原文标题：《ZK and the Future of Ethereum Scaling》

原文作者：Brendan Farmer，Polygon工程师

海尔斯曼，链捕手

上个月，Offchain Labs发表了一篇题为为什么说 的文章Optimistic Rollup 比 ZK Rollup 更能代表以太坊扩容的未来吗？ZK Rollups 和 Optimistic Rollup 两种扩容技术。1月19日，Polygon零知识证明工程师Brendan Farmer发文回应了 OR 社区文章说要友好辩论。通过这两篇文章，我们可以更客观、更辩证地比较它们的优缺点。

Arbitrum 最近发表了一篇很棒的文章，认为 Optimistic Rollups (OR) 代表以太坊的未来，因为 ZK Rollups (ZKR) 相比，Optimistic Rollups它提供了自身固有的可扩展性和成本优势。这篇文章写得很好，值得一读。

本着友好辩论的精神，我们想提出不同的观点。Polygon 已向 ZK 投资了 10亿美元，这足以说明我们坚信这是以太坊扩计划中最有希望的方式。

虽然Optimistic Rollups具有“准备就绪”的优势，但ZK 扩展解决方案还有两个结构优势：

1、ZK Rollups支持在链上和链下扩展数据模式，后者提供任何比较Rollup吞吐量更高，成本更低；2.用户可以在与以太坊桥接往返的过程中不延迟，也不依赖流动性提供商。

2021年很明显，不同的用户更喜欢在安全性和交易成本之间进行不同的权衡，部分原因是 Polygon 快速增长。Optimistic Rollups但交易成本远高于侧链或 alt-L1。

ZK不要求用户在安全性和成本之间做出特定的权衡。当用户选择 时rollup相对于 模式Optimistic rollup，ZK提供相同的安全性和更高的资本效率。链下数据时，ZK 提供比侧链和 alt-L1 可扩展性和安全性更高，成本相同。

我们相信，ZK 可扩展性、低成本和资本效率将是以太坊扩展到10亿用户的最佳选择。

Rollups概述

Rollups 是一种扩大以太坊的方法，即将交易移出链，但以太坊可以确保每笔交易的有效性。事实上，我们可以将资金存入智能合同，并在总结时以低价与这些资金互动，以确保我们的资金与以太坊交易一样安全。

因为rollup使用以太坊进行数据可用性和交易验证rollup新交易所需的最新状态和所有数据都发布到以太坊，交易将通过欺诈或有效性证明进行验证。

OR 中使用的防欺诈机制要求资金在争议期间锁定(目前 Arbitrum 和 Optimism如果rollup包括无效交易，任何人都可以在争议期间提交欺诈证明并恢复。相比之下，ZK rollup包含一个有效性证明，以加密方式保证所有交易都是有效的，从而消除了任何延迟的需要。

ZK的状态

首先，要承认 ZK rollup还没有完全达到大肆传播的程度。我们还在等待 支持通用智能合同ZK rollup 投入生产，目前使用的证明系统效率相对较低。

但是，如果我们看未来，ZK 密码学正以难以置信的速度发展。递归证明是可扩展和分散的 ZK rollup十年前，重要停留在理论层面。两年前，递归证书需要两分钟才能生成。但今天，多亏了plonky2，一个由Polygon Zero我们可以在毫秒内测量团队创建的突破性证明系统的证明时间。在笔记本电脑上生成递归证只需170ms，我们预计时间和成本将继续下降。

Arbitrum 的文章认为，生成将产生巨大的成本，这部分将由用户承担，因为它涉及数千个昂贵的椭圆曲线操作，因此需要大规模的并行识别或昂贵的硬件。plonky2 根本不使用椭圆曲线，我们的基准测试是在笔记本电脑上进行的。

实际上，rollup成本主要由 CALLDATA 成本决定。我们可以从 开始Arbitrum 从目前的交易成本来看，代币交换成本约为 4 美元。相比之下，即使假设需要 10 分钟(对 )Polygon Zero相对较高的估计)证明 32 内核和 64gb RAM 的 c6g.8xlarge 实例交换，增加的成本只有 0.18 美元。

与 CALLDATA 相比之下，这不是一个特别大的成本，正如我们将看到的，它是 ZK 的其他优点被抵消了。零知识技术仍在快速发展，现在对零知识扩展计划的蔑视非常短视。

Validia

不同的用户在区块链的成本和安全性之间做出不同的权衡。数百万人使用 Polygon PoS即使交易有效性不能相似， 链也能获得低成本和高吞吐量rollup同样的保证。

我们相信，当数百万用户面临扩展解决方案时，他们会选择将数据放在链外而不是链外rollup。Validium（Starkware发明术语)和 ZK-rollup 类似地，向以太坊发布有效性证明，以确保交易有效性，但数据保持在链外以节省 CALLDATA 成本。Validium有很多好处：

