Proof:ZK rollups 中的“证明溢出”问题探究

作者：

时间：1900/1/1 0:00:00

在Scroll，我们正在开放构建zkEVM，并希望将我们正在构建的协议的所有方面保持公开透明。

这篇文章中描述了我们称之为“证明溢出”的问题—?一个由于ZKrollups中执行和证明生成分离而引起的问题。

背景

Scroll的rollup流程大致可以理解为：

1.用户向Scroll的内存池提交交易。

2.排序器(sequencer)节点将一些交易打包到一个区块中。

3.批处理程序(bather)将一些区块打包成一个批次(batch)。

批次的数据被发布或“提交”到以太坊L1

4.证明者获取批次并生成证明。

该证明可以证明该批次中的所有交易均已正确执行。

该证明提交给以太坊L1进行验证。相应的批次被认为是“最终确认的”。

ZK 初创公司 Polyhedra Network 完成 1500 万美元融资:金色财经报道，ZK 基础设施初创公司 Polyhedra Network 完成 1500 万美元 Pre-Series A 轮融资，Polychain Capital 领投。Polyhedra Network 正在构建一套专注于区块链互操作性、可扩展性和隐私的系统，包括促进跨链资产和数据传输的 zkBridge。

此前报道，2023 年 2 月份，Polyhedra Network 完成 1000 万美元融资，Binance Labs 和 Polychain Capital 领投。[2023/4/5 13:45:01]

我们在Alpha测试网中遇到的一个问题是无法证明某些批次。愿意是它们“太大”而无法放入我们的zkEVM电路中。

人们可以认为zkEVM电路由许多子电路组成，比如n个子电路，它们通过查找表互连。每个子电路用于约束特定的操作——例如，Keccak电路计算Keccak哈希，求幂电路计算求幂。我们的zkEVM电路设计中当前限制是每个子电路必须具有相同的行数，比如m行。

zk Bored Apes项目Discord服务器已被入侵:金色财经报道，据CertiK监测，zk Bored Apes项目Discord服务器已被入侵，黑客发布了网络钓鱼链接。在团队确认他们已经恢复服务器的控制权之前，请勿点击任何链接。[2023/3/6 12:44:36]

根据每个子电路中消耗的行数，每个所传入的交易都具有唯一的配置文件。例如，可能有一个交易需要许多Keccak操作，因此在Keccak电路中占用许多行，而在求幂电路中不占用任何行。相反，可能有一个交易在Keccak电路中占用很少的行，而在求幂电路中占用很多行。

由于批次由区块组成，而区块由交易组成，因此批次的行消耗配置文件由组成它的交易所决定。如果一个批次的行消耗超过最大行数m，则该批次将无法证明。当一个批次无法证明时，它无法在L1上最终确认，任何后续的批次也无法证明。

值得注意的是，即使只包含单个交易的批次也可能会溢出电路。

WEMIX宣布将推出具有EVM等效性的ZK Rollup扩容网络WEMIX Kanvas:金色财经报道，韩国游戏巨头WeMade旗下区块链游戏平台WEMIX今日宣布将推出WEMIX Kanvas，这是一款具有EVM等效性的ZK Rollup Layer2。

根据计划，从2023年第一季度开始，WEMIX Kanvas将分两阶段进行部署，先是从ZK Fault证明的Optimistic Rollup开始，随后发展至EVM等效的ZK Rollup。[2023/2/17 12:13:50]

要解决“证明溢出”问题需要解决以下问题：如何防止创建超出电路容量的批次？

长期解决方案

问题源于我们电路架构的局限性：所有子电路都必须有一些预先确定的、固定数量的行。我们正在研究重新设计我们的架构，以便可以独立地动态调整子电路的大小——每个子电路的大小都可以根据批次证明的要求放大或缩小。例如，如果一个批次在Keccak电路中需要2^20行，但在求幂电路中只需要2^14行，则子电路可以独立缩放。

路印协议 Steve Guo：短期Optimistic 或胜出，中长期ZK Rollup将胜出:3月11日，在以《Layer2百花齐放， DeFi 们如何“站队”？》为主题的AMA中，路印协议CTO Steve Guo、Synthetix大中华区负责人Dorothy、Huobi Global商业战略总监哲叔、Starks Network联合创始人张晓关于即将到来的Layer2展开了精彩的对话。

