摘要：這反過(guò)來(lái)又意味著一些要點(diǎn)：·數(shù)據(jù)可用性要求：對(duì)于使用被奉為圭臬的ZK-EVM證明的任何EVM執(zhí)行，我們希望能夠保證底層數(shù)據(jù)是可用的，以便使用不同證明系統(tǒng)的證明者可以重新證明執(zhí)行，依賴(lài)該證明系統(tǒng)的客戶(hù)端可以驗(yàn)證這些新生成的證明。...

以太坊上的 Layer-2 EVM 協(xié)議，包括 op rollup 和 ZK rollup，依賴(lài)于 EVM 驗(yàn)證。然而，這要求它們信任一個(gè)龐大的代碼庫(kù)，如果該代碼庫(kù)存在漏洞，這些虛擬機(jī)面臨被黑客攻擊的風(fēng)險(xiǎn)。此外，即使是希望與 L1 EVM 完全等同的 ZK-EVM，也需要一定形式的治理，以將 L1 EVM 的更改復(fù)制到它們自己的 EVM 實(shí)現(xiàn)中。

這種情況并不理想，因?yàn)檫@些項(xiàng)目正在復(fù)制以太坊協(xié)議中已經(jīng)存在的功能，而以太坊治理已經(jīng)負(fù)責(zé)升級(jí)和修復(fù)錯(cuò)誤：ZK-EVM 基本上執(zhí)行與驗(yàn)證 L1 以太坊區(qū)塊相同的工作！此外，未來(lái)幾年內(nèi)，我們預(yù)計(jì)輕客戶(hù)端將變得越來(lái)越強(qiáng)大，很快就會(huì)使用 ZK-SNARKs 完全驗(yàn)證 L1 以太坊執(zhí)行。此時(shí)，以太坊網(wǎng)絡(luò)將有效地?fù)碛幸粋€(gè)內(nèi)置的 ZK-EVM。因此，問(wèn)題出現(xiàn)了：為什么不將該 ZK-EVM 本地化提供給 rollup 項(xiàng)目呢？

本文將描述幾個(gè)可能實(shí)現(xiàn)的「被奉為圭臬的 ZK-EVM」版本，并探討權(quán)衡和設(shè)計(jì)挑戰(zhàn)，以及不選擇特定方向的原因。這些實(shí)現(xiàn)協(xié)議特性的優(yōu)勢(shì)應(yīng)該與留給生態(tài)系統(tǒng)的好處和保持基礎(chǔ)協(xié)議簡(jiǎn)單的利益相權(quán)衡。

我們對(duì)被奉為圭臬的 ZK-EVM 有哪些關(guān)鍵屬性的期望？

基本功能：驗(yàn)證以太坊區(qū)塊。該協(xié)議特性（目前仍未確定是操作碼、預(yù)編譯還是其他機(jī)制）應(yīng)至少接受預(yù)狀態(tài)根、區(qū)塊和后狀態(tài)根作為輸入，并驗(yàn)證后狀態(tài)根是否確實(shí)是在預(yù)狀態(tài)根的基礎(chǔ)上執(zhí)行區(qū)塊的結(jié)果。

與以太坊多客戶(hù)端理念的兼容性。這意味著我們希望避免奉行單一的證明系統(tǒng)，而是允許不同的客戶(hù)端使用不同的證明系統(tǒng)。這反過(guò)來(lái)又意味著一些要點(diǎn)：

· 數(shù)據(jù)可用性要求：對(duì)于使用被奉為圭臬的 ZK-EVM 證明的任何 EVM 執(zhí)行，我們希望能夠保證底層數(shù)據(jù)是可用的，以便使用不同證明系統(tǒng)的證明者可以重新證明執(zhí)行，依賴(lài)該證明系統(tǒng)的客戶(hù)端可以驗(yàn)證這些新生成的證明。

