零知识证明专题第10期：证明市场的崛起：去中心化证明生成与验证网络

摘要

零知识证明曾是大公司的“独门功夫”——少数拥有专业密码学团队和昂贵硬件的团队垄断了证明的核心能力。2025-2026年，这一格局正在发生根本性转变：证明不再是实验室里闭门造车的奢侈品，而是一个开放的、去中心化的全球市场。Succinct 于2026年上线了全球首个去中心化证明网络的主网，RISC Zero 从早期 Bonsai 托管服务演进为更具开放性的 Boundless 市场，=nil Foundation 持续在 Mina 生态中推进计算外包愿景。全球 ZKP 市场规模在2025年已达34亿美元，预计以24.1%的复合年增长率增长至2034年的237亿美元。这一转变预示着区块链安全模型从“重执行”到“可验证验证”的范式转换，然而证明市场仍面临算力垄断、标准缺失和监管灰色地带等硬核挑战。本文将深入剖析其技术架构、经济模型、市场参与者与信任假设，为读者勾勒2026年这一新兴赛道的全景图。

第1章入口故事：一场证明交易所的“电费危机”

1.1 小型Rollup的生死时刻

2025年2月的一个凌晨，一支八人团队维护的以太坊L2 Rollup“星云链”突然停止出块。没有黑客入侵，没有智能合约漏洞，也没有链上拥堵。真正的原因是：他们的证明生成机——在台湾托管中心租用的八张英伟达A100 GPU集群——因为电力峰值过载被托管商自动限流停机了。

星云链的日常运营成本中，证明生成就占掉了接近六成。他们采用了一套自研的zkEVM方案，每日需要在链上提交一次有效性证明，证明过去二十四小时内Rollup上的所有交易都正确执行。这套流程需要数小时的高密度GPU计算。停机意味着无法按时生成证明，Rollup无法提交新的状态根，用户的提现和跨链操作全部陷入停滞。团队负责人后来在一次开发者聚会上半开玩笑地说：“我们的链不是被攻击杀死的，是被电费杀死的。”

这个例子绝非孤例。2025年上半年，多个中小型Rollup项目和去中心化应用团队都面临相似的困境：证明计算成本居高不下，硬件故障风险无法分散，团队被迫把大量精力投入到运维专用GPU集群，而非核心的产品优化。证明，这一ZKP技术栈里最关键、也最消耗资源的环节，正在成为整个生态的瓶颈。

1.2 “不如把证明外包出去”

星云链的团队最初尝试了商业化的托管证明服务。他们接入了RISC Zero推出的Bonsai平台，将证明生成任务上传到远程GPU集群。成本确实下降了约三成，但新的问题接踵而来：Bonsai是一个中心化服务。一旦其内部集群维护或调度规则临时屏蔽特定类型的电路任务，他们仍然面临单点故障。而且，固定费率模式无法在市场证明供给充裕时享受更低的单位价格。

转机来自2026年初。他们接入了一个真正的去中心化证明网络——Succinct的公开证明市场。任何拥有符合要求硬件的独立节点都可以注册为证明者并参与竞价。星云链发布证明请求，定义截止时间、电路规范、可接受的证明类型和预算上限。多个证明者在自由市场中竞逐任务，提交证明并通过链上合约完成验证与结算。单位证明成本在接入后的三个月内又下降了约四成，而且他们不再受困于单一供应商的命门。

1.3 故事映射的真实趋势

星云链的故事浓缩了2025-2026年正在发生的两个核心转变。

其一，技术推动。证明生成不再是实验室里的少数精英游戏。新的证明系统、更成熟的GPU/FPGA/ASIC加速方案，以及开源zkVM生态的成熟，让证明任务可以被模块化拆分，标准化分发到全球任意一台合格机器上执行。

其二，经济拉动。Rollup、跨链桥、隐私身份、AI可验证推理等场景共同催生了海量证明订单。根据先锋行业追踪器ethproofs.org的数据，以太坊生态上可公开追踪的区块平均证明成本从2025年1月的1.69美元骤降至12月的不到4美分，降幅约45倍。这不是技术奇迹单次作用，而是竞争、规模效应和市场形成共同驱动的结果。

证明市场，这个过去只存在于论文侧面的抽象概念，正在变成全球可接入的公共基础设施。

第2章为什么是证明市场？技术需求与经济逻辑的交汇

2.1 成本革命：一条陡峭的下降曲线

让我们回到数字本身。根据ethproofs.org从2025年1月到12月的公开数据，以太坊一个普通区块的证明成本从1.69美元降至不到0.04美元，年均降幅约42倍。这一变化的背后是三层技术因素的叠加。

第一层是证明系统本身的效率提升。新的STARK友好哈希函数、更优化的多项式承诺方案（如PCS改进），以及对通用递归结构的研究进展，使得同样计算量的证明规模显著缩小。第二层是硬件加速的成熟。到2025年底，专门为SNARK和STARK设计的FPGA加速卡已经从实验原型进入商用，专用ASIC也在紧锣密鼓地流片准备阶段。第三层是标准化zkVM的兴起。RISC Zero的R0VM、Succinct的SP1等框架将通用程序编译为可验证的中间表示，开发者无需从零手写电路，显著降低了证明工程门槛。

