ブロックチェーンの主要プライバシー技術：ゼロ知識証明、FHE、MPC、TEE、リング署名

公開ブロックチェーン上のトランザクションは、デフォルトでは見ようとする誰にでも見えます。残高、送金額、取引相手は、公開台帳に永久に記録されます。この透明性はブロックチェーンの信頼性を支える一方で、弱点にもなります。顧客の残高を公開する銀行はなく、仕入先への支払いや給与支払いを競合他社に読まれたい企業もありません。

ブロックチェーンのプライバシー技術は、検証可能性、分散性、信頼できる仲介者なしに見知らぬ相手と取引できる能力といった、チェーンを有用にする性質を手放さずに、この隔たりを埋めるために存在します。現在の主流は、ゼロ知識証明、完全準同型暗号（FHE）、セキュアマルチパーティ計算（MPC）、信頼実行環境（TEE）、そしてリング署名とステルスアドレスという5つの技術です。それぞれが隠す対象も、前提とする信頼も、必要な計算量も異なります。本ガイドでは5つすべてを解説して比較し、Web3を構築する人にも、単に学ぶ人にも、その選択が重要な理由を説明します。

ゼロ知識証明

ゼロ知識証明（ZKP）とは、一方の当事者である証明者が、もう一方の検証者に対し、公開命題が真であることを、その命題とその成立からすでに導かれる以上の情報、とりわけ証明に使った秘密の証人を明かさずに納得させる仕組みです。たとえば「x を知っており、H(x) = y を満たす」という主張では、通常、検証者には命題と公開値 y が見え、ゼロ知識性が保護するのは x です。アプリケーションは公開入力の一部を別途隠したりコミットしたりできますが、命題そのものを隠すことはZKPの一般的な定義には含まれません（Thaler、Proofs, Arguments, and Zero-Knowledge）。

証明システムがゼロ知識プロトコルとして成立するには、3つの性質を満たす必要があります。完全性（誠実な検証者は真の主張を受理する）、健全性（不正な証明者は、証明システムで定められた誤り確率を除き、誠実な検証者に偽の主張を受理させられない）、そしてゼロ知識性（公開命題から導かれる範囲を超えて、証明が秘密の証人に関する追加知識を明かさない）です。古典的な対話型プロトコルでは、コミットメント、検証者のチャレンジ、証明者のレスポンスがよく用いられます。現代の非対話型SNARKやSTARKは、検証者からリアルタイムでチャレンジを受けることなく必要な証明データをまとめつつ、完全性、健全性、ゼロ知識性という同じ大枠の目標を保ちます。

隠すもの： 秘密データや非公開の計算入力など、秘密の証人です。アプリケーションが別途コミットまたは暗号化しない限り、公開命題と公開入力は見えたままです。

現在の用途： ブロックチェーンのスケーリングにおいて、ZKPの最大の実用例はZKロールアップです。トランザクションを「オフチェーンで実行するバッチにまとめ（すなわち『ロールアップ』し）」、単一の妥当性証明を生成します。Ethereumは、バッチによる状態変更を確定する前にその証明を検証します（ethereum.org）。Matter Labsが開発したzkSync Eraは、「独自のzkEVMを利用するEVM互換ZKロールアップ」です（ethereum.org）。一方、StarkWareが開発したStarknetは、EVMではなく独自のCairo VMを実行する妥当性ロールアップです（Solidityコントラクトは別途ブリッジされます）。L2BEATは両者を、オプティミスティックロールアップの不正証明チャレンジ期間ではなく、妥当性証明によって保護されるロールアップとして追跡しています（l2beat.com）。プライバシーの分野では、Zcashがシールドトランザクションにzk-SNARK（Zero-Knowledge Succinct Non-Interactive Arguments of Knowledge）を先駆けて採用しました。これにより、「ユーザーのアドレスや取引額」などの詳細を暗号化したまま、ネットワークはトランザクションが有効であることを確認できます（z.cash）。

