SNARKs vs. STARKS vs. SNARKs Recursivos

Provas de conhecimento zero são mecanismos que permitem que uma parte revele conhecimento de uma informação a outra parte sem revelar a informação em si. Também chamadas de provas de validade, as provas ZK foram originalmente usadas para ocultar detalhes de transações em blockchains focadas em privacidade.

Mas as provas ZK também têm outro caso de uso interessante: escalar blockchains de propósito geral. Com provas de validade, os nós de uma blockchain podem verificar transações sem armazenar os detalhes ou reexecutar a computação. Isso reduz os tempos de confirmação e aumenta o throughput da rede.

Devido aos seus benefícios de escalabilidade, as provas ZK se tornaram uma infraestrutura central para projetos de escalabilidade de blockchain, especialmente rollups de conhecimento zero. Neste guia, cobrimos as principais classificações de provas ZK usadas em blockchains: ZK-SNARKs, ZK-STARKs e ZK-SNARKs recursivos.

O que é um ZK-SNARK?

ZK-SNARK é um protocolo para gerar provas de conhecimento zero para verificar a autenticidade de uma informação sem expor os dados subjacentes. A sigla significa Zero-Knowledge Succinct Non-Interactive Argument of Knowledge.

Um protocolo ZK-SNARK envolve duas partes: o prover (Alice) e o verifier (Bob). O prover (Alice) é a parte que faz uma afirmação, enquanto o verifier (Bob) é a parte responsável por verificar a afirmação.

A informação referenciada na afirmação é chamada de witness ou segredo. Um prover (Alice) usa o mecanismo ZK-SNARK para produzir uma prova que mostra a um verifier (Bob) que a afirmação é verdadeira… sem revelar a informação referenciada.

Um exemplo hipotético envolvendo ZK-SNARKs é a autenticação de identidades de usuários. Um indivíduo poderia provar uma afirmação ("Sou cidadão dos EUA") sem revelar informações pessoais (por exemplo, um passaporte ou número de Seguro Social).

ZK-SNARKs são assim chamados porque possuem as seguintes qualidades:

1. Zero-knowledge: Isso significa que o verifier não sabe nada sobre uma afirmação, exceto se ela é válida ou falsa.

2.** Succinct**: A prova é pequena o suficiente para o verifier verificar em pouco tempo.

3. Non-interactive: SNARKs são não interativos porque provers e verifiers não precisam trocar informações além da prova inicial submetida. Sistemas de prova de conhecimento zero anteriores exigiam que provers e verifiers trocassem múltiplas mensagens para verificar afirmações.

4. Argument: Um SNARK é uma afirmação "computacionalmente sólida" que satisfaz requisitos rigorosos, dificultando trapaças (ou seja, a geração de provas falsas).

5. Knowledge: Provas baseadas em SNARK não podem ser criadas com acesso à informação subjacente ou ao witness.

ZK-SNARKs em blockchains

Sistemas de computação distribuída, como blockchains públicas, precisam resolver o chamado "problema da integridade computacional". Integridade computacional (CI) refere-se à correção do resultado obtido a partir de uma computação específica.

Em blockchains públicas, integridade computacional refere-se à correção das transações executadas em uma rede. A maioria das blockchains a alcança fazendo com que outros computadores (nós) reexecutem cada transação.

No entanto, essa abordagem é problemática. Forçar cada nó a reexecutar cada transação torna a rede mais lenta e limita a escalabilidade. Os nós também precisam armazenar os dados das transações (ou não conseguem reexecutar as computações), causando aumentos exponenciais no tamanho da blockchain.

Mas e se os nós pudessem verificar a validade de uma computação sem reexecutá-la? Isso melhoraria o throughput da rede e eliminaria a necessidade de os nós armazenarem dados excessivos de transações.

Entram os ZK-SNARKs.

Provas de validade geradas usando ZK-SNARK podem provar a validade de uma transação sem revelar os inputs. É por isso que criptomoedas focadas em privacidade, como Zcash e Monero, usam SNARKs para ofuscar informações sobre transações.

Um SNARK também pode provar a correção de uma computação realizada off-chain sem que os nós reexecutem cada etapa da computação. É aqui que o ZK-SNARK se torna útil para escalar blockchains.

Verificar computações off-chain com SNARKs é um processo complexo que começa com a codificação da computação em uma expressão matemática. Essa afirmação matemática forma a base da prova de validade.

O verifier então realiza uma operação sobre a prova para verificar sua correção. Se a prova passar em todas as verificações, a computação subjacente é considerada válida. É por isso que os SNARKs são succinct — o tamanho de uma prova de validade é muitas vezes menor do que a computação que ela verifica.