成本骤降意味着一样东西：证明从少数人能够承受的固定收益支出，变成了可以在市场上动态竞价流通的服务。

2.2 需求侧：五大场景催生海量订单

如果只有供给端没有强劲需求，任何市场都无法存活。2025-2026年的证明需求主要来自五个方向。

ZK Rollups和zkEVM的规模化部署。Scroll、zkSync、Starknet、Polygon zkEVM等方案需要为每一批次的L2交易生成链上可验证的有效性证明。随着以太坊主网Gas费对数据可用性的持续施压，Rollup批量大小不断增大，单次证明的计算量也随之膨胀。

跨链桥与状态证明。传统跨链桥依赖多签委员会或乐观欺诈挑战，信任假设强且事故频发。以零知识证明驱动的轻客户端方案（如zkBridge、Succinct的状态证明系统）要求持续生成和更新目标链的头部证明。我们将在第9期深入讨论ZK跨链桥的细节，这里只需明确：跨链桥是证明市场除Rollup外的第二大需求来源。

可验证身份与隐私凭证。欧盟eIDAS 2.0框架下数字身份钱包的隐私交互、Google在2025-2026年推进的Longfellow项目以及其他自主身份方案，都依赖于零知识证明来在不暴露原始属性的前提下完成属性验证。当这些系统上线后，每一次身份凭证验证都可能触发一次证明生成请求。

AI推理的可验证性。Succinct等项目在2026年已明确提出“可验证AI”方向：用户需要确认某个第三方AI服务确实运行了所声称的模型参数和推理过程，而非调包成更小或篡改过的模型。ZKP为此提供了密码学根基，而证明市场则为高频AI验证请求提供弹性算力。

ZK协处理器。如第5期所讨论的，Axiom、RISC Zero和Lagrange等协处理器方案将链外可验证计算引入链上智能合约。每次调用背后都需要证明者生成一次链外执行证明。

2.3 供给侧：三类参与者的格局分化

面对上述需求，供给方的组织形态正在经历三级跳。

第一类是专有内部团队。StarkWare为Starknet维护专属的定序器和证明集群，Scroll和Polygon也有自建的证明流水线。这类模式的优点在于深度优化和版本同步，缺点在于资本投入重、硬件利用率随链上活动波动而闲置。

第二类是托管式PaaS（Prover as a Service）。RISC Zero早期推出的Bonsai即属于此类。开发者通过API提交证明任务，由服务商统一调度的GPU集群完成计算。这降低了启动门槛，但本质上仍是中心化服务，审查和停机的风险并未消除。

第三类则是正处于爆发点的去中心化证明网络。它试图将证明生成彻底转变为公共计算市场：任何满足硬件和准入条件的节点都可以提供证明服务，需求方通过协议发布任务并支付费用，市场通过拍卖或分配机制将任务匹配给供给方。2026年，Succinct率先将这一模式推进到主网实践。RISC Zero也同期推出了Boundless，标志着从中心化托管到开放市场的转身。

2.4 比喻：从自建电厂到分布式竞价电网

理解这一转型的最佳参照系是电力行业的历史演化。一百多年前，每座工厂需要自建发电机。后来出现了集中式电网，工厂接入统一供电。如今，光伏屋顶和分布式储能让普通人也能向电网售电。证明市场的演进遵循同一逻辑：自建证明节点是工厂自备发电；Bonsai这样的托管PaaS相当于集中供电；而去中心化证明网络则正在搭建一个开放竞价电网，任何人都能购买和出售“可验证计算单位”。

这一转变的深度远超成本节约。当证明成为一种无许可的、可自由定价的公共服务时，整个以太坊乃至更广阔的分散式网络的安全假设都将随之改写。

第3章架构解剖：从托管到去中心化证明网络的代际演进

3.1 第一代：托管式Prover-as-a-Service

2023年前后，要让一个开发团队在应用中加入零知识证明，技术路径大致如下：先学习密码学和电路设计，再用Circom或Golang手搓电路，租用或购买GPU跑证明脚本，最后自己部署验证合约。这是一条高门槛、高风险的路径。

RISC Zero推出的Bonsai改变了这一现状。Bonsai本质上是多台GPU组成的高性能远程证明集群，通过统一API向开发者开放。开发者只需在其本地zkVM中编写标准RISC-V指令集下的Rust程序，定义好公开输入和私有见证（witness），其余工作——从程序执行跟踪的获取、AIR约束的生成、默克尔化到STARK证明的最终生成——全部在Bonsai后端完成。

这种模式的技术优势是显著的：开发者无需接触底层密码学细节，硬件运维由RISC Zero承担，吞吐量和可用性在集群规模充足时表现稳定。

但缺陷也同样显著。信任边界完全收敛到一个单一主体：你的证明生成能力、延迟、定价甚至订单是否被处理，全部取决于该营运方当天的运营决策。如果因为监管、商业策略变更或宕机，某类电路被暂停支持，开发者几乎无从申诉。你需要信任Bonsai集群实际执行了你提交的代码且没有篡改中间状态，尽管密码学上证明本身由零知识保证，但服务层面的信任假设仍然很重。