トレードオフ： ZK証明の生成は計算負荷が高く、証明回路はバッチ内のすべてのトランザクションを走査して検査を再実行します。そのため、オンチェーンでの検証は安価かつ高速でも、証明時間とハードウェアコストが現実的な制約になります。セキュリティは、証明システムの暗号学的前提、安全なパラメータ生成、回路とプロトコルの正しい実装に依存します。一部の証明システムでは、一度限りのトラステッドセットアップ・セレモニーも必要です。Ethereumのドキュメントは、セットアップのエントロピーが侵害されると偽の証明が可能になり、実装エラーはセキュリティモデルを損なう可能性があると指摘しています（ethereum.org）。

完全準同型暗号（FHE）

完全準同型暗号は異なるアプローチを取ります。隠されたデータについて事実を証明するのではなく、暗号化データを直接計算し、その結果を復号すると、平文を計算した場合と同じ答えになる暗号化結果を得られます。FHEの研究とインフラストラクチャを主導する企業の一つであるZamaは、「FHEは復号せずにデータを処理できるため、企業はユーザーデータにアクセスせずにサービスを提供でき、ユーザーは変わらない機能を利用できる」と説明しています（zama.org）。

隠すもの： 計算の生の入力、中間状態、出力です。計算を実行する当事者を含め、鍵の保持者以外には暗号文しか見えません。

大まかな仕組み： FHE方式は、格子に基づく数学を用いて平文の値を暗号文に符号化し、暗号化された加算と乗算に相当する演算を定義することで、暗号文上で任意の回路を実行できるようにします。ブロックチェーンに適用すると、スマートコントラクトは関係する金額を一度も見ることなく、トークンを移動したりロジックを評価したりできます。Zamaの例では、「ブロックチェーンは実際の金額を一度も見ることなく、Aliceに十分な資金があることを検証」します（zama.org）。Zamaはさらに、格子ベースのFHE方式は「本質的に耐量子性を備える」と述べています。これは暗号技術の長期的なリスクを考える人にとって重要です（zama.org）。

プロジェクト例： Zamaは、オープンソースのFHEライブラリ（TFHE-rs、Concrete）と、EVMチェーンに機密スマートコントラクト実行を加えるfhEVMを開発しています。Fhenixは、「完全準同型暗号を使って、開発者がプライバシー保護型スマートコントラクトを構築」し、「機密データを計算中も暗号化された状態に保つ」ことに特化したブロックチェーンです。クライアント側暗号化用のJavaScriptライブラリ（Cofhejs）と、オンチェーンの暗号化演算用Solidity FHEライブラリを提供しています（cofhe-docs.fhenix.zone）。

トレードオフ： FHEの特徴的な保証は、対応する計算を入力や中間値を復号せずに実行できることです。ただし、具体的なセキュリティは方式とパラメータの選択に依存します。そのため、HomomorphicEncryption.orgは方式ごとのセキュリティ表とパラメータ選択のガイダンスを公開しています（HomomorphicEncryption.org）。また、FHEはこの一覧の中で、平文での実行と比べて群を抜いて計算コストが高いアプローチです。そのため、現在のFHEベースチェーンは、すべてのトランザクションではなく機密性が重要なロジックにFHEを使っており、FHEのハードウェア高速化をめぐる研究競争も活発です。

セキュアマルチパーティ計算（MPC）

セキュアマルチパーティ計算は、関連はしていても別の問題を解決します。1人の当事者が暗号化データを計算するのではなく、それぞれが入力の非公開部分を持つ複数の当事者が、個々の入力を互いに明かさず、共同で関数を計算します。形式的な定義では、MPCは「複数の当事者が入力を非公開に保ちながら、それらの入力に対する関数を共同で計算する方法の構築を目的とする暗号学の一分野」です。3人の参加者なら、「Alice、Bob、Charlieは、誰が何を入力したかを明かさずにF(x, y, z)を知る」ことができます（Wikipedia）。

