pillar

ZK Proof Systems Master Guide: Groth16, PLONK and STARK Comparison 2026

핵심 요약

이 가이드는 개발자가 적절한 ZK 증명 시스템을 선택할 수 있도록 Groth16, PLONK, STARK의 증명 크기, 검증 가스 비용 및 신뢰 가정에 대한 비교 데이터를 통합하여 제공합니다.

이 글의 핵심 주장과 근거

핵심 주장

Groth16 proofs average 20 KB; PLONK reduces size to 15 KB (≈25% smaller); STARK expands to ~45 KB (≈125% larger than Groth16).

출처: [1] ZK Proof Systems Master Guide: Groth16, PLONK and STARK Comparison 2026

핵심 주장

Verification gas for Groth16 is ~350 k, PLONK drops to ~300 k (≈15% saving), while STARK incurs ~600 k (≈70% higher cost).

출처: [1] ZK Proof Systems Master Guide: Groth16, PLONK and STARK Comparison 2026

핵심 주장

Trusted setup is mandatory for Groth16 and PLONK but absent in STARK, shifting trust from setup-based to hash-collision assumptions.

출처: [1] Polyhedra Network ZK-Proof System Architecture and Security Comparison v3

Arithmetic Circuit Compilation

개발자는 먼저 상위 수준의 로직을 저차 다항식으로 표현할 수 있는 제약 시스템으로 변환합니다. Groth16은 Rank-1 제약 시스템(R1CS)을 사용하고, PLONK은 범용 회로 표현 방식을 채택하며, STARK는 계산 과정을 FFT 연산을 통해 검증되는 머클 루트 커밋먼트로 인코딩합니다. 각 프레임워크는 게이트 수와 배선 제약에 서로 다른 조건을 부여하며, 이는 증명자의 복잡성과 전반적인 효율성에 직접적인 영향을 미칩니다.

Trusted Setup Requirements

Groth16은 독성 폐기물(toxic-waste) 파라미터를 생성하는 일회성 신뢰 설정(trusted setup)이 필요하며, 이 파라미터가 유출되면 향후 모든 증명이 위험해집니다. PLONK 또한 세리머니가 필요하지만, 단일 증명 키로 여러 회로에 사용할 수 있는 범용 설정을 제공합니다. STARK는 해시 기반 커밋먼트에 의존함으로써 이 단계를 완전히 제거하여, 신뢰 모델을 투명하게 만들고 양자 내성(post-quantum safe)을 확보했습니다.

Verification Cost Comparison

이더리움 메인넷에서 Groth16 증명을 검증하는 데는 약 350k 가스 유닛이 소모되며, PLONK는 이를 약 300k로 줄여줍니다. 반면 STARK 검증은 대략 600k까지 치솟습니다. 이러한 수치들은 높은 처리량의 롤업과 검증 비용이 핵심 매개변수인 프라이버시 보호 결제 채널 사이에서 각 시스템의 경제적 타당성을 결정짓는 요소가 됩니다.

자주 묻는 질문

What is the relative proof size difference between Groth16, PLONK, and STARK?

Groth16 proofs average about 20 KB, PLONK reduces this to roughly 15 KB (≈25% smaller), while STARK expands to approximately 45 KB (≈125% larger than Groth16).

How do verification gas costs compare across the three systems?

Groth16 verification consumes ~350 k gas, PLONK reduces it to ~300 k (≈15% saving), and STARK incurs ~600 k (≈70% higher cost) on Ethereum.

Which system eliminates the need for a trusted setup?

STARK eliminates trusted setup entirely by using hash-based commitments, shifting trust from setup‑based parameters to collision resistance assumptions.