ビットコイン・ホワイトペーパー逐条解説

「白書」とは何か — 読む前に

• ビットコイン・ホワイトペーパー（白書）は、サトシ・ナカモトが2008年10月31日に公開した「Bitcoin: A Peer-to-Peer Electronic Cash System（ビットコイン: ピアツーピア電子キャッシュシステム）」と題する9ページの論文です。暗号技術者のメーリングリスト metzdowd.com の cryptography リストに、「Bitcoin P2P e-cash paper」という件名で投稿されました（米国東部時間 2008年10月31日 14時10分）。
• 構成は、要旨（Abstract）、番号付きの12節、そして8件の参考文献です。タイトルと参考文献まで含めた全体の分量はおよそ3,500語で、示される数式は4つ、図は7箇所（うち第7節と第10節は2枚組）しかありません。専門論文としては異例に短く、実装の詳細ではなく設計思想の骨格だけが書かれています。
• 本トピックは、この12節を順に追い、原文が実際に何を主張しているかを日本語で要約・注釈します。原文と日本語訳はいずれも bitcoin.org で公開されています。翻訳は理解の助けになりますが、解釈が争点になる箇所では原文の英語を確認することをおすすめします。
• 読む前に一点だけ押さえておきたいことがあります。白書は「完成した仕様書」ではありません。2009年1月に稼働した実装にも、現在のビットコインにも、白書に書かれていない要素が多数含まれています。その差分は最終節でまとめて扱います。なお、現況に関する記述はすべて2026年8月時点のものです。

要旨と第1節「導入」— 何を問題としたか

• 要旨は、純粋なピアツーピア版の電子現金があれば金融機関を介さずに一方から他方へ直接オンライン決済を送れる、という一文から始まります。続けて、電子署名は解決策の一部を提供するが、二重支払いを防ぐために信頼できる第三者がなお必要とされるのなら主要な利点は失われる、と問題を定義します。
• 提案されるのは、ハッシュベースの作業証明の連鎖に取引をタイムスタンプしていくピアツーピア・ネットワークです。要旨は、最長のチェーンは出来事の順序の証明であるだけでなく、それが最大のCPUパワーのプールから生まれたことの証明でもある、と述べます。ネットワークへの攻撃に協力していないノードが過半数のCPUパワーを支配する限り正直なチェーンが最も速く伸びる、というのが安全性の前提条件です。
• 第1節は現状分析から入ります。インターネット上の商取引は、電子決済の処理をほぼ全面的に金融機関という信頼された第三者に依存している。この方式は大半の取引で十分機能するが、信頼ベースのモデルに内在する弱点からは逃れられない、と論じます。
• 挙げられる弱点は3つです。第一に、金融機関は紛争の仲裁を避けられないため、完全に取消不能な取引は事実上成立しないこと。第二に、仲裁コストが取引コストを押し上げ、少額のカジュアルな取引を成立不能にすること。第三に、取消の可能性があるため加盟店が顧客を警戒し、必要以上の情報を求めるようになること。一定割合の詐欺は避けられないものとして受け入れられている、とも書かれています。
• そのうえで、必要なのは信頼ではなく暗号学的証明に基づく電子決済システムである、と要求を定式化します。取消が計算上非現実的な取引は売り手を詐欺から守り、買い手を守るためのエスクロー機構は容易に実装できる、と続きます。第1節は最後に、二重支払い問題の解決策としてピアツーピア分散タイムスタンプ・サーバを提案すると予告し、正直なノードが攻撃者の連合よりも多くのCPUパワーを集合的に支配している限りシステムは安全である、と締めくくります。取引の取消不能性が実際に何を意味するかは「なぜ失うと取り戻せないのか」で詳しく扱っています。

