SSP Enterprise：チームのためのマルチシグ Vault
企業の暗号資産の構えには、たいてい人の形をした穴があります。誰かがハードウェアウォレットを持っている。誰かがシードフレーズの置き場所を知っている。統制は実在します——表計算上の承認、ポリシー文書、二人が通話にいなければならないという規則。しかしそのどれも、全員が守ると同意していること以外の何かによって強制されてはいません。
SSP Enterprise はその穴を、規則をアドレスそのものへ移すことで塞ぎます。Vault は M-of-N のマルチシグであり、しきい値はアドレスの導出方法の一部です。ゆえにネットワークは、しきい値を満たしていないトランザクションの決済を拒みます。どれほどの社内圧力も、侵害されたノートパソコンも、退職していく従業員も、その算術を変えることはできません。
この記事はシステム全体の地図です。組織、Vault、役割、提案、ポリシーがどう噛み合うのか——そして重要なことに、そのうち何が実際にトランザクションを止め、何は形を与えるだけなのか。
鍵を一人が持つことの問題
単独署名者の問題は、実は信頼の話ではありません。集中の話です。
鍵が 1 本だけということは、侵害された 1 台の端末が資金を空にできるということです。一人が休暇に入れば給与支払いが止まるということです。一人の退職が何もかもをローテーションする騒ぎを引き起こし、たった一日の判断の乱れが、衝動と取り消せない送金の間に技術的な制約が何も立っていないインシデントを生むということです。
マルチシグはそのいずれも「生き延びられる出来事」に変えます。単独の秘密では足りないからです。マルチシグとは何か、なぜ重要かがモデル自体を扱います。以下は、保有者が個人ではなく企業である場合に、それがどう編成されるかです。
組織、Vault、署名者
三つの層。頭の中で区別しておく価値があります。
組織は容器です。人、役割、監査証跡、請求関係。メールアドレスではなく WK アイデンティティで識別され、100 から 99999 までの不変な組織インデックスを持ち、それが配下のあらゆる導出パスの一部になります。「不変」が要の語です——このインデックスは後から編集できません。変えてしまえば、その組織がこれまで導出したすべてのアドレスが変わってしまうからです。
Vault は、特定のチェーン上の特定の M-of-N マルチシグです。ひとつの組織はいくつも持てますし、しきい値やチェーン、署名者の集合を共有する必要もありません。Bitcoin 上の 3-of-5 のトレジャリー Vault と、Ethereum 上の 2-of-3 の支払い Vault は、たまたま同じ場所から管理されている別々のカストディ対象です。
署名者は人であり、SSP が常に用いる 2 台の端末——ブラウザ拡張と SSP Key アプリ——によって表されます。署名者が Vault の提案を承認するとき、その人の両方の端末が関与します。つまり、あなたの M-of-N の N は人を数えており、その一人ひとりがそれぞれ 2-of-2 で守られているのです。
Vault は SSP が対応するチェーンで利用できます。UTXO 側は Bitcoin、Litecoin、Dogecoin、Ravencoin、Flux、Zcash、Bitcoin Cash。EVM 側は Ethereum、BSC、Avalanche、Polygon、Base。そして Solana。導出は BIP-48 に従い、組織インデックスがアカウントの位置に入ります——BIP-48 仕様が一次資料で、BIP48 の解説が SSP における使い方を扱います。
しきい値はアドレスの中にある
ここがエンタープライズのマルチシグを承認ワークフローと分ける部分であり、正確に述べる価値があります。
Vault を作成するとき、署名者の公開鍵と必要な署名数が組み合わされてアドレスが生成されます。しきい値は Vault の隣に保存された設定ではなく、アドレスへの入力です。ここから、計画に織り込む価値のある帰結が三つ生まれます。
誰も下げられません。 管理者にもできず、SSP にもできず、ダッシュボードにアクセスできる攻撃者にもできません。チェーンはアドレスに対して検証し、アドレスが規則を符号化しています。
署名者を変えることは新しい Vault を意味します。 署名者の追加や削除はアドレスを変えるので、レコードを編集するのではなく資金を移すことになります。これは実費のかかる運用コストであり、署名者の集合を決める前にもっとも考え抜くべき点です。2-of-2、2-of-3、m-of-n の比較は、すぐに変えたくならないしきい値を選ぶための指針です。
しきい値を下回るまで署名者を失うと回復できません。 3-of-5 の Vault は署名者 2 人の消失には耐えますが、3 人には耐えません。何かに資金を入れる前に、退職、失われた端末、いずれ来る相続の問題を計画しておいてください——相続と緊急時アクセスは、個人に対して当てはまるのと少なくとも同じくらい組織にも当てはまります。
