プライバシーは製品ではなく機能です

開示：Multicoinは、投資活動に関連する利益相反を特定し、効果的に管理するために合理的に設計された書面のポリシーと手順を確立、維持、および実施しています。マルチコインキャピタルは、このレポートに記載されている資産の「取引禁止ポリシー」を、公開後3日間（「取引禁止期間」）遵守します。マルチコインキャピタルは長いBTC-USDおよびETH-USDです。短いZEC-BTCおよびXMR-BTC。

プライバシーは貴重な暗号通貨の機能であり、製品自体の機能ではありません。ユーザーは、経済的なプライバシーを実現するために、価値が低く安全性の低い暗号通貨でバランスシートのリスクを取る必要がありません（たとえば、ZECのBTCまたはETHを販売することによって）。このエッセイは、ビットコインやイーサリアムのような一般的なプラットフォームが、ニッチなプライバシー重視のブロックチェーンを必要としないように、ほとんどのユーザーに十分なプライバシー保証をすでに提供していると主張します。

クリプトメガテーゼの3つすべての中核となる検閲抵抗は、プライバシーなしでは達成できません。したがって、プライバシーは、オープンファイナンス、グローバルな国家のないお金、およびWeb3の重要な要素でなければなりません。ただし、これまでの暗号通貨エコシステム内では、プライバシーに関連する開発活動のほとんどがプライバシーに焦点を当てたブロックチェーンで行われてきました。ビットコインとイーサリアムのコミュニティは、スケーリングやユーザーエクスペリエンスなどの問題を優先して解決することを優先しています。

他のすべての機能よりも経済的なプライバシーを重視する開発者は、それをネイティブにサポートするプロトコルを構築しました。例としては、ZcashやMoneroなどのアセットのほか、GrinやBeamなどの新しい参入者が含まれます。それらはすべて、プライバシーが彼らのコアバリュープロポジションであることを明確に保証するために、機能と使いやすさにおいてさまざまなトレードオフを行います。しかし、プライバシーはスタンドアロンチェーンを構築する適切な価値提案ですか？

暗号投資家の間で一般的な論文は、プライバシーに焦点を当てたブロックチェーンは、金融取引におけるプライバシーの重要性のために厳密に価値を生むべきだというものです。後者には基本的に同意しますが、両者の間には因果関係があるとは考えていません。

ネットワーク参加者がネイティブにプライベートなプロトコルを選択することでバランスシートのリスクを冒すのではなく、最も価値のあるブロックチェーンがさまざまな技術的トレードオフで勝つことを期待しています。ユーザーと企業はそれらのネットワークにプライバシーをもたらす新しい方法を見つけます。さらに、既に説明したように、レイヤー1の資産は一般にお金と見なされるべきであり、レイヤー1の金銭は明確なネットワーク効果を生むため、長期的にはわずかなチェーンのみが持続します。ネイティブでないプライバシーを持つチェーンがほとんどの人にとって十分なプライバシーを提供する場合、ネイティブなプライバシーを持つチェーンは無関係になります。

このエッセイでは、プライバシー阻害機能に関する技術的トレードオフ、ブロックチェーンとプライバシーに特化した資産を使用する固有のバランスシートリスク、より広く採用されているブロックチェーンにプライバシーをもたらすさまざまな方法、「プライベート」とは何か、そしてどのように考えているかについて説明しますプライバシーに関連する投資について。

完璧なプライバシー 暗号通貨取引で漏洩する可能性のある個人情報には、送信者、受信者、取引金額、IPアドレスの4種類があります。 4つすべてがサードパーティのオブザーバーから正常に隠されている場合、トランザクションは完全にプライベートです。

スクリーンショット2019-09-24 at 7.36.59 AM

表1に見られるように、プライバシーはスペクトルです。スペクトルの一端には、上記の情報を隠さないトランザクションがあります。基本的なビットコインまたはイーサリアム取引。スペクトルのもう一方の端には、Zcashの苗木取引があります。これは、上記の4種類の情報すべてをシールドします（ダンデライオンやコブリなどのIP隠蔽技術と組み合わせた場合）。 Zcashのzk-SNARK回路により、ブロックチェーンに識別情報が記録されたり、ネットワークに漏洩したりすることなく、送信者は盲目のコインを匿名受信者に転送できます。理論的には、完璧です。

