ブロックチェーン/レベル IV · プロトコルを深く知る/4.2 アップグレード/レッスン 7

ビットコイン上のゼロ知識：証明とシールド送金

1つのトランザクションに収まる「沈黙の数学」

用意するもの論文「Shielded Bitcoin」（2026年9月）のコピーSapling/Orchard用Zcashプロトコル仕様書データキャリアの上限に関するBitcoin Core v30のリリースノートトランザクションフィルタリング機能を備えたブロックエクスプローラー

問い

コンセンサスルールを変更せずに、暗号化された値はパブリックチェーン上でどのように移動できるのか？
ナリファイアは使用済みのノートについて何を明かし、何を隠すのか？
なぜプロトコルが、その中核となる状態の検証をフルノードではなくインデクサーに頼るのか？

探究

パート IShielded Bitcoin：ソフトフォーク不要のプライベート送金

クララ・シケルマン、ミハイル・コマロフ、アレクセイ・モスクヴィンは2026年9月24日に「Shielded Bitcoin」を発表した。56ページのこの論文は、ZcashのSaplingプールとOrchardプールのアーキテクチャをビットコインに転用する設計を提案している。価値は通常のUTXOではなく、暗号化されたノートとして保持される。ノートを使用すると二重支払いを防ぐためのナリファイアが公開されるが、この識別子から特定のノートやその出所をたどることはできない。
各送金は、1つのOP_RETURNアウトプットを持つ通常のビットコイン取引で構成される。このアウトプットには、約192バイトのサイズを持つGroth16型のゼロ知識証明が格納されている。この証明により、送金が有効であり残高も正しいことが示されるが、背後にあるデータは明らかにされない。標準的な2入力2出力のエンベロープは約610バイトを占め、OP_RETURNアウトプットは約625vBである。ビットコインのコンセンサスルールではこのデータは完全に無視され、使用不可能なペイロードとして扱われる。
フルノードはOP_RETURNの内容を検証しないため、インデクサーはこれらのエンベロープをブロック順に再生し、ノートツリー、ナリファイアセット、マークルルートを再構築しなければならない。ブロック内に無効な送金が含まれていても、インデクサーはそのブロックを拒否せず、単にその送金を無視する。これにより、検証の役割はフルノードからインデクサーソフトウェアへと移る。不正なインデクサーは古い状態や不完全な状態を返すことはできるが、資金を奪うことはできず、誰でも自分のインデクサーを運用できる。
この設計は、金額、送信者、受取人、グラフ上の位置をチェーン分析から隠す。しかし、タイミング、手数料、キャリア構造、入出力の数はオンチェーン上で依然として見える。これらのトランザクションの中継は、Bitcoin Core v30で引き上げられたデフォルトのデータキャリア上限に依存しており、これはコンセンサスのアップグレードではなくポリシーの変更である。多くのノード運用者がより厳しい上限を設定すれば、こうしたトランザクションは中継されにくくなるが、受け入れる意思のあるマイナーであれば引き続きブロックに含めることができる。
論文は、ペグインとペグアウトの仕組みをこの初期設計の対象外と明記している。著者らは、ウィットネス暗号化によって秘密鍵を暗号学的な命題の背後にロックするBitcoin PIPEs v2の上に、これらの要素を構築する計画である。このアプローチにより、新しいオペコードではなく既存のシュノア署名を通じてプログラマビリティが実現される。現時点で、このプロジェクトには実装も、ユーザーも、流通している資金もなく、理論上の仕様にとどまっている。
この設計には既知の限界がある。Groth16は一度限りのトラステッドセットアップを必要とし、セレモニーの参加者のうち少なくとも1人が誠実であれば安全である。新しいプールは匿名性セットがゼロの状態から始まるため、初期のユーザーほど互いに見分けやすい。1回の送金は約700vBと報告されており、通常の支払いの数倍にあたる。証明は、大規模な量子コンピューターであれば破ることのできる楕円曲線に依拠している。また、インデクサーが自らの状態を低コストで証明できるようになるまでは、ライトウォレットは問い合わせ先のインデクサーを信頼しなければならない。ただし、そのインデクサーが資金を奪うことはできない。

