遞迴 ZK 證明

什麼是遞迴 ZK 證明？

遞迴 ZK 證明是一種用來驗證其他零知識證明的零知識證明。在加密貨幣領域，這代表一份證明可以證明另一份證明有效，而這份證明接著也能再次納入另一份證明中。如此便形成一連串的證明驗證流程，能將大量計算、交易或狀態更新壓縮成較小的最終證明。一般零知識證明可讓證明者證明某項陳述為真，卻不必揭露該陳述背後的所有私人資訊。

Ethereum 零知識證明文件說明，零知識證明可讓證明者證明某項主張有效，而不揭露主張本身。

遞迴 ZK 證明更進一步，能證明先前的證明是正確產生的。因此，遞迴證明常被稱為「證明的證明」。區塊鏈不必在鏈上驗證數千份個別證明，而是可以驗證一份代表所有證明的最終遞迴證明。這使遞迴 ZK 證明成為區塊鏈擴容、Rollup、隱私系統、輕客戶端、證明聚合與可驗證計算的重要技術。遞迴的主要價值，在於以密碼學完整性實現壓縮。即使代表大量工作，最終證明仍可維持精簡。

遞迴 ZK 證明為何對加密貨幣領域重要

遞迴 ZK 證明之所以重要，是因為區塊鏈的空間、計算能力及鏈上驗證能力都有限。如果每筆交易、狀態轉換或證明都必須在基礎層分別驗證，成本可能會高到使用者與開發者難以負擔。遞迴證明可將多項已驗證的工作合併成一個精簡物件，減輕這項負擔。這對 ZK-rollup 特別有用。ZK-rollup 會在鏈下處理交易，並向基礎鏈提交有效性證明。

Ethereum ZK-rollup 文件將 ZK-rollup 說明為一種擴容方案：將計算與狀態儲存移至鏈下，同時向 Ethereum 提交有效性證明。

遞迴證明可在最終結算前聚合多份交易證明或批次證明，讓此模式更有效率。這有助於降低驗證成本、提高吞吐量，並減少基礎鏈必須直接處理的證明資料量。遞迴證明對使用者也很重要，因為它能讓區塊鏈系統更快速、成本更低，且不必迫使使用者信任中心化營運者。若設計得當，系統安全性將來自密碼學驗證，而非盲目信任服務提供者。因此，遞迴 ZK 證明是打造更具擴展性、且更少依賴信任的加密貨幣基礎架構的重要基石。

遞迴 ZK 證明如何運作

遞迴 ZK 證明的運作方式，是將某個證明系統的驗證器放入另一個證明電路中。簡單來說，新證明會檢查舊證明是否有效。證明者不只是直接證明某筆交易或某項計算。證明者也會證明先前的證明已成功驗證較早的計算。這個流程可以重複多次。例如，證明 A 驗證一組交易。證明 B 驗證證明 A 以及另一組交易。證明 C 驗證證明 B 以及更多交易資料。最後，驗證者只需檢查證明 C，就能確認整串工作具有可信度。這不代表舊資料會神奇地消失。而是舊計算的正確性由精簡的密碼學證明表示。系統仍須具備適當的資料可用性、可靠的證明建構、安全的電路與可信的假設，才能確保安全。遞迴 ZK 證明的強大之處，在於將重複驗證轉化為可擴展的證明組合流程。

以遞迴證明進行證明聚合

證明聚合是將多份證明合併成一份證明。遞迴 ZK 證明是實現證明聚合的常見方式之一。系統不必要求基礎鏈驗證數百份個別有效性證明，而是可以遞迴合併它們，再提交一份最終證明。這很有用，因為鏈上證明驗證需要花費資金並占用區塊空間。如果區塊鏈能驗證一份聚合證明，而非多份個別證明，總成本就可能降低。聚合也有助於降低延遲並改善系統設計。不同的證明者可以平行產生不同交易批次的證明。接著再逐步合併這些證明，產生最終證明。

