Starknet 万字研报：蓄势待发，长期主义者的跬步千里

仿佛一场艰难的修行，里面的人艰难求索，外面的人雾里看花。

不过可喜的是，近两年ZK的发展速度远超预期，ZK Rollup双雄ZkSync和Starknet在性能和费用上都实现了巨大的进步。

以太坊EIP-4844升级后，ZK Rollup在与OP Rollup的竞争格局中也逐渐走强。

更令人振奋的是，曾经的竞争对手StarkWare与Polygon Labs合作，升级了一直代表ZK前沿实力的STARK协议，正式推出Circle STARK，为ZK证明能力带来了又一次飞跃。

如果你已经阅读了去年的文章（L2 Summer 将至？一文掌握 StarkNet 技术原理及生态），想要更深入了解Starknet背后奇妙的ZK证明过程，但又碍于各种令人生畏的数学公式和错综复杂的技术流派，那么不妨跟随这篇文章来了解一些关于ZK的关键问题。

我们会尝试避开恼人的数学部分，并在此基础上讨论Starknet的技术优势，尤其是近期发布的重大突破。

ZK是一个标签，也是零知识证明系统(Zero Knowledge Proof Systems)的缩写。

作为当下显学，ZK证明像个神秘传说——在不泄露任何额外的信息的前提下，证明某个事实。

这么理想化的目标要如何实现呢？这里我们需要类比一个做过学生都熟悉的情景。

通常，一个学生想要证明自己学业优秀，最简洁的办法便是出示成绩单。在保证考试系统有效、公正的基础上，一份加权成绩达到A的成绩单往往可以为学生的学业水平背书，而无需展示任何具体的学业内容。

ZK证明的过程也很类似，简单来说，它的核心成员有两个部分：证明器（Prover）和验证器（Verifier）。

证明器就像学校的考试系统，有一套固定的流程，为学生生成成绩单，作为学生学术能力的证明，并呈递给作为验证器的家长/公司，家长/公司通过成绩单来验证学生的能力水平。

这里我们可以看出，整个证明过程中最艰难的部分便是证明器生成证明的过程。在具体的ZK证明中，它可以分成两个部分——算术化和多项式承诺。

• 算术化，就是把复杂的证明问题转换成代数问题，具体地，就是把我们想要证明的见证（Witness），转换成一组多项式约束（Polynomial Constrains）。这就类似于我们把学生的学术能力，通过考试，转化成一组分数成绩。

• Witness：见证，是我们通常所说的链下计算的原始数据，包括交易数据、账户状态数据、中间计算结果等，是我们用来证明交易有效性，但又不想公开的隐私数据。

• Polynomial Constrains：多项式约束。在ZK证明过程中要做的，就是把复杂问题转化成数学问题，而数学证明方式最关键的一环，就是要找到一个多项式，并最终证明自己的确找到了。多项式约束，就是指这个多项式需要满足的条件。

多项式承诺，则是在具体的数学证明中，证明自己找到了一个多项式（Polynomial），满足上一步算术化所生成的所有约束条件。

如果多项式证明有效，那么数学证明成功，代表我们想要证明的问题成立。这个过程类似于我们最后得出一个加权平均分或者成绩单，能够保证学生的成绩全是A，进而证明学生的学术能力优秀。

不过也许你会质疑，现实生活中，一张成绩单往往并不能准确地表达一个人的学术能力，因为我们人类的考试系统中还是存在太多的漏洞和不可控。

而在ZK的世界里，借助是非分明的数学和公开透明的程序，这个愿望正在得以实现（正如智能合约和区块链保障了公正透明一样）。

SNARK和STARK是目前两种最常用的ZK证明协议，也分别是ZkSync和Starknet所使用的底层协议。

因为相似的名称和赛道常常被拿来对比。不过在对比之前我们不妨先引入两个人物，从发展史的角度更好地去了解这两个协议所构建的ZK证明系统。

Jens Groth是UCL计算机系的一位教授（现已是荣誉教授，目前担任Nexus的首席科学家，zkVM方向）。

此人从2009年开始，年年高产，发表多篇零知识相关的文章，我们在ZK领域常常听到的Groth09、Groth10等等就是由他的名字和发表年份组成的。

（注：通常由于论文的名字又长又拗口，学界会用名字+年份的方式，缩写指代一些重要的论文，比较常见的如奠定STARK基础的BBHR18、Zcash使用的PGHR13，都是由几位作者的首字母组合在一起，再加上年份组成的。像Groth这种一人全名独占，还能够连续编年的，实数罕见。）

