【BTCFiシリーズ第7回】コベナント：ビットコインの凍結されたフォーク

はじめに

ビットコインは、2021年11月のTaprootを最後にコンセンサスの変更を一切行っていない。同じ期間に、他のスマートコントラクト系主要チェーンは実行レイヤーを何度も刷新してきた。ビットコインは設計上そうしてこなかった。そしてこの状況に対するBTCFiビルダーコミュニティ内の苛立ちが、今や具体的な形を帯びた動きとして表面化している。それが、OP_CHECKTEMPLATEVERIFY（CTV）とOP_CHECKSIGFROMSTACK（CSFS）という最小限のアップグレードをペアで求める組織的な働きかけだ。

提案の内容は絞り込まれている。CTVはコインが使われる際のトランザクションの形状を、あらかじめスクリプト上にコミットできるようにする。CSFSはスタックから取り出した任意のデータに対する署名を、スクリプト側で検証できるようにする。どちらも再帰を導入しない。OP_CATの支持者が求める完全な汎用プログラマビリティも実現しない。にもかかわらず、両者を組み合わせることで、BTCFiビルダーがこれまで不安定なプリサインドトランザクションの仕組みで代替してきた一連の構成——ノンカストディアルのボールト、より効率的なジョインプールやチャネルファクトリー、安価なDiscreet Log Contract、LightningやArkのためのシンプルな実装経路——が解放される。

私たちにとって興味深い問いは、CTV+CSFSが技術的に正当かどうかではない。その議論はほぼ出尽くしており、提案は何年も前から公開されている。真に興味深いのは、これほど限定的なアップグレードがなぜ停滞しているのか、そして2025年中頃の公開書簡と2026~2027年に向けたCore外でのアクティベーション計画が、ビットコインのコンセンサス決定プロセスに何をもたらすのかという点だ。もしCoreではないクライアントを通じてアクティベーションが成功すれば、SegWit UASFの時代以来初めての先例となり、将来のプロトコル変更の交渉様式を塗り替えることになる。失敗すれば、ビットコインのアップグレード経路は事実上凍結されており、BTCFiビルダーはそれを前提に計画を立てるべきだということが確認される。

コベナントとは何か

ビットコインスクリプトの文脈では、コベナントとはUTXOを使えるかどうかだけでなく、使用するトランザクションがどのような形でなければならないかをも制約する使用条件を指す。現在のスクリプトが答えるのは単純な現在形の問いだ——「このwitness dataを前提にすると、この使用は今この瞬間に承認されているか？」コベナントはその問いを拡張する——「この使用によって生成されるトランザクションは、以前にコミットした形状と一致しているか？」

BIP-119として策定されたCTVは、この仕組みを可能な限り制限された方法で実装する。UTXOがCTVスクリプトにロックされると、そのオペコードは使用トランザクションから特定のフィールド群をハッシュ化し、スクリプトに埋め込まれたテンプレートハッシュと照合する。Bitcoin Optechによれば、コミット対象のフィールドはトランザクションバージョン、ロックタイム、scriptsigs、インプット数、sequence値、アウトプット数、アウトプット自体、そして使用インプットのインデックスだ。これらのいずれかがテンプレートと異なれば、その使用は失敗する。

この設計には、立ち止まって考えるべき特性が二つある。第一に、CTVはアウトプットにコミットするがインプットにはコミットしない——具体的には、インプットのtxidにはコミットしない。これにより同一テンプレートを異なるファンディングトランザクションにわたって再利用できる。ボールトや輻輳制御の構成が実用的になるのはこのためだ。第二に、CTVは構造上、非再帰的である。テンプレートハッシュはスクリプト内の固定値であり、使用トランザクション自体から計算されることはない。CTVアウトプットは次のホップの形を強制できるが、そのホップは具体的にあらかじめ指定されたトランザクションだ。スタック上の何かから導出されるテンプレートを持つCTVアウトプットにはなり得ない。この構造的な非再帰性こそが、CTVは永続的に制限されたコインを生み出せないという主張の根拠全体を成している。

CSFSは別のプリミティブだ。ビットコインの既存のOP_CHECKSIGが現在のトランザクションに対する署名を検証するのに対し、CSFSは使用者がスタックに置いた任意のデータに対する署名を検証する。そのデータは何でもよい——将来の価格に関するメッセージ、オラクルの証明、チャネルプロトコルにおいてカウンターパーティが生成したコミットメントなど。単独では、CSFSはコベナントではなく委任・証明のプリミティブだ。このペアリングにおけるCSFSの威力は、CTVと組み合わせることでスクリプトにできることの中にある——オフチェーンの当事者が特定の状態を承認したことを検証し、CTVでそのオンチェーン決済を制約する。

