零知识虚拟机（zkVM）通过把虚拟机语义翻译成执行轨迹上的代数约束，使通用程序能够被可验证地执行。这些约束的正确性至关重要：一条错误的约束可能使系统处于欠约束（under-constrained）状态，从而接受伪造的证明；也可能因过约束（over-constrained）而拒绝合法执行。现有手段在生产规模下都无法提供有意义的保证——模糊测试和单元测试覆盖不足、SMT 求解器难以应对约束的规模与非线性、定理证明器则需要大量人工投入。 本文提出 ZEBRA，一个全自动的验证与缺陷检测框架。其核心洞察是：对于给定程序与输入，约束系统必须恰好允许一条有效执行轨迹，不多也不少。由此，作者把 zkVM 验证归约为“规范轨迹空间上的解集基数问题”，并在计数之前先消除空行填充（null-row padding）、非确定性置换等结构性冗余。为使基数计算可处理，ZEBRA 将分析从有限域 witness 提升到整数区间格，并利用 zkVM 约束的结构稀疏性——在 5 个真实 zkVM 上，约束平均只使用了其理论连接容量的 14.0%——从而实现紧致的区间传播，并把近似误差控制在有限范围内。在此基础上，ZEBRA 执行并行的分支限界（branch-and-bound）搜索：要么给出一个具体的反例，要么证明在给定有界区域内不存在违规。 在 5 个真实 zkVM 上的评测中，ZEBRA 共发现 11 个零日缺陷，其中 6 个已被独立确认、3 个已被开发者修复；与基于 SMT 的验证相比，ZEBRA 速度快 51.5 倍，可验证的实例多 16.5 个百分点，其范围（区间）验证相比逐输入重复验证最多带来 63 倍的效率提升。该工作面向 zkVM／电路开发者与形式化验证研究者，提供了首个在真实系统上可扩展、可自动化的约束正确性检查路径。

本文研究的是零知识机器学习（ZKML）电路中的「冗余检查」问题及其可证明安全的去膨胀（debloating）技术。背景是：面向神经网络推理的零知识证明系统会把模型编译成大规模算术约束系统，其中包含大量范围证明、符号查找（sign lookup）、比特分解等约束。作者指出，这些约束中有相当一部分是「冗余检查」——它们所断言的事实在整条电路上已经被其他远处的组件通过一连串推理关系所蕴含，因此单看局部是必要的，但从全局看其约束力是多余的。删除这类冗余约束能显著缩小电路规模、加快证明生成，但删除必须以严格的可靠性（soundness）论证为前提：一旦删得不合理，电路就会变成欠约束（under-constrained），证明者可以构造出原电路本应拒绝的见证，例如谎称某个神经网络产生了它实际上并未计算过的输出。作者强调这不是假设性威胁——已部署的 ZK 系统中出现过的欠约束电路缺陷，曾使攻击者能够伪造交易并完全绕过验证。 核心方法上，作者提出一个自动化框架：对每一个候选删除的约束，工具首先判断「电路其余部分」自身是否仍然能够排除被删约束原本排除的所有取值。为此，工具使用全电路抽象解释（whole-circuit abstract interpretation）来搜索这些替代性论证，并把它们记录在一张溯源图（provenance graph）中；只有当图中存在一条替代路径仍然能够推导出该约束所检查的事实时，才真正删除该约束。这一「先证明替代论证存在、再删除」的流程，从机制上保证去膨胀后的电路不会为敌手开启新的伪造路径，即在不削弱安全性的前提下完成优化。 实验方面，作者在 ezkl 与 zkml 两个生产级框架生成的 MLP、CNN、RNN 与 Transformer 电路上进行评估，电路规模最高达 2530 万条约束。结果显示，工具可移除最高 48.7% 的约束，并把证明者（prover）耗时最多降低 72.8%，同时不削弱安全性。该工作适合零知识证明工程、ZKML 系统开发者、形式化验证与程序分析研究者，以及关注 ZK 电路可靠性漏洞的安全工程师阅读。

