「MPC vs マルチシグ」という問いに決着をつけるよう10人のセキュリティエンジニアに頼めば、おなじみの構図が返ってくるでしょう。カストディ技術ベンダーは MPC を推し、Bitcoin の古参はマルチシグを推し、両陣営の議論はかみ合わない。しかしこの比較は、もっと丁寧に扱われるべきものです。なぜなら2つのアプローチは、同じ問題——1人の人間、1台の端末、1つのサーバーだけでは資金を動かせないようにすること——を、根本的に異なる場所で解決しているからです。MPC（マルチパーティ計算）は、オフチェーンの暗号技術を使って鍵そのものを分割します。マルチシグは、ブロックチェーン自身が執行するルールによって権限を分割します。
この1つの設計上の選択が、実務上のほぼすべての違いを生み出します。手数料としていくら支払うのか、外部の人間は何を検証できるのか、ベンダーが消えたら何が起きるのか、不正な署名の後で誰の責任を問えるのか。どちらか一方が他方の完全な上位互換ということはありません。本稿執筆時点の2024年4月現在、どちらも数百億ドル規模の資産を守っており、どちらも高くついた失敗を生んできました。ここでは、この比較の率直な姿をお見せします。
資金を動かす権限を分割する2つの方法
MPC ウォレットは通常、しきい値署名スキーム（TSS）の上に構築されています。1つの秘密鍵を数学的なシェアに分割して異なる当事者や端末が保持し、署名の際にはシェアの保持者たちが対話型プロトコルを実行して、1つの通常の署名を共同で計算します。完全な秘密鍵は、どの瞬間にも、どこか1か所に存在することがありません——ウォレットの作成時でさえもです。ブロックチェーンから見えるのは普通のアドレスと普通の署名であり、そこにクォーラム（必要承認数）が関わっていたことをチェーンは知りようがありません。
マルチシグは正反対の道を取ります。各参加者は完全に独立した鍵を丸ごと保持し、支出ルール——たとえば 2-of-3——は、ネットワークが見て執行できる場所に書き込まれます。2012年からマルチシグをネイティブにサポートしてきた Bitcoin スクリプトであり、Ethereum のようなチェーン上のスマートコントラクトです。2-of-3 のマルチシグでは、登録された3つの鍵のうち2つがそれぞれ有効な署名を生成しない限り、資金は動きません。クォーラムは、あなたが実行するソフトウェアによる約束事ではなく、チェーンのコンセンサスが執行するルールなのです。
どちらのモデルも「ウォレット」という同じ言葉で売られていますが、その言葉が、信頼の前提がいかに異なるかを覆い隠しています。一方の保証は、外部の人間には検査できない高度な暗号技術の実装から来ており、もう一方の保証は、誰もが検証できるコンセンサスルールから来ています。
MPC はクォーラムを暗号の中へ移し、その実装を信頼するようあなたに求める。マルチシグはクォーラムをチェーンに書き込み、誰でも検証できるようにする。
MPC を選ぶ理由
MPC の利点は本物であり、機関向けカストディの多くが MPC の上で動いている理由もそこにあります。
- チェーン対応がほぼ無償で手に入る。しきい値 ECDSA の実装が1つあれば、原理的には ECDSA 署名を受け付けるすべてのチェーンをカバーできます。チェーンごとにコントラクトを書き、監査し、デプロイする必要はありません——これは、対応するネットワークごとに自らのモデルを実装し直さなければならないマルチシグ製品にとって、現実のコストです。
- アドレスが普通に見える。MPC ウォレットの手数料はシングルシグと同じで、そのポリシーについてオンチェーンには何も明かしません。2021年に Taproot が有効化される前、Bitcoin のマルチシグ送金はシングルシグの送金より目に見えて大きく、高くつきました。MPC には最初からその問題がありませんでした。
- シェアをローテーションできる。プロアクティブリフレッシュ（シェアの定期的な再生成）を使えば、資金を動かさず入金アドレスも変えないまま、保持者は自分のシェアを再ランダム化できます。攻撃者は、何年もかけてではなく、1回のローテーション期間の中でクォーラム分のシェアを侵害しなければならなくなります。
- スマートコントラクトのリスクがない。オンチェーンには何もデプロイされないため、悪用されうるコントラクトコードが存在しません。2017年の Parity 事件——共有マルチシグライブラリのバグにより数億ドル相当の ETH が凍結された——は、あらゆる MPC ベンダーが引き合いに出す教訓であり、それは正当な指摘です。
