暗号プライバシー技術の進化

執筆：milian

翻訳：AididiaoJP，Foresight News

原題：暗号分野におけるプライバシー発展史

すべての主要な技術の波は、専用または単一グループ向けから始まり、その後、汎用または複数グループ向けへと発展する。

初期のコンピューターは一度に1つの仕事しかできなかった：暗号解読、国勢調査の処理、弾道軌道の計算など、長い間、共有・プログラム可能なマシンにはならなかった。

インターネットも最初は小規模なピアツーピア研究ネットワーク（ARPANET）であり、その後、世界的なプラットフォームへと発展し、何百万人もの人々が共有状態で協働できるようになった。

人工知能も同じ道をたどっている。初期のシステムは狭い専門モデル（チェスエンジン、レコメンデーションシステム、スパムフィルターなど）で、単一分野に特化していたが、やがて汎用モデルになり、分野横断で作業し、新しいタスクに微調整され、他者のアプリケーション構築の基盤となった。

技術は常に、狭いまたは単一ユーザーモードから始まり、一用途・一人用に設計され、その後、多ユーザーモードへと拡大していく。

これこそが、今日のプライバシー技術が位置する場所である。暗号分野のプライバシー技術は、「狭い」「単一ユーザー」という枠を決して本当に飛び越えたことがなかった。

今までは。

要約：

• プライバシー技術もコンピューティング、インターネット、AIと同様の発展軌跡：専用・単一ユーザーから始まり、その後、汎用・多ユーザーへ。
• 暗号プライバシーは、初期ツールが共有状態をサポートできなかったため、狭い単一ユーザーモードに閉じ込められていた。
• プライバシー1.0は、表現力が限定的な単一ユーザープライバシー：共有状態なし、主にゼロ知識証明に依存、クライアント側で証明生成、開発者はカスタム回路を書く必要があり、体験も厳しかった。
• 初期プライバシーは、2013年のビットコインCoinJoinから始まり、2014年のMonero、2016年のZcash、そして後のEthereumツールであるTornado Cash（2019）やRailgun（2021）へと続いた。
• 多くのプライバシー1.0ツールはクライアント側ゼロ知識証明に依存しており、「プライバシーのためのゼロ知識証明」と「検証のためのゼロ知識証明」が混同されているが、現代の多くの「ゼロ知識」システムはプライバシーではなく検証のために設計されている。
• プライバシー2.0は、多人数計算または完全準同型暗号に基づく暗号化共有状態の多ユーザープライバシーであり、ユーザーはEthereumやSolanaのパブリックな共有状態のように秘密裏に協力できる。
• 暗号化共有状態は、暗号分野に真の汎用暗号計算機をもたらし、新たな設計空間を切り開く：ダークプール、プライベートファンドプール、プライベートレンディング、ブラインドオークション、機密トークン、新しいクリエイティブ市場など、既存の透明チェーン上でも実現可能。
• ビットコインはパブリックな分離状態をもたらし、Ethereumはパブリックな共有状態をもたらし、Zcashは暗号化分離状態をもたらした。プライバシー2.0は最後のピースである「暗号化共有状態」を埋める。
• Arciumは、このような暗号計算機を構築しており、Succinctなどの証明ネットワークに似たアーキテクチャだが、ゼロ知識証明の代わりに多人数計算を使用し、ArcisツールでRustを多人数計算プログラムにコンパイルし、多ユーザー暗号計算を実現。
• プライバシー2.0をベースにした新しいアプリケーションには、UmbraによるArciumを使った機密残高と交換のプライバシープール、Pythiaのプライベートチャンスマーケット、Meleeのプライベートオッズ＆アービトラージ意見市場（近日公開）などがある。

私たちが今日に至るまでの過程、そして暗号化共有状態がなぜこれほど重要なのかを理解するには、プライバシー技術の起源から語る必要がある。

プライバシー1.0

暗号プライバシーの第一波はここから始まった。

ユーザーは、ミキサー、プライバシーファンドプール、プライバシー暗号通貨を通じて、ついに取引プライバシーを獲得した。その後、一部のアプリケーションは法的問題に直面し、プライバシーツールが違法行為をどのように扱うべきか、または扱うべきでないかについての議論を引き起こした。

