Amber Group: 需要加速的零知識證明

1.簡介

零知識證明允許一方在不透露任何額外信息的情況下向另一方證明給定的聲明是正確的。它自然可以用來保護隱私，在隱藏所有細節的情況下證明某些交易是有效的。某些特定零知識證明協議的另一個重要屬性是可以高效地驗證零知識證明。他們的證明規模很小，因此驗證這類證明要快得多。這兩個屬性都非常適合資源受限的區塊鏈，并且對加密行業的擴展瓶頸尤為重要。除此之外，零知識證明技術的其他用例包括：

跨鏈橋—使用零知識證明驗證狀態轉換或交易有效性，例如AlograndASP、Mystiko去中心化身份—在不泄露詳細信息的情況下證明某些賬戶或實體具有某些“特征”，例如Sismo、FirstBatch社區治理—匿名投票，經過實戰檢驗和廣泛采用后可以擴展到現實生活中的治理財務報表—實體可以證明他們符合某些特定標準而無需透露實際的財務數據云服務的完整性—云服務提供商正確地執行了任務一個典型的ZK系統的工作原理如下：工程師首先用領域特定語言寫出要驗證的聲明，然后將其編譯為ZK友好的形式，例如算術電路。使用這種形式生成參數后，證明系統將它們與它見證的秘密一起作為輸入來計算證明。驗證者可以使用參數和證明通過相對簡單的計算來決定是否接受。具體來說，對于ZKrollup來說，程序或合約本身部署在Layer2上，編譯、參數和證明生成將由一些Layer2節點在鏈下執行，證明將在以太坊主網上發布和驗證。

一個典型的ZK系統

資料來源：ZKWhiteboardSessions—ModuleOne，DanBoneh教授

目前已經開發出了多個優秀的證明系統，如Marlin、Plonky2、Halo2等。不同的證明系統在證明大小、驗證時長和可信設置的必要性之間做了不同的權衡。經過幾年的探索，無論多么復雜的聲明，都可以做到常數級的證明大小和驗證時長。然而，證明生成的復雜度仍然幾乎與運算電路的大小線性相關，這可能是原始任務的數百倍。這是因為證明者至少需要讀取和計算電路，需要的時間在幾秒到幾分鐘甚至幾小時。較高的計算成本和較長的證明生成時間過去一直是，并且預計仍將是零知識證明技術大規模采用和發展的主要障礙。硬件加速可以用來解決這個瓶頸。通過將多個任務分配給最適合的硬件，和算法或軟件優化相輔相成。本報告旨在幫助了解硬件加速的市場格局、其與之前的挖礦市場的不同之處以及潛在機會。報告由三部分組成：

不同項目和新興趨勢的用例。基于GPU、FPGA、ASIC加速設計的解決方案。結束語2.用例

詳細闡述零知識證明的用例，將有助于說明市場是如何演變的。不同類型的用例有不同的需求，這將動態影響硬件解決方案的供應。在本節末尾，我們還簡單比較了零知識證明和工作量證明。

2.1新興公鏈及其差異化需求

目前對硬件加速的需求以使用零知識技術的新興公鏈為主，大致可分為擴容解決方案和隱私區塊鏈。ZKrollups或Volitions在主網上執行交易，并通過“calldata”方法提交簡潔的有效性證明。隱私區塊鏈使用零知識證明來確保用戶發起的交易有效，而且無需公開披露交易細節。這些區塊鏈使用不同的證明系統來權衡證明大小、驗證時長、可信設置等。例如，Plonk生成的證明具有常數級的較小證明規模和驗證時長，但仍需要全局的可信設置。相比之下，Stark系統不需要可信設置，但其證明規模更大，驗證時長更長，并且會隨著電路規模的增加而增加。其他系統有不同的權衡。結果是，這些證明系統的選擇將導致計算工作量的“重心”發生變化。更具體地說，現在的證明系統通常可以描述為多項式交互式諭示證明+多項式承諾方案。前者可以看作是證明者說服驗證者時約定的程序，后者在數學上確保程序不會被攻擊。打個比方，PCS是槍，PIOP是子彈。項目方可以修改PIOP以滿足自己的需要，并從不同的PCS中進行選擇。來自Paradigm的GeorgiosKonstantopoulos，在他關于硬件加速的報告中解釋道，用于證明生成的時間主要用于兩種類型的計算任務：多標量乘法和快速傅里葉變換。但是構建不同的PIOP，從不同的PCS中進行選擇，會帶來不同的FFT/MSM工作量占比。Stark是一個極端例子，Stark使用的PCS是FRI，是基于RS編碼的，而不是KZG或IPA使用的橢圓曲線，因此證明生成過程中完全沒有涉及MSM。我們在下面展示了不同證明系統的工作量比例的大致順序，但需要注意的是1)很難估計整個系統的精確比例；2）項目方在實現時通常會對證明系統進行修改。不同證明系統的工作量比例