要论其中最著名的有二：

• 【Groth10】Short Pairing-based Non-interactive Zero-Knowledge Arguments，提出了完整的非交互式证明方案，被认为是SNARK的理论先驱。

• 【Groth16】On the Size of Pairing-based Non-interactive Arguments，在Groth10的基础上，精简证明尺寸，提升验证效率，至今仍被广泛应用。

正是在Gorth的研究基础上，SNARK得以发展完善。

SNARK，全称为 Succinct Non-interactive Argument of Knowledge，是一种简洁的零知识证明系统，它极强的可用性，使得ZK迅速应用在加密货币领域。

值得一提的是，第一个将SNARK应用于加密货币的协议Zerocash，它的联合创始人正是Eli Ben-Sasson——后来的StarkWare的联合创始人，也是STARK的发明者之一。

不仅如此，早年间的Eli Ben-Sasson积极推动SNARK协议的落地，并在13、14年接连发表论文，提出并优化SNARK的构造，提升了实用性和高效性，帮助SNARK真正得到广泛的关注和应用。

不过也许是太过了解SNARK面临的困境，2018年，Eli Ben-Sasson等人发表【BBHR18】Scalable, transparent, and post-quantum secure computational integrity，STARKs证明系统被正式提出，也为ZK Rollup提出更加完善的解决方案。

STARK——Scalable Transparent Argument of Knowledge，在大批量证明时具有优势，且整个证明过程透明，无需依赖信任的第三方，具有抗量子攻击级别的安全性。

（注：需要声明的是，虽然英雄史诗的故事总是脍炙人口，但任何一件成就都不是靠一个人力挽狂澜得来的。相反，无论SNARK还是STARK，都是无数科学家共同努力的结果。我们拎出单个人物出来讲，仅仅是为了从一个侧面为这段ZK关键发展史提高生动性。就算牛人如Groth，他的论文也要建立在KZG等人（Aniket Kate、Gregory Zaverucha、Ian Goldberg ）的研究成果上才能得以实现，而提出STARK的作者们，更是个个身怀绝技，日后我们可以持续深扒。）

那么让Eli Ben-Sasso痛下决心另起炉灶的原因是什么呢？SNARK又面临哪些困境呢？

2.3.1 透明性

在回答上面的问题之前，我们可能要先回答另一个问题：在加密领域，什么最贵？

中本聪给出的答案是——信任。

SNARK恰好踩中了这个雷区。SNARK在进行多项式承诺时，采用了KZG的方法，而KZG承诺需要一个可信设置（Trusted Setup）来生成一串公共参考字符串 (Common Reference String, CRS)，进而生成证明和验证过程中的密钥。

回到我们那个成绩单的例子，家长或者公司之所以看到一个A的平均成绩，就可以判断学生学术水平优秀，是因为我们共同认可学术能力从高到低的排序是A、B、C、D。只有在这个标准下，A的成绩才有意义。

但如果学校的评分系统被黑，学术能力的排序变成了C、A、B、D呢？原本拿C的学生就会被当成优等生被优先考虑。这就造成了误判。

由此我们可以看出，这个被大家共同认可的标准的安全性至关重要。而在遵从黑暗森林法则的加密世界里，这个Trusted Setup就成了巨大的隐患。

明知如此，为什么SNARK还要坚持使用KZG方法呢？这是因为使用KZG得到的最终证明的尺寸太小了。还记得SNARK中的“S”代表什么吗？Succient（简洁）！

小尺寸的诱惑太大了，尤其是在以太坊坎昆升级之前，精简的证明尺寸为SNARK带来更好的实用性和高效性，在很长一段时间里被更多的项目所接受。所以说处处都是trade off。

说回来STARK，为了啃下Non-Trusted这块硬骨头，STARK采用了FRI（Fast Reed-Solomon Interactive Oracle Proofs）的方法来进行多项式承诺。