ZK 扩展为 L包含 的设计空间打开了2 Validia 空间，它提供了比较Optimism和 ZK rollup吞吐量较高，并提供资金不会被盗的加密保证。

对 Validia 假设性攻击(完全)

ZK 怀疑论者会注意到，理论上，即使 Validium 上述验证人不能直接窃取用户资金，也可以攻击用户，扣留链的最新状态，拒绝处理新交易。因此，验证人可以劫持用户资金。然而，我们认为这个问题被夸大了。

首先，“数据扣押攻击”需要三分之二的验证者参与，这意味着大量的质押资产将面临风险。攻击将使代币价格崩盘，降低攻击者自己质押代币的价值，并抵消所未来的费用收入。由于验证者不能直接窃取用户资金，他们需要协调受影响用户的赎金支付，因此支付是不确定的。此外，鲸鱼可能会保持rollup因此，攻击者需要成功地从大量用户中提取赎金，以弥补权益损失。很难看出这种攻击在实践中是如何盈利的。

进一步的可扩展优势

除了 Validia 除了巨大的可扩展性优势外，ZK rollup还比 OR 更具可扩展性，因为它们为开发人员提供了降低成本的选择，即在不牺牲安全性的情况下降低 CALLDATA使用rollup所有重建最新状态所需的最少数据都需要发布，但 OR 必须向以太坊发布验证每个单独交易所需的所有数据。相比之下，ZKR每批交易的最小状态增量可以发布到以太坊，只发布恢复账户最终状态所需的信息。这是压缩 AMM 池等合同的状态更新非常重要。

OR党的回应之一是，这种压缩实际上隐藏了重要的链数据rollup对每一笔交易的历史都要提供去信任的可见性。尽管 ZKR 开发人员可以选择为少数需要其应用程序发布未压缩的 CALLDATA，但大多数应用程序和用户更喜欢低成本，这只是 ZKR 可以提供折衷方案。

因此，ZK它为链上和链下数据的可用性提供了扩展优势。要想把以太坊带给 10亿人，就必须让用户权衡成本和安全。

资本效率

OR有一个持续一周的争议期，会退出rollup的用户造成提款延迟。关于提款延迟有很多恶评，包括以太坊矿工或验证者假设的为期一周的审查攻击，当然这极不可信。

然而，提款延迟确实会导致资本效率低下。提前提款是可以实现的，但做市商不能完全消除资本效率低下，尤其是在规模方面。如果流动性进出 ，面对加密波动，一周实际上非常长OR 之间存在不平衡，因此流动性提供商在提款期间需要承担锁定资金的风险。虽然流动性提供商将竞相为快速提款提供低成本，但他们将面临巨大的机会成本，锁定资金必须转移给用户。

相比之下，ZK 扩容解决方案允许用户在向以太坊发布证书时提取资金，从而消除对流动性提供商的需求，提高资金效率。Arbitrum 的文章声称 ZK rollups 只在桥上接到以太坊 L1 有优势，但实际上，ZK rollups还可以在其他链上检查有效性证明，保证交易有效性和快速提款。

ZK的缺点

ZK rollups 确实面临几个缺点。Polygon Hermez 团队在完整的 zkEVM rollup在这方面取得了显著其中，EVM通过有效性证明，可以直接验证字节码的执行。其他专注于 Solidity编译为 ZK 友好字节码团队，比如我们在 Polygon Zero 或 Polygon Miden、StarkWare 和 zkSync 团队在使用现有的以太坊开发人员工具时可能会面临挑战。

但在实践中，绝大多数 Solidity 代码的行为应该是一样的，因为我们来自 EVM 转移到 ZK 字节码的修改不会影响功能，主要涉及算术电路中替换成本高的原语，如 Keccak -256，算术电路友好的原语。

最后，零知识扩展提供的结构优势应该提供足够的激励来改进和调整开发人员工具，使其更容易ZK L2上部署。

结论

总之，我们相信零知识扩容是以太坊的未来。Optimistic rollups 是困扰以太坊的高 技术gas 成本提供了直接的解决方案。Optimistic rollups让用户不得不面对特殊的权衡，即安全以更高的成本和低资本效率为代价。

相比之下，ZK 可以容纳更多不同类型的用户，无论如何rollup对成本不敏感的鲸鱼或低成本交易的用户。ZK 为以太坊带来 10 亿用户提供了最好的方式。

此外，ZK除了可扩展性和资本效率外，它还具有优势。OR 受限于 L1 上述可能性，因为以太坊必须执行欺诈证明。ZK 没有这个限制，可以使用不同的签名方案(有人认为Apple Secure Enclave 中使用的 P-256 曲线？)和 L原语1 不支持。用户可以在 L2 私下进行批量交易，成本较低L1 流动性，这是 Aztec 创造方法。