏈上擴容方案有增加區塊大小、分片、調整共識機制。鏈下擴容方案有隔離見證、狀態通道、側鏈、Plasma、Rollup。DeFi的爆發和NFT的盛行讓以太坊網絡的擴容需求日益激增，2021年12月，Vitalik發布了《Endgame》，描繪了以太坊的未來將會是中心化出塊、去中心化驗證以及多Rollup并存的。在Vitalik的大力支持下，Rollup成為了以太坊鏈下擴容的主流方案。在眾多的Rollup細分方案中，按照技術類型，可分為OptimisitcRollup和ZKRollup，他們之間主要的區別是交易有效性保證方案不一樣，Optimistic采用博弈的欺詐證明，ZKRollup采用數學的零知識證明。

不管是OptimisticRollup、還是ZKRollup，它們都要在繼承以太坊的安全性和數據可用性前提下，處理大量的交易和支持智能合約的通用計算。OptimisticRollup是將大量的交易數據進行壓縮，然后把壓縮以后的交易數據和狀態根提交到以太坊。另外，OptimisticRollup網絡設有挑戰者的角色，它們可以對提交到以太坊的數據進行欺詐證明，然后再經由OptimisticRollup網絡共識回滾無效的交易。至于ZKRollup，批量處理交易數據的時候，使用了零知識證明技術，在保證了交易數據有效性的基礎上，直接將證明提交到以太坊，即時達成狀態的最終一致性。在智能合約通用計算方面，OptimisticRollup是直接延用以太坊EVM，而ZKRollup的團隊要么是研發zkVM、要么是采取zkEVM的道路，所以，dApp的項目可以在OptimisticRollup無縫遷移，而在ZKRollup網絡大部分都需要做可大可小的改動。

不同種類的Rollup，設有特別的網絡參與者，ORU有提出欺詐證明的挑戰者，ZKR有進行計算和聚合零知識證明的計算證明者和聚合者。Layer2通過將二層網絡的交易批量處理以后，提交到一層網絡特定的智能合約，由此獲得一層網絡的安全性和數據可用性。此時，一層網絡的去中心化程度、區塊驗證機制都會成為二層網絡交易有效性的背書。

在Layer2網絡技術方案和架構，相比于采用博弈模型的ORU，采用零知識證明，能進行數學驗證的ZKR將更有技術優勢，只是后者發展相對緩慢，需要更多的時間，因此也有大量的項目在這個領域進行前瞻式的探索。接下來，我們將探討多個ZKR相關項目。

Starkware：基于自研STARK協議，發明Cairo電路編程語言及其zkVM的技術服務商。產品線有專用型的StarkEx和通用型的StarkNet。StarkEx定位是服務特定應用需求的二層網絡擴容引擎，已經服務不少客戶，例如Sorare、Immutable、dYdX、DeversiFi、Celer等，現在也有超過6億美金的TVL、2億多的交易量等業務數據。

StarkNet定位是通用的、可組合的、去中心化的ZKR。整個StarkNet的核心參與者：StarkNetOS、STARKProver和BlockchainDispatcher。StarkNetOS類似于EVM在以太坊的角色，承擔交易排序和交易零知識證明計算任務分派。STARKProver是交易零知識證明的證明方，負責計算證明。BlockchainDispatcher是L1/L2網絡之間通信的橋梁。

Figure1:StarkNetIntro

RabbitHole：今早推特賬戶被盜，已刪除惡意帖子并調查原因:7月6日消息，Web3鏈上操作激勵平臺RabbitHole官方表示，今早我們的推特賬戶被盜，已成功恢復對賬戶的訪問權、刪除惡意帖子并正調查原因。請始終驗證你在推特看到鏈接的真實性。[2023/7/6 22:21:35]

