BitVMとは？Bitcoinでスマートコントラクトを実現する仕組み

BitVMは、Bitcoinのコンセンサスルールを変更せずに、任意のプログラムをBitcoin上で検証できるようにする計算設計です。計算自体は2者間でオフチェーン実行され、どちらかが虚偽の主張をした場合にのみ、Bitcoin上では短いチャレンジ・レスポンスのやり取りが行われます。Robin Linusは2023年10月9日に原論文を公開し、その後に構築された多くのtrust-minimisedなBitcoinブリッジ設計の基盤になりました。

着想は洗練されていますが、実運用の歩みは一様ではありません。Bitlayerが構築した最大級の本番実装であるBitVMブリッジは、稼働開始からおよそ11か月後の2026年6月3日に終了しました。なぜそうなったのかを理解するには、まず仕組みを把握する必要があります。理由は暗号技術そのものより、経済性にあるためです。

BitVMの概要

重要なのは下から2行目の項目です。BitVMを投資対象として扱う記事は、多くの場合、別のもの、つまりそれを実装するチームが発行したトークンを説明しています。

BitVMとは何か

Bitcoinのスクリプト言語は意図的に小さく保たれており、現在もその性質を維持しています。ループはなく、永続的なコントラクト状態もなく、オペコード集合も制限されています。そのため、ネットワークにはEthereumの仮想マシンに相当するものが長く存在してきませんでした。これを追加するにはコンセンサス変更が必要であり、Bitcoinのコンセンサス変更は、実現するとしても長い議論を要します。

BitVMは、この問題を「プログラムをBitcoin上で実行しない」ことで回避します。

2者はあらかじめプログラムに合意し、その各ステップを符号化したBitcoinトランザクションのツリーに事前署名します。次に一方の当事者であるproverがプログラムの出力について主張し、担保を差し入れます。主張が正しければ、それ以上何も起きず、チェーンは計算を一切見ません。主張が誤っていれば、もう一方は計算が破綻する正確なステップまでBitcoin上で争点を絞り込み、通常のトランザクション内で不一致を証明して、その担保を取得できます。

2023年の設計では、プログラムは論理ゲート回路として表現され、Merkle treeにコミットされます。両者は数ラウンドをかけて争点を絞り込み、最終的にBitcoinが評価可能なほど低コストな単一ゲートへ到達します。BitVM原論文では、このモデルは「計算の実行」ではなく「計算の検証」として説明されており、これはoptimistic rollupが採る発想を、そうした用途向けに設計されていないチェーンへ適用したものといえます。

これは会計システムというより監査条項に近い仕組みです。Bitcoinが帳簿処理を行うのではありません。代わりに、エラーが検出されたときに何が成立条件になるかを事前に合意し、それを誰かが提示した際に支払いを実行します。

なぜBitcoinに必要なのか

およそ1兆ドル規模の価値が、ネイティブには貸し出し、担保化、またはプロトコルへの組み込みが難しいチェーン上に存在しています。これを解決しようとする過去の試みは、最終的に多くの場合、カストディアンや名指しのフェデレーションに裏付けられたラップドトークンへと行き着いてきました。このモデルは、関係者が共謀したり外部から強制されたりしない限り機能しますが、失敗時の影響は大きくなり得ます。

また、ブリッジは実際に資金損失が発生しやすい領域でもあります。2026年のDeFiブリッジ攻撃の解説ではその典型的なパターンを扱いましたが、共通点は暗号プリミティブの破綻であるとは限らず、少数の鍵が実質的に単一の支配に収れんしていた点にあります。

BitVMの主張は、Bitcoin保有者が誰かの多数決を信頼しなくてもよい可能性を示すことにあります。参加者グループのうち1人でも正しく行動すればシステムの整合性を維持できるなら、集団全体として対立的であってもペグは維持されます。これは、Ethereum Layer 2ソリューションが行う主張とは異なります。Ethereumは自らの実行環境内で証明を直接検証できますが、Bitcoinにはその機能がありません。

