プライバシー取引における技術の発展と変遷についての雑談

2022.06.17

共有先

TechFlow厳選深潮セレクト

プライバシー取引における技術の発展と変遷についての雑談

データのプライバシー保護を実現するには、プライバシー規約を使用する必要があります。

2022.06.17 - 06:40:18

隐私协议

Web3業界の深掘り報道に専念し潮流を洞察

データのプライバシー保護を実現するには、プライバシー規約を使用する必要があります。

執筆：0x1、IOBC Capital

あなたは自分のウォレットアドレスを公開し、誰にでも自分がいくら持っているか知られることを望みますか？あなたの投資の好みや支出の詳細をすべての人々に知られることを許容できますか？多くの人はおそらくそれを望まないでしょう。このようなデータのプライバシーを保護するためには、プライバシープロトコルが必要です。

市場にはDASH、XMR、Zcash、Grin、Rose（Oasis Network）、FRA（Findora）、PHA（Phala Network）、SCRT（Secret Network）など、プライバシーをウリとする暗号資産が常に存在してきました。暗号業界の発展の十数年間において、プライバシー分野は常に一定の地位を占めてきました。

プライバシートラックをさらに細分化すると、プライバシー計算ネットワーク、プライバシー取引プロトコル、プライバシー応用、プライバシーコインの4つのカテゴリーに分けられます。このうち、プライバシーコインが最も早く発展しました。プライバシー応用では現在Tornadoが広く採用されていますが、現在特に注目されているのはプライバシー取引プロトコルとプライバシー計算ネットワークです。

漫談隱私交易方面的技術發展演變

本稿は紙幅の都合上、技術の進化と変遷という観点から、プライバシー取引に関連する技術的実装方法の発展状況について概説します。

暗号資産の発展に伴い、主に以下の4種類のプライバシー取引を実現する技術的アプローチがあります：

一、CoinJoin

CoinJoin：CoinJoinとは複数の送信者からコインを集め、それらを一つの取引としてまとめるミキシングメカニズムです。第三者がこれらのコインを受取人に送信します。ユーザー側では、各受取人が未使用のアドレスでコインを受け取ります。これにより、特定の取引を追跡される可能性を低下させます。

DASHはCoinJoin技術を用いてプライバシー取引を実現した代表的な例です。DASHは2014年に誕生し、プライバシーを唯一の目的としたものではなく、ユーザーが選択可能な機能としてプライバシー取引を提供しています。つまり、PrivateSend機能を使ってプライバシー取引を行うことも可能ですが、通常の取引を選ぶこともできます。

仕組みとしては、DASHネットワークはより高い報酬を提供することでマイナーにマスターノードとしての役割を促しており、各マスターノードは1,000DASHのバッファ資金を持っています。取引を行うユーザーはこのバッファ資金を利用でき、「コインミキシング」の効果を得られます。ミキシングによって取引情報が混在し、追跡が困難になることで、プライバシー保護が実現されます。

二、秘匿アドレス＋リング署名

秘匿アドレス：秘匿アドレスの生成とは、暗号資産を受け取るたびに新しいアドレスを作成することを意味します。これにより、外部の者が支払い先アドレスを恒久的なウォレットアドレスと関連付けることができなくなります。

リング署名：ブロックチェーンの取引では、送信者の身元確認のためにデジタル署名が必要です。各ユーザーの署名は一意であるため、署名からその取引を追跡することが容易になります。リング署名は、本人の署名を他のリングメンバーの署名と組み合わせる方式です。参加する署名者の数が多いほど、署名者とその取引を直接結びつけることが難しくなります。

モネロ（XMR）は秘匿アドレスとリング署名を組み合わせてプライバシー保護を実現しています。モネロのプライバシーはオプションではなく完全なものであり、すべての取引が自動的にプライベートになります。モネロは各ウォレット所有者に新しい秘密閲覧鍵、受信アドレス、および秘密消費鍵を提供します。また、XMRの採掘は一般的なPCのCPUで行えるため、専用のマイニング機器を必要とせず、これが一定程度XMRの分散性を高めています。

モネロはプライバシー保護の有効性をさらに高めるために、開発過程で何度も技術的アップグレードを行ってきました。取引金額を隠すために「RING-CT（リング・コンフィデンシャル・トランザクション）」が登場しました。RING-CT導入後、モネロブロックチェーンのプライバシー性能は向上しましたが、スケーラビリティに課題が生じました。そのため後に「Bulletproofs」というゼロ知識証明プロトコルが導入され、XMRの取引規模を拡大し、検証時間を80%削減しました。

