作者：Mario Chow，IOSG Ventures
要約
パブリックチェーンは、すべての取引金額を白日の下に晒している。本物のバランスシートが登場するまでは、それは問題ではなかった。これに対するアプローチは三つある。独自のプライバシーネットワークを構築する方法。Zcash、Monero、Canton がそうだ。イーサリアムにプライバシーを後付けする方法。最初に Tornado Cash、次に Railgun、そして Zama へと続く。あるいは、データをそもそも公開しない方法——これもまた Canton だ。
いずれも、秘匿性と引き換えに機能性を手に入れている。すべてを隠し、かつすべてを滞りなく動かせるものは、誰もまだ実現できていない。
需要は本物であり、データでも裏付けられている。JPモルガンは2024年に暗号化された機関金融が機能することを検証し、2026年には自行の預金トークンをCanton上で発行した。サンドイッチ攻撃を受けたスワップは、0.3%から0.8%を吐き出すことになる。機関投資家の現物OTC取引量は前年比109%増加した一方、同期間の上位20取引所の伸びはわずか9%だ。機関投資家の40%は、取引の半分以上をスクリーンの外で約定させている。
しかし、プライバシーはセキュリティの向上とイコールではない。攻撃対象に選ばれる確率は下げられるが、いったん標的にされれば全く役に立たず、事が起きた後の追跡はむしろ難しくなる。おまけに、Zcashには無からコインを鋳造できる脆弱性が4年間も隠されていた。
資金は資産にあり、サービスにはない。プライバシー系トークンには約250億ドルが張り付いている。このセクター全体のプロトコルが一年間に稼ぐ手数料は、合計でわずか約600万ドルだ。MoneroとZcashがこれまでに得た収益は合計300万ドル。Zamaはすでに5億9500万ドルを自らの境界を越えて移動させているが、推定される収入は840ドルから8万4000ドルだ——ベーシスポイントではなく、ビット単位で課金しているからだ。
結論は依然として強気だ。需要は検証され、テクノロジーはもはやボトルネックではなく、2027年7月以降の規制は市場を監査可能なプライバシーへと押しやるだろう。欠けているのは価格だけであり、これは本稿全体で最も解決しやすい問題だ。したがって、この取引は、最終的に課金する勇気を持つ者に賭けるべきだ。
何が問題か：公開台帳が、公開すべきでないものまで公開してしまう
ブロックチェーンは、誰が何を所有しているかを記録する共有台帳である。ネットワーク内の各マシンは全く同一のコピーを保持し、すべての支払いがすべてのコピーに書き込まれる。何が真実かを裁定する中央機関は存在せず、誰でも自分で台帳を検証できる。見知らぬ者同士が信頼なしに利用できるのは、まさにこの点による。
その代償として、この台帳は誰に対しても開かれている。あなたの口座はアドレスと呼ばれ、つまるところ文字と数字の長い羅列だ。誰でもそのアドレスをブロックエクスプローラーのような無料サイトに貼り付ければ、その生涯を読み取ることができる。何を保有し、誰に支払い、いくら支払い、どの瞬間に支払ったのか。ログイン不要、許可不要、そして退出も不可能だ。
▲ ブロックエクスプローラー。すべてのアドレス、すべての金額が、誰でも、永遠に読み取れる。
十年近く、これは大きな問題ではなかった。チェーン上の資金は少なく、利用者も偽名だったからだ。本物のバランスシートが参入してくると、もはや無害では済まなくなった。
公開台帳が実際に何を公開しているのか考えてみよう。オンチェーンで給与を支払う企業は、給与明細を公開しているに等しい。未決済ポジションを保有するファンドは、ポジション、エントリー価格、そして清算される価格を公開している。サプライヤーに支払いをする企業は、サプライヤーリストと支払サイトを公開している。そして、大口残高を保有する個人は、自分が強奪に値する存在であることを示す数字を公開している。
これが理論上の問題から喫緊の課題へと変わった要因が二つある。一つはステーブルコインで、設計上1ドルにペッグされ、銀行の現実のドルで裏付けられたトークンであり、現在その取引量は膨大だ。もう一つはトークン化された現実資産（RWA）、すなわちトークン化された債券、ファンド、不動産であり、規制対象機関を伴って参入しつつある。これらのユーザーは、「誰でも金額が見えること」を参加条件として受け入れることはありえない。
したがって、問題は単純だが解決は難しい。どうやって数字を隠しながら、何千もの見知らぬ者たちに不正がないことを検証させるのか？
実際に誰が金を払っているのか：損失をベーシスポイントで計算できる者たち
プライバシーには常に一定のレトリックがつきまとってきた。監視は悪であり、自由は善である、云々。しかし、レトリックは製品を養わない。2025年から2026年にかけて本当に変わったのは、公開台帳から情報が漏れることで、特定の者たちが具体的な金を失い始め、そして彼らが購入する対象を探しに来たことだ。
監視を嫌う者を見るのではなく、公開台帳が繰り返し誰に金を払わせているかを見るべきだ。そして、その金がプライベートな台帳に置き換えられるかどうかを見るのだ。
▲ チェーン上のプライバシーに誰が支払うか。損失のオンチェーン度合いと、それを止めるためにお金を払っているかどうかをプロットした図。
トレーダー：自らの注文フローにフロントランされ、損失がベーシスポイントで計算できる
あなたの取引は約定する前に公開キューに横たわっており、ボットがそれを読み取り、あなたより先に買い、あなたの約定に売りつける。これがサンドイッチ攻撃だ。2025年10月までの1年間で、イーサリアム上では約95,000回発生し、約6,000万ドルが抜き取られ、サンドイッチにされたスワップは0.3%から0.8%の損失を被った。
ここでの買い手はプロのプレイヤーであり、損失はベーシスポイントで明確に計算できる。だから、この場面でプライバシーが売っているのは信念ではなく、執行の質だ。
永久先物プラットフォーム上の公開ポジション：露出は継続的
ポジションを持っている場合、露出が連続的であるため、サンドイッチよりも状況は悪い。永久先物取引所のすべてのポジションは公開されており、清算価格さえも見える。誰でも価格をそこへ押しやることができる。Hyperliquidだけでも、2026年4月の月間取引高は約4,320億ドルに上る。
プラットフォームの反応は商業的なもので、イデオロギーではない。Asterは隠し注文をリリースし、ParadexとHibachiはポジションのプライバシーを販売し、Zamaは2026年7月にConfidential RFQ（秘匿見積依頼）をプライベートテストに投入した。これについては第6節で詳述する。
ラベル付けされ、それでも売却しなければならないウォレット：需要は最も強いが、最も議論されていない
ファンドのアンロック持ち分が特定のウォレットにあり、ArkhamとNansenがすでに実名ラベルを貼っており、アンロック日は誰でも調べられる。資金が動けば、市場はそのウォレットに先んじて動き、次の四半期も同じことが繰り返される。
この収益はすでに存在しているが、他へ流れているだけだ。2025年末までの1年間で、機関投資家の現物OTC取引量は109%増加したが、上位20取引所の伸びは9%にとどまった。機関投資家の40%がOTCを優先執行場所として挙げ、取引の半分以上がスクリーンの外で執行されている。一本の電話でサービスできる市場は、こうして生まれた——公開の場では漏れてしまうからだ。
コピーされる戦略：ほとんどの人はこれに金を払っていない
コピートレードツールは、収益性の高いアドレスを数ブロック以内に複製できる。その結果、トレジャリー・マネージャーのリバランス判断は数週間かけて徐々に減衰するのではなく、執行の瞬間に死ぬ。これは政府から逃れることではなく、同じダッシュボードを見張っている他の12人の同業者から逃れることだ。これを防ぐために金を払う人はほとんどいない。それがまさに、この象限が興味深い理由である。
パブリックチェーンに移行された規制対象台帳：需要は本物だが、許可型レールに吸収されている
300億ドル以上のトークン化された現実資産がパブリックチェーン上に存在するが、銀行が自らのポジションをリアルタイムで公開することはありえない。では、銀行はこれを本当に望んでいるのか？一つのケーススタディが、両方の方向に対する答えを提供している。
2024年11月、JPモルガンのブロックチェーン部門は自社のサンドボックス内でProject EPICを実行した。ZamaのfhEVMをベースに、暗号化されたファンド申込、ブラインドオークション、暗号化された数値上での直接決済をデモンストレーションし、その設計上、JPモルガン自身さえも詳細を見られなかった。しかしそれはサンドボックスであり、Zamaも数あるベンダーの一つに過ぎなかった。2026年1月にJPモルガンが実際に預金トークンを発行する場所を選んだ際、彼らが選んだのはCanton、つまり許可型ネットワークだった。
したがって、機関の需要は本物で文書化されているが、それを吸収しているのはパブリックチェーンの暗号技術ではなく、許可型レールなのだ。
ツールボックス：秘密をどこに置くかだけが違う、四つの秘匿手法
このセクターのすべてのプロジェクトは、これら同じ四つのアイデアのうちの一つか二つを組み合わせて作られている。それらを本当に区別する問いはシンプルだ。秘密はどこにあるのか？
▲ 四つのプリミティブ。秘密が実際に存在する場所によって分類。
代償はかつてスピードであり、これこそが本稿で最も早く陳腐化する部分である。何年もの間、FHEに対する公正な批判は、それが毎秒20件程度のトランザクションしか処理できず、通常のチェーンは数千件を処理できるというものだった。このギャップはほぼ埋まり、それも当事者たちが予想していたよりも早く埋まった。
どの単一手法も全面的に勝ることはない。実際の製品は二つを組み合わせて使用する。速度のために密封チップを用い、さらにチップが不正をしていないことを証明するゼロ知識証明レシートを添える。あるいは、隠された状態を保存するためにFHEを使い、入力の検証にはゼロ知識証明を使うのだ。
さらに第5の選択肢がある。いっそ暗号技術を迂回し、データを閲覧権限のある者にだけ送信する方法だ。それがCantonであり、銀行に好まれている理由でもある。
第一の答え：最初からネットワークを完全なプライベートとして構築する
最も初期の試みは、既存のネットワークにパッチを当てるのではなく、「隠す」ことを中心にネットワーク全体を設計するというものだった。この道では2つの通貨が先行しているが、その賭け方はまったく正反対だ。3つ目の事例は銀行向けに作られたもので、個人向けではないが、同じ系統に属する。
Zcash：プライバシーはスイッチであり、それが10年にわたる弱点だった
Zcashは独自のチェーンであり、基本的にはビットコイン式のデジタルキャッシュにプライベートモードを追加したものだ。アドレスは2種類ある：トランスペアレントアドレスはビットコインと全く同じで、すべてが露出する。シールドアドレスは送信者、受信者、金額を隠す。資金をプライベート側に移すことをシールディング（shielding）、取り出すことをデシールディング（deshielding）と呼ぶ。
