ZK 硬件加速大討論：一個堪比 POW 礦業的全新市場

主持人：Faust，極客 web3

嘉賓：Vincent，DevRel of Scroll;

Leo，Co-founder of Cysic;

Siyuan,TechLead of ABCDE Capital;

Kiwi，Researcher of OKXVentures;

Marco，DevRel of Aleo;

Lynndell,Cryptography Expert of Bitlayer

摘要：5 月 23 日晚，極客 Web3 邀請了Scroll、Cysic、Bitlayer、Aleo、ABCDE Capital 和 OKX Ventures 的嘉賓就 ZK 硬件加速的話題進行了推特 Space，嘉賓們圍繞 ZK 證明實時生成及硬件加速在商業化和市場化上的問題進行了極其精彩的討論，還針對新名詞“ZK Depin”進行了頭腦風暴，以下是文字版記錄。

本次 Space 涉及的詳細問題包括：

1.Cysic 和 Lumoz 兩個項目都把 ZK 加速作為核心願景，Cysic 也提出了實時生成 ZK 證明的口號，那麼這些技術會對以太坊的 Danksharding 路線有什麼影響？

2. 聽說 Aleo 有更改挖礦算法的傳言，Aleo 最早是一條隱私公鏈，挖礦算法和 ZK 直接相關，有人傳言說 Aleo 好像又換回了類似於主流 PoW 公鏈的哈希算法（嘉賓們對此事進行了澄清）

3. ZK 挖礦未來的願景如何，ZK-DePIN 賽道將以怎樣的方式走下去？

4. 如何看待 ZK-DePIN 的商業化和市場化，還沒有解決的痛點有哪些？

5. ZK 挖礦的礦工收益模型

6. 各位老師認為如何解決不同礦工的證明生成效率差異太大的問題？

正文：1. Faust:請問 ZK 硬件加速對於以太坊 Danksharding 路線圖有什麼影響？

背景補充：Danksharding 路線圖提出了 Verkle Tree 和無狀態客戶端的概念，屆時普通的以太坊節點 / 客戶端不必在本地存儲完整的狀態樹，區塊中會直接提供每筆交易關聯的狀態數據，並用 ZK 證明這些數據出自以太坊的狀態樹（Verkle Tree）。而 Verkle Tree 對以太坊現行的 Merkle Tree 式存儲結構進行了大幅改進，以便於生成 ZK 證明某段數據出自 Verkle Tree 中。

Leo:簡單來說，就是實時生成的 ZK 證明可以極大地提高輕客戶端和 Verkle Tree 的效率。Verkle Tree 相對於 Merkle Tree，它產生的分支 / 路徑更多一些，如果你通過 Merkle Proof 證明某個數據片段出自 Verkle Tree 上的某個分支，你要連帶打開很多個其他分支。

如果你用 ZK 替代 Merkle Proof，可以極大程度地提高效率，可以把很多數據壓縮得很小。但你如果只是單純用一般的 CPU 或者 GPU 去生成 ZKP 的話，其實是非常複雜的。

我以前在 Algorand 做過一個項目，就叫 Algorand state proof，它就要通過 Merkle Proof 來打開 Merkle Tree 上的很多分支，但這樣做的效率非常低。所以你要通過 ZK 的 Real Time Generation，或者說用這種 Specialize Prover 去讓 zk 證明的生成效率大幅提升。

Vincent：4 月的 Web3 香港大會上面，Vitalik 發言提及 ZK 證明對協議效能最大化的重要性，他以往的發言和技術探索也體現出了其對 ZK 的重視。過去 Scroll 生成一個 full compatible zkevm 的 Proof 需要兩三個小時左右，採用現有的硬件加速方案後提高到了 10 分鐘。但這還是達不到我們想要的生成速度。

在理想化的環境下，對 ZK 的採用度會非常高，會滲透到方方面面，而過去 ZK 生成速度還不夠支撐起巨大的採用率。如果 ZK 證明實時生成成為現實，我們就不必在安全性和免信任、可驗證性等方面做任何妥協，直接用 ZK 來解決過去無法解決的諸多問題。在此之後的項目創新，包括應用的創新肯定會輕量化。在 ZK 硬件加速相關的社區內，大家都充滿信心，希望能一起在這個方向上進行突破。