3.2 第二代：协议化多验证者协作

基于托管模式的局限，Succinct在2024-2025年间选择了中间的过渡路线：先定义标准接口，再将服务供应者从一家扩充为多家。

具体来说，Succinct设计了一套证明请求的标准格式（包含电路标识、输入哈希、证明系统偏好、截止时间、最高预算等字段），并允许经过审核的多个证明节点接入网络。任务不再由单一后端垄断，而是通过调度协议分发给受许可的多个验证者。这一阶段的改进在于引入了初步的竞争和冗余：即便一个节点离线，其他节点仍可接单。

但“受许可”三个字依然构成门槛。网络准入由协议方决定，硬件和软件标准由核心团队设定。它仍不是真正无许可的证明市场，而是一个半开放联盟。

3.3 第三代：去中心化证明市场的主网形态

2026年，Succinct宣布主网上线并激活原生功能token（PROVE框架），标志着证明市场从联盟模式向完全去中心化的跨越。什么是“去中心化证明市场”的完整架构？它可以被分解为五个可互换、可标准化的核心模块。

graph LR
    A[请求者: Rollup / 桥 / 身份服务] --> B[证明请求池<br/>智能合约]
    B -- 调度与拍卖 --> C[证明者节点A]
    B -- 调度与拍卖 --> D[证明者节点B]
    B -- 调度与拍卖 --> E[证明者节点C]
    C --> F[证明提交与验证层]
    D --> F
    E --> F
    F -- 有效证明 --> G[结算与支付]
    F -- 无效证明 --> H[Slashing / 惩罚机制]
    G --> I[证明者获得代币报酬]
    style B fill:#e1f5fe
    style F fill:#e8f5e9
    style H fill:#ffebee

上图展示了去中心化证明市场的基础信息流。请求者向链上智能合约提交证明请求，请求池中包含电路规范、输入承诺、证明类型要求以及所愿意支付的最高费用。调度协议或拍卖机制将任务分发给多个竞争中的证明者。证明者独立完成证明生成后，将证明提交到验证层。链上合约或轻客户端运行验证算法，确认证明结构与约束满足后触发结算。若证明无效，证明者的经济保证金将被削减（slash），网络上的信誉记录同步更新。

用更工程化的语言描述，这五个核心模块分别是：

证明请求层（Request Layer）。定义任务格式的标准化。Succinct主网采用JSON和ABI兼容格式，以便以太坊和兼容链上的智能合约直接调用。一个标准的证明请求通常包含：目标zkVM版本或电路哈希、公开输入的Merkle根、请求者愿意支付的结算token数量、截止区块高度、可容忍的最小证明安全级别（如STARK的查询次数或SNARK的椭圆曲线参数）。

调度与拍卖层（Scheduling & Auction Layer）。任务如何被分发给证明者？当前有三条路线并行探索。固定分配协议按先到先服务或负载均衡方式分配；竞价拍卖中证明者根据预估成本报价，请求者选择性价比最高的投标者；动态匹配则引入预言机式因子（如实时硬件利用率、电价和证明难度），按公式自动匹配。Succinct主网初期的策略更接近竞价结合信誉加权，低价并非唯一中标因素，节点过往完成成功率也是重要权重。

证明生成层（Prover Layer）。这是实际执行计算的核心。一个证明者节点需要具备什么？至少包括：兼容目标证明系统的硬件（对STARK通常是高端GPU或FPGA）、zkVM执行环境、预设的信任参数或SRS（如果是SNARK类系统）以及稳定的网络连接。不同节点之间可以存在显著差异，例如某些节点专攻高吞吐批量证明，另一些节点则利用地理优势和低电价提供低成本但稍高延迟的服务。

验证层（Verification Layer）。去中心化证明市场的安全核心在于：谁来确认证明者提交的结果是对的？答案是密码学本身——验证算法在一个公开、标准化的约束下运行，其计算成本远低于证明生成。对于链上验证来说，验证一次Groth16 SNARK的Gas消耗远在证明生成成本之下。Succinct在其主网设计中也引入了链下客户端验证的辅助路径，使得即使链上合约因Gas限制无法完整运行时，第三方仍可独立审计。

结算与激励层（Settlement Layer）。任务完成后支付如何清算？在Succinct主网中，整个流程由原生的token框架协调：请求者在发布请求时锁定一定数量的支付token；验证通过后，智能合约自动向证明者地址释放报酬；若被判定为作弊或超时未完成，锁定的保证金和预订的报酬按协议逻辑重新分配。这一经济闭环将证明的正确性与参与方的经济利益直接绑定。

3.4 从Bonsai到Boundless：RISC Zero的退化与进化

RISC Zero的证明服务架构演进恰好展示了上述三代模式的具体化。2023年Bonsai是典型第一代托管PaaS。2024-2025年间，它开始向多租户和更大规模GPU集群扩展，但本质仍是中心化服务。