Zcashはほぼ3年前ですが、SNARKを使用して保存されているZECの存在は約5％のみです（その約半分はレガシーSNARKを使用しています）。 ZECの約95％は、プライバシーを提供しない透明なアドレスに保存されます。 2019年、暗号市場は一般的に反発しましたが、ZECは顕著な例外です。

スクリーンショット2019-09-24 at 7.37.55 AM

約束はあるものの、市場は語っています。ZcashのSaplingトランザクションによって提供されるプライバシーは、ZECの価値を高めません。

いくつかの理由があります。

まず、暗号通貨の核となる革新は、プログラムによって強制され、簡単に検証可能な希少性の概念であり、いかなるパーティーまたはパーティーのグループも信頼しません。この機能により、社会のスケーラビリティが可能になります。すべての文化と生活の人々が、コインが既知の全体の保証された割合であることを確認できるためです。残念ながら、定義による完全なプライバシーは完全な監査能力を妨げます。

2018年3月、Zcashは、無限のインフレーションを可能にする可能性のある暗号のバグを発見しました。 Zcash Foundationが認めたように、スプラウトのアドレスが非推奨になるまで、いずれかの当事者が利益を得たかどうかを知ることは不可能です。ユーザーは、シールドプールに送られたコインの数を確認できますが、それらのコインが悪意のある攻撃者によって勝手に膨らんだかどうかを知る方法はありません。

完全にプライベートな取引により、投資家はZcashが本来あるべきほど不足しているかどうかを確認できません。

第二に、Zcashのような方法でプライバシーを最適化するには、多大なコストがかかります。完全にプライベートなトランザクションが作成されるたびに、送信者は一連の正確な一連の計算ステップを計算して、マイナーがゼロ知識で検証できる証明を生成する必要があります（ゼロ知識証明の復習者はこれを参照）。これらの手順は計算コストが高く、Sproutバージョンは広範に採用するには面倒でした。 Zcashチームは、EapereumのステートフルスマートコントラクトやMoneroのマルチシグコントラクトなどの追加機能を回避するように、Saplingバージョンを明示的にコイン転送用に最適化するように設計しました（これらは今後登場する可能性があります）。

完全にプライベートなトランザクションをより効率的にするには、Zcashのプログラマビリティを犠牲にします。

2016年と2017年の無差別の強気市場バブルの終Withにより、今日の市場は、プライベートではなく、より安全で、プログラム可能で、ビットコインやイーサリアムなどの証拠が乏しい資産を好んでいます。

それでも、無国籍のお金の未来が完全に透明になるとは考えにくい。検閲抵抗には、ある程度の金銭的プライバシーが必要です。それで、今、自然な問題は、プライベートが十分にプライベートであるかどうかです。

「群衆の中のロスト」プライバシー ビットコインとイーサリアムの両方のコミュニティは、それぞれのチェーンにネイティブなプライバシーをもたらすために懸命に取り組んでいます。完璧なプライバシーのために最適化する代わりに、彼らは「群衆の中で失われた」プライバシー（Tor Networkによって一般化された戦略）で間に合わせています。

「クラウド内のロスト」プライバシーとは、オブザーバーが特定のトランザクションの実際の送信者、受信者、または量を識別するのを困難にする一連のルールにトランザクションを適合させることです。これらのルールを順守するトランザクションが多いほど、クラウドが大きくなり、オブザーバーがトランザクションを匿名化するのが難しくなります。

完全にプライベートなトランザクションとは対照的に、サードパーティのオブザーバーはトランザクションが発生していることを確認できますが、送信者、受信者、または取引金額について明確な主張をすることはできないため、この戦略はユーザーのあいまいさによってセキュリティを作成します。すべての申し立てはせいぜい確率的であり、ほとんどの場合、送信者と受信者はもっともらしい否定性を維持しています。