ZK-SNARKs e ZK rollups

Um rollup é uma solução de escalabilidade de Layer 2 para o Ethereum que melhora o throughput na blockchain de Layer 1 (L1) por meio de execução off-chain. Rollups processam transações em uma chain L2, agregam várias transações off-chain em blocos e as submetem à chain L1.

Ao mover a computação para fora da camada base, os rollups diminuem o congestionamento da rede e escalam as transações.

No entanto, a chain L1 precisa saber se as transações executadas off-chain são válidas ou não (ou seja, o problema da integridade computacional). Caso contrário, um agente malicioso pode sequestrar o rollup e submeter transações ruins à chain principal.

Um tipo de rollup (zero-knowledge rollup) usa ZK-SNARKs para provar a autenticidade de transações off-chain à chain L1. Provas SNARK podem ser verificadas por qualquer pessoa, o que garante à chain L1 a validade das transações.

A maioria dos ZK rollups que usam ZK-SNARKs segue a mesma estrutura:

1. Usuários na chain L2 assinam transações e as submetem aos validators.

2. Os validators comprimem as transações em um bloco e geram uma prova de validade correspondente (SNARK). Isso oferece garantias criptográficas de que o novo estado resultou da adição de transações válidas.

3. Um smart contract na chain L1 realiza uma operação sobre a prova de validade. Os resultados dessa operação determinam se as transações agrupadas são validadas e registradas na chain principal.

Quais são os benefícios dos ZK-SNARKs?

Existem três benefícios principais no uso de ZK-SNARKs: alto throughput, tamanhos pequenos de prova de validade e segurança.

1. Alto throughput

ZK-SNARKs escalam o throughput reduzindo a computação na camada base do Ethereum. Com ZK-SNARKs, os rollups podem aumentar as taxas de TPS para milhares.

Um ZK-SNARK geralmente é muitas vezes menor do que os dados de transação que verifica. Isso reduz o congestionamento nas blockchains base e permite taxas de gas mais baratas e transações mais rápidas.

2. Tamanhos de prova pequenos

O tamanho pequeno das provas SNARK facilita sua verificação na chain principal. No Ethereum, isso significa taxas de gas menores para verificar transações off-chain, reduzindo os custos dos rollups para os usuários finais.

3. Segurança

Os ZK rollups são considerados mais seguros do que outros projetos de escalabilidade, principalmente devido aos mecanismos de segurança criptográfica de ponta usados nos ZK-SNARKs.

A prova ZK-SNARK é computacionalmente sólida, dificultando enganar verifiers e agir de forma maliciosa. O caráter não interativo dos ZK-SNARKs também significa que as provas podem ser verificadas de forma trustless por qualquer pessoa.

Quais são as desvantagens dos ZK-SNARKs?

Existem três desvantagens principais no uso de ZK-SNARKs: exigem um trusted setup, são suscetíveis a ataques de computação quântica e dependem de hardware especial.

1. Trusted setup

Configurar o protocolo ZK-SNARK requer a criação de uma Universal Common Reference String (CRS). Também descrita como parâmetros públicos, a CRS permite comunicação segura entre provers e verifiers.

Se um agente malicioso obtivesse conhecimento dos parâmetros públicos, poderia gerar provas de validade falsas. Alguns projetos tentam resolver esse problema usando computação multipartidária (MPC), que envolve diferentes indivíduos, para gerar os parâmetros públicos.

No entanto, essa abordagem exige que os usuários confiem na integridade dos envolvidos. Isso é bastante problemático, já que o propósito das blockchains é reduzir a necessidade de confiar em autoridades.

2. Suscetibilidade a ataques de computação quântica

O ZK-SNARK usa Elliptic Curve Cryptography (ECC) para criptografar as informações usadas na produção de provas de validade. A ECC é relativamente segura por enquanto, mas avanços na computação quântica poderiam quebrar seu modelo de segurança.

3. Dependência de hardware especial

Gerar provas de validade com ZK-SNARKs é um processo computacionalmente intensivo, o que significa que os provers precisam investir em hardware especializado. Como pouquíssimas pessoas conseguem comprar essas máquinas, muitos consideram o processo de geração de provas ZK-SNARK altamente centralizado.

Quais projetos usam ZK-SNARKs?

Cinco projetos notáveis que usam ZK-SNARKs são ZKSync, Loopring, Aztec, Polygon Hermez e ZKSpace.

zkSync

ZK rollup compatível com EVM que vive na Ethereum Mainnet, criado pela Matter Labs. O ZKSync suporta smart contracts, swaps de tokens, pagamentos e mintagem de NFTs.