本文提出 ZK-Trace，一种用于联邦式全球导航卫星系统（GNSS）干扰监控场景下的认证共谋追踪方案。在该场景中，一个专有的分类器模型被分发到多个“部分可信”的监测站，任何站点都可能泄露其模型副本，导致知识产权或敏感能力外泄。ZK-Trace 结合了公开身份标记、接收者特定的 Tardos 指纹以及零知识凭据验证，使注册中心能够在不需要泄露者配合的条件下执行离线追踪。研究围绕可验证追踪这一核心问题展开：作者为任意恢复的比特模式建立了条件性误报边界，为隐藏偏差残留信道下的有限完整性边界，以及针对相关特征蒸馏错误的确定性追踪分数边界。为了将条件性边界转化为可执行逻辑，作者引入区间算术检查器，并在指控和篡改决策之间分配公共预算。在无辜行独立的假设下，基于证书的评估将每次调查的误命名预算控制在 0.001。实验在模拟 GNSS 联邦和 CIFAR-10 数据集上进行：特征匹配在 20/20 次运行中保留了特征标记，在 19/20 次跨架构迁移中保留成功，而副本精度损失分别为 4.8 和 6.1 个百分点；仅函数的蒸馏会彻底擦除特征标记，蒸馏也会移除权重空间标记。这些结果证明了在显式统计和密码学假设下可验证追踪的可行性，并厘清了凭据知识与接收者证据各自的不同角色。该研究主要面向模型安全、联邦学习与不可信环境下的溯源追踪研究者，以及关注分布式模型泄露风险的蓝队安全工程师。

本文提出 Sparrow，一种面向数据并行算术电路的空间高效零知识简洁非交互式证明（zkSNARK）方案。zkSNARK 在实际部署中常因证明者空间开销过大而受限，其空间需求可能比原生计算高出数个数量级。Sparrow 首次在固定有限域上实现证明者空间开销随电路规模增长仅呈次对数因子增长，并且相对于已有的通用算术电路空间高效方案，其证明者空间渐近小于电路规模本身。核心创新是一个具有改进证明者时间的空间高效 sumcheck 论证协议，可作为独立构建块。实验针对三类用例（任意数据并行电路、乘法树、批量 SHA256 哈希）表明，Sparrow 相比目前最先进的空间高效 zkSNARK Gemini，总证明者空间减少 3.2–28.7 倍，证明者时间减少 3.1–11.3 倍。在此基础上，作者利用 Sparrow 构建了决策树训练与预测的零知识证明，其空间效率支持大型数据集和多棵树的森林。与基于 GKR 协议的非空间高效最优时间 SNARK 相比，树训练证明者空间减少 16–240 倍，同时证明者与验证者时间及证明大小几乎不变。值得注意的是，证明者所需空间仅略高于原生计算：对于 400MB 数据集，证明者空间约为原生计算的 1.4 倍。该工作显著降低了零知识证明生成的资源需求，为在资源受限环境中部署基于 zkSNARK 的隐私保护与可验证计算提供了更实际的方案。

本文针对央行数字货币（CBDC）银行间结算系统在分布式账本技术（DLT）上运行时所面临的根本性权衡：区块链透明性虽能实现无需信任的验证，却会将商业敏感的双方交易流暴露给所有网络参与者。为化解这一矛盾，作者提出了一种面向许可型以太坊兼容网络的机密银行间结算协议，采用一种宽松的发送方匿名模型，以适配监管机构的反洗钱/反恐融资（AML/CFT）要求。在该模型下，发起机构仍可在链上公开标识以支持问责与合规，而接收机构、转账金额及业务载荷则通过密码学手段隐藏。协议在Hyperledger Besu上基于QBFT共识实现，结合了BN254曲线上的Groth16零知识证明、增量Merkle树中的Poseidon哈希承诺、多接收者ECIES载荷加密，以及一个链上NoteRegistry合约——该合约将加密票据以仅追加账本日志的形式存储，从而免除了对可信链下托管服务器的依赖。协议支持shield、confidential transfer和unshield三种状态转换。实验在五节点网络（三家商业银行、一家央行运营方、一家证券存管机构）中进行，结果表明端到端结算耗时8–16秒，通过EVM预编译实现的证明验证开销约1毫秒（约22万gas），客户端在商用ARM硬件上生成证明需4–12秒。尽管接收方机密性已在协议层面确立，当前概念验证版的NoteRegistry使用了按所有者索引的事件，这一折衷可通过生产环境中的统一事件广播加以解决。该研究主要面向CBDC系统设计者、区块链底层开发者及关注隐私保护的监管科技研究人员。