三、Mimblewimble

「Mimblewimble」という言葉は『ハリー・ポッター』シリーズに登場する呪文「混乱呪」に由来します。このプライバシープロトコルを採用している主なプロジェクトはGrinとBeamの2つです。Mimblewimbleが用いる技術にはConfidential Transaction（秘匿取引）、CoinJoin、Cut-throughが含まれます。

Mimblewimbleプロトコルは匿名性とスケーラビリティのトレードオフを模索する設計であり、アウトプットモデルに基づくパブリック帳簿における暗号資産のプライバシーを提供するための構想であり、コンセンサス層には関与しないため、ほぼすべてのコンセンサスルールに適用可能です。

当初Mimblewimbleはビットコインにプライバシー機能を提供するために提案されました。この技術を使うことで、アカウントの所有者、取引の関連性、取引金額を隠蔽できます。また、「コイン洗浄」も可能になります。ビットコインでは一部のコインが「汚染された資金（ダーティマネー）」とみなされ、多くの機関がそれを受け取ることを拒否しますが、Mimblewimble技術を用いることでこれを回避できるのです。

四、ゼロ知識証明系

ゼロ知識証明（Zero-Knowledge Proof）とは、検証者に対してその命題自体の真偽以外の情報を一切提供せずに、ある命題が正しい（または真実である）ことを検証者に納得させる仕組みを指します。

ゼロ知識証明は1989年にGoldwasser、Micali、Rackoffらによって理論化されました。現在、ブロックチェーン業界では主にプライバシー保護とスケーラビリティの2つの用途に使われています。本稿では前者、すなわちプライバシー保護への応用に焦点を当てます。

ゼロ知識証明がプライバシー保護に応用された最初の事例はZcashです。その後、Aztec、Manta Network、StarkWareなど多くのプロジェクトがゼロ知識証明を採用し、新たな技術が次々と生まれてきました。

「アリババと40人の盗賊」の例を通じてゼロ知識証明の仕組みを紹介しましょう：

アリババが証明者、盗賊が検証者です。盗賊はアリババを捕らえ、宝の隠れた洞窟を開ける呪文を教えなければ殺すと脅します。もしアリババがそのまま呪文を言えば、価値を失って殺される可能性があります。逆に何も言わなければ、盗賊は彼が呪文を知らないと思い、やはり殺してしまいます。そこでアリババは、自分と盗賊の距離を矢一射分離すよう要求します。もしアリババが呪文を唱えて洞窟の岩戸を開けられない、あるいは逃げ出したら、盗賊は弓で彼を射殺できるという条件です。

このようにして、アリババは盗賊から十分遠い位置（盗賊には呪文が聞こえない距離）で、自分が確かに呪文を知っていることを証明できます。このプロセスにおいて、アリババ（証明者）は呪文の内容を直接明かすことなく、盗賊（検証者）に「アリババが呪文を知っている」という命題の真実性を信じさせているのです。

zk-SNARK

zk-SNARKの正式名称は「Zero-Knowledge Succinct Non-Interactive Argument of Knowledge」、日本語では「ゼロ知識簡潔非インタラクティブ知識証明」と言います。zk-SNARKは2014年にイスラエル工科大学のBen-SassonらがZerocash論文で提唱したもので、現在最も広く使われているゼロ知識証明型のプライバシー技術です。Zcash、Loopringなどの著名なプロジェクトがzk-SNARKアルゴリズムを直接導入しています。これは、情報の中身を明かさずに、自分が特定の情報を保有していることを証明できる技術です。

zk-SNARKはゼロ知識証明の仕組みをコンピュータプログラム言語に変換する技術です。基本的なロジックは以下の図の通りです：

漫談隱私交易方面的技術發展演變

zk-SNARKは具体的にどのようなプライバシーを実現しているのでしょうか？ zk-SNARKは完全なプライバシーを実現しており、取引当事者のアドレスや取引金額だけでなく、ノード自身にも取引の内容がわかりません。しかし、zk-SNARKの欠点は「信頼できる初期設定（trusted setup）」を必要とする点です。この設定はどのように行っても、潜在的なセキュリティリスクが残ります。

zk-SNARKをベースに、プライバシー性を高めつつ取引容量とコストの最適化を目指して、後にBulletproofs、zk-STARK、Sonic、PLONK、Supersonicといった新型のゼロ知識証明が派生しました。

