[論文レビュー] AMR:Autonomous Coin Mixer with Privacy Preserving Reward Distribution

Duc V. Le, Arthur Gervais|arXiv (Cornell University)|Oct 2, 2020

Blockchain Technology Applications and Security参考文献 33被引用数 5

ひとこと要約

AMRは、Ethereum上に実装された、自己管理型で検閲に強い初のコインミキサーを提案する。このミキサーはDeFiローンティングプロトコルとの統合により、預け入れた資金に対して利子を生み出し、報酬分配をプライバシー保護型で行える。zk-SNARKsを用いてリンク不能性を保証し、定数のシステムコストで1,000人を超える匿名集合をサポートする。実用的なパフォーマンスを達成しており、預け入れのガスコストは120万、引き出しは30万である。

ABSTRACT

It is well known that users on open blockchains are tracked by an industry providing services to governments, law enforcement, secret services, and alike. While most blockchains do not protect their users' privacy and allow external observers to link transactions and addresses, a growing research interest attempts to design add-on privacy solutions to help users regain their privacy on non-private blockchains. In this work, we propose to our knowledge the first censorship resilient mixer, which can reward its users in a privacy-preserving manner for participating in the system. Increasing the anonymity set size, and diversity of users, is, as we believe, an important endeavor to raise a mixer's contributed privacy in practice. The paid-out rewards can take the form of governance tokens to decentralize the voting on system parameters, similar to how popular "DeFi farming" protocols operate. Moreover, by leveraging existing "Defi" lending platforms, AMR is the first mixer design that allows participating clients to earn financial interests on their deposited funds. Our system AMR is autonomous as it does not rely on any external server or third party. The evaluation of our AMR implementation shows that the system supports today on Ethereum anonymity set sizes beyond thousands of users, and a capacity of over $66,000$ deposits per day, at constant system costs. We provide a formal specification of our zksnark-based AMR system, a privacy and security analysis, implementation, and evaluation with both the MiMC and Poseidon hash functions.

研究の動機と目的

• 既存のコインミキサーにインcentive（インcentive）が欠如しているため、ユーザー参加を妨げ、匿名集合のサイズが制限される問題に対処すること。
• 第三者サーバーや中央集権的実体に依存しない分散型で検閲に強いミキサーを設計すること。
• 資金を最低限の期間保持するユーザーに対して、プライバシー保護型の報酬分配を可能にすること。
• 既存のDeFiローンティングプラットフォームと統合することで、預け入れた資金に対して金融利子を得られるようにすること。
• 匿名集合サイズが拡大しても、定数のシステムコストを維持する強力なプライバシー保護を達成すること。

提案手法

• AMRは、zk-SNARKsを用いて、ユーザーの引き出しとその預け入れとのリンク不能性を暗号的に証明することで、取引のリンク不能性を保証する。
• 匿名集合を表すために、深さd=30のMerkleツリーを採用し、効率的なメンバー証明と定数の検証コストを実現する。
• プライバシー保護型報酬メカニズムをゼロ知識証明を用いて実装し、時間t以上資金を保持したユーザーにガバナンストークンを発行するが、本人特定情報を露呈しない。
• AMRは、AaveやCompoundなどの既存のDeFiプロトコルと統合し、預け入れた資金に対して収益を生み出す。これにより、ユーザーはミキサー内に資金を保有している間も利子を得られる。
• システムは完全に自律的であり、Ethereum上にスマートコントラクトとしてデプロイされており、すべてのロジックとステートがオンチェーンで管理される。
• 証明生成時間とガスコストを削減するために、回路制約を最小限に抑えるためにMiMCおよびPoseidonハッシュ関数を採用する。

実験結果

リサーチクエスチョン

• RQ1 分散型コインミキサーを設計できるか。強力なプライバシー保護を実現しつつ、プライベート報酬による長期的参加インcentiveを提供できるか。
• RQ2 リンク不能性を損なわずに、プライバシー保護型ミキサー内で預け入れた資金に対して金融利子を生成する方法は何か。
• RQ3 zk-SNARKベースのミキサーが、数千人規模の匿名集合をスケーリングしつつも、システムコストを定数に保てるか。
• RQ4 外部信頼を必要とせず、既存のDeFiプロトコルとミキサーを統合して、ユーザーに被動収益を提供することは可能か。
• RQ5 ガスコスト、証明生成時間、匿名集合サイズの観点から、AMRは既存のプライバシー解決策と比較してどの程度のパフォーマンスを示すか。

主な発見

• AMRは、匿名集合サイズが1,000人を超えるのを定数のシステムコストでサポートでき、リングベースのシステム（例：Mobius）と比較して顕著に優れている。Mobiusは線形にコストが増加するため、24人までが上限である。
• システムは、引き出しを想定しない場合、Ethereum上で1日あたり66,000件以上の預け入れを処理でき、高いスループットと実用的なスケーラビリティを示している。
• AMRへの預け入れは120万ガス（70 Gweiのガス価格で、$31.95 USD）、引き出しは30万ガス（$9.12 USD）、報酬受領は150万ガス（$41.07 USD）であり、いずれも70 Gweiのガス価格を前提としている。
• コンsumerハードウェアでも証明生成に3.607秒で完了するため、zk-SNARKベースのシステムとしては効率的であり、実用的なデプロイが可能である。
• PoseidonおよびMiMCハッシュ関数の使用により、回路制約がそれぞれ243および1,323にまで削減され、Zethの59,281制約と比較してAMRのzk-SNARK回路は著しく小さくなり、証明生成が高速化された。
• AMRの検証コストは約200万ガスであり、Zethの5倍安価である。また、暗号化されたノートを保存しないため、オンチェーンのストレージオーバーヘッドが削減されている。