# FHEが稼働開始:ERC-7984とスループットの上限

> Zamaの FHE レイヤーと ERC-7984 について、ハンドル、コプロセッサ、しきい値復号、そして実際のスループットの限界という観点から検証する。

- Source: https://www.steadyrain.xyz/ja/articles/fhe-confidential-defi-zama-erc7984/
- Publisher: Steady Rain
- Author: 0xYatha
- Published: 2026-09-21T03:41:04.506Z
- Categories: DeFi
- Language: ja

## はじめに

ERC-20の送金は、RPCエンドポイントを持つ誰に対しても、移動した金額と両者の残高を公開する。給与支払い、トレジャリーのリバランス、あるいはブロックトレードにとって、この性質は致命的であり、標準的な回避策はトランザクションをオフチェーンに留め、ネットの結果だけをオンチェーンで決済することだった。

Zamaの Confidential Blockchain Protocol は、これとは異なる構成を提案している。litepaperによれば、これは新たなL1やL2ではなく、既存のパブリックブロックチェーンの上に乗る形のクロスチェーン機密性レイヤーであり、暗号化された値に対する計算のための完全準同型暗号（FHE）、しきい値鍵管理のためのマルチパーティ計算（MPC）、そしてユーザー入力が正しく暗号化されたことを検証する狭い用途に限定したゼロ知識証明を組み合わせている。示されたロードマップでは、testnetはlitepaperの公開前に稼働開始しており、Ethereumメインネットは2025年末、他のEVMチェーンは2026年上半期、Solanaは2026年下半期を予定している。機密トークン規格である**ERC-7984**についてのZama自身の解説記事は2026年2月17日付けで、この規格を技術非依存として説明しており、FHE実装はOpenZeppelinと共同で構築されたとしている。

このローンチに関する市場での言説には、一次資料には見当たらない数値がいくつも付随している。現在のスループットが毎秒約20トランザクションであるという数字、GPU導入後に毎秒500〜1,000トランザクションを目指すという目標値、confidential USDCでの導入規模、名指しされた機関投資家向けOTC取引、$ZAMAトークンイベントの仕組みと日付、OpenZeppelinによるERC-7984実装の監査状況。これらはいずれもZamaのlitepaper、そのERC-7984解説記事、FhenixやIncoのドキュメントで裏付けを取ることができなかった。未確認のまま残るため、以下の分析はベンダーが公開している文書の記述に基づいて進める。

このスタック内で成熟している部分は暗号技術そのものである。重みを支えているのはむしろ3つの継ぎ目だ。オンチェーンのコントラクトが記録する内容とオフチェーンのコプロセッサネットワークが計算する内容の間のギャップ、暗号化された値が平文になるまでの非同期経路、そして復号鍵を集合的に保持するノードの委員会である。

## 誰にも見えない算術のコスト

完全準同型暗号（FHE）は、暗号文しか持たない当事者が、それらに対して関数を計算し、入力も出力も知ることなく結果の暗号文を生成することを可能にする。トークンに適用すれば、2つの暗号化された残高の加算は暗号化された新しい残高を生み、その加算を実行するマシンはどちらのオペランドも知らない。

このオーバーヘッドは構造的なものだ。格子ベース方式のFHE暗号文は、隠している平文よりもはるかに大きく、準同型演算のたびに暗号文にノイズが加わる。しきい値を超えるとノイズは値を破壊してしまうため、方式は定期的にノイズ削減ステップを実行する必要があり、これ自体が計算全体で支配的なコストとなる。Zamaは自社の実装が5年前と比べて100倍以上高速であり、耐量子安全性を備えていると主張している。後者はこれらの方式が依拠する格子問題の仮定から導かれるものだ。どちらもベンダー自身が作成した文書に基づく主張であり、独立したベンチマークによる裏付けはない。

