Starkwareの概要：動作原理、Cairo言語、チームおよび経済モデル

2022.10.31

共有先

TechFlow厳選深潮セレクト

Starkwareの概要：動作原理、Cairo言語、チームおよび経済モデル

現時点では、イーサリアムの発展の傾向がますますモジュラーブロックチェーンに向かっている。

2022.10.31 - 12:26:23

RollupStarkware

Web3業界の深掘り報道に専念し潮流を洞察

現時点では、イーサリアムの発展の傾向がますますモジュラーブロックチェーンに向かっている。

Starkware概览：工作原理、Cairo语言、团队及经济模型

執筆：鹿目円、IOBC Capital

現時点では、イーサリアムの発展傾向はますますモジュール型ブロックチェーンに向かっている。

モジュラー型ブロックチェーンのアーキテクチャにおいて、イーサリアム上の取引計算と実行はもはやメインネットが担わず、これらの作業はオフチェーンのLayer 2に移行される。この方式によりメインネットの負荷が軽減され、イーサリアムのパフォーマンスが大幅に拡張される。

将来、イーサリアムのメインネットはコンセンサスとデータ可用性の確保のみを担当し、すべての計算処理を担うLayer 2は、現在のAmazon Web Services（AWS）やAlibaba Cloudのようなクラウドサービスプロバイダーのような役割を果たすことになる。

Rollup

Layer 2のスケーリングソリューションの中で最も有望とされているのが「Rollup」である。

Rollupはイーサリアムのメインチェーン外で取引の検証と計算を行い、それらを圧縮してまとめて、更新後のステートルート（State root）とともにメインネットに送り戻すことで、メインネットのスペース使用量を削減する。

Starkware概観：仕組み、Cairo言語、チーム、経済モデル

Rollupには二つの実装方式があり、それぞれOptimistic Rollupとzk-Rollupである。具体的には：

Optimistic Rollupは詐欺証明（Fraud proof）を採用しており、まずメインチェーンにアップロードされたすべての取引が合法であると仮定し、挑戦期間を設けて検証者が問題のある取引に対して証明を提出できるようにする。もし詐欺行為が確認された場合、詐欺者には罰則が課され、挑戦者には報酬が与えられる。
一方、Zk-Rollupは有効性証明（Validity proof）を用い、オフチェーンで全ての取引を検証・集約した上で、その有効性を証明するゼロ知識証明を添えてメインチェーンに提出する。StarkWare CEOのUriの言葉を借りれば、「これは信頼不要な計算の完全性（computational integrity）を提供する。誰も監視していなくても、計算が正しく実行されたことを確信できる能力だ」という。これは初期のビットコインの理念に非常に似ている。

Rollupにおける主な三つの役割は以下の通り：

Sequencer：ユーザーから取引を収集し、順序付けを行い、新しいMerkleルートをLayer1のrollupスマートコントラクトに送信する。マイナーに類似する存在。
Prover：すべての取引を検証し、その有効性を証明するzk-proofを生成する。
Verifier：通常Layer 1上にデプロイされ、Proverが提出したproofの正当性を部分的に再計算することで検証し、計算の誠実性に必要な情報を提供しているかを確認する。

Optimistic RollupはEVMとの互換性を持ち、技術的に成熟しており早期に実用化されたため、開発者にとっての移行コストが低く、代表的なプロジェクトであるArbitrumとOptimismは現在のRollup市場で最も高いシェアを持っている。一方、zk-RollupsはEVM非互換であり技術的難易度も高いため、開発が遅れており、現時点での普及度はOP系Rollupほど広くない。