第2節「取引」と第9節「価値の統合と分割」

• 第2節は、電子コインを「電子署名の連鎖（a chain of digital signatures）」として定義する、という一文から始まります。各所有者は、直前の取引のハッシュと次の所有者の公開鍵に自分の秘密鍵で署名し、それをコインの末尾に付け加えることで、コインを次の所有者へ移転します。
• 受取人は署名を検証することで所有権の連鎖を辿れます。しかしこれだけでは、以前の所有者がコインを二重に使っていないことは確認できません。白書はここで二重支払い問題を核心に据えます。
• 従来の解決策は、すべての取引を照合する信頼された中央機関（造幣局＝mint）を置くことでした。しかしその場合、取引のたびにコインを造幣局に戻して新しいコインを発行してもらう必要があり、通貨システム全体の運命がその運営会社に依存してしまう、として白書は退けます。
• 代わりに要求されるのは、最も早い取引が有効であるという順序の合意です。取引の不存在を確認する唯一の方法はすべての取引を知ることだ、という理由から、取引は公に告知されなければならないと結論づけます。受取人が必要とするのは、各取引の時点で過半数のノードがそれを最初に受け取ったものと合意した、という証明です。
• 第9節「価値の統合と分割」は短い補足です。1セントごとに別々の取引を作るのは煩雑なので、取引は複数の入力と複数の出力を持てるようにする。通常は入力が1つまたは複数、出力は最大2つ——支払い先と、おつりを送り主に戻すもの——になる、と述べます。ここで説明されている構造が現在のUTXOモデルであり、詳細は「トランザクションの深層」で扱っています。
• 第9節はもう一点、取引が多数の過去の取引に依存する「ファンアウト」は問題にならないと断っています。取引履歴の完全な独立コピーを取り出す必要は決してないから、というのがその理由です。

第3節「タイムスタンプ・サーバ」と第4節「作業証明」

• 第3節は、解決策の出発点としてタイムスタンプ・サーバを提示します。タイムスタンプ対象の項目のブロックのハッシュを取り、そのハッシュを新聞やUsenet投稿のように広く公開する。ハッシュに含まれるためにはそのデータが当該時刻に存在していなければならない——これがタイムスタンプの意味だ、という説明です。
• 各タイムスタンプは直前のタイムスタンプを自らのハッシュに含みます。こうして連鎖が形成され、後続のタイムスタンプが先行するものを補強していく、と白書は述べます。ここで説明されている構造が後に「ブロックチェーン」と呼ばれるものですが、白書にその語は一度も登場しません。
• 第4節は、この仕組みをピアツーピアで実装するにはアダム・バックのHashcashに似た作業証明が必要だと述べます。SHA-256などでハッシュしたときに先頭が所定個数のゼロビットで始まる値を探す作業で、必要な平均作業量はゼロビット数に対して指数的に増える一方、検証はハッシュを1回実行するだけで済みます。
• 白書はここで政治的な比喩を導入します。多数決を1IPアドレス1票にすればIPを多数確保できる者に転覆されうるが、作業証明は本質的に「1CPU1票（one-CPU-one-vote）」である。多数決は、最も多くの作業証明が投じられた最長チェーンによって表現される、という定式です。
• 難易度調整についても1文だけ触れています。ハードウェアの高速化とノード運用への関心の変動を補正するため、作業証明の難易度は1時間あたりの平均ブロック数を目標とする移動平均で決定され、生成が速すぎれば難易度が上がる、と。2,016ブロックごとといった具体的なパラメータは白書には存在しません。マイニングの実務は「ビットコインのマイニングとは」で扱っています。

第5節「ネットワーク」— 6ステップと最長チェーン規則

• 第5節は「ネットワークを走らせる手順は以下のとおり」として6つのステップを箇条書きで示します。ビットコインの動作原理を最も簡潔にまとめた部分であり、白書全体でおそらく最も多く引用される箇所です。

• 注目すべきは第6手順です。ブロックを受け入れたと表明する専用のメッセージは存在せず、そのブロックの上に積む作業を始めること自体が投票になっています。同意も拒否も、計算資源をどこに投じるかという行動によってのみ表現される設計です。
• 分岐の扱いも同じ節にあります。ノードは常に最長チェーンを正しいものとみなし、それを伸ばし続ける。2つのノードが異なる次ブロックを同時にブロードキャストした場合、各ノードは先に受け取った方で作業しつつ、もう一方の枝も保存しておく。次の作業証明が見つかって一方が長くなった時点で決着し、短い枝で作業していたノードは長い方へ切り替えます。
• 白書はネットワークの信頼性についてかなり緩い前提を置いています。取引のブロードキャストは全ノードに届く必要はなく、多くのノードに届けば遠からずブロックに入る。ブロックのブロードキャストもメッセージ欠落に耐性があり、ブロックを受け取り損ねたノードは、次のブロックを受け取って欠落に気づいた時点で要求すればよい、と述べます。
• この「ベストエフォートで十分」という設計判断が、要旨の「ネットワーク自体は最小限の構造しか必要としない」という主張に対応しています。ノードは任意に離脱・再参加でき、離脱中に何が起きたかは最長の作業証明チェーンを受け入れることで把握する、というのが白書のネットワーク観です。