2025年末，RISC Zero正式推出Boundless。官方文档将Boundless定义为“去中心化证明市场”（decentralized proving marketplace）。在Boundless中，用户不再向单一远程API提交请求，而是向协议发布证明需求。无许可的证明者生成证明并返回给用户，协议提供任务协调、证明验证和经济结算的基础设施。它与Succinct的主网在核心哲学上高度一致：将证明从托管服务变为协议化市场。

graph LR
    subgraph 2023-2024_Bonsai_Era["第一代: 托管式 Bonsai"]
        Dev1[开发者] -->|API| Bonsai1[中心化GPU集群]
        Bonsai1 -->|STARK证明| Dev1
    end

    subgraph 2025_Boundless["第二代/第三代: Boundless"]
        Dev2[请求者] -->|智能合约/协议| Market2[去中心化证明市场]
        Market2 -->|任务竞价| Prover2A[证明者A]
        Market2 -->|任务竞价| Prover2B[证明者B]
        Market2 -->|任务竞价| Prover2C[证明者C]
        Prover2A -->|证明| Verif2[验证层]
        Prover2B -->|证明| Verif2
        Prover2C -->|证明| Verif2
        Verif2 -->|支付| Prover2A
        Verif2 -->|支付| Prover2B
        Verif2 -->|支付| Prover2C
    end

    2023-2024_Bonsai_Era -.架构演进.-> 2025_Boundless

上图中，左侧Bonsai模式是一条单一信任路径，右侧的Boundless展示了多路径并行和市场化结算。必须强调的是，Boundless在2026年实践中仍处在逐步去中心化的过程中。从纯技术视角看，“去中心化”是一个渐进过程，而非二元切换。相较初代Bonsai，Boundless已引入无需许可的节点参与和竞争机制，但其验证层和任务调度协议的完全去中心化程度和Succinct主网的实现方式仍有各自的技术路线差异。

3.5 标准化：证明市场能否连接不同岛屿

当前的市场碎片化问题是一个不可回避的现实问题。Succinct的SP1、RISC Zero的R0VM、StarkWare的Cairo以及Mina的SnarkyJS等生态系统各自拥有独立的电路语言、证明格式和验证合约。一个建立在SP1上的Rollup无法直接调用基于Cairo的证明者，除非后者重新编译目标电路。

这背后反映的是更深层的技术分歧：STARK与SNARK依赖不同的密码学假设（哈希函数 vs 椭圆曲线对），zkVM的内存模型和执行跟踪格式尚未统一，证明大小和验证成本的权衡在不同场景下也难以统一。

标准化组织如ZKProof社区的开放标准倡议正在缓慢推进，但距离形成跨系统的证明请求和结算标准仍有时日。在此之前，去中心化证明市场更可能出现“多家族兼容”的中间层——接纳多种证明输入格式，在调度层统一化，但在执行层仍由各证明系统分别处理。

第4章市场五强：谁在去中心化证明赛道上

2026年的去中心化证明赛道已出现明确的阵营分野。本节选取五个最具代表性的参与者，从技术路线、商业模式和网络开放度三个维度进行对比。

4.1 RISC Zero：从 Bonsai 到 Boundless 的开放转身

RISC Zero 的技术根基建立在两个交叉点上：zk-STARK 协议与 RISC-V 指令集架构。前者提供了无需可信设置即可生成证明的能力，后者则让开发者可以用标准 Rust 编写可验证程序。在 Bonsai 托管时代，这一组合已经使 RISC Zero 成为 zkVM 赛道的头部选手。

Boundless 的发布标志着其战略重心的根本偏移。官方文档明确将其描述为“去中心化证明市场”（decentralized proving marketplace），核心变化在于：证明任务不再流向单一集群，而是通过协议分发给无许可加入的证明者。请求者发布需求后，市场上的证明者基于自身硬件能力和电价预期参与竞价或自动接单。这一转变意味着 RISC Zero 从“证明服务商”向“证明协议创建者”迁移。

2026 年的实际运行中，Boundless 的生态仍在扩展阶段。与 Succinct 主网相比，Boundless 更强调与 RISC-V 和 Rust 工具链的深度整合，对已有 RISC Zero 应用的迁移门槛最低。同时，其 STARK 基础意味着在不依赖椭圆曲线的前提下即可实现证明生成，这对偏好后量子安全假设的场景是一个加分项。不过，STARK 证明的链上验证开销仍然大于 SNARK，这在以太坊主网等高价 Gas 环境中仍是一笔不可忽略的开支。

4.2 Succinct：首个主网上线的去中心化证明网络

2026年7月前后，Succinct 宣布主网全面上线并激活其支付框架。《The Block》和《CryptoBriefing》等多家行业媒体的报道确认了这一定位：Succinct 是“首个去中心化证明网络”从概念走向主网的里程碑式案例。

Succinct 的核心技术决策可以概括为“协议层下沉，应用层多元”。底层是标准化的证明请求与结算协议，中间层是兼容多种 zkVM 的调度接口（包括其自研的 SP1），上层则可以支撑从以太坊验证、Rollup 批量证明到 AI 推理验证等广泛场景。其主网设计将 PROVE 框架用于双重目的：作为请求方和证明者之间的支付媒介，以及作为网络安全的经济抵押品。

