ブロックチェーン/レベル IV · プロトコルを深く知る/4.2 アップグレード/レッスン 6

暗号技術の最前線：ウィットネス暗号化とPIPEs

オペコードが実装されないとき、証明の中に鍵を封じ込める

用意するものBIP-119およびBIP-347のコピースクリプトデバッグ機能を備えたブロックエクスプローラーへのアクセス提案の進捗を追跡するためのノートIACR ePrint 2026/186のコピー

問い

なぜビットコインは署名を検証できるのに、その結果として生じるコインが次にどこへ行くかは制限できないのか？
秘密そのものを明かさずに、その秘密を知っていることを証明するには、どれほどのコストがかかるのか？
基盤となるルールが静的で変更不可能な場合、プロトコルはどのようにしてセキュリティを維持するのか？

探究

パート I暗号技術の最前線：コベナントとウィットネス暗号化

ビットコインスクリプトは意図的に制限されている。署名が公開鍵と一致することは検証できるが、使用されたコインの行き先を調べることはできない。この制限によって、スクリプトはシンプルで予測可能に保たれている。しかし同時に、支出条件が将来のトランザクションの構造に依存するような設計も妨げている。
ジェレミー・ルービンによるOP_CHECKTEMPLATEVERIFY（BIP-119）の提案は、このギャップに対処するものである。このオペコードが導入されれば、スクリプトは支出トランザクションがコミット済みのテンプレートに一致することを要求でき、そのアウトプットやその他の特定のフィールドを固定できる。これにより、非再帰的なコベナント、つまり資金をボールトにロックしたり償還経路を制限したりするといった、コインが次にどこへ行けるかについてのルールが可能になる。この提案はまだアクティベートされておらず、ビットコインコミュニティでは議論が続いている。
別の提案であるOP_CAT（BIP-347）は、送金先への制約を直接課すのではなく、スタック上のデータを連結することに主眼を置いているが、シュノア署名と組み合わせることでコベナントを実現することもできる。この単純な操作によって、非常に大規模なマルチシグのポリシーをコンパクトに表現するツリー署名など、複雑な暗号構成が可能になる。また、スクリプトエンジン内でハッシュや値を直接操作できるようにすることで、耐量子性を持つランポート署名の実現も容易にする。
新しいオペコード以外にも、プログラマビリティへの別の道としてウィットネス暗号化の研究が進められている。ウィットネス暗号化では、送信者がデータをロックし、特定の秘密（ウィットネス）を持っていることを証明できる人だけがそれを解除できるようにする。理論上は、ネットワークに計算を直接検証させることなく、ある命題が証明されたときにだけビットコインの鍵が明かされるようにできる可能性がある。
ウィットネス暗号化の初期の構成は学術文献に存在するが、ビットコインへの導入にはまだ実用的ではない。一般的な命題に対する実用的な構成はまだ存在しない。既知の方式は非常に巨大で、まだ広く信頼されていない暗号学的仮定に依拠している。理論的な基盤は健全であるものの、概念実証と本番運用に耐えるプロトコルとの間の技術的な隔たりは依然として大きい。
トレードオフは明確である。コベナントは表現力を高めるが、慎重な検証を要する新たなコンセンサスルールを持ち込む。ウィットネス暗号化はプライバシーと柔軟性をもたらすが、重いストレージと計算のコストを課す。どちらのアプローチも、固定され予測可能な発行と限定されたスクリプト能力というビットコインの中核的なセキュリティモデルを捨てることなく、その能力を拡張しようとしている。