本文提出一个名为 Distiller 的通用框架，旨在优化概率证明系统（包括交互式证明 IP、简洁非交互式论证 SNARK、概率可检验证明 PCP 等）的前端开销。在过去十年中，概率证明的实现虽受广泛关注，但由于前端需要将抽象计算转换为等价的算术约束，导致实现规模难以扩展。Distiller 的关键思想是：用户不需要将原始计算直接编码为约束，而是可以翻译一个抽象规格说明（abstracted specification），并在此基础上进行约束生成。该框架首次在此领域实现了可证明安全的转换，即转换过程本身具有形式化保证。此外，Distiller 将“在约束中编码检查”的思想推向逻辑极限，从而发现更多减少约束数量的机会。在基准测试中，Distiller 实现了 1.3 到 50 倍的成本降低，部分场景下获得了更好的渐近复杂度。这篇论文主要面向研究概率证明系统、零知识证明、SNARK 编译器及形式化验证方法的研究人员与高级工程人员，核心贡献在于提供了一种可证明安全的通用约束简化方法，为提升证明系统的可扩展性提供了新思路。

该论文针对开放与解耦的6G无线接入网（RAN）中多供应商共存场景下的AI辅助控制安全问题，提出了一种名为Z²-ACT（零知识可审计控制与零信任可验证智能体意图架构）的端到端解决方案。随着6G RAN走向开放化和虚拟化，网络需要承载来自不同厂商的组件，这使得AI控制回路必须同时满足安全性、可验证性和可审计性，尤其是在并发运营商意图和不可信模型输入的环境下。现有研究分别处理了智能体协调、形式化意图约束、零信任提示验证和密码学问责，但未能将这些原语统一集成，导致预实现安全、连续语义验证和跨域审计在单独使用时存在缺口。Z²-ACT将四类原语整合到非实时（Non-RT）和近实时（Near-RT）RIC（无线智能控制器）中：首先将运营商目标编码为类型化意图契约（Intent Contracts）；大语言模型（LLM）的输入必须通过实用的对抗性意图检查才被接受；技能序列只有在满足自管理门控条件时才被释放；每次成功提交都会记录为带有零知识证明的有约束承诺。实验基于公开ColO-RAN测量数据，将完整架构与消融实验及传统强化学习基线进行比较。非实时路径使用真实LLM将运营商意图转换为意图契约，评测指标包括翻译准确率、无效或幻觉契约率、非实时延迟以及面对对抗性或误导性意图的行为；近实时控制基于公开KPM序列进行轨迹驱动。结果表明，该架构在近实时包络内以适度的延迟和信令开销实现了改进的驱动过滤和攻击弹性。本文适合6G网络架构师、安全研究员、RAN智能控制开发人员以及关注AI安全与可验证系统的从业者阅读。

本文针对去中心化金融（DeFi）中跨链交易面临的隐私与监管合规之间的根本性冲突，提出了一种基于零知识证明（ZKP）的可审计跨链框架。研究指出，单链系统中的隐私或透明方案（如公开账本与匿名加密货币）无法同时满足异构跨链环境下的隐私保护和可审计性要求，阻碍了监管机构对DeFi的采纳。该框架集成三个核心组件：其一，利用零知识证明验证交易合规性（如金额非负、签名有效），且不泄露交易细节；其二，引入轻客户端（light-client）机制，实现无需第三方中继的可信最小化跨链验证；其三，基于分布式密钥生成（DKG）的阈值查看密钥（threshold view-key）机制，确保仅在法律触发条件（如FATF旅行规则、MiCA条例）下，授权实体方可进行审计访问。对于跨境调查，框架遵循国家法律和欧盟司法协助指令。工作系统地结合了ZKP、阈值密码学和轻客户端验证，形成一个可审计且保护隐私的跨链协议，为监管科技（RegTech）做出贡献，并为合规、可互操作的DeFi提供了可行路径。该研究适合关注区块链安全、DeFi合规、密码学应用及RegTech的学者和从业者阅读。

