Zcash のターンスタイル：プールを跨ぐと何が公開されるか

Zcash の取引はほとんどすべてを隠します。誰が送ったか、誰が受け取ったか、いくら動いたか。ほとんど、です。暗号化を抜けて残る数字が一つあります。value balance——その取引が各シールドプールに純いくら入れ、純いくら出したか。Zcash はプール境界を越えて価値を動かす取引を pool-crossing transfer、それを意図的に行う慣行を turnstile（ターンスタイル）と呼びます。比喩は文字どおりで、一人ずつ改札を通り、改札が人数を数えます。ここでは、そのカウンターが何を示すのか、設計者がなぜ意図的に公開したのか、そして 2026 年に Orchard が止まり Ironwood が取って代わったことで何が変わったのかを扱います。 (ZcashとMonero 2026比較)

なぜカウンターが必要なのか。 シールドプールは個々の記録を隠す暗号学的台帳ですが、残高は持っています。その残高を強制する数学が壊れたら——たとえば証明系の健全性バグ——誰かがプール内で価値を偽造しても、外部の観測者には分かりません。記録がすべて暗号文だからです。捕まえるには、プールの帳簿と公開チェーンが突き合わされる場所が要ります。ZIP-209 の規則はこうです。各プールのチェーン上の価値残高は決して負にならず、全プールの合計は MAX_MONEY（2,100 万 ZEC）を超えない。ターンスタイルはこの規則を実際に効かせます。偽の価値をプールの外で使うには境界を越える必要があり、越えた瞬間に金額は公開の数字になります。 (ZcashとMonero 2026比較)

2026 年、理論は事故報告になった。 2026-05-29、セキュリティ研究者 Taylor Hornby が Orchard プロトコルの AI 支援監査のなかで、Orchard Action 回路実装の健全性脆弱性を報告しました（GHSA-ww9q-8r59-xv46）。ZIP-257 によれば、残高の破壊と資金窃取を許しうるものでした。対応は Orchard の即時停止です。2026-06-02 03:30:07 UTC に採掘されたブロック 3,364,326 以降、バージョン 5 以降の取引は Orchard アクションを一切含んではならないとされました。緊急修正は zcashd v6.12.5 と zebra v4.5.3 として配布され、60 ブロック早い時点での最初の試みは一部のマイニングプールが更新に間に合わず破棄されています。Orchard は 2026-06-03 04:03:08 UTC の高さ 3,364,600 で NU6.2 により復帰しました。274 ブロック、24 時間 33 分後です。壊れた変基点スカラー乗算の gadget は halo2_gadgets 0.5.0 と orchard 0.14.0 で修正され、検証鍵が新しくなり、証明長の正規化規則も加わりました。

そしてプール自体が入れ替わった。 NU6.3 は 2026-07-28 14:07:23 UTC、高さ 3,428,143（コンセンサスブランチ 0x37A5165B）で有効化され、Ironwood プールを導入しました。Orchard プロトコルの後継で、note は設計上量子回復可能（ZIP-2005）、供給の完全性は公開前に形式検証されています。このブロック以降、Orchard プールは「出るだけ」です。コインベース取引は Orchard アクションを含められず、すべての Orchard アクションはクロスアドレス転送を無効にして作らなければならず、valueBalanceOrchard は非負でなければならない——新しい価値は入れない、というのをコンセンサスの言葉で書いた形です。価値は自由に出ていけます。Ironwood へターンスタイルを渡る経路も含めて。ZIP-326 はウォレット側の規則を足します。有効化後は Orchard レシーバーへ送金してはならない。Orchard 専用アドレスは「使えるが受け取れない」アドレスになったわけです。

跨ぎは生のバイト列でどう見えるか。 2026-10-26 13:57 UTC に採掘されたブロック 3,531,339 のバージョン 6 取引を復号して、改札の働きを確認しました。取引 73909deb は 15,512 バイトで Ironwood アクションを 4 つ持ち、valueBalanceIronwood に +2,546,022,971 zats を宣言しています。25.45999971 ZEC がプールを出て単一の透明 t1 出力へ入り、うち 25,000 zats が手数料として残ります。取引 512a113d は 9,166 バイト、Ironwood アクション 2 つ、価値残高はちょうど +10,000 zats——可視の動きが手数料だけの転送です。これらのバイト列の内側で、受取人・メモ・note の金額は暗号文のままです。公開されるのは残高だけ。跨ぎは「いくら動いたか」を告げ、「誰が動かしたか」は告げません。 (ZcashとMonero 2026比較)