Starknet SHARP 文件說明，遞迴證明可實現平行處理、降低使用者延遲、減少鏈上成本，並提升證明效率。

這就是遞迴證明聚合對高吞吐量加密貨幣系統十分重要的原因。它能將許多小型證明工作轉化為一項最終驗證工作。

遞迴 ZK 證明與 ZK-rollup

ZK-rollup 是遞迴 ZK 證明最重要的加密貨幣應用場景之一。ZK-rollup 會在基礎鏈之外處理大量交易，並提交有效性證明，證明交易已正確處理。若沒有遞迴機制，Rollup 可能需要產生並驗證大型證明，或為不同批次產生多份個別證明。採用遞迴機制後，Rollup 可以先證明一個批次，再證明另一個批次，然後將這些證明合併成一份更大的證明。這讓 Rollup 能擴大證明產生規模，同時維持精簡的最終驗證步驟。遞迴證明也能協助 Rollup 安排證明者的工作。一名證明者可以處理一小組交易，另一名證明者則處理不同的交易組。之後系統可以透過遞迴方式合併結果。這有助於提升證明流程的平行處理能力，讓大量交易更容易實際運作。接著可將最終證明提交至基礎鏈，由智能合約驗證 Rollup 的狀態轉換是否有效。對使用者而言，這有助於降低手續費並加快結算，同時保留強大的密碼學保障。

遞迴 ZK 證明與簡潔區塊鏈

遞迴 ZK 證明也能協助打造簡潔區塊鏈。簡潔區塊鏈的設計目標，是讓使用者不必下載並驗證完整鏈上歷史，就能檢查目前狀態。使用者只需驗證一份代表區塊鏈歷史有效性的精簡證明。

Mina Protocol 文件說明，Mina 使用遞迴零知識證明，讓參與者可透過小型證明驗證網路與交易，而不必從頭驗證整條區塊鏈。

Mina SNARK worker 文件也說明，遞迴證明有助於將區塊鏈壓縮至固定大小。

這種模式不同於傳統區塊鏈：新使用者可能需要下載大量歷史資料，才能獨立驗證網路。遞迴證明可讓驗證更輕量、更容易使用。這有助於硬體效能有限、使用行動裝置或網路頻寬不足的使用者，更直接地參與驗證。其目的不只是節省儲存空間。更深層的目標，是在不犧牲密碼學可信度的前提下，降低區塊鏈驗證成本。

遞迴 ZK 證明與隱私

遞迴 ZK 證明可讓使用者在不公開資料本身的情況下，證明與私人資料有關的陳述，進而支援重視隱私的加密貨幣系統。例如，使用者可以證明一筆私人交易有效，卻不揭露發送者、接收者、金額或完整交易路徑。遞迴機制接著可以將多份私人證明合併成一份較大的證明，以驗證整體系統狀態。這很有用，因為隱私系統通常同時需要機密性與擴展性。若沒有證明聚合，驗證許多私人交易可能成本高昂。透過遞迴證明，許多私人操作可以整合成一份最終證明。這有助於減少鏈上驗證工作，同時保護使用者資料。重視隱私的 Rollup、私人智能合約系統及身分應用程式，都能受益於這種模式。不過，隱私不只取決於遞迴機制。電路必須設計正確、妥善控管中繼資料外洩，使用者也必須了解哪些資訊仍會公開。遞迴證明可以隱藏特定私人輸入，但不會自動隱藏所有錢包使用模式、時間訊號或應用程式層級的行為。

遞迴 ZK 證明與可驗證計算

遞迴 ZK 證明也適用於可驗證計算。可驗證計算是指一方執行計算，而另一方能有效率地驗證計算是否正確完成。在加密貨幣領域，這可應用於機器學習輸出、遊戲邏輯、身分檢查、合規證明、拍賣、投票系統、預言機計算與鏈下執行。大型計算可能難以直接在鏈上驗證，或成本過高。遞迴證明可將工作拆成較小部分，再逐步合併各部分的證明。

Mina 遞迴教學說明，遞迴 ZKP 有助於建構原本難以完成的大型交易，並支援鏈下多方共同建構證明。

這很重要，因為許多加密貨幣應用程式希望將繁重計算移至鏈下，同時維持安全的鏈上驗證。遞迴證明讓開發者能證明複雜工作，而不必要求每個區塊鏈節點重複執行。這有助於提升擴展性，並讓新的應用程式設計成為可能。

