あなたのビジネスがまとまった額の USDT を保有し、あるいは動かしているなら、その多くはおそらく TRON 上で起きています。TRC-20 の USDT は長年にわたりステーブルコイン決済の主役でした。その発行量は何年も前に Ethereum 上の USDT を追い抜き、本稿執筆時点でネットワーク上には600億ドルを超える同トークンが載っています。そして広く報じられている多くの指標によれば、すべての USDT 送金の過半数が TRON 上で決済されています。取引所は既定でこれを入金として扱い、OTC デスクはこれで建値を示し、アジア・アフリカ・ラテンアメリカの多くの地域では給与が TRC-20 で届きます。
この集中こそ、TRON マルチシグウォレットが通常受けている以上の注目に値する理由です。TRON は主要チェーンのなかでも異質です。マルチシグは自分でデプロイするスマートコントラクトではなく、すべてのアカウントが備える性質であり、重み付き鍵としきい値を通じてプロトコルレベルで強制されます。言い換えれば、暗号技術の部分はむしろ簡単なのです。トレジャリーが安全でありながら使いやすくもあるかどうかを決めるのは、その周辺のすべて——誰が鍵を持つのか、その鍵にどんな重みとしきい値が付くのか、火曜の午後に支払いが実際にどう流れるのか、そして署名者が会社を去ったときに何が起きるのか——です。本記事は、こうした判断のための実践的な設計図です。
なぜステーブルコイントレジャリーは TRON に行き着くのか
この引力を説明する性質が3つあります。まず流動性です。取引所、OTC デスク、決済プロセッサといった取引相手の多くがすでに TRC-20 の USDT を受け入れているため、TRON で決済すれば相手にブリッジやスワップ、あるいは待機を求める必要が一切ありません。次に速度です。TRON はおよそ3秒ごとにブロックを生成するため、送金は通常1分以内に確定します。3つ目はコストの予測可能性です。TRON は取引の対価を、変動の激しいガス入札ではなく、帯域幅とエネルギー——アカウントが TRX をステーキングして獲得できるリソース——で価格付けします。自前のエネルギーのためにステーキングするトレジャリーは、決済コストを数週間先まで把握できます。これは毎週金曜に支払いバッチを回す場合に効いてきます。
その結果、企業は現実の業務を TRON のアカウントを通じて回しています。毎週の給与支払い、サプライヤーへの決済、取引所の運転資金（フロート）管理、送金のバッチ処理などです。法定通貨の世界なら金庫と管理責任者を置くに足る金額が、TRON では日常的にたった1つの秘密鍵の背後に置かれています。これこそがマルチシグトレジャリーが埋めるギャップであり、そして TRON はそれを埋めるための素材として、他に類を見ないほど良質なものを提供しています。
TRON のマルチシグはプロトコルにネイティブに組み込まれている
ほとんどのチェーンはマルチシグを後付けします。Ethereum では、マルチシグは資金を保管し承認を数えるスマートコントラクトです——実戦で鍛えられてはいるものの、あなたと資産との間に挟まる追加のコード層です。Bitcoin では、アドレスに埋め込まれたスクリプトとして実現されます。TRON は第三の道を選び、この機能をアカウントそのものに組み込みました。すべての TRON アカウントは1つのオーナー権限（owner permission）と最大8つのアクティブ権限（active permission）を持ち、各権限は最大5つの重み付き鍵と署名しきい値を含みます。取引が有効になるのは、それに付された署名の重みの合計が、呼び出す権限のしきい値に達したときだけです。すべてのノードがこのルールをコンセンサスの一部として検証します。デプロイするものは何もなく、監査すべきコントラクトも存在しません。
2種類の権限は役割をきれいに分担します。オーナー権限は最上位の権利です。鍵の差し替え、重みの変更、しきい値の調整を含め、アカウントそのものを再構成できます。アクティブ権限は、USDT コントラクトを呼び出して送金するといった日常業務のために範囲が限定されています。重みは、単純な m-of-n 方式にはない機微を加えます。ある鍵に重み2を、他の鍵に重み1を持たせられるため、しきい値3は「CFO＋任意のオペレーター1人、あるいはオペレーター3人の合計」を意味しうる——単なる頭数ではなく、ポリシーになるのです。