Figure2:StarkNetMessagingMechanismL2->L1

StarkNet官方網關StarkGate已經發布上線，會不定期開放限制額度的存取款體驗，現在橋接的資產總數大概為775個ETH。Cairo語言風格偏向Golang和Python之間，新增電路編程語言的原生類型：FieldElement，開發通用庫偏少，主要是官方提供。不支持zkEVM，也即不支持Solidity代碼的直接編譯部署，需要先通過Warp轉譯器轉成Cairo代碼再做部署，Solidity部分特性明確不支持，其中影響比較大的是SHA256。StarkNet的生態項目涵蓋錢包、DEX、DAO等多個賽道，以原生項目為主，和以太坊dApp項目重合度較低，具體可以參考官方生態網站。從區塊瀏覽器可以看到，目前沒有頻繁的交易數量，每個Block的平均交易數是115筆左右。

StarkNet發布了多次Alpha版、當前處于Constellations階段，正在研究和實現去中心化的StarkNetOS和StarkNetProver。

Figure3:StarkNetDecentralizationRoadmap

zkSync：基于PLONK協議和自研無需可信設置的、透明的RedShift協議，支持Solidity/Vyper編程的zkEVM的ZKR。zkSync1.0之前推出Zinc電路編程語言和對應的SyncVM，現在基本停滯，改為支持Solidity/Vyper編程的zkEVM，也即zkSync2.0。現在處于zkSync2.0測試網迭代階段，未來100天將會發布主網和實現zkEVM開源。除了數據上鏈的zkRollup方案，zkSync也推出數據不上鏈的zkPorter方案。zkSync2.0用Operator操作者和SystemContracts系統合約的設計完成L2到L1合約部署功能、L2/L1通信功能等。當前的Operator操作者由zkSync團隊運行，未來將進行去中心化改造。由于zkSync宣稱EVM字節碼的兼容性，且作為社區驅動型項目，zkSync獲得不少以太坊知名dApp項目方支持，例如1inch、YearnFinance、Aave、Chainlink和TheGraph等。zkSync的生態項目可以通過官方生態網站查詢，Live狀態的有錢包、衍生品交易所和橋等。從區塊瀏覽器可以看到，提交確認的區塊有接近10萬，總交易數超過1千萬，平均每個區塊交易數為100筆。zkSync2.0測試網運行約有半年，一直在進行zkEVM的實現和以太坊JSON-RPC的兼容。zkSync的2.0版本可能是最快上線的兼容zkEVM的ZKRollup，待其上線后，將很大程度上降低用戶門檻，進一步吸引用戶使用該L2網絡。

Figure4:zkSync2.0100DaystoMainnet

Scroll：原生zkEVM方案、集成ZK各項前研技術和GPU/ASIC硬件加速的ZKR。Scroll的L2網絡由Node和Roller組成，以及對應的L1上面的Bridge和Rollup智能合約。推薦大家直接閱讀官方發表的架構講解文章，非常通俗易懂。這里我們簡單說說：Sequencer接收L2交易，處理L2交易列表，構造區塊和狀態根，Coordinator監控區塊和分發區塊的執行棧給Roller，Roller計算zkEVM的電路和生成聚合電路證明，再返回給Coordinator，Coordinator通過Replayer提交到L1的Rollup合約，Replayer也承擔L1/L2通信橋的功能。由于Scroll和以太坊基金會PSE共同在隱私和擴容問題研究一年多時間，Scroll的zkEVM方案非常原生。從Scroll公開的代碼倉可以看出，zkEVM方案是與PSE一致聯動的，而L2的Node會基于以太坊Go-Ethereum實現。近期Scroll有Pre-alpha測試網的注冊。

數據：美聯儲10月實現縮表359.63億美元:11月2日消息，據美聯儲官網信息，美聯儲 10 月實現縮表 359.63 億美元，其資產總額由 8.759 萬億降至 8.723 萬億美元。[2022/11/2 12:08:43]

Figure5:ScrollArchitecture

Figure6:ScrollWorkflow

Polygon(MATIC)：最開始提出的時候是以太坊的側鏈，在轉變策略后，Polygon并購了多個L2解決方案，開始進行大范圍的擴容探索，這里我們將對其中幾個涉及zk的L2方案進行簡單的介紹。

