📡 Signal｜Shielded Bitcoin 草案、ソフトフォークなしで送金額と当事者を秘匿

暗号研究企業 [alloc] init のクララ・シケルマン氏ら研究者 3 人が 9 月 24 日、56 ページの論文「Shielded Bitcoin」を公開した。ビットコインの合意ルールを一切変えずに、送金額・送り手・受け手を暗号化したまま L1 に記録する送金プロトコルの設計である。

ソフトフォークを待たずに、秘匿送金をビットコインの上で成立させようとする設計だ。ただし論文が扱うのは秘匿された「送金の中身」だけで、実際の BTC をこの仕組みへ入れる入口と出す出口は、別の論文に回されている。

Zcash の設計を、ビットコインの上に載せる

仕組みの骨格は Zcash 系の秘匿送金と同じだ。価値は暗号化された「ノート」として保持され、使ったノートには「ヌリファイア」と呼ばれる使用済みの印が公開される。どのノートを使ったかは明かさずに、ノートの存在・使用権限・金額の保存をゼロ知識証明 (中身を見せずに正しさだけを示す暗号技術) で示す。

Zcash との違いは一点に集約される。専用のブロックチェーンを持たないことだ。送金データ (論文は「エンベロープ」と呼ぶ) はビットコインの OP_RETURN 出力 1 つに丸ごと書き込まれ、ビットコインは「中立な公開・順序付けの層」としてだけ使われる。論文によれば、送金の金額、送り手、受け手、送金グラフ上の位置は公開されない。

検証するのはマイナーではなくインデクサー

ビットコインのノードもマイナーも、この秘匿送金の正しさを検証しない。検証するのは外部のインデクサーで、ビットコインのブロック順に送金データを再生し、ノートの木と使用済みの印の集合を手元で組み立てる。同じ履歴を再生すれば、正しい実装どうしは調整なしに同じ状態へ行き着く設計だ。

インデクサーは資金を動かす権限を持たず、使う権限は利用者のウォレット鍵に残る。ここは論文が「非カストディアル」と明記する点だ。一方で、自分で履歴を再生しないウォレットは、選んだインデクサーの応答を信じる前提に立つ。不誠実なインデクサーは送金データの検閲や更新の遅延ができる — 論文自身がそう書いている。

合意を変えない代わりに払うもの

1 つ目は大きさだ。論文の試算では、2 入力・2 出力の送金エンベロープは 610 バイトで、それを載せた OP_RETURN 出力だけで 625 vB (仮想バイト) になる。CoinDesk は取引全体で約 700 vB、通常の送金 (100〜200 vB) と同じ手数料率なら約 4 倍の手数料になると報じている。署名データ (witness) に載せる代替方式なら 2 取引の合計 438 vB まで縮むが、手順が 2 段階に増える。

2 つ目は中継ポリシーへの依存である。600 バイト級の OP_RETURN が広く中継・採掘されるのは、2025 年 10 月の Bitcoin Core 30.0 が -datacarriersize の既定値を 83 バイトから 100,000 バイトへ引き上げたからだ。ノード運用者は 83 バイトに戻せる。論文はこれを「監視すべき展開上の性質で、合意による保証ではない」と位置づけている。

3 つ目は残る情報である。送金のタイミング、入出力の数、手数料、載せた取引のメタデータは公開されたままだ。証明方式に Groth16 系を使う場合は入出力の数ごとに信頼されたセットアップが要る点も、論文は今後の課題に挙げている。

入口と出口は、まだ白紙

BTC をこの秘匿状態へ入れる「ペグイン」と、普通の BTC に戻す「ペグアウト」は論文の対象外だ。方向性は示されていて、同社の Mikhail Komarov 氏も著者に名を連ねる「Bitcoin PIPEs v2」(ウィットネス暗号でビットコインの秘密鍵を条件付きで封じる手法) を使い、合意変更なしで出入りを表現するという。入口と出口では、資金の出所・金額・時刻が公開される点も論文は認めている。

もう一つ、将来の拡張として「任意の KYC 証明」が付録で検討されている。認証済みの受取アドレスに届いた資金について、過去の送金経路を明かさずに「承認された入金から来た」ことを機関が検証できるようにする構想だ。秘匿と規制対応を二者択一にせず、利用者が選んで重ねる余地を論文の段階で残している。

ビットコインを「公開と順序付けの層」に限定し、機能は外側で組むという発想は、合意変更の議論が長引くほど現実味を増す。Shielded Bitcoin はその発想を秘匿送金で具体化した設計図で、送金の中身については仕様が出揃った。

次に確認すべきは、[alloc] init が予告する PIPEs v2 ベースの入出金の論文だ。公開時期は示されていない。出たら、ペグアウトで誰を信頼するのか (論文は連合型やマルチシグの管理と比べると書く) と、入出金時に公開される情報の範囲を、同社サイトと Cryptology ePrint Archive で読む。それまで Shielded Bitcoin は BTC を動かせない送金の設計図にとどまる。

ことば

ヌリファイア — ノートを使ったことを示す公開の印。どのノートを使ったかは明かさずに、同じノートの二重使用だけを防ぐ。Zcash 以来の秘匿送金の要で、今回はビットコインの取引データの中に置かれる。
OP_RETURN — ビットコインの取引に任意のデータを書き込む出力。資金は持てない。Bitcoin Core 30.0 で既定の上限が大きく緩められ、600 バイト級の送金データを 1 出力に載せる今回の設計の前提になった。
インデクサー — ブロックチェーンのデータを読み、独自のルールで状態を組み立てるソフト。今回は秘匿送金の正しさの検証をビットコインの合意の外で担い、資金を動かす権限は持たない。

🔗 一次ソース

Zcash の設計を、ビットコインの上に載せる

検証するのはマイナーではなくインデクサー

合意を変えない代わりに払うもの

入口と出口は、まだ白紙

ことば

関連記事