随着大型语言模型（LLM）规模不断扩大并主要由远程平台提供服务，验证推理执行的忠实性（即确保提供商确实执行了广告中的模型和计算负载，而不是篡改或缩小版本）变得至关重要。零知识（ZK）LLM推理提供了一种有前景的方法，它承诺公开可验证性，并通过证明输出与在承诺的私有权重下执行公共架构一致，提供每个实例的等式正确性保证。然而，本文表明这种验证并未绑定产生输出所花费的计算量。作者形式化了这个被忽视的'工作量差距'，并引入了一种攻击——Hollow-LLM攻击，其中不诚实的提供商保留声明的架构和参数数量，但嵌入'幽灵权重'，其代数结构抵消了有效计算。这些见证满足验证电路并产生有效证明，即使证明者（即不诚实的模型所有者）执行的计算仅相当于一个远小于声明公共架构的模型。这创造了一种有利可图的平衡：提供商以小型模型的成本交付可证明正确的输出，同时夸大模型规模。为此，作者刻画了与标准Transformer块组合的特定幽灵权重族，并表明这类'空心部署'在相同验证电路下显著降低服务成本，且质量损失为零。这些发现强调，正确推理的证明并非大模型执行的证明，需要额外的保护将正确性绑定到可验证的计算工作。

本文提出 Flock，一种基于哈希的 SNARK（简洁非交互式零知识证明）系统，旨在大幅加速大批量布尔计算（尤其是标准密码学哈希函数评估）的证明生成。在许多 SNARK 应用中，证明大量 SHA-256、Keccak、BLAKE3 等哈希评估是关键瓶颈。Flock 针对同一 R1CS 电路的批量证明进行优化，同时支持哈希链、Merkle 路径开证明，并可扩展至完整的哈希签名验证。其核心技术包括对 lincheck 和 zerocheck 协议的新优化，以及由编码智能体协同设计的激进优化的概念验证实现。实验表明，在 M4 Max 处理器单核上，Flock 每秒可证明 8.2 万次 BLAKE3 压缩函数评估、4.2 万次 SHA-256 压缩和 3 万次 Keccak 置换，开销仅为原生执行的约 250 倍；在十核上，吞吐量超过每秒 66 万次 BLAKE3 压缩。与当前最先进的 Binius64 相比，Flock 在 SHA-256 证明上快 9 倍以上，比最快的椭圆曲线 SNARK 快 500 倍以上。该工作显著降低了批量哈希证明的计算成本，可推动 SNARK 在区块链、可验证计算等场景中的实际部署。

本文针对高保证密码学协议形式化验证实现中存在的性能瓶颈问题，提出了一套通用的优化方法。以 Line-Point 零知识证明（LPZK）协议为案例，首先在 EasyCrypt 中实现了一个形式化验证的 LPZK 实现（未考虑性能），然后通过三步优化获得高达 3000 倍的加速，最终性能与手动优化版本 lpzkv2 相当。三步优化包括：修改算法规范以减少计算复杂度、采用可证明安全的并行执行模型、以及优化内存访问结构。每一步优化都在 EasyCrypt 中形式化验证，并自动合成可执行代码。论文详细分析了每步优化带来的性能提升，并讨论了自动化安全证明和代码合成面临的挑战。该工作表明，通过系统的形式化优化，可以在不牺牲安全性保证的前提下显著提升验证密码学实现的性能，为高保证密码学的大规模应用提供了可行的技术路径。

本文提出了一种针对Paillier密码系统的高效零知识论证系统。Paillier加密是一种同态加密方案，广泛应用于隐私保护计算，如联邦学习和加密数据分析。然而，在实际应用中，需要证明密文满足某些性质（如范围证明、正确性证明等），而现有的零知识证明方案要么具有线性大小的证明和验证成本（专门为Paillier设计的方案），要么使用通用子线性论证系统（如zk-SNARK），但后者需要将关系转化为大布尔电路或素数阶域上的算术电路，导致证明生成成本过高。本文的核心创新在于定义了一个基于合数模剩余类环上的约束系统，并提出了针对该系统中二进制值证明的新技术。然后，作者改编了Bootle等人（EUROCRYPT 2016）的方法，将该约束系统编译为子线性论证系统。该约束系统是通用的，可以表达Paillier密码中的典型关系，包括范围证明、正确性证明、多个密文间明文关系等。更重要的是，该系统支持批量证明生成和验证，当Paillier密文数量达到数百个时，其摊销成本优于现有专有方案。实验评估了多个场景：在打包场景中，将25.6K比特打包到400个密文中，证明这些密文正确计算的证明大小比朴素实现（使用25.6K个OR证明而不打包）小17倍，验证速度快3倍，并且可以几乎无成本地证明附加语句（如子集比特和小于阈值）。在范围证明场景中，证明200个密文的每个明文为256比特，证明大小比现有最优方案小10倍。结果表明，该方案在渐近效率上优于现有协议，特别适用于涉及大量（超过100个）Paillier密文的数据分析应用。本文适合密码学研究人员、隐私保护计算开发者和安全从业者阅读。