· 證明存在于 EVM 和區(qū)塊數(shù)據(jù)結(jié)構(gòu)之外：ZK-EVM 特性不會(huì)直接將 SNARK 作為 EVM 內(nèi)輸入，因?yàn)椴煌目蛻?hù)端期望不同類(lèi)型的 SNARK。相反，它可能類(lèi)似于 blob 驗(yàn)證：交易可以包含需要證明的（預(yù)狀態(tài)、區(qū)塊主體、后狀態(tài)）語(yǔ)句，操作碼或預(yù)編譯可以訪問(wèn)這些語(yǔ)句的內(nèi)容，客戶(hù)端共識(shí)規(guī)則將分別檢查每個(gè)在區(qū)塊中提出的聲明的數(shù)據(jù)可用性和證明的存在。

可審計(jì)性。如果任何執(zhí)行都得到證明，我們希望底層數(shù)據(jù)是可用的，以便在發(fā)生任何問(wèn)題時(shí)，用戶(hù)和開(kāi)發(fā)者可以檢查。在實(shí)踐中，這增加了數(shù)據(jù)可用性要求重要性的另一個(gè)原因。

可升級(jí)性。如果發(fā)現(xiàn)特定的 ZK-EVM 方案存在漏洞，我們希望能夠快速修復(fù)。這意味著不需要硬分叉來(lái)進(jìn)行修復(fù)。這增加了證明存在于 EVM 和區(qū)塊數(shù)據(jù)結(jié)構(gòu)之外的重要性的另一個(gè)原因。

支持 almost-EVM 的網(wǎng)絡(luò)。L2 的吸引力之一在于創(chuàng)新執(zhí)行層的能力，并對(duì) EVM 進(jìn)行擴(kuò)展。如果某個(gè)給定的 L2 的虛擬機(jī)（VM）與 EVM 僅有細(xì)微差異，那么如果 L2 仍然可以使用與 EVM 相同的原生協(xié)議內(nèi) ZK-EVM，僅對(duì)與 EVM 相同的部分依賴(lài)其自身代碼，對(duì)于不同的部分則依賴(lài)于他們自己的代碼，那將是很好的。這可以通過(guò)設(shè)計(jì) ZK-EVM 特性的方式來(lái)實(shí)現(xiàn)，該特性允許調(diào)用者指定由外部提供的表處理的一些操作碼、地址或位域，而不是由 EVM 本身處理。我們還可以在有限的范圍內(nèi)使燃?xì)獬杀鹃_(kāi)放定制。

「開(kāi)放」與「封閉」的多客戶(hù)端系統(tǒng)

「多客戶(hù)端理念」可能是這個(gè)列表中最有主張的要求。有放棄這一理念的選擇，集中精力研究一個(gè) ZK-SNARK 方案，這將簡(jiǎn)化設(shè)計(jì)，但代價(jià)是對(duì)以太坊的一個(gè)更大的「哲學(xué)轉(zhuǎn)變」（因?yàn)閷?shí)際上這將是對(duì)以太坊長(zhǎng)期多客戶(hù)端理念的放棄）和引入更大的風(fēng)險(xiǎn)。在長(zhǎng)期未來(lái)，例如形式化驗(yàn)證技術(shù)變得更好的情況下，可能更好地選擇這條道路，但目前來(lái)看，風(fēng)險(xiǎn)似乎太大。

另一種選擇是封閉的多客戶(hù)端系統(tǒng)，在協(xié)議內(nèi)已知一組固定的證明系統(tǒng)。例如，我們可能決定使用三個(gè) ZK-EVMs：PSE ZK-EVM、Polygon ZK-EVM 和 Kakarot。一個(gè)區(qū)塊需要攜帶這三個(gè)中的兩個(gè)的證明才能被視為有效。這比單一的證明系統(tǒng)要好，但它使系統(tǒng)變得不太適應(yīng)性，因?yàn)橛脩?hù)必須為每個(gè)已知的證明系統(tǒng)維護(hù)驗(yàn)證器，必然會(huì)存在政治性的治理過(guò)程來(lái)納入新的證明系統(tǒng)等等。

這促使我更傾向于采用開(kāi)放的多客戶(hù)端系統(tǒng)，其中證明被放置在「區(qū)塊之外」，并由客戶(hù)端分別驗(yàn)證。個(gè)別用戶(hù)可以使用他們想要的客戶(hù)端來(lái)驗(yàn)證區(qū)塊，只要至少有一個(gè)生成該證明系統(tǒng)證明的證明者。證明系統(tǒng)將通過(guò)說(shuō)服用戶(hù)運(yùn)行它們而獲得影響力，而不是通過(guò)說(shuō)服協(xié)議治理過(guò)程。然而，這種方法確實(shí)具有更多的復(fù)雜性成本，我們將會(huì)看到。