コントラクト開発者にとってより深刻な制約は制御フローだ。プログラムは暗号化された条件で分岐することができない。分岐を取ればどちらの分岐が取られたかが露呈し、ガス消費量やステート・アクセスのパターンを観察している者は、暗号化によって隠すはずだった比較結果を知ってしまうからだ。したがって条件分岐は算術に置き換えられる。両方の結果を計算し、暗号化されたセレクタービットでどちらかを多重化して選ぶのだ。機密送金は、送信者の残高が十分であってもなくても同じコストがかかり、いずれにせよステート遷移を生成する。

この単一の性質が設計全体に波及する。ERC-7984が失敗した送金をどう扱うか、清算ロジックの表現がなぜぎこちなくなるか、そして機密実行とプレーンテキスト実行のコスト差がわずかな差ではなく倍数になるのはなぜか、これらすべてを決定づけている。FhenixのCoFHEドキュメントも、そのAPI表面に同じ形を露呈させている。`euint32`や`ebool`といった暗号化型、`FHE.add`や`FHE.sub`といった演算、そして`FHE.allowThis`や`FHE.allowSender`といった、誰が後にその値を復号できるかを管理する明示的なアクセス制御呼び出しがそれだ。これらのシステムでは復号の許可は暗黙のものではない。コントラクトが実行しなければならない明示的な付与であり、それを怠れば値は永久に読めないままになる。

## ハンドル、コプロセッサ、そしてゲートウェイ

*[Figure: img1]*

ZamaのERC-7984解説記事は4部構成のアーキテクチャを記述しており、各部分の間の役割分担こそがエンジニアリング上のリスクが集中する場所だ。

オンチェーンのコントラクトは、暗号文そのものではなく暗号化された値へのポインタである**ハンドル**を保存する。機密トークンのコントラクトが2つの暗号化残高を足し合わせるとき、Ethereumのトランザクションは格子演算を実行しているわけではない。3つのハンドルに関わる加算が実行されるべきことを記録し、出力ハンドルを即座に返すだけだ。コントラクトのストレージとトランザクションのガスコストが反映しているのは、ハンドルに関する帳簿処理であって、暗号技術そのもののコストではない。

実際のFHE演算はオフチェーンで、記録された演算を消費して対応する暗号文を実体化するコプロセッサのネットワーク内で行われる。**Gateway**がそれらのコプロセッサをオーケストレーションし、どのアドレスがどのハンドルを読めるかというアクセス制御を強制し、復号リクエストをルーティングする。復号自体は、複数の独立したノードが協調しなければならないしきい値鍵管理システムによって実行され、単一のオペレータが一方的にユーザーの残高を復元できないようになっている。

この分割から2つの性質が直接導かれる。第一に、オンチェーンの決済は、その裏にある暗号化計算よりも先に確定する。送金はハンドルの帳簿処理がブロックに含まれた時点で確定するが、そのハンドルが指す暗号文はコプロセッサが生成した時点で初めて存在する。したがって負荷がかかった状況での自然な障害モードはバックログだ。シンボリックなステートはEthereumのペースで進む一方、実体化はそれに遅れを取り、その遅延は誰かが値を読もうとした瞬間に表面化する。残高を確認しようとするユーザーであれ、復号のコールバックを待つコントラクトであれ、平文の答えを必要とするものはすべてこのキューを引き継ぐことになる。

第二に、ZKの構成要素がここで担う役割は、シールドプールにおけるそれよりもはるかに小さい。ゼロ知識証明はここでは、ユーザーが提出した入力が正しく暗号化され、提出者に紐づいていることを立証するために使われるのであって、何らかのステート遷移が正しく実行されたことを証明するためではない。システムに受け入れられた不正な形式の暗号文や敵対的に細工された暗号文は、下流の計算を破損させたり、ネットワーク鍵を探るチャネルになったりしうるため、この証明は入力フィルターとして機能する。zk-SNARKによるシールドプールでは、証明が正しさの議論全体を担い、暗号化されたステートを第三者が計算することは決してない。同じ頭字語を共有しているとはいえ、これらは異なるセキュリティアーキテクチャである。