隠蔽作業はzk-SNARK（ゼロ知識証明のコンパクトな形式）が行う。シールドされたZECを使用する際、ウォレットは非常に短い証明を発行し、その支払いの帳尻が合い、コインが二重使用されていないことを示す。ネットワークを維持するマシンはこの証明を検証し、受け入れる。その間、誰が誰にいくら支払ったかは一切分からない。
その後のすべてを定義づけた設計上の選択がある：プライバシーはオプションであり、トランザクションごとに選択できる。これは一見使いやすそうだが、同時に弱点でもある。なぜなら、隠れるためには人数の多さが重要だからだ。仮面舞踏会で自分だけが仮面をかぶっているようなもので、それでは仮面の意味がない。Zcashの歴史の大半において、ZECの大部分はトランスペアレントプールに滞留しており、プライベートな集団は常にごく少数だった。
多くの人はZcashを一つのものとして捉えているが、実際には4つのプールから成る。誰が誰だかを見分けることは、第8節の2026年の脆弱性を理解する上で不可欠だ。一般的な要約としては、Sproutはプライベート通貨の実現可能性を証明し、Saplingはそれを利用可能にし、Orchardはトラステッドセットアップへの依存を解消した。
▲ Zcashの10年間におけるシールドプール、下部はシールド比率、各インシデントをマーク。
Zcashについてもう一つ知っておくべきことがある。それは、使用する理由というより保有する理由だ：シールドされたZECには履歴がない。コインが一度プールを通過すると、もはやいかなる痕跡も残さず、すべての単位は他の単位と交換可能になる。この特性をファンジビリティ（代替可能性）と呼ぶ。これはコンプライアンス部門がトランスペアレントチェーンで本当に頭を悩ませている問題だ――トランスペアレントチェーンでは、3人の保有者を遡った時点で犯罪に使用されたコインを受け取ってしまい、その面倒ごとまで引き継いでしまう可能性があるからだ。
Monero：プライバシーはデフォルトで有効、スイッチ自体が存在しない
Moneroも独自のチェーンであり、その選択は正反対だ：公開モードは選択肢として存在しない。すべての支払いは誰に対してもプライベートであるため、参加すべき小さなプライベートプールも存在しない――チェーン全体がその集団そのものだ。
ごく最近まで、Moneroはzk-SNARKではなく3つのツールに依存していた。リング署名は、本物のコインをおとり（デコイ）の中に混ぜて送信者を隠す。観察者は16の可能な送信元を見るが、どれが本物かは分からない。ステルスアドレスは支払いごとにまったく新しいワンタイムアドレスを生成し、受信者を隠す。RingCTは金額を隠す。
▲ Moneroが送信者、受信者、金額を隠す方法。
2026年初頭、Moneroは大規模なアップグレードであるFCMP++を実装し、リング署名をゼロ知識メンバーシップ証明に置き換えた。実際の効果はこうだ：隠れている集団は、16のおとりから、そのチェーン上の歴史上すべての支払い、すなわち1億5000万件以上へと拡大した。
▲ FCMP++後のMoneroの匿名セット。
Canton：何も隠していない、何も共有していないから
この系統の3番目のメンバーは通貨ではない。そのため、プライバシー研究では見落とされがちだ。しかし、2026年の機関投資家による最大の意思決定はここで行われており、見落とすのは誤りだ。
ZcashとMoneroは「台帳は全員にブロードキャストされる」という前提を受け入れ、暗号技術を用いてその内容を隠す。Cantonはこの前提そのものを否定する。Cantonには、全員が検証しなければならない共有台帳は存在しない。各参加者は、自分が当事者となる取引の部分だけを受け取る。これはDamlと呼ばれる言語によってコントラクトレベルで強制される。関係なければ、そのデータを受け取ることは決してなく、その取引が発生したことを知ることも決してない。Global Synchronizerと呼ばれるコンポーネントが順序付けと有効性の確認を担当するが、内容を見ることはできない。
▲ パブリックチェーンとCanton上での同じ3つの支払い、誰がどの行を受け取るかを示す。
つまり、秘密は「決して送信しない」ことによって保護され、閲覧権限のある者は平文を読む。注意すべきは、これが第3節の4つのツールを一切使用していないことだ：ゼロ知識証明もFHEもない。長らく混同されてきたが、MPCもない。Damlは「マルチパーティアプリケーション（multi party applications）」のための言語と自称しており、マルチパーティ計算（MPC）のように聞こえるが、意味は全く異なる。整合性は暗号技術によって担保される：各参加者は、自分が読めない分岐の代わりにハッシュを受け取る。機密性は純粋に「誰に何が送信されたか」という問題だ。
検証プロセスの逆転は興味深い。イーサリアムでは、すべてのバリデータがすべてのトランザクションを再実行するため、誰もがすべてを見なければならない。Cantonでは、取引の当事者自身が検証し、各当事者は自分の分岐のみを再実行し、投票する。アービトレーター（仲裁者）が確認ポリシーに従って票を集計するが、見えるのはハッシュだけだ。したがって、結託を検出するためのグローバルな再実行は存在しない。慰めはこうだ：すでにあなたのコントラクト内部にいる当事者だけが、あなたを害することができる。
JPモルガンはJPM Coinにこれを選択し、2026年1月に発表、年間を通じて段階的に導入を進めた。その理由は理念ではなく実用性だ。プライバシーはデフォルトで有効で、「群衆の規模が十分か」を心配する必要はない。共有プールがないため、第8節で取り上げたサークルのような凍結はここでは発生し得ない。各参加者は身元が確認された法人であり、規制対象銀行にとってこれは譲れない要件だ。決済はアプリケーション間でアトミックである。ゴールドマン・サックスやBNYメロンなど、同業他社もすでに参加している。
Cantonが放棄したものも同様に確かなものだ。パーミッションレスなコンポーザビリティ（相互運用性）はなく、流動性は壁で囲まれている。プライバシーは数学ではなくアクセス制御の上に構築されているため、閲覧権限を持つカウンターパーティはすべてを見ることができ、侵害された参加ノードは情報を漏洩する。Cantonは検閲耐性がない――これは銀行にとっては機能であり、これらすべての当初の目的にとっては失格事項だ。すべてが正常であっても、漏洩するものが3つある：お釣りの金額（トークンモデルの書き方次第）、あなたの参加ノードを誰がホストしているか、そしてシーケンサー（順序付け機構）が見る「誰が誰にメッセージを送信しているか」だ。
Canton Coin（ティッカー：CC）は、2024年7月にGlobal Synchronizerメインネットと共にローンチされ、アプリケーションおよびインフラストラクチャの手数料の支払いとネットワーク運営者への報酬に使用される。プレマインやプレセールはなく、最初の10年間で約1,000億枚が鋳造可能だ。2026年7月下旬時点で価格は約0.12ドル、時価総額は48億ドル近くに達しており、すでにトップ20に入る資産となっている。
この数字は立ち止まって考えるに値する。これはセクター全体を再定義するものだ。銀行向けに作られた許可型ネットワークのトークン価値は、Zamaの約35倍に相当する。
三者を並べて見る
この論点を裏付けるには3行で十分だ。2つの通貨はどちらも、あなたの取引金額を誰からも隠せるが、たった1つのアプリケーションすら実行できない。Cantonはアプリケーションを実行でき、取引金額をカウンターパーティ以外の誰からも隠せる。そしてCantonは隠れるための群衆を必要としない。そもそも共有台帳が存在しないからであり、これによってZcashを10年間悩ませてきた弱点を回避している。
両方を兼ね備えたものは、まだ誰も作り出していない。第6節の最後に、このトレードオフがいかに一貫しているかを示す図がある。
プライバシーコインが道を失った場所：それは機能するが、孤島に生きている
プライバシーチェーンは自らの本分をうまく果たしているが、それは孤島に住んでいるのだ。
まず現実的な摩擦について話そう。それは独立したチェーンであり、独立したトークンを伴い、資産をそこに移動させ、再び取り出さなければならない。しかし、人々が実際に取引しているドルや、実際に使用しているレンディングプロトコルは、すべて反対側――イーサリアムやSolana上にあるのだ。
とはいえ、この島はもはや以前ほど孤立していない。第二の解決法もある。「プライバシーをイーサリアムに移す」こととは全く関係なく、プライバシーチェーンをその場所に残したまま、単にアクセス可能にするというものだ。
▲ 中央集権型取引所を経由する場合と経由しない場合の、シールドされたZECの購入。
NEAR Intentsが行っているのはまさにそれであり、Zcashが2025年に復活を遂げる大きな理由のひとつでもある。自分が欲しいものを宣言する。たとえばビットコインをZECに換えたい、と。すると、互いに競争し合うソルバーネットワークが、どうやってチェーンをまたいでそれを完遂するかを計算し、あなたは一度だけ署名すればよい。Zcash独自のウォレットがこの仕組みを取り込んでおり、ユーザーは別のチェーンからシールドされたZECを購入したり、売却したりすることができ、その過程で中央集権型取引所に一切触れず、自分のZcashアドレスをさらすこともない。
2026年3月時点で、NEAR Intents経由のZEC累計取引量は15億ドルに達し、そのうち6億ドルはウォレット組み込みのスワップ製品（2025年10月ローンチ）によるものだ。
したがって孤立問題は実在するが、それは壁ではなくスペクトラムであり、競合する二つの解決策がある。すでにお金がある場所にプライバシーを持ち込む方法（これが本稿の残りの内容）、あるいはプライバシーをその場所にとどめ、周辺パイプラインを整備する方法で、こちらはより安価ですでに進行中だ。
さらに大きな限界がある。これらのチェーンはお金しか扱わない。スマートコントラクトが存在せず（Cantonを除く）、スマートコントラクトとは、チェーンに送金以上のことをさせる小さなプログラム——貸し出し、借り入れ、利払い、マーケットの運営——のことだ。プライベートな現金を保有し、送ることはできる。それを運用して利回りを得ることも、担保にすることも、既存の仕組みに接続することもできない。
プライバシー自体にも代償が伴い、ZcashとMoneroはその半分ずつを支払っている。Zcashは秘匿をオプションにしたため、ユーザーは「わざわざ手間をかける人々」の規模にとどまった。Moneroは秘匿を強制したため、業界で最強の匿名セットを作り出したが、その代わりに規制対象の取引所から排除された。2027年から欧州規制がさらに一段強化され、この点は第9節で再び取り上げる。