Starkware概観：仕組み、Cairo言語、チーム、経済モデル

しかし、zk-RollupはOptimistic Rollupと比較して以下のような利点を持つ：

より優れたスケーラビリティ。zk-Rollupsはメインネットにアップロードするデータ量がOptimistic Rollupsよりも少ないためである。zk-Rollupsはすでに検証済みの取引情報と証明をオンチェーンに記録するため、他者は取引内容自体ではなく証明のみを検証すればよく、関連データのアップロードが不要となる。一方、Optimistic Rollupsは詐欺証明による挑戦を受け入れる必要があるため、取引データもオンチェーンに保存しなければならない。実際の応用では、zk-Rollupの性能向上能力はOptimistic Rollupsの約10倍程度とされている。
取引確定までの時間が短い。zk-Rollupsに提出された取引は既に検証済みで証明が付随しているため、検証が比較的簡単で、通常10分程度で完了する。一方、Optimistic Rollupsでは詐欺リスクがあるため、1週間程度の挑戦期間が必要となり、即時出金などの機能が実現できない。
高いセキュリティ。zk-Rollupsにアップロードされた取引はすべて検証済みかつ証明付きであるため、悪意ある行動の可能性が低い。一方、Optimistic Rollupsでは詐欺的な取引が含まれる可能性があるため、zk-Rollupsの方がデータの信頼性と安全性が高い。

Vitalikは2021年に「短期的にはEVM互換性によりOptimistic Rollupsが優位に立つだろう。しかし中長期的にはzk-SNARK技術の進歩により、zk-Rollupsがすべてのユースケースを支配するだろう」と述べており、長期的にはzk-Rollupsに期待を寄せていることがわかる。

zk-SNARKとzk-STARK

zk系の主要な二大プロジェクトはzksyncとStarkwareである。zksyncはzk-SNARK技術を採用し、Starkwareはzk-STARK技術を採用している。

zk-SNARKは「Zero-Knowledge Succinct Non-Interactive Argument of Knowledge」の略称であり、zk-STARKは「Zero-Knowledge Scalable Transparent ARgument of Knowledge」の略称である。

zk-SNARKは登場が早く、技術的に比較的成熟しており、すでに幅広い応用がある。初期のプライバシーコインプロジェクトzcashはzk-SNARK技術を使用していた。
zk-STARKはzk-SNARKの改良版とされており、より高速で使いやすい実装を目指し、zk-SNARKの欠点を補うよう設計されている。

名前からもわかるように、zk-STARKはzk-SNARKに対してスケーラビリティと透明性という利点を持つほか、より高いセキュリティも備えている。理由は以下の通り：

スケーラビリティ。zk-STARKでは、証明者の実行時間は計算規模に対して準線形であり、検証時間は多項式対数時間である。一方、zk-SNARKでは証明過程が複雑で高価になりやすく、検証にも相対的に長い時間がかかる。
透明性。zk-STARKは信頼できる初期化設定（trusted setup）を必要とせず、zk-SNARKのように公共参照文字列の信頼設定が不要である。代わりにランダムな公開検証を使用するため、パラメータが改ざんされる心配がない。
セキュリティ。zk-STARKはハッシュ関数に基づく対称鍵暗号に依存しており、ハッシュ関数の衝突耐性により、量子攻撃に対する耐性を持つ。

技術的成熟度と早期リリースにより、現時点ではzk領域でzk-SNARKが主流であるが、zk-STARKは技術的難易度が高く、開発者も不足しているため、まだ広く採用されていない。しかし、無視できない利点を持つことから、将来的にはより受け入れられるソリューションになると予想される。

Starkware

Starkwareの共同創業者Eli Ben-Sassonは世界トップクラスの暗号学者であり、イスラエル工科大学の教授でもあり、zk-SNARKおよびzk-STARK技術の共同発明者でもある。同プロジェクトはチューリング完全なCairo言語を使用して開発されている。

動作原理

Starkware製品シリーズのワークフローは以下の図の通りである：

Starkware概観：仕組み、Cairo言語、チーム、経済モデル

例としてStarkExを取り上げるが、StarkNetのワークフローもほぼ同様である。

ユーザーはまずアプリケーション内で操作を行う。通常はアプリのクライアントまたはWebフロントエンドであり、アプリはこれらの操作を実行後、StarkExサービスに取引を送信する。
StarkExサービスはこれらの取引をまとめて実行し、その束をSHARP（Shared prover、共有証明サービス）に送信する。この実行プロセスはCairo言語で書かれたプログラムによって行われる。注目に値するのは、StarkWareがチューリング完全なCairo言語を通じて、すべてのスマートコントラクトの計算結果を証明可能な多項式方程式に変換し、これによりスマートコントラクトと有効性証明を互換可能にしている点である。
SHARPはStarkベースの証明システムであり、この一括取引の有効性を証明する証明を生成する。
SHARPはStark証明をLayer 1上にデプロイされたVerifierに送信し、Verifierが検証を完了する。
StarkEx ServiceはLayer 1上にデプロイされたStarkNetスマートコントラクトに対して、オンチェーンのステート更新取引を送信する。このスマートコントラクトは、Verifierが証明を正常に検証した後にのみ、新たなステート変更を受け入れる。