Siyuan：我認為 Layer2，尤其是用到 ZK 的二層，最核心的是要做快速的 Finality（交易最終確認）。只有更快地將 Layer2 的交易痕跡（Trace）變成 ZK Proof，發送到 L1 上做 verification，L2 的最終狀態才能敲定下來。有些公司為了成本考慮，不會把每個 L2 的區塊或者很少個區塊打包生成 proof。此外，按照 Vitalik 的願景，一層換成 Verkle tree 後希望每個塊都生成一個即時的 ZKP，離開了 ZK 硬件加速這樣的願景就很難實現，因此我們非常看好 Cysic。

2. Faust:聽說 Aleo 有更改挖礦算法的傳言，因為 Aleo 最早是一條隱私公鏈，挖礦算法和 ZK 相關，現在好像又換回了像大多數 PoW 公鏈的哈希算法。想問一下嘉賓們對這個傳言的看法。

Marco：是這樣一個情況，近期 Aleo 的 Testnet Beta 的話，它那個 POW 算法確實現是一個哈希算法，然後加進 Merkle Tree 去了，給了一個 Root Data 來算最後的大小。但是這個版本只是一個暫時版，並不是最終的版本。最終版本 Aleo 官方將在 7 月發佈，希望能大家能耐心等待。

然後，其實 Aleo Foundation 的 CEO Alex 曾經在一次會議上說過，他理想中的 PoW 算法，主要有兩個要求，一是希望能夠推動 ZK 算法的實際應用發展，解決更實際的問題，另外一個希望能保證挖礦的公平性，所以他們會按這個思路進行調整，希望大家及時保持關注。

Leo：就這個話題我想補充一下，Aleo 挖礦之前的 Coinbase puzzle 是用 MSM 來做的多項式承諾，然後只是說從 MSM 換成了用 Merkel tree 來做多項式承諾。其實從 ZK 的角度來看沒有太大差別，只是說你裡邊的一個部件從之前的 MSM based 變成了一個 Hash based，然後這個 Hash based 它有各種各樣的 hash function，其實是一個 a mix of hash function。

Vincent：我個人也挺想問 Marco 老師，就是從 Aleo 的角度來看，對整個 ZK 硬件加速的生態有什麼見解？現在包括像 Cysic 的 ASIC 芯片，或是 Ingonyama 的基於 FPGA 的 ZK 加速方案，他們的這些產品對於 Aleo 的發展或是未來的一些規劃，是否有產生一些影響？

Marco：我個人感覺是有的，畢竟現在困擾整個 ZK 領域的核心問題就是 ZK Proof 生成太慢了，不久前 Vitalik 說到，通過 SNARK 證明系統為一個以太坊區塊生成證明，需要 20 分鐘，但以太坊 12 秒就會生成一個區塊，這裡面有很大很大的 gap。我希望能有更多好的 ZK 加速方案來解決上述問題。

3. Faust : 接下來想討論一下 ZK 挖礦或者 ZKDePIN 相關的話題。首先想問 Leo 老師有關於 ZK 挖礦的願景，ZK-DePIN 賽道將會以怎樣的方式跑下去？

Leo：我們其實是給一些 ZK 項目方提供了 ZK proof generation 的服務，而 Cysic 本身是個初創公司，我們不可能有那麼多錢去自己購買服務器或租服務器，我們就想著團結社區的力量來整合資源。其實我們現在有幾百臺服務器，這幾百臺服務器都是在滿負荷運行的狀態，這個跟傳統的 AI-Depin 項目有很大區別。

AI-Depin 裡面很多機器只是在那裡空轉，人們只是追求一個比較高的 uptime，然後去擼個空投，但如果是 Cysic Network 的話，你的機器會真正賦能實際應用場景，不會出現空轉，資源利用率更高，而且你能拿到的獎勵不只是 Cysic Token，還有各大 ZK 項目方的激勵。

而且這對於 ZK Prover 的去中心化也有好處，讓多個 Prover 去生成一個 Proof 也能減少對單個 Prover 的依賴。我們不但會 rely on 大礦工的設備，還會動員社區成員把自己閒置的硬件接進來，給整個 ZK 生態提供服務。

