简介
Tinyram是一个简单的RISC随机存取机器，具有字节寻址的random-accessmemory和inputtapes。TinyRAM有两个变体：一个遵循哈佛架构，一个遵循冯诺依曼架构(本文我们主要讨论冯诺依曼架构)。
简明计算完整性和隐私研究项目构建了证明TinyRAM程序正确执行的机制，而TinyRAM的设计是为了在这种情况下提高效率。它在“拥有足够表达能力”和“足够简约”这两个对立面之间取得平衡：
?当从高级编程语言编译时，有足够的表达能力来支持简短高效的汇编代码。
?小指令集，指令通过运算电路简单验证，利用SCIPR的算法和密码机制实现高效验证。
本文对于tinyram不再进行重复介绍，会对上一篇文章进行补充，然后重点是指令介绍和电路约束介绍。tinyram基础介绍可以参考我们团队上一篇文章：深入理解TinyRam
Tinyram指令集
Tinyram总共有29个指令，每条指令都由一个操作码和最多三个操作数组成。一个操作数可以是一个寄存器的名称。除非特别说明，否则指令不会单独修改flag。每条指令默认将pc增加i(i%2^W),对于vnTinyram来说i=2W/8。
一般来说，第一个操作数是指令计算的目标寄存器，其他的操作数指定指令需要的参数，最后，所有指令都需要机器的一个周期来执行。
位操作
整数操作
这些是各种无符号和有符号的整数操作。在每种情况下，如果发生算术溢出或错误，flag被设置为1，否则被设置为0。
shift操作
??shl?指令?shlrirjA?将左移位ubit得到的W位string存储在ri寄存器中。移位后的空白位置被填充为0。此外flag被设置为的最高有效位。
??shr?指令?shrrirjA?将右移位ubit得到的W位string存储在ri寄存器中。移位后的空白位置被填充为0。此外flag被设置为的最低有效位。
Elliptic：Atomic Wallet黑客已将资金发送到加密混合商Sinbad.io:金色财经报道，区块链合规分析公司Elliptic报告称，其调查团队已经追踪到3500万美元的Atomic Wallet损失资金被发送到加密货币混合商Sinbad.io。该混合服务之前被用来清洗朝鲜Lazarus集团盗窃的超过1亿美元的加密货币资产。
Elliptic没有具体说明向混合器发送多少，但指出赃物正在被交换为比特币。[2023/6/6 21:18:37]
比较操作
比较操作中的指令每一个都不会修改任何寄存器；比较的结果存储在flag中。
move操作
??mov?指令?movriA?将存储到ri寄存器中。
??cmov?指令?cmovriA?如果flag=1，将存储到ri寄存器中。否则ri寄存器的值不会改变。
Jump操作
这些jump和条件jump指令都不会修改寄存器和?flag?但是会修改?pc。
??jmp?指令?jmpA?将存储到pc中。
??cjmp?指令?cjmpA?在?flag?=1的条件下将存储到pc中，否则pc自增1。
??cnjmp?指令?cnjmpA?在?flag?=0的条件下将存储到pc中，否则pc自增1。
Memory操作
这些是简单的memoryload和store操作，其中memory的地址由立即数或寄存器的内容确定。这些是tinyram中唯一的寻址方式。。
输入操作
该指令是唯一一个访问两个tapes中的任意一个的指令。第0个tape用于primary输入，第1个tape用户auxiliary输入。
输出操作
Beosin：sDAO项目遭受攻击事件简析:金色财经报道，根据区块链安全审计公司Beosin旗下Beosin?EagleEye 安全风险监控、预警与阻断平台监测显示，BNB链上的sDAO项目遭受漏洞攻击，Beosin分析发现由于sDAO合约的业务逻辑错误导致，getReward函数是根据合约拥有的LP代币和用户添加的LP代币作为参数来计算的，计算的奖励与用户添加LP代币数量正相关，与合约拥有总LP代币数量负相关，但合约提供了一个withdrawTeam的方法，可以将合约拥有的BNB以及指定代币全部发送给合约指定地址，该函数任何人都可调用。而本次攻击者向其中添加了LP代币之后，调用withdrawTeam函数将LP代币全部发送给了指定地址，并立刻又向合约转了一个极小数量的LP代币，导致攻击者在随后调用getReward获取奖励的时候，使用的合约拥有总LP代币数量是一个极小的值，使得奖励异常放大。最终攻击者通过该漏洞获得的奖励兑换为13662枚BUSD离场。Beosin Trace追踪发现被盗金额仍在攻击者账户，将持续关注资金走向。[2022/11/21 7:53:09]