Zamaは、既存のチェーンがこの構成をサポートするのにプロトコルレベルのアップグレードを必要としないと述べている。この主張は限定的であり、アーキテクチャ上も妥当だ。実行はコントラクトコード内かオフチェーンのどちらかで行われるからである。しかし、既存のアプリケーションが結果として生じるステートを消費できるかどうかについては何も語っていない。

## ERC-7984がコントラクト内部で変えるもの

*[Figure: img2]*

コードレベルでは、この規格は影響を伴う型の置き換えである。ERC-20が`uint256`、`transfer`、`balanceOf`を公開するのに対し、ERC-7984は`euint64`、`confidentialTransfer`、`confidentialBalanceOf`を公開する。論理的な操作は残るが、オペランドはコントラクト自身も読めない暗号化されたハンドルになる。

256ビットから64ビットへの縮小は見た目だけの話ではない。FHEのコストは暗号化された整数のビット幅に応じて増大するため、機密トークンは使われないレンジのビットひとつひとつに対して直接コストを支払うことになる。64ビットの残高は18桁の小数を持つ供給量をどんな規模でも表現できないため、機密トークンは透明なトークンよりも小数点以下の桁数が少なく、最大供給量も小さくなる方向へ押しやられる。既存の18桁小数のERC-20を機密表現にラップするものは何であれ、スケーリングの規約を定義し、それが持ち込む丸め誤差を受け入れる必要がある。

残高不足の扱いは2番目の構造的変更であり、分岐禁止という制約から直接生じる。従来のERC-20は送信者に資金が不足しているとリバートし、そのリバートは公開情報だ。機密送金は、暗号化された比較の結果を観察者に漏らすことなくリバートすることができない。この設計では、資金が十分な場合はリクエストされた金額と等しく、不足している場合はゼロとなるような暗号化された送金額を計算し、どちらの場合もトランザクションが成功するようにする。呼び出し元は、権限を持っていればその返り値を復号することによってのみ何が起きたかを知る。成功したトランザクションを送金完了の証拠として扱うすべての連携先は改修が必要になる。

### コントラクト機能としての選択的開示

Zamaの実装は、監査人や規制当局のようなアドレスに指定した値への復号アクセスを付与できる**Observer**という仕組みと、KYCやAMLチェック、残高凍結、実世界資産（RWA）のコンプライアンスルールのためのオプションの拡張モジュールを通じて、コンプライアンス要件に対応している。開示はデフォルトではなく権限の付与として機能し、オペレータの裁量ではなくGatewayのアクセス制御によって強制される。

この設計は機関投資家向け提案の核心をなす部分であり、同時に公開されている詳細が最も少ない部分でもある。Observerの付与が取り消し可能かどうか、付与前に作成されたハンドルに遡及的に適用されるのかそれとも将来に向けてのみ適用されるのか、誰がユーザーに代わって付与を発行できるのか、これらはガバナンス上の問いであり、現在入手可能なドキュメントでは決着していない。特に凍結モジュールは、いかなる特権的主体もユーザーのステートを見ることができないという前提に立つシステムに、特権的主体を再び持ち込むことになる。凍結はハンドルを読まずにそれに対して作用するため、この2つの性質は原理的には両立可能だが、この組み合わせは機能仕様書ではなくコントラクトコードでの検証を要する。

## 暗号化された残高が既存のDeFiと出会う場所

Ethereumがアップグレードを必要としないという主張と、UniswapやAaveがERC-7984トークンを保有できるという主張は別物だ。後者の方が難しく、それは上で詳述した仕組みによって引き起こされる。