具体来说，FRI方法将多项式进行 Reed Solomon编码，以Merkle树的形式储存，并通过Oracle完成验证器和证明器之间的多轮交互，由此实现了可验证性和透明性（transparent，STARK中的“T”）。

（注：需要注意的是，这里的Oracle并不是我们在web3世界中常见的中心化或者半中心化的预言机，而是由验证器和证明器根据协议规则，在本地模拟出来的一个去中心化的虚拟实体，是一种交互证明机制。）

如果还要类比成绩单的例子，我们可以把STARK系统的多项式承诺过程看成是一个构建在链上的评分系统，通过区块链技术保证了整个系统的公正和透明。

此外，STARK证明中，验证器和证明器还可以通过使用一个公共的随机信标（Random Beacon）来模拟交互过程，并最终打包成一个完整的证明，实现非交互式证明，获得更好的可用性和异步性。

2.3.2 可拓展性

STARK的进步还表现在处理大规模复杂运算问题上的通用性和灵活性，以及它的平均证明尺寸会随着证明规模扩大而降低，形成网络效应，即“S”所代表的Scalable。

不同于SNARK采用以R1CS为代表的电路计算方式进行算术化，需要针对不同问题重新设计电路，STARK采用AIR（Algebraic Intermediate Representation ）的方法，是一种通用的机器计算方式，通过状态转换方程链接不同状态，几乎可以将任意计算问题抽象成一组多项式约束。

同时，由于STARK使用的FRI方法生成多项式证明时，采用了递归的结构逐渐降低多项式的次数，使得证明尺寸的增长远远慢于问题规模的增长（对数级别）。因此在处理大规模运算时具有显著的优势。

回到成绩和考试的例子中，如果我们算术化的过程比作考试，那么SNARK和STARK就分别像传统试卷和机考。

短期或者对于一所小学校来说，传统试卷便宜迅速，机考则要在软件和硬件方面做准备，看起来昂贵又麻烦。

但对于全球性成规模的考试机构来说，一台电脑可以进行不同种类不同级别的考试，题库的丰富度和随机性不再需要老师为每一次考试出题，节约了大量人力。

从长期看，随着考试人数的累积，软硬件的投入成本也会被大幅摊薄。

2.3.3 抗量子攻击

除了“S”和“T”的成就，STARK还通过使用抗量子的哈希函数（如Rescue哈希，一般认为是后量子安全的，而传统的SHA-256哈希函数则被认为可能在量子计算中表现脆弱）、安全性代数问题（证明器需要证明的一些复杂代数问题，目前认为是量子计算机上也难以解决的）等方式，实现了抗量子攻击性。

讲到这里，我们不难发现SNARK是一个必不可少的短期内快速可行的解决方案。

但把时间拉长，随着交易量的增长，计算复杂度的爆发，以及人们越来越清醒的意识到，信任，实际上是加密领域最昂贵的奢侈品时，STARK的优越性会越来越凸显。

这一点目前在工业界也逐渐显露。使用SNARKs的头部应用ZkSync推出的Boojum版本，就已开始探索由SNARK向STARK的逐渐转变。

而以会整活著称的Polygon，也早早转向STARK，今年升级的证明系统Plonky3，便是基于Polygon Labs与StarkWare的最新共同研发的Circle STARK。

Circle STARK是基于STARK更新的新一代ZK证明协议，由于巧妙的引入了圆曲线（Circle Curve），成功的将小素数域M31应用到了证明系统中，促使证明效率大幅提升。

在ZK证明系统中,素数域扮演着至关重要的角色。正是在素数域上进行运算，证明才得以实现。

素数域的选择代表着效率和安全性的平衡。素数域越小，所需的运算量越小，效率越高。

另一方面，大的素数域通常代表着更高级别的安全性，这也是为什么过去STARK和SNARK都采用大素数域的原因。

而Circle STARK的创新性就表现在，通过结合圆曲线的特殊结合使用了M31这种小素数域，在提升证明效率的同时，成功保障了后量子安全性。

StarkWare方面目前推出并开源了基于Circle STARK的新一代证明器Stwo，预计Stwo的证明效率将达到初代证明器Stone的100倍。

Stwo将与高级Cario完全兼容，当前基于Stone证明器的Starknet Pover （SHARP Prover），未来也将使用Stwo。届时Starknet生态的开发者和用户将直接受益于Stwo带来的性能提升，而无需进行任何操作。

