開発者向け

Rand はオープンソースです。フルノード、エクスプローラー、ブリッジ、証明の研究、ウォレットクライアントは、それぞれ GitHub 上の独立したリポジトリにあります。コードを読み、テストを実行し、パッチを送ってください。このページはその地図です。各コンポーネントの所在、使用技術、証明システムのここまでの到達点、そして現時点での限界をまとめています。

リポジトリ

スタック

端から端まで Rust です。Rand は独自のチェーンです。libp2p ゴシップ層を備えた HotStuff BFT ノード、台帳としての完全シールデッドなノートプール、ポスト量子署名とノート暗号化、機密計算のための Rand zkVM を備え、そのすべてが fullnode リポジトリにあります。証明システムそのものは、以下に述べるとおり、現在も研究が進められている部分です。

すべてのプログラムに共通する 1 つの関係

ホワイトペーパーの普遍的な実行関係 R_exec は、コードとして存在します。それが rand_zkvm で、Goldilocks 体上の Plonky3 による単一のバッチ STARK で証明される RV32IM マシンです。これは、ソルト付きの H_IN によってコミットされた入力に対し、あるトレースがプログラム hc を実行してこれらの公開出力に至ったことを証明します。プログラムに関する情報が検証器のパラメータになることはありません。機密プログラムの公開とは、ハッシュを登録することであり、専用の回路を生成することではありません。

この証明システムは透明であり、トラステッドセットアップもペアリング曲線も不要で、その仮定は衝突耐性ハッシュです。証明に関わる他のすべてのコンポーネントは、独自の仕組みを増やすのではなく、このクレートに収束していくことが想定されています。クレートは zkp-circuits/research にあり、制約セット 8(circuits aeacf31、fullnode v0.6.7 および v0.6.8)で fullnode にベンダリングされています。以下の表と測定値は、特定の行が後のセットに言及している場合を除き、制約セット 5(マイルストーン M4.2)について述べたものです。これらは 2026-09-13 時点の fullnode の docs/zkvm.md、docs/zkvm-milestones.md、docs/confidential.md から取ったもので、測定値は目標値ではなく、Apple Silicon ノート PC での実測値として記載しています。

名前付きバス上の 8 つのテーブルと、必要に応じて加わる 9 つ目

コミットメントは 1 つ、FRI のオープニングも 1 つです。テーブル同士が互いを呼び出すことはありません。テーブルは名前付きの LogUp バス(PROGRAM、PROGRAM_WORD、MEMORY、ALU、POSEIDON2、INPUT_DIGEST、INPUT_READ、KECCAK、そしてレンジおよびニブルのルックアップ)を介してファクトをやり取りし、検証器はすべてのバスがグローバルに釣り合っていることを確認します。各テーブルの最大制約次数は、FRI のブローアップが許容する上限 8 を下回ることがテストで固定されています。

その後、3 つの制約セットが加わりました。セット 6 では、プログラムのデプロイ時の公開入力のための必須の public テーブル(ソルトなしのダイジェスト H_PUB に束縛)と、keccak と並ぶ任意の sha256 テーブルを追加しました。セット 7(chain 16)では、すべての LogUp ターミナルを新しい BLIND バス上でブラインドし、宣言されたすべてのテーブルに 2⁷ 行の下限を設け、長さ束縛付きの POSEIDON2_LEN システムコールを追加しました。セット 8(chain 18)では、cpu テーブルに GAS 列を追加し、公開値として宣言された GAS_LIMIT を 1 つ加えました。

証明が明かすもの

公開されるもの: コードハッシュ hc(回路内ダイジェストの 8 ワード)、ソルト付き入力コミットメント H_IN(8 ワード)、ガス tier、そして 8 つの出力ワード。制約セット 6 以降は入力の公開ダイジェストである H_PUB も、制約セット 8 以降は宣言されたガスリミットも公開されます。証明のヘッダーは Keccak および SHA-256 テーブルの高さを宣言するため、呼び出しがハッシュを行ったかどうか、そして 2⁷ の下限を超える場合はおおよその量が分かります。