第6節「インセンティブ」— 攻撃より採掘が得になる設計

• 第6節は、ブロックの最初の取引を「そのブロックの作成者が所有する新しいコインを開始する特別な取引」と定めるところから始まります。現在コインベース取引と呼ばれるものです。これがノードにネットワークを支える動機を与え、同時に、発行する中央機関が存在しない以上、コインを最初に流通させる手段にもなる、と説明されます。
• 白書はこれを金の採掘になぞらえます。一定量の新しいコインが着実に追加されることは、金鉱採掘者が資源を投じて金を流通に加えることに類似している。我々の場合に費やされるのはCPU時間と電力である——エネルギー消費が設計上の必然として最初から明記されている点は押さえておく価値があります。
• 手数料についても同じ節にあります。取引の出力の合計が入力より小さければ、その差額が手数料としてそのブロックのインセンティブに加算される。そして、あらかじめ定められた数のコインが流通に入り終えたら、インセンティブは完全に取引手数料へ移行し、完全にインフレフリーになりうる、と述べます。
• ここで注意したいのは、白書が「あらかじめ定められた数（a predetermined number）」としか書いていないことです。2,100万という上限も、約4年ごとの半減も、白書には一切登場しません。発行スケジュールは実装で定義されたものであり、「ビットコインの発行スケジュール」と「ビットコインの半減期とは」で扱っています。
• 節の最後は安全性の経済的な議論です。強欲な攻撃者が正直なノード全体を上回る計算力を集められたとしても、その計算力を支払いを取り戻して人々を欺くために使うか、新しいコインを生成するために使うかを選ばなければならない。ルールに従うほうが他の全員の合計より多くの新しいコインを自分にもたらすので、システムと自分自身の富の正当性を損なうより得なはずだ、というのが結論です。
• この議論が「攻撃は技術的に不可能」ではなく「攻撃は経済的に不合理」と述べている点は重要です。前提が崩れる条件——たとえばブロック補助金が減り続けたときに手数料市場だけでセキュリティ予算を賄えるか——は白書では検討されておらず、現在も未決着の論点として「ビットコイン批判論」で扱っています。攻撃が現実に成立しうる経路そのものは「ビットコインの脆弱性」で整理しています。

第7節「ディスク容量の回収」と第8節「簡易決済検証」

• 第7節は、コインの最新の取引が十分な数のブロックの下に埋もれたら、それ以前の使用済み取引はディスク節約のために破棄できる、と述べます。ブロックのハッシュを壊さずにこれを行うため、取引はマークルツリーにハッシュされ、ブロックのハッシュにはルートだけが含まれる。古いブロックは木の枝を切り落として圧縮でき、内部のハッシュを保存しておく必要はない、という設計です。
• 具体的な数字も示されます。取引を含まないブロックヘッダは約80バイト。10分ごとにブロックが生成されるとすると、80バイト × 6 × 24 × 365 ＝ 年間4.2MB。2008年時点で一般的なコンピュータは2GBのRAMを積んでおり、ムーアの法則が年1.2GBの成長を予測することを踏まえれば、ブロックヘッダをメモリに保持し続けても容量は問題にならない、という見積もりです。
• この見積もりは実際よく当たりました。2026年8月時点のブロック高はおよそ96万で、ヘッダだけなら80バイト × 96万 ≒ 77MB——白書の年間4.2MBをジェネシスブロックからの約17年半分に引き延ばした約74MBとほぼ一致します。ただし現実のフルノードが必要とする容量はそれとは別で、bitcoin.orgのフルノード解説は初回同期でおよそ740GBのダウンロードが必要だと記載しています（2026年8月時点）。差はヘッダではなく取引本体の量から生じています。
• 第8節は、フルノードを動かさずに支払いを検証する方法を扱います。利用者は最長の作業証明チェーンのブロックヘッダのコピーだけを保持し、対象の取引をタイムスタンプしたブロックに結びつけるマークル分岐を入手すればよい。取引そのものを自分で検証することはできないが、チェーン上の位置に結びつけることでネットワークのノードがそれを受け入れたことを確認でき、後続のブロックがさらに承認を補強する、という論理です。
• 白書はこの方式の限界も明記しています。検証が信頼できるのは正直なノードがネットワークを支配している限りであり、攻撃者がネットワークを圧倒できる間は簡易検証は攻撃者の捏造した取引に騙されうる。対策として、ネットワークノードが不正なブロックを検出した際のアラートを受け入れ、利用者のソフトウェアがフルブロックを取得して矛盾を確認する方式が提案されています。頻繁に支払いを受ける事業者は、独立したセキュリティと迅速な検証のために自前のノードを走らせたいだろう、とも書かれています。
• 実装の経緯は白書の記述と少しずれました。このアラート方式は普及せず、Bitcoin Coreの容量削減は木の剪定ではなく、検証済みのブロックファイルを削除する方式（block pruning、2015年7月のv0.11.0で導入）として実現しました。軽量クライアント側では、2012年10月に提案されたブルームフィルタ方式（BIP 37）が、プライバシー上の弱点とDoS耐性の問題からBitcoin Core v0.19.0（2019年11月）以降は既定で無効化され、現在はブロック側でフィルタを生成する方式（BIP 157/158）が後継として推奨されています。

