Розробка ZK-SNARK додатків: від схеми до аудиту

Ми розробляємо ZK-SNARK додатки під ключ: від проектування арифметичної схеми до аудиту та деплою. ZK-SNARK (Zero-Knowledge Succinct Non-interactive ARgument of Knowledge) — це доведення того, що ви знаєте секрет, не розкриваючи секрет. Звучить абстрактно, поки не зіткнешся з конкретним завданням: довести, що користувач старше 18 років без передачі дати народження, або підтвердити баланс гаманця без розкриття адреси, або верифікувати виконання програми без повторного її запуску.

Tornado Cash (до санкцій) перемістив ~7 млрд доларів, використовуючи ZK-SNARK для доведення права на виведення без зв'язку з адресою депозиту (джерело: Tornado Cash whitepaper). Zcash захищає транзакції через ту ж технологію. Polygon zkEVM доводить коректність пакету з тисяч транзакцій одним компактним proof. Наші інженери мають досвід впровадження ZK в реальні проекти — від DeFi до identity-рішень.

Як працюють ZK-SNARK: достатньо глибоко, щоб будувати

Від задачі до схеми

Будь-яка обчислювальна задача, яку можна записати як набір арифметичних обмежень (arithmetic circuit), може бути доведена через ZK-SNARK. Схема (circuit) — це не звичайна програма. Це опис обчислення як системи рівнянь над скінченним полем.

Візьмемо просту задачу: довести, що я знаю x таке, що x² + x + 5 = y, де y — публічне значення. Схема:

signal input x;
signal output y;
signal x_squared;

x_squared <== x * x;
y <== x_squared + x + 5;

Це Circom — основна мова для опису ZK-схем (див. офіційну документацію). Компілятор перетворює схему в набір обмежень R1CS, потім в QAP, який є математичною основою для SNARK.

Чому Groth16 досі стандарт?

Groth16 дає найменший proof (~200 bytes) і найменший gas на верифікацію (~250k). Недолік: кожна схема вимагає окремої церемонії trusted setup. Якщо схема змінилася — потрібна нова церемонія. Використовується в Tornado Cash, Zcash, більшості production ZK-додатків.

Як вибрати між Groth16, PLONK та FFLONK?

Вибір proof system визначає всі інші параметри: розмір proof, час генерації, розмір trusted setup, час верифікації в контракті (і відповідно gas cost).

Groth16 — найменший proof і найменший gas на верифікацію. Недолік: кожна схема вимагає окремої церемонії trusted setup. Якщо схема змінилася — потрібна нова церемонія. Використовує: Tornado Cash, Zcash, більшість production ZK-додатків.

PLONK — universal trusted setup (Powers of Tau), який годиться для будь-якої схеми до певного розміру. Змінити схему можна без нової церемонії. Proof більший, але для більшості додатків це прийнятно. Використовує: zkSync Era, Aztec Protocol.

FFLONK — оптимізована версія PLONK з меншим gas на верифікацію. Використовується в Polygon zkEVM.

Ми рекомендуємо Groth16 для production додатків з фіксованою схемою та високим обсягом транзакцій (мінімальний gas на верифікацію). PLONK — для прототипів і додатків, де схема може змінюватися.

Trusted Setup і чому це важливо

Trusted setup — це криптографічна церемонія, яка генерує параметри для доведень. Якщо хтось збереже «токсичні відходи» (проміжні значення) — він зможе генерувати підроблені доведення. Це не теоретична загроза: якщо setup скомпрометований, вся система довіри руйнується.

Groth16 вимагає двоетапної церемонії:

1. Powers of Tau — універсальна частина, незалежна від схеми. Існують публічні trusted setup від Ethereum Foundation (Hermez 1, 2), які підтримали тисячі учасників. Ми використовуємо їх, не генеруємо свої.
2. Phase 2 — схемо-специфічна частина. Для production систем організовуємо церемонію з кількома учасниками через snarkjs.

Стек та інструменти

• Circom 2 — мова для написання схем. Компілятор на Rust, значно швидший за першу версію. Підтримує шаблони (templates) для перевикористання схем.
• snarkjs — JavaScript бібліотека для генерації та верифікації доведень, проведення trusted setup, експорту верифікатора в Solidity.
• circomlibjs — бібліотека стандартних схем: hash функції (Poseidon, MiMC, SHA256 в схемі), підпис (EdDSA, ECDSA), дерева Меркла.
• Noir (Aztec) — альтернативна мова з вищим рівнем абстракції, компілює в PLONK. Простіша для розробників, знайомих з Rust-синтаксисом.
• SnarkVM / Leo (Aleo) — для Aleo blockchain, якщо задача вимагає privacy-first L1.

Типовий проект: ZK Age Verification

Задача: користувач доводить, що старше 18 років, використовуючи дані з верифікованого credential (наприклад, від KYC-провайдера). Провайдер підписав дату народження своїм ключем. Користувач не розкриває дату народження, тільки доводить факт.

