APYを超えて：ブラックボックス的信任への別れ、ETHステーキングのセキュリティロジックの再評価

著者：imToken

ここ最近、クリプト業界のセキュリティインシデントがほぼ絶えることなく発生しています（続きを読む『BinanceからPHP2Shellへ：AI時代におけるWebセキュリティの防衛線は再定義が急務』）。

取引所での数十億ドル規模の損失、ウォレットサプライチェーンおよび第三者サービスの攻撃、スマートコントラクトの脆弱性によるオンチェーン資産の盗難――一連の出来事は繰り返し警告しています。クリプトの世界において資産の安全性は、基盤となるブロックチェーンの信頼性だけでなく、誰が資産を保管し、誰が鍵を制御し、サービスチェーン全体にどれだけ多くの信頼環節が存在するかにかかっているのです。

ETH保有者にとっても、ステーキングに参加する際も同様です。

イーサリアムは比較的多機能なネイティブステーキングメカニズムを整備しており、ユーザーはETHをステーキングすることでネットワークバリデーターとなり、ネットワークのセキュリティ維持に伴うプロトコル報酬を得ることができます。ただし、ステーキングが取引所管理、流動性ステーキング、専門ノード運営サービスなど多様な参加形態へ発展するにつれ、見過ごされやすい問題が浮上してきました。

同じETHのステーキングであっても、各ソリューション背後の資産管理権とセキュリティ境界は大きく異なる可能性があります。

ETHを第三者に預ける場合、いったいだれが出金権限を持っているのでしょうか。専門業者がバリデーターを運用する場合、ユーザーは依然として元本を自律的に制御できるのでしょうか。また、ネイティブステーキングと流動性ステーキングの間には、どのような潜在的リスクが増加しているのでしょうか。

これらの問題を明確にすることこそが、単に異なるステーキング製品のAPYを比較するよりも重要であるかもしれません。

ステーキングセキュリティの第一関門：だれが資産の出金権を握るのか？

ETHステーキングのセキュリティメカニズムを理解するには、まずイーサリアムのバリデーションノードを実質的に誰が制御しているかを明確にする必要があります。

イーサリアムはプルーフ・オブ・ステーク（PoS）合意メカニズムを採用しており、ユーザーがデポジットコントラクトに最低32ETHを預け入れることでバリデーションノードがアクティベートされ、ブロック提案、トランザクション検証、コンセンサス証明に参加し、ネットワークルールに基づいて報酬を得ることができます。

ただし、単一のノードが一つの鍵で一元管理されているわけではありません。イーサリアムステーキング体系では、コア権限が2つのカテゴリに分割されています。

署名キー（Signing Key）：バリデーションノードの日常運用に使用され、ブロック提案の提出や検証証明が含まれ、ネットワークコンセンサスへの参加に関する運用権限を表します。出金キー（Withdrawal Key）：ステーキング元本および収益の帰属を制御し、資金が最終的にどの指定アドレス（通常はユーザーのセルフカストディアルウォレットアドレスに直接紐付け）に戻されるかを決定し、資産の最終的な制御権を表します。

両者の役割分担は明確です。署名キーはバリデーターが正常に動作できるかどうかを決定し、出金キーは最終的に資金を引き出せるかを決定します。つまり、バリデーターの運用を担当する人物が、必ずしも資産の最終的な制御権を持つ必要はないということです。

この権限の分割構造を理解すれば、カストディアン（信託）モードとノンカストディアン（非信託）モードの本質的な差異が見えてきます。

完全管理型ステーキングでは、両方の権限が概してプラットフォーム側に集中します。ユーザーがETHを取引所や管理機関に預けると、プラットフォームはノードの運用だけでなく出金権限も掌握します。ユーザーがフロントエンドで見ているのは帳簿上の残高のみであり、資産をスムーズに引き出すことができるかどうかは、プラットフォーム自体の資金管理、出金ルール、経営状況に直接的に影響されます。一方、非信託型ステーキングモードでは、両方の権限が物理的に分離されています。ユーザーは自身のウォレットを通じて出金権限を掌握し、専門事業者は署名鍵のみを保持しノードの日常運用を担当します。仮に事業者が複雑なハードウェアやネットワーク保守を引き受けたとしても、その運用権限を根拠にユーザーのステーキング元本を不正に転用することはできません。

