Zero-Knowledge доказательства простыми словами: zk-SNARK vs zk-STARK и применение в блокчейне

Одна из основных проблем современной цифровой экономики - обеспечить защиту персональных данных при масштабируемости. Классический метод, к которому прибегают банковские и другие традиционные финансовые учреждения - верификация личности. Но это влечет за собой дополнительные риски - вероятность нарушения конфиденциальности, утечки, продажа персональных данных на черном рынке. Криптографический протокол Zero-Knowledge Proofs, или ZKP - это доказательство с нулевым разглашением. Он позволяет подтвердить истинность утверждения без раскрытия непосредственно самих данных. Парадокс ZKP как раз и состоит в том, чтобы доказать истинность, не раскрывая данных. Сегодня ZKP широко используется в блокчейн-экосистемах и других сферах.

Математические основы ZK-доказательств (интуитивное объяснение)

Для объяснения принципа действия ZK-доказательств используется модель пещеры нулевого разглашения.

Принцип следующий. Предположим, есть кольцевой тоннель , посередине которого расположена дверь. Открыть ее можно с помощью секретного цифрового ключа. Есть Доказывающий, желающий доказать, что у него есть ключ, и Проверяющий, который должен проверить наличие ключа. Задача в том, чтобы это сделать без раскрытия содержания ключа.

Доказывающий заходит в тоннель и выбирает случайный путь - либо левую, либо правую сторону. Проверяющий при этом остается снаружи и не видит, куда именно он пошел. После этого Проверяющий просит Доказывающего выйти с определенной стороны, по своему усмотрению - слева или справа. Если Доказывающему известен ключ, он откроет дверь внутри пещеры, перейдет на нужную сторону и выйдет там, где просил Проверяющий.

Конечно, Доказывающий может угадать. Но если повторить эту задачу 10 раз, то вероятность угадать оказывается крайне невысокой. Если же 100 или 1000 - то доказательство можно считать абсолютно надежным.

Это и есть смысл Zero-Knowledge доказательств: Проверяющий убедился в том, что Доказывающий знает ключ, но содержание самого ключа не было раскрыто.

В блокчейн-системах вместо дверей криптографы имеют дело с огромными массивами данных. Доказывающему пришлось бы перебирать огромные объемы информации для каждой проверки, поэтому для решения этой проблемы применяются полиномиальные коммитменты. Они работают как цифровой сейф: позволяют зафиксировать криптографический отпечаток данных и математически доказать правильность вычислений в одной случайной точке, не открывая при этом весь сейф. Этот подход стал фундаментом для архитектуры zk-SNARK.

визуализация криптографического доказательства

zk-SNARK vs zk-STARK: сравнение архитектур

В разработке Web-3 приложений применяются два типа криптографических доказательств, которые отличаются с точки зрения внутренней архитектуры:

Zk-Snark отличаются маленьким размером и быстрым процессом. Они используются тогда, когда необходимо быстро получить результат. Их особенность - необходимость наличия trusted setup, начальной процедуры генерации параметров. Один из минусов - если начальная генерация параметров была проведена некорректно, или же сторонние лица получили к ней доступ, доказательства могут быть подделаны;
У zk-STARK итоговый размер доказательства значительно больше, а процесс его генерации требует больше памяти. При этом хотя сама проверка выполняется очень быстро.

Если сравнивать архитектуру этих доказательств, заметно, что zk-SNARK сначала преобразует вычисление в набор математических уравнений, а затем сжимает их в одно компактное доказательство. Для этого используется сложная криптография и заранее подготовленные параметры.

Zk-STARK тоже переводит вычисление в математическую форму, но дальше не использует сложные криптографические приемы для сжатия. Вместо этого zk-STARK проверяет корректность через согласованность данных и хэш-функции, то есть через более прямую и прозрачную систему проверок.

Trusted setup: проблема и решения

Архитектура zk-Snark показывает, что наиболее уязвимым местом этой технологии является trusted setup, то есть необходимость изначальной доверительной настройки. Опасность в том, что авторы настройки могут сохранить исходные криптографические данные, чтобы использовать их для создания поддельных доказательств.

Чтобы минимизировать эту проблему используется протокол многосторонних вычислений (MPC): в генерацию параметров вовлечены сотни независимых друг от друга участников. Логика в том, что если хотя бы один из них удалил свои данные, система может считаться безопасной.

Постквантовая устойчивость STARK

Одна из проблем криптографии - возникновение квантовых компьютеров, которые смогут решать криптографические задачи. Постквантовая устойчивость STARK заключается в том, что он устойчив к квантовым компьютерам, поскольку вместо эллиптических кривых использует хэш-функцию и проверку целостности данных.