除了提升证明速度，Polygon的联合创始人Brendan Farmer 还提到，Circle STARK 的应用，最終将显著降低费用，并扩展到更多应用证明。

Eli Ben-Sasson 更是乐观表示，Circle STARK的推出可以视为一个重要的里程碑，最高效的证明系统将会在不远的未来面世，更多的突破和改进也将持续进行。

通过上面的分析，我们可以很清楚的看到，STARK证明系统和它的最新升级版本Circle STARK是当之无愧的前沿力量和明日之星，作为StarkWare亲儿子的Starknet在ZK Rollup的道路上更是前途无量。

但也许是好事多磨，Starknet却在很长一段时间里饱受争议。原因无他，体验和费用。

不过还好，通过StarkWare的持续努力，这些问题正在逐一变成了历史。下面我们将回顾一下Starknet近期的几次重要升级成果，以及根据路线图规划的进一步动作。

Starknet Alpha v0.12.0代号量子跃迁，于2023年7月上线主网。这次优化的重点是提升网络性能和优化用户体验。

吞吐量和延迟一般被视为衡量网络性能的标准。通过优化排序器Rust化和升级Cario语言，Starknet的区块执行时间显著降低，吞吐量从 v0.11.0 版本的3万 CSPS（ Cairo steps per second ，每秒Cario步数）飙升至22 万 CSPS，性能得到了极大提高。

一直广受诟病的交互体验问题也得到了解决，曾经为了等待主网确认而平均长达20分钟pending状态将成为历史。

用户端在Layer 2 确认完成后，就算交易成功，因此交易时间缩短到10秒左右，体验大大提升。

这次被视为里程碑式的升级帮助Starknet的TVL成功突破了1亿美元，单周涨幅超过43%。

2024 年1月上线的 v0.13.0 版本扩大了区块尺寸，计算成本大幅降低 50%，数据可用性成本降低 25%。

V0.13.1 提前部署了对以太坊 EIP-4844 的支持，因此Starknet在坎昆升级后的几小时内就启用了 blob 功能，并成为第一个大幅降低用户手续费的 L2。

在今年接下来的时间里，按照路线图计划，V0.13.2 将支持交易并行化，可以同时处理更多交易，提升网络吞吐量和降低延迟。

V0.13.3将把Cairo Native 集成到Starknet排序器中，进一步提升排序器的性能。届时网络速度会进一步加速。

根据路线图，预计备受期待的Volition将在V.0.14.0 升级中上线。

目前以太坊上的数据可用性存储（Data Avaliablity, DA）消耗了Starknet网络上绝大多数gas费用，因此降低以太坊上的DA存储是降低费用的关键。

Volition可以允许开发者选择将一部分数据存储在Starknet L2上，最终把这部分数据的状态根（root）提交到以太坊L1。通过这种方式，大大降低L1的DA存储成本，进一步达到降低费用的目的。

V.0.14.0 版本还计划采用应用递归（Applicative Recursion）的方式，一次批量处理多个区块的的L1 足迹（Layer 1 footprint，是在以太坊上为支持Starknet运行而需要存储和处理的数据和计算任务）进而降低费用成本。

（注：Cairo语言是StarkWare专门为STARK证明系统设计的编程语言，能够高效生成证明，优化链下计算，有效的弥补了Solidity在执行证明上的局限性。）

不同于其它Layer 2使用Solidity进行智能合约的开发，开发者在Starknet上必须使用原生的Cairo语言进行开发，这就直接给开发者增加了学习成本和准入门槛。

另一方面，由于Cairo VM与EVM并不兼容，许多以太坊上的成熟项目不能直接迁移到Starknet上，这也造成了Starknet虽然作为一条以太坊Layer2， 但却很难享受到大生态的红利。

目前Starknet链上超过90%的dApp都是链原生的，项目开发成本不可谓不大。

当此窘境，Starknet的选择，我们可以从Eli Ben-Sasson年初的文章《固守还是坚持》中找到答案。

作为坚守技术的真正信仰者，也绝不会将二流技术套上一流的包装进行贩卖。

Starknet想做的，是真正的证明，可以经得起滔天数据和黑暗森林的证明。而对证明的坚守，就是对安全性的坚守。

为了坚守，Starknet上的开发者激励措施十分丰富，除了黑客松等社区活动外，近期还推出了真金白银的种子资助计划（Seed Grand Program），入选团队将可获得高达2.5万美金USDC的非稀释资助奖励，用以支持其在Starknet上的生态建设。

