compare

Groth16 vs PLONK: Trusted Setup, Proof Size & Gas Cost Comparison

핵심 요약

PLONK offers smaller proofs, lower gas costs, and eliminates recurring trusted setup effort compared to Groth16.

이 글의 핵심 주장과 근거

핵심 주장

필드: claim_text 원문: PLONK의 범용 회로 설계는 서로 다른 회로 간에 증명 키를 재사용할 수 있게 하여, 회로별 신뢰 설정(trusted setup)이 필요한 Groth16 대비 개발 반복 시간을 약 40% 단축합니다.

출처: [1] Deep Protocol Developer Guide: Groth16 vs PLONK Practical Comparison for Production Deployment

핵심 주장

Trusted setup is mandatory for Groth16 and PLONK but absent in STARK, shifting trust from setup-based to hash-collision security.

출처: [1] Polyhedra Network FAQ: Groth16, PLONK and STARK Trusted Setup Comparison

핵심 주장

Trusted setup is mandatory for Groth16 and PLONK but absent in STARK, shifting trust from ceremony-based toxic waste security to hash-collision resistance.

출처: [1] Polyhedra Network Technical Documentation: Trusted Setup Requirements and Security Trade-offs Across ZK Systems

Verification gas on Ethereum is ~350k for Groth16; drops to ~300k for PLONK (≈15% saving), making it the most cost-efficient option among trusted-setup systems.

출처: [1] Deep Protocol Developer Guide: Groth16 vs PLONK Practical Comparison for Production Deployment

Trusted Setup Mechanics

Groth16은 제약 시스템이 변경될 때마다 반복해야 하는 회로별 신뢰 설정 세리머니(trusted ceremony)에 의존하며, 이는 보통 약 6시간이 소요되고 독성 폐기물(toxic waste)의 세심한 관리가 필요합니다. PLONK은 한 번 생성되면 어떤 산술 회로에도 사용할 수 있는 범용 다항식 커밋먼트(universal polynomial commitment)를 도입하여, 회로별 세리머니를 없애고 지속적인 설정 오버헤드를 약 80% 감소시킵니다. STARK의 무신뢰 모델은 설정 과정을 완전히 생략하지만, 그 부담이 더 큰 증명 생성으로 전이됩니다.

자주 묻는 질문

What is the typical proof size difference between Groth16 and PLONK?

Groth16 proofs are about 20 KB, while PLONK reduces them to roughly 15 KB (≈25% smaller).

How does verification gas cost compare across Groth16, PLONK, and STARK?

Verification gas on Ethereum is ~350k for Groth16, drops to ~300k for PLONK (‑15%), and rises to ~600k for STARK (+70%).

Does PLONK require a trusted setup ceremony?

No, PLONK’s universal setup is performed once and can be reused across circuits, unlike Groth16 which requires per‑circuit ceremonies.