零知识证明经济模型的探索之路

2024-09-19 03:23:16

Chia sẻ để

作者：Hugo，ZKPool

TL;DR

提出了⼀种双层的零知识证明 (ZKP) 经济模型，其中共享的 ZKP 证明加速器池（Prover Pool）和通⽤的模块化证明加速器（Universal Modular Prover）是 ZKP ⽣态系统的关键组成部分。
ZKP 证明加速器代表了下⼀代的区块链计算基础设施。
⼯作量证明 (PoW) 矿机和 ZKP 证明加速器之间存在根本性差异。
ZK-rollup 证明经济模型的设计⾯临着「不可能三⾓」的挑战：平衡性能、成本和去中⼼化。
本⽂分析了⼏种 ZKP 证明经济模型，以 Taiko 的解决⽅案为例。

1. 介绍

近年来，零知识证明 (ZKP) 技术取得了显著进展。它在需要计算扩容或隐私保护的项⽬中越来越受欢迎。

ZKP，特别是 SNARK (Succinct Non-interactive Argument of Knowledge) 协议，在以太坊的扩容⽅向中得到了⼴泛认可。以太坊的路线图包括「Snark Everything」的⽬标，Vitalik Buterin 声称「zK-SNARKs 在未来 10 年将与区块链⼀样重要」。

Vitalik 关于 zK-SNARK 的声明

然⽽，⽣成零知识证明⽐计算本⾝要复杂得多。

例如，在以太坊中，具有 10M Gas 的块的计算时间少于 1 秒，如下图所⽰。

EVM 性能

然⽽，对于 ZKEVM 中的电路，在 128 核 CPU 上⽣成块的证明可能需要超过 1700 秒。请参考 PSE 团队的基准测试结果。

ZKEVM 基准测试

即使使⽤ GPU，ZKEVM 也需要数百秒才能⽣成证明。这意味着使⽤ ZKP 验证 EVM 计算的成本⽐原始计算⾼出 1000 倍以上。

未来将有巨⼤的 ZKP 计算需求，因为将有许多 ZKP 项⽬，包括 zkSync、Scroll、Taiko、Polygon、Linea 和 Aztec 等 L2 项⽬，以及 Aleo、Mina 和 Risc Zero 等 L1 项⽬。还将有其他需要 ZKP 计算能⼒的隐私、⾝份和游戏相关项⽬。

MESSARI 的 ZKP ⽣态展⽰图

我们相信，可信计算将在未来的数字世界中与计算本⾝同样重要，ZKP 加速将成为下⼀代区块链计算能⼒的核⼼。

2. ZKP 需要和 POW 不同的经济模型

⼯作量证明（PoW）是⼀种⽤于分布式共识的算法。在 PoW 系统中，参与者（矿机）必须执⾏计算密集型⼯作，以证明他们已经投⼊了⼀定量的计算资源。这些算法的⽬标是确保⽹络安全。矿机竞争找到满⾜特定条件的哈希值，以获得区块奖励和交易费⽤。

然⽽，ZKP 的⽬的和特点⾮常不同。

以下是 POW 矿机和 ZKP 证明加速器之间的⽐较。

POW 矿机和 ZKP 证明加速器之间的⽐较

⼀些 ZKP 项⽬，如 Aleo，仍然使⽤类似 POW 的机制，但它们并不是主流。以太坊通过POS 取得的成功证明了 POW 不是实现区块链去中⼼化的唯⼀可⾏解决⽅案。因此，更多的项⽬可能会选择⾮ POW 证明系统来减少能源消耗和总体成本。

在 ZKP 计算范式中，需要设计不同的证明加速器和不同的经济模型。

3. ZKP 证明经济模型的不可能三角挑战

在这个背景下，「证明经济模型」指的是去中⼼化零知识证明系统中的激励机制。零知识证明⽹络的三个关键指标是成本、性能和去中⼼化。⼀个精⼼设计的证明经济模型应该满⾜这三个要求。

