alt_bn128

BN254 は 254 ビットの素数上の y² = x³ + 3 で、Barreto と Naehrig（2005年）による、埋め込み次数 12 のペアリングフレンドリー曲線の族に属します。そのペアリングは G1（この曲線上の点）と G2（GF(p²) 上のツイストの点）を GF(p¹²) に写します。これこそが zk-SNARK の検証者や集約署名に必要なものです。

Ethereum は Byzantium アップグレード（EIP-196、EIP-197）で、この曲線上の加算、スカラー倍算、ペアリングチェックを行うプリコンパイル済みコントラクトを追加しました。Ethereum 上の Groth16 や PLONK の検証者は、これらのプリコンパイルに依存しています。Zcash の初期の Sprout 回路もこの曲線を使っていました。

採用された当時、安全性は 128 ビットと見積もられていましたが、拡張タワー数体ふるい法（Kim と Barbulescu、2016年）によって、見積もりは約 100 ビットに下がりました（Barbulescu と Duquesne、2019年）。新しい設計では、代わりに BLS12-381 を使います。