Figure7:PolygonScalingSolutions

PolygonzkEVM：Hermez1.0采用去中心化競價模型的PoD共識機制以及ZKR做的主打支付功能L2，主網在21年3月上線，區塊瀏覽器，斷斷續續有批量產生的交易。Hermez2.0調整為zkEVM方案的L2，共識機制升級為PoE。Hermez2.0的L2架構圖如下，可以看出和Scroll的架構很類似，我們就不再復述L2各方角色交互的基本流程和作用。在zkEVM發揮核心作用的是zkProver，我們一塊看看zkProver的內部組成。zkEVM以多項式形式表達狀態流轉。

Figure8:SkeletalOverviewofzkEVM

zkProver內部包含MainStateMachineExecutor，SecondaryStateMachines，STARKBuilder和SNARKBuilder，括號為另一種理解方式，參考圖。

1.MainStateMachineExecutor：是將交易的EVM字節碼用zkASM進行解釋和設置多項式約束，與此同時，PolynomialIdentityLanguage用于編碼多項式約束。

2.SecondaryStateMachines：將zkEVM的交易對應的狀態流轉進行拆分，用對應多個狀態機去計算和驗證交易的正確性。

3.STARKProofBuidler：計算生成符合STARK多項式約束的證明。

4.SNARKProofBuilder：計算STARK的SNARK證明，PLONK/Groth16暫定。

Figure9:ASimplifiedzkProverDiagram

Figure10:SimplifiedDataFlowinthezkProver

至于HermezzkASM/PIL等介紹，都可以在官方資料文檔看到，很齊全，并且各個功能模塊的代碼倉已經開源且有持續維護。

Figure11:PolygonzkEVMOpenSource

概括而言，Hermez2.0是結合PlonkupLookup、Starkware的STARK協議，采用新匯編方案實現的zkEVM型、PoE共識去中心化的L2。計劃2022年Q3發布測試網，2023年發布主網。

PolygonZero：基于Plonk協議和FRI技術的自研Plonky2，zkEVM兼容的L2。Polygon花費4億美元收購的Mir項目更名而來。Zero的資料主要是在Mir的官網和Polygon的博客查看。Zero宣稱的特點是支持遞歸、高效快速、證明大小很小。項目代碼倉一直在更新，且其中包含evm的模塊。由于資料較少且時間久遠，暫時不清楚Zero未來的路線，目前來看，Plonky2的架構可能更偏向于技術服務型的框架，近期宣布開源Plonky2。

OpenSea首席財務官Brian Roberts宣布已辭職:10月8日消息，OpenSea首席財務官Brian Roberts宣布已辭職，并補充說他仍然看好Web3應用程序的未來，尤其是OpenSea及其未來的市場政策。此外，Roberts還確認，他將在未來繼續擔任OpenSea的顧問。（Ethereum World News）[2022/10/9 12:49:57]

Figure12:PolygonZeroProcessingABlock

PolygonMiden：基于STARK協議，支持多語言開發、兼容EVM，推出電路編程語言MidenAssembly匯編及其MidenVM的L2。MidenVM是DistaffVM的進化版，集成了Facebook開源的證明系統庫Winterfell。從官網的架構圖，Miden有Operator的設計，但這部分內容、EVM兼容和L2路線和進展都沒找到任何官方資料文檔。Miden現在的代碼倉以VM為主，兼容EVM部分也沒有看到說明和實現方案。

Figure13:PolygonMidenIntro

PolygonNightfall：主打隱私的、混合了Optimistic和ZK兩種Rollup方式的企業級L2。本質依然是ORU的L2，但是結合了ZKP的技術加強隱私保護。Nightfall是由安永公司創建，與Polygon合作是為了在企業級區塊鏈方面進行更多的探索。主網計劃在2022年發布。

Figure14:PolygonNightfallIntro

Mina：除了L2，還有一些項目基于ZKP對L1進行擴容上的探索，比如Mina，一個基于遞歸SNARK開發的輕量級區塊鏈。整個區塊鏈網絡維護最新區塊的SNARK證明即可保證整個區塊鏈的正確性，大小維持在22KB。網絡有維護完整數據的ArchiveNode，執行共識機制生產區塊的出塊者和處理零知識證明計算的SNARK生產者。Mina提出用TypeScript編寫的zkApp，如果要實現對應zkApp業務邏輯，需要開發者實現內部的Prover和Verifier函數。Mina主網在2021年3月發布上線，網絡架構和L2的批量交易類似，ArchiveNode相當于數據可用層的維護者，出塊者相當于定序器，SNARK生產者類似于Scroll的Roller、Hermez2.0的zkProver角色，但是zkApp的應用定位比較局限，既沒有zkVM的通用性，也不支持zkEVM。后續可以繼續跟進Mina的zkApp迭代進展。

