デビッド・チャウム （1955–）

Bitcoinのホワイトペーパーは、デビッド・チャウムを一度も引用していない。引用するまでもなかったのである。サトシ・ナカモトがホワイトペーパーを世に出したときには、チャウムが試みた匿名のデジタル通貨は、すでに10年以上前に作られて銀行に売り込まれ、その会社も破産していた。ビットコインの最初のブロック（ジェネシスブロック）より27年前の1982年に、チャウムは、プライバシーの問題をすでに解いていた。だが、誰を信頼すればいいのかという、もう一つの問題は解けなかった。DigiCashが歴史の片隅に消え、Bitcoinが消えなかった理由の一つは、この二つ目の問題にある。

Mixネットワークからブラインド署名へ(1955年〜1982年)

チャウムは1955年、カリフォルニア州ロサンゼルスで生まれた。1982年、カリフォルニア大学バークレー校でコンピューターサイエンスの博士号を取得した(指導教員はバーナード・マルセル・モン=レイノー)。博士論文の題は、訳せば「互いに信用していない集団が、共同で作り、保ち、信頼するコンピューターシステム」で、その要旨はこう始まる。「互いを信頼しない組織どうしでも、うまく働く設計に合意できれば、全員が信頼できる、きわめて安全なコンピューターシステムを、共同で築いて保つことができる」。物理的に守らなければならないのは「金庫と呼ぶ小さな仕組み」だけで、「金庫をいったん検査して封印すれば、誰かが開けようとしたとたん、金庫は中の情報を自ら消してしまう」。それぞれの金庫が、処理した取引に署名し、記録して、ほかの金庫へ知らせる。

ノードどうしが合意した状態には、どれも、それより前の状態を要約した値が入っている。そのため、チャウム自身の言葉を借りれば、「チェックサムは、合意した状態の履歴の最初から最後まで、実際に『鎖のように』つながっている」。全部のノードが足並みをそろえて行う動作には、どのノードも、自分の履歴が「その動作をするほかのすべてのノードと同じでない限り」加わらない。チャウムは、これを「大部分が冗長な仕組み」と呼んだ。プルーフ・オブ・ワークはなく（理論化されるのはその10年後である）、安全性は、金庫を物理的に守ることで保たれた。チャウムが学会にも論文誌にも発表しなかったため、この仕事はほとんど知られないままだった。2018年、アラン・シャーマンらの論文が、ブロックチェーンの要素の多くをすでに備えた初期の設計として、これを読み直している。

博士号を取った1982年の時点で、チャウムはすでに最初の大きな仕事を世に出していた。1981年2月号の『Communications of the ACM』に載せた論文「追跡できない電子メール、返信用アドレス、デジタル仮名」で、Mixネットワークを提唱していたのである。暗号化したメッセージを複数の中継点に通し、中継点がメッセージの順序を入れ替えて暗号化し直す。こうすれば、ネットワークを見張っている者が誰であっても、どの送り手がどの受け手に送ったのかを突き止められない。

1982年8月23日から25日、サンタバーバラで開かれたCRYPTO ‘82会議を、チャウムは自ら組織し、そこで「追跡不能な決済のためのブラインド署名」を発表した。署名する者が、中身を一切見ないままメッセージに署名できる技術である。銀行は、自分がどのトークンに署名したのかも、誰がそれを使うのかも知らないまま、そのトークンが本物だと保証できる。これを使えば、決済を現金と同じように跡をたどれないものにしたまま、本物かどうかを確かめられる。暗号の土台となる部品の一つである。チャウムは翌年これを特許化した。同じ会議で、チャウムは常設の研究団体を作ることを提案し、その団体は翌年、国際暗号研究協会(IACR)として結成された。チャウムはその創設組織委員会7人のうちの一人だった。

ブラインド署名の論文に続けて、チャウムは1985年10月、『Communications of the ACM』に「Security without Identification: Transaction Systems to Make Big Brother Obsolete」（身元を明かさない安全: ビッグ・ブラザーを時代遅れにする取引システム）を書いた。1992年8月には一般の読者に向けて『Scientific American』に「Achieving Electronic Privacy」を寄せている。副題は、はっきりこう書いている。「ブラインド署名と呼ばれる暗号の発明によって、数字が電子現金の役を果たしたり、従来の身分証明に取って代わったりできる」。

