ZKPの応用：ZKロールアップとプライバシーコイン

Ethereumは約15 TPSを処理します。一方、Visaは約1700 TPSです。スケールさせるため、ZK Rollupは数千件のトランザクションをオフチェーンでまとめ、その有効性を示すSNARK証明を計算し、証明をオンチェーンに投稿します。バリデーターは各トランザクションを検証する代わりに、証明だけを検証します（1ミリ秒）。

ユーザーはシーケンサーにトランザクションを送信します。シーケンサーはトランザクションをまとめてオフチェーンで実行し、新しいstate rootが正しいことを示す状態遷移証明（SNARK/STARK）を計算して、証明と圧縮calldataをEthereum L1に投稿します。

zkSync Era（Matter Labs）は、カスタムSNARK（STARKベースのBoojum）を使用するEVM互換のZK Rollupです。開発者は、zkEVMバイトコードにコンパイルされるSolidityコントラクトをデプロイします。Ethereumと同等のセキュリティ保証を保ちながら、スループットは2000 TPS以上です。

StarkNetは、Stark proverを介してSTARKとCairo言語を使用します。信頼済みセットアップは不要です。プログラムはCairoバイトコードにコンパイルされ、STARKで証明され、Ethereum上で検証されます。dYdX（v3）、Immutable X（NFT）、Sorare（ファンタジースポーツ）で使用されています。

Polygon zkEVMはPLONKベースの証明を使用して、EVMを正確にエミュレートします。任意のEthereumスマートコントラクトを変更なしで実行できます。証明者はトランザクションの各バッチに対してPLONK証明を生成し、それをEthereum L1上で1回のトランザクションにより検証できます。

Zcash（ZEC）はGroth16 SNARK（Saplingプロトコル）を使用して、シールドトランザクションを実現します。送信者、受信者、金額がすべて隠されます。SNARKは、プライベートなフィールドを明かさずに、トランザクションが有効であること（二重支出がなく、金額の収支が合っていること）を証明します。

Zcashのシールドノートは、Pedersenハッシュを使って(value, recipient, randomness)にコミットします。SNARKは、(1) コミットメントの原像を知っていること（そのノートを所有していること）、(2) ノートが未使用であること（nullifier setに存在しないこと）、(3) 出力金額と入力金額が等しいことを証明します。

Moneroはリング署名とPedersenコミットメント（RingCT）を使用します。SNARKは使わず、すべてのトランザクションがデフォルトでシールドされます。ZcashはSNARKベースで、透明アドレスとシールドアドレスが共存します。Moneroは暗号技術がよりシンプルでプライバシーのデフォルト設定が強く、Zcashは暗号学的な保証がより強力です。

ZKアイデンティティ証明では、生年月日を明かさずに18歳以上であること、パスポート番号を明かさずに市民であること、純資産を明かさずに適格投資家であることを証明できます。実装例には、Polygon IDやSemaphore（匿名シグナリング）があります。

ZK-MLでは、秘密の入力に対してニューラルネットワークの推論が正しく計算されたことを証明します。用途には、データを共有せずにモデルが自分のデータ上で実行されたことを証明する医療診断や、入力を明かさずにモデルが結果を出したことを証明する信用スコアリングがあります。大規模モデルへの適用は、まだ研究段階です。

ZK証明により、計算を外部委託したことを検証可能にできます。クラウドプロバイダーが計算を正しく実行したことを証明し、クライアントは計算を再実行せずに数ミリ秒で検証できます。AI推論、データ分析、トラストレスブリッジに役立ちます。

ZK Rollupは、トランザクションの有効性を証明するために何をEthereum L1へ投稿しますか？

ZK Rollup（zkSync、StarkNet、Polygon zkEVM）は、SNARK/STARKを使ってL2のスケーラビリティを実現します。ZcashはシールドトランザクションにGroth16を使用します。ZKPは、アイデンティティ、ML推論、検証可能な外部委託計算にも応用できます。次は、準同型暗号です。