Plasma is Back!! Intmaxが実現する「真のL2」とは？｜Web3 Security Mag

2024年7月、代々木で行われたEDCON2024のハイライトの一つは、「PLASMACON」というIntmax主催のPlasmaコミュニティのサイドイベントだった。

Plasmaと聞いて懐かしく思う読者もいるかもしれない。Ethereumのスケーラビリティ問題へのソリューションとしてこの技術が発表されたのは7年前の2017年8月だからだ。今やスケーリングソリューションといえばZK-RollupsやOptimistic Rollups等のRollup技術を採用した「L2」を意味するが、2017年当時はL2という言葉さえ存在しない黎明期で、ビタリック氏を筆頭にEthereumコミュニティが注力していた研究テーマがPlasmaである。しかし後述の通り、ある技術課題によって衰退し、その後にやってくるL2のトレンドへスケーラビリティ問題は引き継がれ今に至る。

なぜ、一度モメンタムを失ったPlasmaコミュニティが7年ぶりにL2の最前線に再帰したのか？従来のL2と何が異なるのか？そして日本人ファウンダーの日置 玲於奈氏がリードするIntmaxのコアバリューは何か？今回は、日置氏へのインタビューをベースにスケーリングソリューションの歴史をなぞりつつ、PlasmaとZK技術の結晶であるIntmaxのテクノロジーを分かりやすく解説していく。

Source:Intmax official X

Source:Intmax official X

インタビュアー：Kenta （Bunzz CEO）

L2（レイヤー2）はスケーラビリティの根本課題を解決したのか？

ご存知の通りEthereumが多数の取引やスマートコントラクトを処理する能力には限界がある。チェーン上に記録するデータが多いほどネットワークは混雑し、トランザクション確定まで時間がかかりガスフィーが高騰する。スループットを上げて処理能力を向上させることもできるが、一方で検証の精度は下がりセキュリティが犠牲になる。トランザクションを記録するノードの数を減らせば検証時間を短縮できるが分散性が犠牲になる。スケーラビリティ問題とは、いわゆるこの「ブロックチェーンのトリレンマ」の一側面と言える。Ethereumに限らず全てのL1は「普及するほど不便になる」という致命的な矛盾と向き合っている。

解決のポイントは何か？現在のL2が目指すことを一言で表すならば、「いかにL1にデータを書き込まないか」。そして「L1に書かなかったデータをどこでセキュアに保持するか」ということに尽きる。本来は、

1. 各ユーザーの取引内容
2. トークンの送受信履歴
3. スマートコントラクトの実行結果

等の取引の詳細に加え、「ステート」と呼ばれる各取引の一時的な状態情報（アカウントの残高の変化やスマートコントラクトの内部状態の変化等）をL1に書き込んでいたが、L2でこれらを代わりに記録し、最終結果だけをL1に書き込むのがL2のアプローチだ。ステートはL2にあるため、「ステートフルチェーン」とも言われる。しかし日置氏をはじめ、Plasmaコミュニティはここに強い疑問を持っている。

日置氏「今の（ステートフルな）L2はスケーリングソリューションとしての意味をどんどん失くしてると思うんですよね。どういうことかというと、L2はボトルネックである『データの保持』を根本的には解決していません。例えばRollupでやっているのは、L1に一時的にトランザクションデータを保存して一ヶ月くらい経ったらデータをわずか15個くらいのL2のノードで保存することです。この方法ならL1のブロックスペースを圧迫しませんが、ノードの数が少なく分散されていないので、仮にノードを攻撃されたトランザクションデータが失われた場合、ユーザの資産も失われるリスクがあります」

Source: zkSync documentation. Life Cycle of a transaction on zkSync

L2ノード管理下のトランザクションの喪失でユーザ資産が失われる理由は、L1に書かれた最終結果を証明できなくなるためである。この問題は「Data Availability Problem（以下DA問題）」と呼ばれている。

DA問題とは？

スケーリングソリューションは、複数のトランザクションデータをまとめるためにハッシュ化という暗号技術を多用する。分かりやすく言えば、トランザクションA、Bに対してハッシュ関数を適用すると、ハッシュ値(C)という唯一無二かつ軽量の値が得られ、(C)のみをチェーンに書き込めばトランザクションデータA、Bの正しさを証明できるため、結果的にチェーンの負担が減るという仕組みだ（トランザクションは2つ以上でもまとめてハッシュ化できる）。

