秘匿トランザクションとは

鍵になるのは、加法準同型という性質を持つコミットメントです。金額を直接書く代わりに、金額と目隠し用の乱数から計算した値を記録します。この値は足し引きができるよう作られているため、検証者は中身を知らないまま「入力の合計から出力の合計を引くとゼロになる」ことだけを確かめられます。

ここで抜け穴になるのが負の金額です。中身が見えない以上、出力の一方をマイナスにすれば、合計は合っているのに通貨が増えてしまいます。これを塞ぐのが範囲証明で、各出力が0以上かつ上限未満であることをゼロ知識で示します。証明のサイズが大きくなりがちで、手数料や容量の負担として現れます。

注意したいのは、これが隠すのは金額だけだという点です。どの出力がどの取引で使われたかという関係は台帳に残るため、金額の秘匿だけでは取引の流れをたどられます。実際の設計では、ステルスアドレスやリング署名、ゼロ知識証明と組み合わせて使われるのが普通です。