我們希望 ZK-EVM 實(shí)現(xiàn)具備哪些關(guān)鍵特性？

除了基本的正確功能和安全性保證之外，最重要的特性是速度。雖然可以設(shè)計(jì)一個(gè)協(xié)議內(nèi)的 ZK-EVM 特性，其是異步的，僅在經(jīng)過(guò) N 個(gè)時(shí)隙的延遲后為每個(gè)聲明返回一個(gè)答案，但如果我們可以可靠地保證在幾秒內(nèi)生成證明，那么每個(gè)區(qū)塊中發(fā)生的一切都是自包含的問(wèn)題將變得更容易。

盡管今天生成以太坊區(qū)塊的證明需要很多分鐘或小時(shí)，但我們知道沒(méi)有理論上的阻止大規(guī)模并行化的原因：我們總是可以組合足夠多的 GPU，分別證明區(qū)塊執(zhí)行的不同部分，然后使用遞歸 SNARKs 將這些證明組合在一起。此外，通過(guò) FPGAs 和 ASICs 的硬件加速可能有助于進(jìn)一步優(yōu)化證明。然而，實(shí)際達(dá)到這一點(diǎn)是一個(gè)重要的工程挑戰(zhàn)，不應(yīng)該被低估。

協(xié)議內(nèi)的 ZK-EVM 特性可能具體是什么樣子？

類(lèi)似于 EIP-4844 Blob 交易，我們引入了一種包含 ZK-EVM 聲明的新交易類(lèi)型：

與 EIP-4844 類(lèi)似，在內(nèi)存池中傳遞的對(duì)象將是交易的修改版本：

后者可以轉(zhuǎn)換為前者，但反之則不行。我們還擴(kuò)展了區(qū)塊邊車(chē)對(duì)象（在 EIP-4844 中引入）以包含在區(qū)塊中所做聲明的證明列表。

請(qǐng)注意，在實(shí)際操作中，我們可能會(huì)希望將邊車(chē)分成兩個(gè)獨(dú)立的邊車(chē)，一個(gè)用于 blob，一個(gè)用于證明，并為每種證明類(lèi)型設(shè)置一個(gè)單獨(dú)的子網(wǎng)（還有一個(gè)額外的子網(wǎng)用于 blob）。

在共識(shí)層上，我們添加了一個(gè)驗(yàn)證規(guī)則，即僅當(dāng)客戶(hù)端看到了區(qū)塊中每個(gè)聲明的有效證明后，該區(qū)塊才會(huì)被接受。證明必須是 ZK-SNARK 證明聲明，即
transaction_and_witness_blobs 的串聯(lián)是（Block，Witness）對(duì)的序列化，執(zhí)行塊在 pre_state_root 上使用 Witness (i) 是有效的，并且 (ii) 輸出正確的 post_state_root。潛在地，客戶(hù)端可以選擇等待多種證明類(lèi)型的 M-of-N。

在這里有一個(gè)哲學(xué)性的注記，即區(qū)塊執(zhí)行本身可以被視為僅是需要與 ZKEVMClaimTransaction 對(duì)象中提供的（σpre,σpost，Proof）三元組之一一起檢查的。因此，用戶(hù)的 ZK-EVM 實(shí)現(xiàn)可以替換其執(zhí)行客戶(hù)端；執(zhí)行客戶(hù)端仍將被（i）證明者和區(qū)塊構(gòu)建者使用，以及（ii）關(guān)心索引和存儲(chǔ)數(shù)據(jù)供本地使用的節(jié)點(diǎn)使用。