Bitcoinerは、群衆の中で迷子になるための選択肢としてCoinJoinsを使用しています。

2013年にGreg Maxwellによって最初に提案されたCoinJoinsは、複数の異なる当事者が複数の単一入力、単一出力トランザクションを単一の複数入力、複数出力トランザクションに結合するトランザクションです。これにより、送信者と受信者の間の直接リンクが切断され、すべての出力が同じサイズである場合、誰がどれだけのBTCを受信したかがわかりにくくなります。 WasabiウォレットやSamouraiウォレットなど、CoinJoinsの信頼を最小化した調整のアプリケーションは、最近人気が爆発しました。

スクリーンショット2019-09-24 at 7.38.50 AM

繰り返しになりますが、CoinJoinsは完全にプライベートではありません。観察者は、ミキサーとの間でどのコインが送られたかを知ることができます。しかし、このタイプの成長は、プライバシーを求めているユーザーが実際に群衆の中で迷子になるほど十分に大きな群衆を提供します。 FBI、DEA、およびIRSを顧客として含む最も著名なブロックチェーン分析会社の1つであるChainalysisは、「ミキシングサービスを通過するコインの軌跡をたどることができない」ことを確認しました。 （1）

Ethereumのベースレイヤーは、UTXOベースのモデルの代わりにアカウントベースのモデルを使用するため、デフォルトではビットコインよりもプライベートではありません。つまり、各トランザクションの新しいアドレスではなく、単一のアドレスが多くの異なるトランザクションで再利用されます。

ただし、スマートコントラクトプラットフォームがビットコインより優れている点の1つは、より高度なトランザクションタイプが可能なことです。スマートコントラクトを作成して、送信されたすべてのアセットに「クラウドで失われた」プライバシーを提供できます。スマートコントラクトを作成して、送信されたすべての資産に完全なプライバシーを与えることもできます。 （2）今日、これらのプライバシー対応スマート契約のいくつかの例がメインネットで公開されており、さらに多くが開発中です。

アージェントのホッパー、ハイスワップ、トルネードなどのイーサリアムの「ミキサー」は、「群衆の中に失われた」プライバシーのバージョンを提示し、ビットコインのコインジョインに匹敵する効果を生み出します。ここで、ユーザーは特定の資産（0.1 ETH、10 DAIなど）の固定金額をスマートコントラクトにデポジットし、十分なユーザーが同様のサイズのデポジットを行って大規模な匿名セットを構築し、元の金額を引き出しますオリジナルへのリンクのない新しいアドレス。額面は正確でなければならないので、これらのソリューションが大量の預金を引き付けることは困難であり、持続可能な独立したビジネスへの拡張能力を制限します。

Aztec Protocolは、本質的にイーサリアムの資産の「クラウドでの損失」プライバシープールの構築を目的として、機密資産、ステルスアドレス、ゼロ値出力を可能にするモジュール式のスマートコントラクトを開発しました。ユーザーは、パブリックアセットをスマートコントラクトに送信する必要があります。スマートコントラクトは、これらのアセットのプライベートバージョンをプライバシープールに追加し、取引する新しいプライベートアドレスをユーザーに割り当てます。プライバシープールが引き付ける資産が多いほど、群衆が大きくなり、すべての参加者に強力な保護が提供されます。

既存のチェーンにプライバシーを提供するための競争は、レイヤー2のアドオンだけではありません。 DecredやTezosのような強力なガバナンスを備えた小規模なパブリックブロックチェーンは、近い将来プロトコル固有のプライバシー機能を追加しています。ビットコインやイーサリアムのように、これらのコミュニティはプライベートトランザクションの価値提案を認識しており、ネイティブの金融プライバシーをコア製品として提供するのではなく、プライバシーをコミュニティの機能として提供するよう取り組んでいます。さらに、TezosコミュニティはZcashの苗木を直接盗んでいます！ （3）

パブリックブロックチェーンに関するこのすべての作業は、「群衆の中に失われた」プライバシーの現在のゴールドスタンダードであるMoneroを改善しようとしています。 ZECの5％のみがシールドされているのに対し、XMRの100％は、デフォルトで不明瞭性によるセキュリティを作成する一連のルールに従って転送されます。