パート II今日のビットコインにおけるゼロ知識証明

Bitcoin Scriptはシンプルさとセキュリティを重視して設計されており、任意のコードを実行する機能は制限されている。Groth16 SNARKなどの標準的なゼロ知識証明には、ペアリングベースの楕円曲線演算が必要だが、Bitcoinの現在のオペコードセットでは合理的なコストでこれを実行することはできない。この計算上のギャップにより、ソフトフォークを行わない限り、または各トランザクションごとに多大なリソースを消費しない限り、ネットワーク自体ではこれらの証明を直接検証することができない。
BitVM型のプロトコルは、楽観的検証によってこの問題を解決する。すべての証明をその場で確認するのではなく、正しいと仮定し、紛争が生じた場合にのみ高コストな検証を実行する。定められた期間内に誰も状態遷移に異議を申し立てなければ、それは有効として受け入れられる。セキュリティはインセンティブに支えられている。オペレーターは不正をすれば失う担保を差し入れ、監視している者は誰でも異議を申し立てられる。
CitreaのClementineブリッジは、このBitVM2アーキテクチャを用いて2026年1月にメインネットで稼働した。その紛争処理経路では、約1GB（初期の見積もりの約3GBから縮小）のScript検証器がGroth16証明を検証する。この検証器はチャンクに分割されており、異議が申し立てられたときにのみ実行される。この設計により、通常のトランザクションのためにすべてのフルノードが重い暗号検証を実行する必要なしに、誠実な参加者が1人いればよいという前提のもとで、複雑な状態遷移をビットコインによって保護できる。
AlpenのGlockプロジェクトは、ガーブルド回路を用いた別のアプローチを示し、2026年7月にsignetテストネットに到達した。Glockはガーブルド回路を使うことで、紛争時の証明検証にかかるオンチェーンのコストを大幅に引き下げる。依然として紛争ベースではあるが、オンチェーンのフットプリントははるかに小さい。そして、どちらのアプローチも、高度な暗号をScriptでネイティブに検証することは、一般的な用途には依然としてコストが高すぎることを認めている。
クライアントサイド検証は、証明をベースレイヤーではなくユーザーやインデクサーが確認するという、もう一つの道である。RGBやTaproot Assetsといったプロトコルは、所有権の証明を参加者自身がローカルで検証することに依拠している。同様に、Shielded Bitcoinの設計では、インデクサーがトランザクションのエンベロープを再生してノートツリーを再構築する。無効な送金はコンセンサスでは無視されるが、ノードの外で完全な検証ロジックを実行する監視ソフトウェアによって検出できる。
これらのシステムには、それぞれ固有のトレードオフがある。Groth16はトラステッドセットアップを必要とし、証明を無効にしかねない有害な秘密（トキシックウェイスト）を誰も保持していないことをセレモニーで保証しなければならない。楽観的システムにおける紛争トランザクションは大きく複雑で、中継上の課題を生む。さらに、Groth16の基盤にあるペアリングフレンドリーな曲線は、ビットコイン自身のsecp256k1と同様に大規模な量子コンピューターに対して脆弱であり、量子コンピューターは証明を偽造したり、ECDHベースのノート暗号化を破ったりできる。ただし、Groth16の証明そのものは何の秘密も明かさない。

重要な事実

Shielded Bitcoinは、ZcashのSapling/Orchardアーキテクチャにならい、価値をナリファイア付きの暗号化されたノートとして保持する。
送金には、約610バイトのエンベロープ内に192バイトのGroth16プルーフを含むOP_RETURNアウトプットが使用される。
ビットコインのコンセンサスはOP_RETURNのデータを無視し、インデクサーはエンベロープをブロック順に再生して状態を再構築する。
金額や身元が隠されていても、タイミング、手数料、キャリア構造はオンチェーン上で依然として見える。
中継は、コンセンサスルールではなく、データキャリア上限を引き上げたBitcoin Core v30のポリシーに依存している。
この論文（2026年9月24日）には、現在の実装やユーザー、流通している資金は存在しない。
ビットコインスクリプトは、ペアリング演算が欠如しているため、合理的なコストでGroth16 SNARKを検証することができない。
BitVMプロトコルは楽観的検証を用い、紛争時にのみ証明を確認する。
CitreaのClementineブリッジは、約1GBのBitVM2スタイルの紛争検証器を搭載し、2026年1月にメインネットで稼働を開始した。
AlpenのGlockガーブルド回路検証器は、2026年7月にsignetテストネットに到達した。
RGBのようなクライアントサイド検証プロトコルは、コンセンサスを介さず、ローカルで証明を検証する。
Groth16の実装はトラステッドセットアップを必要とし、量子攻撃に脆弱な曲線を使用する。

演習九・六・三・一

9集めるShielded Bitcoinの設計を構成する要素や特性を9つ挙げてください。

6まとめる9つを、それぞれが何に依存しているかによって6つのグループにまとめてください。

3絞り込むその6つのカテゴリーを、この設計が通常のビットコイン取引と比べて抱える3つの根本的なトレードオフに絞り込んでください。

1結晶化するインデクサーがShielded Bitcoinのユーザーに対してできることとできないことを1文で書いてください。

事実確認

日付、数字、主張は、下記に記載された公表資料と照合して確認しました。

インタラクティブ版で開く →

EN PT ES ZH KO RU DE FR MS