首藤一幸:
"Bitcoinの革新性が導くWeb3 ―cryptoeconomicsという方法論とトラストレス―",
情報処理, Vol.61, No.2, pp.176-180, (一社)情報処理学会, 2020年 1月 15日
暗号通貨Ethereum創始者の1人Vitalik Buterin氏は、 Bitcoinの発明はcryptoeconomics、 つまり、暗号と経済的動機付けを組み合わせる方法論であった、と述べました。 その通り、暗号通貨の価値やブロックチェーンの機能は、 お金を欲しがる皆の気持ちによって支えられています。 一方で、皮肉なことに、それはまたお金によって破られ得ます。 また、暗号通貨の価値が下がるとブロックチェーンの機能が危険にさらされる という課題もあります。 それでも、Bitcoinが示したトラストレスという可能性は人々を熱狂させ、 巨大企業群に支配されたかに見えるウェブのその次、 Web3に向けた活動が始まっています。
2019年10月，Ethereumの開発者会議Devcon 5が大阪で開催され， 3,000人以上の参加がありました（図1）． Ethereumは暗号通貨の1つですが， 世界中の計算機を1台の仮想計算機に仕立てるスマートコントラクトという 仕掛けをはじめ，先進的な試みを数多く進める一大プロジェクトでもあります． Devcon 5では私達の研究グループも2件の発表をしてきました [1][2]（図3，4）．
2日目となる10月9日(水)の朝には， Ethereumの創始者， その1人であるVitalik Buterin氏による基調講演がありました（図2）． その中身は，ひたすら技術の話でした． これに限らず，Devconの講演はその多くが技術 （か，さもなくばコミュニティかプロジェクト）についてのもので， どの講演も生半可な知識ではついていけないものでした．
|
|
|
|
|
| 図1: オープニングの和太鼓パフォーマンス | 図2: 基調講演を行う Vitalik Buterin 氏 | 図3: 筆者（首藤） | 図4: 首藤研メンバ（永山） |
Vitalikの基調講演は「Satoshi Nakamotoは何を発明したのか？」という 問いかけから始まりました． Satoshi Nakamotoは， 2008年に発表されたBitcoinの原論文に著者として記されている名前です． つまりVitalikは聴衆に「Bitcoinは何が革新的だったのか？」と問いかけたわけです．
そして，この問に対するVitalik自身の回答は「cryptoeconomics」でした． cryptoeconomicsとは， 暗号（cryptography）と経済的動機づけ（economic incentives）を 組み合わせることを指します． Bitcoinは，公開鍵暗号方式や署名といった暗号関連の方式に加えて， 暗号通貨BTCを欲しがる人々が行うマイニング （脚注：皆で競って大量の計算を行い，行った計算の量に応じた確率で当選，つまりブロック生成に成功して，報酬としてコインを受け取れる仕組み．） ，つまり経済的な動機付けによって 支えられているわけです．
もっとも，このcryptoeconomicsという言葉には， 誤解を招きやすい，という批判もあり，筆者も同感です． つまり，暗号通貨（cryptocurrency）を表す俗語cryptoに， 経済学を表すeconomicsがくっついた語になっているので， 暗号通貨に関する経済学，という意味に誤解されてしまうのです．
Vitalikは続けました． Bitcoinはcryptoeconomicsを使って， 重み割り当て問題（weight assignment problem）と 動機づけ問題（incentive problem）を解決した，と． 前者は，1人が無数の大勢になりすますことをいかに防ぐか？という問題で， マイニングにて計算処理（Proof of Work）をさせることで解決しました． 後者は，いかに皆にまっとうな参加をさせるか？という問題で， マイニングの報酬としてコインを与えることで解決しました．
ただ，実のところ， インターネット上の分散システムにて経済的動機づけを導入するアイディアは， Bitcoinが最初というわけではありません． 例えば，筆者は， 分散コンピューティングとかボランティアコンピューティングと呼ばれる 分野の研究をしていた頃，そうしたアイディアの1つに出会いました． 分散コンピューティングの代表はSETI@homeで，つまり， インターネット上の大勢の参加者で手分けして大量の計算をしよう， というわけなのですが， 実際は，計算をさぼって報酬や名声だけを受け取ろうとする参加者が現れかねません． よくある解決策はこうです． 複数人，例えば5人（5台）に同じ計算を割り当てます． その5人の計算結果が一致したら採用します． 誰かが異なる結果を返したら，怪しいので， 多数決で多数派の結果を採用するなり， 再度別の人にその計算を割り当てるかする，というものです． この方式には，せっかくの計算能力が 実質的に1/5になってしまうという問題があります．