Loopring

Projeto Ethereum Layer 2 (L2) baseado em tecnologia ZK rollup com SNARK. O Loopring também funciona como uma exchange descentralizada para negociar ETH e outros tokens ERC-20, por uma fração dos custos cobrados por DEXs na Ethereum Mainnet.

Aztec

Rede L2 de código aberto construída sobre a rede Ethereum. A Aztec utiliza ZK-SNARKs para escalar transações e aumentar a privacidade financeira dos usuários.

Polygon hermez

ZK rollup operando sobre a blockchain Ethereum. O Polygon Hermez usa ZK-SNARKs para viabilizar transferências de tokens e pagamentos seguros e de baixo custo.

Zkspace

Projeto ZK rollup baseado em ZK-SNARKs. O ZKSpace oferece aos usuários do Ethereum taxas de gas mais baixas e transações mais rápidas, e é composto por uma DEX no estilo AMM (ZKSwap v3), rede de pagamentos (ZKSquare) e marketplace de NFT (ZKSea).

O que é um ZK-STARK?

ZK-STARK é uma sigla para Zero-Knowledge Scalable Transparent Argument of Knowledge. Assim como os ZK-SNARKs, os ZK-STARKs mostram que uma afirmação é válida sem revelar nada sobre a própria afirmação.

Salvo algumas diferenças, um STARK tem as mesmas propriedades de um SNARK. Provas de validade baseadas em STARK são geradas usando uma informação, que é ocultada do verifier. Um STARK também pode verificar a correção de transações sem revelar os inputs.

ZK-STARKs vs. ZK-SNARKs

A principal diferença dos ZK-STARKs vem de suas propriedades escaláveis e transparentes:

O ZK-STARK é considerado transparente porque pode funcionar sem um trusted setup de uma Common Reference String (CRS). Em vez disso, os protocolos STARK usam aleatoriedade publicamente verificável para estabelecer interações entre provers e verifiers.

Os ZK-STARKs são escaláveis porque a complexidade de gerar e verificar provas escala quase linearmente em relação à complexidade da computação. Com os ZK-SNARKs, a complexidade de gerar e verificar provas escala linearmente em relação à computação subjacente.

Isso simplesmente significa que os protocolos ZK-SNARK exigem mais tempo para produzir e verificar provas do que os ZK-STARKs quando a computação que precisamos verificar é maior. É por isso que os STARKs são mais adequados a aplicações que lidam com grandes volumes de transações.

Quais são os benefícios dos ZK-STARKs?

Existem quatro benefícios principais no uso de ZK-STARKs: não há necessidade de trusted setup, são escaláveis, oferecem aos usuários throughput máximo e têm garantias de segurança elevadas.

1. Sem necessidade de trusted setup

Os ZK-STARKs não exigem um trusted setup para funcionar e, em vez disso, dependem de aleatoriedade pública. Isso reduz as premissas de confiança por parte dos usuários e melhora a segurança dos protocolos baseados em STARK.

2. Propriedades escaláveis

Os STARKs podem ser computados e verificados mais rapidamente em escala, em comparação com os SNARKs. Mais importante ainda, os ZK-STARKs mantêm os tempos de geração e verificação de provas baixos mesmo quando a complexidade da computação subjacente cresce exponencialmente.

3. Throughput máximo

Assim como os SNARKs, os STARKs podem escalar blockchains ao permitir computação off-chain segura e verificável.

Uma única prova STARK submetida à chain L1 pode verificar milhares de transações realizadas fora da chain principal. Por isso, vários projetos de ZK rollup de destaque usam ZK-SNARKs para provar a integridade da computação off-chain.

4. Garantias de segurança mais elevadas

Os ZK-STARKs usam hashes resistentes a colisões para criptografia, em vez dos esquemas de curva elíptica usados nos ZK-SNARKs. Isso é considerado resistente a ataques de computação quântica, tornando-o mais seguro do que as curvas elípticas usadas em SNARKs.

Quais são as desvantagens dos ZK-STARKs?

As duas principais desvantagens do uso de ZK-STARKs são o uso de tamanhos de prova maiores e a menor adoção da tecnologia no espaço blockchain.

1. Tamanhos de prova maiores

Embora os STARKs ofereçam provas mais rápidas, a desvantagem é que essas provas são maiores em comparação com as provas baseadas em SNARK. Isso torna as provas STARK mais caras de verificar no Ethereum, já que computar provas maiores gera taxas de gas mais altas.

2. Menor adoção

Os SNARKs foram a primeira aplicação prática da tecnologia de conhecimento zero em blockchains, razão pela qual têm mais participação de mercado do que os STARKs. A maioria dos ZK rollups usa ZK-SNARKs, e o ecossistema de desenvolvedores e o tooling para provas ZK baseadas em SNARK são maiores.