定数積AMMは公開されたリザーブから取引価格を算出する。リザーブが暗号化されていれば、プールは価格を公開できず、裁定取引者もそれを計算できず、プールを不適正な価格の取引から守る不変条件のチェックは、すべてのスワップにおいて準同型的に評価されなければならない。レンディングマーケットにはさらに鋭い問題がある。清算には、あるポジションが債務超過であることを第三者が検証する必要があるが、これはヘルスファクターが公開されて機密性が失われるか、あるいは清算人が復号をリクエストしてその結果に基づいて行動するかのどちらかを意味し、後者はアトミックなトランザクションを複数ブロックにまたがるリクエスト・コールバックのシーケンスに変え、その間敵対者が担保を自由に動かせる状態にしてしまう。

非同期性が一般的な障壁だ。実行の途中で平文の値を必要とする合成は、1つのトランザクション内で完結できない。復号経路がGatewayとしきい値委員会を通るからだ。単一のコールフレーム内でのアトミックな決済を前提に設計されたプロトコルは、単純なパラメータ変更ではこれに適応できず、再設計を必要とする。

そのため、当面のコンポーザビリティの余地は、機密性が主要な要件であり、レイテンシへの許容度がもともと組み込まれているアプリケーションを中心に絞られる。給与支払い（支払者はすべての金額を知っており、第三者が資産の価格付けを行うわけではない）、二者間で情報を共有する機関投資家間の決済、そして封印入札オークション（メカニズム自体が値がスケジュールされた開示まで隠されていることに依存しており、締め切り時にしきい値復号を待つことが構造的に組み込まれている）である。Incoが自社のLightning製品向けに掲げるマーケティングも似たようなリストを挙げており、封印入札オークション、マネーマーケット、受渡決済（DvP）エスクロー、トークンベスティングを含め、機密ERC20とSPLのサポートが「コンポーザビリティを損なうことなく」実現すると謳っている。この主張も同じ評価基準を要する。ベースチェーンがそのトークンを受け入れるかどうかではなく、改変されていない第三者製のプロトコルがそのトークンに対して価格付けと清算を行えるかどうかだ。

## スループットの上限とそれが除外するもの

*[Figure: img3]*

Zamaのlitepaperはスケーリングを3段階で描いている。現在のパフォーマンスは汎用プロセッサ上で稼働している。GPUは「毎秒100件超のトランザクション」への移行を可能にするものとして説明されている。専用アクセラレータ（FPGAやASIC）は、未確定の将来時点で「毎秒数千トランザクション」に達すると見込まれている。これらはいずれも公開済みのベースライン測定値を伴わない、先を見据えたベンダーの目標値だ。

このローンチをめぐって流布している具体的な数字、すなわち現在毎秒約20トランザクション、GPU使用時に500〜1,000という範囲は、litepaperには見当たらず、検証もできなかった。上限側の推定はZamaが公表しているGPUに関する記述を5〜10倍上回っている。ベンダーの数字が意味することは、GPUのマイルストーンが機密実行のスループットを、レイヤー上のすべてのアプリケーションで共有される、中規模のL2が平文処理で出せる程度の水準に置くということだ。

この上限はDeFiのワークロードを明確に選り分ける。給与支払い、ベスティング、定期的な機関投資家間決済は、1日あたり数百から数千件のトランザクション数を生み、秒から分単位の確認レイテンシは運用上許容できる。封印入札オークションとOTC決済はバッチ処理として動作する。これらはいずれも、公開されているロードマップ上でスループット制約に直面しない。

継続的なマーケットは異なる制約に直面する。スポットAMMの取引、パーペチュアルの資金調達率の更新、オラクル駆動の清算、ブロック内での実行戦略は、スループットとレイテンシの両方を必要とし、レイテンシが拘束条件となる。より高いスループットであっても、ある値を読むためにしきい値復号のラウンドを要するシステムは、競争力のある清算をサポートできない。FHEベースの機密性がそれらのマーケットに資するとすれば、それは注文サイズや担保構成といった特定のフィールドを、公開された価格形成を持つシステムの中に隠すという形でだろう。それは一般的な機密DeFiよりも狭い製品だ。