遞迴 ZK 證明與輕客戶端

輕客戶端是指不執行完整節點、但會驗證區塊鏈資訊的使用者或應用程式。遞迴 ZK 證明可提供區塊鏈狀態有效性的精簡證據，讓輕客戶端更可靠。輕客戶端不必信任伺服器回報正確狀態，而是可以驗證一份有關狀態轉換歷史的證明。這有助於降低錢包、跨鏈橋、行動客戶端與跨鏈應用程式的信任假設。例如，跨鏈橋可能希望在不信任小型委員會的情況下驗證另一條鏈的狀態。遞迴證明可以用另一條鏈能夠驗證的形式，表示許多區塊或狀態轉換。這不會消除所有跨鏈橋風險。證明系統、資料可用性、驗證器合約、升級控制與區塊鏈假設仍然重要。不過，遞迴證明能以數學驗證取代部分對個人或機構的假設，降低對外部信任的需求。這也是遞迴證明研究對跨鏈基礎架構如此重要的原因之一。

遞迴 ZK-SNARK

遞迴 ZK-SNARK 是使用 SNARK 型證明系統建構的遞迴證明。SNARK 是 succinct non-interactive argument of knowledge 的縮寫，意為簡潔非互動式知識論證。SNARK 受到重視，是因為證明大小可能很小，且驗證效率高。當系統需要持續驗證先前的證明，同時維持精簡的最終證明時，遞迴 SNARK 就很有用。Mina 是遞迴 SNARK 應用中最知名的加密貨幣案例之一。

Mina o1js 遞迴 ZK 證明文件將遞迴描述為運用 ZK 證明解決複雜問題的強大工具。

SNARK 遞迴在技術上可能具挑戰性，因為證明驗證器必須有效率地表示在另一個電路中。這通常需要謹慎選擇橢圓曲線、算術化方式、證明系統、可信任設定假設與電路設計。若設計得當，遞迴 SNARK 能為區塊鏈系統提供強大的壓縮能力與有效率的驗證。

遞迴 ZK-STARK

遞迴 ZK-STARK 是使用 STARK 型證明系統建構的遞迴證明。STARK 是 scalable transparent argument of knowledge 的縮寫，意為可擴展透明知識論證。STARK 常因具備透明性與擴展性而受到討論。在區塊鏈系統中，遞迴 STARK 有助於聚合證明，並降低最終鏈上驗證成本。Starknet 的 SHARP 系統是 STARK 生態系中實際採用遞迴證明聚合的案例。Starknet 文件說明，SHARP 會在將最終證明傳送至鏈上驗證器之前，以遞迴方式聚合證明。當許多獨立程式或批次需要有效率地完成證明與結算時，遞迴 STARK 系統就很有價值。這也能支援共用證明基礎架構，讓不同應用程式受益於聚合驗證。與 SNARK 一樣，其安全性取決於正確實作、可靠的假設、謹慎的驗證器設計，以及與結算層的安全整合。

遞迴證明與 Plonky2

Plonky2 是一種著重於快速遞迴組合的證明系統。

Plonky2 論文將 Plonky2 描述為一種密碼學論證的實作，重點在於快速遞迴組合。

在加密貨幣領域，Plonky2 這類證明系統十分重要，因為遞迴效能可能受證明速度、驗證成本與電路複雜度限制。如果遞迴速度太慢，證明聚合可能不適用於實際交易系統。如果遞迴驗證成本太高，最終證明所節省的成本可能不足。快速遞迴證明系統旨在讓證明組合更適用於 Rollup、zkVM、跨鏈橋與其他區塊鏈基礎架構。更廣泛來說，遞迴 ZK 證明的設計不只是數學上可行與否。工程效能同樣重要。遞迴證明系統必須具備足夠的速度、精簡度與可靠性，才能用於正式上線的加密貨幣系統。

遞迴 ZK 證明與 zkVM

zkVM 是零知識虛擬機，可用來證明程式已正確執行。遞迴 ZK 證明可將執行流程拆分成較小區段，協助 zkVM 系統證明大型程式。每個區段都可以產生一份證明。接著可以遞迴合併這些證明，產生一份證明完整程式執行流程的最終證明。這很有用，因為一次證明大型程式可能成本高昂，或難以實際執行。遞迴讓 zkVM 設計者能以水平擴展方式增加證明工作量。不同機器或證明者可以處理不同區段。最終證明則能代表完整的執行追蹤。對於未來希望證明複雜鏈下計算，並以低成本在鏈上驗證的區塊鏈應用程式，這種模式十分重要。它可支援 Rollup 執行、協處理器、可證明遊戲、私人應用程式，以及可驗證的 AI 相關工作流程。