⾸先，成本是 ZKP 项⽬中⼀个关键因素，特别是对于 ZK-rollups⽽⾔。这是因为它们的使命是扩展以太坊并降低⽤户的交易成本。证明成本是 ZK-rollup 和其他 ZKP 项⽬的总成本的⼀部分。

为了为验证第⼆层交易和实现最终性提供更好的⽤户体验，ZK 证明加速器需要⾼性能的机器。使⽤并⾏计算的 GPU、FPGA 或 ASIC 可以帮助缓解瓶颈。这就是为什么我们使⽤GPU 证明 zkEVM 只需要 10 分钟，⽽使⽤CPU 可能需要⼏个⼩时。

ZKP 证明加速器的另⼀个关键要求是去中⼼化。去中⼼化意味着许多参与者可以加⼊证明⼯作⽽不需要获得许可，并且具有冗余和地理分散性，使整个系统强⼤且抵抗审查。

然⽽，在同⼀设计中满⾜⾼性能、低成本和去中⼼化的所有三个⽅⾯是不可能的挑战。

ZKP 证明经济模型的不可能三角

⾸先，成本和性能之间存在冲突。如果需要⾼性能，则需要⾼价的证明加速器，如GPU、FPGA 甚⾄GPU/FPGA 集群。

随着 ZKP 在⻓期内的使⽤越来越普遍，将会有数百万个 ZK 证明加速器的市场。到那时，低成本的 ZK ASIC 芯⽚可以同时满⾜低成本和⾼性能的要求。然⽽，由于我们⽬前处于ZKP 的早期阶段，尚未达到如此巨⼤的市场规模，因此 ZK ASIC 芯⽚的单元成本相对较⾼。因此，在这个阶段实现成本效益和性能仍然是⼀个挑战。

其次，去中⼼化通常需要证明加速器的冗余，从⽽增加了整个证明系统的成本。

例如，如果 ZK-rollup 项⽬在 1 秒钟内创建⼀个 L2 块，并使⽤⾼性能 GPU⽣成其证明需要约10 分钟，那么需要⼤约 600 个证明加速器来满⾜需求。

如果我们为 ZK-rollup 项⽬部署了 600 个 GPU 证明加速器，则计算能⼒将⾜以满⾜其吞吐量。然⽽，如果⼀些证明加速器由于⽹络故障或偶尔的关机未能按时完成任务，则需要其他证明加速器⽣成证明。增加备份证明加速器的数量和 ZK 证明加速器的去中⼼化会增加证明系统的总成本。这也是为什么 POW 在 ZKP 项⽬中不流⾏的原因。

第三个挑战是，极致追求证明加速器的性能可能会导致证明⽹络被最快的证明加速器所垄断。这与去中⼼化的⽬标相冲突。

从经济学的⾓度来看，建⽴⼀个确保 ZKP 系统中证明加速器的盈利和活跃的经济系统是⼀个具有挑战性的任务。这就是证明加速器经济模型的挑战。

4. ZKP 证明经济模型的演进

Taiko 是⼀个去中⼼化的 ZK-rollup 项⽬，和以太坊等同，并使⽤Type 1 zkEVM 技术。在Taiko 项⽬的初期，它的重点就是设计去中⼼化的序列器（Sequencer）和证明加速器。这是第⼀个积极推⼴去中⼼化序列器和证明加速器的 ZK-rollup 项⽬。

Taiko 在其⽂档中介绍了其经济模型设计原则，其中提到了类似的度量标准：

⾼效地利⽤证明资源
证明的成本优先于证明的速度
证明加速器的冗余/去中⼼化

Taiko 项⽬已经探索了各种解决证明 ZKP 证明经济模型的不可能三⾓的⽅案，并且仍在不断发展。以下是 Taiko Testnet 及其证明经济模型的历史：

2022 年 12⽉28⽇，Alpha-1：证明加速器未开放。
2023 年 3⽉23⽇，Alpha-2：证明加速器是⽆许可的，最快的证明加速器获胜，没有经济模型。
2023 年 6⽉7⽇，Alpha-3：证明加速器是⽆许可的，具有动态奖励经济加速器。
2023 年 6⽉：批次拍卖式经济加速器被提出并讨论。
2023 年 7⽉18⽇，Alpha-4：证明加速器是⽆许可的，具有基于质押的经济加速器。
新提案正在进⾏中。