Bulletproofs

zk-SNARKと比較して、Bulletproofsは信頼できる初期設定を必要としません。ただし、Bulletproofsの検証はzk-SNARKの証明検証よりも時間がかかります。XMRプロジェクトではBulletproofsを採用し、XMRの取引規模を拡大するとともに検証時間を80%短縮しています。

zk-STARK

zk-STARKの英語表記は「Zero-Knowledge Scalable Transparent Argument of Knowledge」で、「ゼロ知識スケーラブル透明知識証明」と訳されます。zk-STARKはStarkWareが開発したもので、革新的な暗号証明と現代的な代数学を用いて、ブロックチェーン上の計算の完全性とプライバシーを強制します。StarkExはzk-STARK技術を採用しています。zk-STARKでは、計算を単一のチェーン外STARK証明者に移管し、チェーン上のSTARK検証者でその計算の完全性を検証します。

zk-SNARKと比較して、zk-STARKはより高速かつ低コストとされています。計算量が増えても、証明者と検証者の間の通信量は変わらないため、zk-STARK全体のデータ量はzk-SNARKの証明データ量よりもはるかに小さくなります。また、zk-STARKは初期の信頼できる設定を必要とせず、衝突耐性を持つハッシュ関数により、よりシンプルな暗号技術に依存しています。総じて、zk-SNARKは完成度と普及面で大きな進展を遂げましたが、zk-STARKはその多くの欠点（高速、低コスト、信頼できる初期設定不要）を改善した改良版と見なされており、広く注目されています。ただし、zk-STARKはチェーン外計算・チェーン上検証の方式を取るため、セキュリティ面ではzk-SNARKに劣るとも言われています。

Sonic

ロンドン大学のSarah Meiklejohn、エディンバラ大学のMarkulf Kohlweiss、ZcashのSean Boweは、「Sonic」と呼ばれるゼロ知識証明プロトコルを提案しました。Sonicは汎用SNARKであり、一度の設定で任意の証明を検証できるという特徴があります。

Sonicの登場はゼロ知識証明の進化において大きな一歩でしたが、速度の面では遅れをとります。非汎用SNARKと比べ、Sonicの証明生成時間は約2桁長くなるため、現時点でSonic技術を採用する著名なプライバシー項目はありません。

PLONK

PLONKはAztecプロトコルのCTOであるZachary Williamsonと、チーフサイエンティストAriel Gabizon（Protocol Labsおよび元Zcash）が共同開発した、効率的で汎用的なzk-SNARKです。Ariel GabizonとZac WilliamsonはロンドンのBinary Districtセミナーでの偶然の出会いからPLONKを開発しました。

これは全く新しいタイプの効率的で汎用的なzk-SNARKであり、信頼できる設定を一度だけ行えば、すべてのプログラムでその設定を再利用できる点が画期的です。この技術はVitalik氏にもリツイートされました。PLONKはどれほど速いのか？標準的なハードウェア上で、100万ゲートを超える回路を23秒以内に処理できます。ここで言うハードウェアはサーバーファームやHPCクラスターではなく、Microsoft Surfaceタブレットからの実測値です。

例として、PLONKに基づくプライバシープロトコル「Aztec」の動作原理を簡単に説明します：

まず、Aztecは信頼できる初期設定「Ignition CRS」を必要とします。当初、Aztecは世界中からランダムに200人の参加者を募り、それぞれにIgnition CRSの一部を与えました。この200人の参加者はそれぞれランダム性を生成します。これがAztecの証明安全性の基盤となります。（カードシャッフルに例えるなら、200人がカードをシャッフルする中で、全員が共謀しない限り、一人でも正直な参加者がいれば、シャッフルのランダム性、すなわちシステムの安全性が保証されます。）

次に、Aztecの通常のプライバシー取引はUTXOとして理解できます（下図参照）。ビットコインと同様の仕組みですが、Aztecの違いは取引が暗号化されることです。イーサリアムはこのUTXOが正しいか検証します。つまり、60+40 = 75+25という式が成立するかチェックします。

漫談隱私交易方面的技術發展演變

具体的にはどう検証するのか？最初にinput note = output noteをチェックします。ループ攻撃（例：10 = 11 + (-1)）を防ぐため、Range Proof（範囲証明）を設けています。そのためAztecは集合メンバーシップ証明を採用しています。つまり、Aztec暗号エンジン（ACE）の承認を得るには、ユーザーがCodexからの出力ノートを持っていることを証明しなければなりません。こういった一連のプロセスを経て、UTXOの正当性が検証されます。

Aztecが実現しようとしているプライバシーは3つあります。第一にデータのプライバシー：取引金額を暗号化して隠蔽します。第二にユーザーのプライバシー：ネットワークを見ている者が送信者と受信者のIDを特定できなくします。第三にコードのプライバシー：Aztec SDKを使用したdAppのスマートコントラクトコードもプライベート化します。このうち第一の項目はすでに実現されていますが、後二者はまだ達成されていません。