隠されるもの: プライベート入力(H_IN はソルト付きなので、束縛性に加えて隠蔽性も持ちます)、すべての命令語(検証器が確認するのは hc であってプログラムではないため)、すべてのレジスタとメモリの値、実行された分岐のすべて、正確なサイクル数と正確なガス使用量、そして、2 つのハッシュテーブルの高さから分かること以外の、どのシステムコールが実行されたか。

tier が証明ごとに公開されるのは、STARK のサイズがすでにトレースの高さを明かしているためです。インデックスを隠しても得られるものはありません。hc は束縛的であり、隠蔽的ではありません。現時点での限界を参照してください。

制約セット 5 での測定値

Apple Silicon ノート PC、リリースビルドでの値です。証明時間を動かしたのは M2.3 のバイトテーブル分割であり、証明サイズを再び押し上げたのは 80 クエリのプロファイルです。検証器キーはプログラムの内容に依存せず、tier と、証明が宣言するプログラム、入力、keccak の高さによってキー付けされるため、ノードは 1 つのキーをウォームにして再利用できます。

後のセットでサイズが変わりました。制約セット 7 では、本番プロファイルでの tier-10 の証明は 1,367,688 バイト、Keccak を含む tier-10 の証明は 3,283,898 バイトです(2026-09-28 計測)。chain 17 以降、転送には 2 つの証明が付きます。約 1.49 MB の tier-14 バンドル証明と、約 1.37 MB で証明に約 7 秒かかる tier-10 認証証明です。chain 20 のジェネシスでは、ブロックの上限を 20 MiB、証明の上限を 4 MiB とし、呼び出しは tier 14 を超えられません。

3 つのターゲット、1 つの回路

ネイティブに実行されるのは RISC-V だけです。Solidity と Solana のプログラムは、同じリレーション内のインタープリタ・ゲストでバイトコードを入力として実行されるか、オフチェーンで RISC-V プログラムに変換されます。変換後の出力は、インタープリタの出力とワード単位で一致します。高コストなオペコードは、ビット単位のシミュレーションではなく、専用のコプロセッサ・テーブルで処理します。

マイルストーン

マイルストーン 1 では、汎用マシンを証明しました。マイルストーン 3 では、これをシールド・プールに発展させました。インサーキットでメンバーシップを示す転送は R_exec の下で証明され、検証者はプログラムのワードを一切見ることなく hc を検査します。マイルストーン 4 は互換性です。そのローダー、入力コミットメント、Keccak テーブルは制約セット 4 と 5 として、SHA-256 テーブルはセット 6 として出荷されました。EVM と sBPF のインタープリタ・ゲスト、rand-guest ツールチェーン、2 つのトランスレータは構築済みです。ERC-20 の転送は 128 GB のマシンで証明されましたが、tier 20 の SPL Token の証明はまだです。マイルストーン 5 はブロック集約の基盤となる再帰 VM で、構築済みですが、どのチェーンでも無効です。制約セット 7 と 8 は、9 月のレビューとガスモデルを受けて追加されました。

シールド・プールのフェーズ

fullnode の台帳は 3 つのフェーズで実装され、いずれもハードフォークでした(docs/shielded.md §7)。S1 はアカウント台帳をノート・プールに置き換えました。S3 はブリッジをノートとして復活させ、最初に実装されました。S2 はその上にステーキングを載せました。3 つとも main に入っており、現行のチェーンにも反映されています。

