Yellow.com

Виртуальная машина Ethereum (ETH), созданная в 2015 году, проектировалась для запуска смарт‑контрактов, а не для генерации криптографических доказательств. Доказательства с нулевым разглашением создавались для дешёвой и приватной верификации вычислений — без какого‑либо понятия об опкодах.

Долгое время эти две технологии казались принципиально несовместимыми.

Затем инженеры нашли способ их «скрестить» — и в результате появилось одно из самых технически сложных решений во всей криптоинфраструктуре.

ZkEVM — «Zero‑Knowledge Ethereum Virtual Machine» — это попытка запускать совместимые с Ethereum смарт‑контракты и затем доказывать их корректное исполнение ZK‑доказательствами, не заставляя разработчиков переписывать код.

На словах звучит просто. На практике это потребовало решить задачи, которые пол‑индустрии не могла осилить больше пяти лет.

TL;DR

ZkEVM исполняет совместимые с Ethereum смарт‑контракты и генерирует ZK‑доказательство корректности выполнения, что позволяет быстро и дёшево финализировать транзакции в основной сети Ethereum.

Чем сложнее ZkEVM в реализации, тем выше его совместимость с существующим стеком Ethereum; именно вокруг этого компромисса строятся все архитектурные решения.

Пользователи получают уровень безопасности Ethereum без платежей за «газ» уровня мейннета, а разработчики могут развёртывать существующие контракты на Solidity практически без модификаций.

Что на самом деле делают доказательства с нулевым разглашением

Прежде чем переходить к EVM, нужно чётко понимать, чем является ZK‑доказательство и чем не является. ZK‑доказательство — это криптографический механизм, который позволяет одной стороне (доказателю) убедить другую сторону (проверяющего) в истинности утверждения, не раскрывая исходные данные, на которых это утверждение основано.

Классический пример — доказать, что вы знаете пароль, не передавая сам пароль. В блокчейне почти всегда доказывается вычислительное утверждение: «Я запустил эту программу на этом входе, получил такой‑то результат и сделал всё корректно».

В роли проверяющего здесь выступает смарт‑контракт Ethereum на первом уровне (Layer 1), который проверяет доказательство за миллисекунды, вместо того чтобы заново исполнять каждую транзакцию.

Доказательства с нулевым разглашением позволяют сети второго уровня агрегировать тысячи транзакций, сгенерировать одно компактное доказательство их валидности и отправить в Ethereum только его, радикально снижая издержки для каждого пользователя.

Сегодня в ZkEVM доминируют две семейства доказательств. SNARK (Succinct Non‑interactive ARguments of Knowledge) дают крошечные доказательства с быстрой верификацией, но требуют доверенной процедуры инициализации. STARK (Scalable Transparent ARguments of Knowledge) не нуждаются в доверенной настройке и устойчивы к квантовым атакам, но их доказательства крупнее. Большинство команд ZkEVM сейчас делают ставку на SNARK‑системы, потому что стоимость проверки в основной сети Ethereum — жёсткое ограничение.

Почему EVM так трудно «засунуть» в ZK‑доказательство

Виртуальная машина Ethereum — это стековая среда исполнения с более чем 140 опкодами, системой газ‑учёта, сложной моделью памяти и набором «краевых» случаев, накопившихся за десятилетие реальной эксплуатации. Каждый опкод — от простого ADD до криптографических предкомпилятов вроде ECRECOVER — должен быть представлен в виде арифметических ограничений, с которыми может работать ZK‑система.

Проблема в том, что ZK‑системы оперируют очень узким математическим «языком»: конечные поля и полиномиальные уравнения. EVM создавалась без оглядки на это. Опкоды вроде KECCAK256 (хеш‑функция Ethereum) почти максимально неудобны для ZK‑схем: они состоят из побитовых операций, которые превращаются в гигантские и дорогие системы ограничений.

Этот разрыв породил то, что исследователи назвали «проблемой несовместимости с EVM». Можно было построить быстрый и дешевый ZK‑роллап, но он запускал бы только специально написанные, «ZK‑дружелюбные» программы. Либо попытаться поддержать полный EVM — но тогда генерация доказательств становилась настолько медленной и дорогой, что терялся весь смысл. Инженерная задача ZkEVM — «сжать» этот компромисс.

Генерация ZK‑доказательства для одного хеша KECCAK256 может требовать миллионы арифметических ограничений. Типичный блок Ethereum содержит тысячи хешей, поэтому в ранних реализациях ZkEVM создание доказательства занимало часы и до сих пор требует специализированного «железа».

Четыре типа ZkEVM и что они означают

ZkEVM бывают разными. Исследователь Ethereum Виталик Бутерин в 2022 году предложил теперь уже ставшую стандартной классификацию из четырёх типов в зависимости от степени совместимости с существующим стеком Ethereum. Понимание этой схемы — самый быстрый способ оценить любой проект ZkEVM.

Тип 1 — полностью эквивалентен Ethereum. Он доказывает точное преобразование состояния Ethereum, структуру блоков, хеш‑функции и т.д., без изменений. Клиенты Ethereum могут синхронизироваться с таким ZkEVM «из коробки», все инструменты работают без модификаций. Обратная сторона — генерация доказательств крайне медленная и дорогая. В продакшене ZkEVM уровня Тип 1 пока нет, но над этим работают.

