ブロックチェーン/レベル IV · プロトコルを深く知る/4.3 カストディとプライバシー/レッスン 3

マルチシグによるカストディと相続

鍵を人、場所、時間に分散する

用意するもの3台の別々のハードウェアウォレットまたはセキュアなデバイスウォレットディスクリプタの、安全なオフラインの記録シードフレーズ用の金属製バックアッププレートテストモード（テストネットまたはシグネット）のウォレット

問い

鍵とそのバックアップを失うとシングルシグのウォレットは終わってしまうのに、マルチシグのウォレットはその損失を乗り越えられるのはなぜでしょうか？
所有者が資金に対する実質的な支配権を保持したまま、カストディアンがリカバリーを支援するために鍵を1つ保有するには、どうすればよいのでしょうか？
すべてのデバイスを失った場合、マルチシグウォレットを復元するには、シードフレーズ以外にどのような具体的なデータが必要でしょうか？

探究

パート Iマルチシグ保管

一般的なシングルシグのウォレットは、1つの秘密鍵に依存しています。その鍵が盗まれれば、盗んだ者はすべてを持ち去れます。鍵とそのバックアップがすべて失われれば、コインは失われます。1つの秘密が単一障害点になっているのです。マルチシグ構成では、あらゆるトランザクションの承認に複数の異なる鍵を必要とすることで、このリスクを分散します。
一般的な2-of-3構成では、3つの秘密鍵が別々のデバイス（多くの場合、異なるメーカー製）で生成され、それぞれ異なる物理的な場所に保管されます。これらの鍵のうち任意の2つで、トランザクションに共同署名できます。1台のデバイスを紛失したり盗まれたりしても、残りの2つで引き続き資金を管理できます。一方、盗まれた鍵1つだけでは資金を動かせません。
コラボレーティブカストディ（協調型カストディ）は、この分散の仕組みを機関や富裕層向けに制度化したものです。カストディアンがリカバリーサービスと運用サポートを提供するために鍵を1つ保有し、所有者は2つの鍵を保持します。この構造により、一方的な支配権を手放すことなく専門的な支援を受けられます。カストディアンが破綻したり侵害されたりしても、所有者の2つの鍵だけで資産を動かすことができます。
すべてのデバイスを失った状態から復元するには、シードフレーズだけでは足りません。アドレスを再構築するには、ウォレットの設定、具体的にはすべての共同署名者の拡張公開鍵（xpub）とスクリプトタイプが不可欠です。このメタデータがなければ、シードだけでは正しい受取用アドレスを生成できません。復元にはこれらのxpubまたはアウトプットディスクリプタが必要なため、シードと一緒にバックアップしておかなければなりません。
トレードオフとなるのは複雑さとコストです。3つの鍵を管理すると、日常の利用や相続計画における運用上の負担が増えます。スクリプトが大きいトランザクションはブロックチェーン上でより多くのバイトを消費するため、シングルシグのトランザクションに比べてネットワーク手数料が高くなります。TaprootではMuSig2のようなプロトコルで鍵を集約すれば、協調的な支払いが単一の署名のように見えるため、このコストを削減できます。しかし、ほとんどのマルチシグウォレットはいまもスクリプトベースのP2WSHを使っており、運用上の複雑さは残ります。
マルチシグはあらゆるリスクからの保証とはなりません。2016年のBitfinexのハッキングでは、BitGoとのマルチシグ方式を利用して約12万BTCが盗まれました。Bitfinexが3つある鍵のうち2つを保有しており、BitGoのサービスはBitfinexの設定により自動的に共同署名を行っていたため、Bitfinexのシステム内の攻撃者が必要な承認数を満たすことができました。2022年には約9万4千BTCが回収されました。マルチシグの保護力は、その鍵の独立性次第です。

