ブロックチェーン/レベル VI · ビットコインの後/6.2 アルトコインの時代/レッスン 5

モネロとプライバシーコイン

群衆に紛れること、そしてカーテンの代償

用意するものビットコインと取引サイズを比較するための、モネロまたはZcashのブロックエクスプローラーサイファーパンク宣言（エリック・ヒューズ、1993年）各コインの具体的な暗号化メカニズムを記録するためのノートブック

問い

ネットワークは、誰がいくら使ったかを見ることなく、お金が使われたことをどのように検証できるのでしょうか？
身元を隠すためにデータを追加すると、なぜ台帳が遅く重くなることが多いのでしょうか？
プライバシー機能のために、その鍵について特定の人々の集団を信頼する必要がある場合、何が起こるのでしょうか？

探究

ビットコインが提供するのは匿名性ではなく、仮名性です。公開鍵は名前と直接結びついていませんが、すべての取引は改ざん不可能な台帳に永続的に記録されます。この永続性により、公開鍵の分析を通じた匿名性の解除が可能になります。1つのアドレスを既知の身元と結びつけるだけで、そのユーザーの金融履歴全体が明らかになるのです。プライバシーコインは、プライバシーをベースプロトコルそのものに組み込むために登場しました。
モネロはリング署名を採用しています。送金者は自分のインプットを、台帳上の他の取引から取ったデコイと混ぜ合わせます。実際の送金者はこれらのデコイの中に隠れ、本物のインプットはリングのメンバーの中で、もっともらしい否認可能性を得ます。ただし研究者たちは、2017年以前の初期の取引の多くが、ヒューリスティクスによって依然として追跡可能だったことを示しました。ワンタイムのステルスアドレスが受取人を隠し、2017年1月以降はRingCTが金額を隠しています。2019年には、一般的なCPUに有利なRandomXというプルーフ・オブ・ワーク（PoW）を採用しました。モネロは、巨額の隠れたプレマインが物議を醸していたBytecoinのフォークとして、2014年4月にローンチされました。プライバシーには容量というコストがかかり、モネロの取引はビットコインの取引よりもはるかに大きくなります。
Zcashは、学術研究であるZerocoin（2013年）とZerocash（2014年）を基に2016年10月にローンチされ、zk-SNARKs（ゼロ知識簡潔非対話型知識証明）を採用しています。モネロの難読化とは異なり、Zcashではノードが基になるデータにアクセスせずに取引を検証できます。ただし、当初のパラメータには「トラステッドセットアップ」と呼ばれる儀式が必要で、複数の参加者が鍵を生成しつつ、自分の手元のコピーを破棄しました。批判者は、ユーザーがその儀式を信頼しなければならない点に異を唱えました。2022年のアップグレードで、Zcashは新しいOrchardプールにトラステッドセットアップを必要としない証明システム（Halo 2）を導入しましたが、古いプールも引き続き使われています。
プライバシーと規制の間の緊張は構造的なものです。難読化によるプライバシーは、データを覆い隠すために情報を追加するため、ネットワークの処理を複雑にし、違法行為をめぐる規制上の懸念を高めます。一方、ライトニングネットワークのようなレイヤー2ソリューションに見られる「省略によるプライバシー」は、オンチェーンの情報を減らします。このアプローチは、取引の詳細をメインの台帳に載せないことで、プライバシーとスケーラビリティを同時に向上させることができます。
2014年にXCoinとしてローンチされ、その後Darkcoinを経たDashは、コインミキシングと「マスターノード」を用いて取引経路を分かりにくくしていました。初期の「インスタマイン」、すなわち初期の開発者に有利なコインの急速な発行については批判を受けました。その後、規制圧力により、一部の法域では取引所がプライバシーコインを上場廃止しています。たとえばバイナンスは2024年2月にモネロを上場廃止しました。
その思想的なルーツは、サイファーパンク宣言（1993年）と、デイビッド・チャウムによるプライベートなデジタルキャッシュの研究にさかのぼります。セキュリティ上の課題、ユーザー体験のハードル、そして監視能力を求める政府からの強い規制圧力が重なり、実装は今も困難です。トレードオフは明白です。絶対的なプライバシーには、ほとんどのユーザーが決して理解しない暗号の複雑さが必要なのです。