遞迴 ZK 證明與一般 ZK 證明的差異

一般 ZK 證明用來證明與資料或計算有關的陳述。遞迴 ZK 證明則用來證明一項包含另一份證明有效性的陳述。這項差異會改變證明系統的擴展方式。使用一般證明時，如果涉及許多計算，驗證者可能需要檢查多份個別證明。使用遞迴證明時，這些證明可以合併，讓驗證者只需檢查一份最終證明。一般證明仍然實用，而且通常較簡單。遞迴證明更複雜，但能支援規模更大的系統。開發者不應只因為遞迴聽起來先進，就採用遞迴機制。當系統需要證明聚合、大型計算、鏈上歷史壓縮或多步驟驗證時，遞迴最能發揮作用。對小型應用程式而言，一般證明可能較容易、成本較低，也較安全。

遞迴 ZK 證明與批次驗證的差異

遞迴證明聚合並不等同於簡單的批次驗證。批次驗證是指以比逐一檢查更有效率的方式，一次檢查多份證明。遞迴證明聚合則是建立一份新證明，證明先前的證明有效。批次驗證可以降低驗證成本，但驗證者仍可能需要處理多個證明物件。遞迴聚合則可以將多份證明縮減成單一證明物件。這項差異對區塊鏈很重要，因為鏈上驗證受到嚴格限制。智能合約驗證一份精簡證明，成本可能低於驗證多份個別證明。遞迴聚合也能建立證明樹，逐層合併多份證明。這種結構適合平行產生證明及大型 Rollup 系統。最佳設計取決於證明大小、證明成本、驗證成本、延遲與結算需求。

遞迴 ZK 證明的優點

第一項主要優點是擴展性。遞迴證明可以將多份證明或多項計算壓縮成一份最終證明。第二項優點是降低驗證成本。區塊鏈可以驗證一份證明，而不必驗證多份個別證明。第三項優點是支援平行產生證明。多名證明者可以處理工作負載的不同部分，之後再合併證明。第四項優點是讓輕客戶端更容易驗證。使用者可以驗證精簡證明，而不必處理龐大的歷史資料。第五項優點是有助於打造更完善的隱私系統。私人證明可以聚合，而不必揭露私人輸入。第六項優點是基礎架構更具模組化。Rollup、zkVM、跨鏈橋與應用程式可以產生證明，並將其納入更大型的證明系統。第七項優點是提升可組合性。系統不同部分的證明可以組合成更全面的正確性證明。

遞迴 ZK 證明的限制

遞迴 ZK 證明功能強大，但並不簡單。與一般證明相比，遞迴證明更難設計、稽核與實作。電路必須正確驗證內層證明。必須謹慎處理公開輸入，才能確保最終證明證明了正確的陳述。證明系統必須避免薄弱假設、不安全的參數選擇與實作錯誤。如果系統必須等待多層證明完成，遞迴證明也可能增加延遲。部分遞迴系統需要特殊曲線、曲線循環、可信任設定選擇，或針對特定證明系統進行最佳化。開發者也必須考量資料可用性。證明可以顯示計算有效，但使用者可能仍需要取得底層交易資料，才能還原狀態或退出系統。這對 Rollup 及其他擴容系統尤其重要。

遞迴 ZK 證明的安全風險

最大的風險是證明了錯誤的陳述。如果電路驗證了內層證明，卻未正確將內層證明的公開輸出連結至外層證明的輸入，遞迴機制就可能不安全。另一項風險是信任未經仔細稽核的驗證器電路。遞迴驗證器的錯誤可能影響所有建立在其上的證明。另一項風險是資料可用性不足。有效的證明不代表使用者就能取得獨立恢復所需的所有資料。另一項風險是升級控制。如果協議能輕易升級驗證器合約或證明系統，使用者可能面臨治理或管理金鑰風險。另一項風險是證明者中心化。如果產生證明需要昂貴硬體或專用基礎架構，可能只有少數實體有能力產生證明。遞迴 ZK 證明可以降低部分信任假設，但無法消除所有系統風險。

