
L2 – zkSync证明聚合
PLONK算法虽然只需要一次初始设置,但是证明的计算复杂度相对Groth16算法更高。PLONK算法的好处,远不止初始设置这么简单,因为任何电路都可以共用初始设置,PLONK算法本身的验证逻辑也可以使用初始设置。也就是说,基于PLONK算法可以构建算法验证的电路,从而基于PLONK算法可以证明PLONK算法的证明。
Matter-Labs开源了PLONK算法的验证电路,能证明多个PLONK证明,相关代码链接如下:
https://github.com/matter-labs/recursive_aggregation_circuit
代码量相对比较小,一切从RecursiveAggregationCircuit的synthesize函数开始。
synthesize函数
synthesize的逻辑相对清晰。整个电路实现了如下的功能:
1/ 电路“验证”所有需要证明的proof是否正确
2/ 验证“验证”proof对应的vk是否是指定的那些vk(存储在智能合约)
3/ 打包(packing)所有的公开输入信息(使用sha256算法)
整个逻辑如下图所示,图中的1/2/3就是对应的功能。
步骤2/3比较简单易懂。核心在步骤1。aggregrate_proof函数实现电路验证某个proof是否正确。
let mut pairs_for_generator = vec![];
let mut pairs_for_x = vec![];
for proof_idx in 0..self.num_proofs_to_check {
let proof = &proof_witnesses[proof_idx];
let vk = &vk_witnesses[proof_idx];
let [pair_with_generator, pair_with_x] = aggregate_proof::<_, _, T, CS::Params, P, _, _>(
cs,
self.transcript_params,
&proof.input_values,
&vk,
&proof,
&self.aux_data,
self.rns_params,
)?;
pairs_for_generator.push(pair_with_generator);
pairs_for_x.push(pair_with_x);
}
验证后输出两个结果:pair_with_generator 和 pair_with_x。
查看PlonK算法的验证逻辑的最后可以发现,验证的最后一步是验证两个配对函数:
左边的配对函数的g2部分是x,右边的配对函数的g2部分是1(generator)。查看aggregate_proof的函数发现,该“验证”电路,并不验证配对函数的结果是否相等。所以,“验证”电路并没有完整的验证。
aggregate_proof证明了pair_with_generator 和 pair_with_x计算正确。感兴趣的小伙伴可以自行查看该函数。在获得了所有证明的pair_with_generator 和 pair_with_x后,“聚合”在一起。
为了防止攻击,“聚合”采用随机因子:
let mut sponge = StatefulRescueGadget::<E>::new(self.rescue_params);
for w in fs_witnesses.into_iter() {
sponge.absorb_single_value(cs, w, self.rescue_params)?;
}
sponge.pad_if_necessary(self.rescue_params)?;
let aggregation_challenge = sponge
.squeeze_out_single(cs, self.rescue_params)?
.into_allocated_num(cs)?;
绑定proof信息生成随机信息。aggregation_challenge就是随机因子,记作c。
let mut scalars = vec![];
scalars.push(aggregation_challenge.clone());
let mut current = aggregation_challenge.clone();
for _ in 1..self.num_proofs_to_check {
let new = current.mul(cs, &aggregation_challenge)?;
scalars.push(new.clone());
current = new;
}
每个pair_with_generator/x前面的系数是c^n。在获得相应点对应的系数后,最后做一次multiexp,将多个点“聚合”在一起。
let pair_with_generator = WP::multiexp(
cs,
&scalars,
&pairs_for_generator,
None,
self.rns_params,
&self.aux_data,
)?;
let pair_with_x = WP::multiexp(
cs,
&scalars,
&pairs_for_x,
None,
self.rns_params,
&self.aux_data,
)?;
整个过程示意如下:
通过这种方法,原本每个proof都需要进行配对函数的验证计算,变成了一次配对函数的验证计算。特别注意的是,配对函数的验证并不是在电路中验证的,这部分的验证在“智能合约”中检查。查看contract/PlonkCore.sol文件的verify_recursive函数:
function verify_recursive(
Proof memory proof,
VerificationKey memory vk,
uint256 recursive_vks_root,
uint8 max_valid_index,
uint8[] memory recursive_vks_indexes,
uint256[] memory individual_vks_inputs,
uint256[16] memory subproofs_limbs
) internal view returns (bool) {
(uint256 recursive_input, PairingsBn254.G1Point[2] memory aggregated_g1s) = reconstruct_recursive_public_input(
recursive_vks_root, max_valid_index, recursive_vks_indexes,
individual_vks_inputs, subproofs_limbs
);
assert(recursive_input == proof.input_values[0]);
(bool valid, PairingsBn254.G1Point[2] memory recursive_proof_part) = aggregate_for_verification(proof, vk);
if (valid == false) {
return false;
}
// aggregated_g1s = inner
// recursive_proof_part = outer
PairingsBn254.G1Point[2] memory combined = combine_inner_and_outer(aggregated_g1s, recursive_proof_part);
valid = PairingsBn254.pairingProd2(combined[0], PairingsBn254.P2(), combined[1], vk.g2_x);
return valid;
}
该函数通过aggregate_for_verification函数检查提交的聚合proof本身是否正确。在聚合正确的基础上,调用PairingsBn254.pairingProd2检查“聚合”过的pair_with_x/generator是否正确。
到此,可以看出,这是一种”聚合“证明验证电路,能”部分“验证多个基于PlonK算法的证明。看懂了synthesize函数,再看证明的接口函数就比较容易理解:create_recursive_circuit_vk_and_setup和proof_recursive_aggregate_for_zksync。感兴趣的小伙伴可以自行查看。
电路的核心是电路的验证,PlonK算法的验证都是基于“点”的运算。该电路是如何证明一个椭圆曲线上的点的运算是核心中的核心。
点运算证明
点运算的电路实现在franklin-crypto库的src/plonk/circuit/curve/sw_affine.rs文件中:
pub fn multiexp<CS: ConstraintSystem<E>>(
cs: &mut CS,
scalars: &[Num::<E>],
points: &[Self],
bit_limit: Option<usize>
) -> Result<Self, SynthesisError> {
电路证明multiexp采用的是NAF查表法。scalar从高到低的每个bit上点算出来后,double-add。MultiexpTable就是NAF建立的映射表。
有趣的是,在Fq上的点(AffinePoint)的表示:
pub struct AffinePoint<'a, E: Engine, G: CurveAffine> where <G as CurveAffine>::Base: PrimeField {
pub x: FieldElement<'a, E, G::Base>,
pub y: FieldElement<'a, E, G::Base>,
pub value: Option<G>,
}
pub struct FieldElement<'a, E: Engine, F: PrimeField>{
// this is kind-of normal UintX limbs
pub binary_limbs: Vec<Limb<E>>,
// we can not multiply by power of modulus of our base field E,
// so we keep only one single limb
pub base_field_limb: Term<E>,
pub representation_params: &'a RnsParameters<E, F>,
pub value: Option<F>,
}
pub struct Limb<E: Engine> {
pub term: Term<E>,
