HFIPay: 人間に優しい識別子を用いたプライバシー保護型クロスチェーン暗号通貨決済

技術的サマリー（日本語）

本論文は、HFIPay（Human-Friendly Identifier Pay）と呼ばれる新しいプロトコルを提案しています。これは、電子メールや電話番号などの「人間に優しい識別子」宛てに暗号通貨を送金する際、従来のブロックチェーンアドレスの複雑さを解消しつつ、受信者のプライバシー（残高や取引履歴の秘匿）を強力に保護する仕組みです。

以下に、問題定義、手法、主要な貢献、結果、および意義について詳細にまとめます。

1. 背景と問題定義

UX の障壁とプライバシーのジレンマ
現在の暗号通貨決済は、ユーザーに以下の課題を強いています。

• UX の複雑さ: 16 進数の長いアドレス、ネットワークの選択、ガス代（ネイティブトークン）の準備が必要で、非技術者には利用が困難です。
• プライバシーの欠如: 電子メールや電話番号などの識別子を直接ブロックチェーンアドレスにマッピングする単純な方式（例：keccak256(identifier) → address）は、識別子を知る第三者が受信者のアドレスを推測でき、そのアドレスの全取引履歴、残高、取引相手関係を完全に追跡できてしまいます。特に公人の場合、このプライバシー漏洩は深刻なリスクとなります。

既存ソリューションの限界

• ENS などの名前サービス: 識別子とアドレスの対応を公開しているため、プライバシー保護にはなりません。
• ミキサー（Tornado Cash など）: 送受信者のリンクを断ちますが、人間に優しい識別子によるルーティング機能は提供していません。
• セントラル化された送金サービス: 識別子解決を行いますが、資金を管理（カストディ）し、送信先を決定する権限を持つため、非カストディアルな暗号通貨の原則と矛盾します。

2. 提案手法：HFIPay のアーキテクチャ

HFIPay は、**「識別子のルーティング」「レシーバーのバインディング」「送信者側の見積もり検証」「オンチェーンでの請求（Claim）承認」**を分離することで、UX とプライバシーを両立させます。

2.1 主要な構成要素

1. リレー（Relay）: 非公開のディレクトリを保持し、人間に優しい識別子（例：alice@example.com）を解決するサービス。資金を管理せず、送金手数料を代行支払う「リレーヤーペイズモデル」を採用。
2. ZK-ACE (Zero-Knowledge Authorization for Cryptographic Entities): 受信者が、自身の識別子（秘密鍵）を明かさずに、特定の意図（Intent）に対して資金を請求できることを証明するゼロ知識証明システム。
3. Va-Dar: 受信者が複数のデバイス間で、識別子とパスフレーズから同一の決定論的アイデンティティを再導出するためのプライベート回復メカニズム。
4. n-Vm ランタイム: クロスチェーン決済を可能にする、複数の仮想マシン（EVM, SVM など）を統括するレイヤー。

2.2 プロトコルの流れ

1. 登録とバインディング:

   • 受信者は、決定論的アイデンティティのルートから、エポック（期間）ごとの「バインディングハンドル」を生成します。
   • ベースラインモード: リレーが識別子とバインディングの対応を信頼ベースで管理。
   • 検証済み見積もりモード（Verified-Quote）: 第三者（バインディング層）が識別子とバインディングの対応を証明（Attestation）し、送信者がオフチェーンでその証明を検証可能にします。これにより、リレーによる受信者のすり替えを防ぎます。

2. 見積もりと意図（Intent）の作成:

   • 送信者が識別子と送金額を指定すると、リレーはランダムな intentId を生成し、決定論的な一時的な預入アドレス（α）を導出します。
   • リレーは、受信者の隠されたハンドルから導出された**「ブラインドバインディング（ρ）」**と、見積もりされた資産情報をオンチェーンにコミットします。
   • 重要: 識別子自体や再利用可能な受信者タグはオンチェーンに現れません。

3. 資金の送金（Funding）:

   • 送信者は、リレーが提示した見積もり（および検証済みモードでは証明）を確認後、指定されたアドレス α へ資金を送金します。
   • オンチェーンでは、ブラインドバインディング ρ と資産情報が意図として登録されます。

4. 請求（Claim）:

   • 受信者は通知を受け取り、ZK-ACE を使用して、自身のアイデンティティがその intentId と ρ に対応するブラインドバインディングを正当に生成できることを証明します。
   • このゼロ知識証明がオンチェーンで検証され、資金が受信者の指定した宛先に解放されます。
   • 証明は「どの識別子から来たか」を明かさず、かつ「意図された金額と資産」のみを解放するよう強制します。

3. 主要な貢献

1. プロトコル設計:
   • 意図ごとのブラインドバインディングと見積もり付きアセットタプルを資金送金前にコミットするレイヤー設計。
   • 検証済み見積もりモードの導入により、資金送金前にリレーによる受信者すり替えを検知可能に。
2. 承認の構成（Authorization Composition）:
   • ZK-ACE と Va-Dar を組み合わせ、公開レジストリなしでデバイス間でのプライベートな回復と請求承認を実現。
3. プライバシー分析の定式化:
   • 列挙耐性（Enumeration Resistance）: 識別子を知っている観察者が、どのオンチェーン意図がその識別子に属するかを特定できないことを証明。
   • 請求前の非リンク性（Pre-Claim Unlinkability）: 同一識別子への複数の未請求送金間が、オンチェーンデータからリンクできないことを証明。
4. クロスチェーン対応:
   • n-Vm ランタイムと組み合わせることで、異なるチェーン間での決済を、同一の請求メカニズムで実現。

4. 結果と特性

• プライバシーの保証:
  • オンチェーンにはランダムな intentId、ブラインドバインディング ρ、決定論的アドレスのみが現れます。
  • 観察者は識別子と意図の対応、あるいは同一受信者への複数送金の関連性を特定できません。
  • 請求後、宛先アドレスや公開コミットメントが再利用されない限り、リンク性は維持されます。
• セキュリティと信頼モデル:
  • 非カストディアル: リレーは資金を管理せず、請求の権限も持ちません。
  • 検証済み見積もりモード: 送信者がオフチェーンで証明を検証することで、リレーが意図を改ざんしたり、異なる受信者に資金を誘導したりするのを防ぎます。
  • リレー侵害への耐性: リレーのデータベースが侵害されても、オンチェーンの意図は変更できず、ZK-ACE 証明なしに資金を引き出すことはできません（ただし、過去の取引グラフは再構築される可能性があります）。
• クロスチェーン機能:
  • BTC, ETH, SOL などの異なるチェーン間での送金を、ユーザーがチェーンやガス代を意識することなく実現します。

5. 意義と将来展望

意義
HFIPay は、暗号通貨の普及を阻害していた「UX の壁」と「プライバシーの壁」を同時に解決する画期的なアプローチです。

• UX: 銀行振込のように「メールアドレス宛て」に送金できる体験を提供。
• プライバシー: 識別子から取引履歴を推測できないようにし、公人などのプライバシーを保護。
• 信頼の最小化: 従来のセントラル化された送金サービス（カストディ）のリスクを排除しつつ、完全な非中央集権的なプライバシー（ミキサー等）の複雑さを軽減する「中間的な信頼モデル」を確立しました。

将来の課題

• 証明の最適化: 送信者検証用見積もり証明の圧縮・集約によるレイテンシ低減とコスト削減。
• ディレクトリのフェデレーション: 単一リレーの侵害リスクを分散させるための分散型ディレクトリの実装。
• 証明の集約: 高スループットな決済ハブにおける検証コストの削減。
• 最初の受信者オンボーディング: 未登録の受信者に対する最初の送金フローの確立。

結論

HFIPay は、プライバシー保護、検証可能性、そして人間に優しい UX を統合した、新しい暗号通貨決済のパラダイムを提示しています。リレー支援型でありながら非カストディアルなアーキテクチャは、ブロックチェーンのプライバシーと実用性の両立に向けた重要な一歩となります。