Radio Script — "New Cryptography Inside Solana" (about 15 minutes, two voices)

Hello and welcome back to the show. Today's theme: the new cryptography arriving inside the Solana blockchain. Four new tools — and by the end of this episode, you will know what each one does, without a single formula.

こんにちは、番組へようこそ。今日のテーマは、ソラナのブロックチェーンに届きつつある新しい暗号です。新しい道具が4つ。この回が終わるころには、そのひとつひとつが何をするものか、数式ひとつ使わずにわかるようになります。

No pretending needed. Everything today comes down to three ideas. Points can be added together. Adding cannot be undone. And envelopes can be summed up without ever being opened.

ふりは要りません。今日の話は、結局3つの考えに行き着きます。点は足し合わせられる。足したものは元に戻せない。そして封筒は、開けないまま合計できる。

All three will make sense by the end. Between twenty twenty-five and twenty twenty-six, the Solana runtime — the engine that executes programs on the chain — gained four cryptographic features. Three are already live. The fourth is still just a proposal.

3つとも、終わるころには腑に落ちますよ。2025年から2026年にかけて、ソラナのランタイム ── チェーン上でプログラムを動かすエンジンですね ── に、4つの暗号機能が入りました。3つはすでに動いています。4つめは、まだ提案の段階です。

One, a curve called B N two fifty-four. Two, a curve called B L S twelve, three eighty-one. Three, the Zero Knowledge ElGamal proof program — ElGamal, spelled E L G A M A L, is the cryptographer who invented it. Four, the proposal: a hash function called SHA five twelve, SHA spelled S H A.

ひとつめ、ビーエヌ254という曲線。ふたつめ、ビーエルエス12、381という曲線。みっつめ、ゼロ知識エルガマル証明プログラム ── エルガマルは、イー・エル・ジー・エー・エム・エー・エル と綴る、この方式を考えた暗号学者の名前です。よっつめ、これが提案中のもので、シャー512というハッシュ関数。シャーは、エス・エイチ・エー と綴ります。

Great instinct. Let's start with a quiz, the same one we would give a listener. Imagine a document that one thousand people have signed, digitally. You need to verify it on a blockchain, where every step of computing is metered against a strict budget. What is the cheapest way? Option one: check all one thousand signatures, one at a time. Option two: somehow fold the one thousand signatures into a single signature, and check that one, once.

いい勘です。まずクイズから始めましょう。リスナーの方に出すのと同じ問題です。1000人がデジタルに署名した書類があるとします。これをブロックチェーン上で検証しなければなりません。計算のひと手間ごとに、厳しい予算に対して計量される世界です。いちばん安く済ませる方法は? 選択肢その1、1000個の署名をひとつずつ、全部確かめる。選択肢その2、1000個の署名をなんとかして1個の署名に畳み込み、それを1回だけ確かめる。

You can, and that is the punchline of this entire episode. Digital signatures, in the systems we are talking about, are secretly just points on a mathematical curve. And points on these curves can be added together. If you can add two signatures, you can add a thousand. The pile collapses into one point, and one check settles everything.

できるんです。そしてそれが、この回全体のオチでもあります。いま話している仕組みの中では、デジタル署名の正体は、数学的な曲線の上の点にすぎません。そしてこの曲線上の点は、足し合わせることができます。署名を2つ足せるなら、1000個だって足せます。山がひとつの点に潰れて、1回の確認ですべてが片づきます。

Because knowing the trick and affording the trick are different things. Every Solana transaction has a strict computing budget, measured in compute units — from here on, C U. The ceiling is one million four hundred thousand C U per transaction. Spelling out this curve arithmetic by hand blows straight through it. The math was legal, but unaffordable.

