O problema: confiar sem entregar o segredo

Imagine que você precisa provar ao porteiro de um prédio que conhece a senha do cofre — mas sem dizer a senha, porque o próprio porteiro poderia usá-la. Ou provar ao banco que você tem mais de 18 anos sem mostrar a data de nascimento, o endereço e o número do documento impressos na carteira. Ou provar que é maior de idade, solvente e idôneo, revelando apenas o que a pergunta exige e nada mais. O mundo digital vive de pedir o oposto: para provar qualquer coisa, entregamos tudo — a senha inteira, o documento inteiro, o extrato inteiro. Cada prova é uma pequena capitulação de privacidade.

A prova de conhecimento zero (do inglês zero-knowledge proof) resolve essa assimetria. É um método matemático que permite a uma parte — o “provador” — convencer outra — o “verificador” — de que uma afirmação é verdadeira, sem transmitir nenhuma informação além do fato de ela ser verdadeira. O verificador termina convencido e, ainda assim, não aprendeu o segredo. Parece um paradoxo, e por décadas foi tratado como curiosidade teórica. Hoje é a infraestrutura mais ambiciosa do ecossistema cripto.

A caverna de Ali Babá

A analogia clássica, cunhada por Jean-Jacques Quisquater e colegas em 1990 num artigo bem-humorado chamado “Como explicar protocolos de conhecimento zero às suas crianças”, é a da caverna de Ali Babá. Imagine uma caverna em anel, com uma única entrada que se bifurca em dois corredores, A e B, ligados ao fundo por uma porta mágica que só abre com uma palavra secreta. Peggy (a provadora) afirma conhecer a palavra. Victor (o verificador) quer se convencer, mas Peggy não quer revelar o segredo.

O protocolo é elegante: Peggy entra na caverna e escolhe, sozinha, um dos corredores. Victor então chega à entrada e grita de qual lado quer que ela saia — A ou B. Se Peggy realmente conhece a palavra, ela sempre consegue sair pelo lado pedido, atravessando a porta se necessário. Se estiver blefando, só acerta por sorte, com 50% de chance. Repita o jogo vinte vezes, e a probabilidade de Peggy enganar Victor sem saber a senha cai para menos de uma em um milhão. Ao fim, Victor está convencido — e não ouviu a palavra secreta uma única vez. Esse é o coração do conhecimento zero: a convicção se acumula pela repetição, não pela revelação.

As três promessas

Toda prova de conhecimento zero legítima precisa honrar três propriedades, e vale conhecê-las porque é onde moram tanto a magia quanto os riscos. A primeira é a completude: se a afirmação é verdadeira e ambos seguem o protocolo, o verificador sempre se convence. A segunda é a solidez (soundness): se a afirmação é falsa, nenhum provador trapaceiro consegue convencer o verificador, exceto por uma probabilidade ínfima. A terceira é o conhecimento zero propriamente dito: o verificador não aprende nada além da veracidade da afirmação — nem conseguiria, depois, reproduzir a prova para enganar um terceiro.

Guarde a palavra solidez, porque ela é o calcanhar de Aquiles. Uma falha de solidez num sistema de ZK significa que alguém poderia provar uma mentira — por exemplo, provar que tem saldo que não tem. Como veremos, isso não é hipótese: é um risco real e recorrente em 2026.

SNARKs e STARKs: duas famílias

Na prática, quase ninguém usa o protocolo interativo da caverna, com idas e vindas. Usam-se provas não interativas e compactas, de duas grandes famílias. Os zk-SNARKs (provas sucintas) geram comprovantes minúsculos e baratos de verificar, mas em geral dependem de um “trusted setup” — uma cerimônia inicial que gera parâmetros secretos que, se vazarem, comprometem o sistema. Já os zk-STARKs dispensam o trusted setup, apoiam-se apenas em funções hash — o que os torna mais resistentes a um futuro computador quântico — ao custo de provas maiores. É por isso que o Ethereum, de olho no longo prazo, tem favorecido a infraestrutura baseada em STARK.