Тип 2 — эквивалентен EVM. Он меняет внутренние структуры данных — например, заменяет KECCAK на более дружелюбный к ZK хеш в дереве состояния — но полностью сохраняет совместимость на уровне байткода EVM. Смарт‑контракты ведут себя идентично, разработчики ничего не замечают. Доказательства генерируются быстрее, чем в Типе 1, но всё ещё дорого. Scroll и ранние версии Polygon zkEVM нацелены именно на этот диапазон.

Тип 3 вносит дополнительные изменения, «ломающие» небольшое число крайних функций — например, некоторые предкомпилы. Почти все существующие контракты по‑прежнему работают. Генерация доказательств заметно дешевле. Большинство коммерческих ZkEVM, запущенных в 2023–2024 годах, находились между Типом 2 и Типом 3 на старте.

Тип 4 компилирует исходный код Solidity или Vyper в собственную ZK‑дружелюбную виртуальную машину, вместо того чтобы доказывать байткод EVM напрямую. Это самый быстрый и дешёвый вариант, но он может давать тонкие поведенческие отличия, и некоторые низкоуровневые трюки EVM не будут работать. zkSync Era использует именно этот подход с собственным компилятором на базе LLVM.

Эта классификация критична для строителей. Проект, переносящий «боевой» DeFi‑протокол c мейннета Ethereum, скорее всего выберет Тип 2 или Тип 3, чтобы гарантировать идентичное поведение. Команда, стартующая «с нуля», может сознательно пойти на Тип 4 ради более дешёвых доказательств и более быстрой финализации.

Как ZkEVM обрабатывает транзакцию на практике

Чтобы архитектура стала осязаемой, полезно пройти весь путь одной транзакции. Когда пользователь отправляет транзакцию в сеть ZkEVM, цепочка шагов выглядит так.

Сначала транзакция попадает к сиквенсеру — узлу, который отвечает за упорядочивание и сбор транзакций в батчи. Сиквенсер исполняет транзакции, обновляет состояние второго уровня и выдаёт пользователю мгновенное «мягкое подтверждение». На этом этапе кошелёк показывает изменённый баланс, но криптографически транзакция ещё не зафиксирована в Ethereum.

Затем батч транзакций передаётся пруверу — специализированному ПО (или железу), которое запускает алгоритм ZK‑доказывания. Прувер берёт состояние до исполнения, сами транзакции и состояние после исполнения и генерирует доказательство валидности того, что переход состояний вычислен корректно. Этот этап ресурсоёмкий и занимает от секунд до минут в зависимости от системы.

После этого доказательство и небольшой объём сжатых данных о транзакциях отправляются в смарт‑контракт Ethereum, называемый верификатором.

Контракт проверяет доказательство одним ончейн‑вызовом — по фиксированной цене газа, независимо от числа транзакций в батче. После успешной проверки корень состояния второго уровня финализируется в Ethereum и считается таким же надёжным, как любая транзакция мейннета.

Модульный ZkEVM и кросс‑чейн‑интероперабельность

Изначальный дизайн ZkEVM предполагал одну расчётную плоскость — Ethereum. Всё доказывается и финализируется только в основной сети. Но новая архитектура — модульный ZkEVM — разделяет уровни исполнения, доказывания и расчётов, позволяя комбинировать их независимо.

Здесь на сцену выходят проекты вроде Prom.

Prom позиционирует себя как модульный ZkEVM второго уровня, обеспечивающий интероперабельность и с EVM‑, и с не‑EVM‑сетями. Вместо того чтобы доказывать исполнение и финализировать его только в Ethereum, система отправляет доказательства сразу в несколько сетей, формируя математический мост между экосистемами, которые раньше не имели недоверенного соединения.

Модульный подход важен тем, что снимает допущение: «Ethereum — единственный возможный слой расчётов».

В основе ZkEVM‑доказательства лежит чистая математика. Если и у сети A, и у сети B есть контракт‑верификатор, способный проверить это доказательство, один и тот же proof может финализировать переход состояния в обеих сетях одновременно. Так ZK‑доказательства превращаются не только в инструмент масштабирования, но и в универсальный примитив интероперабельности.

Модульные архитектуры ZkEVM «отвязывают» исполнение от расчётов: одно и то же доказательство может быть верифицировано в Ethereum, в не‑EVM‑сети или сразу в нескольких, формируя общий криптографический «источник правды» для изначально несовместимых экосистем.

ZkEVM против оптимистичных роллапов: прямое сравнение

Сравнение ZkEVM и оптимистичных роллапов всплывает постоянно, и не случайно: оба подхода решают одну и ту же задачу, но исходят из противоположных принципов.

Оптимистичные роллапы исходят из презумпции корректности транзакций и проверяют их только в том случае, если в течение отведённого срока (обычно семь дней) кто‑то подаст «доказательство мошенничества». Это удешевляет инфраструктуру и упрощает разработку, но вывод средств в Ethereum L1 занимает неделю, если не пользоваться мостами ликвидности. Сегодня доминируют сети оптимистичных роллапов Arbitrum и Optimism.