手品を知っていることと、その手品を買えることは別だからです。ソラナのトランザクションには、コンピュートユニットという単位で計られる、厳しい計算予算があります。ここから先はシーユーと呼びましょう。上限は、1トランザクションあたり140万シーユーです。この曲線の計算を手作業で書き下すと、そこを一直線に突き抜けてしまいます。数学としては正しいのに、値段が合わなかったのです。

A discount measured in orders of magnitude. The new features are syscalls — think of a dedicated chip pre-installed inside the runtime. Your program calls one line, and an optimized native implementation does the heavy lifting. One published figure: a certain multiplication on the B N curve costs about fifteen thousand eight hundred C U through the syscall. Written by hand, the same operation does not fit in a transaction at all.

桁で測るような値引きです。新しい機能はシステムコールと呼ばれるもので、ランタイムの中にあらかじめ差し込まれた専用チップだと思ってください。プログラムは1行呼ぶだけで、最適化されたネイティブの実装が重い仕事を引き受けます。公開されている数字をひとつ。ビーエヌ曲線のあるかけ算は、システムコール経由でおよそ1万5800シーユーです。手で書いた場合、同じ演算はそもそもトランザクションに収まりません。

On an elliptic curve — picture a smooth, symmetrical wave drawn on graph paper. The points on that wave have their own kind of addition: pick two points, draw the straight line through them, find where it crosses the curve a third time, and flip that spot over the horizontal axis. That is the sum. Why that rule, is a longer story — what matters is the guarantee that any two points always produce exactly one answer. And here is the second big idea. In this world, there is no division. No undo button.

楕円曲線の上です。方眼紙に描かれた、なめらかで左右対称の波を思い浮かべてください。その波の上に乗っている点たちには、独自の足し算があります。2つの点を選び、その2点を通る直線を引き、その直線が曲線と3度目に交わる場所を見つけ、そこを横軸の反対側にひっくり返す。それが「和」です。なぜその規則なのかは長い話になります。大事なのは、どんな2点からも必ず答えがちょうどひとつ出るという保証のほうです。そしてここからが2つめの大きな考えです。この世界には、割り算がありません。取り消しボタンもありません。

Your secret key is a number — the count of times you added a special starting point to itself. The public key is where you landed. Going forward is instant. Going backward has no shortcut — only brute force, trying one, two, three, and so on. On the real curves the candidates number roughly a one followed by seventy-six zeros. Every computer on Earth, combined, would not finish.

あなたの秘密鍵は数です。ある特別な出発点を、自分自身に何回足したか、その回数です。公開鍵は、その結果たどり着いた場所です。行きは一瞬です。帰りには近道がありません。あるのは総当たりだけ ── 1回、2回、3回、と試していくしかない。実際の曲線では、候補の数はだいたい1のあとにゼロが76個並ぶくらいです。地球上のコンピュータを全部合わせても、探索は終わりません。

Exactly. Easy going out, impossible coming back. That one-way street is the entire foundation of public key cryptography. Now, with points that add and a street that only runs one way, we can build our first real application: the multisignature wallet, or multisig for short.

そのとおりです。行きは簡単、帰りは不可能。この一方通行こそが、公開鍵暗号の土台のすべてです。さて、足せる点と、一方向にしか進まない道。この2つがあれば、最初の実用的な応用が組めます。マルチシグネチャ・ウォレット、略してマルチシグです。

Right. Say five members are registered. The naive design attaches five signatures and runs five checks. The folded design adds the five signatures into one point, adds the five registered keys into another, and asks one question: do these two match? If everyone signed, they balance. If even one person is missing, the endpoint drifts, and the check fails.

そうです。5人のメンバーが登録されているとしましょう。素朴な設計なら、署名を5つ添えて、確認を5回走らせます。畳み込む設計では、5つの署名をひとつの点に足し、登録済みの5つの鍵をもうひとつの点に足して、たったひとつの問いを立てます ── この2つは釣り合うか? 全員が署名していれば釣り合います。ひとりでも欠けていれば、終点がずれて、確認は不成立になります。

None. And that is a feature, not a bug. A folded signature cannot be taken apart to see whose signatures are inside. Either it corresponds exactly to the full registered set, or the balance tips. All or nothing, with no extra machinery. Here is the published cost: verifying a twenty-signer multisig on Solana takes about sixty thousand seven hundred C U. Against the ceiling of one million four hundred thousand, that is pocket change.