Схема (спрощено):

template AgeVerification(merkleDepth) {
    // Публічні входи
    signal input currentDate;        // поточна дата (публічна)
    signal input issuerPubKeyHash;   // хеш публічного ключа провайдера (публічна)
    
    // Приватні входи (witness)
    signal input birthDate;          // дата народження (приватна)
    signal input signature[2];       // підпис провайдера (приватна)
    signal input issuerPubKey[2];    // публічний ключ провайдера (приватна)
    
    // Перевіряємо підпис провайдера
    component sigVerifier = EdDSAVerifier();
    sigVerifier.msg <== birthDate;
    sigVerifier.pubKey <== issuerPubKey;
    sigVerifier.sig <== signature;
    
    // Перевіряємо, що pubKey відповідає публічному хешу
    component hasher = Poseidon(2);
    hasher.inputs <== issuerPubKey;
    issuerPubKeyHash === hasher.out;
    
    // Перевіряємо вік
    signal age;
    age <== currentDate - birthDate;
    component ageCheck = GreaterThan(32);
    ageCheck.in[0] <== age;
    ageCheck.in[1] <== 18 * 365; // 18 років у днях
    ageCheck.out === 1;
}

Верифікатор в Solidity генерується автоматично через snarkjs і містить precompile-виклики для перевірки elliptic curve pairing (EIP-197). Gas на верифікацію — близько 250k для Groth16.

Продуктивність та обмеження

Час генерації proof (proving time) залежить від розміру схеми (кількості обмежень). Орієнтири для Groth16 на сучасному залізі:

Для web-додатків прувінг в браузері реальний для схем до 500k обмежень (через WASM компіляцію). Більш важкі схеми вимагають серверного prover або спеціалізованого prover-сервісу (Sindri, Succinct).

Poseidon hash в схемі набагато ефективніший за SHA256: Poseidon — ~250 обмежень на хеш, SHA256 — ~27000. Тому всі ZK-дружні протоколи використовують Poseidon.

Що входить в роботу

• Проектування арифметичної схеми (circuit design) під вашу задачу
• Розробка схеми на Circom/Noir з unit-тестами
• Проведення trusted setup (test/production)
• Генерація верифікатора в Solidity (Groth16/PLONK)
• Інтеграція верифікатора в смарт-контракт та TypeScript SDK
• Аудит схеми (underconstraining, overconstraining, signal aliasing)
• Документація та навчання вашої команди

Процес розробки

1. Дослідження та дизайн схеми (1–2 тижні). Переводимо бізнес-задачу в арифметичні обмеження. Оцінюємо розмір схеми та proving time. Обираємо proof system. Це найважливіший етап — помилка в дизайні схеми може вимагати повного перепроектування.

2. Розробка схеми на Circom (1–2 тижні). Пишемо схему, покриваємо unit-тестами через Jest + circomlibjs. Окремо верифікуємо математичну коректність обмежень.

3. Trusted Setup. Для прототипу — використовуємо тестовий entropy. Для production — організовуємо ceremony з кількома учасниками.

4. Розробка верифікатора та інтеграція (1 тиждень). Генеруємо Solidity verifier через snarkjs. Інтегруємо в основний смарт-контракт. Пишемо TypeScript SDK для frontend.

5. Аудит схеми. ZK-схеми мають специфічні вразливості: underconstraining, overconstraining, signal aliasing. Це окремий тип аудиту, який вимагає спеціалізації. Ми проводимо аудит з використанням Circomspect та Ecne.

Терміни: від 1 тижня (проста схема, PLONK) до 3 місяців (складний zkApp з кастомними криптографічними примітивами). Вартість розраховується після детального аналізу вимог. Зв'яжіться з нами, щоб отримати консультацію та точну оцінку вашого проекту.

Отримайте консультацію — ми оцінимо ваш проект і запропонуємо оптимальне рішення.

Розробка смарт-контрактів

Ми зіткнулися з ситуацією: контракт задеплоєно, за два тижні приходить повідомлення — пул дреновано на значну суму. Дивимося транзакцію в Tenderly: атакуючий викликав deposit(), всередині callback на ERC-777 повторно викликав withdraw() — баланс оновився тільки після другого виходу. Класична reentrancy, але не через ETH transfer, а через хук ERC-777. ReentrancyGuard стояв тільки на withdraw().

Такі випадки — не рідкість. Смарт-контракт — це фінансова логіка без можливості пропатчити її вночі. Наша команда розробляє контракти під ключ, вбудовуючи захист від reentrancy, MEV та gas-атак на ранніх етапах. Reentrancy attack — одна з найпоширеніших вразливостей, що потребує глибокого розуміння EVM.

Як ми розробляємо смарт-контракти під ключ?

Починаємо з аудиту бізнес-логіки та вибору стеку. Solidity 0.8.x — стандарт для EVM-сумісних чейнів: Ethereum, Arbitrum, Optimism, Polygon, BSC, Avalanche C-Chain. Для Solana використовуємо Rust та Anchor: модель акаунтів і програм вимагає явного оголошення всіх ресурсів. Для проектів з формальною верифікацією підходить Move (Aptos, Sui) — лінійні типи мови виключають копіювання ресурсів на рівні компілятора. Vyper обираємо для контрактів, де критична простота аудиту (Curve Finance).