不同 ZKP 证明加速器的⽐较

4.1 动态奖励证明经济模型（Taiko A3）

A3 的经济模型包括⼀种动态奖励机制，旨在⿎励证明加速器成本低、性能⾼。它包括以下规则：

提交证明最快的证明加速器获胜。
随着证明加速器提交证明速度的加快，奖励逐渐降低。

因此，⼀旦证明加速器成为最快的，其最佳策略是仅⽐竞争对⼿稍微快⼀点提交证明，并等待⼀段时间以获得更⾼的奖励并保持更⼤的利润。

接下来，让我们看⼀下 Taiko A3 中观察到的⼀些现象。

1. Gas 战争

⽬前，A3 中活跃的证明加速器数量逐渐减少，表现出中⼼化的趋势。

A3 测试⽹上每⽇活跃证明加速器的趋势

上述趋势的原因是，⼀些⾼性能证明加速器可以在 24 秒内提交其证明，⾮常快速。根据以太坊的设计，如果多个证明加速器在同⼀时间窗⼝内提交证明，则具有更⾼Gas 费的证明加速器将被接受。在 Sepolia 测试⽹上，gas 费⽤不是真正的 ETH，⾮常便宜。

因此，这些⾼性能证明加速器之间存在 gas 战争。他们以极⾼的 gas 价格提交证明，有时⾼达 2000 Gwei。⼀些具有⾮常⾼gas 费⽤的证明加速器主导了证明任务。

另⼀种策略是通过在 12 秒内提交证明来优化性能。但是，在 12 秒内提交所有证明很困难，因为根据 A3 设计，更快的速度会导致更少的奖励。

A3 测试⽹上的证明加速器 gas 费趋势

A3 测试⽹上的⾼ gas 费

2. 计算资源的竞争

A3 中另⼀个现象是失败提交数量的增加。这是因为每个块只允许⼀个获胜者提交证明，即使它们⽣成有效证明，所有其他提交都将被拒绝。

A3 中失败率（红⾊框中的交易）

4.2 基于质押的证明经济模型（Taiko A4）

在 A4 中，Taiko 采⽤了基于质押的证明经济模型，它提供了⼏个优点：

消除过度计算资源竞争，因为仅选择⼀个证明加速器⽣成证明。如果未被选中，其他证明加速器不需要再计算。
通过给予更⾼的权重⿎励低成本，⾼性能的证明加速器不能保证获胜。
与拍卖式解决⽅案相⽐，设计相对简单。

为什么我们需要质押？原因是⼀旦选择了证明加速器，它需要诚实地并及时提交证明。如果选择的证明加速器未能完成此任务，则执⾏惩罚。

A4 中⼀个重要的现象是 ZKP 证明加速器被惩罚的概率很⾼，特别是当⽹络拥塞时。这⾥是⼀个例⼦。

A4 测试⽹上的惩罚历史记录

接下来，我们可以讨论可能的解决⽅案。

5. 证明经济模型的进⼀步改进

根据我们的分析，预期的零知识证明经济模型应满⾜以下要求：

每个任务只有⼀个证明加速器，没有任何浪费的计算。
应该制定机制来防⽌垄断情况并促进去中⼼化。
所选的证明加速器应提供质押，如果他们未能在指定的时间窗⼝内⽣成证明，则应受到惩罚。
⿎励更快的证明提交和降低成本的激励机制。
证明加速器应获得⾼Gas 费⽤的补偿。
在交通拥堵期间应延⻓证明窗⼝。

