[[alloc] init]] のShielded Bitcoin提案によりプライベートビットコイン取引が可能に

この記事はBitcoin Magazineに最初に掲載されました。

[[alloc] init]]の研究者Clara Shikhelman、Misha Komarov、Aleksei Moskvinは、ビットコインのベースレイヤー向けに設計されたプライバシーメタプロトコル「Shielded Bitcoin」を発表しました。これは、オペレーター、ソフトフォーク、その他のコンセンサス変更を必要とせずに、シールドされた取引を可能にします。ホワイトペーパーはこちら、ブログ発表はこちらからご覧いただけます。

このプロトコルは、強力なプライバシー保護取引のためのトランザクション構造とインデックスプロトコルを定義します。これはビットコインのPIPEsを活用して、システムへの資金のペグインおよびペグアウトを行います。PIPEsメカニズムの詳細はこの記事の後半で説明します。

システムの設計はビットコインと非常に似ています。つまり、ノートと呼ばれるUTXO相当のものがあり、トランザクションは標準的なビットコイン取引と同様にノートをインプットとして消費し、ウィットネスがインプットが適切に認証されていることを検証し、ノード（このメタプロトコルのインデクサーとして機能）がトランザクション履歴を解析して使用済みおよび未使用のコインの現在の状態を構築します。

しかし、具体的な点は大きく異なります。

Shielded Bitcoinトランザクションは、OP_RETURN、ウィットネスフィールド、またはその他のデータ運搬方法を介してビットコイン取引に埋め込まれた、プレフィックス（例：「shbtc:」）付きのデータブロブです。ビットコインネットワークはこれらのトランザクションのルールを検証したり強制したりしません。無効なShielded Bitcoinトランザクションがオンチェーンに現れる可能性があります。Shielded Bitcoin Indexer（パッシブなブロックチェーンウォッチャー）は、検証に失敗したものを無視し、ネットワークの残高状態に適用しません。

インデクサーは、ビットコインがUTXOで行うように未使用ノートセットからノートを削除するのではなく、無効化子セットを使用します。これにより、ユーザーはどのノートが使用されたかを明かさずに、暗号化された証明書と無効化子を公開することができます。システムは未使用ノートセットをチェックする代わりに、無効化子が以前に使用されたかどうかをチェックします。インデクサーは、作成されたすべてのノート出力の追加専用のマークルツリーと、無効化子セットを構築します。

プロトコルを使用するには、ビットコインノードとShielded Bitcoinインデクサーのみが必要です。資金の復旧のためにサービスプロバイダー、コーディネーター、またはオフチェーン状態は必要ありません。オンチェーンのビットコインと同様に動作し、ノード/インデクサーとユーザーの鍵のみが必要です。

ユーザーのウォレットはマスターシークレットキーを導出し、そこから他のすべての鍵セットが生成されます。

これはビットコインのHDウォレットとほぼ同じように機能し、複数のアドレスセットの生成を可能にします。sk_spendは秘密鍵、sk_nfはノート出力を無効化し、vk_inは受信ノートを復号・表示し、vk_outは送信トランザクションを表示し、sk_viewは受信アドレスを生成します。

資金を受け取るためのアドレスを提供するために、ユーザーはダイバーシファイア値d（派生値に類似）を生成し、それを自身のsk_view鍵と乗算します。結果として得られる公開鍵pk_dとdがユーザーのアドレスを構成します。

送信者はランダムなr_seed値を生成します。これはノート出力の暗号化と無効化に必要です。トランザクション出力には、出力値、受信者のd値、送信者のr_seedの3つの暗号化されたコンポーネントのみが含まれます。送信者は秘密の一時鍵ペアと受信者の公開鍵を使用して共有シークレットを導出します。両者は、自身の秘密鍵を相手の公開鍵と乗算することで同じシークレットを計算できます。ノート出力はこの共有シークレットで暗号化され、一時的なsk_ephは暗号化されずに含まれ、受信者が共有シークレットを再作成できるようにします。

インプット側で有効なトランザクションには、2つの要素が必要です。消費されたノート出力の公開無効化子と、ゼロ知識証明（1）ノート出力がノートのマークルツリーの一部であること、（2）トランザクションが正しいsk_spend鍵によって認証されていること、（3）無効化子が適切に導出されていること、（4）インフレーションが発生していないこと、を証明するものです。

無効化子は、sk_nf鍵、r_seedから導出されたρ値、およびノートのマークルツリー内の位置を使用します。ゼロ知識証明はこれらの要素すべてをカバーするため、無効化子の重複を数えることで、消費されたノートを削除する代わりになります。特定のノート出力がどの無効化子に関連しているかは不明ですが、すべてのトランザクションの証明により、追加された各無効化子が有効なノート出力に由来することが保証されます。重複がない限り、システムは同じ二重支払い防止を提供します。

要するに、このプロトコルは暗号化されたメタプロトコルトランザクションをビットコインブロックチェーンに埋め込みながら、二重支払いを防止し、インフレーションを防ぐことを可能にします。

このシステムはプライバシーのためにうまく設計されており、Zcashのシールドプールに匹敵します。メタプロトコルへの出入りに関するプライバシーの考慮事項があり、これについては後日発表予定の論文で詳述されます。コインジョインとは異なり、定期的なリミキシングやプライバシーの測定は必要ありません。

ペグは、ウィットネス暗号化スキームであるPIPEs v2を使用して構築される予定です。PIPEsは、条件（例：UTXOの状態やトランザクションの確認）が満たされたことを示すZK証明が提供された場合にのみ鍵を公開するメカニズムで秘密鍵を暗号化することを可能にします。これにより、ペグはオペレーター、フェデレーション、または第三者カストディなしで動作できます。

このシステムは、ビットコインのプロトコルに対するソフトフォークや変更を必要とせず、完全にオフチェーンで動作します。

Shielded Bitcoinの次のステップは、ユーザーがPIPEsで暗号制御された鍵を介して資金を預け入れることを可能にするペグメカニズムです。これらの資金は、正当なオンチェーンペグアウトトランザクションのZK証明を生成することで「アンロック」されます。

この側面を詳述する論文の作業は進行中であり、まもなく公開される予定です。