Matrixport：比特幣礦工可能以28000美元的價位出售其挖礦產出:6月2日消息，加密貨幣服務提供商Matrixport最新報告表示，比特幣在28000美元價格上方臨拋壓，或由比特幣礦工所致。Matrixport在報告中表示，由于比特幣礦工近幾周利潤率壓縮，懷疑其將被迫清算任何新產出的比特幣。[2023/6/2 11:54:46]

請注意，從技術上講，Snark和Snark是無法比較的概念。Snark是指一類滿足某些特定特性的證明系統，而Stark通常是指Starware最初于2018年開發的證明系統。

這將直接影響項目方對硬件類型的偏好。現在使用最廣泛的硬件是GPU，因為供應量大且開發方便。此外，MSM的并行化計算非常方便，適合GPU的多核結構。然而，正如我們將在第二部分詳細闡述的那樣，現場可編程門陣列可能更擅長處理FFT。使用Stark的項目，例如Starknet和Hermez，可能比其他項目更需要FPGA。從上面得出的另一個結論是，這項技術仍處于早期階段，缺乏標準化或主流的解決方案。完全致力于某些特定算法的ASIC也可能為時過早。因此，開發人員正在探索一個中間地帶，我們稍后將會對此進行更多解釋。

2.2趨勢與新范式

2.2.1更復雜的聲明

延續我們在開頭列出的用例，我們應該期待出現針對加密行業和現實世界的多種用途和更復雜的證明。其中一些甚至不必遵循現有的證明系統。他們可以開發最適合他們需求的新原語，而不是遵循PIOP和PCS的用法。在多方計算等其他領域，將ZK協議集成到部分工作中將大大提高其實用性。以太坊最近還計劃舉行KZG設置儀式，作為Proto-Danksharding和未來的Danksharding的準備工作的一部分，處理數據可用性采樣。即使是optimisticrollups，也可能有一天會采用零知識證明以獲得更好的安全性和更短的爭議周期。雖然許多人可能將零知識證明視為更廣泛的加密行業中的一個獨立部分，但我們認為正確的思路是將零知識證明視為一種可以解決多個痛點的技術。反過來，硬件加速將需要更大的靈活性和通用性來服務于不同的系統和用戶。

2.2.2本地生成的證明

用于隱私而非壓縮信息的零知識證明具有明顯的結構差異。為了隱藏交易細節，在證明過程中會涉及一些隨機數。用戶將需要在本地生成證明，但他們中的大多數人沒有先進的硬件。更糟糕的是，如果大多數dapps仍然是端應用程序，則需要在瀏覽器中生成證明，這需要更長的時間。例如，當Manta開始為WASM構建高性能證明者時，他們很快意識到“與本機速度相比，WASM給用戶帶來了10-15倍的性能損失”。為了解決這個問題，他們選擇成為最大的零知識證明加速競賽之一，ZPrize的贊助商和架構者，并設立了WASM加速的特定賽道。客戶端版本對于這些應用程序來說是一個更簡單的解決方案，但下載過程會將大部分的潛在用戶拒之門外，并且它不適用于當前的插件錢包或其他工具。另一種方法是部分外包證明生成。PratyushMishra在ZKSummit7期間提出了這種方法。用戶首先執行一些輕量級計算，然后向幾個第三方提供公開聲明和加密后的見證，這些第三方接管并完成剩下的證明。按照這種方法，只要其中一方是誠實的，用戶的隱私就不會泄露。它結合了零知識協議和MPC使用的一些工具。或者，用戶可以用帶寬換計算：首先生成一個大規模的證明，將其發送給第三方，第三方將其進行壓縮并發布到鏈上。