問題は、トランザクションのいずれか一つでも失われると、(C)を復元できないことだ。

Source: Provided by Intmax

つまり最終結果だけを抽出してチェーンに書き込んでも、それを復元するためのトランザクションデータは結局、L1以外のどこかに保管しておく必要がある（上図の最下段列HA〜HP全て）。

L2はノードに保管しているが、分散性が脆く、L1で起きた問題をL2に移行しただけとも言えるため、スケーリングソリューションとして片手落ちではないか？これが日置氏をはじめイーサリアムコミュニティのリサーチャーの共通見解である。実はRollup系のL2自身もこの問題を認識しており、当初は自らのチェーンを「L1.5」と表現していたという。

このような理由からDA問題はL2のスケーリングに立ちはだかる根深い問題だった。Plasmaが一時的に衰退する要因となった技術課題も、このDA問題によるところが大きい。

Plasmaコミュニティの技術的到達点「ステートレスチェーン」

つまりスケーラビリティ問題を根本から解決するためには、L2にステートを書き込まず、かつL1に書かれた最終結果を裏付けるトランザクションデータもL2以外の場所に「分散化」して保持する必要がある。まるで暗号技術の曲芸のような難題だが、ここ数年で画期的な技術が開発された。

日置氏「トランザクションの再構築を不要にした技術的なブレークスルーは「リカーシブZKP」の発明と、リカーシブZKPを高速に扱える「Plonky2」というフレームワークです」

詳しくは後述するが、それらの技術によってトランザクションデータやステートをオフチェーンでセキュアに検証・保持できるようになったため、DA問題は解消され、長らくEthereumコミュニティが待ち望んだスケーラブルなチェーンが生まれた。それらはチェーンにステートを持たないため「ステートレスチェーン」と呼ばれる。

（Intmaxのデックから、Rollup系チェーンやライトニングネットワークとの特性比較を下記に引用する。）

Source: Provided by Intmax

ステートレスチェーンであるIntmaxが実現したこと

ここまでL2の歴史を振り返った上で、IntmaxがリカーシブZKP技術を利用してどのように何を実現したのか見ていこう。

日置氏「L2スケーリングの問題は、Merkle Proof（ハッシュ化されたトランザクション）をチェーンに記録するために、全てのトランザクションデータを保持しなければならないことですが、『Merkle Proofをユーザに渡せば、チェーン側で保持する必要はないのではないか？』というのがIntmaxの発想です。このチェーンでは、ユーザがトランザクションを発行すると同時に、ZKPプルーフという取引のレシートを必ず受け取る仕組みになっています（他のユーザのトランザクションがハッシュ化されたMerkle Proofもここに含まれる）」

Source: Discover INTMAX's Stateless zkRollup Protocol

Source:Discover INTMAX's Stateless zkRollup Protocol

上図のうち、チェーンに記録されるのはRootのみで、ハッシュとトランザクションはUTXOという形式でZKPプルーフと共にユーザが保持する。Rollupではハッシュとトランザクションをチェーン側で保持することが問題だったが、ユーザに渡してしまうことでチェーンへの負担を大幅に削減することに成功している。”大幅に”という表現すら控えめかもしれない。チェーンに書き込まれるRootのデータ量はわずか32バイトで、ほぼ無制限と言って差し支えないほど大量のトランザクションをチェーンに集約でき、従来のL2を圧倒するスケーラビリティがある。

Source: Discover INTMAX's Stateless zkRollup Protocol

しかし1トランザクションを1ZKPプルーフで保証するだけでは、1ブロック分の正しさしか証明できない。チェーンの全ヒストリーを整合させるには、ZKPプルーフ同士が互いの正しさを証明できる”繋がり”が必要だ。それを実現するのがリカーシブZKP技術である。上図をもう一度見ていただきたい。ユーザはトランザクションを発行する以前に、その前の取引で発生したZKPプルーフを持っている。新たなトランザクションが発行されると、「一つ前のZKPプルーフを含めて新たなZKPプルーフが生成される」。つまり最新のZKPプルーフは常に正しい全履歴を含んでいることになる。最新のプルーフ単体でチェーンの全履歴の正しさを証明できることが特徴だ。
（詳しく理解したい方はこちらの公式動画を推奨する）