该指令表示程序已经完成了计算，因此不能再允许其他操作。
指令集约束
Tinyram采用R1CS约束形式进行电路约束，具体形式如下：
一个R1CS约束，可以有a，b,c三个linear_combination表示，一个R1CS系统中的所有变量的赋值，可以分为两个部分：primaryinput和auxilaryinput。Primary就是我们经常说的“statement”。auxiliary就是“witness”。
一个R1CS约束系统包含多个R1CS约束。每个约束的向量长度是固定的。
Tinyram在libsnark的代码实现中大量使用了一些定制gadgtes来表述vm的约束以及opcode执行和memory的约束。具体代码在gadgetslib1/gadgets/cpu_checkers/tinyram文件夹下。
区块链安全公司Beosin宣布完成近2000万美元A轮战略融资:金色财经报道，区块链核心安全服务厂商Beosin宣布完成近2000万美元战略融资，投资人为知名产业方，多家老股东跟投。Beosin是一家全球领先的区块链安全公司，其核心业务包括智能合约安全审计，区块链项目安全风险监控、预警与阻断，被盗虚拟资产追回，KYT/AML等“一站式”安全产品+服务解决方案，目前已为全球2000多个区块链企业服务，保护客户资产高达5000多亿美元。新资金将用于区块链安全新技术研发，生态建设和全球市场布局。[2022/11/3 12:12:23]
位操作约束
??and?约束公式：
and的R1CS约束将参数1和参数2以及计算结果逐bit位进行乘法计算验证，约束步骤如下：
1.计算过程约束，代码如下：
2.结果编码约束
3.计算结果非全0约束
4.flag约束
??or?约束公式：
具体约束步骤如下：
1.计算过程约束，代码如下：
2.结果编码约束
3.计算结果非全0约束
4.flag约束
??xor?约束公式：
Beosin：XaveFinance项目遭受黑客攻击事件分析:金色财经报道，据Beosin EagleEye平台监测显示，XaveFinance项目遭受黑客攻击，导致RNBW增发了1000倍。攻击交易为0xc18ec2eb7d41638d9982281e766945d0428aaeda6211b4ccb6626ea7cff31f4a。Beosin安全团队分析发现攻击者首先创建攻击合约0xe167cdaac8718b90c03cf2cb75dc976e24ee86d3，该攻击合约首先调用DaoModule合约0x8f90的executeProposalWithIndex()函数执行提案，提案内容为调用mint()函数铸造100,000,000,000,000个RNBW，并将ownership权限转移给攻击者。最后黑客将其兑换为xRNBW，存放在攻击者地址上（0x0f44f3489D17e42ab13A6beb76E57813081fc1E2）。目前被盗资金还存放在攻击者地址，Beosin Trace将对被盗资金进行持续追踪。[2022/10/9 12:50:38]
具体约束步骤如下：
1.计算过程约束，代码如下：
步骤2，3，4同上
?not?约束公式：
具体约束步骤如下：
步骤2，3，4同上
整数操作约束
?add：?约束公式：
具体约束步骤如下：
SingularityDAO完成270万美元私募融资，AlphaBit领投:据官方消息，SingularityNET生态系统内以DeFi为中心的独立项目SingularityDAO宣布，完成270万美元私募融资，AlphaBit领投，SMO Capital、Jun Capital、Magnus Capital、QCP Capital、Moon whale Ventures和AU21等参投。SingularityDAO是第二层非托管DeFi解决方案，旨在提高收益。（zycrypto）[2021/4/29 21:09:27]
1.计算过程约束，代码如下：
2.解码结果约束和boolean约束
3.编码结果约束
?sub:?约束公式：sub约束比add稍微复杂一些，采用了一个中间变量表示a-b的结果，同时为了保证结果计算表示为正整数和符号的形式，给结果加上了2^w。具体约束步骤如下：
1.计算过程约束
2.解码结果约束和boolean约束
3.符号位约束
?mull?、umulh、smulh?约束公式：
mull相关的约束都涉及以下几个步骤
1.计算乘法约束