BitVMは実際にどう動くのか

完全なプロトコルはさらに深い内容を含みますが、全体像は5つの手順に要約できます。

1. セットアップで全てを事前署名する

BTCが動く前に、参加者グループは、紛争で起こり得る全ての分岐をカバーするBitcoinトランザクションのグラフに共同署名します。その結果、どの一部の参加者も恣意的に支出できないアドレスが生まれます。存在する支出経路は、彼らが署名したものに限られるためです。Bitlayer自身のBitVM Bridge設計記事でも、少なくとも1人の委員会メンバーが秘密鍵を削除すれば、残りの参加者がその資金移動能力を再構成することは計算上きわめて困難になると説明されています。

2. ユーザーが入金し、ペグ資産を受け取る

BTCは事前署名済みアドレスに預け入れられ、移転先チェーンでは1:1の表象資産が発行されます。BitlayerではYBTC、CitreaではcBTCと呼ばれています。名称は異なっても会計上の考え方は同じで、流通する各単位は、運営者が任意に取り出せないロック済みコインに対応する想定です。

3. 出金はオペレーターが先に立て替える

ユーザーが退出のためにペグ資産をバーンしても、Bitcoin側のコントラクト解消をその場で待つわけではありません。Bitlayerの設計でbrokerと呼ばれる利潤追求型のオペレーターが、自らの在庫から即座にBTCを送付し、その後ロック済み資金から自己償還するための請求を行います。体験が速く感じられるのは、別の主体が時間リスクを引き受けているためです。

4. その請求はチャレンジ期間に置かれる

オペレーターの償還請求はoptimisticであり、異議が出ない限り正しいものとして扱われます。Bitlayerの異議申立期間はおよそ1週間、BitVM2構成を使うCitreaのClementineブリッジでは約2週間です。その間、監視者が問題を見つけない限り、特段の処理は起こりません。

5. チャレンジャーがオンチェーンで請求を否定する

オペレーターが権利のない償還を請求した場合、監視している誰でも争点をBitcoin上に持ち込めます。これを実用的にしたのが2024年の改訂です。BitVM2論文によれば、異議申立はpermissionlessになり、固定委員会ではなくフルノードを動かす任意のユーザーが実行可能になりました。また、誤ったオペレーターは長い対話型手順ではなく、3件のオンチェーントランザクション以内で否定できるようになりました。オペレーターは担保を失い、正しい結果が回復されます。

重要なのは、手順3から5までがセキュリティモデルの核心だという点です。オンチェーンオラクルも、投票も、上訴手続きもありません。誰かが監視しており、誰かが他者の不正を証明するためにBitcoin手数料を支払う意思を持っている必要があります。

BitVMとフェデレーテッド・サイドチェーンの比較

フェデレーテッド・サイドチェーンは10年以上前に同じ問題へ取り組み、管理者を明示したうえで、そのグループへの信頼をユーザーに求めました。両者を並べると、BitVMが得るものと負担するものが見えやすくなります。

どちらにもコストはあります。フェデレーションは速度と問い合わせ先を提供します。一方でBitVMは、参加者全員が不誠実である状況にも耐えうるセキュリティ前提を目指す代わりに、チャレンジ期間と実際の手数料負担を伴います。

どのような信頼前提があるのか

BitVMはtrustlessではなくtrust-minimisedと表現されることが多く、この違いは重要です。保証が意味を持つには、少なくとも4つの前提が同時に成り立つ必要があります。

1. 1-of-n前提が成立していること

これは最も目立つ主張であり、フェデレーション型より弱い信頼前提である点は確かです。Bitlayerの資料でも、コントラクトは正しく行動する参加者が1人いれば成立すると説明されており、Citreaのメインネット発表でも、少なくとも1者が誠実であれば不正なブリッジ活動はBitcoinメインネット上で争えるとされています。ただし、すべての参加者が協調して不誠実であれば、この前提は成立しません。

2. 誰かが実際に鍵を削除していること

セットアップ時のセキュリティは、その後に参加者が鍵素材を破棄することに依存します。しかし、それが実行されたかを外部から証明することはできません。これは暗号分野のtrusted setup全般に見られる構造的な弱点であり、参加者を信頼しなくてよいと訴求される設計でも、参加者の身元や評判がなお重要である理由です。

3. 誰かがチャレンジ期間を監視していること

異議のない不正請求は通ってしまいます。プロトコルは、監視者が存在し、オンラインであり、状態同期済みで、かつ期限内に異常へ気付くことを前提とします。この前提は、ブリッジが活発で価値が大きいほど満たしやすく、静かなブリッジほど弱くなりやすい傾向があります。