第二の答え：人々がすでに使っているチェーンにプライバシーを後付けする
もう一つの考え方は、引っ越しをそもそも行わないというものだ。資金もアプリもイーサリアム上に置いたまま、その上に秘匿レイヤーを追加する。新しいチェーンも、クロスチェーンブリッジも、新しいウォレットも不要だ。
これまでに三世代がこの試みに挑戦し、それぞれの世代は前の世代ができなかったことを動機として存在している。順を追って読めば、その順序自体が論旨となる。
第一世代：Tornado Cash、そして「ミキサー」が蔑称となった経緯
これを両替窓口だと考えてほしい。固定額（0.1、1、10、100 ETH）をプールに預けると、秘密の証憑を受け取る。その後、全く新しいアドレスに引き出す際、ゼロ知識証明を用いてプール内の未使用預金のいずれかを所有していることを示すが、どれかは明かさない。古いアドレスと新しいアドレスの関連性は断ち切られる。あなたの匿名セットは、同じ額面を預けた他の全員となる。
プロダクトはそれだけだ。資金は中で動かず、利子も生まず何もしない。固定額面のため任意の金額を送ることもできない。これは関連性を一つ断つだけで、プライベートな残高を提供するものではない。
結末は技術面ではなく法的なものだった。OFACは2022年8月にこれらのコントラクトを制裁指定した。2024年11月、第5巡回区控訴裁判所は、誰も管理しない不変のコントラクトは誰の財産でもないとして、OFACの越権行為と認定し、コントラクトは2025年3月に制裁リストから外された。そして2025年8月、開発者Roman Stormは無許可の資金送金事業を共謀して運営したとして有罪判決を受け、陪審はマネーロンダリングと制裁違反の罪で評決不能となり、検察は再審を求めた。
コードは勝ったが、開発者は勝てなかった。この結果は、この節の他の箇所で気づくであろう一つの事実を説明している。後継の二者は両方とも、自らはミキサーではないとことさら強調している。この言葉は法的な役割を果たしていて、技術的なものではない。
Tornadoにはさらにもう二つの特徴があり、その後のあらゆるものに引き継がれた。あなたの匿名セットは同じ額面を預けた人々だけであるため、異常なサイズやタイミングの引き出しは自らを脱匿名化してしまう。これはZcashユーザーを台無しにしたのと同じ行動レベルの失敗だ。もう一つ、正直なユーザーには自らの潔白を証明する手段が一切ない。クリーンな資金がプールから出てくると、盗まれた資金と全く同じに見えるため、取引所はそのアドレスからのすべてを汚染されたものとして扱わざるを得ない。
Tornadoができなかったこと、それが次に登場するものの存在理由のすべてだ。Tornadoが隠すのはあなたの履歴であって、保有ポジションではない。お金の出所をぼかすことはできるが、プライベートな残高を保有することはできない。プールの中に資金が留まり、何もしないからだ。
第二世代：Railgun、実際に使えるシールドプール
Tornadoが両替窓口なら、Railgunはイーサリアム上にあり、外部への支払いもできるプライベートな銀行口座だ。イーサリアム（ならびにArbitrum、Polygon、BSC）上のプールにトークンをシールドすると、プール内部ではゼロ知識証明により送信者、受信者、金額が秘匿される。
RailgunとTornadoの違いは正確に述べる価値がある。人々はしばしば両者を混同するからだ。Tornadoは固定額面のみを受け付け、一度限りで、新しいアドレスに同額を戻す。Railgunはサポート対象の任意のトークンを任意の金額で受け付け、継続的なプライベート残高を維持し、シールド内で別のRailgunユーザーに支払ったり、アンシールドせずにUniswapなどに触れたりできる。Tornadoの匿名セットは同一額面の他の預金者だが、Railgunの匿名セットはそのチェーン上のプール全体だ。
最も明快な理解はこうだ。RailgunはZcashのシールドプールをスマートコントラクトで再構築し、すでにドルとアプリが存在するチェーン上に構築したものだ。このためRailgunのプライバシーはZamaよりも強力で、グラフ上の数字だけでなく、取引グラフそのものを隠すからだ。
ただし、「DeFiへのアクセス」が具体的に何を意味するかには重要な留保がある。RailgunがUniswapでスワップを支援する際、金額をアンシールドし、公開チェーン上で平文のままスワップを実行し、その出力を再びシールドする。これらすべてをアトミックな1回のトランザクションにまとめる。したがってトレード自体は公開されており、隠されるのは「それがあなたである」ことだ。Railgunが匿名化するのは行為者であって数値ではない。つまりサンドイッチ攻撃からは守ってくれない。ボットは待機中のスワップとそのサイズを認識し、その背後に誰がいるかは気にしない。
さらに、Tornadoの致命的な欠落から直接生まれた、より洗練されたコンプライアンス上の回答も備えている。Private Proofs of Innocence（私的無罪証明）により、ユーザーは自分の資金が既知の不正リストに由来しないことを示すゼロ知識証明を生成できる。その際、資金の出所を明かすことなく、1時間の遅延を代償とする。したがって、プライバシーを保ちながら、盗人ではないと証明できる。これはTornadoでは決して許されなかったことだ。
実際の利用はRailwayと呼ばれるウォレットを通じて行う。シールドし、取引し、出たくなったらアンシールドする。Vitalik Buterinは2023年に公然とこれを使用し、概ねこの形のコンプライアンス・ソリューションについて発言しており、このアプローチの信頼性を高めるばかりだ。
ここから先は、この節の残りを少し冷静に見るための材料だ。Railgunは4チェーンで合計9,000万～1.1億ドルをシールドしており、累計シールド取引高は約51.6億ドル、プロトコル収入の累計は1,300万ドルで、そのうち460万ドルが過去1年間のものだ。Zamaの保有額は3,960万ドル、2026年上半期の取引高は4.52億ドル。単純比較はできない——Railgunは2021年にローンチしており、Zamaのメインネットは2025年12月に始まったばかりだ——しかし方向性は明確だ。入手可能などの数字を見ても、ゼロ知識の既存プレイヤーはFHEの新規参入者より大きく、しかもすでに収益を上げている。
指摘すべき弱点が二つあり、どちらもあまり語られない。プールがすなわち匿名セットであるため、RailgunはZcashの構造的問題をそっくり引き継いでいる。約1億ドルのシールド規模において、匿名セットはまずまずではあるが厚みはなく、薄まればプライバシーは弱まる。さらに悪いことに、4つのチェーンに展開したことでそのセットが4つに分割され、匿名セットに求められる方向とは正反対になってしまった。第二に、手数料はRailgun DAOのトレジャリーに流入し、トークンに直接還元されるわけではない。したがってRAILを保有することと、プロトコルの経済的利益を保有することは、別の取引となる。
では、なぜ第三世代が存在するのか？それは見落としがちな制約のためだ。Railgunはあなたの保有を隠せるが、二人の保有が出会うことは決してない。ゼロ知識証明が証明するのは、あなたがすでに持っているデータに関する事実であり、他者の秘匿された状態の上で計算することはできない。ブラインド入札オークションも、暗号化されたオーダーブックも、自分では読み取れない預金の上で計算を行うボールトも存在しない。この欠落こそが、これ以降のすべての理由である。
第三世代：Zama、そしてすでに保有しているドルをラップする
通常のUSDCをcUSDCにラップする。同じドルだが、残高が暗号化されている。ERC-20はイーサリアム上のあらゆる通常トークンが従う標準レシピであり、ERC-7984は同じレシピで、残高だけを隠す。ラップ時に少額の手数料を支払い、いつでも通常のUSDCにアンラップできる。
▲ USDCをcUSDCにラップする
👁️
Zamaが隠すもの、隠さないもの。暗号化されるのは二つ、各送金の金額と、あなたのリアルタイム残高だ。残高のほうがより大きな戦利品だ。通常のUSDCでは、誰でもあなたが420万ドルを保有していることを永久に見ることができるが、cUSDCではその数字は永遠に読み取れない。
依然公開されるのは、あなたのアドレス、相手のアドレス、そして時刻だ。コントラクトは誰の残高を更新すべきか知る必要があるため、アドレスは平文に置かれる。取引グラフは丸ごと残る。Zamaが隠すのは辺に書かれた数字であり、辺そのものではない。
現実的な帰結は率直に述べる価値がある。ここが最も楽観的な方向に誤読されやすい部分だからだ。cUSDCで30人の従業員に給与を支払っても、誰もがあなたがその30のアドレスに、いつ支払ったかを見ることができる。あなたが隠せるのは給与額であって、雇用の事実ではない。サプライヤーも同様だ。隠せるのは支払条件であり、サプライヤー名簿ではない。機密性の高いものが「数量」であるとき、Zamaはあなたを守る。機密性の高いものが「関係」であるとき、その効果はごく小さい。
一つの例外があり、それは暗号学的なものではなく構造的なものです。中間にコントラクトが存在する場合（保管庫やRFQがこれに該当します）、オンチェーンではあなたがコントラクトと対話していると表示され、取引相手と対話しているとは表示されません。プライバシー保管庫に入金すると、誰があなたの資金を借りているのかは明らかになりません。一方、直接誰かに送金すると、誰に送金したかが明らかになります。
アンロックせずに計算する
Zamaはイーサリアムと他の互換チェーンにプライバシーレイヤーを追加しており、Solanaも計画中である。これを可能にしているのが第3節で述べたFHEの考え方だ。ネットワークはあなたの資金が十分であることを確認し、その後2つの残高を更新するが、その過程で一切の数字を見ることができない。FHEにより、ロックされた箱に対して直接加減算を行い、ロックされた答えを生成することができる。
これはまさにプライバシーコインができないことだ。ゼロ知識証明は自分自身の支払いの有効性を証明できても、他人の隠された残高に対して新たな計算をすることはできない。FHEならそれが可能だ。
▲ FHEがロックされた箱に対してどのように計算するか
マスターキーを保持する者はいない
最も直接的な懸念は、どこかのある企業がすべてをアンロックできる鍵を握っているのではないかということだ。Zamaの答えは、そうした完全な鍵をいかなる一箇所にも存在させない、というものだ。
18のオペレーターがこのシステムを動かし、2種類の役割を担う。5つのコプロセッサが暗号化された算術を実行する。13の鍵保有者（総称KMS）はそれぞれ鍵の断片のみを保持し、いかなるものも復号される前に、13のうち少なくとも9の参加が必要となる。ゲートウェイはタスクを割り当て、オペレーター間の合意を検証する。ZAMAトークンは入力検証と復号の手数料の支払いに使われ、オペレーターはそれを担保としてステークし、不正があれば没収される。