Onramp推出使用多重簽名功能的比特幣信托:金色財經報道，比特幣金融服務公司 Onramp 為高凈值投資者推出現貨比特幣信托，它利用多重簽名來實現多方托管，一組獨立的托管人各自持有一把私鑰。信托的每個單位將相當于一個比特幣，客戶將能夠處理實物贖回，他們贖回標的資產（比特幣）而不會觸發應稅事件。[2023/4/14 14:04:54]

外包證明生成

資料來源：ZeroKnowledgeSummit7,Aleo,PratyushMishra

2.3與PoW挖礦的比較

盡管人們很自然地將零知識證明視為PoW的一種新形式，并將用于加速的硬件視為一種新型礦機，但零知識證明的生成在目的和市場結構方面與PoW挖礦有著本質的區別。

2.3.1權力競爭與效用計算

為了獲得區塊獎勵和交易費用，比特幣礦工通過不斷迭代隨機數來尋求足夠小的哈希值，這實際上只與達成共識有關。相反地，零知識證明的生成是實現信息壓縮或隱私保護等實際用途的必要程序，但不再必須負責達成共識。這種差異將對參與的潛在廣度和獎勵分配模式產生影響。下面我們列出了三種現有礦工如何協作生成零知識證明的設計。

Rates-are-Odds(Aleo)：Aleo的經濟設計最接近比特幣和其他PoW協議。它的共識PoSW仍然需要礦工找到一個有效的nonce，但試驗過程主要以重復生成SNARK證明為主，SNARK證明將nonce和狀態根的哈希作為輸入的一部分，直到某輪證明的哈希足夠小。我們將這種類似PoW的機制稱為Rates-are-Odds模型，因為你在單位時間內可以處理的嘗試次數大致決定了你獲得獎勵的概率。在這個模型中，礦工儲備大量機器可以獲得更多的機會。Winner-Dominates(PolygonHermez)：PolygonHermez采用了更簡單的模型。根據他們的公開文檔，參與的兩個主要角色是Sequencer和Aggregator，前者收集所有交易并將其預處理為新的L2區塊，后者驗證區塊并競爭生成證明。對于給定的區塊，提交第一個證明的Aggregator賺取由Sequencer支付的費用。在不考慮地理分布、網絡狀況和證明策略的情況下，實現和硬件最先進的聚合器可能會占據主導地位。Party-Thresholds(Scroll)：Scroll將他們的設計描述為“Layer2證明外包”，其中礦工將在質押一定數量的加密貨幣后被隨機選擇，來生成證明。被選中的人需要在規定的時間內提交證明，否則其下一個epoch將被下調選中的概率。錯誤的證明將導致懲罰。起初，Scroll可能會與十幾個礦工合作以確保穩定性，甚至運行他們自己的GPU集群。隨著時間的推移，他們計劃去中心化整個過程。我們將時間限制視為權衡效率和去中心化的參數。Starkware也可能屬于這一類。從長遠來看，只有能夠及時生成證明的機器才能參與證明。這些協調設計有著不同的權衡。我們預計Aleo將擁有最去中心化的代幣分發，Hermez的效率最高，而Scroll的參與門檻最低。但根據上述設計，零知識證明的硬件軍備競賽可能不會馬上發生。

STX上漲觸及0.8USDT，24H漲幅71.54%:2月20日消息，行情顯示，STX上漲觸及0.8USDT，現報0.7USDT，24H漲幅71.54%。[2023/2/20 12:17:09]

2.3.2靜態算法與進化算法

另一個區別是比特幣有一個單一且相對靜態的算法。比特幣核心開發者一直試圖遵循其最初的設計和精神，以保持網絡穩定并避免嚴重的分叉。新興的公鏈或項目方沒有這樣的歷史約束，這使得他們可以更靈活地調整他們的系統和算法。我們認為，與簡單靜態的PoW市場相比，所有這些差異會共同催生一個更加分散和動態的市場結構。我們建議將生成零知識證明視為一種服務，一種達到目的的手段，而不是最終目的本身。這種新范式最終將形成新的業務/收入模型，我們將在最后一章節中詳細介紹。在此之前，我們先來看看多種解決方案。