SuperSonic

SuperSonic技術はSonicとDARK証明を統合したもので、信頼できる初期設定が不要な短い証明を提供します。100万の論理ゲート条件下で、証明サイズを10〜20KBまで圧縮でき、さらなる最適化の余地もあります。この技術は金融向けパブリックチェーンFindoraで初めて実装されました。

ゼロ知識証明シリーズの技術的アプローチは、証明サイズ、検証速度、信頼できる初期設定の要否、応用事例の面で以下の表のように比較できます：

漫談隱私交易方面的技術發展演變

総じて、こうした高性能で汎用的なSNARKの登場により、最大で1回のMPC設定でWeb3のプライバシーとスケーラビリティを両立できるようになり、すべてのユーザー端末（スマートフォン、タブレットなど）でプライバシー取引を生成でき、公共ネットワーク上で効率的に実行できるようになりました。これにより、プライバシー分野の発展が大きく加速しています。

プライバシー取引分野の現状を踏まえると、近い将来に以下の2つの傾向が現れるかもしれません：

1. 現在段階でのプライバシー取引の利用率は依然低いが、技術の進化により今後向上する可能性がある

プライバシー取引の利用率が低い理由は主に3つあります。第一に、技術的ハードルが高いことです。初期のプライバシー取引は一般ユーザーにとって使い勝手が悪く、ZcashやXMRのようなプライバシーコインが長年存在しても、ほとんどの一般人は実際に使ったことがありません。第二に、プライバシー取引の需要がまだ広く認識されていないことです。かつてプライバシー取引といえば、不正な取引だけが対象だと無意識に考えられていました。人々が自分のブロックチェーン上での取引、送金・決済行為や金額を隠したいという意識はまだ弱かったのです。しかしDeFiなどのオンチェーン取引の爆発的増加とともに、オンチェーン取引のプライバシー保護への意識が高まりつつあります。第三に、初期のプライバシープロトコルがETH、USDC、DAIといった主流のオンチェーン資産を提供していなかったことです。一般ユーザーがわざわざプライバシーコインを使う動機はあまりありませんでした。

2. メインブロックチェーンにプライバシー機能を搭載することは、プライバシー分野の最終的な発展方向となるかもしれない

プライバシーコインが独立した存在として人気を集める時代は終わりを迎えつつあります。特にここ数年の各国の規制当局による取り締まりの強化が影響しています。例えばFATF規則の影響で、2019年にCoinbase UKはZcashを取り扱い停止しました。また、OKEx韓国はMonero、Dash、Zcash、ZCache、Horizon、SuperBitcoinの6つの暗号資産を取り扱い停止しました。

しかし、プライバシー取引のニーズは現実に存在しており、これからもずっと存在し続けるでしょう。ニーズがあれば、市場も存在します。最近の業界で最も注目されているプライバシー関連プロジェクトの傾向を見ると、ビットコイン、イーサリアム、Polkadotなどの主要ブロックチェーンにプライバシー保護機能を組み込むことが一種のトレンドになりつつあります。

ビットコイン取引では、現在最も広く使われている取引情報を隠すミキサー（Mixers）サービスがCoinJoin技術です。ミキサーは第三者を通じて、ビットコインの送信者アドレスと受信者アドレスの関係を断ち切り、取引情報を隠蔽するサービスです。

イーサリアムでは、最も注目されているプライバシー解決策はゼロ知識証明シリーズ（zk-SNARK、zk-STARKなど）です。Vitalikはかつて「ゼロ知識証明は最も強力なプライバシー解決策である。技術的実装が非常に難しいものの、イーサリアムネットワークのプライバシーとセキュリティ保護において最も優れた効果を発揮する」と述べています。ゼロ知識証明系の解決策の中でも、特に高く評価されているのがAztecのPLONK技術です。

Polkadotエコシステムにも注目すべきプライバシー取引プロジェクトがあります――Manta Networkです。これはP0xeidon Labsが構築した、zk-SNARKタイプ（Plonk with Lookup）のプライバシープロトコルです。Manta NetworkはPolkadotに展開され、そのテストネットCalamariはKusamaに展開されています。今後、他のパブリックチェーンにも同様のプライバシープロトコルを展開する予定です。Manta Networkは、マルチアセット対応の非中央集権匿名送金プロトコル「MantaPay」と、zk-SNARKを活用したAMM方式の非中央集権取引プロトコル「MantaSwap」の提供を計画しています。

要するに、プライバシー取引は現実に存在する市場ニーズであり、この分野の発展は引き続き注視する価値があります。オンチェーン取引の件数と資金量の増加に伴い、この需要も比例して高まっていくでしょう。