本论文提出了一种称为 Caulk 的新型查找参数（lookup argument）及其变体 Caulk+，旨在解决零知识证明系统中高效证明元素属于预定义集合的问题。传统的查找参数（如 plookup）证明者复杂度与数据集大小呈线性关系，而 Caulk 通过结合向量承诺和多项式承诺技术，将证明者复杂度降低至次线性（具体为 O(log^2 n) 或更低），验证者时间和证明大小保持在对数或常数级别。Caulk 的核心思想是将集合的承诺与稀疏求值技术相结合，允许证明者仅访问数据集的子集即可生成证明。Caulk+ 进一步优化了证明者渐近复杂度，适用于更大规模的数据集。实验表明，Caulk 在千万元素级别的集合上仍能保持高效。该工作对区块链、隐私保护计算、存储证明等场景具有重要理论价值，使得简洁零知识证明可以处理更大规模的状态，例如以太坊账户余额验证或存储证明。本文适合密码学研究者、零知识证明开发者及区块链底层技术工程师阅读。

本文提出了一种名为Wolverine的新型零知识证明（ZK）协议，旨在同时满足布尔电路和算术电路的高效、可扩展和低通信开销。现有的ZK协议要么证明者开销大（内存使用高），要么通信复杂度较高（每门至少κ比特，κ为计算安全参数）。Wolverine实现了常数轮交互，证明者运行时间线性，内存使用量渐近最优，与非加密方式评估电路所需内存相当，从而能够轻松扩展到超大规模电路。对于统计安全参数ρ=40，该协议在布尔电路上每门通信约9比特，在大域算术电路上每门通信2-4个域元素。实现结果表明，使用5线程、400MB内存、200Mbps网络，评估具有数千亿门的电路时，布尔电路速率为0.45μs/门，61位域算术电路为1.6μs/门。此外，本文还提出了一种改进的恶意安全子域向量不经意线性评估（sVOLE）协议，具有独立的研究价值。该研究为部署大规模零知识证明提供了高效且实用的方案，适合密码学研究人员、隐私计算工程师以及区块链开发者阅读。

隐私是现代社会中个人的基本权利，但隐私保护技术在日常交互中的实际采用仍然有限。零知识证明（ZKP）提供了强大的隐私保证，但其技术复杂性阻碍了广泛应用。本文提出一种可验证二维码（verifiable QR）的概念，使得离线验证者能够验证编码在QR码中的零知识证明。基于这一核心思想，作者构建了一个新颖的QR驱动的zkSNARK证明验证框架（称为zQR），专为移动平台设计。该框架整合了区块链技术以实现可审计性、不可否认性和日志记录，并利用大型语言模型（LLM）自动生成电路，降低了ZK电路设计的门槛。作者针对多个攻击面进行了安全讨论，包括二维码篡改、证明伪造、区块链数据完整性等。实验评估测量了时间成本（证明生成和验证延迟、QR码编码和解码延迟）和财务成本（区块链gas消耗）。结果表明，zQR作为概念验证框架在移动平台上具有可行性，证明可以紧凑地表示为QR码符号版本19（低纠错等级）。论文最后讨论了潜在应用（如数字身份、凭证验证）、当前限制（如二维码容量、移动端性能）以及未来方向。该研究主要面向隐私保护技术研究人员、移动安全工程师以及区块链开发者，提供了一种将零知识证明与物理介质结合的新思路。