4. チャレンジャーが異議コストを負担できること

紛争はBitcoinのブロックスペースで発生し、ブロックスペースは無料ではありません。BitVM3論文では、BitVM2の最悪ケースにおける紛争コストは約16,000ドルとされており、チャレンジャーには即応資金と、それを支出する合理性が必要になります。ある閾値を下回ると、不正を見逃す方が合理的になる可能性があり、その場合セキュリティモデルの拘束力は弱まります。

BitVMは実際にどこで使われているのか

Bitlayerは最初の機能実装を公開し、2025年7月にYBTCとともにBitVM Bridgeのメインネットベータを開始しました。この展開は現在利用できず、トークン、終了時系列、関連数値については、本稿とあわせて読むBitlayer解説で扱っています。

2026年8月26日時点の稼働例はCitreaです。このBitcoin ZK-rollupは、2026年1月27日にメインネットを公開し、本番ブリッジとしてClementineを導入しました。Clementineは、N-of-Nマルチシグで入金を扱うsigner、出金を立て替えるoperator、そして不正を行うoperatorを否定するインセンティブを持つwatchtowerへ役割を分割しています。Citreaはブリッジ署名者の身元を公開しており、1-of-n前提であっても、そのnが誰かを知ることには意味があると認めているともいえます。

BOBやGOAT Networkを含む他チームも、BitVMベースのブリッジをテストネット段階で公開しています。ただし、テストネットと本番は別物であり、実BTCを保持したまま争いのある出金を処理できるかどうかにこそ、本稿の論点があります。Bitcoinスケーリング手法を比較したい読者には、Stacks、Citrea、Bitcoin Hyperの比較が参考になります。また、BTC活用の道はブリッジだけではなく、Babylonのようなステーキング系プロトコルは全く異なる方向から同じ課題に取り組んでいます。

リスクと未解決課題

1. 紛争コストが高く、行動を変えてしまう可能性がある

誰かが高額を支出して初めて機能するセキュリティモデルには、それが成立しにくくなる下限があります。2026年5月公開のBitVM3はこの点の改善を主目的とし、計算をオフチェーンのgarbled circuitsへ移し、オンチェーン総コストを論文上およそ9ドルまで下げられるとしています。これは大幅な改善ですが、現時点では新しい仕様であり、広く展開済みのシステムではありません。

2. 設計はオペレーターの流動性立て替えに依存する

高速出金には、誰かが自分のBTCを先に出し、数週間後の償還を待つ必要があります。これは資本集約的で利幅の薄い事業になりやすく、オペレーターが見合わないと判断すれば、ユーザーは遅い経路しか使えないか、選択肢が限られる可能性があります。これは技術的な見た目をした市場リスクです。

3. 出金は設計上遅い

1〜2週間のチャレンジ期間は、単なる最適化待ちの不具合ではありません。不正を検知するための期間そのものであり、短縮すれば保証も直接弱まります。BitVMブリッジを取引用レールとして扱うのは、その用途理解として適切とはいえません。

4. ペグ資産は依然としてブリッジ資産である

YBTC、cBTC、その他の同種資産は、コインそのものではなく、ロック済みコインに対する請求権です。移転先チェーン上のコントラクトリスク、取引プールの流動性リスク、償還経路への信認が崩れた場合のデペグリスクを伴います。BitVMが保護するのはロック部分であり、その先流通する市場まで自動的に守るわけではありません。

5. マーケティング表示が製品寿命より長く残ることがある

2026年8月26日時点でbitlayer.orgを確認すると、トップページにはYBTCとBitVM Bridgeが利用可能な製品として表示され、入金やTVL数値も付いています。一方、同社ブログの2026年5月27日付告知では、サービス終了が発表されています。同じドメイン上に両方が存在するため、ランディングページは広告、告知フィードは記録として読む方が適切です。

6. 仕様は実装の下で動き続けている

3年足らずで3バージョンが登場し、それぞれ紛争メカニクスを大きく変えています。最初の版に基づく実装は、成熟前に構造的な旧式化へ直面した可能性があります。これは初期研究としては自然ですが、そこにBTCを預けた利用者にとっては別問題です。