一个常被忽略但至关重要的技术细节是：Succinct 并非只做“外包证明”。它在 2026 年的路线图中深度参与以太坊自身的“Lean Execution”进程——即让以太坊验证者从逐个重放交易，转向直接校验零知识有效性证明。若这一路线图持续推进，以太坊将从一个巨型分布式执行引擎，转型为一个以密码学验证为核心的聚合确认层。在这种未来图景中，Succinct 等证明市场实际上将为以太坊本身提供证明服务。

4.3 =nil Foundation：Mina 生态的递归计算外包

与上述两家偏通用化的路线不同，=nil Foundation 深耕 Mina 协议特有的递归证明生态。Mina 的核心卖点是“恒定大小的区块链”（约22KB），这得益于其递归 SNARK 架构：每个新区块的证明把整个链上历史压缩为单一常量大小证明。=nil 的愿景是将这种递归能力扩展到通用计算验证，使得任意计算任务都可以通过 Mina 风格的链上轻证明来确认。

=nil 的价值在于，它为证明市场提供了一个“垂直专业化”的范例：不追求覆盖所有 zkVM 生态，而是将一个特定递归证明架构打磨到极致，并围绕其建立证明外包机制。从市场格局看，通用平台和垂直方案并不互斥。像 =nil 这样针对递归聚合或特定应用类型优化的证明者，未来可能作为专业节点参与更广泛的通用市场。

4.4 Gevulot：无许可开源证明者网络

Gevulot 是一位相对新兴但理念激进的参与者。其设计哲学强调完全无许可：任何人下载开源节点软件并满足最低硬件门槛后，便可注册成为证明者。协议层采用多层优化检测，节点可自动探测接入的硬件类型（GPU、NPU、FPGA 等），并据此匹配最适合的证明任务。

Gevulot 的激进性体现在其对“审查抗性”的极端追求：没有许可列表，没有人为审核节点，完全依靠密码学验证和经济惩罚来抑制作恶。这种模式在技术乌托邦主义者中颇受青睐，但其现实中的挑战在于：在硬件投资门槛较高的情况下，完全无许可可能导致初期节点数量过少，网络安全性不足；而当网络有吸引力时，又可能迅速被资本充裕的参与者主导，形成新型矿池化。

4.5 通用计算层：Aethir 与底层硬件民主化

Aethir 本身并非专门的 ZK 证明网络，而去中心化 GPU 云计算基础设施。根据其在 2025 年末发布的路线图，其 V2 主网计划于 2026 年第一季度上线，目标锁定企业 AI 计算与云游戏。Aethir 网络已覆盖超过 93 个国家和 200 多个全球计算节点，累计交付超过 15 亿小时的计算任务。

Aethir 与证明市场的关系是什么？它是“地基”而非“房屋”。去中心化证明网络中的证明者节点本质上是运行特定 ZK 密码学任务的高性能计算单元。它们可以选择在自有数据中心架设，也可以选择租用或接入 Aethir 这类弹性 GPU 云。Aethir 的价值在于把全球闲置 GPU 的计算能力接入 DePIN 经济体，使证明者在硬件供给端获得了更大的流动性和更低的进入门槛。对于试图避免自建机房的中小型证明者来说，Aethir 提供了一种“证明节点即服务”的隐藏路径。

graph TD
    subgraph 证明市场_参与者格局_2026["2026 去中心化证明市场参与者格局"]
        direction TB
        
        subgraph 协议层["去中心化证明协议层"]
            S[Succinct<br/>主网上线 + 多zkVM兼容]
            R[Boundless / RISC Zero<br/>STARK + RISC-V]
            N[=nil Foundation<br/>Mina递归证明生态]
            G[Gevulot<br/>完全无许可开源]
        end
        
        subgraph 硬件与计算层["硬件与计算基础设施层"]
            A[Aethir<br/>分散式 GPU 云]
            T[Titan 等 DePIN 算力]
            DC[自建数据中心<br/>专业证明者矿池]
        end
        
        subgraph 需求方["需求方"]
            ZR[ZK Rollup]
            ZB[ZK 跨链桥]
            ZID[可验证身份]
            AI[AI 推理验证]
            ZC[ZK 协处理器]
        end
        
        ZR --> S
        ZR --> R
        ZB --> S
        ZB --> N
        ZID --> R
        AI --> S
        ZC --> R
        ZC --> S
        
        S -.硬件需求.-> A
        S -.硬件需求.-> DC
        R -.硬件需求.-> A
        R -.硬件需求.-> DC
        N -.硬件需求.-> DC
        G -.硬件需求.-> T
        G -.硬件需求.-> A
    end

上图为 2026 年证明市场生态的粗粒度分层。值得再次提醒的是，这一市场仍处于极早期：多数协议尚未实现完全去中心化的任务分发与验证流程，“去中心化”是一个在光谱上逐步推进的状态，而非非黑即白的定性标签。

第5章经济博弈：证明市场的定价机制与激励设计

去中心化证明市场不仅需要密码学正确，更需要经济学可持续。一个不能吸引理性经济人长期参与的证明网络，无论其密码学假设多么优美，都会在算力供给端走向枯竭。

5.1 边际成本：证明一个区块究竟花多少钱？

ethproofs.org 的数据曲线已经给出了一个宏观视角，但我们还需要理解成本结构本身。证明任务的计算成本可以分为三个部分。

证明生成计算成本。这是最大头，指将程序执行跟踪转换为多项式约束并生成证明所需的密集计算。对 STARK 系统来说，这主要是大量哈希运算和 FFT/NTT 变换，对 SNARK 系统则额外包含椭圆曲线上的多标量乘法（MSM）。这部分对新硬件高度敏感：从高端消费级 GPU（如 RTX 4090）到专业 A100/H100，再到针对 MSM 优化的 FPGA 卡，性能跨度可达十倍以上。

