Hoo 虎符研究院 ｜ Mir Protocol 调研报告

撰文：Hoo Research

摘要：Polygon 和 Mir Protocol 于 11 月 26 日达成交易，以 4 亿美元的价格收购这家 ZK-rollups 初创公司。Polygon 专注于将零知识 (ZK) 密码学作为区块链扩展的最终游戏，先是 Hermez Network（现为 Polygon Hermez）的合并以及 zkEVM 的发布，随后又是 Polygon Miden（一个基于 STARK 的以太坊兼容方案）和 Polygon Nightfall（一个专注隐私的 rollup 项目）。而此次 Mir 将主要是基于其零知识证明技术构建一个新项目——Polygon Zero。Polygon 和 Mir Protocol 一起在以太坊 Layer2 扩容解决方案上可以碰撞出怎么样的火花，目前还不得而知。ZK-rollups 在目前是较为主要的扩容解决方案之一，而 Polygon 斥巨资收购的项目中，Mir Protocol 的资金占比是较大的而且在零知识证明上有新的创新，所以我们可以先谈谈这个 Polygon 最新收购的 Mir Protocol。

什么是 Mir Protocol

Mir 是一家零知识证明技术（ZK-proof）的以太坊扩容初创公司。ZK-proof 是一种加密工具，可以用于创建 ZK-rollups。ZK-rollups 又可以处理交易，而且不需要将所有交易数据都发布到以太坊上，以此来减少以太坊上的使用区块，进而提高扩展性和降低 gas 费用。

Mir 支持现有的去中心化应用程序，同时还为验证者提供隐私和减少相对于以太坊主网 1000 倍（因为 Mir 上的节点不需要下载历史数据，并与 Etherscan 链上数据比较）的状态大小。Mir 水平扩展，在不牺牲安全性、可组合性和去中心化的前提下，增加了加入网络的每个节点的吞吐量。

据相关报道称，Mir 的系统生成递归零知识证明，允许通过一个小证明来验证以太坊交易。Polygon 也认为 Mir 拥有最快的 ZK-proof 技术，这意味着 Mir 可以更快地生成证明并在一个证明中验证更多交易。本报告也认为探究 Mir 协议的重点正是以上这些，Mir 如何进行交易证明？如何降低工作量的同时保证验证的有效性？递归零知识证明实现了什么？如何实现以太坊 Layer2 的可扩展性？

减少状态大小

Mir 减少了状态大小，即验证所需的状态量。在以太坊等传统区块链中，验证交易需要访问和交易交互的每个账户的状态，因此节点需要存储所有活动账户的状态（即状态量），而又随着账户的增多，访问和存储将会变得非常昂贵。所以，Mir 将账户数据移到链下，个人拥有的帐户可以简单地存储在该个人的设备上。共享帐户存储在 IPFS 或其他存储层上，即不再需要存储任何账户数据，也不需要知道数据的存储位置，Mir 仅是提供了一种默克尔树的方法来有效地验证账户状态的声明。状态大小（即验证者所需的状态量）的大大减少是依靠将账户数据移到链下，并依靠有效的验证方式，从而形成无状态区块链（stateless blockchain）。

Mir 减少状态大小并有效验证的方法可以适用于以太坊等其他区块链。账户持有人可以证明其账户数据，以及证明账户数据包含在链上。但是，如果需要检查账户数据，这会产生增加交易规模的不良副作用。而 Mir 使用的是零知识证明来证明每笔交易的有效性，因此验证者无需检查任何账户数据。

所以，Mir 大大减少了验证所需的状态量，降低了成本的同时保证了验证的有效性。

递归零知识证明（Recursive ZK-proof）

Mir 上的每笔交易都通过零知识证明进行验证。这些证明可以递归组合，因此验证者可以使用单个证明验证一组交易。

Mir 创建了 Commitment Log（一个仅可追加的日志，用于存储协议中创建的每条记录，但验证者是只需要存储 upper layer 的）和 Liveness Mask（通过记录 Commitment Log 中的位置来判断记录是活动还是非活动的），Mir 的验证过程为：

验证记录地址在 Liveness Mask 中是活动的；检查上一个块根是包含在 Commitment Log 中的；完成交易验证，即生成验证结果。

Graph : Mir Protocol（a simplified Mir transaction）

这样的验证有个问题，就是验证零知识证明也是比较昂贵的，如果验证者需要为每笔交易验证一个证明（即完成上述三步骤），Mir 的吞吐量将显著低于现有链的吞吐量。所以 Mir 开发了一种可以递归组合的零知识证明，使单个证明可以提供密码学的保证并证明一组交易证明的有效性，即验证者的“一个证明”可以验证“一组交易”，然后向网络其余部分证明这“一组交易”是有效的，从而允许 Mir 使用可用的计算进行扩展以生成递归证明。