綜上，ZK在擴容領域的技術發展依然在如火如荼進行中，尤其是zkEVM的實現，L2網絡架構的實現和去中心化改造。從ETHGasstation近30天前二十燃燒Gas合約大戶來看，主要是Opensea、DeversiFi、Uniswap、USDT、USDC、MetamaskSwap、AxieInfinity、NFTWorlds等項目。L2要想得到廣泛應用，必須獲得這些DEX、NFT的MarketPlace、GameFi，以及金融衍生品等具有高頻交易場景的項目支持。盡管部分L2項目的生態處于領先，但是，zkEVM的落地，很有可能實現彎道超車，導致L2賽道的重新洗牌。zkEVM的落地有利于吸引L1現有項目的遷移，很多Web3開發者也正摩拳擦掌，期待在以太坊網絡上構建更大規模、更高頻交互的顛覆性產品。

零知識證明和隱私

如果說Web3代表著個體主權的覺醒，那么，隱私將是Web3不可或缺的一環。隨著行業的發展，DeFi的可組合性和NFT給社交帶來的變化，都讓我們越發感受到了資產所有權相對于中心化托管的安全和便利，而鏈上完全透明的信息則進一步激發了我們對隱私保護的需求。但面對各個國家不斷升級的監管政策，隱私保護怎么做，做到什么程度，則是一個值得討論的問題。

近期，美國財政部出臺政策直接對以太坊生態的隱私支付平臺TornadoCash進行制裁，進而導致與TornadoCash交互過的地址被USDC發行商Circle拉入黑名單，以及Tornado網站頁面、代碼倉Github、官方電報、官方Discord等一并關停。我們認為，人人都有保護自己隱私的訴求和權力，隱私產品的濫用并不意味著它們自身帶有原罪，隱私產品的設計初衷是在于保護用戶常規的轉賬支付隱私。不可否認，不法分子/黑客對其的使用的確帶來很多問題，但關鍵并不是取締隱私產品，而是努力尋找辦法兼顧隱私和合法合規，例如ZCash對于全球AML/CFT反洗錢標準的兼容嘗試以及TornadoCash提供的資產合規證明工具。

區塊鏈安全公司BlockSec完成近5000萬元人民幣天使+輪融資:7月6日消息，區塊鏈安全公司安節科技BlockSec完成近5000萬元人民幣天使+輪融資本輪融資由綠洲資本和經緯創投共同領投，Mirana Ventures、CoinSummer 和YM Capital跟投。融資后，BlockSec未來將擴展團隊和擴大業務，將新的安全技術轉換成產品，為區塊鏈提供安全基礎架構。（36kr）[2022/7/6 1:53:36]

現在加密行業里涉及的隱私實現方案，因為各自的使用場景不同，選用的方案也有不少差異，主要涉及到的有以下6類：

1，混幣CoinJoin/混幣器Mixer：主要是用于隱匿支付，基于UTXO模型，本質是創作多筆相同的輸入和輸出的代幣轉賬來達到隱匿支付。可以在一定程度實現隱匿支付。不過，如果真要地址分析和控制，大不了是控制全部輸出的取款地址即可。為了克服混幣方案的問題，達世幣是提出隱私支付層的概念，讓隱私支付層參與存款地址的混合，以及減少存取地址之間的關聯。Tornado則是結合ZKP切斷存取地址之間的關聯。

2，環簽名：多個地址組成環，環內某個地址的簽名可以不依賴其他地址即觸發環簽名，以及實現環內地址簽名的隱私性。門羅幣最早的方案。

3，同態加密：直接對密文進行計算和輸出結果。我們認為該項技術屬于前沿型技術，和零知識證明類似，但是對于密文操作的開銷非常大。現在在這個技術方向探索的有PolychainCapital和CoinbaseVentures投資的Sunscreen。