遞迴證明樹

遞迴證明樹是一種分層合併多份證明的結構。在底層，多份小型證明會驗證較小部分的計算。下一層的證明則會驗證這些較小證明的群組。如此逐層進行，直到一份根證明代表整棵證明樹。這種模式類似 Merkle tree 將多份資料壓縮成一個根值，但遞迴證明樹會將多項已驗證計算壓縮成一份最終證明。證明樹很有用，因為它允許平行作業。多名證明者可以同時產生較低層的證明。接著由聚合證明者合併結果。這有助於大型證明系統更適用於實際的加密貨幣網路。Rollup、共用證明者、zkVM 與證明市場都可以採用證明樹設計。

遞迴 ZK 證明與資料可用性

遞迴 ZK 證明無法取代資料可用性。證明可以顯示狀態轉換有效，但使用者可能仍需要取得該狀態轉換背後的交易資料。對 Rollup 而言，資料可用性有助於使用者驗證餘額、還原狀態，並在需要時退出。如果資料遭到隱藏或無法取得，有效證明可能仍不足以讓使用者保護自己。因此，ZK-rollup 設計必須將有效性與資料可用性分開處理。有效性證明可顯示計算遵循規則。資料可用性則確保使用者能取得獨立追蹤及恢復自身狀態所需的資訊。遞迴證明可以降低有效性驗證成本。但它不會自動解決所有資料存取問題。安全的擴容系統必須同時處理證明正確性與資料可用性。

遞迴 ZK 證明與鏈上驗證

鏈上驗證是指區塊鏈智能合約或協議驗證一份證明。遞迴 ZK 證明可將多次證明檢查合併成一次最終檢查，提升鏈上驗證效率。這有助於降低 Gas 費或減少結算負擔。也能讓原本難以直接在鏈上驗證的大型鏈下計算得以驗證。不過，鏈上驗證仍取決於驗證器合約或原生驗證器的實作。驗證器必須正確、有效率，並與證明系統相容。如果驗證器可以升級，使用者應了解升級控制權屬於誰。如果驗證器依賴可信任設定，使用者應了解該設定所帶來的假設。如果驗證器成本高昂，遞迴帶來的效益可能會降低。良好的遞迴證明系統會將最終驗證成本納入設計考量。

遞迴 ZK 證明與證明者去中心化

遞迴證明可以支援去中心化的證明流程，但不代表一定能實現去中心化。遞迴證明系統可以將工作拆成較小任務，讓多名證明者處理。這有助於將證明工作分配至多台機器或多位參與者。然而，部分證明工作仍可能需要高效能硬體、最佳化軟體或專業知識。如果只有一個營運者能及時產生證明，系統在營運上可能會走向中心化。證明者去中心化很重要，因為 Rollup 或證明系統可能依賴及時產生證明。如果唯一的證明者故障、遭到審查或停止運作，使用者可能面臨延遲。部分系統會採用備援證明者、證明市場、共用證明網路或無須許可的證明設計來處理此問題。遞迴證明可透過模組化證明工作支援這些設計。最終安全性仍取決於協議完整的證明與結算架構。

遞迴 ZK 證明的常見應用

遞迴 ZK 證明可用於 ZK-rollup 證明聚合。也可用於簡潔區塊鏈，讓驗證工作不會隨著鏈上歷史增加而變得龐大。可用於需要證明大型程式執行過程的 zkVM。可用於將多筆私人交易聚合的隱私系統。也可用於跨鏈驗證，由一條鏈驗證另一條鏈的狀態。可用於需要證明鏈下工作的可驗證計算應用程式。也可用於多方證明建構，由不同參與方共同產生最終證明。還可用於證明市場，由不同證明者分別產生大型證明工作的一部分。也能用於身分系統，讓使用者在不揭露不必要個人資訊的情況下，證明憑證或合規條件。隨著區塊鏈系統日益模組化，遞迴證明很可能持續成為串接多個證明元件的重要技術。