製品

Starkwareは現在二つの製品を提供している：

StarkExはアプリケーション向けのカスタマイズ可能なToBサービスを提供し、StarkEx上で動作するアプリは独自のビジネスロジックをカスタマイズできる。StarkExはDeFiやゲームなどに利用され、取引速度の高速化と手数料の削減を実現する。また、ZK-RollupまたはValidiumのいずれかの方式でデータ可用性を実現できる。
StarkNetは許可不要で分散化され、検閲耐性を持つ汎用Layer 2ネットワークであり、任意のユーザーおよび開発者がCairo言語で記述されたスマートコントラクトを自由にデプロイ・利用できる。

Starkware概観：仕組み、Cairo言語、チーム、経済モデル

これらの二つの製品は異なるビジネスモデルに対応している。前者はカスタマイズサービスを提供して販売するものであり、後者は許可不要の汎用サービスを提供し、ネットワーク上の取引手数料を得たり、ノードとしてMEVを獲得したりする。

StarkWare共同創業者のEli Sabassonは、StarkExとStarkNetの違いを「コンピュータ」と「クラウド」に例えた。StarkExの購入は、自分専用のカスタマイズコンピュータを所有することに相当し、各顧客が独自のスケーリングコンピュータを持つ。一方、StarkNetはネットワークと汎用サービスを提供し、誰でも料金を支払って利用できる。

StarkNetの動作プロセスは以下の図の通り。StarkExとの最大の違いは、StarkNetではStarkEx Serviceの役割をSequencerが代替し、取引の有効性検証、取引のパッケージング、Cairoプログラムの呼び出し実行を担うことにある。また、SHARPが担っていた証明生成の役割は、StarkNetではProverが担当する。現時点ではSequencerとProverはStarkWare公式チームが指定しており、これが中央集権化の疑念を招いている。

ロードマップ

StarkNetは過去にブログでロードマップを公開し、段階的に分散化を実現していくと表明している。

Starkware概観：仕組み、Cairo言語、チーム、経済モデル

同チームがStarkNet構築のために想定しているプロセスは以下の四段階からなる：

Step 0--基盤整備
Step 1--Planets：単一オペレーター、単一アプリのRollup
Step 2--Constellations：単一オペレーター、複数アプリのRollup
Step 3--Universe：分散化されたオペレーター、複数アプリのRollup

Step 1では、一つのStarkNetインスタンス（一つのRollup）上で一つのアプリのみが動作し、開発者はStarkNetというスケーリングネットワーク上で自身のビジネスロジックを実装することに集中する。

次の段階では、同一のStarkNetインスタンス上で複数のアプリを実行可能とし、それらが共通のグローバルLayer 2ステートを共有できるようにする。これによりアプリ間の相互運用性が実現され、規模の経済効果によりガスコストも低下する。この段階でStarkNetは完全なフレームワークとなり、イーサリアム上に任意のビジネスロジックを持つ複数のアプリを実行でき、各インスタンスは単一のオペレーターによって運営される。ユーザー視点では、StarkNetはイーサリアムと似た使い勝手ながら、拡張性に優れている。

最終段階はStarkNetがオペレーターの分散化を達成するフェーズである。この段階でチームは主に二つのことを行う：

（1）Rollupを活用してより良い合意形成メカニズムを実現し、

（2）貢献者およびオペレーターへのインセンティブとして経済モデルを活用し、より多くの参加者を引き込み、ネットワークの分散化を促進する。

Cairo言語

Cairo（CPU Algebraic Intermediate Representation、CPU代数中間表現）は、一般的な計算に対してSTARK証明を生成するためのチューリング完全プログラミング言語であり、Starkwareが開発した。アプリ開発者はCairoを使って任意のビジネスロジックを定義し、オフチェーンでの証明生成とオンチェーンでの検証を実現できる。これにより、複雑な回路やAIR（代数中間表現）を手動で作成する必要がなくなる。