この「出金権はユーザーに、運用権は事業者に」という分離設計の核心的な価値は、信頼の境界を最小限に抑えることにあります。ユーザーは元本の制御権を手放す必要はなく、かつ高額なノード運用コストを一人で負担する必要もないのです。

もちろん、非信託型だからといってリスクがゼロになるわけではありません。署名鍵は依然としてバリデーターの日常パフォーマンスに関わっており、事業者に鍵の漏洩、二重署名、あるいは深刻なダウンタイムが発生した場合、バリデーターはプロトコルレベルのペナルティを受ける可能性があります。

したがって、ステーキングソリューションを評価する第一歩は、出金権限と運用権限が厳格に分離されているか、そしてユーザーが実際に資産を引き出すための鍵を自らの手で握っているかを確認することにあります。

イーサリアムネイティブプロトコルは、どのようにステーキング資産を守るのか？

鍵の制御権を理解した上で、もう一つの重要な問いがあります。なぜイーサリアムネイティブステーキングに直接参加することが、セキュリティ構造において各種サードパーティ派生ステーキング製品よりも明らかに優れているのかという点です。

それは核心として、ETHネイティブステーキングがイーサリアムの基盤合意プロトコル上に直接構築されており、追加のミドルウェア層を重ねる必要がない点にあります。

ユーザーがネイティブステーキングに参加すると、ETHは直接イーサリアムの公式バリデーションシステムに入り、収益の分配と違反時のペナルティはすべて基盤プロトコルのコードによって自動実行されます。これは特定のサードパーティ資金プールに依存して資産を集める必要はなく、ステーキング権利を間接的に反映するために派生トークン（例：LST）を生成する必要もなく、結果としてサードパーティプロトコルコントラクト、クロスレイヤーガバナンス、デリバティブの価格乖離（デカップリング）に伴う複合的なリスクを根本から排除します。

現在までに、ネイティブプロトコル内でイーサリアムは3つのメカニズムを通じて明確なセキュリティと退出の境界を確立しています。

まず第一に、プロトコルは報酬とペナルティによってバリデーターの行動を規制しています。バリデーターは継続的にオンライン状態を保ち、要求に応じてブロック提案と検証証明を提出する必要があります。もしノードに故障が発生したり長時間オフラインになったりすると、報酬の逃しかけはもちろん、対応する残高減額ペナルティを受けます。バリデーターがより深刻な違反行為（例えば衝突するブロックに対する署名など）を行った場合、スラッシング（罰則機制）が発動し、一部のステーキングETHが破棄され、バリデーターはネットワークからの強制退出を余儀なくされます。このメカニズムの目的は、参加者がステーキング収益を得ると同時に責任を負うことを促し、ネットワークコンセンサスを破壊しようとするあらゆる行為に真の経済的コストを課すことです。

第二に、出金権限とバリデーター運用権限を互いに独立させることができます。これはネイティブステーキングが資産セキュリティにおいて極めて重要な設計です。仮にバリデーターの署名キーに問題が生じても、出金キーがユーザーによって安全に保管されていれば、攻撃者は署名キーだけを悪用してユーザーのステーキング元金を直接引き出すことはできません。Pectraアップグレード後、イーサリアムはこのメカニズムをさらに完善させました。出金アドレスからも直接バリデーター退出オペレーションを開始できるようになり、バリデーター署名キーへの完全依存が解消されました。これにより、非信託型ユーザーに極端な状況下での「資金強制回収」に関する基盤保証が賦与されました。

最後に、ネイティブステーキングの退出も同様にプロトコルルールによって制約されます。ネイティブステーキングは報酬の引き出しと元本の完全退出をサポートしますが、通常のウォレット送金のように即時着金するものではありません。バリデーターが退出をトリガーした後、プロトコルルールに従ってネットワーク全体の退出キューに入ります（待機時間は当時ネットワーク上で同時に出退しようとしているバリデーターの数に依存します）。処理完了後、初めて元本と残余報酬が紐付けられた出金アドレスへ自動決済されます（続きを読む『今すぐイーサリアムネイティブステーキングに参加するには、なぜ最初に1か月の待ち行列に入る必要があるのか？』）。

この観点から見れば、ネイティブステーキングの価値はETH報酬を得られることだけでなく、規則が完全に公開され、オンチェーンで透明に検証可能で、いかなる中央集権機関にも依存せず決済が行われる基盤的な清算保証を提供する点にあります。