チェーンによっては、署名者の承認がどう作られるかに柔軟性があります。EVM チェーンでは Vault が署名者の 2 台両方を要求することもでき、1 台のみのモードを受け入れることもできます。Solana では、単一鍵の署名モードが「一人あたりの 2-of-2」と引き換えに、最大 7-of-15 までの大きな署名者集合を可能にします。これらは委員会の規模と一人あたりの安全性のあいだの意図的な取引であり、Vault 作成時に選ばれます。単一鍵 Schnorr の選択肢は、まさにその取引を念頭にエンタープライズ Vault に導入されました。
役割は署名の力ではない
共同カストディ製品でもっともよくある混同は、組織図と鍵の材料を一緒にしてしまうことです。SSP は意図的に両者を分けています。
組織の役割——オーナー、管理者、メンバー、ビューア——はワークスペースを統べます。誰が人を招待できるか、誰が Vault を作れるか、誰が組織設定を変えられるかを決めます。オーナーは誰でも変更でき、管理者はメンバーとビューアを変更できますが他の管理者は変更できず、ビューアはそもそも招待できません。
Vault の役割——管理者、署名者、ビューア——は特定の Vault を統べます。アドレスの中に入っているのは署名者の鍵だけです。
重要な帰結。組織のオーナーであることは、支払える能力を意味しません。 オーナーがある Vault の署名者でなければ、ダッシュボードが何を言おうと、その Vault の資金を動かせません。管理上の権限とカストディ上の権限は別物であり、SSP では別々の場所に保存されています——一方はデータベース、他方はアドレスの中に。
この分離こそが、単独では空にできない Vault を財務責任者に管理させることを可能にし、管理者アカウントの侵害を、支払能力の問題ではなく調整の問題に留めるのです。
提案がたどる道
Vault から支払うことは、クリックではなく提案です。
署名者または Vault 管理者がトランザクションを起草します。それは Vault の署名者たちに見えるようになり、各自が自分の端末で確認して承認します——どの承認も、サーバーの言い分を信じるのではなく端末上でデコードされます。M 個の署名がそろえば、トランザクションはブロードキャストできます。それまでは待機し、M に届かなければ、いつまでも残るのではなく期限切れになります。
シミュレーションは承認の前に走り、後ではありません。提案は現在のチェーン状態の複製に対して実行され、確認画面はそのトランザクションが実際に何をするかを示し、危険なパターンに印を付けられます。生のコールデータをあなたに読ませて済ますことはしません。これは v1.40 でエンタープライズ Vault に加わりました。
ポリシーは提案を形づくり、署名が決済する
SSP Enterprise はアドレスの許可リスト、宛先の制限、金額しきい値付きのタイムロック、一定額を超えると管理者の承認を要する規則に対応しています。これらは本当に有用で、それが何であるかを率直に述べる価値があります。
これらは調整レイヤーの統制であり、カストディの強制ではありません。 許可リストは、通常のフローで提案が作成され承認されるのを止めます。アドレスの一部にはならず、ネットワークによって検証もされません。チェーンが強制する唯一のものは署名のしきい値です。
これをはっきり述べるのは、その反対——ポリシーエンジンがカストディの保証であるかのように示唆すること——が、人が後で驚く道そのものだからです。正しい捉え方はこうです。ポリシーは財務チームが求めるプロセス統制であり、それらとは独立に存在するカストディ保証の上に載っています。仮に明日システム内のあらゆるポリシーが回避されたとしても、攻撃者には依然として M 人分のペアリング済み端末からの M 個の署名が必要です。
何が書き留められるのか
組織内で状態を変えるあらゆる操作が記録されます。Vault の作成、メンバーの参加と離脱、役割の変更、発行され受諾された招待、所有権の移転、そして提案のあらゆる遷移。監査記録は恒久的です——有効期限も、掃除するジョブもありません。監査証跡の価値は、必要になると予想していなかった部分に丸ごと宿るからです。
一部の操作はさらに踏み込み、実行するその瞬間に 2 台の端末での再署名を要求します。所有権の移転、組織の削除、メンバーの除名、企業メールアドレスの変更です。チャレンジを生成するのは常にサーバーであってクライアントではなく、成功したかどうかにかかわらずあらゆる試行が恒久的に記録されます。
はじめかた
組織は SSP アイデンティティから作成し、Vault はその内部に作成し、署名者はメールアドレスではなく各自の WK アイデンティティ宛の招待で参加します。各署名者が拡張公開鍵を提出することで Vault アドレスが導出でき、署名者の集合がすべて出そろった時点で Vault が有効になります。
その前に、時間をかけて決める価値のある二点はしきい値と署名者の集合です。どちらも後から変えるのは高くつきます。それ以外——ポリシー、役割、連携、通知の設定——はいつでも調整できます。
ローンチのお知らせに当初出荷された内容がまとまっており、SSP のコントラクトとアカウント抽象化のインフラは2025 年に Halborn の監査を受けました。各署名者が用いる土台の 2-of-2 モデルが初めてなら、2-of-2 マルチシグとは何かから始めてください。
