技術要約：資金源の証明 (Proof of Source of Funds: PoSoF)

1. 問題提起

本論文は、分散型金融（DeFi）における「金融プライバシー」と「規制遵守（コンプライアンス）」の間の根本的な緊張関係を取り上げている。現在のコンプライアンス手法は、以下の2つの欠陥のあるアプローチに依存している：

1. 脆弱なバイナリリスト： ホワイトリストやブラックリストといった包含・除外リストへの依存。これらは、未登録の新しいアドレスへ資金を転送することで容易に回避される。
2. 遡及的なグラフ解析： 中央集権的なブロックチェーン・インテリジェンス企業による継続的な取引履歴の追跡への依存。この手法は計算コストが高く、偽陽性率（誤検知）が高く、不正な資金がプロトコルに流入することを事前に防ぐことができない。

さらに、既存のプライバシー保護ソリューション（例：Tornado Cash）は、正当なプライバシーとマネーロンダリングを区別できないために制裁を受けてきた。逆に、「遡及的な『汚染（taint）』追跡」を通じてコンプライアンスを統合しようとする試みは、悪意のあるアクターが不正な資金を正当な資金と意図的に混合させることで、正直なユーザーの資産を凍結させる「汚染攻撃」に対して、正直なユーザーを脆弱な状態に置く。本論文は、プラットフォーム側による監視モデルがユーザーからプライバシーを奪い、分散型プロトコルに重い負担を強いていると主張している。

2. 手法

著者らは、プラットフォーム側の監視から**ユーザー側のプロベナンス（由来）へのパラダイムシフトである「資金源の証明（PoSoF）」**を提案する。プラットフォームが資金を追跡するのではなく、ユーザーがゼロ知識証明（ZKP）をローカルで生成し、自身の預け入れがコンプライアンスに準拠した一連のソースのみに由来することを証明する。

2.1 統一された時間的DAG抽象化

ヘテロジニアスな（性質の異なる）ブロックチェーン構造（BitcoinのようなUTXOベースとEthereumのようなアカウントベース）を扱うため、著者らは統一された**時間的有向非巡回グラフ（Temporal DAG）**の抽象化を定式化している：

• ノード： $(a, h)$ という時間的ペアとして定義される。ここで $a$ はアドレス、$h$ は決定論的なシーケンス座標（ブロック高、インデックス）である。これにより、特定の時点におけるアイデンティティの一意なスナップショットが作成される。
• エッジ： ノード間の価値転送を表し、分数容量 $v_e \le v(tx)$ が割り当てられる。
• モデル： この抽象化により、レジャー履歴を一般的な価値フローモデルへと統一し、コンプライアンスに準拠した容量を、有限かつ非インフレ的なリソースとして扱う。

2.2 暗号学的フレームワーク

システムは、定数時間の検証を実現するために、フォールディング・スキーム（例：Nova）を用いた**増分検証可能計算（Incrementally Verifiable Computation: IVC）**を利用する。ユーザーはグローバルなレジャー（$G$）からコンプライアンスに準拠したサブDAG（$G'$）を抽出し、中間的なトポロジーや特定の起源を明かすことなく、厳格な状態遷移述語を満たしていることを証明する。

ゼロ知識回路によって強制されるコアとなる**述語（Predicates）**は以下の通りである：

1. オンチェーンの完全性と一意性： すべてのエッジは、確定したオンチェーン・トランザクションにマッピングされる有効な包含証明（Merkル証明）を持たなければならない。また、単一のコンプライアンス済みトランザクションを複数のブランチで再利用することを防ぐため、トランザクションは一意でなければならない。
2. ソース・アンカリング： サブDAG内のすべてのソースノードは、定義されたコンプライアンス済み集合 $C$（例：KYC準拠の取引所）のメンバーである必要があり、これは正の包含証明（例：Merkルツリー）を介して検証される。
3. エッジの連結： 入ってくるエッジの受信者は、出ていくエッジの送信者と暗号学的に一致しなければならない。これにより、トポロジーの偽造を防ぐ。
4. 時間的順序： 未来のコンプライアンス済み流入が過去の非コンプライアンスな転送を正当化してしまう「タイムトラベル攻撃」を防ぐため、厳格な非巡回性（$h_{in} < h_{out}$）が強制される。
5. フローのソルベンシー（支払能力）： すべての中間ノードにおいて、流出する分数容量の合計は、流入する容量の合計を超えてはならない（$\sum v_{out} \le \sum v_{in}$）。
6. ターミナル実行のバインディング： 証明は特定のターゲット・トランザクション・ペイロード（$txtarget$）にバインドされていなければならない。これにより、証明の非可換性を保証し、意図された預け入れに対してのみ有効となる。