▲ Zamaを運営するのは誰か
これは事故ではなく、仮定である。「マスターキーを保持する者はいない」というこの言葉は、2つの条件に支えられている。13の鍵保有ノードのうち悪意あるノードが3分の1を超えないこと、そしてこれらのノードが稼働するAWS Nitroエンクレーブが本当に安全を守れることだ。2つ目の条件はハードウェアへの信頼に属する。
すでにローンチされた例：Morpho上のプライベート利回り
この一連の技術を初めて使用した製品は、貯蓄ボールトである。ボールトとはプールであり、預金を受け入れ、資金を貸し出し、預金者に利息を支払う。
あなたはUSDCをシールドしてcUSDCとして預け入れる。それは直接入らず（そうすると着金と同時にあなたの額が露見する）、他人の預金とともに約1日かけてキューイングされ、1つのバッチにまとめられる。このバッチがクローズされるとき、ネットワークはこのバッチの総額のみを復号し、個々の預金額は決して復号されない。そして、このまとまった金額をMorpho上のSteakhouseのPrime USDCボールトに投じる。そのボールトは通常の公開された監査済みのもので、利率は約4%、別途ローンチ報酬が加わる。あなたはその暗号化されたシェアと、あなたの利回りを受け取る。
これはミキサーではない。何かが混ぜられたり、迂回させられたり、仲介者を通じて洗浄されることは一切ない。資金は、誰でも調べられる公開ボールトに入る。唯一隠される事実は、誰がいくら出したかだ。代償として、あなたのプライバシーはあなたが属するバッチと同等の質に過ぎず、そのためシステムは同行者が十分に集まるまで処理を開始しない。
▲ Morpho上のプライベート利回り
2つ目のローンチ済み製品：秘匿された大口取引
ボールトが隠していたのはあなたがいくら預けたかだ。次の製品が隠すのは、あなたがどれだけ取引したかであり、ビジネス的により興味深いのは後者だ。
まずそれが対象とする問題を見ると、この規模感の試算は本稿で最も強力な需要の論拠である。大口取引はパブリックチェーン上で発生せず、OTCディスク上で発生している。その方向性にもデータがある：2025年末までの1年間で、機関投資家の現物OTC取引高は109%増加し、上位20取引所はわずか9%の増加、40%の機関がOTCを第一の取引場所として挙げている。伝統的市場との類推は広告ではなく、公正なものだ：米国株式では既に出来高の約59%が公開取引所の外で成立しており、ダークプールだけでも2026年第1四半期に40.3%という記録を打ち立てた。これらの場が存在する唯一の目的は――手の内を見せずに大口注文を成立させることだ。
したがって、この製品の根底にある洞察は正しい。私たちは10年かけてプログラム可能で検証可能な取引インフラを構築してきたが、機関投資家は結局のところ大口取引をTelegramのグループで交渉している。なぜなら、それがフロントランニングに遭わない唯一の方法だからだ。
ここから、実際の取引ペアを使って数字を交えながら一連の仕組みを見ていく。あなたが100万ZAMAを保有しており、すでにcZAMAにシールドされていて、それをドルに換えたいと仮定する。仲値（ミッドプライス）を0.25ドルとすると、あなたが売ろうとしているのは約25万ドル分で、このトークンのシールドされた流通量は合計で600万ドルに過ぎない。これらの数量は例示のための整数であり、実際の約定ではない。比率こそが重要だ：公開取引所において、その程度の流通量に対するこのような注文は、ボットにとっては格好の餌食である。
▲ 100万cZAMAの売却、ディーラーによるクォートと、どの項目を誰が読めるかの表付き
最初のステップでのちょっとしたトリックは立ち止まって見る価値がある。これは設計全体の中で最も巧妙な部分であり、しかもコストがかからない。あなたが送信するのは1つのトランザクションではなく2つだ：実際に売りたいcZAMAと、金額ゼロのcUSDCのレッグ（脚）である。両方の金額は暗号化されており、観測者は方向が逆でサイズが未知の2本の脚を見るだけで、これが売りか買いか区別できない。「あなたがどの資産を取引しているか」を隠す原理も同じで、公式は後続バージョンでの実装を約束している。
興奮する前に、その図の右側の列を読んでほしい。そこがまさに宣伝とメカニズムが分かれる地点だからだ。公開されたフロントランニングボットは確かにあなたの注文を見ることができないため、サンドイッチ攻撃は消滅する。しかし、ホワイトリストに登録されたマーケットメーカーはあなたの意図を復号でき、あなたの注文サイズも見える。彼らはあなたの売り買いの方向は見えない（これが巧妙な部分で、お互いのクォートも見えない）。その後、勝者が方向を知らされ、決済を完了する。したがって、最終的には1つのプロのマーケットメーカーがあなたの取引全体を知り、ごく少数がリアルタイムであなたの注文サイズを知ることになる。これはOTCディスクの信頼形状であり、匿名性の場のそれではない。
技術選定を正当化するのは3つ目のステップだ。いずれの側も復号することなく、暗号化された2つのクォートを比較し、より高い方を選び出すことは、FHEができてゼロ知識証明ができないことである。
進捗は正確に述べるべきだ。これは招待制のプライベートテストで、3つの取引ペアが開かれている：cUSDT/cUSDC、cZAMA/cUSDC、cSteakcUSDC/cUSDC。公開ローンチは2026年9月を予定しており、その後マルチチェーン対応となる。現在のところ、意味のある取引量はまだない。
3つ目の取引ペアこそがビジネス的に重要なものだ。これにより、運用者は利回りを生むボールトのポジションに、アンシールド（秘匿解除）も償還期間を待つこともなく、出入りできるようになる。ストラテジー間のローテーションこそが、多くのアロケーターが本当に利益を上げている部分であり、ローテーションを漏らすことが、彼らが損をする方法なのだ。
中には一体何が入っているのか、そしてそれが何を語っているのか
Zamaは四半期ごとにシールドされた価値の内訳を公開しており、この分解はヘッドラインの数字よりはるかに情報価値が高い。
▲ 2026年6月30日までのアセットクラス別Zamaのシールド価値、取引量を併記
目を引くことが4つあり、そのうち良い話は1つだけだ。
ボールトは単独で最大のカテゴリーで、1880万ドルであり、ステーブルコインの1410万ドルを上回っている。したがって、最初に実際に現れた需要はプライベートな支払いではなく、リターンを得たいが自分のポジションサイズを公開したくない、というものだった。
Zama自身のトークンをトークンカテゴリーから差し引くと、ほとんど何も残らない。680万ドルのうち600万ドルはcZAMAだ。プロトコルが自らのトークンをシールドしたところで、市場にトークンをシールドする需要があることの証明にはならない。
現実資産（RWA）の合計は5万2200ドルで、すべてトークン化された金である。この数字を、「秘匿RWAは機関投資家の機会」という言葉が何度語られてきたか――Zama自身のローンチ資料も含め――と照らし合わせてみてほしい。
本当に重要な数字は総額のすぐ隣にある。3960万ドルのシールド規模に対し、6ヶ月間で4億5230万ドルの取引量が流れており、資金は約11回転しており、じっと止まっているわけではない。これはビジネス的に重要である。なぜなら、秘匿ドルは動いているときにのみ手数料を生むからだ。
5週間後、プロトコル自身のダッシュボードはこの論点をさらに強め、また6月のスナップショットでは見えなかった3つの事実を補っている。2026年8月3日時点で、累計シールド価値は3億2080万ドル、累計アンシールドは2億7420万ドル、すなわち約5億9500万ドルが双方向に境界を通過し、ネットのポジションは約4600万ドルにとどまっている。
秘匿ドルは停滞せず、通過していく。cUSDTは1億3080万ドルがシールドされ、1億2280万ドルがアンシールドされ、790万ドルが残っている。cUSDCは6970万ドルがシールドされ、6510万ドルがアンシールドされ、残りは470万ドルだ。かつて入ってきたすべてのステーブルコインドルのうち、約94％は既に去っている。これは金庫ではなく、回廊だ。資金の流れで稼ぐプロトコルにとって、この形状は正しい。残高で稼ぐあらゆるものにとって、この形状は間違っている。
金庫の中身は、たった4つのウォレットにすぎない。cSteakcUSDCは4つの独立したシールドウォレットを有し、2,020万ドルを純保有している。これはプロトコル全体のネットシールド価値の約43%に相当し、これに対応するMorpho金庫は2,820万ドルを抱えている。このセクションで最大かつ商業的に最も注目すべきカテゴリーは、マーケットではなく、4つの機関だ。ここに示されるどの成長率を見る際にも、この点を肝に銘じてほしい——たった1回の償還で、それが一瞬でひっくり返りかねないのだ。
リアルワールドアセット（RWA）の流れが本格的に動き始めた。6月時点では、5万2,200ドルのトークン化された金だった。8月には、cTGBPに510万ドルのトークン化された英ポンドが存在し、そのラップ版にも510万ドル、金は6万300ドルになった。1,000万ドルは依然として小さいが、無視できる端数より2桁大きく、この分野で最も語られてきたフレーズの最初の具体的な証拠でもある。
規模について修正が必要だ。外部で出回っている数字は、状況を著しく美化している。Zamaはメインネットに549のコントラクトをデプロイした。ほとんどの報道が引用する2万7,662の秘匿コントラクトは、2025年7月まで遡るすべての公開テストネットを含んでおり、その約98%は本番環境ではない。現在はさらにcBRONトークンが加わり、21のウォレット、100万ドルとなっている。
なぜこれがサイロ化問題を回避できるのか
イーサリアム上に構築されているため、これらのプライベートドルは他の誰かが持っている同じドルであり、既にユーザーがいるアプリケーションで機能する。ここでのプライバシーはプログラマブルでもある——コントラクトは隠されたデータに対してもルールを実行できる。
これはコンプライアンスの余地も残している。監査人や規制当局は特定の記録を閲覧する権限を付与され、原資産に対する凍結はラッパー層に波及する。2026年5月、ある裁判所命令がまさにこれを行い、cUSDCプール全体を3日間凍結した。第8節で何が起きたのかを述べる。
この階段と、各段階の代償
3世代を続けて読むと、どの世代も宣伝してこなかったパターンが浮かび上がる。
Tornadoは履歴を隠す。Railgunは保有（ポジション）を隠す。Zamaはインタラクション可能な保有を隠す。 各段階が存在するのは、次の段階ができない具体的なことのためだ。
しかし代償は常に逆方向に進んできた。Tornadoは最も多くを隠すが、そのお金に対して何もできない。Railgunは送信者、受信者、金額を隠す。Zamaは金額だけを隠し、取引グラフは完全に公開される。各世代は秘匿性と引き換えに機能性を手に入れてきた。
