DSS Webinar | ZK Security with Starkware and Aztec Founders

Aztec 和 Starknet 代表了零知識證明在區塊鏈擴展中的兩條分化路線。Aztec 自 2017 年成立以來致力於隱私，Starknet 則在 2018 年後聚焦驗證的可擴展性，兩者都已進入主網前夜。

Aztec 的核心創新是「加密狀態樹」——不同於以太坊的透明狀態，Aztec 用戶維護私密的狀態分片。當用戶發起交易時，計算發生在本地客戶端。例如，轉賬操作在用戶的瀏覽器或手機中編譯為「kernel circuit」（由協議定義的零知識電路），用戶生成轉賬有效性的密碼證明。這個證明只包含 UTXO 的銷毀記錄（空值）和新建記錄（承諾），交易的金額、發送者、接收者都對公眾隱藏。隨後排序器接收這些私密證明並組合驗證，將加密的交易打包上鏈。這個設計如果規模化，將使區塊鏈真正支援身份系統——例如驗證 KYC 簽名、護照 NFC 掃描、社群信譽證明（如 Twitter 100 粉絲以上），為金融合規與防女巫攻擊提供新工具。

密碼學上，Aztec 採用 Honk——多線性多項式承諾系統的進化版。其創新是 Goblin 加速器，解決了遞歸證明中的非原生橢圓曲線運算瓶頸。當遞歸時，系統無法直接在 Snark 電路中執行另一條曲線的運算（例如 BN254 曲線中證明 Grumpkin 曲線的運算），傳統做法將這些運算編碼為 Snark 見證，極其昂貴。Goblin 的巧妙之處是延遲這些非原生運算，把它們累積到「記錄承諾」中，再用特殊的「翻譯電路」轉換為週期曲線上的原生運算，將非原生群操作轉化為 5 次原生域操作——使客戶端證明在毫秒級完成，即使在舊手機（1GB 記憶體）上也可行。執行跡寬度僅 4 列（對比典型 VM 的數千列），實現了業界最小的證明尺寸。

Starknet 的路線截然不同。Eli Ben Sasson 強調 Stark（Scalable Transparent Argument of Knowledge）的根本優勢：只需單一密碼假設——碰撞抵抗雜湊函數。這意味著即使明天量子計算機出現，Stark 仍然安全。相比之下，Aztec 和大多數 Snark 基於橢圓曲線，量子計算會破解。Starknet 不提供隱私——其驗證 rollup 的目的是壓縮計算證明。Starknet 採用自創的 Cairo 虛擬機和 Sierra 中間表示，相比 EVM，Cairo 更原始但更適合密碼學證明生成。Stone（初版）使用大有限域，後來優化到 Stew（小域），速度提升 10 倍，但當初選擇大域並非錯誤，因為以太坊驗證成本相同。Cairo VM 的 50 項多項式約束（vs 典型 VM 數千項）意味著驗證器極其精簡，且遞歸友好。

兩個系統都面臨相同的安全架構挑戰。Eli 系統地列舉 ZK 系統的四個獨特攻擊面：

攻擊面一：密碼原語假設。 交互式 Stark 理論上只需碰撞抵抗，但實際使用非交互式（透過 Fiat-Shamir 變換），需要把雜湊函數視為隨機預言機。這個假設在「隨機預言模型」中是不可形式化的，但業界普遍接受 SHA-256 和 Keccak 足夠安全。Aztec 使用的 Honk 依賴橢圓曲線，存在後量子風險。Eli 提到一項近期研究（Ron Roth Bloom 等）發現：GKR 協議在交互模式下完全安全（無密碼假設），但非交互版本存在可破譯的宣言——證明了 Fiat-Shamir 本身可能引入漏洞。

攻擊面二：協議安全分析。 這涉及數學證明的正確性和實現的匹配。Starkware 委聘 Ethereum Foundation 獨立審計，兩位教授（Guruswami 和 Ta-Shma）檢視所有核心論文並發現一處聲音性證明的漏洞——幸運的是，當時已有更佳的證明發表。Aztec 同樣進行多輪審計。

攻擊面三：算術化。 這是最細緻的層次——計算的多項式編碼是否完整。例如，要證明某數字 z 是 x 的 SHA-256 輸出，不再說「執行 SHA-256」，而是說「存在多項式 a, b, c, d，滿足特定代數關係」。若多項式約束不完整，某些非法執行可能通過驗證。Starkware 針對此風險設計了極度精簡的 Cairo VM（只有 50 項約束），並用 Lean 自動定理證明器驗證「虛擬機規格 = 多項式約束」的等價性。Jeremy Avigad（CMU 自動化定理證明專家）和 Starkware 團隊的後續論文進一步強化了這個形式驗證。

攻擊面四：代碼實現。 驗證器最終編譯為 Solidity，遞歸邏輯同樣代碼化。此層漏洞最容易被傳統區塊鏈審計發現。Starknet 和 Aztec 都進行了多輪獨立審計和內部遞歸專項審計。

最後，Zach 和 Eli 都強調：安全研究者不必精通底層密碼學。真正的漏洞來自約束不足、狀態管理錯誤、或隱私洩漏——這些問題應在 Noir/Cairo 語言層和 ACIR/Sierra 中間表示層審查。傳統區塊鏈安全實踐（訪問控制、整數溢出、重入）完全適用。對隱私系統（Aztec），額外風險是程式員意外在公開函數中暴露應隱藏的數據——這需要資訊流分析和視覺化工具（Aztec 團隊表示願資助此類工具開發）。Eli 認為「安全私密智能合約開發的最佳實踐手冊尚未成書」，預期未來將出現更多誤用案例。