つまり TRON のマルチシグウォレットは、ネットワークがすでに提供している仕組みを設定するものです。Ownbit の TRON マルチシグはこれらのネイティブな権限の上に直接構築されており、各参加者の鍵は所有者の手元に留まる標準的な BIP39 のシードフレーズです。そのため、この構成は Ownbit のサーバーがあってもなくても回復可能なままです。
実運用に耐えるロールとしきい値
私たちがステーブルコイントレジャリーに推奨する構成は、性格の異なる2つのウォレットです。
- コールドリザーブは資金の大半を保管します。より高いしきい値——3-of-4 が妥当な下限で、より多くの担当役員がいるなら 4-of-5——を用い、その鍵はオフラインに保ちます。Ownbit では、余ったスマホがエアギャップされた署名者になります。未署名の取引は QR コードで入り、署名も同じく QR コードで出ていくため、リザーブの鍵はネットワークに接続された端末に一切触れません。リザーブが送金する宛先はただ1つ、運用ウォレットだけであるべきです。
- ホットな運用ウォレットは、およそ1週間分の支払いを 2-of-3 で保持します。チームが実際に使う程度に手間が低く、最悪の侵害が起きても「訃報」ではなく「インシデント」で済む程度に小さく保ちます。
重み付き鍵を使えば、しきい値にポリシーを織り込めます。財務責任者に重み2を、運用スタッフ2人にそれぞれ重み1を与え、しきい値を3にします。すると、責任者＋いずれかのオペレーター1人で支払いができ、オペレーター2人だけでは責任者なしに動けず、誰も単独では支払えません。リザーブでは論理を反転させます——重みを均等にし、しきい値を高くする——ことで、どれほど上位の役員であっても、同僚1人だけでは基準に届かないようにします。
Ownbit のエンタープライズ・マルチシグは、その上に組織上のロールを重ねます。ウォレットを管理する Owner、承認を行う Signer、そして支出はできないままガードレールを管理する Security Admin です。ウェブコンソールは、スマホの画面で目を凝らして眺める行列の代わりに、承認待ちの案件を机上サイズの視界で財務チームに提供します。そのすべての根底にある原則は「分離」です。支払いを申請する人物が、それを単独で承認できてはなりません。
資金を動かす最速の方法が、同時に安全な方法でもあるとき、そのトレジャリーはよく設計されている。
日常運用：ホワイトリスト、上限、そしてバッチ処理
しきい値は「誰が支払えるか」を制御し、その次の層は「どこへ、いくら」を制御します。アドレスのホワイトリストは、送金先をあらかじめ承認された宛先に限定します。そのため、たとえ侵害された署名者が定足数（クォーラム）をすべて揃えても、会社が一度も精査していないアドレスへは支払えません。ホワイトリストの変更は、支払いよりも意図的にコストを高くしましょう——承認のハードルをより高くし、できれば待機期間を設ける——なぜなら、ホワイトリストを書き換えられる攻撃者は、そのトレジャリーを掌握しているのと同じだからです。
日次および月次の支出上限は、ある1日の最悪のケースが及ぶ影響範囲（ブラストラディウス）を抑えます。バッチ署名は、この一連の仕組みを大量処理でも実用的に保ちます。80件の送金からなる給与支払いは、80回の個別の承認儀式——署名者に「読むのをやめる」癖をつけさせてしまう——ではなく、定足数がバッチを確認して一度だけ署名する、1回のレビューセッションになります。
TRON 特有の習慣が2つ、この日常運用を仕上げます。支払い用アカウントでエネルギーのために TRX をステーキングしましょう。そうすれば USDT の送金は、掲示レートで手数料を焼く代わりに、自前のリソースを予測可能なコストで消費します。そして、最初と最後の4文字だけでなく、アドレス全体を検証しましょう。アドレスポイズニング攻撃——攻撃者が微少額あるいはゼロ額の送金を使って、そっくりのアドレスをあなたの取引履歴に紛れ込ませる手口——は、まさに TRON ではトレジャリーの支払いがきわめて日常的であるがゆえに、広く報告されてきました。ホワイトリストとアドレス全体の検証を組み合わせれば、これらを打ち破れます。
設計で備えるべき失敗のパターン
