ZK构建昂贵的椭圆曲线证明是一个非常大的额外成本

时间：2022-01-12|浏览：7144

欧易(OKX)

用戶喜愛的交易所

币安(Binance)

已有账号登陆后会弹出下载

当下大家常听见很多关于ZK Rollup 如何被认为是通用智能合同系统未来的谈论。而我们不同意——这篇文章解释了原因。它借鉴了我们从运行一个开放、安全、与EVM兼容的L2链中学到的实践经验教训，该链拥有数百个dapp、数十万用户和数百万笔交易。
我们构建了Arbitrum作为 Optimistic Rollup （OR），因为我们认为OR是满足用户对安全、无条件信任、与EVM兼容的L2的现实需求的最佳方式。我们选择Optimistic Rollup而不是ZK，因为系统固有的可伸缩性和成本优势；我们今天仍然会做出同样的选择。如果你想了解原因，请继续阅读。
迈克尔约翰逊——最初以苹果和橙子的形式发布到 Flickr——他们不比较，CC BY 2.0，
等等！这个帖子有多长？
是的，这个帖子很长，在有些地方具有一定技术性。人们希望从链上得到的很简单，但谈论提供这些优势所需的技术需要我们深入研究一些细节。我们希望技术界理解我们的观点。
如果你不想阅读整篇文章，这里有一个简要大纲。
人们想要一条可以无条件信任的链提供安全、保证进度、可见性和快速性的属性——并且他们想要低成本并与现有工具兼容。
与ZK Rollup 相比，我们深入研究了如何使用Optimistic Rollup来提供这些属性的细节。
由于ZK的链下成本非常高，Optimistic可以以更低的成本提供用户想要的属性。
由于ZK证明非常昂贵，充分参与ZK协议可能需要特殊用途的硬件和/或大规模并行性，使网络有效地更加集中。
ZK声称的优势要么也适用于Optimistic Rollup系统，要么需要牺牲重要的安全性或可用性功能。
Optimistic Rollup 在操作成本上大获全胜，因为执行代码比计算复杂的加密证明要便宜得多。
从头开始
我们先从以太坊开始。以太坊用户创建一笔交易以部署或与智能合同交互。你可以用几种不同的方式看待以太坊交易。一方面，可以将其视为不透明的数据。但如果看看它的内容，交易当然远不止于此；它是一个请求，要求智能合同做一些事情：记录一些信息，移动一些资产等。
当交易发布在以太坊时，会发生两件重要的事情。首先，它被包括在内，以太坊就一套有序交易达成了共识。其次，以太坊执行这些事务并计算由此产生的状态更新。

ZK构建昂贵的椭圆曲线证明是一个非常大的额外成本
Rollup ：Optimistic和ZK的共同点
让每个以太坊节点执行每笔交易都很昂贵，Rollup是一类扩容解决方案，可以显著减轻此负载。交易的实际执行不是在以太坊完成的，而是转移到第2层（“L2”）区域。
但等一下—— Rollup 应该由以太坊来保证。这意味着我们需要以太坊以某种方式保证交易执行的正确性，即使它发生在L2上。那么，以太坊如何将其批准印章授予 Rollup 状态呢？
总之，答案是：证明。Rollup 使用专有证明向以太坊证明其正确性，即使不执行交易，也可以验证其正确性。
Rollup ：Optimistic和ZK的不同之处
这些证明似乎相当神奇：允许以太坊在不实际执行的情况下验证 Rollup 状态。你可能想知道这些证明是什么样子的，以及它们在实践中是如何实现的。这就是各种Rollup与众不同的地方。
ZK Rollup使用有效性证明。ZK依赖于某方发布简洁的加密证明，该证明确定该方知道以特定状态结尾的有效链。这要求验证方执行链，以便知道如何构建验证，然后通过执行一系列复杂的加密操作来构建验证。证明由链上的L1合同检查。ZK证明很简洁，验证成本足够便宜，可以通过以太坊交易完成。
Optimistic Rollup使用不同类型的证明：欺诈证明。顾名思义，Optimistic Rollup是乐观的，当他们向以太坊发布更新的状态时，他们根本不用发布任何证明。任何人都可以发布一个 Rollup 块，其中包含关于执行某些交易的正确结果的索赔。其他节点执行相同的事务，如果他们不同意第一个节点的主张，可以发布挑战。有效的争议协议可以解决任何分歧，保证正确的一方将赢得挑战。各方有强烈的动机只发布正确的索赔，而不是质疑错误的索赔，因此在通常情况下，所有节点都只是执行所有交易，并且永远不需要调用证明代码。整个过程由L1合约管理。
好吧，那么哪种类型的 Rollup 更好呢？在接下来，我们将在几个维度上比较ZK和Optimistic Rollup，并解释为什么我们认为未来是Optimistic的，而像Arbitrum这样的Optimistic Rollup本质上更具有可扩展性。
Optimistic Rollup与ZK：成本
也许Optimistic Rollup和ZK之间最重要的区别是成本。
Optimistic Rollup要求节点简单地执行合约。例如，如果合约执行添加操作，节点将执行该添加操作。
另一方面，ZK需要生成一个复杂的加密证明，该证明需要数百或数千个昂贵的椭圆曲线操作，才能将添加操作包含在证明中。ZK为每份合约中的每项指令承担这笔费用。需要对每个指令生成复杂的加密证明，而不仅仅是执行指令，这对ZK来说是一个固有的成本劣势——而且是一个很大的成本劣势。
ZK倡导者有时认为，只需要一方当事人才能创建证明，而Optimistic Rollup要求系统有很多节点。但是，如果你运行的是大型链，无论你使用哪种验证系统，它都会有很多节点。真正的链需要许多节点来服务非变异调用事件日志，向用户显示交易数据，为用户提供将资金撤回到L1所需的数据，等等。Optimistic Rollup链的安全依赖于这些节点做他们已经需要做的事情——执行交易和跟踪链的正确状态。
另一方面，ZK构建昂贵的椭圆曲线证明是一个非常大的额外成本。你需要特殊用途的硬件设备或大规模并行性——或两者兼而有之，才有可能用ZK进行大规模证明，但这很贵。
结论：Optimistic Rollup系统具有固有的、巨大的成本优势。
Optimistic Rollup与ZK：EVM兼容性
在构建Arbitrum时，我们的一个重要考虑因素是与EVM的兼容性。Arbitrum与EVM完全兼容；它具有相同的RPC接口，并接受与EVM相同的字节码。在实践中，这意味着为以太坊编写的任何代码都可以在Arbitrum上开箱即用。
我们已经运行开放的、与EVM兼容的链（包括测试网）一年多了，我们已经了解了真正兼容是多么具有挑战性。前95%的兼容性并不难，但这在实践中还不够好，做得更好既需要大量的努力，也需要一个不会妨碍的产品架构。
ZK系统在兼容性方面运行范围很广。有些人将其视为遗留工具，并鼓励人们学习他们的自定义语言。
但一些ZK系统没有试图兼容。当然对于不在乎兼容性的开发人员和用户来说，这很好。