Cairo言語により、あらゆる計算命題を迅速かつ安全に符号化して証明できる。Cairoで書かれたアプリケーションは、対応する実行ロジックの証明を提供でき、さらに複数のCairoアプリケーションを統合することも可能で、SHARPを形成できる。

SHARP（共有証明器）は、複数の独立したCairoアプリケーションの取引を集約し、同じSTARK証明内で処理できる。STARK証明では、証明生成に要する時間は実行ステートメントにかかる時間とほぼ線形関係にある。一方、証明検証に要する時間は対数関係にある。

検証時間は証明時間よりもはるかに短いため、再帰的検証が可能となる。つまり、あるCairoプログラムは複数の取引の正当性を検証できるだけでなく、複数のStark証明を検証するCairoプログラムも記述できる。検証に要する時間が対数的であるため、このような再帰的検証は検証時間を極めて削減できる。

StarkwareチームはCairoの汎用証明サービス（Generic Proof Service、GPS）をリリースしており、開発者はこれを使ってCairo言語でアプリを開発できる。ビジネスロジックを含むCairoコードをGPSに送信して証明を生成し、オンチェーンで検証することが可能になる。

GPSは一つの証明で複数の異なるアプリケーションの実行完全性を主張できるため、それらのアプリケーションが証明検証のガス費用を共有できる。

チームと資金調達

Starkwareのチームはイスラエル出身で、主なメンバーはヘブライ大学およびイスラエル工科大学出身のコンピュータサイエンスおよび暗号学の開発者たちであり、ゼロ知識証明分野で最も強力なチームと言える。

Starkwareの公式サイトによると、現在77人のチームメンバーに加え、7人の学術アドバイザー、5人のその他のアドバイザーがいる。

主なメンバーは以下の通り：

Eli Ben-Sasson：共同創業者兼チーフサイエンティスト。ヘブライ大学理論計算機科学博士。計算完全性、暗号学、ゼロ知識証明の研究に長年従事。イスラエル工科大学コンピュータ学科教授。Zcash創設科学者。zk-SNARK、zk-STARKの発明者。
Uri Kolodny：共同創業者兼CEO。ヘブライ大学コンピュータサイエンス学士。豊富なビジネス経験を持ち、協力的な連続起業家。
Alessandro Chiesa：共同創業者兼チーフサイエンティスト。カリフォルニア大学バークレー校コンピュータ学科教授。Zcash創設科学者。zk-SNARKsの共同発明者。簡潔ゼロ知識証明の主要オープンソースライブラリlibsnarkの中核開発者。
Michael Riabzev：共同創業者兼チーフアーキテクト。イスラエル工科大学博士。Intel、IBMにて勤務経験あり。
Oren Katz：エンジニアリング副社長。ヘブライ大学コンピュータ学科卒、テルアビブ大学MBA。20年の経験を持つベテランエンジニア。

資金調達に関して、StarkWareはこれまでに7回の資金調達を公表しており、総計45件の投資を受け、総額2億7300万ドルを調達。2022年にはDラウンドで79億ドルの評価額を達成。投資家にはParadigm、Sequoia Capital、Pantera Capitalなどの機関およびVitalikが含まれる。

経済モデル

Starkwareは今年7月中旬のブログでトークン経済モデルを発表した。当初は9月にトークン発行を予定していたが、その後延期を発表。本稿執筆時点で正式な発行は未実施である。

StarkNetトークンは主に以下の3つの用途を持つ：StarkNetネットワーク手数料の支払い、ネットワーク合意形成へのステーキング、コミュニティガバナンス投票。

取引手数料：現時点ではStarkNetの手数料はETHで支払われる。今後はネイティブなStarkNetトークンでのみ支払いが可能になると予定されている。良好なユーザーエクスペリエンスを維持するため、自動化されたオンチェーンメカニズムにより、ユーザーがETHで手数料を支払えるようにする。
ステーキング：StarkNetの活性化とセキュリティに不可欠な特定のサービスにはStarkNetトークンのステーキングが必要となる可能性がある。該当サービスには取引順序付け（sequencing）、L1での最終性達成前の暫定的なL2合意形成、STARK証明サービス、データ可用性提供などが含まれる。これらのサービスは2023年に分散化が予定されている。
ガバナンス：StarkNet改善提案には最低限のトークン保有量が必要となる。StarkNetの活性化、セキュリティ、維持に重要なすべてのプロトコル変更には、直接または委任による投票が必要となる。例えば、StarkNetオペレーティングシステムのすべての主要アップデートにはトークン保有者の承認が必要である。