第10節「プライバシー」と第11節「計算」

• 第10節は、従来の銀行モデルが、情報へのアクセスを当事者と信頼された第三者に限定することでプライバシーを達成していると整理します。ビットコインはすべての取引を公に告知する必要があるためこの方法は取れませんが、情報の流れを別の場所で断つことでプライバシーは維持できる、というのが白書の主張です。
• 具体的には公開鍵を匿名に保ちます。誰かが誰かに送金していることは公衆に見えるが、その取引を特定の人物に結びつける情報は見えない。白書はこれを証券取引所の「テープ」——個々の取引の時刻と規模は公開されるが当事者は明かされない——になぞらえています。
• 追加の防御として、取引ごとに新しい鍵ペアを使うべきだと勧めています。同時に限界も明記されます。複数の入力を持つ取引はそれらの入力が同一の所有者のものだったことを必然的に明かすため、ある程度の紐づけは避けられない。鍵の所有者が判明した場合、同じ所有者の他の取引まで芋づる式に露見するリスクがある、と。実際の追跡可能性は「ビットコインの匿名性とプライバシー」で扱っています。
• 第11節は白書で唯一、確率モデルを展開する節です。攻撃者が正直なチェーンより速く代替チェーンを生成する場面を考えますが、白書はまず射程を限定します。それが成功しても、無から価値を作り出したり自分のものでない金を奪ったりはできない。ノードは無効な取引を支払いとして受け入れず、正直なノードはそれを含むブロックを決して受け入れないからです。攻撃者にできるのは、自分の取引のひとつを変更して最近使った金を取り戻すことだけです。
• 計算はギャンブラーの破産問題として定式化されます。正直なチェーンと攻撃者のチェーンの競争を二項ランダムウォークとみなし、受取人がz個のブロックを待つ間に攻撃者がどれだけ進んだかを期待値 λ ＝ z × q/p のポアソン分布で見積もり、そこから追いつく確率を掛け合わせます。白書はこの計算をC言語のコードとして掲載し、攻撃者の計算力比率qごとに、成功確率Pが0.1%を下回るのに必要なzを表として示しています。

• なお「6承認で安全」という広く知られた慣行は、白書には書かれていません。白書は名詞形の「承認（confirmation）」を一度も使わず、第8節で「後続のブロックがさらにそれを承認する（further confirm）」と動詞形で述べるにとどまり、あとは上記の表を示すだけです。q＝0.1を想定したときのz＝5〜6という値が実務上の目安として定着した、という関係になります。適切な待機ブロック数は想定する攻撃者の計算力によって変わる、というのが第11節の含意であり、攻撃の具体的な手口は「ビットコインの脆弱性」で扱っています。

