开发者

Rand 是开源的。全节点、浏览器、桥、证明研究以及钱包客户端,各自位于 GitHub 上独立的代码仓库中。阅读代码、运行测试、提交补丁。本页是一张地图:每个组件位于何处、用什么构建、证明系统已经走到哪一步,以及它目前止步于何处。

代码仓库

技术栈

从头到尾都是 Rust。Rand 是一条独立的链:HotStuff BFT 节点搭配 libp2p gossip 层,以完全屏蔽的 note 池作为账本,采用后量子签名与 note 加密,并以 Rand zkVM 承担机密计算,这一切都在全节点仓库中。证明系统本身是仍在积极研究的部分,见下文。

适用于所有程序的统一关系

白皮书中的通用执行关系 R_exec 已经以代码形式存在:rand_zkvm,一台在 Goldilocks 域上、基于 Plonky3、由单个批量 STARK 证明的 RV32IM 机器。它证明的是:某个踪迹(trace)在由加盐的 H_IN 所承诺的输入上运行了程序 hc,得到这些公开输出;而程序本身从不作为验证器的参数。发布一个机密程序,意味着登记一个哈希,而不是生成一个定制电路。

该证明系统是透明的,无需可信设置,也不需要配对曲线,其安全假设是抗碰撞哈希。其他所有涉及证明的组件,预期都将收敛到这个 crate 上,而不是各自另起炉灶。该 crate 位于 zkp-circuits/research,并以约束集 8 内置于全节点(circuits aeacf31,fullnode v0.6.7 与 v0.6.8)。除非某一行指明了更晚的约束集,下文的表格与测量均描述约束集 5(里程碑 M4.2);数据取自 fullnode 的 docs/zkvm.md、docs/zkvm-milestones.md 和 docs/confidential.md,截至 2026-09-13,测量值均为在 Apple Silicon 笔记本上的实测值,而非目标值。

八张表挂在具名总线上,第九张按需出现

一次承诺,一次 FRI 开启。各表之间从不相互调用;它们通过具名的 LogUp 总线(PROGRAM、PROGRAM_WORD、MEMORY、ALU、POSEIDON2、INPUT_DIGEST、INPUT_READ、KECCAK,以及范围查找和半字节查找)交换事实,验证器检查每条总线在全局上是否平衡。每张表的最大约束度数都由测试固定在 FRI 膨胀系数所允许的上限 8 之下。

此后又落地了三个约束集。约束集 6 新增了一张必选的 public 表,用于程序部署时的公开输入,绑定到未加盐的摘要 H_PUB,并在 keccak 旁新增了可选的 sha256 表。约束集 7(chain 16)在新的 BLIND 总线上对每个 LogUp 终值加盲,并将每张已声明的表的行数下限定为 2⁷,同时新增了绑定长度的 POSEIDON2_LEN 系统调用。约束集 8(chain 18)在 cpu 表中新增了 GAS 列,以及一个公开值,即声明的 GAS_LIMIT。

证明会揭示什么

公开: 代码哈希 hc(八个电路内摘要字)、加盐的输入承诺 H_IN(八个字)、gas 层级(tier),以及八个输出字。自约束集 6 起还有 H_PUB,即公开输入的摘要;自约束集 8 起还有声明的 gas 上限。证明头部声明了 Keccak 和 SHA-256 表的高度,因此它会显示一次调用是否做过哈希,以及在 2⁷ 下限之上大致做了多少。

隐藏: 私有输入(H_IN 是加盐的,因此既隐藏又绑定);每一个指令字,因为验证器检查的是 hc 而从不检查程序;每一个寄存器和内存值;每一次所走的分支;确切的周期数和确切的 gas 消耗;以及运行过哪些系统调用,但两张哈希表的高度所显示的部分除外。

每个证明的层级(tier)是公开的,因为 STARK 的大小本身就会暴露其踪迹高度;隐藏索引不会带来任何好处。hc 是绑定的,而不是隐藏的:见目前止步于何处。

实测,约束集 5

Apple Silicon 笔记本,release 构建。M2.3 中的字节表拆分改变了证明时间;80 次查询的配置则使证明大小重新上升。验证器密钥与程序内容无关,由 tier 以及证明所声明的程序、输入和 keccak 高度作为键,因此节点只需预热一个密钥并反复复用。

后续的约束集调整了证明大小。在约束集 7 下，生产配置中层级 10 的证明为 1,367,688 字节，携带 Keccak 的层级 10 证明为 3,283,898 字节（2026-09-28 实测）。自 chain 17 起，一笔转账携带两个证明：层级 14 的打包证明，约 1.49 MB；以及层级 10 的授权证明，约 1.37 MB，证明耗时约 7 秒。Chain 20 的创世配置将区块上限设为 20 MiB，证明上限设为 4 MiB，且单次调用不得超过层级 14。