3.解決方案

CPU是通用計算機中的主芯片，負責將指令分發到主板上的各個組件。然而，由于CPU的設計目的是快速處理范圍更廣的任務，這種通用性反過來又限制了它處理并發或執行某類特定任務的速度，GPU、FPGA和ASIC通常作為補充。在本節中，我們將重點介紹它們各自的功能、優化過程、現狀和市場。

3.1GPU：目前最常用的硬件

GPU最初是為計算機圖形和圖像處理而設計的，但其并行架構使其成為計算機視覺、自然語言處理、超級計算以及PoW挖礦等領域的不錯選擇。MSM和FFT都可以在GPU上加速，特別是MSM可以通過利用稱為“pippenger”的算法進行加速，并且與FPGA或ASIC相比，GPU開發過程要簡單得多。GPU加速的思路非常簡單：將這些集中計算的任務從CPU轉移到GPU。工程師們將把這些部分改寫入CUDA，這是一個由英偉達開發的并行計算平臺和編程模型，用于在自家GPU上進行通用計算，或者是它的競爭對手OpenCL，其由Apple和KhronosGroup推出，為異構計算提供一個標準，這樣用戶就不用局限于英偉達的GPU。然后這些代碼將被編譯并直接在GPU上運行。對于顆粒度更細的加速，拋開算法改進本身不談，開發者可以：

通過使用盡可能多的快速內存和盡可能少的慢速內存來優化，以減少昂貴的數據傳輸。通過更好地平衡多處理器之間的工作、構建并發內核以及合理分配任務資源來優化執行配置，以提高硬件利用率，讓它們盡可能保持運行。簡而言之，盡可能得將整個工作流程并行化，避免不同部分因為相互依賴彼此結果而導致的順序執行。

并行化節省時間

GPU加速設計流程

3.1.1開發者基數大，開發方便

Silvergate Capital（SI）盤前股價下跌超40%:1月5日，行情數據顯示，加密友好銀行Silvergate發布四季度初步業績報告顯示客戶總存款從119億美元下降至38億美元后，其盤前股價下跌約40%降至13.37美元。據悉，Silvergate于2019年上市，并在2021年11月漲至每股222美元。[2023/1/5 10:23:50]

與FPGA和ASIC不同，GPU開發不涉及硬件設計。CUDA或OpenCL也有更大的開發者基礎。開發者能夠基于開源實現非常快速地上手修改。例如，Filecoin在2020年發布了他們的第一個GPU實現。Supranational最近也開源了他們的通用加速解決方案，這可能是目前同類中最好的開源解決方案。當考慮到MSM和FFT以外的工作時，這個優勢就更加明顯了。雖然證明生成中確實主要要計算這兩個問題，但是其他部分還是可以占到約20%的比重，所以單純加速MSM和FFT對最終的耗時影響有限。即使將計算這兩個問題的時間壓縮到瞬時，總耗時仍是最初的五分之一。此外，由于這是一個不斷在發展的新興領域，因此很難預測未來這一比重將如何變化。為了加速這些異構工作，鑒于FPGA需要重新配置，ASIC可能需要重新設計和制造，GPU更方便。

3.1.2GPU過剩

GPU市場由英偉達主導。根據JonPeddieResearch的數據，其2022年第一季度零售GPU的出貨量的市場份額為78%。盡管與制造商的建議零售價相比，許多GPU的價格仍然高得離譜，但它們的供應量正在不斷提高。2021年，GPU出貨量超過5000萬臺。從這個角度來看，這幾乎是同期FPGA銷量的8.5倍。GPU芯片市場份額

資料來源：JonPeddieResearch

具體到挖礦，我們保守估計以太坊合并后，大約會有626萬個GPU從以太坊PoW挖礦中解放出來。我們假設GPU占以太坊哈希率的絕大部分，將以太坊當前的哈希率(890Th/s)乘以90%得出801Th/s，除以最先進的GPU卡RTX3090Ti的挖礦能力(128Mh/s)，得出了626萬個GPU的保守估計。隨著ASIC主導比特幣挖礦，沒有其他使用PoW的項目可以容納如此大的挖礦能力。除了以太坊分叉鏈或提供云服務外，轉向零知識證明服務是另一個值得探討的選擇。

