先行研究との位置関係

このスタックのどの機構にも、元になった論文がある。その多くはスタックより前に出ている。これは隠すべき問題ではない。むしろ正確に書くべき点である。本研究の位置づけは応用にある。新しいプリミティブも、安全性証明も、より良い漸近評価も出していない。主張するのは三つである。機構をつなげた構成、その構成の各部分で計測した費用、そして実際に作って初めて見えた少数の知見である。

出典: defmi/POSITION.md, qomm/POSITION.md · 5 本の論文はいずれも抄録ではなく本文を読んだ

主張

見積依頼（RFQ）市場は、次の二つを両立して運営できる。市場の運営者を含めどの参加者も、メイカーの値付け規則と負けた見積を知らない。それでいて、返された見積が提出された中で最良だったこと、そして取引がその価格で決済されたことを、事後に誰でも検証できる。本研究の貢献はこの構成と、構成の各部分で計測した費用である。費用が見合わないと分かった部分も含める。

一覧

先行研究はどれも「回路が正しく評価された」ことを監査する。本スタックが監査するのは「提示された価格の中でこれが最良だった」ことである。さらに、その価格の commitment（値を隠したまま、後で変えられないように固定したもの）を開かずに、そのまま決済まで運ぶ。

論拠を担うのは 2 行だけである。残りの行は前提条件の選び方の違いであり、その大半の軸では他の研究の方が強い。

この研究がしない 3 つの主張

いずれも初期の草稿で主張し、その後撤回した。

Baum, Damgård, Orlandi 2014: 仕組みの出どころ

入力を提供する側が Pedersen commitment を公開する。SPDZ のオンライン段階は線形な開示の連続なので、監査人はその開示を commitment の上で再生して検算できる。quote proof（返した見積が最良だったことの証明）が実装しているのはこの構成そのものであり、変種ではない。違いは 6 つあり、うち 2 つが暗号上の違いである。第一に、攻撃者の想定が honest majority（過半数の計算主体は正しく振る舞うという前提）である。これはより弱い仮定だが、その代わりにオンライン段階を情報理論的に安全にできる。第二に、入力する当事者と計算する当事者が別である。share（秘密分散した断片）からエンジンへ渡す際の隙間は、ここから生まれる。残る 4 つは次のとおり。体（有限体）の問題は彼らにもあるが、ここではその費用に数字（通信量 2.00×）が付いている。監査する命題が、市場についての命題である。出力を決済まで運ぶ必要がある。公表する値にはノイズを載せる。

Baldimtsi, Kiayias, Zacharias, Zhang 2020: 入力は別々、保証は弱い

構造の上では最も近い。クライアントが入力し、サーバが内容を見ずに計算する。動機として挙げる応用の一覧には、板の照合も入っている。想定する脅威は彼らの方が広い。細工されたサーバ、細工された CRS（共通参照文字列）、細工されたクライアント端末にも耐える。その代償として、正しさは厳密ではなくなる。厳密にはできないことも彼らは証明しており、達成できるのは spreading relation（厳密な一致の代わりに、出力と真の結果の間に許す緩い関係）までである。価格の argmin（最小値を取る位置）はリプシッツ連続とは正反対の関数なので、使える spreading relation は自明なものしかない。しかし、彼らが防ぐ脅威はここには存在しない。マーケットメイカーは計算機を持つ企業であり、commit した値付け規則こそが、その企業を拘束する正解である。だからここでは厳密な正しさが得られ、彼らには得られない。実装はない。

Rivinius, Reisert, Rausch, Küsters 2022: この選択への最も強い反論

閾値方式で、公開検証可能で、説明責任があり、頑健で、格子 commitment の上に建つ。しかも、他の誰も持たない計測値がある。素の SPDZ と比べて、オンライン段階が 11× から 20× になる。彼らの付録は、このスタックがやっていることそのものに反論している。第一の論点は「平文の空間は commitment の安全性に合わせて大きくせざるを得ない」である。これは彼らの BGV 前処理には当てはまるが、格子の前処理を持たない Shamir には当てはまらない。ここでの 2.00× は wire 形式（通信に載せる際の表現）の分である。第二の論点は「計算量的な束縛は commitment の寿命とともに弱まり、オークションこそその弱まりが効く場所である」である。これはまさにこのスタックの形に当たる。耐量子化へ進む最も強い理由として記録してある。彼らにあってここにないものは、説明責任と頑健性である。ただし、彼らが計測したとおりの費用が付く。