pub max_value: BigUint,
}
为了在Fr上能模拟Fq上的点,Fq上的点分成多个Limb。每个Limb都有单独的变量(Variable)。具体的点的运算以及Multiexp的电路证明,感兴趣的小伙伴可以查看相关代码。
总结:
Matter-Labs开源了PLONK算法的验证电路,能实现多个PLONK证明的聚合证明。聚合电路证明某个证明可验证,并且验证使用的VK是正确的。注意的是,PLONK算法验证的最后一步(配对函数)并没有在电路中验证,而是依赖智能合约进行验证。
比推快讯
更多 >>- 美国康涅狄格州州长正式签署比特币储备禁令,该州将禁止接受、持有或投资数字资产
- 美股夜盘:Robinhood 再涨近 4%,隔夜飙升近 13%创新高
- ETH/BTC 期货交易量比逼近 1:1,反映市场对以太坊信心回暖
- Sui 基金会公布 Sui Overflow 2025 黑客松获奖名单
- 特朗普官方商品商店已支持 TRUMP 付款
- 德国最大银行集团 Sparkassen 将推出加密交易服务,预计 2026 年上线
- 比特币创下历史最高月度收盘价,达 107140 美元
- SharpLink Gaming 再次增持 4951 枚 ETH,约 1240 万美元
- 西班牙破获 5.41 亿美元加密诈骗案,5 人被捕
- AguilaTrades 频繁换仓操作再亏损 63 万美元,现再次转向做空 BTC
- Circle 申请美国国家银行牌照,拟自主管理 USDC 储备
- 交易员 AguilaTrades 近一个月亏损 3344.5 万美元
- 美国参议员拟在大而美法案中加入小额加密交易免税条款
- Burwick Law 请求通过 NFT 处理 4.4 亿美元的加密货币诉讼
- 美国最高法院拒绝审理加密货币用户数据隐私案
- 比特币 Q2 收涨 29.79%
- 摩根士丹利:美联储近期仍不太可能降息
- 数据:过去 24 小时全网爆仓 2.08 亿美元,多单爆仓 1.05 亿美元,空单爆仓 1.03 亿美元
- Bedrock 预告新一轮 BR 交易活动,奖金池高达 10 万美元
- CME“美联储观察”:美联储 7 月维持利率不变的概率为 79.8%
- Solana 生态顾问 Nikita Bier 加入 X 担任产品主管
- Circle 在美申请设立国家信托银行
- 美民主党参议员提出修正案:拟禁止官员通过推广加密货币获利
- 马斯克呼吁在美成立新政党,继续抨击“大而美”法案
- 黄金创2007年以来最大半年涨幅
- 欧盟将接受特朗普提出的统一关税方案,但寻求关键豁免
- 特朗普本周将与贸易团队会面,以确定国家关税税率
- 特朗普:利率应降至1%,鲍威尔及其委员会都难辞其咎
- 高盛将美联储降息预期时间提前至9月
- Robinhood(HOOD)涨幅扩大至 9.39%,续创历史新高
- Robinhood 计划到年底前将支持的代币化美股种类扩展至“数千种”
- Robinhood 正向欧洲用户赠送 OpenAI 和 SpaceX 代币
- Robinhood 旗下 Layer 2 暂定名为 Robinhood Chain
- 市场消息:REX-OSPREY SOL 现货 ETF 将于周三开始交易
- 消息人士:白宫拟推动将 Cynthia Lummis 提出的条款纳入《美丽大法案》
- Robinhood:ETH 和 SOL 质押服务已面向美国客户开放
- 当前主流 CEX、DEX 资金费率显示市场仍处于看跌态势
- “内幕哥”40 倍比特币和 25 倍以太坊空单目前整体浮盈 19.7 万美元
- 两家韩国今日机构已申请韩元稳定币商标
- 美联储博斯蒂克:没必要通过加息来应对通胀
- 比特币早期布道者 Lou Kerner 加盟播客平台 PodcastOne 担任加密顾问
- WLFI:稳定币 USD1 的 24 小时交易量超越 USDC,达 33.7 亿美元续创新高
- WeWork 联创拟重启区块链碳信用平台 Flowcarbon 的代币发行计划
- Origin Protocol:拟用协议收入回购 OGN 代币
- 白宫经委会主任哈塞特:美联储可能会降低利率
- 美联储博斯蒂克:预计明年将有三次降息
- 某新建地址从 Coinbase 提币 2.46 万枚 SOL 并进行质押
- Metaplanet CEO:今年二季度比特币收益率达到 129.4%
- Robinhood(HOOD)上涨 6.72%再创历史新高,11 时将公布加密相关重要公告
- 彭博 ETF 分析师:支持质押的 SOL 现货 ETF 或将于本周上线
比推专栏
更多 >>观点
比推热门文章
- 美国康涅狄格州州长正式签署比特币储备禁令,该州将禁止接受、持有或投资数字资产
- 美股夜盘:Robinhood 再涨近 4%,隔夜飙升近 13%创新高
- ETH/BTC 期货交易量比逼近 1:1,反映市场对以太坊信心回暖
- Sui 基金会公布 Sui Overflow 2025 黑客松获奖名单
- 特朗普官方商品商店已支持 TRUMP 付款
- 德国最大银行集团 Sparkassen 将推出加密交易服务,预计 2026 年上线
- “币股”崛起:五大加密资本赛道、44家公司全面拆解
- 比特币创下历史最高月度收盘价,达 107140 美元
- SharpLink Gaming 再次增持 4951 枚 ETH,约 1240 万美元
- 西班牙破获 5.41 亿美元加密诈骗案,5 人被捕