未解決のコスト力学もある。ハンドルの帳簿処理に対するオンチェーンのガスは低いが、FHE計算はコプロセッサ上で発生し、それには対価が必要だ。このコストがどのように計測されるのか、誰が負担するのか、そしてその価格モデルが需要の急増に耐えられるのか、これらの経済性は入手可能なドキュメントでは確立されていない。主要な計算コストが決済レイヤーの手数料市場の外にあるシステムは、混雑が集中する二次的な手数料市場を確立しなければならない。Fhenixのドキュメントには関連する注記がある。そのローカルなモック環境はFHEを平文をオンチェーンに保存することでシミュレートしており、モックのガスコストは本番環境と異なるとドキュメントに記されている。これらのスタックによるメインネット前のベンチマークは、そのギャップを念頭に置いて評価すべきだ。

## 誰が鍵の断片を保持するのか

*[Figure: img4]*

しきい値鍵管理システムは、このアーキテクチャの中で従来型の信頼前提に最も近い構成要素であり、入手可能な資料が最も仕様を示していない部分でもある。

Zamaは、復号には複数の独立したノードが協調する必要があり、単一の当事者が一方的にユーザーデータを復号することを防ぐと述べている。ドキュメントは、ノードの総数、再構成に必要なしきい値、オペレータの選任・解任の仕組み、オペレータの管轄区域、平文への再構成ステップなしに鍵を再分配できるかどうかを開示していない。これらの変数はそれぞれ、システムレベルでの残高セキュリティに直接影響する。

直接比較すると信頼上のトレードオフが明確になる。単純なパブリックL1では復号ステップ自体が存在せず、妥協や強制の対象となる委員会も存在しない。その代わり完全な透明性というトレードオフを負う。ハードウェアエンクレーブ方式では、機密性がプロセッサベンダーの安全な実行環境と、サイドチャネル脆弱性の不在に依存し、信頼はハードウェアのサプライチェーンに集中する。しきい値方式では、しきい値未満の数のノードオペレータが結託または強制されない限り機密性は保たれ、信頼はオペレータ間に分散されるが、カストディの前提が完全に排除されるわけではない。

2つの障害モードは別々に評価する必要がある。しきい値規模の連合が鍵を再構成できてしまえば機密性は失われ、これは管轄の分布に依存する。委員会が復号リクエストの処理を拒否すればライブネスが失われる。残高は暗号化されたままだが復号を得られないユーザーは、平文の値を要求するコントラクトを通じて所有権を証明したり出口を確保したりできない。機密システムにおける検閲は、拒否されたトランザクションではなく、満たされない復号リクエストという形を取る。

Zamaのlitepaperには、自社のプロトコルを、安全性、分散性、検証可能性、コンポーザビリティ、スケーラビリティ、使いやすさのすべてを同時に満たすものとして評価する一方、TEEベースのアプローチを安全性と検証可能性に欠けるものとして、その他のFHE、MPC、ZKシステムをスケーラビリティまたは使いやすさに欠けるものとして分類する比較表が含まれている。この比較はベンダーによるポジショニングである。基礎にある技術的トレードオフは具体的なまま残っている。ハードウェアへの信頼としきい値への信頼は、それぞれ別個の障害モードを提示するのだ。

## メカニズムを敵対者モデルに合わせる

*[Figure: img5]*

実装の現状はプロバイダーによってまちまちだ。Zamaのlitepaperは2025年末をEthereumメインネットの目標時期として挙げており、2026年2月に公開されたERC-7984解説記事はユースケースについて論じている。FhenixのCoFHEドキュメントはEthereum Sepolia、Arbitrum Sepolia、Base Sepoliaへのサポートを明記しており、本番のメインネットサポートは未定だ。Incoは、Lightningをネイティブチェーンと同等の速度を提供するライブラリインポートとしてマーケティングしており、新たなVMを必要としないとし、耐量子安全性を主張しているが、その根底にあるメカニズムは名指ししていない。ネイティブに近いレイテンシは標準的なFHEのオーバーヘッドのプロファイルと矛盾しており、ハードウェアエンクレーブが使われているという推測につながっているが、一次資料はこれを確認していない。