该论文研究了双线性累加器（bilinear accumulator）中的批处理证明、聚合证明与零知识证明。累加器是一种密码学原语，允许证明者简洁地提交一个集合，并能提供元素属于或不属于该集合的证明。批处理证明是指同时证明多个元素的成员资格或非成员资格。现有累加器方案在批量证明时，往往存在证明大小与批处理数量线性增长、验证开销高等问题。本文提出了一种基于双线性映射的累加器框架，支持高效的批处理证明生成与聚合，并引入零知识性质，使得证明者可以隐藏被证明元素的具体值，同时保持证明的简洁性。核心贡献包括：1）设计了一种新的批处理证明生成算法，将多个成员证明或非成员证明聚合成一个恒定大小的证明；2）证明了该方案的安全性归约到q-SDH假设；3）实现了零知识变体，通过随机化掩盖被证明元素；4）在标准计算模型下分析了效率，实验表明证明大小与批处理数量无关，验证复杂度与批处理数量呈亚线性关系。该工作对于需要频繁进行集合成员验证的场景（如证书撤销、区块链状态承诺、匿名凭证）具有理论价值，但当前主要贡献在密码学协议设计层面，尚未直接转化为具体的安全产品或防御工具。

该论文提出了一种轻量级的基于QR码的零知识身份认证协议。该协议以Schnorr认证协议为基础，通过引入随机数（nonce）和时间戳机制，有效抵御重放攻击，增强了安全性。证明者将生成的证明数据嵌入QR码中，并通过QR码传输给验证者，从而在不泄露密钥的前提下完成对私钥知识的验证。模拟实验表明，在256位安全级别下，证明生成和验证时间均在毫秒级别，证明大小恒定约为0.5 KB，适合QR码容量限制。该方案在安全性和性能方面均适用于移动设备和低资源系统。

本文提出了一种基于向量不经意线性评估（VOLE）的高效零知识证明协议套件JesseQ，包含JQv1和JQv2两个变体。零知识证明在隐私保护、区块链验证等领域具有广泛应用，但现有协议如QuickSilver和LPZKv2在证明者计算开销上仍有优化空间。JQv1针对布尔电路，每个AND门仅需扩展域上2次标量乘法（每次为O(κ)比特运算，κ=128为安全参数），且每个门仅需1个域元素通信；对于大域算术电路，每个乘法门仅需2次域乘法。JQv2以证明者计算量翻倍为代价，将通信成本再减半。实验表明，在布尔电路在线阶段，JQv1和JQv2相比现有最优方案实现至少3.9倍加速；大域电路方面，JQv1性能相近，JQv2提升1.3倍。通信成本保持不变或更优。值得注意的是，在廉价AWS实例上，JQv1仅需1美元即可证明9.2万亿个AND门（或61比特域上的5.8万亿个乘法门）。JQv在点积、矩阵乘法、格密码问题等应用中相比QuickSilver有40%-200%的性能提升，并能无缝集成Batchman框架，进一步提升批处理析取语句的效率。

本文提出了 Cirrus，一个高性能且具有问责性的分布式 SNARK（简洁非交互零知识证明）系统。分布式 SNARK 允许多个证明者协作生成证明，同时确保任何一方都无法作弊而不被追责。Cirrus 在保持零知识证明安全性的前提下，通过优化通信复杂度和计算开销实现了可扩展性。论文可能采用了新的密码学原语或协议设计，以解决现有分布式证明系统中效率与可问责性难以兼得的问题。实验结果表明，Cirrus 在证明生成速度、验证开销及系统吞吐量方面优于现有方案。该工作对隐私保护计算、区块链扩容以及可验证计算等场景具有重要价值。由于未提供完整摘要，上述细节基于标题推断，建议进一步阅读原文。

该论文研究了为浮点计算构建简洁零知识证明系统的问题。标准方法需要将浮点运算转换为二进制电路（遵循 IEEE-754 标准），导致证明者效率产生关于精度 w 的多项式开销，成为简洁论证设计的瓶颈。论文提出了一种新模型，用于验证浮点计算的近似正确性，允许相对于误差界的结果。该模型受数值分析启发，适用于机器学习、科学计算等场景。基于此模型，作者提出了一种通用方法，从已有的公开硬币的“承诺-证明”系统出发，构造针对浮点计算的简洁零知识证明。对于 w 位精度的计算，新方法仅引入 log(w) 倍的开销，几乎保持底层协议的通信复杂度（至多差2倍），并实现次线性验证时间。在随机预言机模型下可转化为非交互式。具体地，对于32位浮点计算，方案比严格按照IEEE-754标准的方法快约57倍。论文的另一核心贡献（具有独立价值）是一个基于标准素数阶群的批量范围证明系统，无需使用比特分解。