4，安全多方計算：在沒有可信第三方參與的前提下，讓多個參與方可以安全不泄露地進行計算。萬向區塊鏈董事長肖風博士發起的PlatON在這方面有比較長時間的研究使用。

5，TEE：可信執行環境，類似于黑盒子的概念，將輸入傳入TEE，然后TEE執行出結果以后，加密輸出。現有使用該項技術的主要是Oasis和SecretNetwork。

6，ZKP：利用零知識證明技術實現隱私支付和隱私通用計算。隱私支付的新項目有IronFish，PoW網絡+UTXO模型+Groth16的zk-SNARK，和ZCash的設計很相似，沒有提到是否支持隱私編程。隱私通用計算項目最出名的是Aleo、Aztec和Espresso。

講完基本的實現方案，我們挑選一些涉及到零知識證明的項目展開學習和分析。

TornadoCash：我們經常看到的介紹是，用戶向Tornado存款，取得存款憑證，然后在取款的時候，任意用戶使用存款憑證即可取出資金，如此實現的隱私支付交易。這樣的說明是從使用體驗角度出發的，但是，并沒有深入到Tornado的內核。Tornado實現隱私的技術有兩點：混淆資金進出的整存整取資金池，切斷存取地址關聯的ZKP。

混幣池相對容易理解，所以，我們將分析重心放在ZKP。由于現在Tornado的前端網站和代碼倉都關停，難以找到官方的資料，所以，我們直接從鏈上交易和合約代碼進行分析，用戶實際與Tornado要做的操作只有兩種：存款和取款。這都是通過TornadoCash的路由合約進行，路由合約會調用具體存取金額的合約。存款操作Tornado返回用戶Note，向鏈上提交Commitment。取款操作向鏈上提交Proof、Root、NullifierHash。這幾個參數，它們由Tornado的中心化代碼構造生成，是理解ZKP使用的關鍵。

我們將Tornado類比為一個負責存取款的銀行，以太坊類比為公開的金庫，即可較為容易地理解用戶在Tornado的操作步驟：

1，存款：用戶填寫存款單據，銀行使用單一專門的保險箱保管存款單據，并且根據隨機編號生成兩個密碼，一個密碼用于給保險箱上鎖，一個密碼用于記錄資金的存取狀態，然后，將上鎖的、具有資金存取狀態的保險箱放入公開金庫的某個秘密隨機位置。銀行將保險箱、隨機編號和保險箱存放位置信息返回用戶；

2，取款：用戶把隨機編號和保險箱存放位置告訴銀行，銀行可以通過計算得知：保險箱的秘密隨機位置，資金的存取狀態，以及保險箱的開鎖密碼。一切檢查驗證無誤的情況下，完成取款以及更新資金存取狀態；

通過Mixer混幣器和零知識證明，Tornado在以太坊主網上實現了隱私支付的功能，且在發行代幣后，TVL達到了10億美金的體量，可見其巨大的影響力和用戶需求。

Figure15:TornadoCashTVLandMarketCap

Aztec：主打隱私保護和隱私資產互操作性的zk-RollupLayer2網絡，采用自主研發的Plonk協議，推出了zk.money隱私支付產品，近期推出連接橋AztecConnect，未來將會推出PlonkRollup的擴容二層網絡。在PlonkRollup二層網絡里，將會推出電路編程語言Noir支持隱私智能合約。Plonk協議需要進行可信設置，不過，Aztec采用了MPC解決可信設置。MPC的可信設置是讓多個值得信賴的公眾知名人士共同去背書。Aztec在2020年1月用點火儀式完成了MPC的可信設置。產品的迭代路線是逐層推進的，從早期的zk.money，到近期的AztecConnect，以及未來的PlonkRollup，Aztec團隊在一步一步地完善自己的產品定位，以及對應Plonk協議的調整和優化。在Aztec1.0時期對于Aztec協議做了大幅的介紹，現在是Aztec2.0時期，官網找不到太多網絡整體的設計，所以，我們沿用Aztec1.0的文檔進行學習。