Moneroトランザクションは、送信者、受信者、および金額を隠すために、リング署名、ステルスアドレス、およびリング機密トランザクション（RingCT）の3つのプリミティブを使用します。リング署名により、送信者は11人のユーザーのキーでトランザクションに署名できます。

すべてのトランザクションはこれらの機能の使用を強制されるため、すべてのXMRは同じ匿名セットに属し、同じクラウドで失われます。それにもかかわらず、MoneroはZcashよりも2018年の弱気相場をはるかに上回っていません。

スクリーンショット2019-09-24 at 7.39.34 AM

MoneroのトランザクションはZcashのトランザクションよりも多少柔軟性がありますが、ステートフルなスマートコントラクトは依然として不可能です。最近の研究のブレークスルーにより、HTLC（Lightning Networkのようなレイヤー2ソリューションが可能）がもっともらしいものになりましたが、多くのエンジニアリングが必要になるでしょう。 Moneroにとって残念なことに、彼らの開発者コミュニティは小さく、資金も不足しています。つまり、新機能の開発は比較的静的です。

ベースレイヤーチェーンに関係なく、「群衆の中で失われた」プライバシーは、もっともらしい拒否しか提供できません。群衆が大きければ大きいほど、否定性はもっともらしい。

プライベートが十分プライベートであるようになりました：攻撃者がユーザーのトランザクションを匿名化したい場合、トランザクションがWasabiウォレットのビットコイン匿名セット対アステカのイーサリアム匿名セット対モネロの匿名性にある場合、そのために費やす必要がある金額セットする？

匿名化のコスト 今年の初めに、研究者はMoneroに対するFloodXMR攻撃を提案しました。これは、リングシグネチャ選択プロセスの特定の側面を活用して、わずか1700ドルで1年間のトランザクションの50％を匿名化しました。 Moneroコミュニティは、コストが大きすぎると言ってコストを押し戻しました。彼らはまた、一度に発生する複数の攻撃や価格の変動などの現実世界の状況を考慮しなかった分析では単純すぎると言って、方法論を押し戻しました。

このセクションの目的は、FloodXMRを再現することではなく、その原理を利用して、非プライベートチェーンのプライバシープールについて考えるための一般的なフレームワークを構築することです。攻撃は基本的に次のように構成されています。毎日、一定量のトランザクションがMoneroで発生します。それらはすべて混ざり合っているため、誰もが誰にどのような価値を誰に送ったのかを知ることはできません。ただし、すべてのトランザクションはパブリックであり、アドレスはリング署名スキーマで再利用されるため、攻撃者はこれらのトランザクション自体に多数参加する可能性があります。

これを行うことにより、攻撃者は匿名セットを劇的に下げ、各トランザクションの実際の送信者と受信者を決定し、事実上それらを匿名化します。具体的には、前述のレポートによると、「1年間に生成されたトランザクション出力キーの75％を制御する悪意のあるアクターは、同じ期間に作成されたすべてのトランザクション入力の47.63％をトレースできます。」 [4]

この攻撃は、ビットコインのCoinJoinプライバシープール（および実際に既にある）、およびイーサリアムのAztecプロトコルプライバシープールに拡張できます（特定の仮定が行われる場合）。過去12か月のほとんどで、CoinJoinsのビットコイントランザクション量の割合は5〜10％の範囲でした。 [5]

スクリーンショット2019-09-24 at 7.40.54 AM

平均取引手数料、プライバシーを求める取引の数、および特定のプライバシープールで保持されているメインチェーンの時価総額の割合が一定であると仮定すると、匿名化のコスト（C）は次のようになります。

C =（平均送信料）x（平均＃新しい送信/日）x 1.25 x（プライバシープールの時価総額の割合）x 365

表2は、BTCのWasabiウォレットプール、ETHのAztecプール（ETHの時価総額の5％を保持していると仮定）、および2018年10月19日から今日までの平均を使用したXMRのCを示しています。

匿名化のコストを調べる別の方法を表3に示します。ここでは、匿名化のコストをMoneroと同じにするために、イーサリアムまたはビットコインのプライバシープールで保持する必要がある時価総額の割合を決定します。