另一边由StarkWare团队成员开发的Kakarot zkEVM的方案，以Cairo模拟EVM的环境，尝试创建一个可证明的EVM。项目目前仍在开发中。

在StarkWare的努力下，目前Cairo的开发者社区正在不断壮大，随着开发者社区的繁荣，生态也将孵化出更多优秀的产品和工具，进一步吸引更多优秀的开发者加入Cairo社区，形成正向循环。

我们除了在DeFi等传统领域中期待能够诞生优秀的产品外，结合Starknet逐步兑现的性能提升以及计算完整性优势，Starknet上也逐步涌现出一些有可能代表未来的趋势板块。

5.3.1 全链游戏

全链游戏（Fully On-Chain Games，FOCG，也被称为Infinite Games）的概念早在区块链兴起时就风靡一时，备受游戏玩家的期待。

它将游戏的规则和数据完全储存在链上，基于智能合约执行所有的运行和交互，让玩家真正拥有游戏资产的所有权，保证规则的透明可验证，并提供开放的经济系统，为玩家创造更加自由公平的游戏体验。

但碍于早期链上吞吐量、费用和交互模式等方面的限制，全链游戏很长时间还只是美好的愿景，并没有实现mass adoption。

不过随着Starknet各方面表现的不断优化，我们可以从以下几个方面看到Starknet十分有潜力成为孕育全链游戏的沃土。

5.3.1.1 原生的账户抽象

账户抽象（Account Abstraction，AA）是提升交互体验、帮助web2用户进入web3的关键一步。

简单来说，就是把我们过去作为个人常用的以太坊上的EOA账户，转向智能合约账户（CA），由于合约账户的可编程性，可以根据预先设置，在保障安全性的前提下，简化当前复杂的操作步骤，优化用户体验。

Starknet的设计从一开始就把原生的账户抽象作为必选项，每个账户都是一个智能合约账户，从系统设计上降低了实现AA的复杂性。

原生的钱包dApp Agent X和Braavos都支持账户抽象，可以为用户带来Web2等同的体验。

在游戏情境下，账户抽象的作用会更加明显。比如由Starknet链上几家头部链游团队Briq、Loot Realms和Topology发起的会话秘钥（Session Key）功能，如今上线的Loot Survivor就使用了该功能，采用无钱包登录（Session Wallet），用户不再需要为每一步“进攻”操作签名，极大优化了体验。

5.3.1.2 Cairo生态逐步完善

随着Starknet的持续优化和性能提升，目前已有大批游戏社区入驻一同建设Cairo生态，随着一系列基础设施的推出，目前生态的游戏框架已经基本形成。

Dojo是一个基于Cairo的链上游戏引擎，创建于2023年2月，目前由社区共同运营维护。

游戏引擎是构建游戏的基础，它为游戏开发者提供一个由合约、工具和代码库组成的开发框架，这样他们就不必从零开始构建游戏的基本系统，让构建链上游戏变得更加容易。

（注：Web2游戏最流行的两个游戏引擎是Unity和Unreal Engine，我们熟悉的《炉石传说》、《街头霸王》等就分别构建在这两个游戏引擎的基础上。目前Web3游戏引擎的发展还处在早期，已有的两个加密游戏引擎，分别是构建在EVM上的MUD和基于Cairo的Dojo。Dojo是首个可证明的加密游戏引擎。）

Cartridge是一个游戏启动器，它一方面基于Dojo为开发者提供工具和代码库，用于创建和部署游戏，包括链上游戏逻辑、可扩展架构、无缝用户接入、模块化开发和货币化方案等。

另一方面为玩家简化了交互流程，方便玩家发现和进入他们喜欢的游戏。

5.3.1.3 Layer 3

Starknet作为使用Zk Rollup的通用型Layer2，除了出众的安全性能、高吞吐量、以及大幅降低的费用以外，为了满足特定需求，还推出了Layer3 Appchain的定制化开发。