ZkEVM‑роллап, напротив, по умолчанию не доверяет ничему: каждый пакет считается недействительным, пока не будет построено и проверено доказательство его корректности. Это повышает вычислительную нагрузку на стороне прувера, но позволяет финализировать вывод средств в Ethereum за часы, а не дни, и не требует полагаться на «честных наблюдателей», которые должны ловить мошенничество.

Для конечного пользователя различия выглядят так:

Скорость вывода средств. У ZkEVM здесь явное преимущество: финальность, основанная на доказательствах, достигается за несколько часов против семидневного окна у нативных выводов с оптимистичных роллапов.
Стоимость транзакций. Сейчас роллапам на оптимистичной модели зачастую удаётся быть дешевле, потому что генерация доказательств в ZkEVM стоит денег. Но разрыв сокращается по мере улучшения аппаратуры и алгоритмов для прувинга.
Модель безопасности. ZkEVM даёт криптографические гарантии корректности состояния. Оптимистичные роллапы опираются на экономическую безопасность через доказательства мошенничества — это сильно, но не тождественно формальной математической верификации.
Совместимость с EVM. Современные ZkEVM (типы 2/3) практически закрыли технологический разрыв и поддерживают почти весь существующий инструментарий Ethereum, лишив оптимистичные роллапы одного из ключевых прежних преимуществ.
Риск остановки сети. ZkEVM‑сети могут временно встать, если по какой‑то причине перестанет работать прувер. Оптимистичный роллап продолжает обрабатывать транзакции, пока жив секвенсор.

Универсально лучшего решения нет. Высоконагруженные приложения, для которых критичны минимальные комиссии и приемлема неделя ожидания вывода, логично смотрят в сторону оптимистичных роллапов. Приложениям, где важны быстрая финальность, кросс‑чейн‑расчёты и формально доказанная корректность, чаще подходит ZkEVM.

Кто реально выигрывает от ZkEVM уже сейчас

ZkEVM — это не гипотетическая технология будущего. Уже работают несколько сетей с реальными заблокированными активами и платящими комиссии пользователями. Но важно понимать, кто именно извлекает максимальную выгоду из каждого уровня этого стека.

DeFi‑протоколы, мигрирующие с Ethereum L1, получают почти идентичную модель исполнения (типы 2/3) и радикально более низкие gas‑расходы. Протокол, в котором сделки на мейнет‑Ethereum обходились розничному клиенту в $30 комиссии за свап, на ZkEVM может предложить транзакции дешевле цента — без переписывания смарт‑контрактов.

Мосты и кросс‑чейн‑приложения выигрывают от модульной архитектуры ZkEVM, которая позволяет публиковать доказательства сразу в несколько сетей. Вместо доверия мультисиг‑мосту — исторически самой взламываемой категории в крипте — пользователи опираются на математическое доказательство, верифицируемое on‑chain.

Корпоративные клиенты и институционалы, строящие permissioned‑ или semi‑permissioned‑решения, получают проверенную среду исполнения с криптографической аудируемостью. Каждый переход состояния формально доказуем, что критично для комплаенса, отчётности и аудита.

Разработчикам, запускающим новые проекты, важно заранее разобраться в компромиссах между Type 4 и Type 2 при выборе сети. Если вы пишете контракты с нуля на Solidity и хотите максимум скорости прувинга и минимальные комиссии, вам может подойти сеть типа 4. Если же вы переносите существующий протокол и не можете позволить себе поведенческих расхождений с L1, более консервативный выбор — сети типов 2 или 3.

Для рядового пользователя ZkEVM выглядит просто как быстрый и дешёвый «совместимый с Ethereum» блокчейн: те же кошельки, те же токены, которые легко перебросить мостом. Вся криптографическая «машина под капотом» остаётся невидимой — а именно так и должна ощущаться хорошая инфраструктура.

Итоги

ZkEVM — одна из самых сложных задач прикладной криптографии: нужно заставить виртуальную машину, изначально спроектированную без оглядки на строгую математику, «говорить» на языке доказательств с нулевым разглашением.

Командам, которые сумели это сделать, пришлось годами разбираться с несовместимостью хеш‑функций, взрывным ростом числа ограничений в схемах и необходимостью прувингового «железа», которого попросту не существовало, когда писались базовые научные работы.

Сектор всё ещё развивается на высокой скорости. Время генерации доказательств сокращается. Децентрализованные сети пруверов выходят в продакшн. Полная эквивалентность Ethereum уровня Type 1 остаётся целью, к которой уже вплотную подбираются несколько команд.

Для всех, кто строит продукты в экосистеме Ethereum или инвестирует в неё, глубокое понимание того, как реально устроен ZkEVM — а не только маркетинговых лозунгов, — становится базой для всех последующих стратегических решений.

Читайте далее: Фандрайзинговый рывок Nvidia на $500 млрд в AI выводит токены крипто‑компьютинга в зону внимания

Почему ZkEVM исполняет код Ethereum, но доказывает это с помощью нулевого разглашения