Siyuan:Cysic 其實有兩種客戶，一種是專業的 ToB 大客戶，另外一種比較有趣，Cysic 推出了一款小型的 ZK 加速卡，你可以在家裡的電腦上快速生成 ZKP，方便開發人員甚至是普通用戶。

Leo：思遠剛才提到的是，應該是我們自己的設備，Cysic 在明年是會大規模出貨自己的 ZK 硬件的，這個硬件有兩個樣子，第一個就是 ZK air，就像剛才思遠提到的，差不多就是一個蘋果筆記本充電器那麼大，可以通過 Type-C 接到你的電腦上面，在本地去幫你跑 ZK 的 generation。它的速度應該也很快，比 4090 卡的性能高 8~10 倍，利於開發者去做很多事情。

Vincent：關於 ZK-Depin，其實傳統 Depin 的想象空間往往侷限在手機挖礦、手錶挖礦這類東西上，但 ZK 硬件加速截然不同。我們 Scroll 很快就會有一個去中心化的 Prover Market，這個在我們的路線圖中有公佈。我們未來的 Prover 部分會是 Permissionless 的市場模式，當然這裡面會涉及到一些複雜的收益模型，目前這塊的細節還在完善。但我們的方向是確定的，要向著 ZK 快速生成的這個方向演進，並極力避免馬太效應。

Marco：關於剛才那個 Cysic 的 ToC 小設備，可以補充兩點，就是 Aleo 轉賬對這種客戶端本地的 ZK 生成有需求，如果你在自己的瀏覽器本地生成 ZKP 的話特別慢， 可能需要十幾分鍾甚至更久。但因為 Aleo 主打隱私交易，對 ZKP 生成有剛需，所以 Cysic 的那種 ToC 小設備還是很有意義的。

4. Faust:目前的 ZK 硬件加速賽道上，商業化或者市場化上還沒有解決的痛點有哪些？

Leo : 其實我們可以把 ZK 加速想象成是在做一種 Proof of Work，你希望以最快的速度生成 ZKP 來換取獎勵，這個其實跟傳統 PoW 公鏈哈希算法的 ASIC 沒有本質區別。但 ZK 的相關算法很多變，它不像哈希函數那樣比較固定，在 ZK 生態裡，不同項目方用的 ZK 證明系統基本都不一樣，有的是基於 KZG 承諾，有的基於 FRI，反正基本都不一樣。

作為一個硬件廠商，Cysic 其實很希望大家能夠趨於統一，向一個確定的 ZK 證明系統靠攏，然後我們可以對這個證明系統持續優化並做到極致的加速比，而不是像現在這麼多元化，因為這對 ZK 加速非常不利。

Marco: 我個人覺得其實在算法改進和性能優化這兩方面有些挑戰與機會並存。去年在 ZPrize 競賽中的 MSM 最佳 GPU 實現方案，按照那個 ZPrize 2023 年 MSN 這個 GPU 的最佳實踐，StorSwift 和那個 yrrid 在 2^20 的數據量的計算上來看，現在還是在 360 毫秒以上。如果能再縮小一個數量級的話，ZK 更容易被推廣。上一個嘉賓提到的證明系統不統一，確實在硬件加速這塊是一個顧慮。考慮到投入產出比，各個項目都不敢做太大投入。

Leo: 我們其實就是 ZPrice 今年 MSM 加速賽道的 architect，今年的確比去年有了差不多 20%-30% 左右的提升。但 MSM 還需要跟 ZK 證明生成的其他模塊來進行交互，PCIE 的效率會成為數據搬運方面的瓶頸。去年我們做了一個很強大的 FPGA 機器，可以在 10 毫秒左右完成 2 的 26 次方左右的 MSM 計算。這已經是可以實現的最大速度了，但依然做不到真正的實時 zk 證明生成，很多計算步驟還是在幾分鐘的耗時。在我們看來的“實時生成”，是要把任意 ZK 電路的證明生成時間控制在 1-5 秒左右，這需要更優秀的方法來實現。