BitVMは実資金に対応できる段階か

仕組み自体は概ね設計どおりに機能しており、そこが主な未解決点ではありません。複数回実装され、メインネット上でペグを維持した実績もあり、Citreaは2026年1月以来本番運用を続けています。公開情報の範囲では、BitVMコントラクト自体が攻撃者に破られたことを示す記録は見当たらず、本稿の契機となった終了事例もハッキングではありませんでした。

未解決なのは経済性です。Bitlayerの終了告知では、2026年5月28日にbridge-inを停止し、保有者に6月3日までのbridge-out期間を設けたうえで、残余資金はSecurity Councilが基礎BTC準備に照らして直接引き出し、Ethereum上の未償還YBTCをバーンすると説明しています。この告知では終了理由を「アーキテクチャ刷新」と位置づけていますが、後継製品名や再開時期は示されていません。これを、その2週間前に公表されたBitVM3論文と並べて読むと、BitVM2の紛争コストやオペレーター担保要件そのものが参加障壁になっていた、という整合的な見方ができます。つまり、第1世代は運用コストが高く、取扱高が薄く、十分な規模に達する前に、より安価な設計へ置き換えられつつあった可能性があります。

したがって、答えは何を問うかによって変わります。実問題を解く設計として見れば、BitVMはコンセンサスに手を加えずにBitcoinをコントラクトへ接続するうえで、現時点で最も有力な方法の一つです。一方、2026年8月時点で大きな資金を置く先として見るなら、本番展開はまだ若く、稼働中は1件、主力実装の1つは終了済みで、仕様は実装が進む間にも複数回変化しています。

最後に

TVLよりも、オペレーター数とチャレンジ活動を見る方が有用です。大きな残高を持ちながらwatchtowerが活発でないBitVMブリッジは、規模が小さくても不正検知の経済的動機を持つ主体が複数いるブリッジより安全とは限りません。1-of-n前提は、ロック額ではなく、誰が注意を払っているかに関する命題だからです。

次の重要な節目は、意味のあるBTC残高を持つBitVM3ブリッジが本番で稼働することです。紛争コストが5桁ドルではなく1桁ドル水準になれば、この設計の主張はより強まります。それが実装され、争いのある出金を無事に乗り切るまでは、現時点の公正な整理として、Bitcoinにはオフチェーン計算を検証する実用的手法はあるが、それを執行する人々の市場設計はまだ十分に成熟していない、といえます。

洗練された暗号設計は、必ずしも大きな音を立てて失敗するわけではありません。ときに、将来の刷新を理由に静かに終了し、その後の具体的な予定は示されないままになることがあります。

よくある質問

BitVMはブロックチェーンですか、それともトークンですか。

どちらでもありません。BitVMはBitcoin上で計算を検証するための仕様であり、製品というよりプロトコル標準に近い位置づけです。そのため、BitVM自体を直接表す購入対象は存在しません。これを実装するチームが発行するトークンは、その企業や実行力へのエクスポージャーであり、設計そのものの健全性とは別の論点です。

BitVMにはBitcoinのソフトフォークが必要ですか。

不要です。これはBitVMの最も重要な点の一つです。Bitcoinがすでに持つオペコードの範囲で動作するため、論文公開から2年足らずでメインネット運用へ進みました。一方で、OP_CTVやOP_CATのようなコンセンサス変更を要する提案は、より効率的になる可能性があっても、まずネットワーク合意が必要です。

BitVMブリッジが終了したら、自分のBTCはどうなりますか。

これは運営側の対応に大きく依存し、設計そのものではカバーしきれない信頼前提です。Bitlayerはbridge-out期間を明示し、終了後は未償還YBTCと準備資産の照合を行うと説明しました。そのため、その期間を逃した利用者は、コントラクトによる自動処理ではなく、個別対応に近い出口へ依存する形になりました。

BitVMはBitcoinサイドチェーンと何が違いますか。

サイドチェーンはBTCを独自のバリデータ集合やフェデレーションで保護される別システムへ移すため、コインの安全性はその集団の安全性に依存します。BitVMブリッジは、BTCをBitcoin上のコントラクトでロックし、参加者のうち1人が正しく執行すればよい前提に置きます。これはより弱い信頼前提ですが、その代わりに出金の遅さや紛争コストを伴います。

本記事は情報提供のみを目的としており、金融または投資助言を構成するものではありません。暗号資産取引には大きなリスクが伴います。取引判断を行う前に、必ずご自身で調査してください。