Onde isso já funciona em 2026

O primeiro grande caso de uso é a escala. Um ZK rollup processa milhares de transações fora da rede principal e publica no Ethereum apenas uma prova compacta de que tudo foi feito corretamente — em vez de reexecutar cada transação. O que travava isso era o custo de gerar a prova; e é aí que 2026 virou um ponto de inflexão. Segundo dados do ethproofs.org, o custo médio de provar um bloco do Ethereum despencou de US$ 1,69 em janeiro de 2025 para menos de 4 centavos em dezembro — uma queda de cerca de 45 vezes. Em novembro de 2025, o sistema SP1, da Succinct, provou 99,7% dos blocos em menos de 12 segundos usando 16 placas de vídeo.

É esse barateamento que deu lastro à visão apresentada por Vitalik Buterin na Semana Internacional do Blockchain de Xangai, em setembro de 2026: transformar o Ethereum numa “camada global de confiança para computação“. A ideia é que o cálculo pesado aconteça fora da rede e que o Ethereum apenas verifique provas ZK do resultado. A privacidade, nesse desenho, deixa de ser exceção e vira recurso programável — cada aplicativo definindo, desde o início, quem pode ver o quê. A proposta técnica (a EIP-8288) ainda precisa de testes, mas a direção está traçada, e nomes como Starknet, zkSync, Arbitrum, Optimism e Base já ocupam esse mapa.

Os outros usos já saíram do laboratório. Em privacidade, a Zcash usa provas ZK para transações “blindadas”, em que valores e partes ficam ocultos. Em identidade, o World ID (do projeto World, ex-Worldcoin) usa ZK para provar que você é um ser humano único — útil num mundo inundado por bots de IA — sem expor sua biometria; o Google anunciou verificação de idade com ZK na carteira digital, e a União Europeia exige, até o fim de 2026, que todo Estado-membro ofereça uma carteira de identidade digital (eIDAS 2.0). Há ainda o zkTLS, que permite provar fatos sobre dados de um site — “minha conta tem saldo X” — sem entregar login e senha; e o zkML, que prova que um modelo de inteligência artificial realmente rodou e produziu certo resultado (a Lagrange demonstrou, em junho de 2026, provas para modelos como Llama 3 e Gemma).

O preço da magia

Convém a prudência, porque conhecimento zero não é mágica sem fatura. Primeiro, o custo: preservar privacidade encarece a prova, e gerar provas exige hardware caro e especializado — há um risco real de centralização em torno de poucas “fazendas de provadores”. Segundo, e mais sério, a solidez. Um bug de solidez permite provar mentiras, e eles são frequentes: a Zcash precisou de uma correção emergencial em maio de 2026 para uma falha que vivera quatro anos sem ser notada; uma auditoria automatizada (zkFuzz) encontrou 85 bugs, incluindo 59 inéditos, em 452 circuitos públicos. A ironia é cruel — a tecnologia feita para dispensar a confiança exige que confiemos cegamente que a matemática por trás dela foi implementada sem erro.

Provar sem revelar: uma nova epistemologia

Há algo filosoficamente profundo aqui, que vale destacar sem pedantismo. Durante toda a história, conhecimento e prova andaram juntos: para eu provar que sei algo, eu precisava mostrar que sei — e, ao mostrar, transferia o saber. A prova de conhecimento zero rompe esse elo milenar. Ela separa a convicção da informação: é possível fazer alguém acreditar sem fazê-lo saber. É, no fundo, uma redefinição do que significa “provar” — e, por tabela, do que significa “privacidade”. Num mundo onde cada clique vaza um dado, a possibilidade de provar quem somos, o que temos e o que fizemos, revelando apenas o estritamente necessário, não é um detalhe técnico. É uma pequena devolução de soberania ao indivíduo.

Convém, ainda assim, não romantizar. A mesma ferramenta que protege o dissidente da vigilância protege também quem queira ocultar fluxos ilícitos — e reguladores de meio mundo olham a privacidade forte com desconfiança. A resposta madura não é escolher entre transparência total e opacidade total, mas reconhecer que a prova de conhecimento zero oferece, pela primeira vez, um dial ajustável entre os dois: revelar exatamente o quanto for necessário, e nem um bit a mais. Quem controla esse dial — o indivíduo, a empresa ou o Estado — é a verdadeira disputa dos próximos anos.