S2 より下の行は v0.5 の作業です。どの行もハードフォークで、まとめて 1 本の新しいチェーン、chain 14 として 2026-09-20 にビルド b3c594c から切り出し、デプロイ済みのソースエンドポイントを通した zUSD のライブ往復の後、同日に v0.5 としてタグ付けしました。2026-09-26 から v0.5.8 以降で稼働した chain 15 は、そのすべてを引き継ぎ、監査 v4 と v5 のジェネシス制御の修正を有効にしています。エポックごとの予算を持つ許可リスト方式のフォーセット、遅延されるボンドの有効化、ステークウェイトの上限、ジェネシスに結び付けられた登録、consensus_domain 1、ブリッジルール v2、トークンレジストリの上限、焼却される登録手数料、2⁶³ のノート上限です。2026-10-01 06:17 UTC から v0.6.8(c9c9bd3c)で稼働している chain 20 は chain 19 のハードフォークで、これらをすべて維持したうえで v0.6 リリースの作業を加えています。その内容は下記に挙げています。

v0.5 以降のリリース

すべてのリリースは git タグであり、fullnode の CHANGELOG.md にエントリがあります。コンセンサス、ワイヤフォーマット、検証鍵のいずれかを変更するリリースは新しいチェーンとともに出荷され、それ以外は稼働中のチェーンに 1 ノードずつ順次反映されます。

現時点での限界

ホワイトペーパーからの逸脱を、ぼかさずに記します。それぞれ、解消するマイルストーンとともに、該当クレートのドキュメントで追跡されています。

• hc は束縛性を持ちますが、秘匿性は持ちません。ソルトを含まないため、推測したプログラムを確認でき、同一プログラムの 2 つのデプロイを関連付けられます。M3.4 が取り除いたのは、検証者がプログラム全体を平文で保持することです。
• 2026-09-21 より前にビルドされたウォレットは、ノードにウィットネスを要求します。ウィットネスの要求には、これから花費するリーフが示されます。現行の rand はツリーの写しを自前で保持するため、要求しません。ノードは古いウォレット向けに、引き続き rand_getWitness を提供します。
• 入金は境界で公開されます。faucet のミント、ジェネシスのノート、ブリッジの入金はいずれも金額を平文で含みます(チェーン 14 以降、ミントとジェネシスのノートはオープニングも含むため、所有者の鍵も公開されます)。これは、透明からシールドへの入金がどこでも持つ、1 ホップの可視性と同じです。
• ゼロ知識性は完全ではなく、統計的です。これは Plonky3 0.7 の hiding FRI が実際に提供する性質であり、クレートもそう明記しています。
• トランスクリプトのハッシュは、論文の SHA3-384 / BLAKE3-384 ではなく、開発用のラウンド定数を持つ Poseidon2 です。書き直しではなく、設定の差し替えで済みます。
• FRI のクエリ数が 80 の場合、バンドル証明はチェーン 14 と 15 で約 1.42 MB でした(チェーン 13 までは約 1.3 MB)。チェーン 17 以降、1 件の送金が運ぶ証明は約 2.85 MB で、内訳はバンドル証明が約 1.49 MB、認可証明が約 1.37 MB です。ブロックが 4 MiB、証明の上限が 2 MiB というデフォルトのチェーンでは、Keccak を含む証明は証明の上限をそのまま超えます。チェーン 20 のジェネシスはブロックを 20 MiB、証明の上限を 4 MiB に設定しています(チェーン 13 〜 16 は 8 MiB)。
• コール証明のヘッダは秘匿されません。ティアと、Keccak および SHA-256 のテーブルの高さを宣言するため、コールがハッシュを行ったかどうかが分かります。v0.6 の証明者の下限以前にチェーン 15 でコミットされたコールは、さらに多くを露出していました。2⁷ 行未満の非公開テーブルを、証明から読み出せたのです。v0.6 の証明者の下限が新規のコールについてこれを塞ぎ、制約セット 7 と hardening_v6 により、チェーン 16 以降はチェーンのルールになりました。
• コールはティア 14 までに制限され、Keccak は最大 2¹² 行(128 回の置換)、SHA-256 は最大 2¹³ 行(128 回の圧縮)です。また hardening_v6 では、8,180 ワードを超えるプログラムはデプロイできません。EVM と sBPF のインタプリタ用ゲスト、および変換済みの ERC-20 と SPL Token のイメージは、いずれもこれを超えています。
• ウィットネスを持つ者にはすべてが見えます。ZK が守るのは検証者の視点であり、証明者の視点ではありません。チェーン 17 以降、ウォレットは花費鍵を渡さずに、ペアリングした rand-prover へバンドル証明を委任できますが、その証明者は引き続き閲覧鍵を保持し、ノートを見ることができます。CUDA バックエンドは 2026-09-28 に初めて実機で動作しましたが、本番環境での計測はまだありません。

