От сайдчейна к zk-rollup: Tacit Chain хочет перестроить платежи с приватностью по умолчанию

Автор: ross.wei (@z0r0zzz)

Перевод: AididiaoJP, Foresight News

Насколько хорошо работает криптоплатеж? Есть вполне конкретный критерий проверки: можно ли купить на него кофе. Кофе продается повсюду; если продавец сочтет процесс слишком медленным или недостаточно похожим на «деньги» и откажется его принимать, значит, эта платежная система не прошла проверку.

Для переводов и накоплений блокчейна уже достаточно, небольшую задержку можно терпеть. Но офлайн-платежи — это другое дело. Вы смотрите на продавца, он смотрит на вас. Никто не станет слушать объяснения вроде «эти деньги очень безопасны, вы сами для меня — банк». Продавцу нужно просто получить оплату и отпустить вас дальше.

Поэтому платежи должны быть быстрыми, но одной скорости недостаточно. Крайне важна конфиденциальность. Если после покупки продуктов ваша геотраектория утечет, за вами могут начать следить и даже угрожать физической расправой; или же через десять лет ваши данные о покупках извлекут с помощью суперкомпьютера — такое нельзя назвать работающим платежным решением.

Именно на эту проблему направлен Tacit Chain: прототип платёжного zk-rollup, который обеспечивает конфиденциальность транзакций сегодня и резервирует «постквантовую» защиту на будущее для более совершенных машин.

Рис.: Классический мем «Скрывающий боль Гарольд» (Hide the Pain Harold), часто используемый для высмеивания неловкой ситуации при ожидании оплаты

Один кофе — жесткий стандарт для криптоплатежей

Сначала посмотрим на решения по ускорению. Самое прямое — сайдчейн: отображение активов основной цепи на более быстрый реестр, контролируемый консорциумом или оператором. Пользователи блокируют монеты на основной цепи, получают анкорированное удостоверение на сайдчейне, тратят их быстрее, а в идеале могут свободно вывести средства в любой момент. С биткоином так делает Liquid, где группа компаний хранит средства через мультиподпись.

Но доверие к сайдчейнам сильно различается, и само слово «сайдчейн» слишком широкое. Часто приводят аналогию: запись долгов на салфетке в баре с последующим расчетом — это тоже своего рода сайдчейн. Основная цепь не знает, что происходит внутри сайдчейна, и не может вас защитить.

Балансы на сайдчейнах больше похожи на подарочные карты: компания дает вам виртуальный баланс для трат, теоретически его могут аннулировать в любой момент, поэтому защита опирается только на рациональные стимулы оператора и базовый риск-менеджмент.

Каналы состояния напоминают барную отсрочку платежа. Пользователь и торговец, или маршрутизаторы канала, сначала блокируют средства в общем счете основной сети, а затем передают расписки через подписанные сообщения. Кто попытается рассчитать по старому балансу, противник предъявит обновленную подпись, чтобы отменить операцию. Представитель — Lightning Network. Он относительно не требует доверия и подходит для платежей, но пользователи должны постоянно находиться онлайн для контроля и предотвращения мошенничества со стороны контрагента, что снижает удобство.

От Optimistic rollup к zk-rollup: компромиссы скорости вывода средств

Rollup — самое частое решение, которое вспоминают, говоря о «быстрых блокчейнах». Он запускает отдельный реестр, сжимает транзакции в пакеты и отправляет записи в основную сеть. Аналогия с фруктовым рулетом очень удачна: пакет пережевывает фрукты в маленький кармашек, но вы должны иметь возможность вскрыть его и проверить, действительно ли там фрукты. В блокчейне это означает, что после отправки пакета он должен подлежать проверке.

Рис.: Схема лакомства Strawberry Fruit Roll-up, автор использует её как аналогию принципа работы Rollup по сжатии и упаковке транзакций с возможностью их распаковки и проверки

Optimistic rollup по умолчанию считает транзакции действительными, поэтому стоимость отправки низкая, скорость высокая, такие сервисы, как Base и Robinhood, выигрывают от этого, но вывод средств занимает много времени. Секвенсор определяет порядок, оператор или партнер отправляют пакеты и результаты в Ethereum.