ゼロです。そしてそれは欠陥ではなく、特長です。畳み込まれた署名は、中に誰の署名が入っているのかを見るために分解することができません。登録された組と正確に対応しているか、さもなくば天秤が傾くか、どちらかです。追加の仕掛けなしで、全員か無効か。公開されているコストをひとつ。ソラナ上で20人のマルチシグを検証すると、およそ6万700シーユーです。上限の140万に対して、はした金ですね。

A wonderfully specific answer. These systems use two families of points — group one and group two, G one and G two for short. Signatures live in G one; public keys live in G two. Solana could already do the balance check, and could add points in G one. It could not add points inside G two. So signatures could be folded — public keys could not.

見事に具体的な答えがあります。この手の仕組みは、2つの点の一族を使います。グループ1とグループ2、略してジーワンとジーツーです。署名はジーワンに住み、公開鍵はジーツーに住んでいます。ソラナは、釣り合いの確認はすでにできましたし、ジーワンの中で点を足すこともできました。できなかったのは、ジーツーの中で点を足すことです。つまり、署名は畳めるのに、公開鍵は畳めなかった。

Precisely one missing drawer. A proposal called Solana Improvement Document number zero three zero two — the community calls these documents SIMDs, spelled S I M D — added G two addition and multiplication for the B N two fifty-four curve. It went live at epoch nine hundred eighty-five. An epoch, by the way, is Solana's unit of network time, roughly a two-to-three-day window.

まさに引き出しがひとつだけ足りない状態でした。ソラナ・インプルーブメント・ドキュメント、番号ゼロ・サン・ゼロ・ニ という提案 ── コミュニティではこの文書を、エス・アイ・エム・ディー と綴ってシムドと呼びます ── これがビーエヌ254曲線に、ジーツーの足し算とかけ算を追加しました。エポック985から動いています。ちなみにエポックというのは、ソラナのネットワーク上の時間の単位で、だいたい2日から3日ぶんの区切りです。

Click. One detail worth savoring: registration is still the clunky part. A Solana transaction holds at most one thousand two hundred thirty-two bytes. A G two public key on this curve is one hundred twenty-eight bytes. Do the arithmetic and about seven member keys fit in one transaction. Registering a big group takes multiple trips.

カチッと。ひとつ味わっておきたい細部があります。登録するところは、いまでも少し不格好なんです。ソラナのトランザクションは、多くても1232バイトまで。この曲線のジーツー公開鍵は、ひとつ128バイト。計算してみると、1通のトランザクションに入るメンバーの鍵は7人分ほどです。大きなグループを登録するには、何往復も必要になります。

Under that design, yes — and that is the perfect bridge to tool number two. The B L S twelve, three eighty-one curve. It is the modern standard, with a comfortable one hundred twenty-eight bits of security, and Solana enabled its operations at epoch nine hundred eighty-six, through Solana Improvement Document number zero three eight eight. It brings addition, multiplication — and one newcomer that changes the storage story completely. Subtraction.

その設計ではそうなります ── そしてそれが、道具その2への完璧な橋渡しです。ビーエルエス12、381という曲線。これは現代の標準で、128ビットという余裕のある安全性を持っています。ソラナは、ソラナ・インプルーブメント・ドキュメント 番号ゼロ・サン・ハチ・ハチ を通じて、エポック986でこの曲線の演算を有効にしました。足し算、かけ算、そして保管の話をまるごと変えてしまう新顔をひとつ連れてきます。引き算です。

Listen to what it buys. Instead of storing every member's key, store only the folded sum — one point, one hundred ninety-two bytes, whether the group has five members or five thousand. When someone joins, add their key. And when someone leaves...