三个目标，一个电路

只有 RISC-V 原生执行。Solidity 和 Solana 程序有两种方式：一是在同一关系内的解释器 guest 上运行，以其字节码作为输入；二是在链下翻译为 RISC-V 程序，其输出与解释器的输出逐字一致。开销大的操作码需要专用的协处理器表，而不是逐位模拟。

里程碑

里程碑 1 证明了通用机器。里程碑 3 将其变为屏蔽池：带电路内成员资格证明的转账在 R_exec 下完成证明，验证者在不接触任何程序字的情况下检查 hc。里程碑 4 是兼容性：其加载器、输入承诺和 Keccak 表作为约束集 4 和 5 发布，SHA-256 表随集合 6 发布。EVM 和 sBPF 解释器 guest、rand-guest 工具链以及两个翻译器均已构建完成。ERC-20 转账已在一台 128 GB 的机器上完成证明；层级 20 的 SPL Token 证明尚未完成。里程碑 5 是区块聚合背后的递归虚拟机，已构建完成，在所有链上均处于关闭状态。约束集 7 和 8 紧随 9 月的评审和 gas 模型之后。

屏蔽池阶段

fullnode 的账本分三个阶段落地，每个阶段都是一次硬分叉（docs/shielded.md §7）。S1 用票据池取代了账户账本；S3 将桥以票据的形式带回，并率先落地；S2 在其上加入了质押。三者均已在 main 上，并在当前链上运行。

下表 S2 以下各行是 v0.5 的工作。每一行都是一次硬分叉;它们合在一起作为一条全新的链,即 chain 14,于 2026-09-20 基于构建 b3c594c 切出,并在通过已部署源端点完成一次 zUSD 实网往返之后,于同日标记为 v0.5。Chain 15 自 2026-09-26 起在 v0.5.8 及之后版本上运行,承载了全部这些内容,并启用了审计 v4 与 v5 中以创世区块为开关的修复:带白名单且每个 epoch 有额度的水龙头、延迟生效的质押激活、质押权重上限、与创世绑定的注册、consensus_domain 1、桥规则 v2,以及代币注册表的数量上限、被销毁的注册费和 2⁶³ 的票据上限。Chain 20 自 2026-10-01 06:17 UTC 起在 v0.6.8(c9c9bd3c)上运行,是 chain 19 的一次硬分叉,保留以上全部内容,并加入 v0.6 各版本的工作,见下文。

v0.5 之后的版本

每个版本都是一个 git 标签,并在 fullnode 的 CHANGELOG.md 中有一条记录。改变共识、线路格式或验证密钥的版本会随一条新链发布;其余版本则逐节点滚动上线到运行中的链上。

目前的局限

与白皮书的偏差,如实陈述而不粉饰。每一项都在相应 crate 自己的文档中跟踪,并标明了弥补它的里程碑。

• hc 是绑定的但不是隐藏的:它不带盐,因此可以确认对某个程序的猜测,同一程序的两次部署也可以相互关联。M3.4 消除的是验证者以明文持有整个程序这一点。
• 2026-09-21 之前构建的钱包会向其节点请求见证,而见证请求会指明即将花费的叶子。当前的 rand 自己保存一份树的副本,从不发出请求;节点仍为旧钱包提供 rand_getWitness。
• 存款在边界处是公开的:水龙头铸币、创世 note 和跨链桥存款都以明文携带其金额(自链 14 起,铸币和创世 note 还携带其 opening,因此所有者密钥也是公开的),这与任何地方从透明地址到 shielded 地址的存款所具有的单跳可见性相同。
• 零知识是统计意义上的,而非完美的。这正是 Plonky3 0.7 的隐藏式 FRI 实际提供的性质,crate 中也如此说明。
• 转录哈希是带开发用轮常数的 Poseidon2,而不是论文中的 SHA3-384 / BLAKE3-384。只需更换配置,无需重写。
• 在 80 次 FRI 查询下,bundle 证明在链 14 和 15 上约为 1.42 MB(截至链 13 约为 1.3 MB)。自链 17 起,一笔转账携带约 2.85 MB 的证明:bundle 证明约 1.49 MB,授权证明约 1.37 MB。在默认链上,区块为 4 MiB、证明上限为 2 MiB 时,含 Keccak 的证明会直接超出证明上限;链 20 的创世设置了 20 MiB 的区块和 4 MiB 的证明上限(链 13 至 16 设置为 8 MiB)。
• 调用证明的头部不是隐藏的。它声明了层级以及 Keccak 和 SHA-256 表的高度,因此可以看出一次调用是否进行了哈希。在 v0.6 prover 下限之前于链 15 上提交的调用暴露得更多:行数少于 2⁷ 的私有表可以从证明中读出。v0.6 prover 下限对新的调用堵住了这一点,而约束集 7 连同 hardening_v6 自链 16 起将其变为链的规则。
• 一次调用的上限为第 14 层,最多 2¹² 行 Keccak(128 次置换)和 2¹³ 行 SHA-256(128 次压缩);在 hardening_v6 下,超过 8,180 个字的程序无法部署。EVM 和 sBPF 解释器 guest 以及翻译后的 ERC-20 和 SPL Token 镜像都超过了这个大小。
• 持有见证的一方能看到一切。零知识保护的是验证者的视野,而不是 prover 的。自链 17 起,钱包可以把 bundle 证明交给配对的 rand-prover,而无需交出花费密钥,但该 prover 仍持有 viewing key,能看到这些 note。CUDA 后端于 2026-09-28 首次在硬件上运行,目前尚无生产环境的测量数据。