プライバシー1.0は単一ユーザープライバシーモードを切り開いた。人々は調整はできても、プログラム可能なブロックチェーンのように動的な協力はできず、プライバシーの表現力は限られていた。

プライバシー1.0の主な特徴：

• 共有状態なし、「単一ユーザーモード」のプライバシー、アプリケーション範囲は限定的
• 主にゼロ知識証明技術に依存
• クライアント側ゼロ知識証明はプライバシー性が高いが、複雑なアプリケーションでは速度が遅い
• 開発者体験が厳しく、カスタム回路を自作してプライバシーアプリを構築する必要がある

暗号プライバシーは、実はビットコインで最初に登場し、ゼロ知識証明などの高度な暗号技術が暗号分野に入るよりも何年も早かった。初期のビットコインプライバシーは、本当の「暗号学的プライバシー」ではなく、パブリックレジャーの決定的な関連性を断つための巧妙な調整技術だった。

最初は2013年のCoinJoinで、ユーザーがトランザクションのインプットとアウトプットをまとめて支払い関係を混乱させた。ほとんど暗号技術を用いていなかったが、トランザクションレベルのプライバシーを導入した。

その後、CoinShuffle（2014）、JoinMarket（2015）、TumbleBit（2016）、Wasabi（2018）、Whirlpool（2018）などのアプリが登場し、いずれもミキシングプロセスをベースにビットコインの追跡困難性を高めた。インセンティブを追加したり、階層型暗号化やUX改善を施すものもあった。

これらはいずれも強力な暗号学的プライバシーを提供していない。関連性を曖昧にするが、後のゼロ知識証明システムがもたらす数理的保証や信頼不要のプライバシーはなかった。調整・ヒューリスティック・ミキシングのランダム性に頼り、形式的な匿名性証明には依存していなかった。

プライバシー暗号通貨

Moneroは2014年に登場し、透明なブロックチェーンの付加的なプライバシーツールではなく、完全なプライベート送金を実現する完全プライバシーブロックチェーン構築への初の本格的な試みとなった。そのモデルはリング署名による確率的プライバシーであり、各トランザクションで本当のインプットが16個のダミー署名と混ぜられる。実際には、この設定はMAPデコーダーのような統計攻撃やネットワーク層攻撃によって匿名性が低下する可能性がある。将来のアップグレードであるFCMPは、匿名セットをチェーン全体に拡大することを目指している。

Zcashは2016年に登場し、Moneroとは全く異なる道を選んだ。確率的プライバシーに頼らず、最初からゼロ知識証明トークンとして設計された。zk-SNARKsによるプライバシープールを導入し、ユーザーに暗号学的なプライバシーを提供、ダミー署名に混ぜるのではなく、正しく使えばZcashトランザクションは送信者・受信者・金額情報を漏らさず、プライバシープール内のトランザクション数とともに匿名性が高まる。

Ethereumのプログラム可能なプライバシーの登場

Tornado Cash（2019）

Tornado Cashは2019年に登場し、Ethereumに初めてプログラム可能なプライバシーをもたらした。プライベート送金に限られたが、ユーザーは初めて資産をスマートコントラクトのミキサーに預け、ゼロ知識証明で引き出すことで、透明台帳上で本当のプライバシーを得られた。Tornadoは合法的な利用が多かったが、DPRKによる資金洗浄で大規模な違法利用が発覚し、深刻な法的問題となった。これは資金プールの健全性維持のため、違法ユーザーを排除する必要性を浮き彫りにし、現代のプライバシーアプリの多くは既にこの対策を実装している。