Prime Match 2023: 動いているものの中で最も近い

J.P. Morgan で本番稼働している。malicious（規定どおりに振る舞わない）なクライアントと、星型の中心に立つ semi-honest（規定には従うが情報は覗く）な銀行に対して安全である。ここには semi-honest な当事者はいない。彼らの計算は 2 者間の最小値計算を n² 回呼び出すもので、毎秒約 10 銘柄を 30 分ごとに処理する。こちらは、commit された M 個の値付け規則に対する 7 者のトーナメントで、範囲・新しさ・在庫の検査も伴い、RTT 15 ms で見積 1 件に 3.6 s かかる。ここに Prime Match より速いものは何もない。一方、彼らの結果は第三者が監査できない。第三者による監査可能性こそ、このスタックが立つ軸である。次に読むべきは、彼らの前処理なし 2 ラウンドの malicious 比較である。

Baum and Zok 2026: 最新であり、着想は彼らのもの

2014 年の Pedersen commitment を VOLE-in-the-Head に置き換え、監査可能性の前提をランダムオラクルだけにした。UC 安全で耐量子だが、ベンチマークはない。この暗号上の着想は彼らのものであり、本研究では主張しない。ここにあるのは、彼らに欠けている実装である。host-a で n=30、commit した値 167 個の条件で、Pedersen は 18.6 ms、証明のサイズは 5,440 B。VOLEitH は 73.1 ms、45,616 B である。VOLEitH の 88% は VOLE の整合性補正で、その中身は F₂ 上のビットと、127 ビット素数体上の 16 バイト要素である。彼らの commitment は一度しか開けない。一方、メイカーの値付け規則は見積のたびに開かれる。そのため証明者は、2 度目の開示を許すのではなく拒む。

決済脚: 5 本の論文のどれにもないもの

公開監査可能な MPC は、出力を開いたところで終わる。しかし平文で決済した見積は、その時点ですべてを漏らしている。zkPI と DeFMI の部品はどれも標準的なものである。Pedersen、Bulletproofs、Groth–Kohlweiss、Zcash 型の nullifier（同じ note を二度使えないようにする使用済み印）、FROST、秘匿トランザクションの残高算術。標準的でないのは、決済脚が監査済みの計算に束縛されている点である。quote proof が「最小値である」と示す価格の commitment を、定足数が署名し、指図が運び、台帳の積の証明が消費する。これらはすべて同じ一つの commitment である。値は一つ、証明は四つ、開くことは一度もない。公刊されたものの中で最も近いのは DLT 上の DvP だが、それは価格が公開であることを前提にしている。

Rialto、P2DEX、Renegade に対する OCLOB

「秘密の注文を MPC で照合する DEX」自体は新しくない。Rialto は単位数量の注文を固定ラウンドで扱う。P2DEX は固定数量の価格照合を SPDZ2k 上で評価し、UC 安全性と、不正を働いたサーバへの補償を持つ。この補償は OCLOB にはない。Renegade は匿名注文を仲値で付け合わせるが、リレーヤーは自分が扱う注文を平文で見る。OCLOB が差になり得る点は、次を一つの状態機械にまとめたことである。連続処理、可変数量、部分約定。内容を開く前に到着順を 5-of-7 で確定する。公開する板は価格帯別の合計だけにする。決済は事前承認済みで、zkPI を通じて DeFMI へ流す。正式な新規性の主張は、安全性定義ができるまで保留する。

これを暗号論文にする 4 つの問い

1. F_p 上で、ランダムオラクルだけを前提に、2 回以上開ける公開検証可能な線形準同型 commitment。 最も鋭い問いであり、計測結果もここを指している。Pedersen は DLOG を前提に何度でも開ける。BDLOP は SIS を前提にするが、数キロバイトかかる。VOLEitH はランダムオラクルだけで済むが、一度しか開けない。この欠けた組み合わせには、それを必要とする応用がある。
2. 群の位数も収まる体での、slack（比較に許す余裕）のない比較。 Rabbit は環の上で slack を除く。Prime Match には 2 ラウンドの malicious 比較がある。どちらも、MPC の体を commitment の群の位数に合わせた構成（matched field）を使う 7 者 Shamir については述べていない。
3. honest majority での公開の説明責任と、その費用。 honest majority での費用の数値は、まだ存在しないようである。ここではその費用が小さいと考える理由がある。ただしこれは仮説であって結果ではない。
4. 頑健な復元: 実装し、実行し、再現した。 効く条件は n ≥ 4t+1 で、復号器で足りる。2 台の計算機上の 9 ノードで計測した。頑健でないまま残る段階は入力であり、そこでは復号は役に立たない。

5 本のうち 2 本は、自分たちの検索ではなく、第三の論文の関連研究の節から見つけた。このプロジェクトでそれが起きたのは 2 度目であり、記録に残してある。