Steve Guo表示，路印协议的设计考量最重视安全性。zkRollup相比于Optimistic Rollup来说，最大的好处就是在于能保证用户资产结算的最终确定性时间比较短，能做到分钟级别，而Optimistic Rollup则需要1周以上的时间。

Steve Guo认为“在短期内，对于通用EVM计算而言，Optimistic Rollup可能会胜出，随着ZK-SNARK技术的改进，在中长期而言，ZK Rollup将在所有用例中胜出。”在接下来2年左右的时间，会多个Layer2共存。一些严重受限于Layer1资源的一些应用场景会在Layer2上得到更大的爆发，比如DEX，去中心化的永续合约，去中心化的期权等项目。[2021/3/11 18:36:52]

这种类型的动态设计带来了挑战，我们正在努力解决这些问题。然而，与此同时，我们需要解决固定尺寸电路的问题。

V神：ZK Rollup和Optimistic Rollup均取得巨大进展:以太坊创始人V神刚刚发推表示，Rollups(包括ZK Rollup和Optimistic Rollup)已经存在并继续取得巨大进展。虽然分片（sharding）仍在快速发展，但我们并不依赖于分片来实现1000+的链上TPS。在eth2中，分片和Rollups的缩放增益将成倍增加。[2020/5/21]

当前解决方案

1.根据最坏情况下的操作码设置区块Gas限制

这里的想法是根据最坏情况下的操作码来设置区块的Gas限制。换句话说，设置区块Gas限制，即使它被最昂贵的操作码填满，该区块仍然可以适配我们的电路。这保证了任何区块都无法填满电路。

优点：简单

缺点

非常低效

分析表明，最昂贵的操作码(SHA)的证明行与EVMGas之间的比率约为11倍。

每个额外的Keccak字节占用约2.2行，同时消耗约6/32EVMgas。对于m=2^20，我们可以容纳大约2^20/2.2个Keccak字节。这对应于(2^20/2.2)*(6/32)~=89,000gas的最大区块限制。太小！！

2.Gas重新定价?

我们可以修改操作码到Gas的映射表来反映证明成本，而不是执行成本。这将涉及从每个操作码与它在所有子电路中占用的最大行数的静态映射，然后修改我们的Geth分支以使用这个新的Gas定价。

优点：

证明溢出问题在执行层被处理为“OutofGas”错误

缺点

可能会破坏依赖于正常EVMGas定价的合约。

很难以编程方式将操作码映射到行消耗。

这个映射应该是可编程的，因为zkEVM的电路库会随着时间的推移而改变，也因为手工分析容易出错，这里稍有错误就会导致溢出漏洞

需要保持L2GethGas定价和zkEVM电路库之间的同步-不同步将导致漏洞

3.引入额外的“ProofGas”计量

除了正常的EVMGas之外，我们还可以有一个单独的概念“Proof?Gas”。Proof?Gas将用于量化交易在我们的电路中消耗的空间。请注意，这种“Proof?Gas”应该是多维的——因为不同的操作码在不同的电路中占据不同的行。

一旦引入“Proof?Gas”计量的概念，就会出现在哪个级别约束它的问题。

3a.在执行层约束ProofGas

此解决方案与解决方案2类似，不同之处在于它保留了EVMGas和ProofGas的概念。这将再次涉及将每个操作码静态映射到它在每个电路中占用的行数，然后修改L2Geth以添加这种ProofGas的概念。如果特定交易超过了ProofGas限制，则交易将撤销并出现一些自定义的“outofproofgas”的错误。这将确保没有区块可以超过行约束，因为执行层将在此之前停止交易。

优点：

证明溢出问题在执行层被处理为“outofproofgas”错误

缺点

难以生成从操作码到行消耗的静态映射

需要保持L2Geth和zkEVM电路库之间的同步

需要对L2Geth和zkEVM电路库中的逻辑进行重大更改，以支持额外的ProofGas概念

3b.在执行层之外约束ProofGas

我们可以从zkEVM电路库中公开API来报告给定执行踪迹所需的行数，而不是生成操作码到电路行的静态映射。L2Geth可以生成区块的执行踪迹，然后查询电路行消耗——如果超过最大行数，则不会创建区块。

优点：

无需以编程方式将操作码映射到行消耗所需的复杂性。

缺点：

当必须构造一个区块时，L2Geth会增加一些计算开销，因为它需要进行额外的计算来估计电路行消耗。