以太坊哈希率

資料來源：Messari

3.2FPGA：平衡成本與效率

FPGA是具有可編程硬件結構的集成電路。FPGA芯片內部的電路沒有硬蝕刻，因此設計人員可以根據特定需求對其進行多次重新配置。一方面，這有效降低了ASIC的巨大制造成本。另一方面，硬件資源的使用比GPU更靈活，有進一步加速和降低能耗的潛力。例如，雖然在GPU上優化FFT仍然可以實現，但頻繁的數據洗牌將導致GPU和CPU之間的通信開銷很大。然而，數據洗牌實際上并不是完全隨機的，通過在電路設計中直接實現內在邏輯，我們可以期待FPGA更快地執行任務。要在FPGA上實現ZKP加速，仍然需要幾步。首先，需要一個用C/C++編寫的特定證明系統的參考實現。然后，這個實現需要用硬件描述語言來描述高級的數字邏輯電路。隨后需要執行行為模擬來顯示輸入和輸出的波形，以查看代碼是否按預期運行。這一步是實現最關鍵的地方。工程師可以比較兩個輸出，而不是通過整個過程來識別一些細微的錯誤。稍后，合成器會將HDL轉換為具有門和觸發器等元件的實際電路設計，然后在硬件設備上實現設計和模擬分析。確保電路正常運行之后，最終將創建一個編程文件并加載到FPGA設備中。

安全團隊：@HameerHideout Discord服務器再次遭到黑客入侵:金色財經消息，據CertiK Alert數據監測，@HameerHideout官方Discord服務器再次遭到黑客入侵，警告用戶不要點擊任何鏈接，或批準任何交易。[2022/8/24 12:44:32]

FPGA設計流程

3.2.1當前障礙和未建立的基礎設施

雖然GPU上的一些模塊優化工作可以重復使用，但也有一些新的挑戰：

由于更高級別的內存安全性和更好的跨平臺兼容性，零知識證明的開源實現大多使用Rust編寫，但大多數FPGA開發工具都適配于C/C++，硬件工程師也更習慣C/C++。因此在進一步工作之前，團隊可能必須重寫或翻譯這些實現。在編寫這些實現時，軟件工程師在當前開發支持下，僅限于很小范圍的可映射到硬件體系結構的C/C++開源庫。除了這些可以由軟件工程師和硬件工程師相對獨立地完成的工作之外，一些深度優化將依賴于他們的密切合作。比如在算法上做一些修改，功能會和以前一樣，但會節省大量的硬件資源，不過這只能建立在對軟硬件的共同認知基礎之上。簡而言之，與AI或其他成熟領域不同，工程師將不得不幾乎從頭開始學習并構建以實現零知識證明加速。幸運的是，我們看到了更多的進步。例如，Ingonyama在他們最近的論文中提出了PipeMSM，一種在FPGA或ASIC上進行MSM的加速方案。

3.2.2雙寡頭壟斷市場

FPGA市場是典型的雙寡頭壟斷市場。根據Frost&Sullivan的數據，2019年，Xilinx和Altera大約占據了全球FPGA市場出貨量的85%。因此，可能需要與英特爾或AMD建立密切關系才能優先使用最先進的FPGA。此外，這個新興領域已經引起了這些行業巨頭的注意。AMD是ZPrize的技術供應商之一。

FPGA是典型的雙頭壟斷市場

資料來源：Frost&Sullivan工程師們已經意識到，單個FPGA無法為復雜的零知識證明生成提供足夠的硬件資源，因此他們必須同時使用多張卡的組合進行試驗。即使在他們完成設計后，目前由AWS和其他云提供商提供的標準FPGA云服務也無法很好地提供服務。此外，加速解決方案的初創公司通常規模太小，無法讓AWS或其他公司托管他們的定制硬件，而且他們也沒有足夠的資源來運行自己的服務器。更好的選擇可能是與大型礦工或Web3原生的云服務提供商合作。然而，考慮到這些礦業公司的內部工程師可能會同時開發自己的加速解決方案，這種關系可能會很微妙。