StarkNetトークンの初期供給量は100億枚。うち17%はStarkWare投資家に、32.9%はコア貢献者に、50.1%は財団に分配される。

また、新規発行（増発）メカニズムも備えており、新規に発行されるトークンおよび取引手数料の一部は、コアインフラ開発者およびスマートコントラクト開発者に報酬として支払われる。

Starkware概観：仕組み、Cairo言語、チーム、経済モデル

財団に割り当てられた50.1%の具体的な用途は以下の通り：

9% ――エコシステム開発者、ユーザー、コミュニティ。6月1日までにStarkExとインタラクションのあった一部ユーザーを含む。
9% ――コミュニティ還元（Rebates）――StarkNetトークンによる還元で、イーサリアムからStarkNetへ参加するコストの一部を補填。
12% ――StarkNetプロトコルの開発、テスト、展開、維持に関わる研究者・作業者への助成。
10% ――戦略的準備基金。財団の使命に沿ったエコシステム活動を支援。
2% ――大学、NGOなど関連分野の優れた機関・組織への寄付。StarkNetトークン保有者と財団が決定。
8.1%未割当――StarkNetコミュニティのさらなる支援。具体的な方法はコミュニティが決定。

分散化エコシステムの慣行およびコミュニティの長期的利益を考慮し、投資家およびコア貢献者に割り当てられた49.9%には4年間のロック期間が設けられ、1年のクライフ（初期解放なし）後に線形的にトークンが解放される。

トークン分配から読み取れるのは、StarkNetトークン報酬がコアインフラおよびdApp開発者を優先しており、一般ユーザーへの配分は比較的少ない点である。

運用データ

ToB製品であるStarkExは早期リリースかつ「Scale as a service」モデルが比較的成熟しているため、すでにいくつかのユーザーを獲得している。代表例にはdYdX（現在は離脱済み）、Immutable X、rhino.fi、celer、Sorareなどがある。公式サイトのデータによると、StarkEx上での累計取引額は7320億ドルに達し、現在のTVLは4.61億ドルである。

もう一つの製品StarkNetについては、www.starknet-ecosystem.comのデータによると、現在エコシステム内には約100以上のアプリが存在し、そのうち最多はDeFi（45件）、次いでNFT（24件）、インフラ（18件）である。

Starkware概観：仕組み、Cairo言語、チーム、経済モデル

著名なプロジェクトでは、AAVEとMakerがStarkNetへの展開を予定している。二日前（10月29日）にAaveとStarkWareの第一段階クロスチェーン連携の開発が完了したと発表された。この段階では、イーサリアム上のAave v2のaTokenをStarkNetのスマートコントラクトインフラ経由でクロスチェーンし、ネットワークユーザーがStarkNet上でクロスチェーンaTokenを取得できるようになる。また、Makerはすでに6月にDAIのメインネットとStarkNet間の送金を開始している。

なお、以前StarkExのTVLの大半を占めていたdYdXが6月に離脱し、Cosmos SDKに基づく独立ブロックチェーン上でv4を展開した。この出来事は、投資家のLayer 2およびStarkwareに対する信頼に一定程度の影響を与えた。

この離脱事件からもわかるように、真にユーザーと影響力を持つアプリは、基盤インフラの選択においてより大きな発言権と主体性を持つ。特定の単一の基盤チェーンに依存せず、他の基盤パブリックチェーンを選択したり、自らニーズに合ったアプリチェーンを構築したりできる。

かつての「ファットプロトコル・スリムアプリ」という物語は再考されるべきかもしれない。さまざまな基盤インフラプロジェクトにとって、自らのエコシステム内の優良アプリをどのように捉え、維持するかが今や再考すべき課題となっている。なぜなら、より多くの価値を獲得するにはより多くのユーザーを獲得しなければならず、実際にユーザーとやり取りするのは基盤ではなくアプリである。ユーザーは基盤技術の実装原理に関心を持たず、アプリに追随して移行するだけだからである。