在区块中，每笔交易都生成一个交易证明，为验证一个区块中的所有证明，将证明结果聚合在一个二叉树结构中。在树的下一个 layer，每一个证明通过计算每个证明的公共输入并提取块根集、消耗和访问的记录地址以及对每个交易中创建的记录的承诺，递归地验证两个交易证明。再下一个 layer，每一个证明也是一样的验证方式，并以此类推，形成递归证明的方式。并且以此来提高 Mir 的吞吐量。

Graph : Mir Protocol（recursively verifying transaction proofs）

同时，使用递归证明的方式验证 Mir 的两大重要验证部件 Commitment Log 和 Liveness Mask 的更新。

使用递归证明来验证交易提供了两个好处：

1.消除了验证者在加入网络时验证历史交易的需要。现有链限制吞吐量以允许新验证者赶上链的最新状态，而 Mir 的新验证者只需要简单下载 Commitment Log 顶层的节点，Liveness Mask，并验证即可，无需限制吞吐量；2.提高了吞吐量。消除了每个节点必须验证每笔交易的要求，并允许每个节点验证交易的子集。

但第二个好处实现的方法是有问题的，就是节点现在需要向网络证明其经过验证的交易集是有效的。“提供验证的交易集有效”的解决方法是——分片，但现有的博弈论分片设计需要更强大的加密经济假设、机制复杂性、欺诈证明和挑战期。Mir 提供了解决方法，验证者可以验证交易的子集并生成递归证明，表明该集合中的每个交易都是有效的，避免了验证的复杂性。

Graph : Mir Protocol

综上所述，递归证明消除了新验证者加入网络时验证历史交易的需要，提高了网络吞吐量，分片技术避免了传统博弈论分片技术的复杂性，所以递归零知识证明实现了更具可扩展性的分片区块链。

可扩展性的实现

Mir 使用零知识证明以两种方式实现可扩展性：1.简化交易等事务的执行，将应用层从验证者中抽离出来，吞吐量不受带宽，存储或计算机成本等限制，验证者的当前状态相比以太坊缩小 1000 倍，显著减少交易大小，并使交易执行成本大大减低；2.递归证明允许 Mir 上交易的复杂部分（验证交易证明和访问状态）仅由单个验证者验证。吞吐量可以随着加入网络的每个新节点而扩展，增加的交易量激励更多节点加入网络，增加的吞吐量允许应用程序进一步扩展。

首先，Mir 将应用层从验证者中抽离出来，简化交易执行，优化开发者使用体验。现有链中，开发人员构建在虚拟机（如 EVM）上作为字节码运行的应用程序，验证者通过运行与虚拟机中的应用程序相关联的字节码来执行交易等事务。此模型下，访问和更新应用程序后，验证者必须直接重新执行复杂的计算，这限制了应用程序的复杂性并增加了成本。

Graph : Mir Protocol（executing a set of transactions on Ethereum）

在 Mir 上，所有应用程序逻辑都在链下执行。对于验证者，没有令牌、应用程序逻辑或状态存储的概念，甚至没有标准化的签名方案（验证共识是需要令牌的，这里仅指交易验证）。交易只是创建和使用通用记录（记录（records）是 Mir 上的基本状态单元，是对应用程序状态和逻辑的承诺。它可以被认为是以太坊账户状态的快照。）并通过证明进行验证。

Graph : Mir Protocol（a transaction on Mir）

开发者可以使用任何编程语言或虚拟机来执行链下计算，而无需担心 gas（或许这一点就是将来 Polygon-zero 项目的核心价值之一）。

其次，递归证明优化验证成本和吞吐量扩展。

Mir 使用递归证明来并行化交易证明验证。验证交易的昂贵部分（验证证明和访问状态）仅由生成递归证明（如上一章节所述）的单个节点执行。每个验证者必须执行的更新 Commitment Log 和 Liveness Mask 非常便宜，因此吞吐量不受计算成本的限制。

Graph : Mir Protocol（processing a block on Mir）

Mir 官方数据显示，节点的处理交易只需要下载大约 10 字节的数据，因此，Mir 上的吞吐量不受带宽、存储或计算机成本等限制。另外，Mir 上生成递归证明的聚合计算成本低廉，Mir 也在使递归证明的生成更加高效，所以增加的费用量会吸引更多的算力，从而允许应用程序扩展和增加交易量。