2.3 アーキテクチャ

• プローバー（Prover）： ユーザーはローカルでコンプライアンスに準拠したサブDAGを構築し、IVC回路を実行する。彼らは「クリーンな」パスを抽出し、非コンプライアンスなエッジ（例：ユーザーが受け取った不正なダスト）を無視する。
• ベリファイア（Verifier）： スマートコントラクトは、簡潔な証明の定数時間 $O(1)$ 検証を行う。ベリファイアは、動的なブロックリストと同期したり、トランザクショングラフを分析したりする必要はない。

3. 主な貢献

本論文には、主に3つの貢献がある：

1. プローバー側プロベナンスの定式化： コンプライアンスの負担をユーザーに移譲するPoSoFの導入。これは、厳格なセキュリティ定義の下で、アカウントベースおよびUTXOレジャーの両方を捉える統一された時間的DAG抽象化を確立する。
2. 効率的なプロトコルのインスタンス化： IVCを用いて定数サイズ、 $O(1)$ のオンチェーン検証を実現するPoSoFプロトコルの構築。このシステムには、ダブルスペンディング（二重支払い）を防ぐための堅牢なアプリケーション層の防御策（公開ヌリファイア、プライベート・チェンジ・コミットメント）が含まれている。
3. 実装と実証的評価： プロアクティブなコンプライアンスが、消費者向けハードウェア上で実用的であることを示す、Ethereum互換のプロトタイプの開発。

4. 結果とパフォーマンス

著者らは、Groth16証明システム（モノリシックな線形パス断片用）とNova（IVC用）を用いて、Ethereum互換のプロトタイプを評価した。

• モノリシック・プロトタイプ (Groth16):

  • 証明生成： Apple Silicon搭載のノートPCにおいて、8ホップのパスに対する証明生成には約37秒を要した。
  • 検証： オンチェーン検証コストは約797,916ガス（約1.5ミリ秒）であり、ペアリング・チェックによって支配されている。
  • 制約： 統一プローバー回路には、約2,570万のR1CS制約が必要であった。

• IVC実装 (Nova):

  • 増分更新： アクティブなウォレットにおいて、新しいトランザクションを伴う証明の更新には約1.8秒を要する。
  • 検証： 最終的なオンチェーン検証は、コンプライアンス済みサブDAGのサイズや深さに依存せず、定数時間である約1.5ミリ秒（約800kガス）に保たれる。
  • スケーラビリティ： IVCの下でゼロからチェーンを構築する場合には累積的なオーバーヘッドが発生するものの、新しいトランザクションを追加するための限界コストは一定であり、モノリシックなアプローチで必要とされる全履歴の再証明よりも大幅に低い。

5. 意義と主張

本論文は、PoSoFがプロアクティブなオンチェーン・コンプライアンス・レイヤーを可能にすることで、「プライバシーとコンプライアンスの間の根本的な緊張関係」を解決すると主張している。

• 汚染への耐性： 資金をコンプライアンスに準拠した起源まで数学的に追跡し、ユーザーが自身のウィットネス（証拠）から非コンプライアンスなエッジを除外することを可能にすることで、システムは受動的な「汚染」の影響を受けない。不正な資金を受け取った正直なユーザーは、そのトランザクションを自身のプロベナンスDAGから単に除外することができる。
• 静的 vs 動的制約： 適合性を動的なブロックリストではなく、静的なコンプライアンス済み起源（例：規制対象のエンティティ）に紐付けることで、PoSoFはベリファイアが急速に変化するリストと同期する必要性を排除する。
• プライバシー保護： 本システムは、中間的なトランザクション・トポロジー、中間アドレス、または特定の起源を漏洩することなく、資金の正当性を保証する。
• 実用性： ベンチマークは、完全なプライベート・プロアクティブ・コンプライアンスが非常に実用的であることを示している。具体的には、オフチェーンでの更新には管理可能な計算時間を要する一方で、オンチェーンでは定数時間の検証のみを必要とする。

著者らは、PoSoFをすべてのコンプライアンス・メカニズムの代替物としてではなく、分散型プライバシープールや取引所のための包括的なエンドツーエンドのコンプライアンス・システムを構築するために、事後的な監査（Derechoなど）と組み合わせることができる基礎的なレイヤーとして位置付けている。