驗(yàn)證和重新證明

假設(shè)有兩個(gè)以太坊客戶(hù)端，其中一個(gè)使用 PSE ZK-EVM，另一個(gè)使用 Polygon ZK-EVM。假設(shè)到達(dá)這一點(diǎn)時(shí)，兩個(gè)實(shí)現(xiàn)都已發(fā)展到可以在 5 秒內(nèi)證明以太坊塊執(zhí)行的程度，并且對(duì)于每個(gè)證明系統(tǒng)，存在足夠多獨(dú)立的志愿者運(yùn)行硬件以生成證明。

不幸的是，由于個(gè)別證明系統(tǒng)未被正式確立，它們無(wú)法在協(xié)議中獲得激勵(lì)；然而，我們預(yù)計(jì)運(yùn)行證明節(jié)點(diǎn)的成本將較低，相比于研究和開(kāi)發(fā)的成本，因此我們可以簡(jiǎn)單地通過(guò)通用機(jī)構(gòu)為公共物品資助來(lái)資助證明節(jié)點(diǎn)。

假設(shè)有人發(fā)布了一個(gè)
ZKEvmClaimNetworkTransaction，除非他們只發(fā)布了 PSE ZK-EVM 版本的證明。Polygon ZK-EVM 的證明節(jié)點(diǎn)看到這一情況，計(jì)算并重新發(fā)布該對(duì)象，附帶 Polygon ZK-EVM 的證明。

這將最早的誠(chéng)實(shí)節(jié)點(diǎn)接受區(qū)塊和最晚的誠(chéng)實(shí)節(jié)點(diǎn)接受相同區(qū)塊之間的總最大延遲從δ增加到 2δ+Tprove（在這里假設(shè) Tprove

然而，好消息是，如果我們采用單槽確定性，我們幾乎肯定可以將這種額外延遲與 SSF 固有的多輪共識(shí)延遲一起「流水線」處理。例如，在這個(gè) 4 子槽提案中，「頭部投票」步驟可能只需要檢查基本的區(qū)塊有效性，但「凍結(jié)和確認(rèn)」步驟將需要存在一個(gè)證明。

擴(kuò)展：支持「almost-EVM」

ZK-EVM 功能的一個(gè)可取目標(biāo)是支持「almost-EVM」：具有一些額外功能的 EVMs。這可能包括新的預(yù)編譯，新的操作碼，允許合約以 EVM 或完全不同的 VM（例如，在 Arbitrum Stylus 中）編寫(xiě)，甚至具有同步交叉通信的多個(gè)并行 EVMs。

一些修改可以以簡(jiǎn)單的方式進(jìn)行支持：我們可以定義一種語(yǔ)言，允許 ZKEVMClaimTransaction 傳遞修改后的 EVM 規(guī)則的完整描述。這可以用于：

· 自定義 gas 成本表（用戶(hù)不得減少 gas 成本，但可以增加）

· 禁用某些操作碼

· 設(shè)置區(qū)塊編號(hào)（這將意味著根據(jù)硬分叉而有不同的規(guī)則）

· 設(shè)置一個(gè)激活已為 L2 使用而非 L1 使用標(biāo)準(zhǔn)化的整套 EVM 更改的標(biāo)志，或其他更簡(jiǎn)單的更改

為了以更加開(kāi)放的方式允許用戶(hù)通過(guò)引入新的預(yù)編譯（或操作碼）添加新功能，我們可以在
ZKEVMClaimNetworkTransaction 的 blob 的一部分中添加一個(gè)包含預(yù)編譯輸入/輸出轉(zhuǎn)錄的內(nèi)容：

EVM 執(zhí)行將被修改如下。數(shù)組 inputs 將被初始化為空。每次調(diào)用 used_precompile_addresses 中的地址時(shí)，我們將 InputsRecord（callee_address、gas、input_calldata）對(duì)象附加到 inputs，并將調(diào)用的 RETURNDATA 設(shè)置為 outputs[i]。最后，我們檢查 used_precompile_addresses 總共被調(diào)用了 len(outputs) 次，并且 inputs_commitments 匹配生成的 blob commitments 到 inputs 的 SSZ 序列化的結(jié)果。暴露 inputs_commitments 的目的是為了方便外部 SNARK 證明輸入和輸出之間的關(guān)系。