Railgun（2021）

Railgunは2021年後半に登場し、Ethereumのプライバシーを単なるミキシングから更に発展させ、プライベートなDeFiインタラクションを実現しようとした。預入・引き出しのミキシングだけでなく、ユーザーがゼロ知識証明によりスマートコントラクトと秘密裏にやり取りでき、残高・送金・オンチェーン操作を隠しつつEthereum上で決済できる。これはTornadoモデルより一歩先に進み、スマートコントラクト内で持続的なプライベート状態を提供した。Railgunはいまも活発で、いくつかのDeFiコミュニティで採用されている。Ethereum上の最も野心的なプログラム可能プライバシーの試みの一つだが、UXが主な障害である。

先に進む前に、現代でも広く存在する誤解を明確にしておく必要がある。ゼロ知識証明システムが普及するにつれ、「ゼロ知識」とつけばプライバシーだと考える人が増えた。しかし、それは正しくない。今日の「ゼロ知識」技術の多くは有効性証明であり、スケーリングや検証には優れているが、プライバシーを一切提供しない。

マーケティングと現実の乖離により、「プライバシーのためのゼロ知識証明」と「検証のためのゼロ知識証明」が混同され、全く異なる課題を解決しているにもかかわらず、長年誤解されてきた。

プライバシー2.0

プライバシー2.0は多ユーザーモードのプライバシーである。ユーザーはもはや孤立せず、プログラム可能ブロックチェーンで協働するように秘密裏に協働できる。

プライバシー2.0の主な特徴：

• 暗号化共有状態、「多ユーザーモード」のプライバシー
• 多人数計算と完全準同型暗号に基づく
• プライバシーの信頼仮定は多人数計算に依存。完全準同型暗号も同様で、暗号化共有状態の閾値復号には多人数計算が必要
• 回路は抽象化され、開発者はカスタム回路を書く必要がない（必要な場合を除く）

これは暗号計算機によって実現され、複数人が暗号化状態上で共同作業ができる。多人数計算と完全準同型暗号がそのコア基盤技術であり、両者は暗号化データでの計算をサポートする。

それは何を意味するのか？

EthereumやSolanaの共有状態モデルが、今やプライバシー条件下で可能になった。これは単発のプライベート取引でも、何かを秘密裏に証明するだけのツールでもなく、汎用の暗号計算機である。

暗号分野にまったく新しい設計空間を切り開く。その理由を理解するには、暗号分野における状態の進化を振り返る必要がある：

• ビットコインはパブリックな分離状態をもたらした
• Ethereumはパブリックな共有状態をもたらした
• Zcashは暗号化分離状態をもたらした

ずっと欠けていたのは暗号化共有状態だった。

プライバシー2.0はこの空白を埋める。それは新しい経済、新しいアプリケーション、そしてこれまでにない新しい分野を生み出す。私にとって、これはスマートコントラクトやオラクル以来、暗号分野で最も重要なブレークスルーだ。

Arciumはこうした技術を構築している。

そのアーキテクチャは、SuccinctやBoundlessなどの証明ネットワークに似ているが、ゼロ知識証明による検証ではなく、多人数計算による暗号データ計算を行う。

SP1やRISC ZeroがRustをゼロ知識証明プログラムにコンパイルするのとは違い、ArciumのArcisはRustを多人数計算プログラムにコンパイルする。簡単に言えば「暗号計算機」だ。

もう一つの例えは「プライバシー分野のChainlink」である。

チェーンや資産に依存しないプライバシー

Arciumはチェーン非依存設計で、あらゆる既存ブロックチェーンと接続可能。EthereumやSolanaなどの透明チェーン上で暗号化共有状態を実現する。ユーザーは慣れ親しんだエコシステムを離れることなくプライバシーを得られる。まずSolanaでローンチし、メインネットAlpha版は今月リリース予定。

ZcashやMoneroはプライバシーを自通貨に内包する。それは有効だが、独自のボラティリティを持つ通貨世界を生み出す。Arciumは資産非依存のアプローチで、既存資産にプライバシーを付加する。設計とトレードオフは異なるが、柔軟性はユーザーにとって重要だ。