同じ方向に進む第二の軸もあり、この物語をさらにタイトにしている。Tornadoは誠実なユーザーに自己証明の手段を与えず、取引所はプール全体を汚染されたものとして扱った。RailgunはPrivate Proofs of Innocence（無罪のプライベート証明）でこれに正確に応えた。Zamaはさらに一歩進み、閲覧キーと継承可能な凍結を導入し、規制当局が実際に利用できるものにした。したがって、この3者のトレンドはプライバシーが向上したのではなく、より利用可能で可読性の高いプライバシーであり、そのツケは秘匿性から支払われているのだ。
▲ 6つの設計を、隠す度合いと隠したままできることの関係でプロットした図。
右上の空白こそが興味深い部分だ。「すべてを隠し、かつすべてを動かせる」ものは誰も持っていない製品であり、Zamaはそのラインを上に押し上げようとする最新の試みだ。本稿のあらゆる数字に照らしても、それは最も小さいものでもある。
同じ段階で、他に誰が登っているのか
Zamaはメインネットを持つ存在であるため、本節ではずっとそれを取り上げてきた。2025年12月30日からイーサリアム上で稼働し、同日に初の秘匿ステーブルコイン送金を完了、名前のある企業が本番環境で利用しており、トークン標準ERC-7984はOpenZeppelinによって監査済みライブラリとして実装され、通常のERC-20を秘匿ラップ版にマッピングするオンチェーンレジストリも備えている。この最後の詳細は、どんなベンチマークよりも価値がある。秘匿トークンを作ることが、監査済みのOpenZeppelinコントラクトから継承するだけになった。テクノロジーとはこうしてニッチな職人芸の外衣を脱ぎ捨てるのだ。
Zamaは今回のラウンドを制した。具体的にどのラウンドを制したのか正確に言う価値がある。それは、最初にローンチしたことだ。これは真の成果であり、本節もそれにふさわしい評価を与えた。しかし、最初にローンチしたというのはタイミングの話であり、設計上の上限ではない。そして、それが検証するこの経路には複数の実装が存在する。Fhenix、Inco、Mind Networkはいずれも同じ暗号学的基盤の上で秘匿実行を行っており、より初期段階にあり、判断材料となるメインネットの1年をまだ持っていない。
ここから、見落としがちな2つのことが導かれる。Zamaのローンチは彼ら全員にとって朗報だ。なぜなら、このカテゴリーの難題は数学が機能するかどうかではなく、誰かがその利用に対価を支払う意思があるかどうかであり、今やその問いには予測ではなく顧客がぶら下がっているからだ。もう一つは、これほど若い暗号プリミティブにとって、実装が単一であることは堀ではなく、システミックリスクであるということだ。第8節のOrchardの脆弱性は、あるコードベースに4年間潜伏し発見されなかった。同じアイデアに複数の独立した実装があることこそが、こうしたものが発見される方法であり、したがってここで2番目、3番目の名前は、「ローンチ済み製品の比較」では見えない価値を持っている。
Fhenixは2,200万ドルを調達し、かつてインテルで準同型暗号を担当したGuy Itzhakiが率い、MulticoinとColliderが背後にいる。Zamaとは異なる暗号方式ではなく、同じファミリーの完全準同型暗号（FHE）を使用している。マルチパーティ計算（MPC）は両者の内部に現れるが（Zamaの13の鍵保有者、Fhenixの閾値サービスネットワーク）、それは復号鍵を分割する仕組みとしてのみだ。隠すことを実際に担うプリミティブは同じものだ。
当初はFHEレイヤー2だったが、後に放棄した。ACM CCS 2025の論文と共に発表されたベンチマークはモジュラー設計をより支持しており、そのレイヤー2はCoFHEへと姿を変えた。あらゆるEVMチェーンから呼び出せるオフチェーン・コプロセッサであり、EigenLayerのステーキングによって経済的安全性を確保している。Ethereum Sepolia、Base Sepolia、Arbitrum Sepolia上で動作しており、独自のドキュメントには本番メインネットはまだ利用できないと書かれている。
FHERC-20というトークン標準を持ち、動作するデモ一式を備えている。任意のERC-20のシールド化、プライベートペイメント、シールドビッドオークション、プライベートステーブルコイン、オンチェーンRFQ、暗号化された残高の読み取り権限を指定した相手に委任する機能、フロントランニング耐性のあるUniswap v4フック、さらに2つのコンシューマ向けガジェットがある。Canopy統合は2026年第4四半期に予定されており、Offchain LabsはTandemを通じて投資し、この技術をArbitrumに持ち込もうとしている。
本当に重要な7行、並べて見てほしい。
その差の大部分はカレンダーであって能力ではないが、表のうち2行はそうではない。ZamaとFhenixはアーキテクチャ的に既に収束しており、「新しいチェーンもクロスチェーンブリッジも不要」は差別化要因ではない。どちらもSolidity開発者が暗号化された型をほぼ1行のコードで追加できるようにしている。両者を真に分けるのは、それぞれがどのボトルネックに取り組むかだ。準同型システムにおいてユーザーが感じる遅延は、算術ではなく復号のラウンドトリップであり、それこそがFhenixが取り組んだものだ。毎秒6万4,319操作、遅延8.48ミリ秒、ACM CCS 2025で発表され優秀論文賞を受賞した。Zamaのヘッドライン数字はH100上で毎秒1,000トランザクションであり、自己報告でまだ有効化されていない。ラボの数字は本番環境に入れば悪化し、両者は同じものを測定してすらいない。しかし、唯一直接比較できる軸において、査読済みの数字はまだローンチしていない側に属している。
需要サイドももはや仮説ではなく、これがより興味深い進展だ。2026年7月2日から7月下旬にかけて、Fhenixは1件の買収と3件の統合を発表した。それらの“形状”は読むに値する。業界で最も古いFHEチームの一つであるSunscreenを買収し、コンパイラ技術一式とBFVの研究チームを獲得、自社のTFHEの作業と並行して進める。Sunscreenの創業者Ravital Solomonが加わり研究を率いる。セルフカストディ型取引ネオバンクのSedonaはArbitrumへの移行中であり、自社のトラステッド実行環境（TEE）をCoFHEに置き換え、残高、ポジション、AIエージェントに設定した支出上限をカバーする。コンプライアンス対応RWA発行を行うNomyxは、選択的開示を伴う秘匿ポジションを実現する。市場に対してはプライベートに、規制当局に対しては証明可能にする。Canopyは暗号化計算をデフォルトでそのアプリケーションフレームワークに組み込む。さらに以前のMonaco研究協力を加え、メインネットの目標は10月、イーサリアムとArbitrumに展開予定だ。
そのリストには、数よりも重要な3つのことがある。Sedonaの案件は、ある顧客がTEEからFHEに移行したものであり、このセキュリティアップグレードがローンチ済み製品にとって遅延の代償を払う価値があることを示す、これまでで唯一の証拠だ。Nomyxは第2節の規制対象台帳に関する論点を指し示している。そこで求められているのは秘匿ではなく、保有者の意思に基づく開示だ。そしてエージェントの支出上限は、これらすべてが設計された当初には存在しなかったユースケースであり、防御すべき相手は自分自身がデプロイしたソフトウェアだ。これらは現時点ではまだ収益ではなく、10月は目標であって事実ではない。しかし、これは名前のある取引相手が連なるパイプラインであり、プレメインネットのプロトコルが通常持つものよりは多い。
だからこそ、最初のメインネットの先に目を向ける必要がある。このカテゴリーにおける問いは、数学が成り立つかどうかではなく、誰がお金を払うかであり、Zama はそれを予測ではなく、すでに顧客によって示してみせた。それは同じアイデアを持つあらゆる実装にとって追い風になる。これほど若いプリミティブにとって、単一の実装は堀ではなくリスクであり、第8節では、4年間も見つからなかった脆弱性がひとつのコードベースでどれほどの代償を伴うかがすぐに示される。同時に、最初にローンチしたレイヤーは中立レイヤーであり、中立レイヤーは自らが提供するものに対してほとんど収益を得られない。したがって、その上で先行することは、お金が最終的に帰属する場所にいることを意味しない。これこそが、2度目、3度目の試みに目を向ける価値がある理由だ。機密性は、皆が共有するそのプリミティブを通じて消費されるのか、それともFhenixが賭け、背後にOffchain Labsが控えるLayer 2とコンシューマー向けのエントリーポイントを通じて消費されるのかは、本当にまだ決着がついていない。そしてその結末が、このカテゴリーにおいて価値がどこに落ち着くかを決める。
このセクターはどれだけの収益を生み出してきたか
ここまでは、これらの設計が「何ができるか」を説明してきた。このセクションでは、それらが「いくら稼いだか」だけを扱う。答えはごく小さく、公開データで確認可能であり、しかもこの分野において最も精査が不足している数字だからだ。
以下に示す数字はすべて、2026年8月時点のオンチェーンフィーデータである。最後の列こそが核心だ。この分野では、手数料を受け取ることと収益を稼ぐことは同じではない。
まずプライバシーチェーンの行を読んでほしい。これらはこのセクターのほぼ全時価総額を占めており、最も分かりやすい例でもある。Moneroは全履歴で158万ドルの手数料を稼ぎ、Zcashは2016年以降で137万ドルを稼いでいる。だが、それらはマイナーに支払われた金であり、いかなる企業の収益でもない。それを受け取るエンティティは存在せず、そこに利益も存在しない。
流布している数字の一つは修正が必要だ。それは三桁近くも桁が違っている。2026年、複数のメディアがZcashの年間手数料は4億500万ドルに達し、イーサリアムやソラナを上回ると報じた。実際のここ1年間の数字は56.7万ドルだ。おそらく、ある単一の高アクティブウィンドウから外挿され、たまたま当時のZcash価格と重なったことが原因というのが、より妥当な説明だろう。その見出しを基にセクター規模を推定すれば、700倍もの誤差が生じる。
Tornado Cashは最も示唆に富む行だ。ユーザーは930万ドルを支払ったが、プロトコルは一銭も受け取らず、1ドルたりとも引き出しリレーヤーに渡った。手数料データも、プロトコル収益がゼロであることを明確に示している。過去10年間で最大のミキサーは、運営者にはキャッシュフローを生み出したが、自身には何も生み出さなかった。制裁が来た時、自らを守る損益計算書を一枚も持っていなかった理由の一端がここにある。Railgunはその反例であり、この表に載る唯一のリアルなビジネスだ。二つの境界それぞれで25ベーシスポイントをトレジャリーに徴収している。累計取引高51.6億ドルに対し、1300万ドルということは約9ベーシスポイントを実現した計算で、名目手数料率50ベーシスポイントと対照的だ。この差自体がヒントである。資金は一度シールドされ、内部では無料で動き回り、入出時にのみ手数料を払う。
