BitcoinのBIP138提案、ロックされたマルチシグウォレットの救済を目指す

ビットコインのBIP138ウォレットバックアップ提案が、9月21日にBitcoin Improvement Proposalsリポジトリにマージされましたが、仕様はDraft（ドラフト）のままです。これは、複雑なウォレットにおいてシードフレーズだけでは復元できない情報を保持することを目的としています。トレードオフとして、適格な拡張公開鍵（xpub）をすでに保持しており、暗号化されたバックアップのコピーを入手した場合、第三者がその情報を読み取ることが可能になる点があります。

マルチシグネチャウォレットは、複数の署名者を必要とします。そのdescriptor（ディスクリプタ）は、ウォレットソフトウェアにアカウントの再構築方法やコインの探し方を指示する公開鍵と支出ルールを記録します。シードフレーズは1人の署名者の秘密鍵を再生できますが、ディスクリプタを紛失すると、そのシードだけではマルチシグやminiscriptのスクリプトを再構築できなくなる可能性があります。

この提案は別の失敗例についても説明しています。1つのシードの紛失に耐えられるように設計されたウォレットでも、その署名者の公開鍵も失う可能性があります。その場合、残りの署名者はコインを回収するために必要なスクリプトの一部を欠くことになります。これらは、支出設定がシード以外の情報に依存しているウォレットにとってのリスクであり、すべてのビットコインウォレットにこのバックアップが必要であるという主張ではありません。

BIP138の解決策は、ディスクリプタ、ウォレットポリシー、またはその他のシード以外のメタデータを保持する暗号化されたファイルです。秘密鍵の構成要素は、暗号化の前に削除する必要があります。バックアップされたウォレットの適格なxpubの保持者は、ウォレットのシードがなくてもコピーを復号できます。これにより、リカバリに必要な公開鍵とスクリプト構造が明らかになりますが、xpubだけでは、署名に必要な秘密鍵を保持者に与えることはありません。

ドラフトでは、誰が復号できるかに制限を設けています。スクリプトに直接現れる公開鍵や、支出によって公開される可能性のあるxpubルートは、リカバリキーから除外されます。共同署名者の鍵が除外されている場合、その人物はファイルを開くためにそれを使用することはできません。これらの制限により、オンチェーンの公開鍵がオフチェーンのバックアップの鍵になるのを防いでいます。

privacy warning（プライバシーに関する警告）は、マルチシグウォレットが作成される前に公開されたxpubに関連しています。ウォレットサービスのサーバーがすでにアカウントのxpubを知っており、その同じxpubが適格なマルチシグキーとして再利用された場合、サーバーがバックアップのコピーを入手すれば復号できる可能性があります。サーバーは内部のウォレットメタデータを知ることができますが、これ自体が支出権限を与えるわけではありません。BIPは条件付きの露出について説明しており、報告された侵害ではありません。

public Rust implementation with command-line build instructions（コマンドラインのビルド手順を含む公開されたRust実装）が存在します。BIPによると、Bitcoin walletであるLianaは、現在のBIP138ファイルと互換性のない以前のバックアップ形式を使用しています。したがって、この提案のマージは公開されたドラフトを確立するものであり、ビットコインネットワークの変更や、現在のウォレットがこの形式を作成および復元できることを保証するものではありません。

記事New Bitcoin proposal rescues locked multisig wallets – At a hidden costはCryptoSlateに最初に掲載されました。