内存与数据传输成本。证明生成通常需要随机访问大量内存来存储执行跟踪和中间多项式承诺。高带宽内存（HBM）的有无直接决定了证明吞吐。此外，请求者向证明网络提交输入参数、证明者将最终证明传回验证层，都涉及带宽时延。

链上验证与结算成本。这常被开发者忽略。即便证明生成本身发生在链外，最终验证证明的 Gas 费仍需主网承担。对于某些高频场景，若主网验证成本过高，可能需要迁移至 L2 或引入批量验证/递归聚合来摊薄单次开销。

不同类型的证明系统之间存在显著的成本差异。表 5-1 给出了一个大致的定性对比框架。

成本维度	Groth16 SNARK (固定电路)	PLONK/Halo2 (通用电路)	STARK (zkVM适用)
证明生成时间	最快 (秒级)	中等	较慢 (分/时级)
证明大小	极小 (~200 bytes)	中等 (~KB级)	较大 (~KB至MB级)
链上验证 Gas	低 (~240k)	中-高	高 (但无预信任设置)
可信设置	需要 (per-circuit)	需要 (universal)	不需要
后量子安全性	否	否	部分假设

上表中的参数均为工程实践中的典型经验值，不同团队和优化程度下的实际数据可能波动明显。选择哪种证明系统，本质上是时间、空间和密码学假设之间的权衡，而去中心化证明市场需要同时支撑这些彼此的系统。

5.2 三种定价模型及其适用场景

固定费用模型。请求者和证明者提前签订合约，锁定单位证明价格。适合需求高度可预测、规模和类型变化不大的团队。优点是成本可预测，缺点是缺乏弹性，无法在市场供给充裕时享受降价。

竞价市场模型。用户发布任务和预算上限，证明者根据实际硬件成本和利润目标独立报价。Succinct 主网和 Boundless 的核心机制均偏向这一路线。其优点是价格发现有效、竞争压力大时利于降本；缺点是价格波动性高，且在供不应求或硬件高度集中时，可能出现寡头定价。

动态定价与预言机模型。任务价格由协议层根据实时参数（如全局算力利用率、当前平均证明时间、近期最低中标价等）自动计算。这种模型最接近云厂商的“现时机”定价，但对预言机的依赖引入了新的信任假设。在2026年尚未有主流去中心化证明网络完全切换到这种模式，不过几个团队已在测试网中实验类似机制。

5.3 证明者的经济决策：亏了还是赚了？

对潜在的证明者而言，是否参与网络取决于一个简化的投资回报公式：

预期净收益 = 任务报酬收入 + 代币区块激励 × 代币流动性预期 − 硬件折旧 − 电费 − 带宽运维 − 被 Slash 的期望损失 − 资本锁定成本（Staking 保证金）

令这个等式成立的门槛不低。以2026年初的典型配置为例：一台配备四块A100 GPU 的验证节点，硬件成本约四万美元以上；在高电费地区（如西欧或日本），每日电费可能高昂且难以在短期订单中摊薄。在低价竞争区域（如电力成本极低的地区），证明者可以报出更低价格获取订单，但也使得无法享受电价套利的参与者被迫退出。

这就引出了证明市场与工作量证明区块生产之间的关键差异。后者收益主要由币价和网络难度决定，参与者可以通过算力池均摊方差。但证明市场的订单差异很大：一个Rollup的大批量证明任务和一个隐私身份单次验证任务的计算量和报酬完全不同。证明者需要根据不同任务类型动态调整资源分配，这种运营复杂度是纯粹的哈希竞赛所不具备的。

5.4 代币经济模型：支付媒介还是安全抵押？

Succinct 的 PROVE 框架被设计为兼具两重功能的 token：一是交易媒介，请求者用它来支付证明费用；二是安全抵押，证明者需要锁定其作为诚实性保证金。当证明者提交无效证明或未能按时完成时，锁定的 token 被协议削减（slash）并部分补偿给受影响方。

这种双重角色设计有其逻辑内在张力：若 token 价格波动极大，作为支付媒介的稳定性受损；若锁定门槛定得太高，证明者的进入壁垒随之抬升。2026 年的去中心化证明网络普遍倾向于“小额支付+高安全抵押”的组合，而长期是否能维持平衡，还要观察网络参与规模的增长与 token 流动性的发展。

5.5 对需求方的隐性成本

去中心化证明市场并非让开发者“完全甩手”。买卖证明服务的过程本身需要支付链上 Gas 费，智能合约锁定和释放资金同样消耗链上资源。在以太坊主网等 Gas 价格不可忽略的环境中，高频小额证明请求的单位总成本中，链上结算可能占掉不可小觑的比例。这也是为何证明市场在 Layer 2 或专用结算链上孵化，比直接在主网上落地更具经济合理性。