それが何をもたらすか聞いてください。メンバー全員の鍵を保管する代わりに、畳んだ合計だけを保管します。点ひとつ、192バイト。グループが5人でも5000人でも同じです。誰かが加われば、その人の鍵を足す。そして誰かが去るときは……

You got it. It is called a registry. And a departed member cannot sneak back in, because their key has literally been removed from the sum — their signature no longer balances against anything. Cost-wise, an addition or subtraction on this curve runs about three hundred seventy-five C U. Swapping one member is one add plus one subtract. Practically free.

そのとおりです。これをレジストリと呼びます。そして去ったメンバーは、こっそり戻ってくることができません。その人の鍵は合計から文字どおり取り除かれているので、その署名はもう何とも釣り合わないからです。コストの面では、この曲線での足し算や引き算はおよそ375シーユー。メンバーをひとり入れ替えるのは、足し算1回と引き算1回。実質ただ同然です。

Yes — the proposal itself says so. Folding many signatures into one is exactly what a blockchain's consensus needs, where huge numbers of validators vote on every block. This curve underpins Alpenglow, Solana's next-generation consensus design. Same trick, much bigger stage.

ええ、提案書自身がそう書いています。たくさんの署名をひとつに畳むことは、まさにブロックチェーンの合意形成が必要としているものです。膨大な数のバリデータが、ブロックごとに投票しているわけですから。この曲線は、ソラナの次世代の合意設計であるアルペングロウを支えています。同じ手品を、ずっと大きな舞台で。

Tool number three, and the flavor changes completely. The Zero Knowledge ElGamal proof program. One correction first, because thumbnails constantly get this wrong: it is not a curve, and not a syscall. It is a standalone native program — a verifier — live since way back at epoch seven hundred thirty-one, working on a different curve family called curve two five five one nine.

道具その3、ここで趣がまるごと変わります。ゼロ知識エルガマル証明プログラム。まず訂正をひとつ。サムネイルなどでいつも間違われるのですが、これは曲線ではありませんし、システムコールでもありません。独立したネイティブプログラム ── 検証役です。ずっと前のエポック731から動いていて、カーブ・ツーファイブファイブワンナイン という別の曲線の一族の上で働きます。

A gatekeeper. Here is the setup. ElGamal encryption seals a number inside what we will call an envelope. Nobody can see inside. But the envelope comes with a remarkable property: if you take two sealed envelopes and combine them, you get a sealed envelope containing the sum of the two numbers.

門番ですね。舞台設定はこうです。エルガマル暗号は、数をひとつ、ここでは封筒と呼ぶものの中に封じ込めます。誰も中を見ることができません。ですがこの封筒には、注目すべき性質があります。封をしたままの封筒を2つ取って合わせると、2つの数の合計が入った封筒ができるのです。

And here is the honest half that makes it trustworthy: the stamp. A zero knowledge proof is a mark on the envelope that certifies a claim about the contents — without revealing the contents. For example: the number inside this envelope is either a zero or a one, and nothing else.

そしてここからが、それを信用に足るものにする正直な半分です。スタンプ。ゼロ知識証明とは、封筒に押される印で、中身を明かさないまま、中身についての主張が正しいことを保証します。たとえば ── この封筒の中の数は、0か1のどちらかであって、それ以外ではない。

Secret ballots. Five voters each seal a one for yes or a zero for no. The envelopes are combined while still sealed, and only the total is opened. Nobody learns who voted which way. But without stamps, a cheater could seal a one hundred inside and inflate the count. So each voter attaches a proof that their envelope holds a zero or a one — a range proof.