Source: Discover INTMAX's Stateless zkRollup Protocol

Intmaxは全く新しい手触りのブロックチェーン

前述のようにIntmaxチェーンにはRootと呼ばれる最終結果が記録されているだけだ。それもハッシュ関数で暗号化されているため、ただの文字列である。つまり「チェーンを閲覧しても具体的な情報は何もない」。通常のチェーンでは自分以外のウォレットのアカウントの残高や取引履歴を閲覧できる。それらオンチェーンデータによって分析やコピートレードが可能になるわけだが、Intmaxではそれ自体がないため、オンチェーンを利用したアプリケーションを構築することはできない。

Etherscanのようなブロックエクスプローラーさえない。私達が今まで触れてきたチェーンとは手触りが異なる。

日置氏「オンチェーンにユーザのデータがあることは、僕たちにとっては弱点なんですよね。Intmaxのコアバリューの一つは『究極のプライバシー』です。この観点から言えば、オンチェーンでウォレットの情報が閲覧できることはむしろデメリットです。Intmaxでは全てのトランザクションはオフチェーンで計算・保持されます。チェーン上では何も起きていないので、ユーザの手元で起こったことは誰も何も知ることができない仕組みになっています」

確かに、多くのユーザがトランザクションデータがパブリックであることに慣れきっているが、それによるリスクと実害はある。攻撃者はオンチェーンデータやウォレットをヒントに攻撃手法を構築するからだ。

Intmaxのユースケース

プライバシー重視なチェーンであるがゆえに、ユースケースは安定かつ超低ガスのPaymentと資産の保管場所に最適と言える。仮にIntmaxのユーザが10億人にスケールしてもガスフィーは一定だという。データは10億人の各デバイス内に保管され、ZKPプルーフを生成するZKP回路もユーザのアプリに付帯する。10億人分のトランザクションは10億台のデバイスで並列に計算されるためだ。全取引データがオフチェーンで計算・保持されるから、ほぼ無限にスケールできる特質を持つ。

一方でDAppの展開先チェーンとしては不向きで、Intmaxには基本的にスマートコントラクトをデプロイすることすらできない。サードパーティがIntmaxの技術を利用したアプリケーションを開発する場合、多くはUIを拡張したり、外部のスマートコントラクトを別チェーンで連携させ、Intmaxをラップしたようなものとなるかもしれない。

日置氏「実用的なPaymentを構築したい方やコンプライアントなプライバシーを確保したい方に使ってみてほしいです」

Source: Provided by Intmax

Solidityで書かれたスマコンもデプロイ可能なPlasmaチェーン「Plasma Free」

Plasma系の中にはEVMに対応しDAppを展開できるPlasma Freeというチェーンも存在し、Intmaxとパートナーシップを組んでいる。ステートレスチェーンでのアプリケーション開発に関心のある方はぜひチェックしてみてほしい。Bunzzもスマコンの開発インフラとしてPlasma Freeへの対応を検討しており、コントラクトをGUIだけで簡単にPlasma Freeへ展開できるようになる予定だ。また、Plasma FreeでDAppの展開を検討しているチームへ、Bunzz Auditから監査チケットのディスカウントも検討している。関心のある方はこちらへお問い合わせいただきたい。

Intmaxまとめ

いかがだっただろうか？Intmaxがスケーラビリティとプライバシーに特化した新たなL2であることがお分かりいただけていたら嬉しい。Bunzzがインタビューを依頼した理由も、Intmaxチームのプライバシーとセキュリティにこだわった設計思想にある。

Rollup系のチェーンが依然としてDA問題を抱えているとはいえ、だからこそ多様なユースケースを生んでもいる。Intmaxをはじめとしたステートレスチェーンは設計思想の方向性が違うだけで対立するものではないことは前提として、日置氏は自身のチェーンを含むPlasmaチェーンに関して「やっと”L2”が生まれたんです」と語った。彼らが今後Ethereumエコシステムの最前線でチェーンを普及させていくのを見るのが楽しみだ。そしてチェーンのドリブンにはDAppとユースケースが不可欠だ。ビルダーはぜひIntmaxの技術に触れてみてほしい。