第6章信任假设与攻击面：去中心化证明真的可信吗？

将证明外包给一个由陌生人组成的去中心化网络，安全吗？答案是：密码学上相对安全，经济学上需要持续警惕。这不是敷衍，而是因为“安全”一词在证明市场中有多个层次。

6.1 有效证明的密码学安全

在大多数去中心化证明网络采用的“有效证明”（Validity Proofs）模型中，一个无效证明是无法通过验证算法的。换句话说，如果恶意证明者试图伪造结果，链上验证合约会拒绝该证明，支付不会完成，请求者的资金不会流失。这是 ZKP 的基本属性，不因为证明者是谁而改变。

但这只是第一层。密码学安全的前提是：验证时所使用的公开参数（verification key）、约束系统（constraint system）和所用的密码学假设（离散对数困难、哈希函数抗碰撞等）没有被破坏。因此，一个证明网络的安全不等于“不需要信任任何人”，而是“信任的边界被压缩到了密码学假设和协议实现正确性上”。

6.2 审查抗性：足够去中心化，还是新的矿池？

去中心化证明市场相较单点服务的最大卖点是审查抗性：如果某个证明者拒绝处理某类任务，市场机制本身可以自动将任务分配给其他节点。这与只有单一运营商的 Bonsai 时代相比，是一项质的改进。

然而，审查抗性的敌人不是中心化接口，而是算力集中。假设一个证明网络中，八成的计算任务最终落入三个拥有大规模GPU集群的专业团队（类比比特币的头部矿池）。从协议结构上看，网络仍然是去中心化的——任何人都可以接入；但从实际运行看，少数寡头掌握了有效算力。这些寡头若达成共识屏蔽某类电路或某类请求来源，实际审查效果与中心化服务相差无几。

2026 年尚无成熟数据支撑证明市场的集中度分析，但以太坊验证权和比特币区块生产权的历史已经给出足够警示：去中心化协议在物理和经济层面对抗资本集中化的难度，远大于协议设计层面的理想化假设。

6.3 拒绝服务与资源耗尽攻击

恶意行为者还可以发布大量计算量巨大但支付极少的证明请求，消耗整个网络的证明者算力。这类攻击的预防措施在传统经济学中早有研究：预付费/保证金机制、计算上限和信誉评分系统。

预付费要求请求者在提交请求时锁定足额资金，在网络不正常完成任务前无法撤回。计算上限由网络设定每个请求的最大上下文步数，避免无限循环或病态程序耗尽节点。信誉系统则根据任务发布历史为请求者打分，低信誉账户的优先级或允许发布的任务类型将被限制。

6.4 硬件供应链与后门风险

业界对证明加速硬件（尤其是 ASIC 和定制 FPGA）的可信度讨论仍然不足。如果硬件制造商在 FPGA 比特流或 ASIC 芯片中植入可触发错误证明的后门，或在特定输入组合下诱导计算捷径，那么整个证明市场的密码学根基都将动摇。可信执行环境（如 Intel SGX 或 ARM TrustZone）能够部分缓解这一风险，但 TEE 自身的安全记录并不完美，且引入了对硬件厂商的额外信任假设。

第7章产业影响：从Rollups到AI验证，跨链桥重构

去中心化证明市场的成熟，将直接重塑多个相邻赛道的技术路径和商业逻辑。

7.1 以太坊的“Lean Execution”路线图

以太坊核心研究员在 2025-2026 年广泛讨论的未来升级方向之一，是让部分或全部验证者从“执行交易”转向“验证零知识证明”。2026 年已有媒体引用 Justin Drake 的预测，认为约10%的验证者可能在当年转向 ZK 证明验证路径。

这一转型的意义远超技术优化。一旦验证者的主要工作变为校验一个短证明而非重放所有交易状态更新，整个链的吞吐量和硬件入围门槛都将有根本性的想象空间。但也正因如此，验证者将极度依赖证明市场所提供的证明质量与可用性。如果证明市场在关键时刻无法交付合格证明，新的安全模型中的“活性”假设（liveness）就会失效。

7.2 跨链桥的信任最小化

证明市场规模的扩大，将直接赋能 ZK 跨链桥的部署。传统跨链桥信任模型的核心弱点是委员会或乐观挑战窗口。而 ZK 状态证明配合去中心化证明市场，可以在不依赖多签和乐观博弈的前提下，使一个链上的轻客户端以密码学确信另一链的特定状态。

在第9期《ZK跨链桥》专题中，我们已深入讨论了桥层面的信任结构。这里需要补充的是：桥本身是“需求方”，去中心化证明网络是“供给侧”。如果没有大规模、低成本、高可用性的证明市场，Z K 轻客户端桥只能继续依赖自建证明节点或中心化外包，无法真正实现其信任最小化的理论承诺。

7.3 AI推理的可验证性

Succinct 在 2026 年参与推动的第二大非区块链场景是 AI 推理验证。设想一个闭源 AI 服务商声称自己使用了 GPT-4 级别的模型响应用户查询。用户如何在不获取模型权重、不自行重跑推理的前提下，确认对方的承诺为真？ZKP 可以嵌入其中，证明“存在一个给定参数的神经网络，对给定的输入产生了特定的输出”。而将这一证明任务规模化外包给去中心化证明网络，才能保证在工业级 AI 交互频率下，该验证路径的经济和技术可行性。