游戏开发者可以根据自己的需求,定制优化链上执行环境和共识机制,打造高性能、低延迟、低费用的游戏专属链。这也为全链游戏带来更多的可能性。

Realms和Cartridge就在年初成合作将共同开发“Realms World L3”，预计在今年Q3正式推出，在Starknet的基础上运行整个Realms生态，届时将会有更快的速度和更低廉的费用，进一步优化用户体验。

此外，Dope Wars也表示将同Cartridge合作发布一条Layer3，并使用$PAPER作为Gas token。

5.3.1.4 小结

虽然在大众眼中，Starknet在Gamefi的表现也许并不算出彩，但如果把眼光聚集在全链游戏上，Starknet上的生态友好度、明确的全链使命感以及自身的技术优势，对开发者和玩家来讲都是吸引力十足的。

我们可以看到目前Starknet上游戏开发者对Cairo生态的建设热情很高，头部项目通力合作促成了Dojo等关键基础设施的落成。

如果有一天全链游戏能够完全实现，越来越多的游戏发烧友进入web3的游戏世界，真正获得对游戏资产的所有权，我们有理由期待这一切会发生在Starknet上。

5.3.2 ZKML

随着AI和区块链技术的双双爆发，AI+Blockchain被越来越广泛的认为是未来的发展方向，ZKML（Zero Knowledge Machine Learning，零知识证明机器学习）便是一种解决方案。

传统的ML模型像个黑盒，由于被中心化机构所拥有，普通用户除了相信大机构的背书，无法验证自己在使用的究竟是什么模型，是否由可靠的数据训练得来。这也是目前中心化大模型被诟病的主要原因之一。

而如果简单的将模型上链采用去中心化的方式进行训练和运行，不光Gas成本太高，由于链上Non-trusted的环境，也无法保证模型和训练数据的可靠性。

这种情况下ZKML就十分有必要。Think off-chain,act on-chain。通过在链下训练和运行模型，使用ZK技术生成证明提交到链上的方法，完美解决了前面提到的两个困境——成本和可靠性。

同时，由于ZK本身具备的隐私性的特点，也使ZKML在金融、医疗等敏感领域前景广阔。

在Starknet上基于Cairo构建ZKML有天然的优势。Cairo作为为证明而生的开发语言，具有优秀的计算完整性，且在证明上高度抽象，开发者可以直接调用证明组件，而无需自行处理证明问题，极大简化了开发流程。

同时，得益于STARK的可拓展性优势，在处理大规模运算数据时具有显著的网络效应，能够高效且低成本地承载机器学习所需的海量数据。因此，Starknet上以Giza Tech为基础的ZKML正在迅速发展。

Giza是一个Starknet上的ZKML中间件平台，提供Orion开发框架，使开发者能够使用熟悉的框架（如PyTorch、TensorFlow）进行模型训练,并轻松地在Starknet上进行部署。

同时Giza还推出了一个将ZKML于多链行为结合的代理框架Agents，开发者可以基于ZKML创建链上AI代理，与智能合约交互，并根据预定义的规则进行决策。

目前Giza已经应用在多个项目中，比如社交上，与Circles Network合作,进行社交图谱分析,侦查虚假用户。

DeFi方面，Yearn Finance合作,为其提供基于ZKML的智能投资策略和风险管理方案。

最新入选Starknet种子资助计划的ML Village则通过Giza将ZKML引入链游进行决策，展现出了广阔的应用前景。

根据Starknet官方近期发布，预计2024年可以实现Gas费降低至远低于$0.01，同时数百TPS，成为TPS最高的Layer2。

这个目标对于Starknet来说并不算雄伟，事实上，StarkWare对Starknet的定位，也远不止一条Layer 2那么简单。

从产品和市场的关键选择上，Starknet与Solana更为相似，把EVM的红利和束缚一并抛弃，从头建设。

但又不同于Solana在去中心化问题上存在的瑕疵，Starknet通过以太坊Layer2+ZK的方式，巧妙的继承了以太坊极致去中心化的同时，又保证了可拓展性和安全性，将不可能三角变成了可能。

而这个看似美满的结果，正如我们开头所讲，是一场坚守长期主义的修行，是无数次舍近求远的负重前行。我们期待Starknet上能够在未来释放更多的活力。