让我们进⼀步扩展讨论。

这种零知识证明的质押机制类似于以太坊，因为它⿎励验证者诚实。然⽽，它们之间存在差异。

以太坊验证器和零知识证明加速器的⽐较

如表所⽰，与以太坊验证器相⽐，零知识证明加速器的成本更⾼，被惩罚的⻛险更⼤。同时，就奖励⽽⾔，零知识证明加速器的唯⼀补偿来⾃ZKP 项⽬⽅，但它必须包括 Gas 费⽤、计算硬件成本和质押资产的成本。

以下是⼀些降低惩罚⾦额的提议，考虑到零知识证明加速器需要⽀付 Gas 费⽤和相对较⾼的计算硬件资源成本：

如果证明加速器在相对⻓的时间窗⼝内提交了证明，则不应该施加惩罚。这是因为其他⼈可以按照设计提交证明，证明加速器已经承担了 Gas 费⽤和计算能⼒成本。
如果证明加速器从未提交证明，则应施加较低的惩罚⾦额。在这种情况下，可能很难区分⽹络/技术问题或不诚实问题。因此，惩罚是合理的，但应该较为温和，因为在⼤多数情况下，失败可能是由于⽹络拥堵造成的。

当存在⽹络拥堵或 Gas 费⽤⾮常⾼时，即使使⽤合理的 Gas 费⽤，证明加速器也很难提交证明。以下是可以考虑的⼀些解决⽅案：

当基础费⽤⾼时，延⻓证明窗⼝。
更具经济合理性的解决⽅案是，在基本 Gas 费⽤⾼时增加奖励。

质押机制带来了⼀些资⾦成本。虽然没有所谓的 POS 奖励，ZK-rollup 将 POS 作为证明经济模型的⼀部分。然⽽，所有资⾦都有利息成本。因此，在基于质押的机制中，应增加奖励⾦额以覆盖质押成本，尽管它可以包含在总体证明加速器的奖励中。

此外，以下改进将是可取的：

为⿎励更快的证明加速器，在选择证明加速器后，如果他们在⽬标证明时间窗⼝之前提交了证明，则可以增加他们的奖励。
使⽤批量的证明有助于减少总体 Gas 费⽤。

6. 双层的零知识证明经济模型

⽬前，许多零知识证明（ZKP）项⽬都使⽤⾃⼰的证明系统和经济模型，然⽽这种⽅法并不利于在 ZKP 项⽬之间共享计算能⼒，这导致整个 ZKP⽣态系统的成本更⾼。

正如我们在前⾯的部分中分析的那样，ZKP 项⽬需要⼀个复杂的机制来管理惩罚、奖励、证明时间窗⼝和其他相关⽅⾯。

此外，成为各种 ZKP 项⽬的证明加速器并质押各种资产存在很⾼的门槛。

为了实现更健康和更具成本效益的 ZKP 证明⽣态系统，采⽤双层经济模型可能是⼀个不错的解决⽅案。Taiko 在多轮证明经济模型迭代后提出了⼀个解决⽅案，我们进⼀步将该解决⽅案扩展为⼀个双层框架。

在这种⽅法下，每个 ZKP 项⽬作为第⼀层运⾏，定义⾃⼰的经济模型。然⽽，证明加速器的选择、调度、惩罚、奖励和评级则委托给第⼆层，即共享的证明加速器池。

双层的 ZKP 经济模型

ZKPool 作为证明加速器池可以聚合多个 ZKP 项⽬的需求并分配任务给证明加速器，使他们具有更⾼的利⽤率和更多的收益。此外，它降低了参与门槛并最⼩化了可能的惩罚。

为了向 ZKP 项⽬提供最佳性能和低成本的证明加速器，ZKPool 可以实现⼀个证明市场，采⽤标准化的费率系统来评估证明加速器的性能，并在证明加速器之间创建竞争机制。该系统可以将最佳证明加速器返回给 ZKP 项⽬，⽽ZKPool 可以根据评级系统提供额外的平台激励。这种⽅法可以极⼤地惠及 ZKP 项⽬和 ZKP 证明加速器。