Розробка Zero-Knowledge Proof застосунків під ключ

Розробка Zero-Knowledge Proof застосунків під ключ

Більшість проектів, які приходять до нас із запитом на ZKP, стикаються з однією з двох проблем: або потрібно довести факт без розкриття даних (вік, баланс, належність до множини), або потрібно перенести важкі обчислення off-chain з верифікацією on-chain. Це різні завдання з різними інструментальними стеками, і плутати їх — перша і найдорожча помилка на старті. Ми допоможемо не помилитися: оцінимо проект, підберемо стек і реалізуємо під ключ за 6–12 тижнів. Маємо 5+ років досвіду в ZK, реалізували 20+ проектів та провели 10+ аудитів. Зв'яжіться з нами для консультації.

Як правильно вибрати proof-систему для розробки Zero-Knowledge Proof застосунків?

Вибір між Groth16, PLONK, STARK, Halo2 та FRI визначає все: розмір proof, час генерації, наявність trusted setup, вартість верифікації on-chain. Нижче — таблиця для порівняння.

Groth16 забезпечує proof у 4 рази менший за PLONK, а генерація на Go gnark у 10-30 разів швидше за snarkjs у браузері. Groth16 — вибір для production систем з фіксованою схемою та вимогами до мінімального газу. Використовують: Tornado Cash (був), Zcash Sapling, більшість zkSNARK мостів. Мінус: кожна зміна circuit вимагає нової ceremony. PLONK з KZG — де-факто стандарт для zkRollup-подібних систем. Gnosis, zkSync Lite, Polygon Hermez використовують варіанти PLONK. Універсальний trusted setup (Powers of Tau) перевикористовується — не потрібна ceremony під кожну схему. STARKs — вибір для завдань, де немає trusted setup і потрібна рекурсія: StarkNet, Cairo VM. Величезний proof розмір — верифікація в EVM нативно недоцільна, потрібен окремий verifier контракт або L3-підхід. Halo2 — використовують Zcash Orchard, Scroll. Не вимагає trusted setup, вбудована рекурсія. Tooling менш зрілий, екосистема менша, але активно розвивається.

Для більшості практичних завдань (приватне голосування, proof of membership, zkKYC, age verification) — Groth16 через circom/snarkjs або PLONK через gnark/noir — правильна відправна точка. При газі 20 gwei одна верифікація Groth16 обходиться ~$2-5 на Ethereum mainnet, а на Arbitrum — ~$0.02-0.05, що робить L2-деплой економічно виправданим. Вартість розробки ZK-застосунку починається від $20,000 до $150,000 залежно від складності.

Що вразливо в ZK circuits? Розбираємо на circom

Circom — DSL для написання arithmetic circuits. Circuit компілюється в R1CS, потім через snarkjs або rapidsnark генерується proof.

Базова схема для доведення знання preim хешу:

pragma circom 2.1.4;
include "circomlib/circuits/poseidon.circom";
include "circomlib/circuits/comparators.circom";

template ProveBalance() {
    signal input balance; // private
    signal input salt; // private
    signal input commitment; // public
    signal input threshold; // public

    component hasher = Poseidon(2);
    hasher.inputs[0] <== balance;
    hasher.inputs[1] <== salt;
    hasher.out === commitment;

    component rangeCheck = Num2Bits(64);
    rangeCheck.in <== balance;

    component gte = GreaterEqThan(64);
    gte.in[0] <== balance;
    gte.in[1] <== threshold;
    gte.out === 1;
}

component main {public [commitment, threshold]} = ProveBalance();

«Under-constrained signals — найпоширеніший клас багів у ZK circuits» (документація circom, розділ безпеки). Якщо сигнал використовується в обчисленні, але не має достатньої кількості constraints — прувер може передати довільне значення, і верифікатор прийме proof.

Приклад вразливого коду:

// ВРАЗЛИВО: немає constraint що out це bit
template IsZero() {
  signal input in;
  signal output out;
  signal inv;
  inv <-- in != 0 ? 1/in : 0;
  out <-- in == 0 ? 1 : 0;
  // ЗАБУЛИ: in * out === 0 і (in * inv - 1 + out) === 0
}

Верифікатор приймає будь-який out, тому що немає constraints, що зв'язують out з in.

Overflow у field arithmetic: Circom працює в простому полі p = 21888242871839275222246405745257275088548364400416034343698204186575808495617. Будь-яка операція виконується за модулем p. Якщо вхідні дані — числа з реального світу (вік, timestamp) — діапазон безпечний. Але при множенні великих чисел потрібен явний range check через Num2Bits, як показано в прикладі.

Gnark (Go) для складніших схем

Коли схема занадто складна для circom (рекурсивні доведення, BLS signature verification, zkEVM-подібні компоненти) — gnark:

type Circuit struct {
    PreImage frontend.Variable `gnark:",secret"`
    Hash     frontend.Variable `gnark:",public"`
}

func (c *Circuit) Define(api frontend.API) error {
    mimc, err := mimc.NewMiMC(api)
    if err != nil {
        return err
    }
    mimc.Write(c.PreImage)
    result := mimc.Sum()
    api.AssertIsEqual(result, c.Hash)
    return nil
}

gnark в 10–30x швидше snarkjs у prover time для однакових схем. Для production з реальними користувачами це важливо: генерація proof у браузері через WASM займає 3–15 секунд на Groth16 схемі помірної складності, у Go сервері — 0.1–1 секунду.

On-chain верифікація

Solidity verifier генерується автоматично — snarkjs робить це через snarkjs zkey export solidityverifier. Але в production контракт потрібно адаптувати:

contract BalanceProofVerifier {
    IGroth16Verifier public immutable verifier;
    mapping(bytes32 => bool) public usedNullifiers;

    function verifyAndExecute(
        uint[2] calldata a,
        uint[2][2] calldata b,
        uint[2] calldata c,
        uint[2] calldata publicInputs // [commitment, threshold]
    ) external {
        bytes32 nullifier = keccak256(abi.encodePacked(a, b, c));
        require(!usedNullifiers[nullifier], "Proof already used");
        require(verifier.verifyProof(a, b, c, publicInputs), "Invalid proof");
        usedNullifiers[nullifier] = true;
        // ... основна логіка
    }
}

Gas cost верифікації Groth16 — близько 270k gas. На Ethereum mainnet при 20 gwei це ~$2–5 за верифікацію. Для систем з високою частотою — деплой на L2 (Arbitrum, Base) знижує вартість у 10–50x.

Інфраструктура для proof generation