[論文レビュー] SurferMonkey: A Decentralized Anonymous Blockchain Intercommunication System via Zero Knowledge Proofs

Miguel Díaz Montiel, Rachid Guerraoui+1 more|arXiv (Cornell University)|Oct 24, 2022

Blockchain Technology Applications and Security被引用数 8

ひとこと要約

SurferMonkeyは、ゼロ知識証明（ZKP）を用いて、安全でMEVに強く、プライベートなブロックチェーン間通信を可能にする分散型で匿名性を保証するシステムを提案する。MEV抵抗性でプライベートなクロスチェーンメッセージングを実現するためのDACTプロトコルを導入し、zk-SNARKsを活用した分散型インfraによって、オンチェーンおよびオフチェーンのリンク分析を防ぎ、ユーザーのプライバシーと、合理的なアクターおよび検閲に対するレジリエンスを確保する。

ABSTRACT

Blockchain intercommunication systems enable the exchanges of messages between blockchains. This interoperability promotes innovation, unlocks liquidity and access to assets. However, blockchains are isolated systems that originally were not designed for interoperability. This makes cross-chain communication, or bridges for short, insecure by nature. More precisely, cross-chain systems face security challenges in terms of selfish rational players such as maximal extractable value (MEV) and censorship. We propose to solve these challenges using zero knowledge proofs (ZKPs) for cross-chain communication. Securing cross-chain communication is remarkably more complex than securing single-chain events as such a system must preserve user security against both on- and off-chain analysis. To achieve this goal, we propose the following pair of contributions: the DACT protocol and the SurferMonkey infrastructure that supports the DACT protocol. The DACT protocol is a global solution for the anonymity and security challenges of agnostic blockchain intercommunication. DACT breaks on- and off-chain analysis thanks to the use of ZKPs. SurferMonkey is a decentralized infrastructure that implements DACT in practice. Since SurferMonkey works at the blockchain application layer, any decentralized application (dApp) can use SurferMonkey to send any type of message to a dApp on another blockchain. With SurferMonkey, users can neither be censored nor be exposed to MEV. By applying decentralized proactive security, we obtain resilience against selfish rational players, and raise the security bar against cyberattacks. We have implemented a proof of concept (PoC) of SurferMonkey by reverse engineering Tornado Cash and by applying IDEN3 ZKP circuits. SurferMonkey enables new usecases, ranging from anonymous voting and gaming, to a new phase of anonymous decentralized finance (aDeFi).

研究の動機と目的

• MEV抽出者や検閲者といった合理的なアクターによる、クロスチェーン通信における深刻なセキュリティおよびプライバシー課題に対処すること。
• 中央集権的信頼、フロントランニング攻撃への脆弱性、オンチェーンおよびオフチェーン分析への暴露といった、既存のブリッジの限界を克服すること。
• 信頼できる第三者機関や中央集権的エンティティに依存せずに、エンドツーエンドの匿名性を実現するクロスチェーンメッセージングを可能にすること。
• オンチェーン攻撃およびユーザーを特定化する可能性があるオフチェーンヒューリスティクスに対して、両方の脅威に耐性を持つシステムを設計すること。
• モジュラーかつ組み込み可能なインfraを提供することで、複数のブロックチェーンにまたがる匿名の分散型アプリケーション（dApps）の実用的導入を支援すること。

提案手法

• ZKPを用いて、分散型で匿名なブロックチェーン間通信を実現するグローバルソリューションとして、DACT（Decentralized Anonymous Cross-Chain Transfer）プロトコルを設計する。
• Ethereum上に、Mixer SC、Merkle Tree SC、Router SC、Verifier SC、dApp SCといった複数のコントラクトを実装し、取引フローと検証を管理する。
• zk-SNARKsを用いて、Merkleツリーへの参加を示す短い非インタラクティブ証明を生成し、入力および出力取引がリンクされないことを保証する。
• リバート機能を統合し、反応型のオプティミスティックセキュリティを実装することで、オラクルやdAppノードの参加なしにユーザーが資金を回復できるようにし、ユーザーの資産管理とレジリエンスを強化する。
• IDEN3 ZKP回路を活用し、Tornado Cashの逆コンパイルを実施することで、Circom、JavaScript、Solidityを用いて生産環境向けプロトタイプを実装する。
• dApp所有者または分散型署名者によるMerkleツリーのリーフに署名を要求することで、分散型のプロアクティブセキュリティを強化し、署名やメッセージが露呈されない形でZKP回路に組み込む。

実験結果

リサーチクエスチョン

• RQ1 MEV抽出者や検閲者といった合理的なアクターに対して、クロスチェーン通信をどのようにして安全に保てるか？
• RQ2 ゼロ知識証明は、マルチブロックチェーンシステムにおけるオンチェーンおよびオフチェーンのリンク分析を効果的に遮断できるか？
• RQ3 信頼できる仲介者に依存せずに、エンドツーエンドの匿名性を実現するためのアーキテクチャパターンは何か？
• RQ4 オラクルやdAppノードがアクティブに参加しない状況下でも、分散型システムがどのようにしてユーザーの資金回復を保証できるか？
• RQ5 マルチチェーンおよびマルチdApp間通信パイプラインにおいて、zk-SNARKsをデプロイする際のパフォーマンスおよびガスコストへの影響は何か？

主な発見

• SurferMonkeyのプロトタイプは、オンチェーンおよびオフチェーン分析による取引のリンクを防ぐためにzk-SNARKsを活用することで、エンドツーエンドの匿名性を成功裏に実証した。
• ZKP検証のガスコストは、回路の複雑さが増大しても一定であり、サブ線形的であることが確認され、zk-SNARKsの実用的短縮性が裏付けられた。
• Merkleツリーの深さが、リーフの提出にかかるガスコストに顕著な影響を及ぼしており、プライバシーの強度と取引コストの間の重要なトレードオフが明らかになった。
• リバート機能により、オラクルやdAppノードに依存せずに、ユーザーが資金を完全に回復できるようになった。これにより、ユーザーの自律性とレジリエンスが向上した。
• 取引の意図と宛先を隠蔽することで、MEVの機会を排除し、MEVに強く、クロスチェーンのMEV機会を排除した。
• IDEN3回路と逆コンパイルされたTornado Cashコードを用いた実装により、安全で組み込み可能かつ検証可能な匿名通信レイヤーを構築することが可能であることが確認された。