ZK-доказательство

Криптобиржа публикует отчёт: с резервами всё в порядке. Раньше в ответ она выкладывала список адресов, и клиенты считали сами. Теперь достаточно доказательства размером пару сотен байт: денег действительно хватает, но ни один адрес при этом не раскрыт. Это и есть ZK-доказательство — способ подтвердить факт, не показывая данные, на которых он держится.

Что это такое

ZK-доказательство (zero-knowledge proof, «доказательство с нулевым разглашением») убеждает другого в правоте утверждения, не показывая ни сам секрет, ни лишние данные. Классический образ — пещера с двумя входами и волшебной дверью посередине. Доказывающий знает пароль к двери, проверяющий ждёт снаружи и вслух просит выйти из конкретного входа. Тот, кто пароль не знает, угадает сторону лишь случайно — а за десяток раундов угадать каждый раз уже нереально. При этом пароль не прозвучал ни разу.

Три шага схемы

1. Обязательство. Доказывающий прячет секрет в математическую формулу и фиксирует её — изменить задним числом нельзя.
2. Случайный вопрос. Проверяющий требует подтвердить один из множества вариантов. Заранее подготовиться к нему невозможно.
3. Ответ. Доказывающий выдаёт выкладку, которая пройдёт проверку только при настоящем знании секрета.

После нескольких раундов вероятность обмана падает почти до нуля. Существует и сжатая версия — zk-SNARK: вместо раундов одно очень короткое доказательство, около 288 байт, а проверка занимает миллисекунды.

Где применяется

• zk-роллапы (zkSync, StarkNet, Polygon zkEVM) подтверждают целые пачки транзакций, не публикуя каждую. Это младший брат роллапа и опора L2-сети.
• Proof of reserves бирж: доказать, что активов хватает, не сливая адреса и суммы клиентов.
• Приватные переводы вроде Zcash: подтвердить, что монеты «чистые», без раскрытия истории.
• Вход по ZK: доказать, что тебе есть 18, не отдавая скан паспорта.

Всё это работает поверх Ethereum и других блокчейнов, где проверяет смарт-контракт.

Ограничения

• zk-SNARK требует доверенной настройки (trusted setup): если её участники сговорились, схему можно подделать.
• Генерировать доказательство вычислительно дороже, чем его проверить, — потому это делают на мощных серверах.
• Математика сложна: писать такие схемы умеют немногие аудиторы, а ошибка в коде стоит денег.
• zk-STARK обходится без доверенной настройки, но даёт доказательства крупнее.

Коротко

• ZK-доказательство подтверждает факт, не раскрывая секрет
• Три шага: обязательство, случайный вопрос, ответ
• zk-SNARK: доказательство ~288 байт, проверка за миллисекунды
• Основа zk-роллапов, proof of reserves и приватных переводов
• Минусы: доверенная настройка, сложный код, дорогая генерация