仓库结构

fullnode 的 Cargo 工作区,按其 README 和 crates/ 目录所示。

已规范但尚未交付

这些组件在论文或 fullnode 的文档中有所描述,但并未运行:要么不在仓库中,要么已构建但未在任何链上启用。列出它们,是为了让规范与代码之间的差距一目了然,而不必靠推断。

构建与测试

Rust 标准工作流,每个仓库都适用。fullnode 是一个 Cargo workspace,工具链版本固定,并带有一套会通过 TCP 启动真实节点的集群测试。构建时需要将 circuits 仓库检出到其旁边、目录名为 circuits,并且要位于 vendored crate 所同步的那个提交(v0.6.7 和 v0.6.8 为 aeacf31)。zkVM 是 zkp-circuits 中的一个独立 crate,有自己的工具链版本锁定,并附带一个演示,说明机密调用会泄露什么、不会泄露什么。

fullnode:

git clone https://github.com/randprotocol/fullnode.git
git clone https://github.com/randprotocol/zkp-circuits.git circuits   # the sibling directory must be named circuits
git -C circuits checkout "$(sed -n 's/^circuits: //p' fullnode/crates/randprotocol-zkvm/guests-compiled/PROVENANCE.md)"
cd fullnode

# Rust 1.98.1 is pinned by rust-toolchain.toml; first build pulls RocksDB and Plonky3, 10 to 20 minutes
cargo build --release        # target/release/rand-node, target/release/rand, target/release/rand-prover

# All crates; release because STARK proving is slow in debug. One to two hours, mostly proving
cargo test --release

# One machine, two validators
scripts/local-testnet.sh
target/release/rand --rpc http://127.0.0.1:8545 status

位于 zkp-circuits/research 中的研究用 zkVM:

# Toolchain is pinned by rust-toolchain.toml; the first build pulls Plonky3
cargo build --release

# Narrated demo: thirteen proofs, one at production FRI parameters (~6-7 min)
cargo run --release

# Emulator, per-table constraints, cheating provers, ZK, end-to-end, viewing keys, compiled guests (395 tests, ~17 min)
cargo test

fullnode 测试套件在 v0.6.1、16 vCPU 机器上的实测数据:core 521 项测试,node 373 项,client 117 项,作弊证明者(cheating-prover)套件 116 项,隐藏 bundle 作弊测试 21 项(75 分钟),钱包流程 6 项(53 分钟),集群 26 项(44 分钟),zUSD 端到端关卡 2 项(51 分钟)。递归 VM 的生产证明不在该套件之内,所需内存见上文。

运行节点介绍了如何用该构建加入公共 testnet;testnet 创世文件、引导节点(bootstrap peers)和运行脚本随 fullnode 的 deploy/ 目录一并发布,下载页面提供了简要说明。

参与贡献

fullnode 采用 GNU General Public License v3.0(GPL-3.0-only)授权;此前为 Apache-2.0。缺陷和设计提案请在变更所涉及的仓库中提交 issue。欢迎提交 pull request:提交前请运行 cargo fmt && cargo clippy,并保持改动范围集中。可从 fullnode issues 入手。

架构、隐私电路、手续费代币证明以及后量子权衡,均记录在论文页面上的白皮书中。fullnode 仓库自带的 docs/ 目录是本文档中每一页内容的核对依据。