| アプローチ | 必要な信頼 | 隠されたままになるもの | 拘束条件 |
| --- | --- | --- | --- |
| しきい値復号を伴うFHE | しきい値未満の数の鍵断片保持者が結託または強制されないこと | 計算中の入力、中間ステート、保存された残高 | スループットと非同期復号のレイテンシ |
| ハードウェアエンクレーブ実行 | プロセッサベンダーの完全性、サイドチャネルの不在 | エンクレーブ内にある間の入力とステート | サプライチェーンとサイドチャネルへの露出、外部からの検証可能性の限界 |
| 計算のZK証明 | 該当する場合はトラステッドセットアップ、証明システムの健全性 | 証明者が開示しないことを選んだあらゆるもの、永続的な暗号化ステートには別の仕組みが必要 | 証明生成コスト、隠されたステートに対して第三者が計算することはできない |
| プレーンなパブリック実行 | コンセンサス以外に何もなし | なし | 完全な透明性 |

どのアプローチを選ぶかは機能の一覧ではなく脅威モデルに依存する。ユーザーが差し控えることのできないデータに対して計算を行う必要があり、秒単位のレイテンシが許容できるアプリケーションでは、しきい値復号を伴うFHEが低頻度のスループット制約の範囲内で強力な暗号学的隔離を提供する。ベースチェーンネイティブのレイテンシが求められる場合、エンクレーブベースの実行が有力な代替であり、ハードウェアレベルの信頼前提を受け入れることになる。第三者によるステート計算なしに正しい実行を証明することが目標である場合、ゼロ知識証明はより低いオーバーヘッドの構成を提供する。

機密給与支払いと二者間決済はしきい値FHEのアーキテクチャに適合する。継続的なマーケットにおける注文フローのプライバシーはそうではなく、現行の制約下でこれを実装しようとすれば、信頼されたオペレータか構造的なレイテンシのいずれかを持ち込むことになる。

## この論旨が崩れうる箇所

主要な未解決の問いは、暗号技術というよりも運用に関わるものだ。しきい値委員会の構成とガバナンスを文書化することで、復号が複数の法域にまたがるオペレータに依拠しているのか、それとも集中したグループに依拠しているのかが明らかになるだろう。トランザクション送信から読み取り可能な出力までのレイテンシを測定する独立したメインネットのベンチマークは、実際のスループットを明確にするはずだ。OpenZeppelinによるERC-7984実装の監査報告書は、クランプされた送金処理とアクセス制御のセマンティクスが敵対的なシーケンシングの下でも成立するかどうかを裏付けることになるだろう。

経済的な要因も同程度の精査を要する。コプロセッサの計算能力は希少な資源であり、ベースの決済市場の外側で価格付けされる。手数料メカニズムが形式化されるまで、混雑の力学は特徴づけられないままだ。負荷がかかると復号レイテンシが急上昇する機密性レイヤーは、アカウントの残高を一時的に読み取れなくしてしまうリスクを抱える。

導入の指標は、単発の送金量ではなくプロトコルとの統合によって評価すべきだ。既知の当事者間での機密送金は、この規格の基本的な実行パスを示すにすぎず、一般的なコンポーザビリティを示すものではない。注視すべき重要なマイルストーンは、ERC-7984との統合を前提とせずに開発されたレンディングマーケットやAMMのような、改変されていない第三者製のプロトコルが、本番環境で暗号化された残高に対して価格付けと決済を行うことだ。その統合が実証されるまで、暗号化された残高は開かれたDeFiアーキテクチャの中というよりも、限定された多者間ワークフローの内部で主に機能することになる。