記事は、読者一人一人についてすでに集められている記録の話から始まる。電話をかけるたび、クレジットカードで買い物をするたび、雑誌を定期購読し、税金を払うたびに、「その情報はどこかのデータベースに入る」。しかも「こうした記録はすべてつなぎ合わせられ、事実上、あなたの人生を一冊にまとめた身上調書になる」。結びの一文はこうだった。「次の世紀の社会の形は、どちらのやり方が勝つかで決まるかもしれない」。

実は7年前の1985年の論文で、チャウムはすでに「身上調書」という言葉を使って、同じことを主張していた。書き出しはこうだ。「一人一人の身上調書がつくられる社会の土台が築かれつつある。そこでは、普段の買い物の取引から集めたデータで、コンピューターが一人一人の暮らしぶり、癖、居場所、付き合いを推し量れる」。論文は、ブラインド署名を「封筒とカーボン紙のたとえ」で説明した。客は白紙の伝票とカーボン紙を封筒に入れて封をする。銀行は口座から1ドルを引き、封筒を開けずに外側に「1ドルの値打ち」の署名をする。客があとで封筒とカーボン紙を外すと、銀行が一度も見ていない伝票に、銀行の署名が写っている。結びの節は、これから作られる取引システムの設計が「経済の仕組みが中央に集まっていくかどうかに、長く影響するかもしれない」と書き、「いったん方向を選ぶと、経済も社会もその流れに乗って動き出し、あとから引き返すのはますます難しくなる」と警告した。

DigiCashとeCash(1990年〜1998年)

1988年、エイモス・フィアットとモニ・ナオールとの共同研究で、チャウムはブラインド署名を、二重支払いを防ぐのに銀行と常につながっている必要のない、オフラインの電子マネーの設計へと広げた。1990年4月、この着想を事業化するためアムステルダムでDigiCashを創業し、1994年5月には、ジュネーブで開かれた第1回のワールド・ワイド・ウェブ国際会議の基調講演で、特別な機器を使わずソフトウェアだけで扱えるDigiCashの電子現金で、電子メールとインターネットを通じた支払いを実演した。同社はこれを、コンピューターネットワークを通じた世界初の電子現金の支払いだと発表している。

オランダの雑誌NEXT!は、破産のあとで同社の興亡をたどった記事（1999年1月。同年2月に英訳が出回った）で、創業のきっかけを、道路料金の自動徴収を検討していたオランダ公共事業省（Rijkswaterstaat）から請け負った仕事だとしている。当時CWIの暗号部門の長だったチャウムが若い研究者を何人か集めると、「1週間あまりで仕事は終わった」。DigiCashの「誕生」は、1990年4月21日のことである。ニコラス・ネグロポンテは、eCashを「この20年で見たなかで、一番胸の躍る製品」と呼んだ。アムステルダム・サイエンスパークの事務所を訪れた人は、そこで「自作の電子機器を使って自販機でコーヒーを買う、正真正銘の天才少年たち」に出会った。

1995年、セントルイスのMark Twain Bankが、ブラインド署名を使ったDigiCashのデジタル通貨eCashを発行する世界初の銀行となり、翌年にはDeutsche Bankが続いた。

もっと大きな契約の話は、どれも途中で消えた。Visaは約4,000万ドルの出資を申し出たと伝えられ、INGとABN Amroはそれぞれ数千万ドル規模の提携を協議し、Citibankは真剣に交渉した末に撤退した。DigiCashが大規模な普及に最も近づいたのはMicrosoftとの交渉だった。ビル・ゲイツはWindows 95にeCashを組み込みたがり、約1億ドルを提示したと伝えられるが、チャウムが示したライセンスの条件（1本ごとに料金を取る方式）で、交渉は決裂した。

元社員たちは、同じいきさつを、社内にいた立場からNEXT!に語った。みな口をそろえて、チャウムの疑り深さを挙げた。1996年8月まで同社の財務を担ったレイモンド・ストフベルフは、INGの出資に署名するはずだった日のことを、こう振り返る。チャウムは「ひどく疑り深くて、いつも何かがおかしいと思っていた」。オランダの銀行のI-Payとの契約の1週間前には、チャウムが新聞に、銀行のスマートカードの仕組みは安全でないと語り（「スマートカードは破られている」）、ABN Amroはその契約を取りやめた。Visaが4,000万ドルを出資しようとしたときは、「デビッドが突然、7,500万ドルを要求した」とストフベルフは言う。Visaの答えは「お引き取りを」だった。チャウムが何より大事にしたのは、プライバシーだった。1996年、ハネウェル・ブルの広報誌で、彼はこう語っている。「出来の悪い電子現金の仕組みと、よく練られたデジタル現金との違いが、私たちが独裁の下で暮らすか、本物の民主主義の下で暮らすかを決める」。