リポジトリの構成

フルノードの Cargo ワークスペースを、その README と crates/ ディレクトリに沿って示します。

仕様にあるが、まだ出荷されていないもの

以下のコンポーネントは、論文またはフルノードのドキュメントに記載されていますが、稼働していません。リポジトリに存在しないか、構築済みでもどのチェーンでも有効化されていないかのいずれかです。仕様とコードの差が、推測ではなく明確に分かるよう、ここに挙げます。

ビルドとテスト

標準的な Rust のワークフローを各リポジトリで使います。fullnode は、ツールチェーンを固定した 1 つの Cargo ワークスペースで、実際のノードを TCP 上で起動するクラスターテストスイートを備えています。ビルドには、circuits リポジトリを circuits という名前のディレクトリとして隣にチェックアウトしておく必要があり、そのコミットは、vendored クレートの同期元のもの(v0.6.7 と v0.6.8 では aeacf31)です。zkVM は zkp-circuits 内の独立したクレートで、独自のツールチェーン固定を持ち、機密コールが何を明らかにし何を明らかにしないかを説明するデモが付属しています。

fullnode:

git clone https://github.com/randprotocol/fullnode.git
git clone https://github.com/randprotocol/zkp-circuits.git circuits   # the sibling directory must be named circuits
git -C circuits checkout "$(sed -n 's/^circuits: //p' fullnode/crates/randprotocol-zkvm/guests-compiled/PROVENANCE.md)"
cd fullnode

# Rust 1.98.1 is pinned by rust-toolchain.toml; first build pulls RocksDB and Plonky3, 10 to 20 minutes
cargo build --release        # target/release/rand-node, target/release/rand, target/release/rand-prover

# All crates; release because STARK proving is slow in debug. One to two hours, mostly proving
cargo test --release

# One machine, two validators
scripts/local-testnet.sh
target/release/rand --rpc http://127.0.0.1:8545 status

zkp-circuits/research 内のリサーチ用 zkVM:

# Toolchain is pinned by rust-toolchain.toml; the first build pulls Plonky3
cargo build --release

# Narrated demo: thirteen proofs, one at production FRI parameters (~6-7 min)
cargo run --release

# Emulator, per-table constraints, cheating provers, ZK, end-to-end, viewing keys, compiled guests (395 tests, ~17 min)
cargo test

v0.6.1 時点で 16 vCPU のマシンで計測した fullnode スイートの内訳は次のとおりです。core 521 テスト、node 373、client 117、cheating-prover スイート 116、hidden-bundle の不正テスト 21(75 分)、ウォレットフロー 6(53 分)、クラスター 26(44 分)、zUSD のエンドツーエンドゲート 2(51 分)です。再帰 VM の本番証明はこの範囲外で、上記に記載したメモリが必要です。

Running a node では、このビルドで公開 testnet に参加する方法を説明しています。testnet の genesis、ブートストラップピア、実行スクリプトは fullnode の deploy/ ディレクトリに含まれており、download page に要点をまとめています。

貢献する

fullnode のライセンスは GNU General Public License v3.0(GPL-3.0-only)です。以前は Apache-2.0 でした。バグや設計提案は、変更が関わるリポジトリで issue を立ててください。プルリクエストを歓迎します。提出前に cargo fmt && cargo clippy を実行し、変更の範囲は絞ってください。まずは fullnode issues をご覧ください。

アーキテクチャ、プライバシー回路、手数料トークンの証明、ポスト量子のトレードオフは、いずれも papers page にあるホワイトペーパーに記載されています。fullnode リポジトリ自体の docs/ ディレクトリは、このドキュメントの各ページの照合元となる情報源です。