Hoo虎符研究院 ｜ Mir Protocol 调研报告

撰文：Hoo Research

摘要：Polygon和Mir Protocol于11月26日达成交易，以4亿美元的价格收购这家ZK-rollups初创公司。Polygon 专注于将零知识 (ZK) 密码学作为区块链扩展的最终游戏，先是Hermez Network（现为 Polygon Hermez）的合并以及 zkEVM 的发布，随后又是Polygon Miden（一个基于STARK的以太坊兼容方案）和Polygon Nightfall（一个专注隐私的rollup项目）。而此次Mir将主要是基于其零知识证明技术构建一个新项目——Polygon Zero。Polygon和Mir Protocol一起在以太坊Layer2扩容解决方案上可以碰撞出怎么样的火花，目前还不得而知。ZK-rollups在目前是较为主要的扩容解决方案之一，而Polygon斥巨资收购的项目中，Mir Protocol的资金占比是较大的而且在零知识证明上有新的创新，所以我们可以先谈谈这个Polygon最新收购的Mir Protocol。

什么是Mir Protocol

Mir是一家零知识证明技术（ZK-proof）的以太坊扩容初创公司。ZK-proof是一种加密工具，可以用于创建ZK-rollups。ZK-rollups又可以处理交易，而且不需要将所有交易数据都发布到以太坊上，以此来减少以太坊上的使用区块，进而提高扩展性和降低gas费用。

Mir支持现有的去中心化应用程序，同时还为验证者提供隐私和减少相对于以太坊主网1000倍（因为Mir上的节点不需要下载历史数据，并与Etherscan链上数据比较）的状态大小。Mir水平扩展，在不牺牲安全性、可组合性和去中心化的前提下，增加了加入网络的每个节点的吞吐量。

据相关报道称，Mir的系统生成递归零知识证明，允许通过一个小证明来验证以太坊交易。Polygon也认为Mir拥有最快的ZK-proof技术，这意味着Mir可以更快地生成证明并在一个证明中验证更多交易。本报告也认为探究Mir 协议的重点正是以上这些，Mir如何进行交易证明？如何降低工作量的同时保证验证的有效性？递归零知识证明实现了什么？如何实现以太坊Layer2的可扩展性？

减少状态大小

Mir减少了状态大小，即验证所需的状态量。在以太坊等传统区块链中，验证交易需要访问和交易交互的每个账户的状态，因此节点需要存储所有活动账户的状态（即状态量），而又随着账户的增多，访问和存储将会变得非常昂贵。所以，Mir将账户数据移到链下，个人拥有的帐户可以简单地存储在该个人的设备上。共享帐户存储在 IPFS 或其他存储层上，即不再需要存储任何账户数据，也不需要知道数据的存储位置，Mir仅是提供了一种默克尔树的方法来有效地验证账户状态的声明。状态大小（即验证者所需的状态量）的大大减少是依靠将账户数据移到链下，并依靠有效的验证方式，从而形成无状态区块链（stateless blockchain）。

Mir减少状态大小并有效验证的方法可以适用于以太坊等其他区块链。账户持有人可以证明其账户数据，以及证明账户数据包含在链上。但是，如果需要检查账户数据，这会产生增加交易规模的不良副作用。而Mir使用的是零知识证明来证明每笔交易的有效性，因此验证者无需检查任何账户数据。

所以，Mir大大减少了验证所需的状态量，降低了成本的同时保证了验证的有效性。

递归零知识证明（Recursive ZK-proof）

Mir 上的每笔交易都通过零知识证明进行验证。这些证明可以递归组合，因此验证者可以使用单个证明验证一组交易。

Mir创建了Commitment Log（一个仅可追加的日志，用于存储协议中创建的每条记录，但验证者是只需要存储upper layer的）和 Liveness Mask（通过记录Commitment Log中的位置来判断记录是活动还是非活动的），Mir的验证过程为：

验证记录地址在Liveness Mask中是活动的；
检查上一个块根是包含在Commitment Log中的；
完成交易验证，即生成验证结果。

Graph : Mir Protocol（a simplified Mir transaction）

这样的验证有个问题，就是验证零知识证明也是比较昂贵的，如果验证者需要为每笔交易验证一个证明（即完成上述三步骤），Mir的吞吐量将显著低于现有链的吞吐量。所以Mir开发了一种可以递归组合的零知识证明，使单个证明可以提供密码学的保证并证明一组交易证明的有效性，即验证者的“一个证明”可以验证“一组交易”，然后向网络其余部分证明这“一组交易”是有效的，从而允许Mir使用可用的计算进行扩展以生成递归证明。

