技術的概要：ビットコインおよびその仲間のための確率的原子スワップ

1. 問題定義

原子スワップは、デジタル資産の信頼不要なチェーン間交換を可能にする基本的な暗号学的プリミティブであり、「すべてか無か」の保証を提供する。つまり、両当事者が合意した資産を受け取るか、あるいはどちらも受け取らないかのいずれかである。強力ではあるが、この決定論的な性質は、意図された結果が確率的である交換を排除する。ブロックチェーン上の確率的交換（例えば、宝くじ、賭け、またはランダムな割当）に対する既存の解決策は、重大な制限に直面している。

• 複雑性とコスト: これらはしばしば複雑なスマートコントラクトや精巧なスクリプトレベルのメカニズムを必要とし、トランザクションサイズの増大、手数料の上昇、スクリプトサポートが限られたチェーン（ビットコインなど）への移植性の低下をもたらす。
• プライバシーと代替可能性: 複雑なスクリプトは、オンチェーンでの振る舞いを識別可能にし、プライバシーと代替可能性を弱体化させる。
• 参加制約: 既存の多くの宝くじプロトコルは、固定された既知の参加者セットを必要とし、オープンで許可不要な環境には不適切である。
• バイアス脆弱性: 従来のアプローチは、結果が不利益な場合に当事者が結果を予測し、選択的に中止することで実効確率にバイアスをかけることを防げないことが多い。

核心的な課題は、既存の原子スワッププロトコルの最小限のオンチェーンフットプリントを変更したり、信頼された仲介者を導入したりすることなく、一方の当事者がより大きな報酬を受け取るための固定された公的に指定された確率に対して支払うという確率的設定へ原子スワップを拡張することである。

2. 手法とプロトコル設計

著者は、規定された結果分布を有する公正な交換を実現する新しい暗号学的プリミティブである確率的原子スワップを導入する。このプロトコルには、**ディーラー（D）と当事者（P）**の 2 者が関与する。P は、D からより大きな報酬（$\nu$ 枚のコイン）を受け取る確率 $p$ と引き換えに、固定された金額（例えば 1 コイン）を転送する。確率的イベントが発生しない場合、P は何も受け取らず、D は支払いを保持する。

核心的な暗号学的構成要素

この構築は、標準的なビットコイン風スクリプト（デジタル署名とタイムロック）と互換性のある 3 つの主要な構成要素に依存している。

1. アダプター署名: 原子性を保証するために使用される。これらは、特定の証人（秘密）が知られている場合にのみ、プレ署名を完全な署名に適応させることを可能にする。これにより、秘密の開示がオンチェーン取引の完了に結び付けられる。
2. オブリビオス擬似ランダム関数（OPRF）: 確率的結果を符号化するために使用される。ディーラーは秘密鍵 $sk_D$ を保持する OPRF サーバーとして機能する。当事者は入力（「推測」$y_{gss}$）を保持する。OPRF を使用すると、ディーラーは推測を知ることも、当事者は鍵を知ることもなく、当事者は評価 $OPRF(sk_D, y_{gss})$ を取得できる。
3. ゼロ知識証明（NIZK）: プロトコル文書の正当性を証明するために使用され、ディーラーが確率分布を操作できないことを保証する。

プロトコルフロー

プロトコルは 4 つのフェーズに分割される。

1. セットアップと資金調達:

   • ディーラーはサイズ $m$ のドメインからターゲット値 $y_{tgt}$ をサンプリングする（ここで $p = 1/m$）。
   • ディーラーは「勝利証人」$y_{win} = OPRF.Eval(sk_D, y_{tgt})$ を計算し、ステートメント $Y_{win} = g^{y_{win}}$ を構築する。
   • ディーラーは $Y_{win}$ と正当性の NIZK 証明を当事者に提供する。
   • 両当事者は、資金を 2 者間 DKG プロトコルを通じて生成された一時的な鍵対によって制御されるタイムロック付きスクリプトにロックする。

2. ディーラーの請求（サービスとしての OPRF 評価）:

   • 当事者は推測 $y_{gss}$ を選択し、ディーラーにブラインド化された OPRF 要求を送信する。
   • ディーラーは OPRF を評価し、結果を一時鍵 $Z$ で暗号化し、正しさの NIZK 証明と共に暗号文を提供する。
   • 重要なのは、ディーラーが $Z$ をアダプターステートメントとして使用して、当事者の支払い取引をプレ署名することである。
   • ディーラーは、復号鍵 $z$（$Z$ の証人）を使用してこのプレ署名を適応させ、当事者の支払いを請求する取引をブロードキャストする。
   • 原子性: 当事者は、ディーラーが支払いを受け取った後にのみ、オンチェーン署名から $z$ を抽出できる。$z$ は OPRF 応答を復号するために必要である。

3. 当事者の請求:

   • 当事者は $z$ を抽出し、OPRF 応答を復号して、候補証人 $y'_{win}$ を計算する。
   • $y'_{win}$ が勝利証人と一致する場合（すなわち $y_{gss} = y_{tgt}$）、当事者はディーラーのプレ署名を適応させて報酬を請求する。
   • 推測が誤っている場合、当事者は適応に役立つ何も得られない。

