什么是零知识证明？隐私与扩展性解析

By: rootdata|2026/08/01 08:51:20

设为Google首选来源

RAM

ERA

零知识证明允许一方向另一方证明某个陈述是真实的，而不透露任何超出该陈述本身真实性的信息。这是一种加密技术，支持区块链隐私、可扩展的汇总以及越来越多的身份验证系统。

摘要

零知识证明允许证明者说服验证者某个计算是正确的，而不透露底层数据，从而在区块链上实现隐私和可扩展性。
在区块链中使用的两种主要零知识证明类型是 zk-SNARKs，它们需要初始的可信设置仪式，以及 zk-STARKs，它们不需要可信设置，但生成的证明较大。
以 zkSync、Scroll 和 Polygon zkEVM 为代表的以太坊第二层汇总使用零知识证明将数千笔交易压缩为一个在主链上验证的单一证明，从而将燃气费用降低90％或更多。
Vitalik Buterin 在2025年底推出了 GKR 协议，旨在加速以太坊零知识证明的验证，目标是使该技术在日常使用中具备实用性。
零知识证明在数学上是可靠的，但并非魔法。它们依赖于特定的加密假设，需要大量计算资源来生成，并且在大规模生产中应用的时间还不到三年。

零知识证明的标准解释使用了洞穴类比。阿里巴巴知道一个秘密词，可以打开一个圆形洞穴内的门。他可以通过从一侧进入并从另一侧退出，证明他知道这个词，而无需大声说出这个词。在足够多的成功演示后，验证者会在统计上确信阿里巴巴知道这个秘密。

这个类比是正确的，但不完整。它捕捉了直觉，但缺少了机制。在实践中，零知识证明并不是关于洞穴或门的，而是关于多项式承诺、椭圆曲线配对，以及允许一方将计算编码为一组约束，另一方在不学习满足这些约束的值的情况下验证这些约束的数学属性。

本文解释了零知识证明的作用、两种主要证明系统的工作原理、它们在生产中的应用以及它们无法做到的事情。如果你听说零知识证明解决了区块链的所有隐私和可扩展性问题，现实情况则更为具体和有趣。

三个属性

零知识证明必须满足三个数学属性。完整性意味着如果陈述是真实的，并且证明者和验证者都遵循协议，验证者将始终接受证明。健壮性意味着如果陈述是错误的，任何作弊的证明者都无法说服验证者接受，除非以微不足道的概率。零知识意味着验证者除了知道陈述是否真实外，什么也不会学到。

第三个属性是反直觉的。你如何在不学习任何关于计算的信息的情况下验证计算？答案在于证明系统的结构。证明者将计算编码为多项式方程，使用加密承诺方案对该多项式进行承诺，然后对验证者的随机挑战作出响应。验证者在从未看到多项式本身的情况下，检查响应是否与承诺一致。

在非交互式零知识证明中，即在区块链中使用的类型，随机挑战被应用于承诺的哈希函数所替代。这被称为 Fiat-Shamir 启发式，它允许证明者在没有任何来回通信的情况下生成整个证明。最终的证明是一个紧凑的数据字符串，任何人都可以独立验证。

数学基础建立在某些计算问题的难度之上。对于zk-SNARKs，安全性依赖于在椭圆曲线上计算离散对数的困难性。对于zk-STARKs，安全性则依赖于哈希函数的碰撞抵抗性，这被认为是一个较弱且更保守的假设。如果任一假设被证明是错误的，相应的证明系统将会崩溃。这就是为什么在zk-SNARKs和zk-STARKs之间的选择涉及到的不仅仅是证明大小和验证速度的权衡。

🚀 @VitalikButerin介绍了GKR协议，每秒验证200万次计算，将证明工作从100倍减少到10-15倍，随着以太坊推出47个成员的隐私集群。#Ethereum #Privacyhttps://t.co/Z5kIh35LQ8 --- Cryptonews.com (@cryptonews) 2025年10月20日

zk-SNARKs：可信设置，小证明

zk-SNARK代表零知识简洁非交互式知识论证。简洁这个词是关键的区分点：zk-SNARK证明极其小，通常只有几百字节，并且可以在毫秒内验证，无论基础计算的复杂性如何。

这种简洁性的代价是可信设置。大多数zk-SNARK构造需要一个初始仪式，在该仪式中生成一组结构化的参考字符串。这些字符串被证明者和验证者共同使用。如果用于生成它们的随机值没有被妥善销毁，任何保留这些值的人都可以创建看似有效的伪造证明。这有时被称为有毒废物。

现代的可信设置仪式使用多方计算协议，数百或数千个参与者各自贡献随机性。安全保证是，只要至少有一个参与者诚实地销毁他们的随机贡献，设置就是安全的。Zcash开创了这种方法，其Powers of Tau仪式，后续项目对此进行了改进。

