Zcashが1500万ドルを凍結。誰のお金なのか、誰も知らない

2026年11月6日、暗号資産Zcash（ジーキャッシュ）の約1500万ドル分が使えなくなった。それが誰のお金なのかは誰も知らない。開発者も、取引所も、ネットワーク自身でさえも。コインが眠っているのは、ほぼちょうど10年前に生まれたZcash最初のプライベートプール「Sprout」だ。UTC午前2時34分、ネットワークは古い形式の送金の受け付けをやめた。Sproutからお金を出せる、唯一の送金形式だ。その瞬間、プールには1万2224ZECが残っていた。Sproutは持ち主も金額も隠すように作られているので、外から見える数字はただひとつ、残高の合計だけである。

もっと奇妙なのは、凍結の前に起きたことだ。2026年3月、同じプールには2万5424ZECがあり、開発者たちはそれを永久に失われたコインとみなしていた。それまでの15カ月、残高はほとんど動いていなかった。ところがプールに閉鎖日が決まると、数カ月のうちにコインの半分が出ていった。誰もが死んだと思っていたお金は、ただ待っていただけだったのだ。

たき火から生まれたお金

Zcashが始動したのは2016年10月28日。いわば「ステルスモード」付きのビットコインだった。ビットコインでは、送金はすべて公開される。送り手のアドレスも、受け手のアドレスも、金額も。Zcashでは、コインを「シールドプール」に移せた。ネットワーク内部にある、中が見えない共有の金庫だ。コインは出入りするが、中に何があり、それが誰のものかは誰にも見えない。ネットワークが確認するのは、各送金が正当だという証明だけ。誰が誰にいくら払ったかは秘密のままだ。

仕掛けの核はゼロ知識証明。お金を持っていること、二重に使っていないことを、お金そのものも自分の正体も明かさずに示す方法である。2016年まで、こんなものを大規模に動かした例はなかった。Sproutがその第一号だった。

この数学には厄介な副産物がついてきた。ローンチ前に、一度だけ生成する共通パラメータが必要だった。その過程で、開発者自身が「有毒廃棄物」と呼ぶデータも生まれる。それを手元に残した者は偽造コインを無限に発行でき、しかも誰にも気づかれない。

解決策は、ほとんど芝居がかっていた。6人が6カ所の別々のステーションで、パラメータを共同で生成する。各自が秘密の断片を加え、1人でも自分の断片を破棄すれば、有毒廃棄物は二度と復元できない。ジャーナリストのモーゲン・ペックはIEEE Spectrumの取材で、コロラド州ボルダーのステーションに立ち会った。そこのコンピューターはデンバーで新品を買い、無線カードとハードディスクを抜いたものだった。途中の計算結果は書き込み1回限りのDVDに保存され、部屋は5台のカメラで記録された。

移動中のステーションもあった。ビットコイン開発者のピーター・トッドは、アルミ箔を張った段ボール箱の中のノートPCで自分の担当分を計算しながら、ブリティッシュコロンビア州を車で横断した。終わるとマシンをプロパンバーナーで焼いた。本人いわく、狙いは「カナダのサイファーパンクの栄光」でほかのどのステーションにも勝つことだった。

コロラド組はバーナーこそ使わなかったが、演出に抜かりはなかった。Zcashの創業者ズーコ・ウィルコックスと、その兄弟ザー、ザーの妻ジェシカは、ロングモントの裏庭で車のヘッドライトに照らされながら機材を破壊した。ザーがレノボのデスクトップにディスクグラインダーで切り込み、ズーコが本体に大型ハンマーを振り下ろし、残骸はライターオイルをかけたファイヤーピットへ。あたりには溶けたプラスチックの臭いが立ちこめた。「子どもたちよ、こういうわけで10月23日には花火を上げるのだ」と、ズーコは未来の世代に向けて言った。

4人だけが知っていた欠陥

たき火が防いだ脅威はひとつだけ。誰かが有毒廃棄物をこっそり持ち続けることだ。数学そのものの誤りには、まったく無力だった。

2018年3月1日の夜、このコインを開発するZcash Companyの暗号学者アリエル・ガビゾンは、学術ワークショップでの発表を準備していた。その途中で、パラメータ生成の方式に穴を見つけた。この欠陥のせいで、公開されたセレモニーの記録には余分な要素が含まれていた。その記録さえあれば、証明を偽造し、Sproutの中でコインを無限に発行できる。誰にも気づかれずに。