合計すると、セクター全体の年間収益は、全プロトコル合計で約600万～700万ドルであり、これらの資産に滞留している価値は約250億ドルにのぼる。このフローのうち3分の2はRailgunとTornadoのリレーヤーに流れている。ほぼ全時価総額を保有する数本のチェーンが年間で稼ぐ額を合計しても約200万ドルに過ぎない。
表の下半分に移ると、Zamaが興味深い存在だ。実際に収益を上げているが、全く異なる料金メーターを使っている。何に対してもパーセンテージを取らず、操作ごとに課金し、米ドル建てでビット単位のレートで価格設定する。暗号化されたインプットの証明を検証し、暗号文を復号し、チェーンをまたいで転送する、といった操作だ。準同型計算自体は無料であり、アプリのデプロイも無料でパーミッションレスだ。
この差を、Zama自身のトラフィックで数字に落とし込もう。2025年12月30日からの7か月間で、プロトコルは549件のメインネットコントラクト上で104,848件のメインネットトランザクションを処理した。同時に、3億2080万ドルがシールドされ、2億7420万ドルがアンシールドされ、約5億9500万ドルが境界を通過した。平均シールド額は約24,000ドルだ。
Railgunの手数料テーブルなら、このフローは149万ドルを生む。Zamaの公開価格表によれば、840ドルから84,000ドルを生む。おそらく下限近くだろう。ローリング30日間のディスカウントが大口ユーザーを1セント未満まで引き下げ、このフローは集中しているため、最大の支払者が最も深い割引を受けているからだ。レートに換算すると、24,000ドルのシールド手数料は13セント、つまり1ベーシスポイントの50分の1で、Railgunは25ベーシスポイントだ。18分の1から1700分の1まで安い。実際の数字がその区間のどこに落ちるかによる。
はっきりさせておくと、この数字は開示されたものではなく、導き出されたものだ。トランザクション数はプロトコル自身のダッシュボードに掲載されている。13セントはローンチ時のニュースで触れられた数字だ。簡易版ホワイトペーパーの価格表では、コンフィデンシャル転送1回を80セントから80セントとしている。操作の組み合わせによる。だから、単一の点推定よりも幅が重要なのだ。そして、この論点には単一の点推定すら必要ない。公開価格表のどの読み方をしても同じ結論に行き着く。ついでに言えば、正確な数字は知り得る。プロトコル手数料はすべてバーンされ、そのアドレス上の累積バーン量がこの数字の観測可能なバージョンだから、誰でも確認できる。
なぜここまで安いのか
最も素直な読み方は、Zamaが自らを誤って価格設定したというものだ。だが、よりありそうな読み方は、まず顧客を買い、後で収益化するつもりだ、というものだ。証拠も、ミスではなく後者を指している。
25ベーシスポイントを取るレイヤーは、すべてのインテグレーターにとって課税だ。Zamaが目指しているのは、誰もがその上に構築する機密レイヤーであって、彼らと競合する場ではない。クラウドサービスのような価格設定であってこそ、自社のトークン標準がOpenZeppelinによって監査済みライブラリとして実装され、ラッパーレジストリや、ウォレット・取引所への統合経路、そして自らの上で給与を実行することを望む給与支払い企業を得られる。こうした買い手の誰も、50ベーシスポイントの料金所をくぐろうとはしないだろう。Bronは一回の給与支払いを隠すために25ベーシスポイントを払わないし、2,020万ドルを保有するトレジャリーの4つのウォレットは、ポジションを動かすためにそれを払わない。
だから、この低い手数料率は機能している。この段階で本当に希少なもの、すなわち象徴的な顧客と、他社が採用する標準を買っており、取引量が十分に大きくなって小さな手数料率でも取るに値する日まで、収益を先送りしているのだ。この読み方に立てば、現在のフィー項目はビジネスではなく顧客獲得コストであり、見るべき数字は今年の手数料ではなく、その料金メーターが変わるのかどうかだ。
この読み方を単なる甘い解釈にせず、反証可能にする材料が二つある。手数料率は、暗号技術部分を動かさずとも引き上げ可能だ。今日の取引量なら、1トランザクションあたり5.65ドルで年間100万ドルを稼げ、ベーシスポイントで見てもRailgunより約10倍は安い。そして、この期間中、価値はどこかに蓄積されつつある。上層、つまりその運用の場を所有する者に。下にある中立的なレールではない。そのため、Zamaの経済モデルにとって、プロトコルそのものより、クエリの価格設定の方が重要だということでもある。
プライバシー技術に出たバグ
プライバシー技術は、あたかもすべて完璧に動くかのように書かれがちだ。知っておくべき三つの出来事がある。壊れた場所もそれぞれ異なる。暗号技術自体、それを包むソフトウェア、そしてその両方に優越する法律だ。
▲ スタックのどの部分が崩壊したかで分類した、9年間のプライバシー障害。
Zcash：2026年6月のOrchard脆弱性、そしてその代償30億ドル
まずは最も新しい事例から始めよう。この分野でこれまでに単一で破壊された価値としては最大であり、多くの人が覚えているのに理由を知らない相場を説明してくれるからだ。
2026年5月29日、セキュリティ研究者のTaylor Hornbyが（4月にShielded Labsから委託を受け）Orchardの背後にある回路に健全性（soundness）の欠陥を発見した。健全性とは、まさにゼロ知識証明に価値を与える特性であり、偽の命題に対し有効に見える証明を作れないことを保証するものだ。この欠陥があれば、それができてしまう。Hornbyは稼働可能なエクスプロイトを作成し、テスト環境で偽造ZECを無制限に鋳造してみせた。しかも完全に検出不能だった。
Orchardが2022年5月に稼働して以来、この欠陥は回路内にずっと存在していた。4年にわたり、複数回の専門監査を経ても、誰もそれを発見しなかった。彼はAIモデル（Claude Opus 4.8）の支援と、自作の分析ツールを併用してそれを見つけた。これこそが、本稿でお伝えする真に新しい事実だ。このコードに繰り返しお墨付きを与えてきた監査プロセスは人間によるものだったが、最終的にそれを突破したのは人間ではなかった。
エンジニアリング面での対応は迅速だった。6月2日の緊急ソフトフォークによって、指定ブロック高でOrchardの操作が停止された。6月3日には修正回路を含むハードフォークによって恒久的な修正が行われた。チェーンの分裂も、資金の損失もなかった。
そしてマーケットが引き継いだ。公開開示は6月5日。ZECは発表前、実際に値上がりし、約544ドルから624ドルになった。きれいな緊急修正は厳格なエンジニアリングチームの証拠だ、という理屈だ。実質的な内容が浸透すると、48時間以内に約309ドルまで急落した。ドローダウンは50%近く、優に30億ドルを超える時価総額が吹き飛んだ。Arthur Hayesは6月4日に公に手を引き、プライバシー資産に必要なのは「おそらく大丈夫」ではなく完全性だ、と述べ、それをきっかけにレバレッジをかけたポジション間で強制清算が連鎖した。Moneroは約13%の同情下落にとどまったことから、市場はこれをZcashの問題であって、プライバシー全体の問題ではないと読んだことがわかる。
今こそ、本当に懸念すべき部分について話そう。それはこの脆弱性ではない。Shielded Labs は率直に、暗号技術だけでは、それが発見される前に誰かがそれを悪用したかどうかを判断できないと述べている。これは言い逃れではなく、設計の直接的な結果だ。シールドプールは支払いを隠すのと同様に、偽造の能力も隠してしまう。そのため、最大4年にわたって検出されないインフレが存在した可能性のある猶予期間は、チェーンを見ただけでは閉じることができないのだ。彼らの修正策は Ironwood としてすでに導入されており、すべての Orchard コインに対して改札口を通すような台帳記録を行うことで、供給量を独立して検証可能にしている。
初心者にとって、これは本節で最も重要な考え方だ。プライバシーと監査可能性の綱引きは、「誰が誰に支払ったか」という層だけでなく、マネーサプライそのものの層でも起こる。
❓
では、それは結局のところ脆弱性なのか？ここでは3つの問いが常に混同されており、それぞれに異なる答えがある。
本当に脆弱性は存在したのか？存在したし、極めて深刻なものだった。Zcashで秘匿された資金を使う際、あなたはネットワークにコインを見せるわけではない。あなたが渡すのは、コインを所有し、かつ二重使用していないことを証明する数学的なレシートだ。脆弱性はそのレシートの検証機構にあり、特定の偽造レシートを受け入れてしまっていた。これはすなわち、ZECを無から生み出せることを意味する。
それを使って何かが盗まれたことはあるのか？ほぼ確実にない。この問題を専門に調査するために雇われた研究者がそれを発見し、自身のテスト用複製で検証し、2日後には修正された。これを使って公式ネットワークに触れたことが知られている者はいない。
その4年間、誰もそれを使わなかったと証明できるのか？できない。オープンなチェーン上ではコインを数えることができ、コインが多すぎれば誰かが偽造したことを意味する。しかしZcashのシールドプールは、製品そのものであるがゆえに、意図的にコインを数えられなくしている。したがって正直な答えはこうだ。悪用された証拠はないが、この「証拠はない」を「悪用されなかったことの証明」に格上げすることはできない。
すると明らかな疑問が残る。金が失われていないのに、なぜ価格は半減したのか？それはZECの価値提案全体が、数学的完璧さにかかっているからだ。「おそらく大丈夫」と「数学的に完璧」は別の製品なのだ。
知っておくべきは、これが同じカテゴリーにおける2度目の偽造欠陥だということだ。以前にも2018年、Zcashが最初にローンチした際に使われた証明システムに欠陥があった。二つの異なる証明システム、8年の隔たり、同一のシールドプール設計、そしてどちらの場合も、チェーンはそれらが悪用されたかどうかを伝えることができなかった。これは不運ではなく、パターンだ。この組み合わせにはもう一つの皮肉がある。Orchardが存在するのは、トラステッドセットアップがZcash最大の未解決リスクと見なされていたからであり、それを取り除くためにこそHalo 2が採用された。信頼を不要にするために構築されたそのプールこそが、後に信頼できないことが証明されたのだ。
Zcash：ウォレットのリーク、そしてこれはより典型的な失敗
こちらはより小規模だが、本節で最も代表的な失敗である。
