BIP39 — ウォレットを再現する単語の正体

交換できる端末、変えてはいけない出発点

壊れたウォレット端末を新品に交換する場面を考えてみよう。新しい端末は過去の取引を見たことがなくても、順番どおりの単語バックアップと互換性のあるソフトウェアによって、同じ資産にアクセスする鍵を再現できる。紙からコインを取り出すのではない。資産はネットワーク上にあり、バックアップはそれを管理する手段を復元する。これは特定の人の紛失事件ではなく、仕組みを説明する仮の場面だ。^[4]

その背景には二つの異なる設計がある。2012年2月11日付のPieter WuilleのBIP32は、一つのシードから鍵ペアの階層を導出する方法を記述した。動機として挙げられたのは、独立したランダムな鍵を生成するウォレットでは繰り返しバックアップが必要になるという問題だった。共通の出発点から鍵のツリーを再現できれば、新しい鍵を一つずつ保存する負担を減らせる。^[2]

単語より先に乱数がある

2013年9月10日付のBIP39には、Marek Palatinus、Pavol Rusnak、Aaron Voisine、Sean Boweが著者として記載されている。この提案が扱ったのは、その出発点を人が扱いやすくすることだった。生の二進数や十六進数より単語のほうが書き写しやすい。ただし、元になるのはコンピューターが生成した乱数である。好きな名言や自作の文章を選ぶ方法は、この仕様の意図とは異なる。^[1]

12単語の場合、128ビットの乱数に4ビットのチェックサムを加える。計132ビットを11ビットずつ区切ると12組になり、それぞれが2,048語のリストの一項目を指定する。24単語なら256ビットの乱数と8ビットのチェックサムだ。仕様には15、18、21単語もある。順序そのものが情報を持つため、大まかな意味だけ覚えておけばよい文章ではない。^[1]

チェックサムは一部の転記ミスを検出する助けになるが、すべての誤りを見つけたり、欠けた情報を補ったりはできない。また、単語を別の言語に翻訳して保存することもできない。BIP39のシード計算ではニーモニックの文字列自体を使うため、人にとって同じ意味でも入力は別物になる。^[1]

もう一つの秘密が行き先を変える

ニーモニック自体が最終的なシードではない。BIP39は単語列と任意の追加パスフレーズを規定の導出関数に入力し、512ビットのシードを生成する。パスフレーズを使わなければ空文字列が入力される。その後、BIP32などの方式がシードから鍵を導出する。段階を分けて考えると、単語バックアップが一つの送金先アドレスでも、すべての秘密鍵をそのまま並べた一覧でもないとわかる。^[1][2]

追加パスフレーズは特に誤解されやすい。端末のロックを解除するだけのPINではなく、ウォレットを生成する計算の入力だ。別の値でも別の有効なシードが生まれる。Trezorの説明では、入力ミスが「パスワードが違います」という表示ではなく、通常は残高のない別のウォレットにつながることがある。元のウォレットの復元には、正しい単語バックアップと元のパスフレーズの両方が必要になる。^[3]

壊れた箱の外に残るもの

同じ鍵を再現するには、導出規則の互換性と、鍵のツリーで参照する位置も必要だ。BIP32はウォレット構造に違いを認めている。単語を認識できるだけで、どのアプリでも全口座が見つかるわけではない。単語によるバックアップがすべてBIP39でもない。TrezorはSLIP39を、独自の復元規則を持つ別の形式として説明している。^[2][5]

BIP39の重要な発想は、交換できる端末と再現できる暗号学的な出発点を分けたことにある。それゆえバックアップは強力であり、ただのメモではない。Trezorが関連するウォレットへのアクセスを可能にする秘密情報として扱う理由もそこにある。小さな紙は、もとの箱より長く残りうる。その力を保つには、情報を正確に保存するとともに、誰が読めるかも管理しなければならない。^[4]