その頃出会った1本の論文 [3] は， 参加者への経済的動機づけを活用した別の解決策を提案していました． ある計算は1人だけに割り当て，たまに計算の依頼側でも検算を行って結果を照合し， さぼりを検出するのです． 参加者は，さぼりによる利得と， 検算によってさぼりがばれた場合のペナルティを比べて， ペナルティの方が大きければさぼる方が損なので，さぼらない，というわけです． この論文が発表された場は，まさに， Financial Cryptography '01（金融に関する暗号学）という名前の国際会議でした． この国際会議は2014年からBitcoinについての会議を併催するなど， 暗号通貨についての研究成果が多く発表されています．
みんなが欲しがるお金を動機づけにうまく活用したことが cryptoeconomicsの光の面だとすれば，それと表裏一体で発生する影の面もあります． お金による動機づけで支えられた何かは，お金で破られ得るのです．
2018年は，暗号通貨の盗難事件が相次ぎました． 事件の大きさで言えば1月のコインチェック事件が一番でしょうが， 5月に起きた2つの事件は，別の意味で筆者の目を引きました． 2つの事件とは，Bitcoin Gold 20億円相当の盗難と Monacoin 1000万円相当の盗難です． これら2つの事件は，暗号通貨取引所のセキュリティ云々という話ではなくて， 暗号通貨それ自体が攻撃されて盗まれた，と報道されました． いわゆる51%攻撃です．
マイニングを行う性能をハッシュレートと言い， ハッシュ毎秒（H/s）で表します． ある暗号通貨のマイニングを行う全計算機について合計したものを， 俗に，その通貨のハッシュレートとも言います． ある通貨について，ハッシュレートの過半数，およそ51%を占めることができれば， 承認されたかに見えた取引をなかったことにできます． つまり，改ざんできます． これがいわゆる51%攻撃です． Bitcoinなどメジャーな暗号通貨では千とか万とかいう数の計算機が マイニングを行っているため，ハッシュレートは大変な大きさになります． 一体，どれだけの計算機を買えば51%攻撃できるのか… と思いきや，今どき，クラウドがあります． 計算機を買い揃えずとも，クラウドを一時的に借りることができます． そして，ハッシュレートを元に計算すると， 51%攻撃に足る計算能力を借りるにはいくらかかるのかもわかります [4]． 暗号通貨の攻撃は金次第，というわけです． 費用対効果，つまり，攻撃で得られる金額が費用を上回るなら， 悪い人にとっては，攻撃しない手はないのです．
ハッシュレートが上がると51%攻撃に必要な金額は上がり， ハッシュレートが下がると必要額も下がります． ここで危険なのは， 暗号通貨（や，暗号通貨が支えるブロックチェーンに載っているその他の価値） およびその取引量と比較してハッシュレートの方が低い状況です． つまり，攻撃する側の費用対効果が高い状況です． ハッシュレートが低下した場合， それに応じて暗号通貨の価値もほどよく下がれば 狙われてしまう可能性は上がりませんが， そううまく連動はしないでしょう．
BitcoinやEthereumなど暗号通貨の大多数が採用する Proof of Work（PoW）で行われるマイニングでは， 計算能力でコインを支えています． それに対して，今後のEthereum 2.0が採用する Proof of Stake（PoS）で行われるステーキング （脚注：皆で競ってコインを供託金として差し出し，差し出したコインの量に応じた確率で当選，つまりブロック生成に成功して，報酬としてコインを受け取れる仕組み．） では， コインでコインを支えることになります． PoWとPoS，どちらが前述の51%攻撃に対して頑健か，も興味深い議論テーマです． 支える側と支えられる側のどちらもコインであって連動性が高いため， PoSの方が頑健性が高い気もしますが， 計算能力よりコインの方が売買や貸し借りしやすいため価格操作しやすく， 頑健性は低いかもしれません．
暗号通貨は，コインを欲しがる人々の動機を巧みに活用して， 整合性を保ちつつコイン取引情報を承認しています． ここで，承認する対象をコイン取引情報の他にも広げたものが， ブロックチェーンです． 様々な応用が期待されているのはご存知の通りです． コインに限らず様々な財貨の追跡，公証役場が行うようなデータの存在証明， 金融（DeFi）を手始めとした組織の自動運営（DAO）などなど．
暗号通貨では，コインへの動機でコインを支えています． ブロックチェーンでは，コインへの動機で様々な応用を支えることになります． ところが，ブロックチェーンを支える人達， つまりマイニングやステーキングを行う人達は， 別に，応用を支えてあげたいわけではなく，コインが欲しいだけです．
ここでもし，コインの価値が暴落したら何が起こるでしょうか． マイニングの参加者が減ったり，ステーキングに必要なコインが値下がりして， 51%攻撃に必要な金額が下がり，改ざんを行いやすくなります． ブロックチェーンを応用したい人にとっては， コインの値段といった外部環境の変化によって ブロックチェーンの能力が損なわれる，ということになります．
このように，応用する側と支える側の動機が揃っていないことを指して， 私達は「インセンティブ不整合（incentive mismatch）」と名付けました [5]． 動機を揃える一般的な方法があればいいのですが， 今のところ見付けることは出来ていません． 次善の策ですが，危険が迫ったブロックチェーンから逃げ出すことができれば， アプリケーションは守られます． 論文 [5] では，この，移送（マイグレーション）の方法を検討しました．