MPC が破綻する場所
弱点もまた同じように構造的ですが、こちらはあまり宣伝されません。
暗号技術が本当に難しい。しきい値 ECDSA は落とし穴の多い、対話型・複数ラウンドのプロトコルであり、ミスは実際に本番環境まで達しています。2023年には、広く展開されていた複数のしきい値署名実装に対する実用的な鍵抽出攻撃を、セキュリティ研究者が公表しました——欠陥があったのは基礎となる数学ではなくコードでしたが、影響を受けたウォレットの利用者が危険にさらされたことに変わりはありません。マルチシグ利用者の核心的な前提は「チェーンは署名を正しく検証する」です。MPC 利用者の核心的な前提は「ベンダーは繊細な暗号プロトコルを正しく実装した」です。この2つは、同じ大きさの前提ではありません。
外部の誰もクォーラムを検証できない。MPC のアドレスは他のどのアドレスとも同じに見えます。つまり、マーケティング資料に書かれたしきい値をオンチェーンで確かめる方法はないということです。2023年7月の Multichain 事件は、これを具体的に示しました。約1億2,500万ドルがプロジェクトのアドレスから流出し、その後のチームの声明は、鍵素材を保持するサーバー群が実質的に最初からずっと1人の人物の支配下にあったことを示していました。アーキテクチャ図が何を約束していようと、運用の実態は単一の障害点でした——そして外部の誰も、それをチェーンから検知することはできなかったのです。
復元は通常、ベンダーを経由する。本番運用されている MPC システムの多くはベンダー固有です。シェアは独自形式で保存され、署名にはベンダーの調整サービスが必要で、復元はベンダーのツールが存在し続けることに依存します。オフラインエクスポートを提供する事業者もありますが、提供しない事業者も多くあります。ベンダーに依存しない復元が重要なら、ウォレットに資金を入れた後ではなく、入れる前に実演を求めてください。
説明責任が薄い。MPC の署名セレモニーが出力するのは、1つの集約された署名です。どの参加者がトランザクションを承認したのかをチェーンは示せません。帰属を示す記録があるとすれば、それはベンダーの管理下にあるベンダーのログの中です。
マルチシグを選ぶ理由——そして正直なコスト
MPC vs マルチシグの比較において、オンチェーンのマルチシグはこれらの性質のほぼすべてを反転させます。ポリシーは公開され、コンセンサスによって執行されるため、監査人も、共同創業者も、裁判所も、誰かのダッシュボードを信頼することなくクォーラムを確認できます。承認の1つひとつが、それぞれ別の鍵による別個の署名なので、インシデントの後には、どの鍵が署名したのかを正確に把握できます。そして鍵はごく普通の鍵であり——Ownbit のマルチシグでは、すべての参加者の鍵が標準的な BIP39 シードフレーズです——復元はどの企業の存続にも依存しません。Bitcoin のマルチシグは、この方法で10年以上にわたって資産を守ってきました。
コストも同じように具体的です。署名が増えればトランザクションは大きくなり、手数料は高くなります。Bitcoin では Taproot がその差を縮めたとはいえ、です。監査人が好むポリシーの公開性は、敵対者からも見えるということでもあります。2-of-3 のウォレットは、自分が何者であるかを広告しているのです。マルチシグはチェーンごとに実装しなければならず——Bitcoin スクリプト、EVM コントラクト、TRON のネイティブ方式、Solana のプログラム——品質は実装によってばらつきます。さらにスマートコントラクト系のチェーンでは、コントラクト自体が攻撃対象領域になります。だからこそマルチシグのコントラクトコードはオープンソースで、第三者が監査できるものであるべきなのです。Ownbit がマルチシグコントラクトを公開しているのは、まさにその理由からです。
MPC vs マルチシグ：どう選ぶか
ワークフローそのものがプロダクトであるなら、MPC を選んでください。数十のチェーンにまたがって1日に数百件の自動署名を処理するトレーディングデスクが、運用チームとベンダー契約と SLA を備えている——そうした環境では、チェーンに依存しない署名とシェアのローテーションはその複雑さに見合う価値を本当に発揮しますし、ベンダーへの依存も偶発的なものではなく、交渉の末に築かれたビジネス関係になります。同じ論理は取引所や決済事業者にも当てはまります。署名量が多すぎて、どのモデルであれ取引ごとの人手によるレビューが現実的でない領域です。