Мощный квантовый компьютер действительно сможет ускорить перебор, но он не способен взломать систему, основанную на хэш-функции, а не на эллиптических схемах.

Применение ZKP в блокчейне

Поскольку неуязвимость STARK объясняется его архитектурой, это вызвало широкий спрос на данную технологию в блокчейне.

ZK-rollup-ы (масштабирование)

ZK-rollup-ы - это системы, разработанные для решения проблемы масштабирования блокчейнов первого уровня. Дело в том, что Bitcoin, Ethereum и другие сети имеют ограниченную пропускную способность, поэтому при повышенных нагрузках возрастает и комиссия, и время проведения транзакции.

Суть ZK-rollup-ов в том, чтобы перенести обработку транзакций на Layer-2 (второй уровень). Специальный узел объединяет эти операции, проводит вычисления и формирует ZK-доказательства. После этого сертификат с доказательством направляется в смарт-контракт первого уровня (например, непосредственно блокчейн Ethereum). Это значительно ускоряет время обработки, снижает комиссию и при этом обеспечивает безопасность.

Приватные транзакции (Zcash, Tornado Cash)

Один из недостатков публичных блокчейнов - полное раскрытие информации: данные обо всех транзакциях и участниках открыты. Поэтому несмотря на то, что транзакции являются анонимными, по следам можно определить перемещение средств быстрее и точнее, чем в случае мониторинга фиатных валют. Чтобы ликвидировать эту проблему были разработаны конфиденциальные транзакции:

Блокчейн Zcash - первый пример коммерческого внедрения zk-SNARK для маскирования адресов отправителя, получателя и размера переводимых средств;
Tornado Cash - один из децентрализованных протоколов приватных транзакций, встраиваемых в публичные блокчейны. Фактически он работает по принципу миксера: сначала пользователь отправляет свои средства в общий пул, а после выводит их на новый адрес, разорвав прямую связь между входящей и исходящей транзакций. В результате невозможно отследить связь между отправителем и получателем.

ZK-идентификация без раскрытия данных

ZK-идентификация используется в тысячах коммерческих проектов. Но все же организациям необходимо решить проблему верификации пользователя на предмет соответствия регуляторным требованиям, при этом не раскрывая его персональную информацию. Например, в банковской индустрии для этого можно использовать смарт-контракт, который получает математические подтверждение следующих параметров:

Пользователь является резидентом разрешенной юрисдикции (при этом не раскрывается его гражданство);
Возраст пользователя находится в пределах 18-60 лет (при этом не раскрывается точная дата рождения);
У пользователя на счету имеется определенная сумма, которая выше требуемого минимального порога (при этом нет необходимости предоставлять выписки).

В результате можно провести проверку KYC/AML, которая обладает юридическим статусом, но не требуется раскрытия персональной информации.

Технические ограничения: стоимость доказательств, prover time

Несмотря на свои преимущества, Zero-Knowledge технологии обладают рядом недостатков. Главный из них - время генерации доказательства (prover time).

Дело в том, что для преобразования логики транзакции в математическую форму и генерацию доказательства необходимы большие вычислительные ресурсы, а именно высокомощные CPU и GPU.

Домашний компьютер с CPU уровня последних Intel/Ryzen, может справиться с решением базовых примеров, но при повышенной нагрузке его мощностей не хватает. Поэтому в коммерческой среде генерация, как правило, переносится на серверы, оснащенные производительными CPU/GPU с большими объемами оперативной памяти. Также используются системы распределенных кластеров, когда финальный результат формируют несколько машин, работающих в связке.

Затраты на оборудование, электроэнергию, охлаждение, обслуживание приводят к тому, что стоимость формирования доказательства, например, при обработке транзакции, составляет от нескольких центов до нескольких долларов.

Тренды ZK-технологий 2026 года

Промышленная оптимизация - основной тренд ZK-технологий в 2026 году. Простыми словами, организации разрабатывают алгоритмы интеграции данных разработок в бизнес-процессы.

Достаточно часто вместо GPU используются ASIC, что снижает время генерации доказательств. Также используются виртуальные машины Linea, Scroll, zkSync Era, Starknet и другие, которые поддерживают ZK-доказательства.

Одно из трендовых направлений - комбинирование множества индивидуальных ZK-доказательств в одно с целью снижения времени и ресурсов.

Мнение эксперта
Долгое время разработчикам приходилось искать компромиссы между безопасностью, масштабируемостью и децентрализацией. Но Zero-Knowledge доказательства предоставили эффективный математический выход из этого ограничения. Сегодня ZK переходит из категории экспериментальной криптографии в слой корпоративного программного обеспечения. Организациям важно внедрять такие технологии, обеспечивать высокий уровень защиты и делать этот процесс незаметным для конечного пользователя.
Александр Савушкин, финансовый эксперт