NotesNotes要点

• The paper reveals that inconsistent standards for linear-layer matrix selection in ZK-friendly hash functions create room for malicious backdoors.
• A malicious designer can choose matrices satisfying MDS conditions and security checks while enabling controlled input-to-output mapping.
• In Plonky3, an attacker could control Fiat-Shamir challenges to make verifiers accept invalid claims.
• In Neptune Cash, program digest collisions could bypass transaction validation and enable counterfeit currency.
• In Plonky2, forged Merkle-tree membership proofs could compromise system integrity.
• The study emphasizes that algebraic properties like MDS are insufficient; matrix generation must be transparent and verifiable.

• 论文揭示ZK友好哈希函数线性层矩阵选择缺乏统一标准，存在恶意后门植入空间。
• 恶意设计者可选定满足MDS条件及安全检测的矩阵，实现特定输入到输出的可控映射。
• Plonky3案例中，攻击者可控制Fiat-Shamir挑战，使验证者接受无效声明。
• Neptune Cash案例中，可通过构造程序摘要碰撞绕过交易验证，实现伪造货币。
• Plonky2案例中，可伪造Merkle树成员证明，破坏系统完整性。
• 研究强调仅满足MDS等代数条件不足以保证矩阵可信，生成过程须透明可验证。

• 論文は、ZK友好ハッシュ関数の線形層行列選択に統一基準がなく、悪意あるバックドアの温床となりうることを示した。
• 悪意ある設計者はMDS条件と安全性検査を満たしつつ、特定の入出力対応を可能にする行列を選べる。
• Plonky3では、攻撃者がFiat-Shamirチャレンジを制御し、検証者に無効な主張を受け入れさせられる。
• Neptune Cashでは、プログラム摘要の衝突により取引検証を迂回し、偽造通貨が作成可能となる。
• Plonky2では、Merkle木のメンバーシップ証明を偽造し、システムの完全性を破壊できる。
• MDSなどの代数的条件だけでは不十分で、行列生成プロセスは透明かつ検証可能でなければならない。