互いを完全には信頼していない人々——共同創業者、ビジネスパートナー、家族——がポリシーを検証できなければならないなら、あるいはポリシーが関係するどの企業よりも長く生き続けなければならないなら、マルチシグを選んでください。2人のパートナーが求めているのが、どちらも単独ではトレジャリー資金を動かせないことの「保証の言葉」ではなく「証明」なら、オンチェーンの 2-of-3 はそれを提供します——しかも、どちらの側も、何年か後にブロックエクスプローラーでその取り決めを確認できます。誰の許可も求めることなく。クォーラムの上にさらに組織的な構造が必要な場合は、エンタープライズ・マルチシグがオーナーと署名者のロール、署名者の重み付け、支出限度額、アドレスのホワイトリストを追加します。
選択を率直なものに保つために、あと2点。第一に、2つのアプローチは組み合わせられます。オンチェーンマルチシグの署名者の1人が、それ自体 MPC 構成であっても構いません。実際にまさにそのハイブリッドを運用しているチームもあります。第二に、どちらのアプローチも同じ根本的な病——単一障害点としての1つのシードフレーズ——を治療しますが、それを置き換えるものが異なります。マルチシグは、好きな方法でバックアップできる複数の標準的なシードフレーズに置き換え、MPC は、ベンダーの条件でバックアップするベンダー形式のシェアに置き換えます。
MPC vs マルチシグの率直なまとめは、こうなります。MPC は運用の柔軟性とプライバシーを買い、検証可能性とベンダー依存で支払う。マルチシグは検証可能性と独立性を買い、手数料とプライバシーとチェーンごとのエンジニアリングで支払う。どちらの通貨で支払いたいかを決めてください——資産が本当にあなたのものであるのは、その失敗モードをあなた自身が理解している場合だけです。
よくある質問
MPC はマルチシグより安全ですか？
どちらかが一律に安全ということはなく、壊れ方が異なります。MPC はオンチェーンのコントラクトリスクを取り除く一方で、ベンダーのプロトコル実装とインフラに信頼を集中させ、そのクォーラムは外部から検証できません。マルチシグはクォーラムを公開し、チェーンが執行する形で検証可能にしますが、手数料は高くなり、スマートコントラクト系のチェーンではコントラクトリスクが加わります。それぞれの構成は、最良のマーケティングではなく、最悪の失敗モードで判断してください。
MPC ウォレットにシードフレーズはありますか？
通常、標準的な意味でのシードフレーズはありません。鍵は分散されたシェアとしてのみ存在するため、書き留めるべき単一の BIP39 フレーズが存在しないのです。これにより単一障害点が1つ取り除かれますが、その代わり、バックアップと復元はオープンな標準ではなく、ベンダー独自の形式とツールに従うことになります。利用を決める前に、ベンダーが消えた場合にどうやって復元するのかを確認してください。
マルチシグウォレットは、それを作った企業なしで復元できますか？
標準の上に構築されていれば、可能です。オンチェーンのマルチシグは、普通の鍵と、公開されたスクリプトまたはコントラクトによって定義されるため、互換性のあるソフトウェアであればそれを再構築して送金できます。Ownbit のマルチシグの鍵は標準的な BIP39 シードフレーズであり、コントラクトはオープンソースで、まさにこのシナリオのためのセルフリカバリーガイドが用意されています。
MPC とマルチシグは併用できますか？
できます。2つは異なるレイヤーで動作するため、オンチェーンマルチシグの参加者の1人が、自分の鍵を複数の端末に分割した MPC シェアとして保持することも可能です。日常業務には MPC の署名クラスターを、最深部のコールドストレージにはオンチェーンのマルチシグを組み合わせ、それぞれのトレードオフが最も生きる場所で使い分けている機関もあります。
このトレードオフの「検証できる側」に着地するなら、Ownbit マルチシグは実際に試してみる現実的な方法です。2台のスマートフォンと家族の端末による 2-of-3、すべての鍵が標準的なシードフレーズ、コントラクトはオープンソース、そして新規ユーザーには7日間の無料トライアル。メンバーシップの状態にかかわらず、鍵と資産はあなたのものであり続けます。