注：原文来自ethresear.ch，作者是leohio。
感谢AlexGluchowski以及BarryWhitehat提供的意见和看法。
一:长话短说
本文介绍了一种无需来自运营方tx历史数据的zkRollup，这具有在L1上使用txcalldata的gas效率，并且还具有智能合约执行及资产隐私的特性。每个batch只需要在txcalldata中记录一个状态改变的所有者的账户列表。
缺点是每个用户在将资金退出到L1时，需进行客户端zkp计算，而另一个缺点是在EVM兼容性方面带来困难。
二、背景和动机
对于Rollup的运营商和交易者而言，他们在使用txcalldata时仍然会产生消耗。这种限制仅仅是因为需要恢复作为交易结果的状态，以免用户无法生成其资金的Merkle证明。Rollup的大部分规范要求运营商将所有交易历史数据转储到L1上的txcalldata。
zkRollup生态项目Soveregin完成740万美元种子轮融资，Haun Ventures领投:1月31日消息，基于zkRollups构建SDK的项目Soveregin完成740万美元的种子基金，Haun Ventures领投，Maven 11、1KX、Robot Ventures和Plaintext Capital跟投。
据悉，Soveregin致力于构建开放、相互连接的rollup生态系统，使开发人员能够部署可以在任何区块链上运行的无缝互操作和可扩展的rollup，创建安全且可互操作的主权zk rollup的简单框架。（CoinDesk）[2023/1/31 11:37:24]
交易历史数据的这种透明度，不仅增加了txcalldata的gas成本，而且还破坏了交易的隐私。
据推测，交易历史数据的累加器，既解决了效率问题，也解决了隐私问题。
基于zkRollup的以太坊二层网络Taiko发布首个公共测试网:12月28日，据官方消息，基于 zkRollup 的以太坊二层网络 Taiko 发布测试网 Sn?fellsj?kull。目前该测试网支持开发者部署智能合约，并向普通用户开放交易测试和 L2 节点运行等功能。[2022/12/28 22:12:13]
三、方法
简而言之，在第一步中，我们构造了一个zkRollup，其中运营商将最终状态差异直接写入txcalldata。交易历史数据将在一个zkp电路的隐私输入中。
第二步，我们通过分离常用存储和用户状态存储从txcalldata中删除最终状态差异。这使用户可以使用非包含证明退出。用户保留其用户存储并仅公开其Merkle根。用户可以用zkp证明根转换，并且可以更新智能合约的常用存储。
详细步骤如下：
路印COO Jay：路印将AMM交易模式带到了zkRollup二层:据官方消息，币赢CoinW《共识52》第十一期《ETH2.0的扩容之路——Layer2能否突破DeFi的局限?》主题AMA中,路印COO Jay讲到:DeFI其实就在把现实金融世界里面的各种场景在区块链世界里面再造出来，比如?Compound 就对应传统银行借贷，MakerDAO 有点像央行铸币，各种?DEX 实现的是交易需求。一个很明显的趋势就是DeFI项目都在往二层迁移，就是因为以太坊主网实在太拥堵了，而路印协议绝对是二层解决方案中的派头兵，Loopring 是世界上首个基于?zkRollup 的DEX，也是世界上首个基于zkRollup 的AMM, 并且已在以太坊主网上平稳运行快1年左右的时间了。
路印再次创造了历史，将AMM这种交易模式带到了zkRollup二层。路印的新技术甚至可以把一个订单拆解到AMM和订单本做局部成交，用以寻找到最有的成交价。这将有可能改变交易所的竞争格局, 我们期待AMM和挂单交易的结合能给用户崭新的体验。[2020/12/3 23:01:03]
3.1)第一步，zkRollup中txcalldata使用选项
Aztec公开为Reddit设计的扩容方案zkReddit，超过需求的4.6倍:8月3日消息，基于以太坊的隐私解决方案Aztec发布为Reddit设计的扩容解决方案zkReddit，超过Reddit要求吞吐量的4.6倍。
Aztec表示该方案兼容所有的钱包，符合各类和隐私相关的监管要求，下一个版本中将会实现144倍的吞吐量。但Aztec也承认该方案因为优先考虑吞吐量，所以存在一些权衡，包括延迟较高（32-rollup方案需要3分钟结算）以及客户端的计算隐私交易的证明生成时间需要最高至12至40秒。（Medium）[2020/8/3]
使用txcalldata恢复完整状态有两种选择。
选项1：将所有交易历史数据记录到txcalldata。
选项2：记录由于区块中的交易而导致的最终状态的差异。
在选项2中，由于txcalldata中没有要记录的内容，数以百万计具有相同结果的交易使用0gas进行txcalldata使用。Merkle根转换的可靠性由zkp保证。