3.3ASIC：終極武器

ASIC是為特定用例定制的集成電路(IC)芯片。通常，工程師仍然會按FPGA類似的方式，用HDL指定ASIC的邏輯功能，但最終產生的電路會永久地蝕刻在硅片中，而在FPGA中，電路是通過連接數千個可配置塊制成的。與從英偉達、英特爾或AMD采購不同，公司必須設法自己完成從電路設計一直到制造和測試的整個過程。ASIC將僅限于某些特定功能，但相反，它使設計人員能夠在資源分配和電路設計方面擁有最大的自由度，因此在性能和能效方面具有巨大的潛力。設計人員可以舍棄浪費的空間、功率和功能，擁有所需的精確數量的門，在設計流程方面，與FPGA相比，ASIC涉及HDL編寫和合成之間的詳細的硅前驗證，以及實現前的平面圖。前者是讓工程師使用復雜的模擬和仿真工具在虛擬環境中測試設計，后者是為了確定芯片中模塊的大小、形狀和位置。設計實現后，所有文件將發送到臺積電或三星等代工廠進行測試流片。如果成功，原型將被送去組裝和測試。

專用集成電路設計流程

3.3.1面向零知識證明的相對通用ASIC

對ASIC的一個普遍批評是，一旦改變了算法，以前的芯片就完全沒用了，但也不一定是這樣。巧合的是，我們采訪過的所有規劃ASIC方案的公司都沒有押注于特定的證明系統或項目。或者說，他們更愿意在ASIC之上開發一些可編程模塊，這樣就可以通過這些模塊處理不同的驗證系統，并且只將MSM和FFT任務分配給ASIC。這對比將特定芯片用于特定項目時，肯定是次優方案，但在短期內犧牲性能以獲得更好的通用性可能優于針對特定任務的設計。

3.3.2非經常性的高昂投入

ASIC不僅設計過程比FPGA復雜得多，而且制造過程也需要消耗更多的時間和資金。初創公司可以直接或通過一些分銷商聯系代工廠進行流片。直到排隊等候大約三個月或更長時間，才會真正執行。光罩和晶圓構成流片的主要成本。光罩用于在晶圓上制作圖案。初創公司通常會選擇MPW，使他們能夠與其他幾個項目分擔光罩和晶圓的制造成本。不過，保守估計一次流片的成本仍將高達數百萬美元，這取決于他們選擇的工藝和芯片數量。流片以及組裝和測試還需要幾個月的時間。如果可行，他們最終將開始為量產做準備。但是，如果出現任何問題，調試和故障分析將花費的時間難以預料，并且需要再次流片。從初步設計到量產需要幾千萬元，18個月左右。緩和的是，上面提到的很大一部分成本是非經常性的。此外，ASIC提供的性能及其節省的能源和空間通常很可觀，而且價格可能相對較低。慶幸的是，上面提到的很大一部分成本是非經常性的。此外，ASIC提供的性能及其節省的能耗和空間通常很可觀，而且價格可能相對較低。

4.結語

下面顯示了對不同硬件解決方案的大致評估。

資料來源：Amber

為了更清楚地了解可能的商業模式，我們在一張圖表中顯示了所有潛在的市場參與者。由于它們之間的關系可能是混合的和復雜的，我們簡單地按功能對它們進行分類。

硬件加速的功能層

除了開發新的GPU或FPGA芯片外，初創公司幾乎可以從任何層面切入這一領域。他們可以選擇從頭開始設計和制造ASIC，將芯片封裝成專用設備并出售給礦工，也可以出售裸芯片，由下游供應商組裝。他們還可以構建自己的服務器，參與證明生成或提供云服務。或者，他們可以選擇作為顧問公司，提供設計解決方案，但不參與實際運營。如果他們擁有強大的合作伙伴關系或足夠的資源來覆蓋整個產業鏈，他們還可以為零知識證明應用程序提供從硬件資源到系統定制化設計的全棧解決方案。零知識證明的大規模采用尚未發生，但構建加速解決方案將是一個長期過程。我們預計將會出現一個轉折點。對于開發建設者和投資者來說，關鍵問題是何時，而不是是否。

Tags：FPGASI比特幣ARKFPG幣Basis Gold比特幣市值跌破5000億美元關口Stark Chain

幣贏交易所