ここで一つのリサーチギャップを正直に認めなければならない。CSFSがCTVとどのように組み合わさって、たとえばLN-Symmetryスタイルのチャネルやより効率的なArkラウンドを生み出すのか、その正確なメカニズムは私たちが参照した資料には詳述されていない。明らかなのは、CTVだけではLightningやArkのビルダーが最も重視する設計上のギャップを埋められないため、CSFSが「第一ステップ」のパッケージに含まれているということだ。これらの構成の詳細を追いたい読者は、Delving Bitcoinのスレッドと参照されているBIPを直接参照してほしい。

CTVがBTCFiに解放するもの

ビルダーたちがこれを推進している理由を最も明確に理解するには、CTVが具体的に改善する構成を順に見ていくのがよい。

ボールト

現在この言葉が獲得してきた意味でのビットコインボールトとは、コールドストレージからの使用がすべて、タイムロックされた中間アドレスを必ず経由しなければならないスキームだ。遅延ウィンドウの間、ボールトの所有者は保留中の使用を監視し、もし無許可であれば、資金をより安全な鍵に転送するリカバリーのクローバックを発動できる。これはビットコインが鍵の漏洩に対して持つ最もネイティブな答えに近いものだ。

現在、ボールトは一時鍵とプリサインドトランザクションで構築されている。所有者は一時的な鍵ペアを生成し、ボールトの使用経路をその鍵で署名し、その後秘密鍵を破棄する。ボールトのセキュリティは、一時鍵が実際に削除されており、削除前に漏洩していないという前提に依存する。Bitcoin Optechはこの構成を「よくて脆弱」と表現しているが、これは実務家の見解を丁重に言い換えたものだ。監査可能かつ再現可能な形で鍵の削除を証明することは現実の運用上の問題であり、相当の資金でこのようなスキームを運用しようとする人々の層は狭い。

CTVを使えば——BIP-345のOP_VAULTがまさにこれを目的としてCTVの上に構築されているのだが——プリサインドトランザクションのやり取りはコベナントに置き換えられる。ボールトアウトプットが遅延使用トランザクションの形状を直接コンセンサス上にコミットする。漏洩する一時鍵は存在しない。信頼に基づく削除も不要だ。ボールトは、ウォレットが公開パラメータから決定論的に生成できる、ステートレスで再現可能な構成になる。

ジョインプールとチャネルファクトリー

多くのユーザーの資金を単一のUTXOにプールし、それぞれが独立して退出・再編できるようにする構成——ジョインプール、チャネルファクトリー、およびそれらの派生形——は、毎回インタラクティブな署名の全ラウンドを二往復こなすことなく、オフチェーンの状態を再交渉できることに依存している。Optechによれば、CTVはこれらの構成における状態遷移に必要な署名ラウンドを2回から1回に削減する。実装上の細部のように聞こえるが、実際にはスケーリングと活性度（liveness）に関わる変化だ。N人の参加者全員が2ラウンドの間オンラインである必要がある構成は、1ラウンドしか必要でなければ、極限的には半分の頻度でしか失敗しない——しかもこれらの構成の失敗モードは、ハッピーパスが示唆するよりも通常はずっと悪い。

Discreet Log Contract

DLC（Discreet Log Contract）は、ビットコインが今日オラクル証明付きコントラクトを行う方法だ。たとえばBTC/USDのペイオフを1ドル刻みで切り捨てた単一のDLCは、Optechによれば1万以上の潜在的な結果を含む場合があり、それぞれにカウンターパーティが作成・交換・検証・保存しなければならない署名アダプタが必要になる。CTVはそのアウトカムごとのアダプタをテンプレートに置き換える。大規模なDLCのセットアップコストは、結果空間の大きさに比例して削減される——実用的なコントラクトでは1〜2桁の削減になる。

輻輳制御とバッチ処理

CTVはまた、特定の手数料市場向けの構成も可能にする。取引所やカストディアンは、後で展開すると多数の受取人に支払いが行われる単一のテンプレートアウトプットを、オンチェーンにコミットできる。輻輳時はコミットが安く、展開は手数料が許す時に行う。これは新たなキャパシティを生み出すわけではないが、大規模なアクターがユーザー向けの決済タイミングをオンチェーン確認のタイミングから切り離せるようになり、スパイク時のブロックスペース需要曲線が変わる。