Если в пакете есть проблемы двойного spending, расхождения балансов и т.д., любой пользователь может запустить повторную проверку, указать на ошибку и выиграть спор на Ethereum. Залог злоумышленника будет конфискован, а челленджер получит награду. Проблема в том, что механизм требует времени на подачу вызова, поэтому вывод средств пользователями часто занимает около недели.

zk-rollup идет по другому пути: перед отправкой генерируется доказательство действительности, которое Ethereum проверяет при получении пакета. Если доказательство не проходит, пакет вообще не попадает в основную сеть. Ему не нужна схема «сначала оптимизм, потом вызов», поэтому нет долгих ожиданий споров.

Рис.: Схема процесса обработки пакетов транзакций ZK Rollup и отправки доказательств SNARK/STARK в основную сеть, составленная Messari

Tacit Chain: платежи превращены в «черный ящик», подтверждение служит гарантией

Tacit Chain следует маршруту zk-rollup, но сужает фокус до платежей. Платежные сценарии требуют меньше вычислений, поэтому пользователям удобно самостоятельно доказывать действительность своих платежей, а сообщества GPU обрабатывает пакеты блоков.

Устройство пользователя доказывает действительность одной транзакции, при проверке rollup ему не нужно знать, кто кому отправляет и какой суммы. Затем второе доказательство проверяет корректность обработки всего пакета платежей, и только после этого Ethereum принимает его.

Роль секвенсора в Tacit называется «лидером» (leader), его можно представить как очередного оператора. Когда приходит очередь, он отвечает за сортировку платежей и отправку в смарт-контракт верификации на Ethereum — TacitBlocks.sol. Контракт регистрирует блоки, проверяет действительность и предоставляет данные для вывода средств.

Владение 1000 токенами TAC позволяет занять место в графике для получения права ротации; если лидер бездействует, спустя 10 минут любой другой может взять эстафету. Услуги лидера оплачиваются в TAC, который также является внутренней валютой данного rollup.

Верификаторы зарабатывают TAC через программу вознаграждений, выполняя полезные доказательства, а не тратя вычислительную мощность на хэш-головоломки. Присоединиться может каждый, у кого есть GPU.

Комиссии также выплачиваются в TAC. При входе пользователь приобретает «долю», и этот реестр позволяет протоколу поощрять тех, кто остается, расширяя набор анонимности. Часть каждой транзакции и небольшая комиссия при каждом выводе остаются в общем пуле, а не идут посредникам. Поэтому при каждой отправке ценность каждой доли немного возрастает.

Чем активнее используется сеть, тем выше растет цена доли, а комиссии могут снижаться: чем больше платежей в одном блоке, тем ниже стоимость финализации на Ethereum на каждую отдельную транзакцию.

Протокол не берет процент, любой может запустить узел ротации и зарабатывать на комиссиях за платежи, поступающие туда. После роста TAC ликвидитору и верификатору хватит продажи меньшего количества токенов для покрытия расходов на ETH gas и GPU.

Рис.: Панель управления узлом Proof GPU Tacit Prove и интерфейс детализации вознаграждений за доказательства блоков

Концы входа и выхода: мгновенный вывод и мосты между ETH и BTC

Войти в Tacit Chain можно через Ethereum. Держателям TAC, полученных через аирдроп, не даже нужен gas: процедура выполняется через мета-транзакцию permit по стандарту EIP-2612. Нет TAC? Их можно купить на DEX или заработать на заданиях и подтверждениях транзакций. Вход с Bitcoin возможен через «быстрый мост» с атомарным обменом с провайдерами ликвидности или через стандартный мост.