手数料と、ブロックエクスプローラーの罠。 ZIP-317 は論理アクションあたり 5,000 zats、ただし最低 2 アクション分を課します。慣例手数料 = 5,000 × max(2, 論理アクション数)。NU6.3 で発効した Revision 1 により Ironwood アクションは 1 つずつ数え、透明入力・出力は 150 バイトと 34 バイト単位で換算されます。したがって 2 アクションのシールド転送は 10,000 zats（0.0001 ZEC、ZEC 1,217.56 ドルで約 12 セント）、4 アクション＋透明出力 1 個は 25,000 zats で約 31 セントです。検証中に踏んだ罠を一つ。私たちが照会したエクスプローラーは、まさにこれらの取引の手数料を 0 と表示しました。value balance という概念を持っていないからです。シールド取引を監査するときは、生のバイト列から valueBalanceOrchard と valueBalanceIronwood を読んでください。ラベルは嘘をつきます。 (ZcashとMonero 2026比較)

移行がなぜあんなに機械的なのか。 ZIP-318（Orchard から Ironwood への移行設計）は、プライバシーの代価を明示的に値付けしている点で最も示唆に富む文書です。跨ぎの純額は公開されるので、素朴に移行すれば残高を一度に公表するのと同じです。草案は代わりに、移行取引を「アンカーの境界」でコホートに分けます。144 ブロックごと、75 秒目標で約 3 時間ごとの境界を共有させることで、あなたの取引は他の全員の取引に紛れます。使うのは n × 10^k（n は 1・2・5）という規範的な額面だけで、1 取引が Orchard note を 1 つだけ使い Ironwood 出力を 1 つだけ作ります。しきい値未満の端数は意図的に移行せず残し、奇妙な余りが指紋にならないようにします。各部分は独立なので、日程全体を事前署名して、前の取引の釣り銭の確認を待たずに一斉に放送できます。

ネットワークは制約ではない。 連続 600 ブロック（高さ 3,530,741 から 3,531,340、12.45 時間）を取得しました。ブロックサイズの中央値は 14,133 バイト（上限 2 MB）、最大 889,107 バイト、600 ブロックのうち 181 ブロック（30.2%）は取引が 1 件以下でした。平均ブロック間隔は 74.8 秒。NU6.3 以降、チェーンは 89 日 23 時間 53 分で 103,197 ブロックを追加し、平均 75.35 秒、75 秒目標にほぼ一致しています。移行のトラフィックは何とも競合していません。跨ぎは数セントで、行列は空です。

実際にスワップするときの意味。 第一に、ZEC は NU6.3 以降にウォレットが生成したアドレスで受け取ってください。できれば現行ウォレットの統合アドレスです。Orchard 専用の文字列にはもう入金できません。第二に、金額の公開され方はアドレスと違います。透明 t1 アドレスから払えば入金はチェーン上で完全に見え、Ironwood から払えばアドレスは保たれるものの跨ぎの金額は value balance として公開されます。シールド由来は「見えない数字」を意味しません。第三に、確定前に値段を取ること。2026-10-26 14:02〜14:06 UTC の当方の ZEC 見積りは、下限 26.797546 USDT、100 USDT が 0.06616125 ZEC、5,000 が 4.00967624、20,000 が 16.08030112 ZEC。100 USDT では 1 ZEC = 1,511.46 USDT、20,000 USDT では 1,243.76 USDT となり、現物 1,217.56 ドルとの差は、小口では 1 注文あたりおよそ 15〜18 ドルの固定課金で、ネットワーク手数料ではありません。ZEC→XMR は 2.0254、XMR→ZEC は 0.47483 で、往復 3.8% の目減りです。レートは動きます。見積ページが唯一の根拠です。 (XMR→USDT 出口ルート)

何を信じているのか、率直に。 回路が監査の言うとおりに動くこと——2026 年 5 月の報告と修正後の検証鍵が、どんな宣伝文句より重要な理由です。ZIP-209 の残高不変条件が、ダッシュボードに載っているからではなく、すべてのノードによって強制されること。そして Ironwood プールが価値を受け入れる前に供給の完全性が検証されていたこと。加えて、鍵を持つ人が有能であること。以上はいずれも、侵害されたウォレットが漏らす note を守りません。ターンスタイルがしないこと：跨ぎの金額を隠す、透明の一区間を私的にする、移行を省略させる。するのは一つだけ——貸借対照表を一円も公開せずに、シールドプールの帳簿を正直に保つこと。2026 年、その性質は 12 週間で二度試されました。