BitVMの経路については別途触れておく価値がある。BitVM2はすでに本番環境で稼働しており、ソフトフォークなしにCitreaのメインネットブリッジを動かしている。コベナントがもたらすのは実現可能性ではなくコスト削減だ。現在のBitVM構成は、CTV+CSFSが直接提供するプリミティブをスクリプトバイトで模倣するために相当のバイト数を消費している。支持者の主張は、コベナントがトラストミニマイズされたブリッジを安価にするということであって、初めて可能にするということではない。

ミニマリストの賭けとOP_CATの設計空間

CTV+CSFSはテーブルに並ぶ唯一のコベナント提案ではない。最も議論されている代替案はOP_CAT——スタック上の上位2つのアイテムを単純に連結する4バイトのオペコードだ。これはもともとビットコインのスクリプト言語の一部だったが、2010年に無制限のスタック成長に関連するサービス拒否の懸念から無効化された。OP_CATは2024年にBIP番号347が割り当てられたが、これは技術的な真剣さというプロセスのハードルをクリアしたというシグナルであり、アクティベーションが近いというシグナルではない。

両陣営の設計哲学の差は本物だ。CTVは特定の目的に作られたオペコードだ——一つのこと（テンプレートハッシュへのコミット）をし、それを構造的に再帰を排除する形で行う。OP_CATはプリミティブだ——非常に小さな一つのこと（バイト列の連結）をするが、そのプリミティブはTaprootのSchnorr署名と組み合わさることでスクリプトのイントロスペクション——スクリプトがそれを含むトランザクションについて推論する能力——を可能にし、それが再帰コベナントと汎用ステートマシンを可能にする。StarkWareはフェデレーテッドマルチシグなしにビットコインからL2へのブリッジングをトラストミニマイズする、OP_CATブリッジコベナントの概念実証を公開している。そうした構成はCTV+CSFSでは実現不可能だ。

トレードオフは、どちらも内部的に整合している二つの立場の間にある。

CTV+CSFSの立場は、コベナントは可能な限り小さな増分で追加されるべきであり、再帰は明確にレベルが上がった話であり、再帰コベナントに対して提起される代替不可能性への懸念——コインが制限的なスクリプトに永久にロックされる理論的な可能性——は、汎用プリミティブの中に紛れ込ませるのではなく、それ独自の議論として扱われるべきほど深刻だというものだ。支持者は、このことでいくつかのBTCFiの構成が手の届かないところに留まることを受け入れている。

OP_CATの立場は、再帰コベナントへの懸念は主に理論的なものであり、より弱い制限の形（マルチシグ、タイムロック、ハッシュロック）はすでに存在し、汎用イントロスペクションを追加することは一度限りのプロトコル変更であり、一連の個別オペコードよりもはるかに広い設計空間を開くというものだ。2010年のOP_CAT無効化の動機となったDoSの懸念はTaprootが導入したスクリプトサイズ制限によってもはや適用されない、とこの陣営は主張する。「もはや適用されない」という主張については異論があることを注記しておく——これは私たちが検討した資料の中で、証明されるよりも主張される頻度のほうが高かった。

第三の立場がある。主にBitcoin Coreのコントリビューターの中にいる声高な懐疑論者が持つもので、コベナントの議論全体が時期尚早であり、どちらの提案もコンセンサスの変更に値するレビュー年数を積み重ねていないという立場だ。あらゆる新しいオペコードを攻撃対象として扱うビットコインのスクリプト文化は、賛成の理由が圧倒的でない限りデフォルトで否定に向かうべきだ、というものだ。この立場はCTVへの具体的な技術的異議を必要としない。コンセンサスの変更に対する高い事前確率（prior）さえあればよい。

2025年6月の書簡と2026年アクティベーション計画

2025年6月、私たちの調査資料内で一次ソースを完全に確認できなかった報道によれば、CTV+CSFSのアクティベーションを求める公開書簡が発表された。トピックブリーフには著名な暗号研究者やLightning開発者を含む~66人の署名者が挙げられているが、具体的なリスト、正確な文言、書簡の全論旨は私たちが参照した資料から直接アクセスできなかった。これを事実として述べるのではなく、ギャップとして明示する。確認できることは、書簡が存在したこと、重要な業界イベントとして報じられたこと、そしてその目的が最小限のコベナントパッケージを第一ステップとすることに関する開発者コンセンサスを示すことにあったということだ。

トピックブリーフによれば、Bitcoin Coreコントリビューターからの反応は支持ではなく反発だった。ここでも、提起された具体的な技術的異議には直接アクセスできない——実質的な議論が行われているDelving Bitcoinのスレッドは、私たちのソース資料では一部しか確認できなかった——ので、それを作り上げることはしない。議論の形から明らかなのは、Core内のどの派閥もCTV+CSFSアクティベーションのロジックをCoreのコードベース自体にマージする動きを取っていないということだ。