主要ソリューションの横断的解説：リスクは果たしてどこに分散されているのか？

「鍵の制御権」と「プロトコル依存度」を結びつけて見れば、現在市場に出回っている主要な4種類のETHステーキングソリューションは、本質的にリスクを異なる籠に分けていると言えます。

取引所や管理機関が提供するステーキングサービスは、一般的に参加ハードルが最も低く、少額ステーキングに対応しており、操作性は伝統的な金融商品に近いものがあります。ユーザーは複雑な技術的操作を行う必要はありません。しかし同時に、元本の制御権は完全にプラットフォーム側に移譲されます。たとえ基盤のETHが最終的にイーサリアムの公式ステーキングコントラクトに入っていたとしても、ユーザーはプラットフォームの信用リスク、内部リスク管理リスク、そして過酷な市場状況における出金制限を負う必要があります。

Lidoなどの流動性ステーキングプロトコルを例に挙げると、ユーザーがETHを入金すると、ステーキング権利を表すLST（例：stETH）を受け取ることができ、DeFi内での二次利殖や anytime のSecondary Market現金化を容易にします。此类方案最大的优势是降低参与门槛，并让用户在质押期间仍然能够参与 DeFi 等其他应用，但风险层级显著增加。持有 LST 并不等于掌握验证者提款权，而是持有一份基于智能合约的债权凭证。除了底层的节点罚没风险外，用户还需额外承担智能合约漏洞风险、协议治理风险，以及极端行情下 LST 二级市场折价（脱锚）与赎回挤兑风险，这在 LST 历史上也已经发生过多次。

非信託型ネイティブステーキングが目指して解決しようとしているのは、まさに資産の自律性とノード運用管理の間の矛盾です。ユーザーはイーサリアムネイティブステーキングメカニズムを通じてネットワークに参加し、自身を出金キーを管理します。専門業者はバリデーターの運用、監視、保守を担当します。これにより、ユーザーは流動性ステーキングトークンのデカップリングリスクを別途負う必要がなく、サードパーティステーキングプールのスマートコントラクトおよびガバナンスメカニズムに起因する追加リスクも削減されます。

十分なETHと技術力を有するユーザーであれば、自らバリデーションノードを構築することも可能です。この方法では、署名鍵、出金鍵、ノード設備すべてをユーザー自身で管理するため、サードパーティノード事業者への依存は不要です。しかしこれがリスク最小であることを意味するわけではありません。ノードのハードウェア障害、ネットワーク分断、クライアント設定ミス、鍵バックアップの不備、さらには二重署名などが発生すれば、利益損失やスラッシングを引き起こす可能性があります。したがって、長期的なノード運用経験のない一般ユーザーにとって、技術面および保守面のコストもまた大きな敷居となります。

制御権を自らの手内に：ノンカストディアンモードの長期的価値

要約すると、異なるステーキングモデルが解決するのは、異なる資金規模とリスク選好に対するニーズです。絶対的な元本制御権を重視しつつ、サーバーの自己保守に精力を割きたくないユーザーにとって、「非信託型ネイティブステーキング」は明らかに最適なセキュリティソリューションでしょう。

それが imToken の非信託型ETHステーキングソリューションの核心的設計思想です。決して手放すべきではない出金権限はユーザー自身のウォレット内に留め、高い可用性を担保するためのノード運用を専門インフラに委ねます。

実際の適用面において、このソリューションは複利型バリデーションノードと自動出金型バリデーションノードの2つのモードを提供しており、ユーザーは資金管理の方法を柔軟に選択することができます。

もちろん、非信託型モードを選択しても「放任主義」でよいという意味ではありません。資産の最終的な制御権を完全に自らが掌握しているため、ユーザーは個人のセキュリティ責任を果たす必要があり、ウォレットのリカバリーフレーズを適切にオフラインバックアップし、ステーキング開始前に出金アドレスを慎重に照合し、イーサリアムプロトコルの退出待機キューメカニズム、サービス手数料率、潜在的な基盤スラッシングルールに対して明確な認知を持続させる必要があります。

次第に増加するETHが長期利殖システムに取り込まれていく中で、保有者として私たちがつきっきりに注目すべきは、おそらく自分がどれだけの収益を得られるかだけでなく、いずれかの外部サービスセグメントで極端な事態が発生した際、依然として元金を取り戻す最終的な主体性を握っているかどうかではないでしょうか。

資産の最終制御権を自らの手内に留め、専門的な業務は専門家へ任せる。これがまさに、非信託型ネイティブステーキングにおいて最も注目に値するセキュリティの価値なのです。