以太坊L2網絡總鎖倉量為48億美元:金色財經消息，L2BEAT數據顯示，截至5月25日，以太坊Layer2上總鎖倉量為48億美元。其中鎖倉量最高的為擴容方案Arbitrum，約26.5億美元，占比55.19%。其次是dYdX，鎖倉量9.44億美元，占比19.65%。Optimism占據第三，鎖倉量4.92億美元，占比10.24%。[2022/5/25 3:41:34]

zkAsset：隱私資產，于EIP1724提出，用于將以太坊公開透明的資產轉為隱私資產，通過零知識證明確認資產轉入Note注冊表以后會鑄造對應的zkAsset，類似于Secret的Shield資產。

AztecCryptographyEngine：將證明分發給驗證和根據證明驗證結果更新Note注冊表的狀態。

各種Validator：驗證者工具，可以讓開發者集成做隱私資產的互操作。例如：JoinSplit可以拆分合并Note。

Figure16:Aztec1.0Architecture

在2021年6月上線后，Aztec的TVL峰值一度到達1400萬美金，而現在穩定在400萬美金左右。相比于Tornado的體量，Layer2的隱私網絡受眾似乎要小很多，一定程度上可能受制于其更高的門檻。且受Tornado事件的影響，與以太坊主網產生交互的其他隱私產品也受到了一些牽連，這可能是日后需要開發者們探討的問題。

Aleo：Aleo是為用戶和交易增加隱私功能，同時兼顧可編程性的新型Layer1區塊鏈網絡，內置的SnarkOS，類似于EVM的角色。提出ZEXE的概念，和TEE的定義很相似，只是用零知識證明去實現。具有可選的隱私模型，對開發者提供一整套的開發工具鏈。Leo語言，AleoStudio、AleoPackageManager。最新激勵測試網從單純的PoW共識調整為PoSW，將零知識證明的計算轉移成為出塊的條件。現在在Aleo的區塊鏈瀏覽器可以查看驗證狀態的轉變、以及對交易記錄進行零知識證明計算的Proof。

Figure17:TheFutureofZeroKnowledgewithAleo

Espresso：對于Aleo和Aztec各自的特點都有所研究和改進，基于ZKRollup的L2和可配置資產隱私的L1雙層網絡。可配置隱私資產允許資產創建者設置資產的收發地址、收發數量、持有數量等的隱私查看規則和資產凍結規則。對于ZEXE的概念提出自己的VERI-ZEXE，對于Aztec的TurboPlonk和UltraPlonk提出自己優化版的PLONK，并將Rust實現版代碼命名為Jellyfish和開源。當前，Espresso的L1網絡正在研發。可配置資產隱私在以太坊測試網內測，或者可以通過官網安裝包進行本地體驗。

Figure18:EspressoSystemsConfigurableAssetPrivacyforEthereum

Zecrey：雙層網絡，支持多鏈ZKR的L2、以及具有跨鏈功能和隱私保護的L1，但是不支持zkEVM/zkVM。L1的隱私是基于BulletProofs協議改良版/Sigma協議的混淆資金池，直接在公鏈層面向用戶提供隱私轉賬和隱私交易的功能。L2的ZKR使用的是PLONK協議。參考官方白皮書的架構圖，有一大部分是L1/L2進行ZKR的設計，我們拿出來分析學習。

Layer-2Commiter：收集交易和構造L2區塊。

BlockMonitor：L2區塊狀態更新者。

ProverNetwork：L2交易Rollup之后，進行ZKP證明的計算網絡。

TSS-basedVerifierNetwork：驗證者網絡，將收集ProverNetwork的證明，然后提交到L1的智能合約。

TxMonitor/Layer-2StateMonitor/Executor：L1/L2的橋。

L2到L1進行ZKR的時序設計基本一致，部分角色命名和分工略有不同：

Committer收集交易，構造L2區塊，ProverNetwork監聽區塊，為Committed狀態的區塊計算證明，TSS-basedVerifierNetwork收集證明，將證明提交到L1的智能合約，BlockMonitor監聽L1區塊打包情況，確認后更新L2區塊狀態。