スクリーンショット2019-09-24 at 7.42.49 AM

もちろん、この高レベルの分析では、攻撃者が各チェーンにどのようにアプローチするかについての多くのニュアンスは無視されます。正確な数字を提供することを意図したものではありませんが、これらの「群衆の中で失われた」ソリューションが実際にどれだけプライベートであるかを一目で理解できるようにするためのものです。市場はこれらの数字を一見して取る必要がありますが、非常に大きな時価総額、取引量、取引手数料を考慮すると、ビットコインとイーサリアムのプライバシープールはすぐに（まだない場合）攻撃するのにより高価になることを理解してくださいMonero匿名セット全体よりも。

未来について推測する代わりに、今日の市場でプライバシーについてどう考えているかを定量化する1つの方法は、プライバシーを最も必要とする人、つまりダークWebユーザーが最も頻繁に使用する暗号通貨を決定することです。現在、Moneroが最もプライベートな暗号通貨であると想定されているため、Moneroが依然として最高であると考えるでしょう。しかし、CipherTraceは、ダークWebトランザクションの5％未満がMoneroを使用していることを発見しました。ほとんどの場合、ビットコインを使用しました。

結論として 暗号通貨の存在理由は、信頼できる第三者に依存せずに価値を取引するデジタル方式を提供することです。グローバルな、国家のないお金になる暗号通貨は、検閲に耐性がなければなりません。検閲への抵抗の前提条件は、金融のプライバシーです。暗号通貨のプライバシーをめぐる戦いは、暗号通貨ユーザーの匿名化を目指す人々との軍拡競争になりますが、暗号通貨が成功するためには勝たなければなりません。

残念ながら、上で説明したように、デフォルトで完全にプライベートなトランザクションであるla Zcashのコストは高すぎます。暗号通貨のもう1つのコアバリュープロポジションを台無しにします：トランザクションの全履歴を通じて、二重支出が発生せず、過度のインフレが発生しなかったことを確認する無許可の機能。この検証プロパティがなければ、暗号通貨は社会的にスケーラブルであり、グローバルで国家のないお金として勝つことはできません。

したがって、受賞した暗号通貨は、公に検証可能な台帳の上に構築された不完全な「クラウドで失われた」スタイルのプライバシーの何らかのバージョンを実装する必要があります。表2および表3から明らかなように、BitcoinおよびEthereumコミュニティは、ネイティブのパブリックチェーンにプライバシープールを追加することができ、取引量と手数料が高いため、Moneroチェーン全体よりも匿名化のコストが非常に高くなります。プライバシーは国家のないお金の特徴であることは明らかですが、コア製品ではありません。

プライバシーに関する論文は、この理解を前提とする必要があります。取引の匿名性を最適化するベースレイヤー暗号通貨に投資する代わりに、マネージャーは、Bitcoinまたはスマートコントラクトプラットフォーム上でサービスとしてのプライバシーを提供する企業に資金提供を開始します。レイヤー2ソリューションは、取引者にデフォルトでプライバシーを提供します。これにより、取引においてプライバシーを重視する人々から、メインチェーンから大量の情報を引き出すことができます。

基本的に、ベースレイヤーチェーンで達成するには高すぎる完全なプライバシーは、Wasabi Wallet、Samourai Wallet、Argent、Heiswap、Tornado、Aztec Protocolなどのビジネスがすべて奪い取る機会です。 ZcashとMoneroに投資されたドルは、これらのようなビジネス、またはそれらが構築しているベースレイヤー暗号通貨に流れ始めると信じています。

（1）現在と同様に、CoinJoinsは、TaprootでBitcoinがソフトフォークする2020年に、より安く、より効果的になると予想されます。今日、CoinJoinsは正確な送信者と受信者を不明瞭にするかもしれませんが、各署名はトランザクションにまだリストされているため、他の人がパンくずリストをたどることができます。 Taprootを使用すると、すべての送信者と受信者の署名を1つの署名に集約できます。トランザクションセットから送信者と受信者のアドレスを完全に削除することにより、TaprootはCoinJoinトランザクションをより安価にし（それらを利用するユーザーの数を増やします）、よりプライベートにします。