隠すもの： 各当事者の個別の入力を、ほかのすべての当事者から隠します。明らかになるのは合意された出力だけで、秘密全体を見る参加者は1人もいません。

信頼の前提： あらゆるMPCに共通する不正参加者数の閾値はありません。完全接続ネットワークを想定した古典的なBGWの結果では、受動的な不正に対する秘匿性は t < n/2、ビザンチン障害に対する堅牢性は t < n/3 で成立します（ACM）。これらの上限はそのプロトコルモデルを説明するものであり、すべてのMPCに当てはまるものではありません。完全セキュアなプロトコルは、ブロードキャストを仮定すると t < n/2 まで対応できます（TCC 2021）。一方、計算量的安全性に基づくSPDZプロトコルは、前処理モデルで n - 1 人までの不正参加者に対する能動的セキュリティを提供します（IACR）。この不正多数派への保証はアボート付きセキュリティであり、不正参加者は依然として計算を停止できます。したがって、公平性や出力保証まで提供するものではありません（PoPETs）。そのため、具体的なデプロイでは、プロトコル、受動的または能動的な不正モデル、同期性と通信チャネル／セットアップの前提（ブロードキャストを含む）、誠実多数派と不正多数派のどちらを仮定するかを明記する必要があります。

現在の用途 — 閾値署名カストディ： ブロックチェーンにおけるMPCの最も目立つ用途は、秘密鍵を独立した複数の当事者に分割し、単一のデバイスや人物が鍵全体を保持することを防ぐ仕組みです。カストディインフラ事業者のFireblocksは、「マルチパーティ計算（MPC）は、秘密鍵を個別のシェアに分割し、独立した複数の当事者に分配する暗号手法」であり、重要な点として「完全な鍵は、いかなる時点でも1か所に組み立てられることがない」と説明しています（fireblocks.com）。トランザクションへの署名が必要になると、定足数を満たすエンドポイントがそれぞれトランザクションを検証し、部分署名を提供します。「秘密鍵が組み立てられることは一切ない」ため、「1つのエンドポイントが侵害されても、ほかの場所に保持された鍵シェアは単独では役に立ちません」（fireblocks.com）。現在、この閾値署名パターンは、大部分の機関向け暗号資産カストディと、多くのマルチシグウォレットを支えています。

トレードオフ： MPCは、単一の秘密鍵を1台のデバイスに置くことによる単一障害点を避けられますが、当事者間の通信ラウンドによる遅延を加え、慎重なプロトコル設計を必要とします。その保証の強さは、選択したプロトコルの暗号学的前提、不正参加者に関する前提、ネットワークの前提、そして当事者の運用上の独立性に依存します。MPCは単独の鍵保有者への依存をなくせますが、システム設計上の信頼までなくせるわけではありません。

信頼実行環境（TEE）

信頼実行環境は、さらに別の経路を取ります。計算中ずっとデータを暗号化するのではなく、チップ上のハードウェアで保護された領域、すなわちセキュアエンクレーブ内に計算を隔離し、そのマシン自身のオペレーティングシステムからも見えないようにします。最もよく知られた実装であるIntel SGX（Software Guard Extensions）は、Wikipediaで「一部のIntel製中央処理装置（CPU）に組み込まれた、信頼実行環境を実装する一連の命令コード」と説明されています（Wikipedia）。仕組みとしては、「SGXではCPUがメモリの一部（エンクレーブ）を暗号化」し、「エンクレーブ由来のデータとコードはCPU内でその場で復号される」ため、オペレーティングシステムや下層のハイパーバイザーなど、「より高い権限レベルで実行されるコード」を含むほかのコードによる検査や読み取りから保護されます（Wikipedia）。