パート II相続計画

ビットコインのカストディには根本的なジレンマがあります。資金を盗難から守るために必要な秘密性が、相続人による復元を不可能にしてしまうのです。鍵の保有者がアクセス情報を共有しないまま亡くなったり、判断能力を失ったりすれば、そのサトシは永遠に失われます。これは机上の話ではなく、デジタル資産管理において「サバイバビリティ（存続性）」を考慮した計画が必要とされる最大の理由です。アナリストの推計では、あらゆる形での鍵の紛失によって数百万枚のコインが失われており、その中には死亡によるものも含まれています。
ビットコインのスクリプトエンジンでは、特定の条件下で発動するロジックを記述できます。`wsh(or_d(pk(@0), and_v(v:multi(2,@1,@2,@3), older(65535))))` のようなMiniscriptディスクリプタは、1つの鍵（`@0`）で即座に支払えるか、あるいは他の3つの鍵（`@1`、`@2`、`@3`）のうち2つで65,535ブロック経過後に支払えるウォレットを定義します。所有者の鍵はいつでも支払いに使えますが、相続人の支払い経路は遅延期間が過ぎて初めて開きます。（ウォレットでは、こうしたポリシーの鍵を@0のようなプレースホルダーで表示します。）
このスクリプト内の65,535という数値は、特定の期間を表しています。1ブロックあたり約10分とすると、ブロック数ベースの相対タイムロックの上限である65,535ブロックは約455日に相当します。これが「相続ロック」です。相対タイムロックであるため、カウントは保有者がいなくなった時点ではなく、コインが承認された時点から始まります。相続人の経路を閉じたままにしておくには、保有者が定期的にコインを移動させる必要があります。タイムロックが切れると、相続人が支払えるようになります。
マルチシグ方式では、親族やデジタル資産に詳しい弁護士など、信頼できる複数の当事者に管理権限を分散させます。2-of-3の構成では、タイムロックが切れた後も、1人だけで資金を一方的に動かせる完全な権限を持つ人はおらず、2つの署名が必要です。これは、遺言執行者が受益者と協力して進める従来の相続計画と似ています。遺言執行者を務める人には、計画を実行できるだけの技術的な手引きが必要です。
通常、計画書には技術的な設定内容と共に、何が存在し、どのように使用するかを説明した手順書も添えられるが、そこには秘密情報自体は含まれない。規則は管轄区域によって異なり、多くの場所では遺言は相続手続き後に公的文書となるため、シードフレーズを記載してはならない。集中した管理が問題を引き起こす典型的な例がカナダの取引所QuadrigaCXであり、その創業者であるジェラルド・コッテンは2018年12月に死亡し、顧客に約2億1500万カナダドルの支払い義務を残した。後に規制当局は、この損失が主に彼の詐欺行為に起因しており、単一の鍵の保持者がそれを隠しやすくしていたことを明らかにした。専門的な法律相談を受けることが一般的に推奨される。
計画を立てる人は、それに頼る前にリハーサルを行うことがよくあります。テストネット上で、またはごく少額で同じポリシーを設定し、タイムロックが切れるのを待って、相続人の鍵で実際に署名できることを確認するのです。こうして、技術的な構成が法的な意図と一致していることを確かめます。LianaのようにMiniscriptを中心に構築されたウォレットは、まさにこうしたタイムロック付きのリカバリーのために設計されています。

重要な事実

2-of-3のマルチシグ構成では、トランザクションを承認するために、3つの鍵のうち2つによる別々の署名が必要です。
コラボレーティブカストディでは、第三者がリカバリー用に鍵を1つ保有し、所有者が残りの2つを保有します。
マルチシグウォレットを復元するには、シードフレーズだけでなく、すべての共同署名者のxpubとスクリプトタイプもバックアップしておく必要があります。
かつては、マルチシグのスクリプトが大きいほどオンチェーンのバイトサイズが増え、トランザクション手数料が高くなっていました。
2016年のBitfinexハッキングでは、BitGoと組んだマルチシグ構成から約12万BTCが失われました。
集約鍵を使えば、Taprootでは協調的なマルチシグの支払いを単一の署名のように見せることができます。
Miniscriptディスクリプタ `wsh(or_d(pk(@0), and_v(v:multi(2,@1,@2,@3), older(65535))))` では、単一の鍵による即時の支払い、または65,535ブロック経過後の2-of-3マルチシグによる遅延支払いが可能です。
相対タイムロック（BIP68）を使うと、リカバリー経路を最大65,535ブロック（約455日）遅らせることができます。
クアドリガCXの創業者は2018年12月に死去し、顧客らに約2億1500万カナダドルの支払い義務が残った。
マルチシグウォレットでは、トランザクションの承認に複数の秘密鍵が必要です。高度な相続用スクリプトで使われる2-of-3構成がその一例です。
ビットコインへのアクセスの「サバイバビリティ（存続性）」は重要なセキュリティ上の検討事項です。アクセス情報の共有やマルチシグ構成がなければ、本人の死亡時に資金を取り戻せなくなるおそれがあります。
多くの法域では遺言書は検認後に公開されるため、秘密を記す場所としては不適切です。