7.4 可验证身份与电子投票

在第8期关于数字身份的讨论中，我们介绍了 EU eIDAS 2.0 下的隐私身份钱包。这类系统中，每一次属性验证（例如向某个服务证明“我的年龄大于18岁”而不透露具体出生日期）都可能需要一个证明。如果将这类高频、低单笔价值的证明请求集中交由商业服务商处理，成本和隐私双重承压。通过接入证明市场，身份验证可以从机构专属服务转变为公共可用的去中心化基础设施。

第8章未来挑战与总结

8.1 标准缺失与互操作困境

截至 2026 年中，证明请求的标准格式、不同 zkVM 之间的证明互认、以及跨链的结算合约调用格式，仍处于碎片化的生态格局中。Succinct、RISC Zero、StarkWare 和 Mina 各自拥有独立的技术栈和生态话语权。标准化组织（如 ZKProof 社区）的工作仍在进行中，但距离形成可强制执行的行业标准仍有距离。对开发者和终端用户来说，这意味着迁移成本和生态锁定风险。

8.2 隐私侧信息泄露

零知识保护的是“秘密输入”不被泄露，但并不保护“元数据”。证明请求本身携带的信息——请求时间、电路类型、请求者地址、响应延迟——可以被网络观察者采集并建立关联图谱。如果某身份验证请求总是在特定事件后几秒发出，外部观察者即便不知道证明内容，也可能推断出用户的活动模式。抵抗这类侧信道的防御手段（如混合网络、请求批处理和延迟发布）在当前的证明市场中尚未普及。

8.3 监管的灰色边界

证明网络所处理的任务，其合规性归属取决于其最终用途。如果某个证明请求被用于验证恶意智能合约的执行，证明者是否因此需要承担法律责任？这一问题的答案在不同法域之间尚未统一。与此同时，包含功能性 token 的支付激励模型也持续面临证券监管部门的审视。2025-2026 年，美国证券交易委员会对多个基础设施类项目的执法案例已经表明，“技术中立”不是监管豁免的自动通行证。

本文不涉及任何投资建议、代币估值判断或收益推广。仅从技术架构和经济模型层面进行分析。

8.4 总结

证明市场的崛起，标志着零知识证明从实验室工具到公共基础设施的关键跃迁。Succinct 的主网上线和 RISC Zero 的 Boundless 并非终点，而是去中心化计算市场大变革的序幕。2026 年，尚没有一条网络达到完全成熟的去中心化状态，竞争的定价模型、硬件门槛和互操作困境仍在持续。但可以确定的是：证明不再是少数团队的专利，它正在成为数字世界中的通用电力——可交易、可验证、按需获取。

未来几年的核心观察点包括：证明市场的算力集中度是否可控、跨 zkVM 标准能否形成、以太坊等主链的验证者转型进度，以及监管框架如何为这个全新的密码学经济领域划定边界。

参考文献

Succinct 主网上线与 PROVE 框架启动（2026年7月） — The Block: https://www.theblock.co/post/365606/succinct-mainnet-prove-token
Succinct Network 协议架构介绍 — Succinct 官方博客: https://blog.succinct.xyz/succinct-network
Boundless：RISC Zero 去中心化证明市场文档 — RISC Zero 官方文档: https://dev.risczero.com/api/generating-proofs/remote-proving
以太坊 ZK 技术路线图 2026 概览 — Cointelegraph via TradingView: https://www.tradingview.com/news/cointelegraph:0ed029ff4094b:0-2026-is-the-year-ethereum-starts-scaling-exponentially-with-zk-tech
Zero-Knowledge Proofs in 2026: Production-Ready? — Wavect 技术分析: https://wavect.io/blog/zero-knowledge-proofs-production-2026
ZKP 市场行业报告 2025-2034 — DataIntelo: https://dataintelo.com/report/zero-knowledge-proof-market
从零散到市场：RISC Zero 与 Boundless 技术解读（中文） — Medium 技术分析: https://medium.com/@0xjacobzhao/…（中文技术解读）
Aethir 2025 年度总结与 2026 路线图 — Aethir 官方博客: https://aethir.com/blog-posts/aethirs-2025-wrap-up-decentralized-gpu-cloud-milestones
Zero-Knowledge Proof Market Size (Grand View Research) — 市场规模数据: https://www.grandviewresearch.com/industry-analysis/zero-knowledge-proof-market-report
RISC Zero GitHub 开源主仓库 — 开源实现与文档: https://github.com/risc0/risc0
=nil Foundation 官方资源 — Mina 递归证明与通用计算外包: （需从 =nil 官方渠道核实最新技术文档 URL）
Gevulot 开源无许可证明者网络 — （需从项目官方渠道核实最新文档）
ethproofs.org 公开成本追踪器 — 2025年区块平均证明成本变化数据

本期正文完。所有密码学引述基于公开论文与行业文档，不构成安全审计结论。涉及技术实现时，均为概念性说明，未经全面形式化验证。