Zecrey現在處于測試網研發階段，已經集成Ethereum、Polygon、NEAR、Avalanche和BSC五個公鏈測試。從官網路線圖看，2022年Q3將會發布主網。

Figure19:ZecreySystemArchitecture

MantaNetwork：波卡生態的包含多資產隱私支付協議和AMM隱私交易協議的DeFi隱私協議棧。參考官方的架構圖，可以作為波卡生態各個平行鏈的隱私中轉站。具體隱私方案分別是：基于Zcash的UTXO隱私支付模型，增加了多資產的支持以及隱私支付通道的技術。使用類似ZEXE的方案實現AMM隱私交易，內置了零知識證明的電路。

Figure20:MantaArchitecture(ImplementedasaParachain)

AnomaNetwork：以Intent為中心、有可組合性的隱私保護，可以去中心化發現對手方、解決多鏈原子結算交易的一層網絡。Anoma架構是參考Cosmos的，使用TendermintBFT共識機制，首個主權獨立鏈是Namada。我們用訂單薄的交易所類比理解Anoma。Anoma的Intent相當于用戶的掛單，掛單可以公開、隱藏或者加密，掛單需要由Anoma的Solver進行撮合結算，撮合成功的掛單形成Anoma的交易。Anoma提出自己的AnomaVM，對應高級函數式編程語言Juvix和VampIR電路編程語言，AnomaVM內置支持ZKP電路生成和FHE。

Figure21:Thelifecycleofatransparent,shielded,andprivateintentintheAnomaarchitecture

IronFish：基于Zcash的Sapling協議，以PoW作為共識的隱私支付公鏈。進行了多輪激勵測試網，預計2022年Q4上線主網。

基于以上項目的信息，我們可以看到，在隱私保護的領域，零知識證明主要應用在隱私支付和隱私網絡的場景中，且大多并非單獨使用，而是結合了Mixer，TEE，MPC等其他隱私保護的技術。

Figure22:Web3PrivacyEcosystem

隱私保護賽道依然有不少的項目在探索研發，尤其是最終面向用戶的隱私應用方向，結合DeFi、NFT等應用場景，還有很多延伸的空間，我們也就不一一列舉。回到最初的話題，隱私產品的出現是基于用戶的需求，當我們朝著Web3前進時，無論是基于區塊鏈的去中心化金融體系，還是未來Web3的社交場景，我們都希望能夠把更多的鏈下行為置于鏈上，那對于用戶隱私保護的需求就會越發強烈。在眾多隱私保護解決方案中，ZKP扮演著重要的作用，這也是我們去深度研究的原因。

零知識證明的投資方向

在前面的章節，我們花了較多的篇幅整理和學習了零知識證明在擴容和隱私方向的項目，零知識證明相關的擴容和隱私項目在一級市場也獲得了資本的青睞，我們對這兩個賽道項目的公開融資數據進行整理，分別如下兩圖：

Figure23:ZeroKnowledgeInvestmentsInScaling

Figure24:ZeroKnowledgeInvestmentsinPrivacyProtection

可以看出，ZK擴容項目估值最高的是Starkware，高達80億，ZK隱私項目最高的是Aleo，估值14.5億。考慮到項目在隱私和擴容敘事可以并行出發，甚至一些隱私項目是雙層網絡，所以，難以比較兩個賽道的平均融資金額。單從最高估值而言，擴容賽道在一級市場的認可度是高于隱私賽道。擴容賽道之中，在協議、電路語言、zkVM和服務項目等多方面有優勢的Starkware無疑是資本市場的寵兒。另外，其他主打zkEVM兼容的擴容項目，也同樣獲得資本市場的熱愛。隱私賽道之中，在電路語言、開發者工具鏈等方面有優勢的Aleo比起研發PLONK和PLookup技術的Aztec更為吃香，也側面說明資本市場對于商業落地型項目的偏重。