請(qǐng)注意輸入和輸出之間的不對(duì)稱(chēng)性，其中輸入被存儲(chǔ)在散列中，而輸出被存儲(chǔ)在必須提供的字節(jié)中。這是因?yàn)閳?zhí)行需要由僅看到輸入并理解 EVM 的客戶(hù)端完成。EVM 執(zhí)行已經(jīng)為它們生成了輸入，因此它們只需檢查生成的輸入是否與聲明的輸入匹配，這僅需要進(jìn)行散列檢查。但是，輸出必須以完整形式提供給它們，因此必須是數(shù)據(jù)可用的。

另一個(gè)有用的功能可能是允許「特權(quán)事務(wù)」，即從任意發(fā)件人賬戶(hù)發(fā)起調(diào)用的事務(wù)。這些事務(wù)可以在兩個(gè)其他事務(wù)之間運(yùn)行，或者在另一個(gè)（可能也是特權(quán)的）事務(wù)中調(diào)用預(yù)編譯時(shí)運(yùn)行。這可以用于允許非 EVM 機(jī)制調(diào)用回 EVM。

這個(gè)設(shè)計(jì)可以修改以支持新的或修改過(guò)的操作碼，除了新的或修改過(guò)的預(yù)編譯。即使只有預(yù)編譯，這個(gè)設(shè)計(jì)也非常強(qiáng)大。例如：

· 通過(guò)設(shè)置 used_precompile_addresses，包括在狀態(tài)中其帳戶(hù)對(duì)象中設(shè)置了某些標(biāo)志的常規(guī)賬戶(hù)地址列表，并制作一個(gè) SNARK 來(lái)證明它被正確構(gòu)建，您可以支持 Arbitrum Stylus 風(fēng)格的功能，其中合約的代碼可以用 EVM 或 WASM（或其他 VM）編寫(xiě)。特權(quán)事務(wù)可用于允許 WASM 賬戶(hù)回調(diào)到 EVM。

· 通過(guò)添加一個(gè)外部檢查，確保多個(gè) EVM 執(zhí)行的輸入/輸出轉(zhuǎn)錄和特權(quán)事務(wù)以正確的方式匹配，您可以證明一個(gè)通過(guò)同步通道相互通信的多個(gè) EVM 的并行系統(tǒng)。

· 第四類(lèi)型的 ZK-EVM 可以通過(guò)擁有多個(gè)實(shí)現(xiàn)來(lái)運(yùn)作：一個(gè)將 Solidity 或其他高級(jí)語(yǔ)言直接轉(zhuǎn)換為 SNARK 友好的 VM 的實(shí)現(xiàn)，另一個(gè)將其編譯為 EVM 代碼并在被奉為圭臬的 ZK-EVM 中執(zhí)行。第二個(gè)（不可避免地較慢的）實(shí)現(xiàn)僅在錯(cuò)誤證明者發(fā)送聲明存在錯(cuò)誤的交易的情況下運(yùn)行，如果他們能夠提供兩者不同處理的交易，則可以獲得獎(jiǎng)勵(lì)。

· 一個(gè)純異步的 VM 可以通過(guò)使所有調(diào)用返回零，并將調(diào)用映射到添加到塊末尾的特權(quán)交易來(lái)實(shí)現(xiàn)。

擴(kuò)展：支持有狀態(tài)的證明者

上述設(shè)計(jì)的一個(gè)挑戰(zhàn)是它完全是無(wú)狀態(tài)的，這使得它在數(shù)據(jù)利用上效率較低。通過(guò)支持有狀態(tài)的壓縮，使用理想的數(shù)據(jù)壓縮，ERC20 發(fā)送可以比僅使用無(wú)狀態(tài)壓縮時(shí)更節(jié)省空間，最多可以節(jié)省 3 倍的空間。

此外，有狀態(tài)的 EVM 不需要提供見(jiàn)證數(shù)據(jù)。在兩種情況下，原則是相同的：要求數(shù)據(jù)可用是一種浪費(fèi)，因?yàn)槲覀円呀?jīng)知道該數(shù)據(jù)是可用的，因?yàn)樗怯?EVM 的先前執(zhí)行輸入或產(chǎn)生的。