パート IIビットコインの出し入れ：PIPEsとウィットネス暗号化

前のレッスンで詳しく扱ったShielded Bitcoinは、独自のノートシステム内でプライベートな送金を処理する。一方で、通常の透明なビットコインからシールド層へ価値を移し、また戻す方法、つまりペグインとペグアウトは対象外としている。これらのブリッジの設計計画は、ウィットネス暗号化と呼ばれる仕組み、具体的にはBitcoin PIPEs v2（IACR ePrint 2026/186、2026年2月）に依拠している。
ウィットネス暗号化は、データを数学的な命題の背後にロックする。ここでは、ビットコインの秘密鍵が、誰かが有効なウィットネス、つまりその命題が真であることの証明を提示した場合にのみ復号できるように暗号化される。暗号文はオフチェーンで公開され、対応するウィットネスを示せない者には、中の鍵に手が届かない。
この仕組みにより、プログラマビリティはコンセンサスから暗号技術へと移る。複雑な支出条件を課すために新しいオペコードやソフトフォークを必要とするのではなく、そのロジックはすべて暗号方式の中に収まる。SNARK証明などの有効なウィットネスを提示した者が秘密鍵を取り出し、通常のシュノア署名でコインを使う。ビットコインのコンセンサスルールから見れば、これは単なる標準的なトランザクションであり、その複雑さは表に現れない。
このアプローチなら、CheckTemplateVerifyやボールトの仕組みといったコベナント型の制約を、プロトコルを変更せずに再現できる。条件は、ウィットネスが特定の基準を満たさない限り鍵を復号できないという性質によって強制される。基盤となる暗号が安全である限り、ビットコインの既存の検証ルールと互換性を保ったまま、高度な支出条件を実現する道が開ける。
最大の障害は規模である。2026年2月の論文は、暗号文1つあたりのサイズを約338テラバイトと見積もった。著者らのその後の研究では約10テラバイトとされているが、それでも保存や配布は現実的ではない。実装は存在しないため、これらはあくまで推定値であり、PIPEsがそもそも展開可能かどうかは未解決の研究課題のままである。
これはまだ研究段階であり、実装された機能ではない。導入時期は示されておらず、食い違うサイズの数値はこの分野の不確実性を浮き彫りにしている。暗号文が十分に小さくなるまで、ウィットネス暗号化はユーザーが使える実用的なツールではなく、ビットコインの透明な台帳と複雑な暗号学的コミットメントとをつなぐ理論上の橋にとどまる。

重要な事実

OP_CHECKTEMPLATEVERIFY（BIP-119）は、コインの将来の行き先を制限するコベナントの仕組みを提案している。
OP_CAT（BIP-347）はスタック上の連結を可能にし、ツリー署名やハッシュベースの（ランポート）署名をサポートする。
ウィットネス暗号化は、秘密のウィットネスを証明しなければ開けられないようにデータをロックし、その秘密自体は明かさない。
一般的な命題に対する実用的なウィットネス暗号化の構成は、まだ存在しない。
コベナントは、コンセンサスをめぐる議論が続く、未アクティベートの提案のままである。
ビットコインスクリプトの制約は、設計上、多くの種類の攻撃を防いでいる。
Bitcoin PIPEs v2は、ウィットネス暗号化を用いて秘密鍵を数学的な命題の背後にロックする。
鍵を取り出すには、SNARK証明などの有効なウィットネスを提示する必要がある。
鍵を取り出した後は、通常のシュノア署名によって支出が行われる。
このメカニズムは、新しいオペコードやソフトフォークを必要とせずにコベナントをエミュレートする。
推定される暗号文のサイズは、約338TB（論文値）から約10TB（後の主張値）に減少したが、依然として実用的ではない。
Shielded Bitcoinのペグイン・ペグアウト計画は、このウィットネス暗号化の基盤に依拠している。

演習九・六・三・一

9集めるビットコインスクリプトの現在の機能と制限を定める、9つの技術的な制約や特徴を挙げてください。

6まとめるそれぞれが何を可能にし、何を妨げるかによって、9つを6つのグループに分けてください。

3絞り込む6つのグループを、理論上の利点が明らかであるにもかかわらずビットコインスクリプトの拡張が難しい3つの核心的な理由に絞り込んでください。

1結晶化する分散型システムにおいて、プログラマビリティを追加することとコンセンサスの安定性を維持することの間にある根本的な緊張関係について、1文で書いてください。

事実確認

日付、数字、主張は、下記に記載された公表資料と照合して確認しました。

インタラクティブ版で開く →

EN PT ES ZH KO RU DE FR MS