Gas optimization — не передчасна оптимізація, а архітектурне рішення. На Ethereum mainnet деплой погано спроектованого контракту може коштувати значну суму тільки через неоптимальний storage layout. Переупаковка структури Proposal з 7 слотів до 4 заощадила 18k gas на кожному голосуванні — економія на масштабі протоколу з тисячами голосувань на день дає відчутну річну вигоду.

Типові помилки в gas: передача масивів через memory замість calldata в external функціях (дорожче в 2-3 рази); використання require з довгими рядками замість custom error error InsufficientBalance(...). Кастомні помилки дешевші на 50-200 gas на revert і передають структуровані дані фронтенду.

Чому аудит смарт-контрактів критичний для безпеки?

Аудит — не разова перевірка, а вбудований етап розробки. Використовуємо три рівні:

1. Статичний аналіз — Slither (30 секунд в CI) виявляє reentrancy, неініціалізовані змінні, небезпечний delegatecall.
2. Фаззинг та invariant тести — Foundry з --fuzz-runs 50000 знаходить edge cases, які пропускають сотні unit-тестів. Echidna перевіряє інваріанти («сума всіх балансів ≤ totalSupply»).
3. Ручний code review — наші інженери з досвідом 10+ років у блокчейні виявляють логічні помилки, які не ловлять інструменти. Для протоколів з високим TVL обов'язковий зовнішній аудит з боку Trail of Bits, Consensys Diligence або OpenZeppelin. Термін — 2-4 тижні.

Будь-який апгрейдуємий протокол повинен мати timelock. TimelockController з OpenZeppelin: операція пропонується → чекає мінімальний delay (48-72 години) → виконується. Без timelock один скомпрометований deployer wallet = втрата всього пулу.

OpenZeppelin Security Audits підтверджують, що 80% вразливостей, знайдених у деплоїних контрактах, пов'язані з відсутністю перевірок доступу або reentrancy. Ми включаємо ці перевірки в CI ще до першого деплою.

Які патерни апгрейду обираємо?

Storage collision — головна небезпека проксі. Implementation v2 не повинен додавати змінні перед існуючими. OpenZeppelin Upgrades plugin для Hardhat та Foundry перевіряє це автоматично, але тільки при використанні його API.

Як захистити контракт від MEV та front-running?

На Ethereum mainnet транзакції в mempool видно всім. MEV-боти проводять sandwich-атаки на DEX, фронтраннінги мінтингу та governance. Рішення: commit-reveal scheme для аукціонів, приватна відправка через Flashbots PROTECT RPC. EIP-7702 та PBS (proposer-builder separation) змінюють картину, але поки не масово.

Процес розробки

1. Аналітика — специфікація функцій, діаграма викликів, аналіз edge cases. Без цього кодинг починається даремно.
2. Розробка — Solidity/Rust з тестами паралельно. Тест → код → рефакторинг. Використовуємо Foundry для fuzz та invariant тестів.
3. Внутрішній аудит — Slither + Echidna + ручний code review. Foundry invariant tests для протокольних інваріантів.
4. Зовнішній аудит — для проектів з реальними грошима. Термін: 2-4 тижні.
5. Деплой — Foundry scripts або Hardhat Ignition з verify на Etherscan. Gnosis Safe для ownership transfer одразу після деплою.
6. Моніторинг — Tenderly alerts, OpenZeppelin Defender, Forta Network.

Що входить в роботу

• Документація на архітектуру та специфікацію контракту (NatSpec).
• Вихідний код з репозиторієм та CI (Slither, Foundry, coverage).
• Розгорнута версія контракту з verify на блокчейн-експлорері.
• Результати аудиту (внутрішнього та зовнішнього за запитом).
• Доступи до моніторингу та управління (Gnosis Safe).
• Гарантія на код: фікси критичних багів протягом місяця після деплою.
• Консультація щодо інтеграції з веб-інтерфейсом (wagmi, RainbowKit).

Терміни орієнтовно

• ERC-20 token з базовими функціями: 1-2 тижні
• Vesting контракт з cliff/linear schedule: 2-3 тижні
• NFT ERC-721/1155 з маркетплейсом: 4-6 тижнів
• AMM або lending протокол: 2-4 місяці
• Мультичейн протокол з bridge: 4-7 місяців

Аудит додає 3-6 тижнів і йде паралельно з фінальним тестуванням де можливо. Вартість розраховується індивідуально — зв'яжіться з нами, і ми оцінимо ваш проект безкоштовно. Економія на газі завдяки нашій оптимізації може сягати 30% на рік для високонавантажених протоколів.

Зв'яжіться з нами для оцінки вашого проекту. Замовте розробку смарт-контракту — отримайте консультацію з архітектури та захисту від reentrancy, MEV та gas-атак. Напишіть нам — ми підберемо оптимальний стек під вашу задачу.