このため、プライバシーが必要なユースケースはほぼすべて暗号計算上で実行できる。

Arciumの影響は暗号分野を超える。それはブロックチェーンではなく、暗号計算機であり、同じエンジンは伝統産業にも明確に適用できる。

ゼロからイチへのアプリケーションと機能

暗号化共有状態は、暗号分野に前例のない設計空間をもたらす。そのため以下のようなアプリが生まれている：

@UmbraPrivacy：Solanaプライバシープール。UmbraはArciumを使い、Railgunではできなかった機能を実現。機密残高とプライベート交換をサポートし、送金処理にはゼロ知識証明を使用。最小限の信頼仮定で、単なるプライベート送金を超える機能を提供。統一プライバシープールSDKも用意されており、どのプロジェクトもSolana取引プライバシーを簡単に統合できる。

@PythiaMarkets：スポンサー向けにプライベートウィンドウを提供するチャンスマーケット。新しい情報市場で、スカウトが未開拓のチャンスに賭け、スポンサーはアルファを漏らさず情報を発見できる。

@MeleeMarkets：バインディングカーブ付き予測市場。Pumpfunに似ているが予測市場用。早いほど良い価格で参加可能。今後、意見市場を開発し、ユーザーは本音で意見表明でき、オッズや裁定はプライベートに行われ、集団崩壊やオラクル操作問題を解決する。Arciumが意見市場とプライベート裁定に必要なプライバシーを提供。

ダークプール：@EllisiumLabs、@deepmatch_enc、Arciumのダークプールデモなどが、暗号化共有状態を使いプライベート取引を実現。フロントランや見積消失を防ぎ、最良の執行価格を得られる。

オンチェーンゲーム：Arciumは暗号化共有状態で隠し状態とCSPRNG乱数を動かすことで、秘密性と公正なランダム性を復活させる。ストラテジーゲーム、カードゲーム、霧の戦争、RPG、ブラフゲームもついにオンチェーンで実現可能に。すでに複数のゲームがArcium上で稼働。

プライベートパーペチュアル、プライベートレンディング、ブラインドオークション、暗号機械学習予測や協調AIトレーニングも将来の注目ユースケース。

これらの例以外にも、ほぼすべてのプライバシーが必要なプロダクトを構築できる。Arciumは汎用暗号実行エンジンで開発者に完全なカスタマイズ能力を提供し、UmbraはSolana送金・交換のSDKも提供。両者の組み合わせで、Solana上でのプライバシー実装が複雑システムでも簡単な統合でも直接的になる。

Confidential SPL：Solana新プライバシートークン標準

ArciumはC-SPL、すなわちSolanaの機密トークン標準も構築中。従来のSolana「プライバシー1.0」トークン標準の課題（統合困難、機能制限、オンチェーンプログラム非対応）を解決。C-SPLはこれらを改善し、プライバシートークン普及の障壁を除去。

これにより、プライバシートークンはどのアプリにも容易に統合でき、ユーザー負担も増えない。

SPL Token、Token-2022、プライバシー送金拡張、Arcium暗号計算の統合により、C-SPLはSolana機密トークンに実用的かつ完全にコンポーザブルな標準を提供する。

結び

私たちはまだこの発展の初期段階にあり、分野はどの単一アプローチよりも広大だ。ZcashとMoneroはそれぞれの分野で重要な課題を解決し続けており、初期プライバシーツールもその可能性を示した。暗号化共有状態は、多ユーザーが同一状態で秘密裏に操作し、既存エコシステムを離れる必要がないことで、全く異なる次元の課題を解決する。それは空白を埋めるものであり、過去を置き換えるものではない。

プライバシーは、選択的な専門機能から、アプリ構築の中核要素へと徐々に移行している。それは新しい通貨やチェーン、新経済システムを必要とせず、単に開発者の能力範囲を拡張するだけである。前時代がパブリック共有状態を基盤としたなら、次世代は暗号化共有状態でその基盤を拡張し、これまで欠けていたレイヤーを追加することになる。