ここで2026年のタイムラインが興味深くなる。2026年4月に公開されたある統合によれば、Core外アクティベーションクライアントのために提案されている具体的なデプロイパラメータは以下の通りだ：

• 開始時刻：2026年3月30日
• タイムアウト：2027年3月30日
• 最小アクティベーション高：~2027年5月
• シグナリング閾値：2016ブロック期間にわたるマイナーの90%

これらの数字はセカンダリソースからの提案パラメータとして扱い、確定したコンセンサスとは見なさない。しかしもし維持されれば、これはTaproot以来ビットコインが生み出した初めての具体的なソフトフォークタイムラインになる。メカニズムはBIP9スタイルのマイナーシグナリングだ。各2016ブロックのウィンドウにわたって、マイナーはブロックバージョンにビットを設定することで準備完了をシグナリングできる。ウィンドウ内で90%がシグナリングすれば、フォークはロックインし、最小アクティベーション高で有効化される。

Core外という側面がこの計画の核心だ。Coreがアクティベーションロジックをマージしていないため、シグナリングとアクティベーションのコードは代替クライアント——既存のコンセンサスルールをすべて踏襲しつつ、マイナーシグナリング閾値が満たされた場合に最小アクティベーション高でCTV+CSFSを新たなルールとして追加するビットコイン実装——として出荷されることになる。CTVトランザクションがマイニングされない限り、Coreを実行するノードは有効であり続ける。CTVがアクティベートされ、CoreノードがCTVコミットブロックを拒否すれば、チェーン分裂が発生する。

ガバナンスの賭け金：Core外アクティベーションが示すもの

ビットコインのコンセンサスプロセスには正式なガバナンス機関が存在しない。実際のところ、規範はBitcoin Coreのメンテナーがソフトな拒否権を持つというものだった——Coreがマージしない変更はアクティベートされない。2017年のSegWit UASFがその規範への最後の本格的な挑戦だったが、それでも最終的にはCoreのコードベースを経由した。UASFクライアント（BIP148）はアクティベーションロジックを変更したCoreのフォークであり、UASFの圧力がピークに達した時点でSegWitはすでにCore内にあった。

CTV+CSFSのCore外アクティベーションは、SegWit UASFよりもCoreの拒否権という規範への強い挑戦となる。代替クライアントは、Coreメンテナーが明示的に採用を断ったアクティベーションコードを持つことになる。マイナーが90%を超えてシグナリングしフォークがアクティベートされれば、Coreはユーザーを多数派チェーンに留めるためにCTV+CSFSをマージするか——これにより、十分に組織化された開発者連合とマイナーのスーパーマジョリティがCoreを動かせるという先例が確立される——あるいはCoreはフォークを明示的に拒否してチェーン分裂を受け入れるかのどちらかが必要になる。後者はビットコインが単一の正規実装を持つという前提との大きな決別だ。

これが健全だという正当な主張がある。2021年以来ビットコインのアップグレードプロセスが事実上凍結していることは、誰かが選んだ設計上の結果ではなく、正式なガバナンスなしにコンセンサスの変更を調整することの困難さから生まれた均衡だ。問いを強制すること——アクティベートするか明示的に拒否するか——は、永続的な膠着状態が生み出さない情報をもたらす。

これが危険だという正当な主張もある。マイナーシグナリングの90%という閾値はフロアであり、ユーザーの同意の証明ではない。TaprootのアクティベーションはCTVが現在持つよりも、ユーザー、企業、開発者にわたってはるかに広い可視的な支持を持っていた。Coreの反対を押し切ってベアなマイナースーパーマジョリティでアクティベートするソフトフォークは、より狭い目的を持つ将来の連合に利用可能な先例を生み出しかねない——そしてコベナントはまさに「より狭い目的」の空間が大きいクラスの変更だ。

どちらの議論もそれ単独では決定的ではない。経験的な問いは、書簡の背後にある開発者連合が、90%のマイナーシグナルを掌握されたシグナルではなく批准として見せるだけの周囲のインフラ——経済的なノードの支持、ウォレット統合のコミットメント、取引所の準備——を構築できるかどうかだ。私たちが確認したソースの時点では、その周囲のインフラはまだ組み立て中だった。