Vitalikは，Satoshi Nakamotoが発明したものはcryptoeconomicsであった， と言いました． 発明した，は言い過ぎの感があります． が，それでも， 皆のコイン欲しさを引き出して活用するとここまでのことが出来ると実証したこと， また，Ethereumをはじめ，続く試みを山ほど生み出したことは，本当にすごいことです．
一方で，ではSatoshi Nakamotoは何を発明したのか？ 純粋に科学的に考えると， 「不特定多数」の参加者（計算機）によって 不整合なく取引情報などを承認していく方式，です（図5）．
VitalikはDevcon 5の基調講演にて， ビザンチン将軍問題はLeslie Lamport氏が1982年の時点で解決した，と述べましたが， その解決法は，BitcoinやEthereumには適用できません． Lamport氏による解決や PBFTといった他の分散合意アルゴリズム（consensus algorithm）は 参加者が「特定少数」であることを前提としているためです． 参加者の数が増えると，合意に至るまでに必要な通信の回数が膨大になるので， 現実的には，数台〜数十台がいいところでしょう． また，合意のためのやりとりを始めてから完了するまで， 参加者の増減が許されません． 暗号通貨での取引承認には千，万という多数の計算機が関与するので， 故障といったトラブルは常にどこかで発生します． 増減なしという前提は現実的ではありません．
それに対して，Satoshi NakamotoがBitcoin論文で提案した取引承認方式は， Bitcoinのネットワークを構成する千，万の「不特定多数」で， 実際に機能しています．
|
| 図5: トランザクション承認方式の分類 |
「不特定多数」による取引承認という革新が， Bitcoinが「トラストレス（trustless）」であると言われることの 技術的基礎を成しています． トラストレスとは，ブロックチェーンの文脈では， 人間や組織を信頼（trust）せずとも済む，という意味です． いやいやBitcoinのソースコードやその開発者を信頼してるのでしょう？ という指摘もありますが， ともあれ，信頼する対象やその形は これまでの決済システムとはずいぶん違ったものとなっています．
暗号通貨が現れるより前の決済システムは， 法定通貨にせよクレジットカードにせよSuicaにせよ， 国なり銀行なり大企業なりを信頼することで成り立つものでした． それが暗号通貨では， そうした強大な権力者に身を委ねずに済むのですから， 自由を信奉する人々がその可能性に大きな期待をかけるわけです．
ネットに目をやると，そこはもはや， Google社，Facebook社，Apple社など何社かの巨人に支配されたようにも見えます． 例えば，スマートフォンを便利に活用して暮らす限り， よほど気を配らない限り， メッセージなどのやりとりや日々の移動先といった プライベートな情報はそうした企業群に筒抜けです．
1990年代から2000年代にかけて，SNSの出現などによって 普通の利用者もネットに向けて発信できるようになり， この現象はWeb 2.0と呼ばれました． それから十数年， ブロックチェーンに熱狂した人々の一部は， Web 2.0はGoogle社といった巨人達に握られてしまったのである， と位置付け，その次のネットをWeb3と名付けて目指し始めました．
まだ存在しないWeb3が何であるかを厳密に定義するのは時期尚早ですが， ブロックチェーンが示した可能性にインスパイアされ， それを活用しようとしていることは確実です． すなわち，巨人達による支配ではなく非集中であること， また，データだけでなく実世界の価値も載り，流れること，です．
Web3がやってくるのかどうか，まだ誰にもわかりませんが， 非集中の技術・社会を愛する筆者としては共感するところ大です． ブロックチェーンやそれを含む分散システムの研究を通じて，貢献していきます．
ウェブサイト[4]や暗号通貨取引所の取り組みを教えて下さった竹井悠人さん， 本稿に有益なコメントを下さった 斉藤賢爾さん，宮澤慎一さん，神田伶樹さんに感謝します．
Vitalikの講演を聞いて， 筆者は，Javaの父と言われる技術者James Gosling氏を思い出しました． Gosling氏はJavaコミュニティの精神的支柱でした． 1996年から2017年に開催されたJavaの開発者会議JavaOneでは， Gosling氏が壇上に現れると聴衆は熱狂したものでした．
Devcon 5開催時点で， Ethereum上の暗号通貨ETHには2兆円を超える時価総額がついています． ともすると，Ethereumのまわりにはお金にだけ興味ある人々も寄って来て， Devconだって大変なことになりかねません． ところが素敵なことに，Devconの主役は技術者でした． 皆，来たるべき分散型（distributed）・非集中型（decentralized）の社会を信じて， それを自分達の手で招来しようと行動する人々です． これはもちろんEthereum財団や関係者の努力の賜物ですが， 何よりも，精神的支柱であるVitalik自身が そのように未来を創ろうと純粋に行動している技術者であるからでしょう．
2001年早大大学院博士後期課程修了．博士（情報科学）． 産業技術総合研究所研究員，ウタゴエ（株）取締役最高技術責任者を経て， 2008年12月より東京工業大学准教授．2009年5月よりIPA未踏PMを兼任．