二級市場方面，由于幣價波動較大，ATH的流動性基本不足，我們簡單參考FDV的區間。ZKR型擴容項目暫未發幣，我們借用項目Optimism進行對標，OP的FDV是20億到95億；而在隱私保護賽道，ZCash在15億到45億之間，Oasis在7億到59億之間，Tornado的FDV則從剛上線時的30億，一路下跌到現在僅9000萬。由此可以看出二級市場對于擴容賽道項目的認可，基本和公鏈處于同一個層級，而對于隱私賽道則相對比較保守。

由于ZK這項技術在學術研究層面不斷創新突破，在工程實踐層面也不斷推進落地，因此，投資機構一直都非常鐘愛和熱衷。不僅如此，除了本文提到的兩個主要賽道，ZK也可以用于其他場景，例如輕量區塊鏈、去中心化身份和隱私預言機網絡。從眾多知名ZK項目之中，我們觀察到這些不同的項目發展路線和生態發展路線，或多或少都是在構建二層的公鏈。與公鏈的研發技術棧類似，ZK項目涉及的技術棧依然涵蓋方方面面：零知識證明協議、電路編程語言、語言應用庫/包、語言開發調試工具鏈、zkVM/zkEVM設計實現、去中心化共識機制等。

在面對使用零知識證明的擴容和隱私項目時，我們提煉了一些簡單的思考列表，匯總如下，用于和項目溝通交流學習。

1，不同的零知識證明協議有各自的優缺點，出于什么考慮進行選擇？

2，假設是zkVM型項目，要怎么高效、安全地設計開發者友好的電路編程語言？

3，假設是zkVM型項目，如何搭建一套開發者生態的工具鏈產品？

4，假設是zkEVM項目，是否支持EVM鏈的智能合約無縫遷移，對于跨合約之間的調用是否有限制？

5，ZK計算Proof的時候，怎樣可以采用FPGA/GPU等硬件進行加速？

6，項目之中，Prover和Verifier都承擔什么作用，是否中心化控制，未來是否有去中心化的設計變化？

7，…共識機制，代幣經濟設計，合規性設計等其他問題

零知識證明作為亟需沉淀的高新技術，非一日之功，資本的迅速入場并不能帶來基礎技術的迅速發展。因此，項目標的的選擇上面，我們會傾向于尋找當下成熟ZK項目的生態項目或者實力強勁的學術型研究組織。比特幣是點對點的電子現金支付系統，以太坊是智能合約的世界計算機，彷佛一切都那么相似，ZKP起源于支付領域的探索，正逐步朝著通用計算的領域發展。作為加密行業的用戶和參與者，我們期待看到更多優秀的ZKP項目涌現，如果你有任何好的想法，也歡迎隨時跟我們溝通聯系。

參考鏈接

https://mirror.xyz/0x8C4d5E90196325FB22Fff37C97D7984a37e51D11/dhOEzNXqotPftpjf2gh7Hz7qZwu3lQRWYmlE_sSe7is全景式解讀Web3隱私賽道現狀、演變邏輯與典型玩家|鏈捕手

https://docs.starknet.io/docs/intro

https://v2-docs.zksync.io/dev/

https://scroll.mirror.xyz/nDAbJbSIJdQIWqp9kn8J0MVS4s6pYBwHmK7keidQs-k

https://docs.hermez.io/zkEVM/Overview/Overview/

https://mirprotocol.org/blog/Scalability-on-Mir

https://aztec-protocol.gitbook.io/zkproofs-proposal/

https://docsend.com/view/ntcsmt7meu84gcqkZecrey:ATurn-keySolutionforCross-chainandPrivacy

https://eprint.iacr.org/2021/743.pdfMANTA:aPlugandPlayPrivateDeFiStack

https://betterprogramming.pub/understanding-zero-knowledge-proofs-through-the-source-code-of-tornado-cash-41d335c5475f

https://github.com/anoma/whitepaper/blob/main/whitepaper.pdfAnoma:aunifiedarchitectureforfull-stackdecentralizedapplications

Tags：ROLLROLARKSTABankRollroll幣能出泰沙拉克嗎Deutsche eMarkNFT-Starter

SHIB最新價格