2025年10月、調査者ZachXBTはZcashのメインウォレットZashiに搭載されたクロスチェーンスワップ機能をテストした。そのルーティングはNEAR Intentsを経由する。彼はSolanaからZcashへスワップし、その後ETHを送金した。予期せぬ0.001598 ZECの返金が彼の透過アドレスに届き、完全に公開された状態で可視化された。NEAR Intentsは当時、シールドプールではなく可視的なZcashアドレスを通じて返金を処理しており、ウォレットは毎回同じ透過アドレスを再利用していた。時刻と金額を照合すれば、誰かの透過アドレスを匿名化解除し、それを相手のシールドされた活動と関連付けることができる。
何も盗まれておらず、暗号が破られたわけでもない。証明そのものには問題はない。それらを包むインテグレーションに問題があった。
修正については正確に述べなければならない。なぜならそれは半分しか行われていないからだ。現在、スワップはZIP 320と呼ばれる標準を用いて、取引ごとに使い捨ての透過アドレスを生成する。そのため、履歴を蓄積しうる永続的なアドレスはもはや存在しない。シールドされたスワップは、開示から約1か月後の2025年11月17日にZcashコミュニティフォーラムで発表された。2つ目のコミットメント、すなわち返金自体もシールドプール内で行うという点は、公に確認されていない。あるユーザーが同じ投稿内で2025年11月20日に直接質問したが応答はなく、ウォレットのサポート文書は依然としてユーザーに返金アドレスの提供を求めているが、それがシールドアドレスでなければならないかは明記されていない。
しかも、いかなる修正でも取り除けない残留リークが存在する。シールドされた資金を使い捨ての透過アドレスに送るには、シールド解除とその後の支払いという2つの公開取引が必要であり、観察者は単一のスワップについて、時刻と金額でこの2つを結びつけられる。使い捨てアドレスが買ってくれるのは、第三者があなたの複数のスワップを相互に関連付けたり、あなたのウォレットの他の部分と関連付けたりできなくなることだけだ。
Zama：悪用された脆弱性はまだないが、すでに最も示唆に富む失敗
プロトコルの脆弱性が悪用された事件は起きていない。約70週間の監査を経て2026年にローンチするプロダクトにとっては、まさに期待どおりのことだ。Zamaが経験したのは法的なレベルでの失敗であり、このプロダクトを検討するあらゆる機関の前に突きつけるべきものこそ、まさにこれである。
2026年5月30日 UTC 01:08、CircleはEthereum上のZamaのcUSDCコントラクトをブラックリストに登録し、12,606,386 USDCを凍結した。引き金となったのは前日に米国地方裁判所が発行した一時的差止命令であり、関連する民事訴訟では、無関係のプロトコルOvernight Financeの創設者が、保有者による清算投票の直前にそのトレジャリーから1,577万ドル超を移動し、同じ日にそのうち1,240万ドルをcUSDCに入金したと主張されている。
ここで潜在ユーザーに立ち止まって考えさせるべき部分を述べる。cUSDCはプール型コントラクトである。それをブラックリストに登録すると、問題のアドレスだけでなくすべての預金者がロックされる。そして問題の資金はたまたまプールの99%以上を占めていた。6月1日、カリフォルニア北部地区の判事が同命令を解除し、約1,250万ドルが解放された。これは、私的な民事紛争において、訴訟を通じてコントラクトレベルのCircleブラックリストが覆された初の既知事例である。
この出来事の2つの読み方はどちらも正しく、あなたは両方を同時に保持する必要がある。コンプライアンスのフックは実在し、規制された機関がこのプロダクトに手を出す気になるのはまさにそのためだ。そしてそれらは無差別であり、それが「裁判所が依然として手を伸ばせるプライバシー」に対してあなたが支払う代償なのだ。共有プールは、共有される集団であるだけでなく、共有される運命でもある。
これら3つの出来事の共通点
いずれも誰かが暗号を突破してお金を盗んだわけではない。Orchardの欠陥は公表前に修正され、一度も使用されなかったにもかかわらず、それでも保有者に30億ドル以上の損失をもたらした。したがって、もしあなたがプライバシー資産を保有しているなら、あなたがショートしているのは脆弱性そのものではなく、脆弱性のニュースなのだ。スワップのリークは証明の失敗ではなく、インテグレーション上のディテールだ。そして凍結は裁判所から来ており、それはいかなる監査でも捕捉できない。
そしてこれは、本稿の残りの部分で繰り返し導かれてきた同一の結論を指し示している。数学そのものは持ちこたえたが、それを包むソフトウェアと、それを凌駕する法律は、どちらも持ちこたえなかった。
では、それは結局どれほどの価値なのか
ここまでは確定した事実だ。次は判断であり、議論に値する3つの問いである。
この分野には多くの名前があり、人々は通常それらを暗号技術によって分類するが、それはほとんど有用な情報を提供しない。代わりに、それらがテックスタック内のどこに位置するかで分類しよう。なぜなら、それこそが顧客は誰かを決め、そしてそのプロダクトが何によって収益を得るかを決めるからだ。
▲ プライバシーセクターは4つのレイヤーと、それらすべてを横断する2つのグループから成る。
問い1：需要は本物か？
はい、そしてこれは全論証の中で最も強力な部分だ。
JPモルガンがProject EPICを趣味でやっているわけではない。暗号化されたファンド申込み、ブラインドプールオークション、秘匿された数値上で実行されるDVP（証券と資金の同時受け渡し）、暗号化データに対する身元確認。その設計上、銀行自身も詳細を読み取れない。そして実際の預金トークンをCanton上で発行した。CircleはAleo上でプライベート版USDCをテストしている。CoinbaseはIron Fishチームを採用した。Goldman SachsとBNY MellonがCantonの背後にいる。これはナラティブではなく、資本支出のパターンなのだ。
取引の側では、損失は断言されるのではなく、定量化される。サンドイッチ攻撃を受けたスワップは0.3%から0.8%を支払う。永久先物取引所では、清算価格を含め、すべてのポジションが公開されている。そして最も明快な証拠。機関投資家は、取引の半分以上をスクリーン外で執行し、そのためにスプレッドを支払っている。その目的は、誰にも取引量を見せないことだ。
問い2：プライバシーは本当にリスクを低減するか？
標的に選ばれるリスクは低減する。まとわりつく者は、自分が読めるものから獲物を選ぶ。ゆえに残高を隠すことは、あなたをリストから外すことができる。これは真実であり、プライバシーがなし得る最も強力な主張だ。
しかし侵害に対しては何の役にも立たない。盗まれた鍵が暗号通貨の残高を空にする速さは、公開された残高を空にするのと全く同じだ。マルウェア、誤った署名、侵害されたフロントエンド。暗号が保護するのは台帳の中身であり、あなたのデバイスや判断力ではない。
そしてプライバシーは、資金追跡を積極的に悪化させる。Monero自身のコミュニティは、盗まれたクラウドファンディングウォレットを追跡できなかった。Moneroが設計どおりに機能したからだ。プライバシーは時間的に非対称である。攻撃前にはあなたを守り、攻撃後にはあなたから奪った者を守る。
プロトコルレベルではさらに悪い。なぜならプライバシーは防御側も同様に盲目にするからだ。透明なチェーン上では、エクスプロイトは数日で供給量に現れる。Orchardの信頼性欠陥が4年間も潜伏し発見されなかった理由はまさにこれだ。より多くのプライバシーマシンは、より大きな攻撃対象領域も意味する。13の鍵保持者、5つのコプロセッサ、1つのゲートウェイ、1セットのしきい値の前提、そしてその全体を下支えするAWSエンクレーブ。
問い3：どうやってそれを値付けするのか？
これはこの分野が回避してきた問いであり、それには真実の答えがある。プライバシーの価値は、漏洩の代償に等しい。計算可能なカテゴリーは3つある。
実行スリッページが最もクリーンな要素だ。サンドイッチ攻撃を受けたスワップは0.3%から0.8%の損失を被るため、年間10億ドルのフローからそれを取り除けば約500万ドルの価値が生まれ、そのうちどれだけを捕捉できるかが議論の焦点となる。Railgunはこの分野で唯一の実際のデータポイントを提供している。累計51.6億ドルの取引高に対して、累計1,300万ドルの収益を上げており、それはわずか9ベーシスポイントの捕捉に相当する。
大口取引の市場インパクトはすでに織り込まれており、これは過小評価されている点だ。機関投資家がOTCデスクにスプレッドを支払うのは、まさに出来高をさらけ出さないためだ。そのスプレッドこそ、プライバシーが観測可能な市場価格であり、今日、ほとんどの機関取引で支払われている。秘匿取引のアドレス可能市場は推測ではなく、現存するOTCのスプレッドプールそのものだ。
ミラー取引によるアルファの減衰は現実だが、誰も数字を公表していない。それを計算するには、類似戦略を取る追跡対象アドレスと非追跡アドレスのパフォーマンス差を調べる必要がある。これは、既知のふりをするよりも、未計測と明示的にラベル付けするに値する。
さて、この手法を次の明らかなプロダクトに当てはめてみよう。Zamaが秘匿AMMを作った場合、ポジションを隠すことの価値はどれほどか。答えを変える制約が一つある。AMMが価格を得るには公開準備高が必要だ。プールの保有高を暗号化すると、価格発見が壊れてしまう。隠せるのは、個々のLPのシェアと、注文提出時のサイズだ。
これは、秘匿AMMの価値が主に注文フローのプライバシーであり、ポジションのプライバシーではないことを意味する。そしてそれは、最初のカテゴリーである「執行時に節約されたベーシスポイント」に逆戻りする。LPポジションを隠すことには確かに価値があるが、それはより小さく、主にアクティブ戦略のコピー防止と、即時流動性による手数料圧搾の防止だ。したがって、そのバリュエーションは、それが惹きつける取引高にかかるサンドイッチ税に、Railgunの9ベーシスポイントに近い捕捉率を乗じたものになる。年間10億ドルの取引高なら、プロトコル収入はひと桁台の数百万ドルだ。嘘ではないが、数十億ドルのバリュエーションには遠く及ばない。
4つ目のカテゴリーがあり、すでにローンチしているプロダクトがまさにそこに収まっている。一部のリークは、計量すべき取引そのものが存在しない。
メインネットで最初の7か月間に実際に現れたものを見てみよう。それは上記の規模試算が予測したものとは違うからだ。Bronの財務責任者は秘匿USDTで会社の給与を支払った。Raycashは、IBAN、カード、利回りを備え、残高を秘匿するRevolut型口座を発表した。GSRは2026年3月、KYC済みの二者間で、金額をオンチェーンで暗号化した初の機関向け秘匿OTC取引を完了した。TokenOpsは秘匿ロック解除とエアドロップを行い、Zaifferは通常のERC-20を秘匿トークンに変換し、Zamaは自社トークンにこの両者を利用した。2026年7月には、コンプライアンススクリーニングのためにEllipticも接続された。