当初知っていたのは4人だけだった。ガビゾン、同じく社内の暗号学者ショーン・ボウ、CEOのズーコ・ウィルコックス、そしてCTOのネイサン・ウィルコックス。会社はセレモニーの公開記録を削除し、削除は事故だったと説明した。会社は修正を、2018年10月28日に稼働した大型の定期アップグレード「Sapling」にこっそり紛れ込ませた。会社によれば、自社のエンジニアでさえ自分たちが何を出荷しているのか知らなかったという。のちに記録はDVDから復元されて再公開された。欠陥そのものは2019年2月まで秘密のままだった。

会社はブロックチェーン上に攻撃の痕跡を見つけなかった。その結論を支えたのが、この話に何度も出てくるひとつの仕組みだ。Sproutは改札機のように働く。中は見えないが、ネットワークは何枚のコインが入り、何枚出たかを数えている。もし誰かが偽のコインを発行し、預けられた以上の額を引き出していたら、プールの残高はマイナスになったはずだ。そうはならなかった。それでも会社は慎重に言葉を選んだ。残高がプラスである限り、偽造は検出されていない、と。

この改札機は正直だが、限界もある。保証できるのは、入った以上のコインがプールから出ていかないことだけだ。だが、もし偽造が実際に起きていて偽物がすでに引き出されていたら、穴埋めをさせられるのはSproutに最後まで残った人たちだ。中にある本物のコインが、全員分には足りなくなる。

そのカウンターが、いま示しているのは1万2224ZECだ。

外から鍵をかけられた扉

2018年以降、Sproutは時代遅れになった。Zcashには、より速く、軽く、使いやすい新しいプールが加わった。Sapling、のちにはOrchardだ。古い設計を残しておくのは、泥棒に見つけてもらうための裏口を残しておくようなものだった。

2020年11月18日、アップグレード「Canopy」がSproutへの新規入金を禁止した。引き出しはまだできた。開発者たちの説明には、6年後に読むとほとんど予言めいて見える一文がある。ほかの暗号上の弱点が存在する可能性は「完全には排除できない」というのだ。

では、その間ずっとコインを預けていたのは誰なのか。スマホアプリを使う一般の人ではまずない。プロジェクトのフォーラムでnuttycomの名で投稿するZcash開発者は、Sproutに対応した一般向けウォレットはひとつもなかったと指摘している。使えたのは自前のフルノードを動かす人だけ。初期のマイナー、愛好家、2016〜2017年の最初の投資家たちだ。その中にはパスワードをなくした人もいるだろう。コインの価格が下がり、単に関心をなくした人もいるはずだ。

AIが見つけた2つ目の穴

2026年3月、その用心が正しかったことが証明される。Scalarと名乗る研究者アレックス・ソルがAIを使い、Zcashの主要ノードソフトであるzcashdが、2020年7月以来Sproutの取引の証明をまったく検証していなかったことを突き止めた。悪意あるマイナーなら、プールから2万5000ZEC以上、当時の価値で約650万ドルを抜き取れたことになる。

報告が届いたのは3月23日。3日以内に大手マイナーが修正を適用した。このバグを悪用した者はいなかった。最悪の場合でも、例の改札機が被害に歯止めをかけていたはずだ。攻撃者はプールから他人のコインを盗めても、プールにある以上の額は持ち出せない。ソルは200ZECの報奨金を受け取った。

Sproutをなくしたい人々にとって、これがいちばん強い論拠になった。古いコードはほとんど誰も使わないから、ほとんど誰もチェックしない。だが、そこに眠るお金は本物だ。

「死んだ」コインの半分がよみがえった

2024年10月、暗号学者のダイラ＝エマ・ホップウッドが、Sproutを完全に停止することを提案した。理由はこうだ。ほぼ誰も使っていないのに、ネットワーク上のすべてのノードがその送金を検証しなければならず、無用な攻撃対象になっている。しかも、Sproutのウォレットを備えた唯一のソフトウェアは、まもなく廃止される予定だった。

2024年12月、プールにまだ2万6054ZECが残っていた頃、Zcashのフォーラムで投票が行われ、議論は白熱した。ある参加者は凍結を「初期の保有者、マイナー、投資家、プライバシー、そして不変性への完全な侮辱」と呼んだ。Zcashのことをただ忘れているだけの人を心配し、あとでコインを取り戻せるように「プランB」を求める声もあった。ホップウッドは、あとから取り戻すことも理論的には可能だと答えた。そのうえで、まだ鍵を持っている人には、古いソフトが動くうちにいますぐお金を移すよう促した。それ以外の人は、残念ながらおそらく鍵をなくしているだろう、と彼女は書いた。