2.计算结果编码约束
3.计算结果flag约束
?udiv?、umod?约束公式：
B为除数，q商，r为余数。余数与需要满足不能超过除数的条件。具体约束代码如下：
shift操作约束
??shl、shr?约束公式
比较操作
比较操作中的指令每一个都不会修改任何寄存器；比较的结果存储在flag中。比较指令包含cmpe、?cmpa?、cmpae、cmpg、cmpge?。比较指令可以分为两类，分别为有符号数的比较和无符号数比较，两者约束过程核心都利用了libsnark中实现的comparison_gadget。
其他剩余过程跟有符号数比较约束相同
move操作约束
??mov?约束公式：
mov的约束比较简单，只需要确保将存储到ri寄存器中，由于mov操作没有修改flag，所以约束需要确保flag的值没有产生变化。约束代码如下：
??cmov?约束公式：
cmov的约束条件比mov复杂一些，主要mov的行为跟flag值的变化有关系，同时cmov不会修改flag，所以约束需要确保flag的值没有变化，cmov的代码如下：
Jump操作约束
这些jump和条件jump指令都不会修改寄存器和?flag?但是会修改?pc。
??jmp
Jmp操作约束pc值与指令执行结果一致，具体约束代码如下：
??cjmp
cjmp根据flag条件进行跳转，flag=1进行跳转，否则pc自增1
约束公式如下：
约束代码如下：
??cnjmp
cnjmp根据flag条件进行跳转，flag=0进行跳转，否则pc自增1
约束公式如下：
约束代码如下：
Memory操作约束
这些是简单的memoryload和store操作，其中memory的地址由立即数或寄存器的内容确定。这些是tinyram中唯一的寻址方式。。
??store.b?和?store.w
对于store.w取整个arg1val的值，对于store.b操作码只会取arg1val的必要部分，约束代码如下:
??load.b?和?load.w
这两个指令我们要求从内存中加载的内容被存储在instruction_results中，约束代码如下：
输入操作约束
??read
read操作跟tape有关，具体的约束规则是：
1.上一个tape中的内容被读完，没有内容可读，不会读取下一个tape。
2.上一个tape中的内容被读完，没有内容可读，flag被设置为1
3.如果当前执行的指令是read,那么read读取到的内容和tape输入内容一致
4.从tape1以外的地方读取内容，flag被设置为1
5.result为不为0，意味着flag为0
约束代码：
输出操作约束
该指令表示程序已经完成了计算，因此不能再允许其他操作
??answer
当程序的输出值被接受，has_accepted会被设置为1，程序返回值能够被正常接受意味着当前的指令为answner以及arg2value为0。
约束代码如下：
其他
当然除了上述提到的一些指令相关的约束外，tinyram还有一些pc一致性、参数编解码、内存检查等各种约束。这些约束通过R1CS系统组合起来构成一个完成的tinyram约束系统。所以这也是R1CS形式的tinyram生成约束数量较多的根本原因。
这里引用一个tinyram介绍ppt的图片，展示一个ERC20transfer用tinyram生成证明需要的时间消耗。
从上图的例子可以得出结论：使用vnTinyram+zk-SNARKs验证所有EVM操作是不可能的，只适合验证少量的指令的计算验证，可以使用vnTinyram验证EVM的部分计算类型的opcode。
参考
tinyram介绍ppt:
https://docs.google.com/presentation/d/1lbyLmXhCry61fxWm8LLxPKhCYV67RcZaK3WL20Hb-t8/edit#slide=id.g5b38da04a0_0_21
关于我们
Sin7y成立于2021年，由顶尖的区块链开发者和密码学工程师组成。我们既是项目孵化器也是区块链技术研究团队，探索EVM、Layer2、跨链、隐私计算、自主支付解决方案等最重要和最前沿的技术。
微信公众号：Sin7y
GitHub：Sin7y
Twitter：@Sin7y_Labs
Medium：Sin7y
Mirror：Sin7y
HackMD：Sin7y
HackerNoon：Sin7y
Email：contact@sin7y.org
来源：金色财经
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。