技術要約: HERMES

問題提起

アカウントモデルのブロックチェーン（例：Ethereum）は、永続的なアイデンティティを可変的な残高に紐付けているため、すべての送金において送信者、受信者、および取引金額が公開されてしまう。この透明性は監査可能性を支える一方で、DeFiユーザー（フロントランニング）、ステーブルコイン発行体（残高の機密性）、およびエンタープライズ・コンソーシアム（サプライチェーンの露出）にとって重大なプライバシー上のリスクを生じさせる。

アカウントモデルにおいてプライバシーを実現することは、UTXOモデル（例：Zcash, Monero）よりも構造的に困難である。なぜなら、単一の識別子がすべての相互作用を蓄積していくからである。この設定下でプライバシーを達成するには、以下の3つの互いに制約し合う特性を同時に満たす必要がある：

1. 残高の機密性 (Balance Confidentiality): 観測者は現在の口座残高について何も知ることができない。
2. 取引金額の不可識別性 (Transaction-Amount Indistinguishability): 観測者は異なる送金金額を区別できない。
3. 送信者と受信者の非連結性 (Sender-Receiver Unlinkability): 観測者は送信者と受信者を結びつけることができない。

先行研究は、これら3つの特性すべてを単一の形式的なフレームワーク内で両立させることに失敗している。UTXOスキームは関係性を隠蔽するが永続的な残高を欠いており、アカウントモデルのスキームは、アイデンティティを露出させるか、信頼できるセットアップ（Trusted Setup）を必要とするか、あるいは標準的な仮定への統一された簡約（Reduction）を伴わない部分的なセキュリティ引数しか提供していない。

手法

HERMES（Halo2-Enhanced Rollup Maze ElGamal Shield）は、信頼できるセットアップを必要とせずに、**決定論的ディフィー・ヘルマン（DDH）**仮定への簡約を通じて、これら3つのプライバシー保証を確立する統一されたゲームベースのフレームワークを提案する。

コアとなる暗号プリミティブ

• 二重生成子指数型ElGamal (Dual-Generator Exponential ElGamal): HERMESは、暗号文が $(g^r, p_k^r \cdot h^m)$ となるElGamal暗号の変種を利用する。第2のコンポーネントは、構造的にメッセージ $m$ に対するペダーセン・コミットメントとして機能する。
• コミットメント整合型暗号 (Commitment-Coherent Encryption: CCE): 本論文では、暗号文のコンポーネントが同時に有効なコミットメントでもあるという設計原則としてCCEを定式化している。これにより、暗号的なオーバーヘッドを排除した「ブリッジング」用の$\Sigma$-プロトコルを介さずに、暗号文上で直接範囲証明（Range Proof）を構築することが可能になる。
• 独立したランダマイザ (Independent Randomizers): 代数的なリーク（暗号文コンポーネントの比率によって平文の差が明らかになる現象）を防ぐため、HERMESはすべての暗号文に対して固有かつ独立したランダマイザ $r_k$ を割り当てる。本論文は、これがDDH仮定の下で代数的なリーク表面を閉じるための唯一の戦略であることを証明している。
• 三重キー分離 (Triple-Key Separation): システムは以下の3つの異なるキーコンポーネントを採用している：
  1. 金額キー ($sk_a$): 残高の暗号化および復号用。
  2. ビューキー ($sk_v$): 入ってくる送金をスキャンするためのもの（ビュータグを生成するが、署名能力は持たない）。
  3. アドレス (Address): 公開鍵の単方向ハッシュ。
     このアーキテクチャにより、一つのキー（例：ビューキー）が侵害されても、他のキーが侵害されることはない。

システム・アーキテクチャ

• オンチェーン・クロージャ (On-Chain Closure): 受信者は、ビュータグ（$Y_1^{sk_v}$ の切り詰められたハッシュ）を使用して、オンチェーン上の入金トランザクションをフィルタリングする。一致するタグがトリガーされると、完全なBaby-Step Giant-Step (BSGS) 復号が行われる。これにより、非復号型スキームで必要とされるオフチェーン通知の必要性が排除される。
• ゼロ知識証明 (Zero-Knowledge Proofs): システムは、透過的なセットアップを実現するためにInner Product Argument (IPA) バックエンドを備えたHalo2を使用する。証明は、残高の妥当性、取引の正当性、範囲制約（$0 \le t < 2^{32}$）、状態のメンバーシップ、およびアノニミティ・セットのサイズ $N$ 内でのOne-out-of-Many証明による送信者の匿名性を検証する。
• トランザクション・フロー: 送金には、アノニミティ・セットの選択、送信者（デビット）と受信者（クレジット）のデルタに対する独立した暗号文の生成が含まれ、単一の証明をL1コントラクトに提出する。

