IBCの信頼モデルは最も安全に聞こえますが、なぜWormholeやLayerZeroのように追加のバリデーターを信頼する必要のあるプロトコルも、市場での利用量が依然として大きいのですか？
主な理由は接続範囲の違いにある。IBCのライトクライアント検証モデルは、両チェーンのアーキテクチャが相手のライトクライアント実装をサポートできることを要求しており、これは同質性の高いエコシステム内（すべてCosmos SDKで構築されたチェーンなど）では比較的容易だが、まったく異なるアーキテクチャのチェーン（Solanaや一部のEVMチェーンなど）を接続するには、エンジニアリング上のハードルが明らかに高く、より長い開発時間が必要になる。
WormholeやLayerZeroのようなバリデーターネットワークモデルは、追加の外部信頼の前提が加わるものの、アーキテクチャが大きく異なる複数のチェーンをより迅速に接続できることと引き換えになっている。多様なエコシステムの流動性に迅速にアクセスする必要があるアプリケーションにとって、このトレードオフは商業的に見合うことが多い——これはまた、実務上ほとんどのクロスチェーンアプリケーションが複数のプロトコルを同時に統合し、異なるルートの信頼要件と目的地チェーンに応じて適切な方式を選んでいる理由でもあり、単一のプロトコルだけに頼っているわけではない。
LayerZeroはバリデーターの選択権をアプリケーション開発者に委ねていますが、一般ユーザーは実際にあるアプリケーションの安全性をどう検証すればよいですか？
これは確かにLayerZeroのアーキテクチャにおいて厄介な部分の一つである——安全性がプロトコルレベルで統一されているのではなく、アプリケーションごとに個別に設定されるため、一般ユーザーがプロトコル名だけで判断するのは難しい。現実的な方法は、その特定のアプリケーションの公式文書や監査報告書を確認し、具体的にどのようなバリデーターの組み合わせ設定を採用しているか（何個のバリデーターのうち何個の同意が必要か）、それらのバリデーターが著名な機関なのか不透明な匿名の主体なのか、そしてそのアプリケーションが過去にセキュリティ事故を経験したことがあるかを確認することだ。
もしアプリケーション側がこれらの設定の詳細を公開していない場合、あるいは公開された詳細がかなり緩い検証閾値（例えばごく少数のバリデーターの同意しか必要としない）を示している場合、たとえ基盤となるプロトコル名が有名に聞こえても、それ自体が注意すべきリスクシグナルである。
2022年のWormholeのハッキング事件は、ガーディアン型バリデーターネットワークモデルが本質的に安全でないことを示していますか？
この事件のより正確な解釈は、「バリデーターネットワークモデル」と「そのモデルの具体的なコード実装」が2つの異なるレベルの問題であることを示している、というものだ。事後分析によると、攻撃者はコントラクトレベルの署名検証ロジックの欠陥を利用し、本来署名の有効性をチェックするはずの関門を偽造されたメッセージが通過してしまったのであり、13人のガーディアンの過半数同意という閾値を実際に買収したり突破したりしたわけではなかった——言い換えれば、問題は「ガーディアンネットワークモデル」という信頼の前提そのものが破られたのではなく、その信頼の前提を実装するコードに欠陥があったということだ。
この区別はどんなプロトコルを評価する際にも重要である：ある信頼モデルが理論上健全であることは、その具体的な実装に脆弱性がないことを意味しないし、その逆もまた然りである。安全性を評価する際には、プロトコルの信頼モデルの設計を理解することに加えて、そのプロトコルのコードが十分に監査されているか、過去に発見され修正された脆弱性の記録があるかにも注意を払う必要がある。
クロスチェーンアプリケーションを選ぶ際、プロトコルの信頼モデルを確認する以外に、実務上優先的に確認すべきことは他にありますか？
信頼モデル自体以外にも、いくつかの点を優先的に確認する価値がある：このプロトコルまたはアプリケーションの累計処理額の規模と稼働期間（規模が大きく稼働期間が長いほど、より多くの実際の市場条件下での実戦検証を経ていることを意味する）、過去にセキュリティ事故があったか、あった場合その後の対応方法（公開透明であったか、アーキテクチャの調整が行われたか）、そしてプロトコルやアプリケーションに継続的なサードパーティ監査の実績があるか。
より実践的なアドバイスとしては、「どのプロトコルが理論上最も優れた信頼モデルを持っているか」にこだわるよりも、移動させる金額の大きさに応じてリスク許容度を決める方がよい。少額で日常的な操作であれば、性能が良く接続範囲の広いプロトコルを使うのが妥当なことが多い。高額で頻繁ではない操作であれば、たとえ多少の時間や手数料がかかっても、信頼モデルが信頼を最小化する経路を採用しているかを確認する価値がある。
IBC、Wormhole、LayerZeroという3つの名前は、クロスチェーン相互運用性の議論の中でよく一緒に登場し、まるでスマートフォンのブランドを選ぶかのように、同じカテゴリーの異なるブランド選択肢だと思われがちだ。しかし「このメッセージが届いた後、目的地チェーンは何を根拠にそれが本物だと信じるのか」という核心的な問いを分解してみると、この3つがまったく異なる信頼モデルに属しており、その違いは性能やインターフェースではなく、「誰があなたに代わってそれが実際に起きたことを確認しているのか」であることがわかる。
IBC（ブロックチェーン間通信プロトコル）はもともとCosmosエコシステムで開発されたもので、その核心的な設計は、相互運用したい2つのチェーンがそれぞれ相手チェーンのライトクライアントを維持し、相手のコンセンサス状態を直接追跡・検証することにある。メッセージはリレーヤーと呼ばれるオフチェーンプログラムによって伝達されるが、リレーヤー自体は信頼される必要がない——それはメッセージを暗号学的証明とともに送り届ける役割を担うだけであり、そのメッセージが有効かどうかを実際に検証するのは、目的地チェーン上にすでに維持されているライトクライアントであり、送信元チェーン自身のコンセンサスルールに直接基づいて判断する。