ベーシスポイントの話に該当するのはGSRだけだ。それ以外はすべて、企業が「ある情報を開示しないこと」を購入しており、彼らが回避する損害は、それを運ぶ送金のサイズに比例して増減しない。給与支払いがリークすれば、チームメンバー間で互いの給与が知られ、競合他社にバーンレートが知られるという代償を払う。ロック解除スケジュールを公開すれば、自分のロック解除がフロントランされるという代償を払う。これらは、一つの支払いに付随する比例的な損失ではなく、一つの事実に付随する固定的な損害だ。
これが影響するのは価格設定であり、需要ではない。このカテゴリーの需要は取引論よりも広く、取引ごとの課金には、前の3つのカテゴリーのいずれよりもはるかに適していない。そして、まさにそれを示しているのが手数料データだ。
いまだ決着のつかないいくつかの論争
プライバシーはチェーンか、それとも機能か。2026年7月時点で、証拠は人々がしばしば混同する一つの軸に沿って分裂している。機能側は新しいユースケースで勝っている。シールド入札取引、秘匿ボールト、給与支払い。チェーン側は価格で勝っている。Moneroは約129億ドル、Zcashは約71億ドル、一方Zamaは1億1500万～1億4200万ドルだ。二つの異なる市場、二種類の異なる買い手。
オプショナル・プライバシーは罠か。それは小さな群衆を生み、小さな群衆は弱いプライバシーである。それはZcashの10年来の欠陥だ。それを変えたのは、想像しうる限り最も地味なものだった。暗号技術ではなく、ウォレットだ。2024年2月以来、Electric Coin CompanyはZashiを作った。デフォルトで秘匿、三つのプールが一つのアドレスの背後にあり、スワップ機能によってシールドZECの購入が数クリックで済むようになった。シールド供給比率は約5%から20%台、30%近くに上昇し、シールド取引比率は約30%から報告されたピーク時59.3%まで上昇した。当時のECC CEO、Josh Swihartは因果関係をはっきりと述べている。Zashiが出てから、シールドプールは指数関数的に成長した、と。タイムラインは一致する。
ここに一つ懸念がある。それは技術面ではなくガバナンス面だ。2026年1月、Zashiチーム全体がガバナンス、資金、自律性の問題を理由にECCを集団辞職し、Zcash Open Development Labを設立し、2026年2月にウォレットをZodlに改名した。つまり、Zcashのプライバシー普及を一手に担ってきた唯一のソフトウェアは、もはやそのプロトコルを管理する財団によって構築されていない。
コンプライアンスに友好的なプライバシーはプライバシーか。批判派は、オーバーライドスイッチを備えたプライバシーシステムはプライバシーシステムではなくキュー（待ち行列）だと言う。支持派は、それが機関が法的に扱える唯一のバージョンであり、もう一つの選択肢の結末はTornado Cashの結末だと言う。どちらも正しい。両者は異なる顧客に販売しており、両方の顧客が存在する。
規制の時計。EUマネーロンダリング防止規則（具体的にはRegulation 2024/1624第79条）が2027年7月1日に発効する。その日以降、暗号資産サービスプロバイダーは匿名口座を保持できず、XMRやZECといったプライバシー資産を取り扱うこともできず、AMLAと呼ばれる新たな規制当局が約40の最大手プロバイダーを監督する。適用範囲を注意深く読むと、これは取引所がそれらの資産に触れることを禁止するものだ。チェーンそのものを止めることはできない。これが吸い上げるのは欧州の規制された流動性であり、二次的効果として、監査可能なプライバシーへと市場を押しやることだ。
何のデータを注視すべきか
四つの数字、四半期に一度チェックする。
秘匿取引所における取引高。かつ、プロトコルと無関係なカウンターパーティによるもの。9月のローンチ後、これは取引論の成否を決める数字になる。なぜなら、スワップ手数料がZAMAを買い戻し、取引高はキャッシュフローだからだ。向かいに見知らぬ相手がいない取引所は、単なるプライベートな独り言に過ぎない。
Railgunの収入対Zamaの収入。既存プレイヤーはすでに、実際のフローに対して約9ベーシスポイントを受け取っている。Zamaが公開ローンチ後1年以内にその水準に近づけなければ、FHEプレミアムは誰も支払っていないことになる。
暗号業界外で初めて、秘匿ステーブルコインで給与やサプライヤーへの支払いを行う企業。cUSDCが隠すのは金額であり、サプライヤーリストではないことに注意。したがって、このユースケースが本当に機能するには、暗号資産残高以上のものが必要だ。
Canton Coinの手数料収入、もし将来監査可能になるなら。48億ドルのトークンが、外部から誰も検証できない使用量の上に構築されている。これはこの分野で最大の未精査のバリュエーションだ。
Zamaの実現手数料バーン額、ドル建て。プロトコル手数料はすべてバーンされるため、累積バーン量はオンチェーンで確認でき、誰かが実際に支払っているかどうかを判断する唯一の議論の余地のない尺度だ。現在それは4桁ドルであり、予測は10桁ドルだ。それが一桁動いた月が、価格設定が変わったシグナルであり、本稿における最も情報量の多い単一の数字だ。
4つのウォレットが40になるかどうか。純シールド価値の43%が、一つのボールト内の4つのアドレスにとどまっている。集中度の低下は総額の増加よりも重要だ。
誰かがメーター読みではなくサブスクリプション料を請求し始めるかどうか。上記で記録したギャップは価格設定のギャップだ。したがって、座席課金、資産規模課金、またはスプレッド課金をする最初の秘匿プロダクトは、次の暗号技術のベンチマークよりも注目に値する。
Fhenixのメインネット時期、およびそのロールアップが自社独自の暗号技術の上に構築されるかどうか。この二つの答えが、FHEカテゴリーが一社なのか複数社なのかを決定づける。
結論
一つの問いに対する三つの答え、そしてそれらすべてに対する誠実な概括は、勝利ではなくトレードオフだ。本稿で紹介したあらゆる設計は、より多くをさらけ出すことによって、より多くを実行できるように買っている。そして「すべてを隠しつつ、すべてを動かす」という一角は空っぽだ。
需要は本物だ。ある銀行はそれを証明するために実際の資金を費やし、トレーダーは計量可能なベーシスポイントを失っており、機関投資家はすでに、ほとんどの取引を「お前の出来高を見せるな」というまさにそのプロダクトであるデスクに送っている。
だが、プライバシーはセキュリティアップグレードではない。それが変えるのは、誰があなたを標的にするかであり、金を取り戻すのをより難しくする。そしてプロトコルレベルでは、あなたが信頼しているまさにそのものの欠陥を隠す。
そして、バリュエーションと収入は一致していない。約250億ドルの価値がプライバシー資産に眠っており、Monero、Zcash、Canton Coinに分散している。サービス側では、数字は今や概算ではなく正確だが、それはひと桁台の数百万ドルを下回っている。それらの中で最高のRailgunは、二つの境界で各25ベーシスポイントを課金し、歴史上累計1300万ドルを徴収した。一方、MoneroとZcashは2014年と2016年以来、合計で300万ドルの手数料しか稼いでいない。Zamaは10万4848件のメインネット取引を処理し、5億9500万ドルを自らの境界を越えて移動させたが、ベーシスポイント単位ではなくビット単位で課金するため、公開価格表によれば840ドルから8万4000ドルの間しか受け取っていない。ZamaのフローをRailgunの手数料体系で流した場合の産出額は149万ドル、つまり、実際の数字がその範囲のどこに位置するかによって、18倍から1700倍になる。手数料率に換言すると、1ベーシスポイントの50分の1 対 25ベーシスポイントだ。
したがって、本稿冒頭のジレンマは解消され、その答えはジレンマのどの一角よりも優れている。これらのサービスは、誰も欲しがっていないからプライスが低いのではない。プライスが低いのは、メーターが間違ったものに接続されているからだ。ビット単位で課金するプロトコルは、2000万ドルのボールトポジションを隠すのも、10ドルの送金を隠すのも同じ手数料を取る。そして現在、4つの機関が数セントを共同で支払い、2千万ドルを隠している。
だからこそ私は強気で締めくくるが、「いったい何に強気なのか」について限定を付けておく。
需求は予測されるものではなく検証されるものだ。そしてこれほど早い段階でそれが起きるのは稀だ。ある銀行が実際の資金を投じて暗号金融が機能することを立証し、自ら構築したレールの上で本物の預金トークンを発行した。機関投資家は大半の取引を画面の外に置き、その特権のためにスプレッドを支払っている。ダークプールは2026年第1四半期に米国株式売買高の記録的な40.3％を獲得した。許されさえすれば、資金はすでにあらゆる場所で私的に動いており、パブリックチェーンが答えるべき唯一の問いは、「かつてそれを使う価値があった」あのプログラマビリティを手放すことなく、同じ分断を提供できるかどうかだ。2026年8月の時点で、そのうちの一つが本番環境でそれを実現し、実際の企業が乗り、5億9500万ドルが国境を越え、資金は11回転した。
技術ももはや制約ではない。これはこの1年で起きた静かなる変化だ。秘匿トークンには標準規格と監査済みのOpenZeppelin実装が存在する。だから今やそれを書くことは継承であって暗号学ではない。裁判所命令がラッパー層を貫通し、3日以内に解除された。それは苦い方法で発見されたコンプライアンス上の特性であり、失敗ではなかった。そして2027年7月1日に到来する規制は、欧州の流動性を非匿名資産から吸い上げると同時に、あらゆるものを、これらの設計がまさに提供する監査可能なプライバシーへと押しやる。部品はすべて揃っており、時計はそれらに有利な方向へと進んでいる。
欠けているのは価格であり、欠けている価格こそが本稿において最も解決しやすい問題だ。1取引あたり5.65ドルを13セントではなく徴収すれば、今日の取引量で年間100万ドルを稼ぎ出し、なおかつ既存勢力を10分の1に抑え込む。これには数学上の改善は一切不要だ。必要なのはただ、誰かが秘匿性を、それが他の場所で課金される方法で課金すること――シート単位、サブスクリプション単位、あるいは資産規模に対するベーシスポイントで――であり、最初に到着する顧客は、まさにその形状の請求書を購買部門がもともと想定していた企業なのだ。
したがってポジションは需要のロングであり、最終的にその対価を徴収する側のロングだ。現在の証拠に基づけば、それは取引所、ウォレット、あるいは認可業務であり、その下にある中立層ではない。これを4つの数字で検証する。9月のローンチ後に見知らぬ相手から来る取引量、実際に焼却された手数料のドル価値、その金庫の中の4つのウォレットが40になるかどうか、そして誰かが最初のプライバシー・サブスクリプション請求書を送付する日付だ。予算科目を握っているその買い手は銀行であってサイファーパンクではない。そしてこのすべてにおいて勇気づけられる部分は、その銀行がすでに買い物を始めているということだ。