Mir 的融资和团队

根据 Crunchbase 数据显示，Mir 历史上有两次融资事件：

Graph : Crunchbase

除了近期 Polygon 的收购，Mir 早在 2019 年获得 $2m 的种子轮融资，具体投资人和人数均未披露。而 Mir 正是在 2019 年由 Brendan Farmer 和 Daniel Lubarov 等 8 人创建的。Polygon 的联合创始人 Mihailo Bjelic 表示 Brendan Farmer 和 Daniel Lubarov 等 8 人现已全部加入 Polygon 团队。

Graph : Mir Protocol

ZK-rollups 的市场表现

Polygon 是目前市场上将零知识密码学作为区块链扩容最终答案的机构之一。Polygon 曾在今年 8 月份承诺投资 10 亿美元用于与 ZK-rollups 相关的工作。目前 Polygon 已经迈出了几大步了：

Hermez Network——更名 Polygon Hermez，一个开源的 ZK-Rollup，针对以太坊的安全、低成本和可用的令牌传输进行了优化。ZkEVM——一个对 ZK 友好的以太坊兼容设施。Polygon Miden——一个基于 STARK 的，与以太坊兼容的 rollup。Polygon Nightfall——一个与 EY 合作建立的以隐私为重点的 rollup。Mir Protocol——更名 Polygon Zero，以递归零知识证明实现低成本和可扩容的分片区块链。

ZK-rollups 作为区块链扩容的解决方案之一，是否真的是扩容的最终答案？

目前市场上除了 ZK-rollups，Optimistic-rollups，Plasma，Validium 和 State channels 也都分别占据着一定的市场份额。

Graph : The Block（Stacked area chart）

据 The Block 数据显示，ZK-rollups 整体市场份额证明其是目前市场上的主要二层扩容解决方案之一，ZK-rollups，Optimistic-rollups 和 Plasma 三者近期的 TVL 都在 $1.5B-$2.5B 之间，其中 Optimistic-rollups 的市场份额可能稍多于其他二者。

而在 ZK-rollups 众多项目中，目前 DYDX 和 Loopring 从市场反馈来看属于其中的龙头项目。

据 The Block 数据显示，DYDX 近期有接近 $1B 的 TVL，Loopring 的 TVL 在 $500m-$1B 之间，二者几乎贡献了 ZK-rollups 市场的大多数市值。而 8 月份 Polygon 收购的 Polygon Hermez 的 TVL 在 $800k-$900k 之间，成立时间较短，市场份额较少。

综上所述，ZK-rollups 已经是目前市场上主要的二层扩容解决方案之一，暂无法确定其是否为最终答案。Polygon 在 ZK-rollups 众多项目中，目前占据较少的份额，还在比较初期的阶段。Polygon 收购 Mir Protocol 改组的新项目 Polygon Zero，有希望为 Polygon 甚至 ZK-rollups 和整个二层市场带来一些革新。

总结

Mir 使用无状态区块链的方式，大大降低了验证所需的状态量，降低成本的同时保证验证的有效性；递归证明消除了新验证者加入网络时验证历史交易的需要，提高了网络吞吐量，分片技术避免了传统博弈论分片技术的复杂性，从而实现了更具可扩展性的分片区块链。

Mir 的可扩展性具体表现在了两方面，一是简化交易等事务的执行，将应用层从验证者中抽离出来，吞吐量不受带宽，存储或计算机成本等限制；二是用递归证明验证 Mir 上交易的复杂部分（验证交易证明和访问状态），复杂部分仅有单个节点验证，吞吐量便可以随着加入网络的每个新节点而扩展，增加的交易量激励更多节点加入网络，增加的吞吐量允许应用程序进一步扩展。

在市场上，ZK-rollups 明显是主要的二层扩展解决方案，虽然收购 Mir 的 Polygon 还仅仅是在市场上崭露头角，Mir 之后整合的新项目 Polygon Zero 是否能协助 Polygon 甚至 ZK-rollups 完成二层扩容的最终答案，还是令人期待的。

局限性

Mir Protocol 被 Polygon 收购后会形成一个怎样的 Polygon Zero，完成怎么的 Layer2 扩容技术革新，还没有人知道。所以本报告主要希望调研并探讨的是，原先 Mir 已经实现了哪些扩容技术和区块链性能上的优化，并不希望评判项目优劣和潜在问题，也并没有非常全面和深入的考究 Mir 的各方各面（比如，状态大小减少的具体方式及验证方式，Mir 的执行环境等）。

Mir 本身的各项技术也都在不断的改良和发展中，将来的 Polygon Zero 或许才是 Mir Protocol 最终落地的样式，又或者将来 Polygon 的一系列布局将会为市场带来一个怎样的 ZK-rollups，都并非是本报告可以预测的。