これはつまり、IBCの信頼の基盤は完全に「接続された双方のチェーン自身のコンセンサスメカニズム」から得られており、追加のバリデーター集合やマルチシグ委員会を導入する必要がないということだ。この設計は特に、主権を持つチェーン間（Cosmosエコシステム内部や、近年徐々に拡張しているEthereumエコシステムなど）の高価値で追加の信頼の前提をできるだけ最小化したいクロスチェーンシナリオに適しており、現在すでに200以上のチェーンの本番環境で稼働している。
Wormholeはまったく異なるアーキテクチャを採用している：「ガーディアン」と呼ばれるバリデーターネットワークが送信元チェーン上で発生したイベントを監視し、それらのイベントに対して署名による証明を行う役割を担う。現在このガーディアンネットワークは19のバリデーターで構成されており、それぞれJump Crypto、Chorus One、Figmentといった著名な機関によって運営されている。メッセージが有効とみなされるには、これら19人のガーディアンのうち少なくとも13人の署名という閾値を満たす必要がある。
これはつまり、Wormholeの信頼モデルは本質的に「この19人のガーディアンのうち少なくとも13人が誠実である」ことを信頼することに帰着する——これは実行可能で、すでに実務上何年も運用されているモデルである（Wormholeは累計650億ドル以上を処理してきた）が、接続されたチェーン自身のコンセンサスに直接依存するIBCのロジックとはまったく異なる：ここには両チェーンから独立した、追加の信頼対象が存在する。2022年、Wormholeは約3億2,000万ドルの重大なハッキング事件に見舞われたが、その後の分析によれば、問題はコントラクトレベルの署名検証の欠陥にあり、攻撃者が有効に見えるガーディアンの署名を偽造できてしまったことが原因であって、ガーディアンが集団で買収されたり悪意ある行動をとったりしたわけではなかった——この区別は重要であり、問題が「検証プロセスのコード実装」にあったのであって、「ガーディアンネットワークの誠実性の前提」そのものが破られたわけではないことを示している。
LayerZeroのより新しいアーキテクチャ（V2）は、また別の発想を採用している：単一の固定されたバリデーター集合を使うのではなく、「分散型検証者ネットワーク」（DVN）を導入し、LayerZero上に構築されるすべてのアプリケーションが、自ら信頼するバリデーターの組み合わせを選択・設定できるようにしている（例えば特定のX個のバリデーターのうち少なくともY個の同意を要求する、いわゆるX-of-Y-of-Nフレームワークを形成する）。この設計の利点は柔軟性が非常に高いことで、異なるアプリケーションが自らのリスク許容度に応じて異なる検証強度を選択できる。しかし一部の論者は、この設計が実質的に安全性の責任の大部分をプロトコル自体からアプリケーション開発者へと移転させていると指摘している——もし開発者が不適切なバリデーターの組み合わせを選んだ場合（例えばごく少数のバリデーターに過度に依存するなど）、実際の安全水準はユーザーの期待をはるかに下回る可能性がある。LayerZeroプロトコルのコア自体は重大なハッキング事件を起こしたことがないものの、この責任移転というアーキテクチャ上の特性は、「このアプリケーションが実際にどれだけ安全か」を、各アプリケーションの具体的な設定を個別に確認する必要がある問題にしており、「LayerZeroを使っている」というラベルだけで一律に判断することはできない。
この3つを並べてみると、核心的な違いは一言で要約できる：IBCが信頼するのは「接続されたチェーン自身のコンセンサスメカニズム」であり、Wormholeが信頼するのは「固定された既知の身元を持つバリデーター集合の過半数が誠実であること」であり、LayerZeroが信頼するのは「アプリケーション開発者が選んだバリデーターの組み合わせが十分慎重に設計されていること」である。3つのモデルのうちどれかが絶対的に他より優れているわけではない——IBCは信頼最小化の度合いが最も高いが、現在主要な成熟エコシステムはCosmos関連ネットワークに集中しており、Ethereumのようなまったく異なるアーキテクチャのチェーンに到達するには追加のエンジニアリング投資が必要である。WormholeとLayerZeroのバリデーターネットワークモデルは、追加の外部信頼の前提と引き換えに、アーキテクチャが大きく異なるチェーン（EVM、Solana、Moveベースなど）をより迅速に接続できる。
もしあなたが「クロスチェーン相互運用」を謳うアプリケーションを使っているなら、それがどのプロトコルを使っているかを見るだけでは実際の安全水準を判断するには不十分であり、もう一つ問う価値がある：このプロトコルの検証ロジックは「接続されたチェーン自身のコンセンサスに依存している」のか、それとも「追加のバリデーター集合に依存している」のか？もし後者であれば、そのバリデーター集合の具体的な構成、署名の閾値、過去に事故があったかどうかは、プロトコル名そのものよりもはるかに重要なリスク判断の材料となる。特にあなたが使っているアプリケーションがLayerZeroのようにバリデーターの選択権を開発者に委ねるアーキテクチャの上に構築されている場合は、その特定のアプリケーションが実際にどんなバリデーターの組み合わせを設定しているかをさらに確認する必要があり、基盤に有名なプロトコルが使われているというだけで安全性が保証されていると想定すべきではない。