主な貢献

本論文は、以下の4つの具体的な貢献を主張している：

1. 統一されたゲームベース・フレームワーク: 残高のプライバシー、金額の不可識別性、および非連結性を同時に定義し、これらすべてに対してDDH仮定への厳密なタイトな簡約を明示した初の形式的モデル。
2. CCEおよび代数的リークの定式化: ElGamalベースのスキームにおける代数的リーク表面の完全な分類学を提示し、暗号文ごとの独立したランダマイゼーションが、DDHの下で完全なリーク遮断を実現するための必要十分条件であることを証明した。
3. 三重キー分離アーキテクチャ: 単一のキー（金額、ビュー、またはアドレス）の侵害が、そのキーの役割に厳密に限定されることを証明する形式的な「侵害半径（Compromise-Radius）」分析。
4. 具体的なセキュリティとパフォーマンス: 攻撃者の優位性 $\le q \cdot 2^{-\lambda}$ という具体的なセキュリティ境界の導出、およびBN254上でのパラメータ選択。二重生成子ElGamal暗号はサブミリ秒のパフォーマンス（$\approx 320 \mu s$）を達成しており、実用的なデプロイ可能性を検証している。

結果と評価

• セキュリティ: 3つのプライバシー特性のセキュリティはDDHの困難性に簡約される。
  • 残高のプライバシー: タイトな簡約 (Advantage $\le Adv_{DDH}$)。
  • 金額の不可識別性: ニアタイトな簡約 (Advantage $\le 2 \cdot Adv_{DDH}$)。
  • 非連結性: $2N$（$N$ はアノニミティ・セットのサイズ）の係数とZKシミュレーションのオーバーヘッドを伴う簡約。$N=8$ の場合、BN254上で $\approx 96$ ビットのセキュリティを維持する。
• パフォーマンス (暗号レイヤー):
  • 暗号化: $\approx 320 \mu s$。
  • BSGS復号: $\approx 1.5 ms$（金額 $< 2^{32}$ に限定）。
  • ビューキー・スキャニング: 暗号文あたり $\approx 0.6 ms$。
  • 準同型加算: $\approx 40 \mu s$。
• パフォーマンス (証明システム):
  • KZGバックエンドを用いたHalo2（オンチェーン検証用）を使用した場合：証明生成 $\approx 5.1 s$、検証 $\approx 4 ms$、証明サイズ $\approx 3.4 KB$（$N=8$ 時）。
  • IPAバックエンドを用いたHalo2（透過的セットアップ）を使用した場合：証明サイズ $\approx 1.46 KB$。
  • スループット: ネイティブのスループットは $\approx 0.2 txs/s$（単一証明）。より高いスループットにはバッチ集約（システムレイヤー）が必要。
• 比較: HERMESは、CCE（ゼロ・ブリッジング）、アノニミティ・セット、統一されたDDH簡約、および透過的セットアップを組み合わせた唯一のスキームとして特定されている。Zcash OrchardやAztec V5よりも高速な検証を提供するが、証明生成はPenumbraのようなGroth16ベースのシステムよりも遅い。

意義と主張

本論文は、HERMESを、アカウントモデルの台帳のプライバシー・セマンティクスを特定の証明システムから切り離すためのソリューションとして位置づけている。CCEを定式化し、独立したランダマイザの必要性を証明することで、将来のプライバシー保護型アカウントシステムのテンプレートを提供している。

著者は、信頼なく検証可能なプライベート・アカウントが、アカウントモデルのブロックチェーンにおいて実用的であることをHERMESが示していると主張している。これは以下によって達成される：

• Halo2 IPAによる信頼できるセットアップ要求の排除。
• ビューキーとBSGSによる完全なオンチェーン残高発見の実現（オフチェーン通知への依存を排除）。
• Zether、PGC、cWETHといった先行研究が残したギャップを埋める、3つの重要なプライバシー次元をカバーする厳密で統一されたセキュリティモデルの提供。

本論文は、制限事項についても認めている。これには、静的な敵対者モデル（二項コストによる適応型への拡張あり）、BSGSの制約による取引金額の上限（$2^{32}$）、および生存性（liveness）のためのシーケンサーへの依存（ただし、シーケンサーは残高を復号したり当事者を結びつけたりすることはできない）が含まれる。今後の課題としては、ポスト量子移行および再帰的証明集約が挙げられている。