スマートコントラクト・プライバシー研究 Deep Dive

02Hawk → ZEXE → VeriZEXE 系譜

ZK ベース SC プライバシーの主流系譜。2016 年の Hawk が「private contract」概念を導入し、2020 年の ZEXE が trustless decentralized private computation (DPC) に拡張、2023 年の VeriZEXE が verifier 効率化を達成。三世代の進化を数式・回路・gas コストで追う。

系譜タイムライン

Hawk (Kosba, Miller, Shi, Wen, Papamanthou — IEEE S&P 2016)

Hawk が残した遺産: 「private contract = on-chain commitment + off-chain compute + ZK proof」という基本パターンを確立。後続 (Ekiden, Zexe, Aztec Connect) はすべてこのテンプレートの変種。

ZEXE (Bowe, Chiesa, Green, Miers, Mishra, Wu — IEEE S&P 2020)

VeriZEXE (Xiong, Chen, Zhao, Wang, Long — USENIX Security 2023)

三世代の数式比較

典型的 birth-death predicate の擬似コード

// ZEXE における private payment の predicate 擬似コード
predicate PaymentBirth(record r) {
  assert r.data.amount >= 0;
  assert r.data.owner_pk != 0;
  return true;
}

predicate PaymentDeath(record r, witness w) {
  // 所有権の証明
  assert verify_signature(r.data.owner_pk, w.sig, r.cm);
  return true;
}

tx Transfer(in: [r1, r2], out: [r3, r4]) {
  assert sum(in.data.amount) == sum(out.data.amount);  // 保存則
  assert PaymentDeath(r1) and PaymentDeath(r2);
  assert PaymentBirth(r3) and PaymentBirth(r4);
  // すべて ZK proof π で証明
}

03言語アプローチ — DSL / Compiler 設計

ZK 回路の手書きは熟練者でも数週間かかる作業。zkay (CCS 2019) を皮切りに、Solidity ライクな DSL から ZK 回路を自動生成する言語アプローチが台頭した。所有権アノテーション、暗号化変数、自動 proof 生成といった抽象化により、ZK 経験ゼロの開発者が private SC を書けるようにする試み。

DSL 進化マップ

zkay (Steffen, Bichsel, Schläpfer, Vechev — CCS 2019)

// zkay の擬似コード例
contract PrivateAuction {
  final address seller;
  mapping(address => uint@me) bids;  // 各 bidder のみ自分の bid を見える
  uint@seller best_bid;                  // seller のみ最高入札を見える

  function submit_bid(uint@me amount) {
    bids[me] = amount;
    if (reveal(amount > best_bid, seller)) {
      best_bid = amount;  // re-encrypt for seller
    }
  }
}

ZeeStar (Steffen, Bichsel, Vechev — IEEE S&P 2022)

Eagle / Seahorse — 効率と統合への試み

DSL コンパイルパイプライン

04UC フレームワーク — KACHINA

単独の private SC を作るのは可能でも、複数の private SC が互いに呼び合うとき安全性は維持されるか。Universal Composability (UC) は Canetti が提唱した形式手法だが、SC privacy への適用は KACHINA (CSF 2021) で初めて達成された。理論は美しい、しかし具体的 instantiation はほぼゼロ — これ自体が大きな研究機会。

KACHINA (Kerber, Kiayias, Kohlweiss — CSF 2021)

KACHINA の意義

KACHINA を実装するための研究機会

UC framework と従来 game-based モデルの比較

KACHINA のアーキテクチャ概念図

05TEE 系 — Ekiden / Phala / Oasis Sapphire

Trusted Execution Environment (TEE) は CPU 内の暗号化メモリ領域 (Intel SGX, AMD SEV) で計算を実行し、attestation で正当性を証明する技術。「計算は速い、しかし HW vendor を信頼しなければならない」 という根本トレードオフを抱える。Ekiden が学術的基盤を、Sapphire / Phala / Secret Network が production 化を担う。

Ekiden (Cheng, Zhang, Kos, He, Hynes, Johnson, Juels, Miller, Song — IEEE EuroS&P 2019)

Oasis Sapphire — production EVM-compatible confidential L1

Phala / Secret Network

TEE vs ZK の根本比較

06FHE 系 — SmartFHE / Zama fhEVM

Fully Homomorphic Encryption は理論上「完璧な privacy」を提供する: 暗号文のまま任意計算可能、誰も plaintext を見ない、HW 信頼不要。しかし 10⁴–10⁶ 倍遅い。SmartFHE (EuroS&P 2023) が SC 統合の理論を、Zama fhEVM が実装を進めるが、本番 gas 予算とは桁違いの差が残る。

SmartFHE (Solomon, Almashaqbeh — EuroS&P 2023)

// SmartFHE precompile addresses (proposal)
0x80: FHE_AND(c1, c2)    → c1 ∧ c2  (~1ms gate)
0x81: FHE_OR(c1, c2)     → c1 ∨ c2
0x82: FHE_XOR(c1, c2)    → c1 ⊕ c2
0x83: FHE_NOT(c1)        → ¬c1
0x84: FHE_BOOTSTRAP(c)   → noise refresh (~10ms)
0x85: FHE_DECRYPT(c, sk) → plaintext (off-chain)

Zama fhEVM — production への挑戦

// Zama fhEVM での暗号化型の使用例
import "fhevm/lib/TFHE.sol";

contract PrivateAuction {
  mapping(address => euint32) bids;  // 暗号化整数
  euint32 highest_bid;

  function submit_bid(bytes calldata enc_amount) public {
    euint32 amount = TFHE.asEuint32(enc_amount);
    bids[msg.sender] = amount;
    ebool is_higher = TFHE.gt(amount, highest_bid);
    highest_bid = TFHE.cmux(is_higher, amount, highest_bid);
  }
}

FHE-MEV — Flashbots / Imperial 概念実証

FHE の根本ボトルネック

07現状課題 — 6 大未解決問題

SC privacy 研究は 10 年経っても production deployment は限定的。「なぜ広まらないか」を 6 つの根本課題に分解し、それぞれの「なぜ難しいか」「既存試み」「研究機会」を整理する。これらは博士テーマや Bug Bounty / Audit business のシーズでもある。

未解決課題マトリクス

08論文インデックス — 25+ 主要論文

SC privacy 研究の主要論文を、アプローチ別 (ZK / TEE / FHE / MPC / Lang / UC) にカード化。各論文に 著者の貢献、limitation、今後の課題 を明示。