開發者的最佳實務

開發者應盡可能使用經過充分審查的證明系統與函式庫。應明確定義每份遞迴證明要證明的陳述。應謹慎連結內層與外層證明的公開輸入與輸出。不應將遞迴視為彌補薄弱系統設計的捷徑。應使用無效證明、格式錯誤的公開輸入、邊界案例及對抗性狀態轉換來測試遞迴電路。應在設計中將資料可用性與證明有效性分開考量。應記錄可信任設定假設、驗證器合約、升級控制與證明者需求。應設計系統，避免證明產生失敗而不必要地凍結使用者資金。應由同時了解智能合約與證明系統的團隊進行稽核。應持續監測證明延遲、驗證成本與證明者中心化程度。

使用者的最佳實務

使用者應了解，遞迴 ZK 證明可改善擴展性與驗證效率，但無法消除所有風險。使用者應確認協議是否說明證明機制、資料可用性與提領流程。對於使用進階 ZK 術語、卻缺乏清楚文件的系統，使用者應保持謹慎。使用者應留意稽核報告、開源驗證器程式碼、公開安全審查與透明的升級政策。使用者應了解協議依賴單一證明者、小型證明者群組，還是更去中心化的證明系統。使用者也應了解交易資料是發布在鏈上、儲存在其他位置，還是由獨立的資料可用性層處理。有效的遞迴證明很有價值，但只是完整安全模型的一部分。使用者應將遞迴 ZK 證明視為強大的密碼學工具，而非所有相關產品都無風險的保證。

常見問題

遞迴 ZK 證明是什麼意思？

遞迴 ZK 證明是一種用來驗證另一份零知識證明的零知識證明。

遞迴 ZK 證明為什麼對加密貨幣領域有用？

它可以將多份證明或多項計算合併成一份精簡證明，降低鏈上驗證成本。

ZK-rollup 會使用遞迴 ZK 證明嗎？

會。遞迴證明可協助 ZK-rollup 在基礎鏈最終結算前聚合交易證明或批次證明。

遞迴 ZK 證明只用於隱私嗎？

不是。它可以支援隱私，也可用於擴容、證明聚合、輕客戶端、zkVM 與可驗證計算。

什麼是「證明的證明」？

「證明的證明」是描述遞迴的一種簡單方式，指新證明可證明舊證明有效。

遞迴 ZK 證明會讓區塊鏈更快速嗎？

遞迴 ZK 證明可以透過減少驗證工作改善擴展性，但實際速度也取決於證明所需時間、資料可用性、網路設計與結算規則。

遞迴 ZK 證明能免除資料可用性的需求嗎？

不能。遞迴證明可證明有效性，但使用者可能仍須取得交易資料，才能還原狀態或保護資金。

遞迴 ZK-SNARK 與遞迴 ZK-STARK 有什麼差異？

遞迴 ZK-SNARK 使用 SNARK 型證明系統，遞迴 ZK-STARK 則使用 STARK 型證明系統。

遞迴證明可以在鏈上驗證嗎？

可以。許多系統的設計方式，是讓鏈上驗證器合約或原生驗證器驗證最終遞迴證明。

遞迴 ZK 證明有風險嗎？

如果電路、驗證器邏輯、公開輸入連結、資料可用性模型或升級控制設計不佳，就可能帶來風險。

結論

遞迴 ZK 證明是擴展與驗證加密貨幣系統的重要密碼學工具之一。它能讓一份零知識證明驗證另一份證明，形成精簡的已驗證計算鏈。因此，它可用於聚合多份證明、壓縮區塊鏈歷史、支援 ZK-rollup、改善輕客戶端，以及證明複雜的鏈下計算。在區塊鏈擴容方面，遞迴證明可降低鏈上驗證成本，並協助證明者平行作業。在隱私系統方面，遞迴證明可以合併多份私人證明，而不必揭露敏感輸入。在簡潔區塊鏈方面，遞迴證明有助於使用者在不下載完整鏈上歷史的情況下驗證目前狀態。遞迴 ZK 證明並非萬靈丹，因為資料可用性、驗證器安全性、證明者去中心化與電路正確性仍然重要。最好將遞迴 ZK 證明理解為一種強大的證明組合方法，能讓大型已驗證系統更容易檢查。隨著加密貨幣基礎架構日益模組化並以證明為基礎，遞迴 ZK 證明仍將是讓區塊鏈更具擴展性、隱私性與可驗證性的核心技術。