在区块中，每笔交易都生成一个交易证明，为验证一个区块中的所有证明，将证明结果聚合在一个二叉树结构中。在树的下一个layer，每一个证明通过计算每个证明的公共输入并提取块根集、消耗和访问的记录地址以及对每个交易中创建的记录的承诺，递归地验证两个交易证明。再下一个layer，每一个证明也是一样的验证方式，并以此类推，形成递归证明的方式。并且以此来提高Mir的吞吐量。

Graph : Mir Protocol（recursively verifying transaction proofs）

同时，使用递归证明的方式验证Mir的两大重要验证部件Commitment Log和 Liveness Mask的更新。

使用递归证明来验证交易提供了两个好处：

1.消除了验证者在加入网络时验证历史交易的需要。现有链限制吞吐量以允许新验证者赶上链的最新状态，而Mir的新验证者只需要简单下载Commitment Log顶层的节点，Liveness Mask，并验证即可，无需限制吞吐量；
2.提高了吞吐量。消除了每个节点必须验证每笔交易的要求，并允许每个节点验证交易的子集。

但第二个好处实现的方法是有问题的，就是节点现在需要向网络证明其经过验证的交易集是有效的。“提供验证的交易集有效”的解决方法是——分片，但现有的博弈论分片设计需要更强大的加密经济假设、机制复杂性、欺诈证明和挑战期。Mir 提供了解决方法，验证者可以验证交易的子集并生成递归证明，表明该集合中的每个交易都是有效的，避免了验证的复杂性。

Graph : Mir Protocol

综上所述，递归证明消除了新验证者加入网络时验证历史交易的需要，提高了网络吞吐量，分片技术避免了传统博弈论分片技术的复杂性，所以递归零知识证明实现了更具可扩展性的分片区块链。

可扩展性的实现

Mir使用零知识证明以两种方式实现可扩展性：
1.简化交易等事务的执行，将应用层从验证者中抽离出来，吞吐量不受带宽，存储或计算机成本等限制，验证者的当前状态相比以太坊缩小1000倍，显著减少交易大小，并使交易执行成本大大减低；
2.递归证明允许Mir上交易的复杂部分（验证交易证明和访问状态）仅由单个验证者验证。吞吐量可以随着加入网络的每个新节点而扩展，增加的交易量激励更多节点加入网络，增加的吞吐量允许应用程序进一步扩展。

首先，Mir将应用层从验证者中抽离出来，简化交易执行，优化开发者使用体验。
现有链中，开发人员构建在虚拟机（如 EVM）上作为字节码运行的应用程序，验证者通过运行与虚拟机中的应用程序相关联的字节码来执行交易等事务。此模型下，访问和更新应用程序后，验证者必须直接重新执行复杂的计算，这限制了应用程序的复杂性并增加了成本。

Graph : Mir Protocol（executing a set of transactions on Ethereum）

在 Mir 上，所有应用程序逻辑都在链下执行。对于验证者，没有令牌、应用程序逻辑或状态存储的概念，甚至没有标准化的签名方案（验证共识是需要令牌的，这里仅指交易验证）。交易只是创建和使用通用记录（记录（records）是 Mir 上的基本状态单元，是对应用程序状态和逻辑的承诺。它可以被认为是以太坊账户状态的快照。）并通过证明进行验证。

Graph : Mir Protocol（a transaction on Mir）

开发者可以使用任何编程语言或虚拟机来执行链下计算，而无需担心 gas（或许这一点就是将来Polygon-zero项目的核心价值之一）。

其次，递归证明优化验证成本和吞吐量扩展。

Mir 使用递归证明来并行化交易证明验证。验证交易的昂贵部分（验证证明和访问状态）仅由生成递归证明（如上一章节所述）的单个节点执行。每个验证者必须执行的更新Commitment Log和 Liveness Mask非常便宜，因此吞吐量不受计算成本的限制。

Graph : Mir Protocol（processing a block on Mir）

Mir官方数据显示，节点的处理交易只需要下载大约10字节的数据，因此，Mir 上的吞吐量不受带宽、存储或计算机成本等限制。另外，Mir上生成递归证明的聚合计算成本低廉，Mir也在使递归证明的生成更加高效，所以增加的费用量会吸引更多的算力，从而允许应用程序扩展和增加交易量。