Цель — не создавать еще одну сеть, раздирающую ликвидность и dApps между BTC и ETH. Tacit планирует стать zk-rollup с собственной нативной валютой, децентрализованным мостом с Ethereum и подключением через мост к Bitcoin; затем, используя неизменяемый приватный пул, скрыть активы BTC, производные токены BTC, ETH, ERC20 и другие с обеих цепей.

Рис.: Интерфейс пояснений касательно накопленного увеличения стоимости долей (share) держателей токенов Tacit Chain и распределения комиссий

Вывод не придется ждать неделю. Пользователи могут мгновенно вернуться к TAC в формате ERC20, затем скрыть эти токены через мост Tacit обратно в Bitcoin или использовать во внутреннем DeFi, например, предоставляя ликвидность (LP) или обменивая их.

Принудительный вывод работает через отдельную очередь: force() ставится в очередь на Ethereum; если какой-либо блок пропускает запись дольше 1 часа, заданную FORCE_DELAY, срабатывает откат QueueOverdue(). Таким образом, лидер может задержать вывод максимум на ~1 час, плюс окно безопасности.

Квантово-стойкая конфиденциальность: записи ончейн сегодня не будут раскрыты завтра

Поддержание конфиденциальности сегодня — одно дело, а поддержка ее завтра — совсем другое. Транзакция, попавшая в блокчейн, становится постоянной записью. Tacit Chain формирует заметки (memo), прилагаемые к пользовательским платежам, в квантово-стойком виде. Заметку можно понимать как зашифрованное сообщение получателю: «Вы получили деньги, вот сумма».

Эти заметки упакованы с помощью ML-KEM. ML-KEM выиграл конкурс стандартов постквантовой криптографии от NIST. Даже если кто-то сегодня скопирует все ончейн-платежи и откроет их позже, когда квантовые компьютеры станут достаточно развитыми, заметки не должны легко поддаваться взлому.

Автор считает, что Tacit Chain соответствует стандартам L2 «второго этапа». Что касается контроля, ключевые контракты TacitBlocks и TacitSeats не имеют владельца, путей обновления или мультиподписи; валидаторы, ключи блоков, задержки и токены полностью неизменны.

Валидатор жестко фиксирован на SP1 Groth16 Verification Leaf, а не на обновляемом шлюзе. Стандарт второго этапа требует оставить 30-дневное окно вывода средств на случай ненавистной пользователям обновы; здесь просто нет никаких обновлений, о которых нужно было бы предупреждать.

На уровне доказательств это rollup действительности, здесь нет набора участников децентрализованных доказательств мошенничества. В течение 10 минут после каждой финализации только лидер может отправить блок; после этого любой может отправить его.

На этапе вывода force() ставится в очередь на Ethereum. На уровне данных данные отправляются на Ethereum через calldata, благодаря чему узлы могут восстановить полное состояние.

Одна зависимость заключается в том, что межпульские перемещения и миграции проходят через закрытый пул V1, поэтому приходится доверять его архитектуре. Пул V1 также неизменяем, не имеет путей обновления, и с него нельзя слить средства. Вывод обратно на Ethereum осуществляется обычным переводом TAC внутри контракта и не зависит от V1.

Будущее: кофе уже можно купить, следующий шаг — снижение затрат и выборочная миграция

Платежи — лишь начало. Покупка кофе этим способом уже доступна: продавец видит поступление средств в момент отправки, а финальное подтверждение на Ethereum занимает около 1 минуты. По мере усиления участников и пула доказательств время подтверждения может приблизиться к 30 секундам; blobs уже встроены, что позволит снизить затраты до менее чем 1 цента.

Торговцы могут вывести TAC на Ethereum или на Bitcoin. Если не хочется держать TAC, их можно обменять на нужную валюту в закрытом пуле внутреннего DEX.

Более отдаленные перспективы включают запуск программ и внутренних смарт-контрактов, а также подключение других активов. Для этого в Tacit Chain предусмотрена операция migrate, позволяющая перейти на новую версию, но она происходит исключительно по выбору пользователей. Что важнее, обновление не нарушает анонимность: какие именно заметки были перемещены и на какую сумму, не раскрывается.