残る異議

技術的な異議が解決されたと示唆するのは不誠実だ。完全なソースなしでも名指しする価値のあるものが三つある。

一つ目はTxWithholdへの懸念で、Delving Bitcoinのスレッドで参照されているBitMEXの記事でGleb Naumenko氏が探求している。コベナントは、特定のトランザクションをブロックから保留するようマイナーに賄賂を払うスクリプトの構築に利用できる。深刻さはそのような構成がどれほど容易になるか、そして手数料市場がどれほど寛容かによる。懸念はコベナントがトランザクションの保留を導入するということではなく、賄賂のコストが大幅に低下しうるということだ。私たちの知る限り、これはCTV+CSFSの具体的な文脈で議論を解決する形で正式に分析されていない。

二つ目は複雑性バジェットへの批判だ。新しいオペコードは毎回コンセンサスコードの攻撃対象面積を拡大し、既存のスクリプトプリミティブとの新たな相互作用を生み出す。ビットコインの開発文化はこの拡大をデフォルトでコストとして扱う。CTV+CSFSのパッケージは限定的だが、タダではなく、Taproot、sighashフラグ、将来の提案との相互作用を監査するために必要なレビュー時間は非trivialだ。

三つ目はファーストステップ問題だ。CTV+CSFSがアクティベートされれば、OP_CATの議論は容易になるのか難しくなるのか。支持者は容易になると主張する——コミュニティはソフトフォークを出荷できることを証明し、CTVを超えた設計空間はそれ自体の価値で評価できるようになる。懐疑論者は難しくなると主張する——狭いコベナントのアクティベーションは、より野心的な提案に充てられたはずの政治的資本を消費し、OP_CATが可能にしていた構成には不十分なパーシャルなコベナントがビットコインに残ることになる。どちらも十分ありえる。歴史的な証拠は乏しい——ビットコインは2021年以来アップグレードを出荷していないのだから。

BTCFiへの示唆

BTCFiビルダーにとっての実践的な問いは、不確実性に対して資本とロードマップの配分をどう計画するかだ。三つの方針が合理的に見える。

一つ目は現在のスクリプトセットに基づいて構築することだ。CitreaでのBitVM2の本番運用は、新しいオペコードなしに意味のあるトラストミニマイゼーションが——オンチェーンフットプリントが大幅に増大するコストはあるにしても——達成可能であることを示している。2026~2027年に出荷する必要があるチームは、アクティベーションを前提にロードマップを組めない。

二つ目はCTV+CSFSをソフトターゲットとして構築することだ。ボールトプロダクト、チャネルファクトリーベースのベニュー、DLC中心のアプリケーションはアクティベーションから不均衡に恩恵を受け、それらの設計はコベナント対応バージョンがプリサインドトランザクションバージョンのクリーンなアップグレードになるように構造化できる。欠点は、プリサインドトランザクションバージョンが脆弱なままであり、アクティベーションまでユーザーがその脆弱性を負い続けることだ。

三つ目は、一つのコベナントがアクティベートされれば二つ目が政治的に容易になるという前提のもと、より深いOP_CATの設計空間に基づいて構築することだ。これは長期的な賭けだ。また、CTVのアクティベーション、その後のOP_CATの議論、OP_CAT自体のアクティベーションという連鎖した反事実に依存しており、それぞれが条件付きだ。

2026年の残りから2027年にかけて注目すべきオープンクエスチョンは、狭くかつ答えの出るものだ。代替クライアントは出荷されるか、そしてCoreは独自のシグナリングロジックで応答するか、それとも明示的な拒否で応答するか。2026年3月の開始後、最初の2016ブロックウィンドウにおけるマイナーのシグナリング行動はどうなるか。Coreコントリビューターからの具体的な技術的異議は評価可能な形で公表されるか、それとも議論は拡散したままか。そして、ウォレット、取引所、カストディアンからなる周囲の連合はシグナリングウィンドウが開く前に公式コミットするか、後にするか。

これらの問いへの答えが「代替クライアントが出荷され、マイナーが90%を超えてシグナリングし、Coreがそれへのレスポンスとしてマージする」であれば、ビットコインは新たなアップグレード経路を発見し、BTCFiは18ヶ月以内に大きく異なる設計空間で構築できるようになる。「クライアントが出荷され、シグナリングが失敗し、議論がリセットされる」であれば、ビットコインのアップグレードプロセスが単に保守的なだけでなく構造的にブロックされていることが確認され、BTCFiのロードマップは予見しうる将来にわたってスクリプトの停滞を前提とする必要が出てくる。どちらの結果も情報価値がある。最悪なのは三つ目——クライアントが出荷され、マイナーがシグナリングし、生じたチェーン分裂がビットコインのガバナンスがどの派閥も想定していたより一貫性に欠けることを露わにする——だ。この結果は最も起こりやすいわけではないが、今最も注意を払うことが報われるものだ。