第12節「結論」と8件の参考文献

• 第12節は、信頼に依存しない電子取引のためのシステムを提案した、という一文で始まります。出発点は電子署名から作られるコインという通常の枠組みであり、これは所有権の強力な管理を提供するが二重支払いを防ぐ手段がなければ不完全である、と自ら整理します。
• それを解くために提案したのが、取引の公開履歴を記録する作業証明ベースのピアツーピア・ネットワークでした。正直なノードが過半数のCPUパワーを支配する限り、攻撃者がそれを変更するのは計算上すぐに非現実的になる、と述べます。
• 続く数文は運用面の主張です。ネットワークは構造を持たない単純さゆえに堅牢である。ノードはほとんど協調せずに一斉に動く。メッセージは特定の場所へ経路制御される必要がなくベストエフォートで届けばよいため、ノードは身元を明かす必要がない。ノードは任意に離脱・再参加でき、離脱中に何が起きたかは作業証明チェーンを証明として受け入れる。
• 最後の2文が白書のガバナンス観です。ノードはCPUパワーで投票し、有効なブロックの上に積む作業をすることで受け入れを表明し、無効なブロックの上で作業することを拒むことで拒絶を表明する。そして、必要なルールとインセンティブはこの合意メカニズムによって強制できる、と結ばれます。
• 参考文献は8件と、専門論文としては少数です。ウェイ・ダイのb-money（1998）、アダム・バックのHashcash（2002）、ハーバーとストルネッタらによるデジタルタイムスタンプの一連の論文（1991・1993・1997）とマシアスらの研究（1999）、ラルフ・マークルの公開鍵暗号プロトコルに関する論文（1980）、そしてウィリアム・フェラーの確率論の教科書（1957）です。
• 引用の構成そのものが白書の性格を示しています。要素技術はいずれも既存のものであり、白書の新規性は個々の部品ではなく、それらを組み合わせて中央機関なしに取引順序の合意を作った点にあります。前史にあたる提案群は「ビットコインの歴史」で扱っています。

白書と17年後の現実 — 実装との主な差分

• 白書の公開から2026年8月で17年10か月ほどが経ちました。設計の中核——作業証明、最長チェーン規則、コインベース報酬と手数料、マークルツリー——は変わっていません。一方で、白書に書かれていない要素も多数加わっています。ここでは主な差分を、事実として確認できる範囲で列挙します。
• まず、白書に「登場しない語」を確認するのが早道です。原文には blockchain（および block chain）、2,100万、半減（halving）、ウォレット（wallet）という語が一度も出てきません。マイニング（mining）・マイナー（miner）も、金の採掘を引き合いに出した「gold miners」という比喩の1箇所を除いて現れません。「Bitcoin」という語すら、タイトルと www.bitcoin.org というURL以外の本文には登場しません。現在ビットコインの説明で当たり前に使われる語彙の多くは、白書ではなく後の実装とコミュニティが作ったものです。

• 1MBのブロックサイズ上限は、白書にも初期の実装にも存在しませんでした。定数 MAX_BLOCK_SIZE = 1000000 は2010年7月15日のコミットでコードに追加されていますが、そのコミットのメッセージはOpenSSLのリンク問題の修正などについて述べるのみで、上限の理由には一言も触れていません。この説明のない1行が、後年のスケーリング論争の中心的な争点になりました。経緯は「フォーク史」と「Layer 2とスケーリング」で扱っています。
• 「1CPU1票」も現実とは大きく離れました。白書が想定した汎用CPUによるマイニングはGPU、FPGA、専用ASICへと置き換わり、実際の計算力は少数のマイニングプールに集約されています。設計上の分散と運用上の集中の乖離は「ビットコインのパラドックス」で正面から扱っています。
• 用途の変化も無視できません。白書のタイトルは「ピアツーピア電子キャッシュシステム」であり、第1節は少額のカジュアルな取引が成立しない現状を出発点にしていました。実際にはベースレイヤーの手数料と確定時間が日常決済に向かず、決済用途はLightning Networkのような上位層に移り、ベースレイヤーの主要な使われ方は価値保存へ寄っています。この変化をどう評価するかは論者によって大きく分かれるため、「ビットコインのパラドックス」と「ビットコイン批判論」で双方の主張を扱っています。
• 最後に、白書の読み方について。9ページの論文が17年動き続けるシステムを完全に規定しているわけではなく、白書に書いてあることが常に正しく、書いていないことが常に誤りだ、という読み方は成り立ちません。白書は起点となる設計文書であり、その後の変更が妥当だったかどうかは、白書の権威ではなく個々の技術的・経済的な論拠によって判断されるべきものです。本サイトは読者に、まず原文にあたることをおすすめします。