1996年3月、主だった社員11人が集まり、チャウムに単純な選択を突きつけることにした。「あなたが出ていくか、私たちが出ていくか」。チャウムは11人のうち2人を暫定の経営者に据えて表から退き、1年後に米国へ戻った。騒ぎが落ち着いて3か月もしないうちに社員が大勢辞め、あとに社内の冗談が残った。「DigiCashを生き延びられたら、人生で何が来ても大丈夫」。1998年、創業から8年を経てなお、DigiCashが獲得した加盟店はわずか数百、利用者は数千人にとどまっていた。同年、同社は破産を申請し、特許と残りの資産は売られて、やがてeCash Technologiesの手に渡り、2002年にはその残りをInfoSpaceが買い取った。NEXT!の記事は、バークレーで見かけられたチャウムの姿で終わる。「彼は時代のはるか先を行っていた。先を行きすぎていた」。

DigiCashが埋められなかった溝

DigiCashのeCashは、物理的な現金と同じ意味で匿名だった。ブラインド署名が、トークンの履歴を発行銀行から隠していたのである。しかし、eCashのトークンはどれも、銀行が発行し、銀行が換金しなければならなかった。この仕組みは、個々の取引を銀行に見られないようにしただけで、通貨そのものを銀行から切り離したわけではなかった。サトシが解こうとしたのは、チャウムが解けなかったほうの問題だった。決済を特定の機関から隠すのではなく、決済を確定させる機関そのものを置かなかった。銀行の署名の代わりにアダム・バックのプルーフ・オブ・ワークを使い、二重支払いを割に合わないものにしたのである。1997年のHashcashの発表でも、Hashcashは、当時もっとも進んだデジタル通貨だったDigiCashやeCashと競うものではなく、それを補うものとされていた。

サトシ自身がこの溝をはっきり言葉にしたのは、ビットコインを公開したあとである。2009年1月には「信頼された第三者に頼るシステム（Digicashなど）が10年以上も失敗続きだった」と書き、2月には「それがチャウム式システムのアキレス腱だった。中央の会社が閉鎖されると、その通貨も使えなくなった」と書いた。コードを書いていたころのサトシがチャウムの仕事を読んでいた、という記録はない。コードが仕上がる前にサトシが何を知っていたかを調べた分析でも、見つかっていない。

その後のチャウムと、DigiCashの失敗が示したもの

チャウムはその後も、プライバシーを手放さなかった。DigiCash破綻後もアムステルダムのCWIを拠点にプライバシー保護暗号技術の研究を続け、2016年からは、中身を他人に知られずにやり取りできる通信と、量子計算機にも破られない暗号を組み合わせた、xx networkというブロックチェーンの設計を始め、2021年にメインネットを稼働させた。彼の教え子たちもまた、その姿勢を受け継いだ。レン・サッサマンは、のちに自身もサトシ候補として名の挙がった人物だが、2011年の死去当時、KU LeuvenのCOSIC研究グループで、チャウムの指導を受ける博士課程の学生だった。ブラインド署名という技術そのものも、DigiCashより長く残った。チャウムが1983年に特許を取ったその仕組みは、今、BitcoinのLightning Networkの上に作られた電子現金のプロトコルを支えている。チャウムの方式にならい、発行所（ミント）が署名する仕組みである。

DigiCashの失敗は、根本的には暗号技術の問題ではなかった。ブラインド署名は設計どおりに働いた。多くの決済システムは、広まらないことと競争に負けることでつぶれてきた。DigiCashには、その二つのほかに、もう一つ足かせがあった。自社の手で完全には管理できない通貨を出しているのに、その通貨の保証を銀行に頼らなければならなかったのである。銀行が一つ倒れればそれで終わる、この依存（単一障害点）こそ、10年後にBitcoinがなくそうとしたものだった。