そして1年以上、何も起きなかった。2026年3月までに、残高は630枚しか減らなかった。

そこから一気に動き出す。3月以降、ZECの価格はおよそ5倍に上がり、忘れられていた蓄えが急にまとまった大金に化けた。NU7の日程が決まった。最初は11月5日、その後は正確なブロック高で。9月には警告が暗号資産メディアを通じて広がり、ズーコ・ウィルコックスがXで繰り返し、フォーラムのメンバーは古いウォレットを確かめるよう皆に呼びかけた。数カ月のうちに1万3200枚がプールを出ていった。失われたと見なされていた分の半分を超える量だ。

いちばん近いたとえは、政府による旧紙幣の回収だろう。2016年11月8日、Zcashの始動から11日後、インドは500ルピー札と1000ルピー札を無効と宣言し、人々は年末までに銀行に預け入れることになった。最終的に、紙幣の99.3%が戻ってきた。期限はどんな説得よりも効く。ただし、旧紙幣を持つ人は銀行の窓口に行ける。Sproutのコインを持つ人には行き場がない。ネットワークには、こちらの目を見て信じてくれる窓口係などいないのだから。

焼却ではなく、凍結

技術的には、1万2224ZECはどこにも消えていない。ホップウッドの提案ZIP 2003は、コインは焼却されておらず、発行済みとして数えられ続けると強調している。ネットワークは、それを動かせる取引を拒否するだけだ。将来のアップグレードで古い形式を復活させるか、資金を取り出す別の方法を考え出すこともできる。とはいえ文書は見通しについて率直だ。Sproutの資金を使う機能は「二度と有効にならないかもしれない」。

お金を取り出すアイデアはすでに出回っている。2018年の欠陥を秘密にしていた4人のひとり、ショーン・ボウは回収の仕組みのたたき台を示したが、有効化の日までに承認されたものは何もなかった。2024年のフォーラムでは「最後の手段」も議論された。残高をひとつのウォレットに集め、古い鍵の所有を証明できる人に払い戻すという案だ。その証明も、やはりゼロ知識で行う。支持者でさえ、結果は「露骨なまでに中央集権的」になると認めた。誰かがそのウォレットを預かり、全員がその人を信用しなければならないからだ。

ビットコインでも同じ論争が

ビットコインでまだ議論が続いていることを、Zcashは実行に移した。2026年4月、開発者のジェームソン・ロップと5人の共著者がBIP-361を提案した。有効化から5年後に、将来の量子コンピューターが破りうるアドレスのコインを凍結するという内容だ。対象は約600万BTC。そのうち約170万BTCは最初期のアドレスにあり、サトシ・ナカモトのコインも含まれる。理屈はZcashと同じ。誰かに盗まれるのを待つより、凍結したほうがいい。

提案者たちは、リカバリーフレーズをまだ持っている保有者には資金を取り戻す道を用意すると約束している。だが、サトシのものを含む最初期のアドレスについては、そうした救済策はまだ誰も見つけていないと認めている。Sproutと同じく、それらのコインは鍵穴そのものを失うかもしれない。古いコインがなぜいちばん危ないのかは、1週間前にFUTURMAGで取り上げた。

ロップの提案への反発は激しかった。ビットコインを買い集める日本企業メタプラネットのフィル・ガイガーは、主な反論をひと言にまとめた。「人々のお金が盗まれるのを防ぐために、人々のお金を盗まなければならない」

暗号資産は、誰にも取り上げられないお金を約束した。銀行にも、政府にも、開発者にも。Sproutは、その約束の限界を示した。古いコードはいずれ穴になる。そしてコミュニティは、どちらがより危険かを決めなければならない。穴を開けたままにしておくか、他人のお金ごとふさいでしまうか。Zcashはふさぐほうを選び、期限を公表した。コインの半分以上は間に合った。

残りの1万2224枚は、いまも律儀に数え続ける改札機の向こうにある。5年後に誰かが古いハードディスクからSproutの鍵を見つけたら、お金を返すかどうかを決めるのは誰なのか。コードか、開発者か、それともフォーラムの投票か。