Embora os ZK-STARKs também tenham apoiadores de destaque, incluindo a Ethereum Foundation, sua adoção é menor. Os desenvolvedores podem, portanto, encontrar menos suporte e tooling para construir projetos ZK com STARKs.

Quais projetos usam ZK-STARKs?

StarkNet

ZK rollup de propósito geral operando como uma rede L2 no Ethereum. O StarkNet permite que aplicações descentralizadas alcancem escalabilidade ilimitada sem comprometer a descentralização e a segurança do Ethereum.

dYdX

Projeto ZK rollup baseado em Ethereum (que também funciona como uma exchange descentralizada) que oferece a usuários e traders de cripto negociação, empréstimos e financiamento rápidos e de baixo custo. O dYdX usa provas STARK como parte de seu mecanismo de segurança, garantindo a segurança dos fundos dos usuários.

Polygon miden

ZK rollup baseado em STARK com compatibilidade EVM. Embora ainda em produção, o Polygon Miden será o primeiro protocolo ZK-STARK compatível com EVM no lançamento e permitirá que desenvolvedores migrem aplicativos nativos do Ethereum para desfrutar de escalabilidade na rede L2.

O que é um ZK-SNARK recursivo?

Um sistema SNARK recursivo gera provas em paralelo para diferentes blocos de transações e as agrega em uma única prova de bloco que é submetida à blockchain principal, o que significa que um SNARK pode verificar outros SNARKs.

O rollup L2 ainda submete uma prova de validade no Ethereum. No entanto, essa "prova recursiva" verifica transações em múltiplos blocos L2, todos os quais se tornam válidos assim que o contrato on-chain aceita a prova submetida.

Qual problema os ZK-SNARKs recursivos resolvem?

Os ZK-SNARKs recursivos aumentam drasticamente o número de transações que podem ser finalizadas com uma prova ZK, incluindo múltiplas provas L2 em uma única prova submetida à chain L1, o que atualmente é limitado pelo tempo de bloco de 12-14 segundos do Ethereum.

Tempo de bloco refere-se a quanto tempo leva para minerar um novo bloco de transações no Ethereum. Os ZK rollups só podem submeter uma transação on-chain (e a prova de validade correspondente) por bloco, limitando quantas transações podem processar.

Como um ZK-SNARK recursivo é diferente de um ZK-SNARK comum?

Um ZK-SNARK recursivo é diferente de um ZK-SNARK normal porque os ZK-SNARKs recursivos podem verificar mais de um bloco de transações ao combinar SNARKs gerados para diferentes blocos L2 em uma única prova de validade que é submetida à chain L1.

Os ZK rollups criam uma prova SNARK para cada lote de transações antes de postar na blockchain principal, e uma única prova SNARK só pode verificar um bloco de transações realizadas no ZK rollup L2.

ZK-SNARKs podem verificar transações que já foram verificadas por ZK-SNARKs comuns, sem usar os inputs originais. Ou seja, o smart contract on-chain pode verificar um conjunto maior de computações off-chain sem executar múltiplos SNARKs como inputs.

O que é o plonky2?

Plonky2 é um novo mecanismo de prova usado no Polygon Zero, um Polygon ZK rollup proposto que usa ZK-SNARKs recursivos para aumentar as transações.

SNARKs recursivos escalam o processo de geração de provas ao agregar várias provas em uma prova recursiva, e o Plonky2 usa a mesma técnica para diminuir o tempo necessário para gerar novas provas de bloco.

O mecanismo de prova Plonky2 gera provas para milhares de transações em paralelo antes de agregá-las recursivamente em uma única prova de bloco. Isso é mais eficiente do que os mecanismos de prova tradicionais, que tentam gerar a prova de bloco inteira de uma só vez.

Os benefícios dessa abordagem são óbvios.

O Plonky2 pode gerar uma prova recursiva em 0,17 segundos, tornando-o o mecanismo de prova mais rápido disponível. Além disso, o Plonky2 produz provas em um dispositivo de nível consumidor, resolvendo os problemas de centralização de hardware presentes em sistemas de prova tradicionais baseados em SNARK.

Conclusão

As provas de conhecimento zero deixaram de ser tecnologias de proteção de privacidade para se tornarem a próxima fronteira da tecnologia de escalabilidade. Com a explosão dos ZK rollups, é seguro dizer que ZK-SNARKs, ZK-STARKs e SNARKs recursivos terão papel central no esforço de escalar o Ethereum.

Desenvolvedores Web3 podem aproveitar a tecnologia de conhecimento zero construindo no StarkNet, um ZK rollup do Ethereum baseado em STARK e suportado pela Alchemy. Comece a construir aplicativos que escalam hoje sem trade-offs!