Mir的融资和团队

根据Crunchbase数据显示，Mir历史上有两次融资事件：

Graph : Crunchbase

除了近期Polygon的收购，Mir早在2019年获得$2m的种子轮融资，具体投资人和人数均未披露。而Mir正是在2019年由Brendan Farmer和Daniel Lubarov等8人创建的。Polygon的联合创始人Mihailo Bjelic表示Brendan Farmer和Daniel Lubarov等8人现已全部加入Polygon团队。

Graph : Mir Protocol

ZK-rollups的市场表现

Polygon是目前市场上将零知识密码学作为区块链扩容最终答案的机构之一。Polygon曾在今年8月份承诺投资10亿美元用于与ZK-rollups相关的工作。目前Polygon已经迈出了几大步了：

Hermez Network——更名Polygon Hermez，一个开源的 ZK-Rollup，针对以太坊的安全、低成本和可用的令牌传输进行了优化。
ZkEVM——一个对ZK友好的以太坊兼容设施。
Polygon Miden——一个基于 STARK 的，与以太坊兼容的rollup。
Polygon Nightfall——一个与EY合作建立的以隐私为重点的rollup。
Mir Protocol——更名Polygon Zero，以递归零知识证明实现低成本和可扩容的分片区块链。

ZK-rollups作为区块链扩容的解决方案之一，是否真的是扩容的最终答案？

目前市场上除了ZK-rollups，Optimistic-rollups，Plasma，Validium和State channels也都分别占据着一定的市场份额。

Graph : The Block（Stacked area chart）

据The Block数据显示，ZK-rollups整体市场份额证明其是目前市场上的主要二层扩容解决方案之一，ZK-rollups，Optimistic-rollups和Plasma三者近期的TVL都在$1.5B-$2.5B之间，其中Optimistic-rollups的市场份额可能稍多于其他二者。

而在ZK-rollups众多项目中，目前DYDX和Loopring从市场反馈来看属于其中的龙头项目。

据The Block数据显示，DYDX近期有接近$1B的TVL，Loopring的TVL在$500m-$1B之间，二者几乎贡献了ZK-rollups市场的大多数市值。而8月份Polygon收购的Polygon Hermez的TVL在$800k-$900k之间，成立时间较短，市场份额较少。

综上所述，ZK-rollups已经是目前市场上主要的二层扩容解决方案之一，暂无法确定其是否为最终答案。Polygon在ZK-rollups众多项目中，目前占据较少的份额，还在比较初期的阶段。Polygon收购Mir Protocol改组的新项目Polygon Zero，有希望为Polygon甚至ZK-rollups和整个二层市场带来一些革新。

总结

Mir使用无状态区块链的方式，大大降低了验证所需的状态量，降低成本的同时保证验证的有效性；递归证明消除了新验证者加入网络时验证历史交易的需要，提高了网络吞吐量，分片技术避免了传统博弈论分片技术的复杂性，从而实现了更具可扩展性的分片区块链。

Mir的可扩展性具体表现在了两方面，一是简化交易等事务的执行，将应用层从验证者中抽离出来，吞吐量不受带宽，存储或计算机成本等限制；二是用递归证明验证Mir上交易的复杂部分（验证交易证明和访问状态），复杂部分仅有单个节点验证，吞吐量便可以随着加入网络的每个新节点而扩展，增加的交易量激励更多节点加入网络，增加的吞吐量允许应用程序进一步扩展。

在市场上，ZK-rollups明显是主要的二层扩展解决方案，虽然收购Mir的Polygon还仅仅是在市场上崭露头角，Mir之后整合的新项目Polygon Zero是否能协助Polygon甚至ZK-rollups完成二层扩容的最终答案，还是令人期待的。

局限性

Mir Protocol被Polygon收购后会形成一个怎样的Polygon Zero，完成怎么的Layer2扩容技术革新，还没有人知道。所以本报告主要希望调研并探讨的是，原先Mir已经实现了哪些扩容技术和区块链性能上的优化，并不希望评判项目优劣和潜在问题，也并没有非常全面和深入的考究Mir的各方各面（比如，状态大小减少的具体方式及验证方式，Mir的执行环境等）。

Mir本身的各项技术也都在不断的改良和发展中，将来的 Polygon Zero或许才是Mir Protocol最终落地的样式，又或者将来Polygon的一系列布局将会为市场带来一个怎样的ZK-rollups，都并非是本报告可以预测的。