隠すもの： エンクレーブ内のデータとコードを、侵害されたOSを含む同一マシン上のほかのすべてのプロセスから隠します。サーバー運営者を信頼せず、特定のコードが正しく実行されることを信頼したい場合に役立ちます。

信頼の前提： ZKP、FHE、MPCは「純粋な数学」に依存し、TEEだけがベンダーを信頼するという区分は正確ではありません。実運用される暗号システムも、明示された計算困難性の前提、パラメータまたはセットアップ、正しい実装、さらにMPCではプロトコルの参加者と通信のモデルに依存します。TEEは、こうしたシステムの信頼前提に、ハードウェアによる隔離とアテステーションを加えます。IntelはSGXのトラステッド・コンピューティング・ベース（TCB）を、SGXのセキュリティ目標を満たすために必要なハードウェア、CPUファームウェア、プラットフォームソフトウェアと定義しており、アテステーションにより検証側はエンクレーブのアイデンティティとプラットフォームのパッチレベルを評価できます（Intel）。この信頼境界は実際に試されてきました。SGXは「サイドチャネル攻撃を防げず」、研究者は実用的な突破を繰り返し実証しています。2017年には「同一システム上で動作するSGXエンクレーブから5分以内にRSA鍵」を抽出し、2018年のForeshadow攻撃では「投機的実行とバッファオーバーフローを組み合わせてSGXを回避」しました。その後もPlundervolt、LVI、SGAxe、ÆPIC Leakなどの脆弱性が見つかっています（Wikipedia）。この歴史から、TEEは暗号学的に盤石な保証ではなく、実用的で高速な中間解として説明されるのが一般的です。

プロジェクト例： Oasis ProtocolのSapphireネットワークでは、ハードウェアエンクレーブ内でスマートコントラクトを実行します。ユーザーは「ハードウェアで保護されたエンクレーブ内でコードを実行」でき、「データはサーバー運営者からも暗号化されたまま」になります。一方、「実行のたびに、ユーザーが盲目的に信頼することなく検証できる暗号学的証明」が生成され、「EVM互換性とコンポーザビリティ」を維持する「機密スマートコントラクト」が提供されます（oasis.net）。Secret Networkや、リステーキングに隣接する複数のプライバシー製品もTEEを利用しており、多くの場合、多層防御のためにほかの技術と組み合わせています。

トレードオフ： TEEはネイティブに近い速度で動作し、FHEや負荷の高いZK証明よりはるかに高速です。このため遅延の影響を受けやすい用途に適しています。ただし、その速度は、サイドチャネル攻撃を受けた実例が記録されている、より広範なハードウェアとソフトウェアのトラステッド・コンピューティング・ベースを伴います。したがって、比較すべきなのはシステムごとに異なる前提であり、ハードウェアへの信頼と、前提のない「純粋な暗号」との比較ではありません。

リング署名とステルスアドレス

最後の2つの技術は、より限定的ながら非常に実用的な対象を保護します。トランザクション自体がオンチェーンで見えていても、誰が送信し、誰が受信したかを隠します。Moneroは、両方を実運用する代表例です。

リング署名は送信者を隠します。Moneroのドキュメントでは、「リング署名とは、それぞれ鍵を持つユーザーのグループにおいて、どのメンバーでも生成できるデジタル署名の一種」であり、「グループ内のどのメンバーの鍵が署名の生成に使われたかを特定することは、計算上実行不可能であるべき」と説明されています（getmonero.org）。実際のMoneroトランザクションでは、実際に支出する人の鍵と、「ガンマ分布法を用いてブロックチェーンから抽出」したおとりの公開鍵を混ぜます。これにより、「署名者候補の『リング』では、すべてのリングメンバーが等しく有効」となり、「署名グループ内の署名者候補のうち、どれが自分のアカウントに属するかを外部の観察者が見分ける方法はありません」（getmonero.org）。