5. Faust:對於 ZK Prover Market 或者說 ZK 挖礦的礦工收益模型，各位怎麼看？

Leo: 礦工的主要收益來自於項目方的代幣，比如 Scroll、Zksync 和 Starknet，礦工的收益很大程度取決於項目方的幣價。長期來看會是一個很大的市場，特別是在比特幣減半之後，我覺得 ZK 應該整個硬件或者對於 ZK 挖礦來說應該是一個逐漸擴大的市場。

Vincent: 我們 Scroll 在 ProverMarket 有一些研究。ProverMarket 市場的大小將取決於 ZK 項目的數量和需求。隨著越來越多的項目採用零知識證明技術，對 Prover 的需求也會相應增加。這種需求是相輔相成的，意味著零知識證明技術的普及和應用將推動 ProverMarket 的增長。

在通用性問題上，多種不同的應用和算法都有 zk 硬件加速的需求，比如我們熟知的 Snark 算法。但能否實現 ZK 系統的大統一在於能否開發出覆蓋所有 ZK 項目的通用應用場景，這需要評估和優化算力的分配，避免算力的分散導致小型項目資源不足，同時防止已經具有強大算力的項目過度集中資源。

Marco：其實從 Aleo 這個角度來看的話，我們也在構思 Prover Market 的方案。如果我要隱私轉賬，那我確實需要人幫我把 ZKP 算出來，因為我本地算的話太慢了，需要很長時間。那誰幫我算 ZKP 我願意付錢，其實有一些產品在陸續的提出來，但關鍵的問題在於安全的保障，因為你叫別人幫你算 ZKP，你就要把數據提供給他，這裡面有隱私洩露的麻煩。現在有一些提案在思考如何解決這類問題。

6. Faust：最後是 CKB/Nervos 公鏈聯合創始人 Jan 問過的一個問題，像 Lumoz 還有 Polygon 都提過 Prover Market 的概念，但這裡有馬太效應，硬件設備比其他人強的礦工，永遠比其他人先生成 ZK 證明，絕大多數的挖礦收益最後都會被那麼一兩個大礦工來控制。各位老師認為如何解決不同礦工的證明生成效率差異太大的問題？

Leo: 我覺得這是一個亙古不變的話題，就是怎麼平衡效率與公平。這個其實在不同階段可以用不同的做法，可能在一個在初期的階段我們更注重效率一點。就是說我們希望給客戶提供更優質、更快速的一個服務，吸引更多的客戶，這樣整個的雪球才會越滾越大。在雪球越滾越大的時候，就可以開始注重公平了。Cysic 自己的硬件就已經開始出貨了，在開始出貨的時候其實是可以購買一些這種性價比挺高的一個硬件，來達到跟大家差不多的一些效率。

從協議設計的角度，你也是可以做出一些相應的調整的。因為在那個時候大家的硬件的速度都有了一個不錯的一個提升。在有不錯的提升的時候，比如說我們假設 a 是速度最快的，b 是速度第二快的，然後 c 是速度第三塊，就注意這裡 a 可能是一個群體，b 可以是一個群體，c 可以是一個群體。你可以通過一些調度來調整，速度稍微慢一些的群體依舊是可以參與的，依舊是可以從中分得一些利益的。

當然公平不能強求，比如說他的投入沒有大礦工的 prover 那麼高，其實從公平的角度來看也不應該獲得那麼大的一個利潤。這是我們後面會使用的一個設計哲學。

Marco: 這是一個挺難回答的問題。如果從 PoW 的角度來說，我們會希望把門檻降低，就像 Aleo 的 testnet3 的時候，一個 proof 既可以被 4090 計算，也能被一個 mobile 計算，收益是按照能力比來算出來的。如果是為實際業務需求服務，還是希望做的又快又好，誰先算出來誰就贏得激勵，大礦工卷硬件對於 ZK 需求方是有好處的，但真要解決公平問題，其實很難。

Lynndell：我覺得這個問題順其自然就好，現在比特幣也是這樣，誰的算力大或者礦池的算力，挖到的礦就很多。其他普通用戶根本就沒戲，就只能提供算力去加入礦池。所以 ZK 這邊也是一樣，它跟 Pow 幾乎是相同的，就是靠算力，這麼一來的話順其自然就行。