DeFi security Summit 2023 - Session 12: Vulnerabilities & Exploits - Dmitry Khovratovich

零知識證明正在成為區塊鏈擴展的核心技術。傳統以太坊流程是交易送出→全網執行→存儲更新，而 ZK-Rollup 則改為：交易在證明者側執行、生成執行證明上傳到鏈、節點驗證證明、存儲更新。這樣可大幅降低執行成本，但驗證 ZK 證明本身仍需費用，且帶來了一個隱藏的威脅——bug 追蹤困難。

在普通區塊鏈上，漏洞被利用時整個交易執行軌跡都暴露在鏈上，所有人能看到呼叫棧與執行狀態；但在 ZK 系統中，只有最終證明被驗證，交易本身從不對外公開。若電路有漏洞且攻擊者能生成無效輸入的有效證明，外界只看到「證明有效」，卻完全看不到內部發生了什麼。這意味著資金損失時可能無法追蹤攻擊者如何利用漏洞，極大增加了安全風險。

根本問題來自編程領域的差異。ZK 電路運作在素域（模某個素數 P）而非 256 位整數域，所有運算皆模 P 進行。當算術接近 2^256 邊界時，模 P 的結果與模 2^256 的 EVM 結果迥然不同。以 4 × (2^254 + 1) 為例，在 EVM 中溢位後變成確定值，但在 ZK 中模 P 後可能是完全不同的 250+ 位數字。更危險的是，素域中任何非零數都可被任何非零數整除，這創造了攻擊空間。例如模減法約束 a = Q × B + r 時，若攻擊者可自由選擇 Q 和 r，他可計算 Q = (a - r) / B（在素域中總能整除），這樣任意 r 值都能滿足約束。

電路編程還有另一大難點：用約束關係而非順序指令。這要求電路同時滿足「完整性」（所有有效執行都能生成證明）和「健全性」（有效證明必對應有效執行）。完整性失敗會導致正常交易無法被證明、可能阻止合法提現；健全性失敗會允許虛假交易通過。

高危場景包括：範圍接近 56 位的乘法（需逐個檢查溢位）、除法操作（結果可能巨大且難預測）、分支實現（必須計算所有標誌位避免只執行部分邏輯）、邊界情況（正常代碼無法觸及的分支在電路中成為攻擊者利用點）以及密碼學操作的誤用。幾何平均數 bug 典型地體現了溢位的複雜性：計算兩個 256 位數的幾何平均值時，中間乘積會溢位，解決方案是將數字分割成三個區塊進行「教科書乘法」並驗證多個等式才能確保正確性。