观点：Validium适用于传统高频交易 zkRollup适合去中心化加密支付:近日，针对以太坊Layer 2扩容方案，即DeversiFi最近采用的Validium解决方案，Matter Labs创始人Alex Gluchowski撰文称，Validium的机制与zkRollup非常相似，唯一的区别是zkRollup中的数据可用性是在链上的，而Validium则将其保持在链外。这允许Validium获得更高的吞吐量，但这也导致该解决方案存在两大问题：1、可冻结用户资金；2、可没收用户资金。
Alex Gluchowski指出，zkRollup的数据可用性可保护用户的资金免遭扣押和审查。但数据可用性的链上存储，导致了吞吐量的限制。因此，Alex Gluchowski认为Validium方案可能会适用于传统的高频交易或具有较低信任假设的游戏，相比之下，完全无需信任的zkRollup方案则非常适合扩展去中心化的加密支付。（Medium）[2020/6/8]
而采用“选项2”是第一步。
3.2）第二步，优化“选项2”
当批次/区块中的交易更改合约中的相同存储值时，上述选项2会花费更少的gas。这种共享和更改的值就像ERC20的总供应量、swap协议的总资产池量等。
而且这种存储值也会影响到所有资产持有者，这种数据的丢失会导致zkRollup的活性损失。另一方面，其他不常共享和更改的数据大多是个人资产数据。这类数据的丢失，直接意味着资产持有者损失了资金。这种风险是分开的，不会影响到对方的资金。
然后分离用户的状态，并提供其状态的用户数据及其证明作为运营商对其交易的收据，从而降低了大量gas成本。
交易者向运营方发送交易；
运营商将其用户状态的merle证明作为交易的收据；
交易者签署这个收据；
电路中只接收带有签名收据的交易数据；
如果一个用户进行了交易，并且多个用户的余额发生了变化，并且他们知道自己的状态，包括这些余额和Merkle证明，那么他们中的任何一个都可以随时通过zkp退出其资金。
这证明这是其余额的最后一个状态，可以通过每个批次的更改状态所有者的每个帐户列表的不包含证明来确定。更改状态所有者的帐户列表的稀疏Merkle树可用于有效证明。
有两种方法可以让更改状态的所有者知道他们最近的更改。
如果他们在线，运营商发送最后一个差异，接收签名的差异，并将其放入zkp电路的输入，这样的gas成本是最低的。
如果他们不在线，运营商会将其发布到txcalldata或链下去中心化存储。
通过这种状态分离，运营商不再需要将最终状态的任何差异都放在txcalldata中，因为用户的帐户状态对于退出来说足够安全，而丢失共同共享的数据，只是意味着运营商无法更新zkRollup的Merkle根，他们将简单地停止服务。然后，公共共享存储和用户存储都可以在链外分发。每批只需要在txcalldata中记录一个状态改变的所有者的账户列表。
3.3）第三步，隐私智能合约执行
用户的交易不在链上，但运营商仍然可以看到并需要看到用户状态，以进行zkp证明。
如果用户在其一边进行zkp以证明其用户状态的Merkle根和公共共享存储的转换，则运营商只需更改该Merkle根和存储，余额的秘密仍然存在。
用户向运营商发送交易；
运营商返回余额和更新后的公共共享存储的差异；
用户对更新后的用户状态和公共共享存储的Merkle根进行zkp证明；
制作每个批次的运营商可通过更改批次中共享存储的变化知道余额差异，但其无法知道其他批次的余额差异，因为运营商之间只共享最终差异。这具有混合级别的隐私。
这种机制需要用到递归zk。
四、更详细的讨论
4、1在链下与离线状态改变者通信
这只是一种选择。该协议可以在没有这部分的情况下构建。
即使在最坏的情况下，状态更改器处于离线状态，这种情况下的数据可用性风险也非常有限。
离线用户可以在其在线时获取数据以安全退出，其可以设置代理而不是自己接收数据。
并且我们可以构造退出方法，以便上次状态更新不会因为数据可用性问题而使之前的状态变得危险。
典型的去中心化存储结构如下所示：
提交哈希
证明preimage(hash(storage))=preimage(hash(storage,last-Ethereum-block-header))-last-Ethereum-block-header
继续观察有多少节点可以完成
4.2账户链上gas费用
每个帐户都可以获得一个比地址本身短得多的ID。
每个batch只需要一个账户列表，这样就可以省略重复项，这比txcalldata中使用的交易历史要高效得多。
4.3公共共享存储的进一步优化
在以太坊L1上，你无法擦除txcalldata。我们可以修改它，因为公共共享存储不需要在链上。
与交易历史数据不同，我们只需要最后的状态数据，不需要任何之前的状态。然后运营商可以放弃之前在网络中共享的“最终状态数据”。
运营商可以通过zkp逻辑知道可以丢弃的数据。
五、结论
分离用户状态使得zkRollup智能合约执行既高效又隐私，几乎所有的txcalldata成本都从zkRollup中移除了。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。