それと並行して、Lightning NetworkやLiquid Sidechainなどのレイヤー2ソリューションに多大な開発努力が注がれています。これらは、メインチェーンの欠陥を軽減するためにデフォルトでどちらもプライベートです。 Lightningトランザクションはすべてオフチェーンで発生するため、チャネルのオープンとクローズのみが表示されます。また、デフォルトでは、すべてのトランザクションはオニオンルーティングされたパケットです。つまり、ルーティングノードは、トランザクションの送信者または受信者が誰であるか、またトランザクションの量も確認できません。リキッドサイドチェーンは、送信者と受信者がまだ見えるようになっていますが、ブラインド金額と資産タイプに対する機密トランザクションを組み込んでいます。

（2）最近、Ernst＆Youngのブロックチェーンユニットはzk-snarksを使用してイーサリアムのプライベートトランザクション用のNightfallプロトコルをリリースし、JPMorganのQuorumユニットはzk-snarksを使用してプライベートバランスを追跡するAnonymous-Zetherプロトコルをリリースし、ClearmaticsはZethライブラリを直接リリースしましたEthereumにZcashトランザクションを実装します。これらすべての企業にとって、パブリックブロックチェーンを使用する前に、プライベートに取引する能力が必要であることは明らかです。

EthereumのようなパブリックブロックチェーンでのZcashレベルのプライベートトランザクションがあまりにも良いと思われる場合、それは非常によくある可能性があるためです。これらのトランザクションは高価です。

スクリーンショット2019-09-24 at 7.43.30 AM

ただし、この事実を変えるのに役立つ可能性のあるいくつかの開発が地平線上にあります。 Schnorr SignaturesとTaprootがBitcoinのプライバシーをどのように支援するかと同様に、EIP-1108はEthereumの2019年秋のイスタンブールハードフォークに実装されるべきです。前述のすべてのスマートコントラクトで使用される楕円曲線算術プリコンパイルのガスコストを大幅に削減します。特にアステカの場合、ガスコストを75％削減する必要があります。

（3）より高度な仮想マシンを備えた将来のブロックチェーンは、完全にプライベートなトランザクションに対してほぼネイティブのパフォーマンスを提供できる必要があります。Solana、Eth 2.0、Polkadotなど。これらはさらに進んでおり、このエッセイの範囲外です。

（4）FloodXMR攻撃は、実際には2017年9月15日のRingCTハードフォークに遡るリング署名を再利用できる場合に、トランザクションが再利用される24時間前のリング署名のみを誤って主張しました。これにより、特定の仮定なしに、Moneroの匿名性の設定がはるかに大きくなり、攻撃するのにより多くの費用がかかります。 17/9/15以降に支払われたMoneroの累積取引手数料の60％は、11/1 / 17-2 / 1/18の強気相場マニアのピーク時に発生しました。 9/17から10/18（11 / 17-2 / 18を除く）の平均月間は122k txsでしたが、11 / 17-2 / 18は平均182k txsで、50％増加しました。これらの余分な50％の取引が取引所に入金および引き出しを行う投機家であると仮定した場合、敵が手数料を支払う必要なく事実上匿名化されます。この仮定により、楽観的な敵対的支出の合計は、9/17以降300万ドル未満のすべてのトランザクションの75％でした。月間取引量の25％が常に取引所によるものと推測される場合、9/17以降、その合計の敵対的支出は70万ドルに低下します。

スクリーンショット2019-09-24 at 7.44.12 AM

言うまでもなく、2018年10月に防弾フォークが通過し、取引手数料が95％減少すると、攻撃者が費やす必要がある金額は、取引の75％で月額10,000ドルを下回りました。 3レターエージェンシーの予算内、または不思議なコンサルタント会社です。したがって、この匿名化コストメトリックは、9 / 17-10 / 18から十分な情報が漏えいし、その間に発生したトランザクションの50％を敵がすでに匿名化し、その維持に十分なトランザクション料金のみを必要とすることを前提としていますMoneroボリュームの75％として位置付けます。 （bitinfocharts.comからのすべての送信料データ）

（5）Google BigQueryの公開暗号ビットコインデータベースから取得したすべてのデータ。クエリ内のインラインコメントによって記述される方法。