如果我們想讓 ZK-EVM 功能成為有狀態(tài)的，那么我們有兩個(gè)選擇：

1. 要求 σpre 要么為空，要么是一個(gè)預(yù)先聲明的鍵值對(duì)的數(shù)據(jù)可用列表，或者是某個(gè)先前執(zhí)行的 σpost。

2. 將一個(gè)由區(qū)塊生成的收據(jù) R 的 blob 承諾添加到 (σpre,σpost,Proof) 元組中。任何先前生成或使用的 blob 承諾，包括那些表示區(qū)塊、見(jiàn)證、收據(jù)甚至是常規(guī)的 EIP-4844 blob 交易的承諾，可能帶有一些時(shí)間限制，都可以在 ZKEVMClaimTransaction 中被引用，并在其執(zhí)行過(guò)程中被訪問(wèn)（可能通過(guò)一系列指令實(shí)現(xiàn)：「在塊+見(jiàn)證數(shù)據(jù)的位置 j 處插入承諾 i 的字節(jié) N...N+k?1」）。

(1) 基本上是在說(shuō)：與其將無(wú)狀態(tài)的 EVM 驗(yàn)證固化，我們將固化 EVM 子鏈。（2）本質(zhì)上是創(chuàng)建一個(gè)內(nèi)置的最小有狀態(tài)壓縮算法，它使用先前使用或生成的 blob 作為字典。這兩者都給證明節(jié)點(diǎn)，僅僅是證明節(jié)點(diǎn)，增加了存儲(chǔ)更多信息的負(fù)擔(dān)；在情況（2）中，比情況（1）更容易將這種負(fù)擔(dān)限制在一定時(shí)間內(nèi)。

封閉式多證明系統(tǒng)和鏈下數(shù)據(jù)的爭(zhēng)論

封閉式多證明者系統(tǒng)在 M-of-N 結(jié)構(gòu)中固定了一定數(shù)量的證明系統(tǒng)，避免了上述許多復(fù)雜性。特別是，封閉式多證明者系統(tǒng)不需要擔(dān)心確保數(shù)據(jù)上鏈的問(wèn)題。此外，封閉式多證明者系統(tǒng)將允許 ZK-EVM 證明鏈下執(zhí)行；這使其與 EVM Plasma 解決方案兼容。

然而，封閉式多證明者系統(tǒng)增加了治理復(fù)雜性并且降低了可審查性，這些是需要權(quán)衡的高成本與這些好處之間的。

如果我們將 ZK-EVM 確立為協(xié)議功能，那么「L2 項(xiàng)目」將會(huì)有哪些持續(xù)的角色？

協(xié)議將處理目前 L2 團(tuán)隊(duì)自己實(shí)施的 EVM 驗(yàn)證功能，但 L2 項(xiàng)目仍將負(fù)責(zé)許多重要的功能：

快速預(yù)確認(rèn)：單槽終局性可能會(huì)使 L1 槽變慢，而 L2 項(xiàng)目已經(jīng)在為其用戶(hù)提供由 L2 自身安全支持的「預(yù)確認(rèn)」，延遲遠(yuǎn)低于一個(gè)槽。這項(xiàng)服務(wù)將繼續(xù)是純粹的 L2 責(zé)任。

MEV 緩解策略：這可能包括加密內(nèi)存池、基于聲望的順序選擇以及 L1 不愿意實(shí)施的其他功能。

對(duì) EVM 的擴(kuò)展：L2 項(xiàng)目可以整合對(duì) EVM 的實(shí)質(zhì)性擴(kuò)展，為其用戶(hù)提供重要價(jià)值。這既包括「幾乎-EVMs」，也包括像 Arbitrum Stylus 的 WASM 支持和 SNARK 友好的 Cairo 語(yǔ)言等根本不同的方法。

面向用戶(hù)和開(kāi)發(fā)者的便利：L2 團(tuán)隊(duì)在吸引用戶(hù)和項(xiàng)目進(jìn)入其生態(tài)系統(tǒng)并使其感到受歡迎方面做了大量工作；他們通過(guò)在其網(wǎng)絡(luò)內(nèi)獲取 MEV 和擁塞費(fèi)用來(lái)獲得補(bǔ)償。這種關(guān)系將繼續(xù)存在。