更新的zk-SNARK构造，如PLONK及其变体，使用通用和可更新的可信设置，这意味着相同的设置可以用于不同的电路，额外的参与者可以随着时间的推移增强设置，而无需从头开始。这减轻了可信设置的担忧，但并未完全消除。根本的权衡依然存在：更小、更快的证明换取一次性信任假设。

zk-STARKs：无可信设置，较大证明

zk-STARK代表零知识可扩展透明知识论证。透明意味着不需要可信设置。参考字符串是从公开可验证的随机性中生成的，这完全消除了有毒废物问题。可扩展性指的是证明时间随着计算规模的增加而准线性增长，使得STARKs适合于非常大的计算。

权衡在于证明大小。zk-STARK证明通常为几十到几百千字节，而zk-SNARK则为几百字节。在数据存储成本高昂的区块链上，这一差异是重要的。STARKs的验证时间也相对较长，尽管仍然足够快以供实际使用。

StarkWare是Starknet背后的公司，一直是zk-STARKs的主要商业倡导者。他们的论点是，透明性特性，加上仅依赖哈希函数而非椭圆曲线的量子抵抗性，使得STARKs在长期选择上更具优势，即使代价是更大的证明。关于量子计算机是否会在相关时间内威胁椭圆曲线密码学仍存在争议，但保守的安全态度对那些长期稳健性比即时效率更重要的应用具有吸引力。
你可能还会喜欢：零知识证明：隐私聚焦的第1层区块链完整指南

-- 价格

ZK Rollups：扩展应用

零知识证明在区块链中的最重要的实际应用是ZK rollups。Rollup在链外执行交易，将其批量处理，生成一个零知识证明，证明所有交易都是有效的，然后将证明和压缩的交易数据发布到主链上。主链验证该证明，这比单独执行每笔交易便宜几个数量级。

这种架构使以太坊第二层网络能够以单次证明验证的成本处理成千上万的交易。实际上，像基于以太坊基础设施构建的ZK rollups相比于直接在主网执行相同交易，降低了90％或更多的燃气费用。

截至2026年中期，正在生产或处于后期开发阶段的主要ZK rollup项目包括zkSync Era、Scroll、Polygon zkEVM、Linea和Taiko。每个项目使用不同的证明系统，并在EVM兼容性、证明速度和去中心化之间做出不同的权衡。zkSync使用自定义虚拟机和基于PLONK的证明。Scroll旨在使用zk-SNARK证明器实现字节级EVM等价。Polygon zkEVM在递归架构中结合了STARK和SNARK证明。

这些项目之间的竞争推动了证明生成的快速创新。在过去两年中，证明时间从几个小时降至几分钟，再到几秒钟。Vitalik Buterin引入的GKR协议为以太坊的零知识证明验证代表了向将ZK证明验证变为常规操作而非计算瓶颈的又一步。

🚀 Vitalik Buterin表示，以太坊通过ZKEVM和经过十年开发后在主网上运行的PeerDAS技术解决了区块链的三难困境。#Ethereum #Buterinhttps://t.co/cUzlhhO6Xr --- Cryptonews.com (@cryptonews) 2026年1月4日

超越rollups的隐私应用
零知识证明最初是为隐私而开发的，而不是可扩展性。Zcash于2016年推出，是第一个使用zk-SNARK进行私人交易的主要区块链。在一个受保护的Zcash交易中，发送者、接收者和金额都对公众隐藏，而证明确保没有虚构的币产生，也没有双重支付发生。

隐私应用超越了金融交易。零知识证明可以验证身份属性，而无需透露基础数据。用户可以证明他们超过18岁而不透露出生日期，证明他们是特定国家的公民而不透露护照号码，或证明他们持有某种证书而不透露是哪个机构颁发的。

像Worldcoin和Polygon ID这样的项目已经实施了基于ZK的身份验证系统。Worldcoin使用零知识证明来验证一个人是否被他们的虹膜扫描设备扫描，而不将扫描与任何特定身份关联。以太坊生态系统项目越来越多地将基于ZK的身份集成作为金融交易的原语。

隐私用例面临监管阻力。多个司法管辖区的金融监管机构对完全私密的交易可能促进洗钱、规避制裁和恐怖融资表示担忧。隐私作为基本权利与透明度作为监管要求之间的紧张关系是加密货币中定义性政策辩论之一，而零知识证明正处于这一中心。

零知识证明不涵盖的内容
零知识证明保证计算的完整性：即特定计算是正确执行的。它们并不保证计算的输入是正确的，计算是值得执行的，或围绕证明构建的系统没有错误。

A ZK rollup 可以证明一批交易根据 rollup 的规则是有效的，但无法证明这些规则本身是正确的。rollup 的智能合约或证明电路中的错误可能会为无效的状态转换生成有效的证明。在审计和测试网部署期间，多个 ZK rollup 项目已披露并修复了其电路中的关键漏洞。