秘密投票です。5人の投票者が、賛成なら1、反対なら0を封筒に封じます。封筒は封をしたまま合わされ、開かれるのは合計だけ。誰がどちらに投じたかは、誰にもわかりません。ですがスタンプがなければ、不正をする人が100という数を封じ込めて、票数を水増しできてしまいます。そこで各投票者は、自分の封筒の中身が0か1であるという証明を添えます。これをレンジ証明と呼びます。

Even better: the five proofs collapse into one batched stamp, checked once. Published figure, about one hundred eleven thousand C U for the batched version. And here is the deepest point of the whole segment. A false claim cannot be stamped at all. If your envelope holds seventy-two and you try to prove it is less than fifty, the proof fails at the moment of creation. Forgery is not detected afterward — a forged stamp cannot be created in the first place.

もっといい方法があります。5つの証明はひとまとめのスタンプ1枚に畳まれ、確認は1回で済みます。公開されている数字では、まとめた版でおよそ11万1000シーユー。そしてここが、この節でいちばん深いところです。偽の主張には、そもそもスタンプを押すことができません。あなたの封筒に72が入っていて、それが50より小さいと証明しようとすると、証明はそれを作る瞬間に失敗します。偽造はあとから検出されるのではありません ── 偽のスタンプは、そもそも作れないのです。

The flagship use is confidential transfers in Token twenty twenty-two, Solana's extended token standard. Balances and amounts stay encrypted, while the chain verifies only the conditions — the balance is sufficient, and the amount sent equals the amount received.

目玉となる用途は、ソラナの拡張トークン規格であるトークン2022の秘匿送金です。残高も金額も暗号化されたままで、チェーンは条件だけを検証します ── 残高が足りていること、そして送った額と受け取った額が等しいこと。

SHA five twelve, and this story has my favorite twist. Quiz time again. Programs on Solana cannot call SHA five twelve today. So — is the implementation of SHA five twelve at least present inside validator software?

シャー512です。この話には、僕のいちばん好きなひねりがあります。またクイズにしましょう。ソラナのプログラムは、今日の時点でシャー512を呼ぶことができません。では ── シャー512の実装そのものは、バリデータのソフトウェアの中に、少なくとも存在しているでしょうか?

Gut overruled. It is already there, in every single validator, and it has been all along. Here is why. Every Solana transaction is signed with a scheme called Ed two five five one nine — and the verification procedure for those signatures uses SHA five twelve internally. Validators check millions of signatures a day, so the code is sitting right there. It just has no door. There is no entry point for a program to call it.

直感、却下です。もうそこにあるんです。すべてのバリデータの中に、ずっと前から。理由はこうです。ソラナのすべてのトランザクションは、エド・ツーファイブファイブワンナイン という方式で署名されています。そしてその署名の検証手順は、内部でシャー512を使っています。バリデータは1日に何百万もの署名を確かめているので、コードはすぐそこに座っているわけです。ただ、扉がないだけなんです。プログラムがそれを呼ぶための入口が存在しません。

Sharpest question of the episode. Two kinds of signatures flow through Solana. Kind one: the signature on the transaction itself — your wallet's. The runtime checks that automatically, before your program even wakes up. Kind two: a signature tucked inside the instruction data — an airdrop voucher signed off-chain, an oracle's price feed, a block signature from another chain.

この回でいちばん鋭い質問です。ソラナには2種類の署名が流れています。1種類目は、トランザクションそのものに付いた署名 ── あなたのウォレットの署名です。ランタイムがこれを自動的に確認します。あなたのプログラムが目を覚ますより先に。2種類目は、命令データの中に入れ込まれた署名です。オフチェーンで署名されたエアドロップの引換券、オラクルの価格データ、他のチェーンから運ばれてきたブロックの署名などですね。

The runtime does not even look. To the runtime that is just a string of bytes — it never decides whether they are a signature at all. The responsibility falls entirely on your program, which today has two ways to cope. Way one: lean on a built-in verifier called the Ed two five five one nine precompile. A program cannot call it directly — you place a second instruction in the transaction, and your program peeks at the instruction list to confirm the verification really happened. Roundabout, and since the signature, key and message all ride inside the transaction, you hit that one thousand two hundred thirty-two byte wall again. About ten signatures per transaction is the ceiling.