4. タイムアウト/返金:

   • ディーラーがタイムアウト内に支払いを請求しない場合、当事者はロックされた資金を返金する。
   • 当事者がタイムアウト内に報酬を請求しない場合、ディーラーはロックされた資金を返金する。

正当性証明

重要な技術的貢献は、ターゲットを明かさずに、$Y_{win}$ が正しいドメイン内の値に対する有効な OPRF 評価に対応することを証明することである。著者は 2 つの実装を提案する。

• Bulletproofs: 2HashDH OPRF の構造を証明するために R1CS 制約を使用する。定数の証明サイズと検証時間を提供するが、ランダムオラクルの実装を必要とする。
• カットアンドチョイス: ディーラーが複数のインスタンスを提供し、当事者がランダムな部分集合を検証する技術である。著者は OPRF を修正して、ターゲット値を明かさずにインスタンスを開くことを可能にし、ディーラーが不正を働いた場合でも勝利確率が正確に $1/m$ であることを保証する。このアプローチは、高い勝利確率（$p \ge 1/2^{12}$）の場合により効率的である。

3. 主要な貢献

• 新しいプリミティブ: 決定論的原子スワップを確率的結果に一般化する理想的な機能を通じて正式に定義された、確率的原子スワップの導入。
• 最小限のオンチェーンフットプリント: このプロトコルは、標準的なビットコインスクリプト（署名とタイムロック）のみを必要とする。複雑なスマートコントラクトや新しいオプコードを必要としないため、原子スワップをサポートするビットコイン、ライトコイン、および他のチェーンですぐに展開可能である。
• 支払いのための OPRF 評価: 著者は、支払いに紐付いた OPRF 評価の原子交換のための新規メカニズムを開発した。これにより、当事者が結果を知る前にディーラーが支払いを受け取ることを保証し、バイアスを防止する。このツールは、支払い駆動型のレート制限などの応用において、独立した関心を持つものとして注目されている。
• 形式的なセキュリティ: このプロトコルは、静的な侵害に対するシミュレーションベースのモデルにおいて安全であると証明されており、確率的原子性（公正性、バイアスのなさ、原子性）の性質を満たしている。
• 実用的な実装: Rust による完全な実装、ビットコインおよびライトコインのテストネットでのテスト、およびライトニングネットワーク向けの変種（HTLC とオフチェーンリンク証明を使用）が含まれる。

4. 結果とベンチマーク

• テストネット展開: 著者は、ビットコインとライトコインのテストネット間でのクロスチェーン確率的スワップを正常に実行した。完全な勝利スワップには、正確に 4 つの標準的な Taproot 取引が含まれていた。
• トランザクションサイズ: 各取引は約 575 ウェイトユニット（WU）であった。
• パフォーマンス:
  • Bulletproofs: 証明時間 $\approx 5.6$秒、検証 $\approx 0.35$秒、証明サイズ $\approx 2.8$KB（確率に関係なく一定）。
  • カットアンドチョイス: 小さな $\ell$ の場合（例：$\ell=10$ で $0.27$秒）、証明時間はより速いが、ドメインサイズとともに指数関数的にスケールする。$\ell=16$ の場合、証明には約 16 秒かかり、証明サイズは 16MB となる。
  • ライトニングプロトタイプ: HTLC ベースの変種が実装され、3 ラウンド（プリ計算を含む）のオンライン実行時間は約 1.30 秒であった。
• コスト: 手数料は標準的な原子スワップと同程度であった（例：ビットコインテストネットの 616WU の資金調達取引で 1550 サトシ）。

5. 意義と主張

この論文は、確率的原子スワップが、ランダム化された結果を伴う信頼不要で分散型の交換を可能にすることで、古典的な原子スワップの根本的な制限を解決すると主張している。その意義は以下の点にある。

• 新しいユースケースの実現: 「OP_RAND」のビジョンをビットコイン上で実現し、信頼されたハウスなしで賭け、宝くじ、および確率的なクロスチェーン取引を可能にする。
• プライバシーと代替可能性の維持: 複雑なスクリプトを避けることで、プロトコルのオンチェーンフットプリントは通常の原子スワップと区別できず、資産のプライバシーと代替可能性を維持する。
• アクセシビリティ: 最小限のスクリプトサポートへの依存により、このプロトコルは既存の幅広いブロックチェーンとレイヤー 2 ネットワーク（PTLC がアクティブになった後、または HTLC 変種を介してライトニングネットワークなど）に展開可能である。
• セキュリティ: このプロトコルは、信頼された第三者を必要とすることなく、悪意のあるアクターの存在下でも、結果がバイアスされず、広告された確率に従うことを保証する厳密な暗号学的保証を提供する。

著者は明示的に、プロトコルが非対称な確率的スワップ（一方の当事者が確率に対して支払う）をサポートしている一方で、両当事者が確率的結果を持つ両側確率的スワップは、逐次意思決定における本質的な非対称性により、最小限のブロックチェーン上ではおそらく不可能であると指摘している。これは彼らが議論するが克服しようとはしない制限である。