零知识证明也并未消除数据可用性的需求。在 ZK rollup 中，证明告诉主链状态转换是有效的，但用户仍然需要访问底层交易数据以重建状态并验证他们的资金是否完好。没有数据可用性，用户必须信任 rollup 操作员，这在一定程度上违背了证明的目的。

生成证明的计算成本相当高。虽然验证成本低，但证明生成需要显著的硬件支持。在生产规模下运行 ZK prover 通常需要数百 GB 的 RAM 和专用硬件加速器。这种成本在谁能够负担得起运行 prover 方面形成了自然的集中化力量，即使证明本身可以被任何人验证。

评估 ZK 项目的实用检查

在评估声称使用零知识证明的项目时，有几个问题可以区分严肃的实现与营销。

首先，询问证明系统是否经过独立审计。电路漏洞可能会导致有效性漏洞，使无效证明被接受为有效。未经过多家独立加密公司审计的项目应谨慎对待。

其次，询问证明系统是否使用了可信设置，如果是，仪式是如何进行的。只有少数参与者的可信设置，或由单一公司进行且没有外部验证的设置，代表了一个重要的信任假设。

第三，检查项目是否发布了其证明验证合约，以及这些合约是否在链上经过验证。如果验证是在链下进行或通过由多签控制的可升级代理合约进行的，则零知识证明可能无法提供用户所期望的安全保障。

第四，查看数据可用性解决方案。如果项目没有在链上或可信的数据可用性层上发布交易数据，用户无法独立验证状态，必须信任操作员。这与零知识证明所应实现的无信任性有显著的背离。

🚀 以太坊开发者已在 Hoodi 上激活 Pectra 升级，标志着其主网部署准备工作的又一个里程碑。#Ethereum #ETHhttps://t.co/eALuuC2dgk
--- Cryptonews.com (@cryptonews) 2025年3月27日
阅读更多：什么是零知识证明？深入探讨 zk-SNARKs 背后的数学

常见问题

零知识证明通俗来说是什么？

零知识证明是一种证明你知道某事而不透露你所知道的内容的方法。在区块链中，它允许一台计算机向另一台计算机证明一组交易是有效的，而无需显示这些交易的详细信息。这既能实现隐私，又能实现可扩展性。

zk-SNARKs 和 zk-STARKs 有什么区别？

zk-SNARKs 生成非常小的证明，通常只有几百字节，并且验证速度快，但需要一次性的可信设置仪式。zk-STARKs 生成较大的证明，通常为几十千字节，但不需要任何可信设置，并被认为对量子计算攻击具有抵抗力。两者都实现了零知识的可验证计算目标。

ZK rollup 如何降低以太坊的 gas 成本？

ZK Rollups 在以太坊主链之外执行交易，将其批量处理，并生成一个零知识证明，证明所有交易都是有效的。只有证明和压缩数据被发布到以太坊。验证单个证明的成本远低于执行数千个单独交易，从而实现90%以上的燃气费用降低。

零知识证明是否抗量子攻击？ {#faq-question-1722480004}

这取决于证明系统。zk-STARKs 依赖于哈希函数，据信对量子计算机具有抗性。zk-SNARKs 依赖于椭圆曲线密码学，理论上可能会被足够强大的量子计算机破解。然而，能够破解椭圆曲线的实用量子计算机尚不存在，可能在几十年内也不会出现。

零知识证明能否使所有区块链交易保持私密？ {#faq-question-1722480005}

从技术上讲是可以的，但在实践中存在权衡。为每笔交易生成证明会增加计算成本和复杂性。完全私密的交易在要求金融透明度的司法管辖区也面临监管挑战。像 Zcash 这样的项目提供可选的隐私，而大多数 ZK Rollups 主要将该技术用于可扩展性，而非隐私。

什么是可信设置，为什么它很重要？ {#faq-question-1722480006}

可信设置是一次性仪式，生成某些证明系统所需的密码参数。如果在仪式中使用的随机值没有被妥善销毁，某人可能会创建虚假的证明。现代仪式使用多方计算，数百名参与者贡献随机性，只要至少有一名参与者诚实，设置就是安全的。

哪些区块链使用零知识证明？ {#faq-question-1722480007}

Zcash 是第一个主要使用零知识证明进行私密交易的区块链。以太坊通过包括 zkSync、Scroll、Polygon zkEVM、Linea 和 Starknet 在内的二层 Rollups 使用 ZK 证明。Mina Protocol 使用递归 ZK 证明来维持固定大小的区块链。其他几个链为身份验证或跨链消息传递等特定功能整合了 ZK 技术。