ステルスアドレスは受信者を隠します。同じ公開アドレスを再利用する代わりに、「送信者は受信者に代わって、トランザクションごとにランダムな一度限りのアドレスを作成」します。そのため入金は、「受信者の公開アドレスにも、ほかのトランザクションのアドレスにも関連付けられない、ブロックチェーン上の固有アドレス」に届きます（getmonero.org）。受信者は秘密閲覧鍵を使ってチェーン上の支払いを探し、秘密支出鍵を使ってその資金を移動します。そのため、「支払い先を特定できるのは送信者と受信者だけ」です（getmonero.org）。

隠すもの： 送信者の身元（リング署名）と受信者の身元（ステルスアドレス）です。取引金額は、これら2つの技術だけではなく、別の仕組みであるコンフィデンシャルトランザクション（Confidential Transactions）／RingCTによって隠されます。

トレードオフ： どちらの技術も、証明生成の負荷やエンクレーブへの依存なしに、一般的なハードウェア上で効率よく動作するため、実稼働する決済ネットワークに適しています。ただし、その信頼モデルは、おとりの集合が実際の署名者と統計的に見分けられないことに依存します。おとりの選び方が弱かったり、ブロックチェーン分析のヒューリスティクスが使われたりすると、初期のリング署名実装では匿名集合が絞り込まれた例があります。そのため、パラメーターの選択（リングサイズ、おとりの分布）は、基礎となる暗号プリミティブと同じくらい重要です。

5つのアプローチを比較

すべての評価軸で勝る単一の技術はありません。そのため現在の研究では、MPC計算の正しさを検証するZK証明や、多層防御のためにFHEと併用するTEEなど、複数技術の組み合わせが増えています。

トークン化ドメインとのつながり

トークン化ドメインは、ほかのオンチェーン資産と同じく、デフォルトで透明という性質を受け継ぎます。所有権の移転、入札、メタデータの更新は、誰でも読み取れます。これは主として利点です。来歴と所有履歴こそが、トークン化ドメインを取引可能な資産として信頼できるものにするからです。一方で、ドメインポートフォリオの保有状況や売却価格も、チェーンを監視する誰にでも見えることになります。

本ガイドで取り上げたプライバシー技術は、ドメインNFTインフラが将来進み得る方向を示しています。MPCベースの閾値カストディは、ほかのデジタル資産と同じ方法で、ドメインNFTを保有する機関向けウォレットをすでに保護しています。将来的には、ZK証明によって入札者が残高全体を明かさず、購入できる資力があることを証明できるかもしれません。また、コンフィデンシャルコンピューティング技術によって、レジストラやマーケットプレイスが購入者の完全な身元を公開せず、適格性ルールを検証できる可能性もあります。現在、ドメインのトークン化にはこれらの技術は一つも導入されていません。しかし、その基盤となる暗号プリミティブは、まさに今、DeFiとカストディインフラで数十億ドル相当の資産を保護しています。

出典と参考資料

• ゼロ知識証明 — ethereum.org
• Proofs, Arguments, and Zero-Knowledge — Justin Thaler
• ZKロールアップ — ethereum.org
• L2BEATスケーリング概要
• Zcashの技術概要
• 準同型暗号入門 — Zama
• セキュリティガイドライン — HomomorphicEncryption.org
• Fhenix cofheドキュメント
• セキュアマルチパーティ計算 — Wikipedia
• 非暗号学的耐故障分散計算の完全性定理 — ACM
• 効率的な完全セキュア計算 — TCC 2021
• ある程度準同型な暗号からのマルチパーティ計算（SPDZ）— IACR
• 公平性によるSPDZセキュリティの拡張 — PoPETs
• MPCとは — Fireblocks
• Software Guard Extensions（SGX）— Wikipedia
• Intel SGXアテステーションの技術詳細
• Oasis Protocolの技術
• リング署名 — Monero Moneropedia
• ステルスアドレス — Monero Moneropedia