ランタイムは見ようともしません。ランタイムにとってそれは、ただのバイトの列です。それが署名かどうかすら、判断しません。責任はまるごとあなたのプログラムに落ちてきます。そして今日、あなたのプログラムがしのぐ方法は2つあります。方法その1は、エド・ツーファイブファイブワンナイン プリコンパイルという組み込みの検証役に頼ること。ただしプログラムから直接は呼べません。トランザクションの中に2つ目の命令を置いておいて、あなたのプログラムのほうから命令の一覧を覗きに行き、その検証が本当に行われたことを確かめるのです。回りくどいですし、署名も鍵もメッセージもすべてトランザクションの中に乗るので、あの1232バイトの壁にまたぶつかります。1トランザクションあたり10署名ほどが限界です。

Write SHA five twelve yourself, inside your program. It works, people genuinely do it, there are optimized libraries for exactly this. But a single hash costs thousands of C U — while the very same computation sits next door in the validator, unreachable.

シャー512を自分で、プログラムの中に書くことです。これは動きますし、実際にそうしている人たちがいて、まさにそのための最適化されたライブラリまであります。ですがハッシュ1回で数千シーユーかかります ── まったく同じ計算が、すぐ隣のバリデータの中に、手の届かないまま座っているというのに。

Solana Improvement Document number zero five one two, filed in April of twenty twenty-six: expose the existing implementation as a syscall, with the same shape as the hash functions programs already enjoy. Hand over data, receive a fixed-length answer. Under one hundred C U per hash. Nothing new is built. It is a proposal to install a door on a room that already exists.

ソラナ・インプルーブメント・ドキュメント 番号ゼロ・ゴー・イチ・ニ、2026年4月に提出されたものです。既存の実装をシステムコールとして公開する。プログラムがすでに享受しているハッシュ関数たちと、まったく同じ形で。データを渡すと、決まった長さの答えが返ってくる。ハッシュ1回あたり100シーユー未満です。新しく作るものは何もありません。すでにある部屋に扉を取り付けよう、という提案なのです。

Still a proposal — not activated on any network as we record this. So keep the scorecard straight: the two curves and the ElGamal program are live; SHA five twelve is the empty seat.

いまも提案のままです。この収録の時点では、どのネットワークでも有効になっていません。ですから採点表ははっきりさせておきましょう。2つの曲線とエルガマルプログラムは動いている。シャー512は、空席です。

Points can be added — a thousand signatures fold into one, and a thousand approvals cost one check. Adding cannot be undone — public keys are safe to hand out, and with subtraction, membership lives in one stored point. Envelopes sum up unopened — totals go public while every individual stays private.

点は足し合わせられる ── だから1000の署名がひとつに畳まれ、1000人の承認が確認1回で済む。足したものは元に戻せない ── だから公開鍵は配っても安全で、引き算があれば、メンバー構成は保管された1点の中に収まる。封筒は開けないまま合計できる ── だから合計は公開しながら、ひとりひとりは秘密のままでいられる。

This episode was based on a visual, hands-on guide to Solana's cryptographic primitives, which builds on an explainer video from the Solana Foundation, an official example repository, and a live demo application — links in the show notes. The example code is for learning and has not been audited, and nothing here is investment advice.

この回は、ソラナの暗号プリミティブを図解でたどるハンズオンのガイドをもとにしています。そのガイド自体も、ソラナ財団の解説動画、公式のサンプル実装のリポジトリ、そして実際に動くデモアプリの上に成り立っています。リンクはすべて番組ノートに載せておきます。サンプルコードは学習用で、監査は受けていません。そしてこの回の内容は、投資の助言ではありません。

That is called an education. Thanks for listening, and see you next time.

それを教育と呼ぶんです。お聴きいただきありがとうございました。また次回お会いしましょう。