2025年2月の Bybit の事件は、すべてのマルチシグ運用者にとっての教訓です。攻撃者は暗号技術を破ったのではなく、署名インターフェースを侵害することで約15億ドルを奪いました。その結果、署名者は自分の画面に表示されていたものとはまったく異なる動作をする取引を承認してしまったのです。その仕組みはBybit ハッキングの分析で詳しく取り上げました。要点を言えば、マルチシグは署名者が信頼する最も弱い画面の強さしか持たない、ということです。対策は独立した検証です。少なくとも1つの署名は、生の取引そのものをデコードする端末から得られるべきです。Ownbit の QR コードによるオフライン署名はまさにこれを行い、署名の前に、解析された送金内容をエアギャップされたスマホ上に表示します。
2つ目の失敗パターンはもっと静かです。設定を誤ったオーナー権限です。チームは支払い用に入念な 3-of-4 のアクティブ権限を組む一方で、オーナー権限を創業者1人の鍵のままにしてしまうことがあります。その鍵はあらゆるルールを書き換えられるため、トレジャリー全体が気づかぬうちに単一障害点へと縮んでしまいます。オーナー権限には、少なくともリザーブと同じくらい厳しいしきい値を設けましょう。
3つ目に、人は去ります。ここで TRON は運用者にとって本当に親切です。権限はアカウント上に存在するため、去っていく署名者の鍵は、資金を動かすことも、取引相手が自分たちの側でホワイトリストに登録している入金アドレスを変えることもなく、権限の更新——オーナーのしきい値によって承認される——によってローテーションで外せます。
最後に、人は亡くなります。そして、亡くなった同僚の金庫の中にあるトレジャリーの鍵は、現実の運用リスクです。その個人版についてはシードフレーズを共有せずに暗号資産を相続する方法で取り上げました。TRON のトレジャリーについては、Ownbit の事故保護が、ある参加者の非アクティブ状態が416日続いた後にのみ共同署名できるようになる補助的な共同署名者として、自らを加えられます——そして単独で資金を動かすことは決してできません。
よくある質問
TRON はマルチシグをネイティブにサポートしていますか？
はい。TRON のマルチシグはスマートコントラクトではなくプロトコルの機能です。すべてのアカウントは1つのオーナー権限と最大8つのアクティブ権限を持ち、それぞれが重み付き鍵と署名しきい値を保持し、すべてのノードがそれを強制します。Ownbit のような TRON マルチシグウォレットは、追加のコードをデプロイするのではなく、これらのネイティブな権限を設定します。
USDT トレジャリーはどの署名しきい値を使うべきですか？
よくある構成は、ホットな運用ウォレットで 2-of-3、コールドリザーブで 3-of-4 以上（より厳しく）です。まったくマルチシグとは言えない 1-of-n は避け、鍵を1つ失うだけで資金が恒久的に凍結される n-of-n には慎重になりましょう。重み付き鍵を使えば、単純な頭数を超えて、ロールに基づくポリシーを織り込めます。
マルチシグにすると TRON の USDT 送金は高くつきますか？
意味のあるほどには高くなりません。TRON は署名ごとのガス入札を行うのではなく、帯域幅とエネルギーに課金します。マルチシグアカウントからの USDT 送金が消費するリソースは、単一鍵アカウントからの送金とほぼ同じです。トレジャリーは通常、エネルギーのために TRX をステーキングしており、これによって送金ごとのコストを低く、そして予測可能に保てます。
資金を動かさずに署名者を変更できますか？
はい。権限は TRON アカウントに紐づいているため、オーナーのしきい値によって承認された権限更新の取引が、鍵・重み・しきい値をその場で入れ替えます。アカウントアドレスは変わらないため、取引相手のホワイトリストや入金記録はそのまま有効です。
このような構成を組もうとしているなら、Ownbit の TRON マルチシグウォレットは、チームがすでに持ち歩いているスマホから、ネイティブな重み付き権限を実装します。そしてエンタープライズ・マルチシグが運用の層を加えます——Owner、Signer、Security Admin のロール、アドレスのホワイトリスト、支出上限、バッチ署名、そしてウェブコンソールです。すべての鍵はその所有者の手元にある標準的なシードフレーズのままで、Ownbit のサーバーは署名を調整するものの鍵を保管することは決してなく、そして新規ユーザーは誰でも7日間の無料トライアルを利用して、実際の資金を投じる前にこの構成を試せます。