Monero vs Zcash:2026年において真にプライベートなのはどちらか

2026年2月、大手ブロックチェーン分析企業の内部メモがプライバシー研究者の間で出回りました。法執行機関向けの請負業者宛てに送られたとされるそのメモには、約四十種類の暗号資産がトレーサビリティ(追跡可能性)順に並べられていました。ビットコインは「完全に追跡可能」の最上位、ライトコインとドージコインがそれに続きます。そしてリストの最下層、「信頼できる匿名解除手段なし」というカテゴリに分類されていたのは、わずか二つの資産だけでした。Moneroと、シールドプールを使用したZcashトランザクションです。この一枚の文書は、プライバシー擁護派が十年近く主張してきたことを端的に示しています。公開台帳上における金融プライバシーは、ごく一部のコインを除けば、ほとんど幻想に過ぎないという事実です。

しかし同時に、このメモはMoneroとZcashの間にある根深い非対称性も浮き彫りにしました。Moneroは一つの均一なブロックとして扱われていたのに対し、Zcashは「shielded(シールド)」と「transparent(透明)」という二つの別々の行に分割されていたのです。そして透明行には「ビットコイン相当として扱うこと」という注釈が添えられていました。この一行こそが、本ガイドが答えるべき核心の問いを凝縮しています。MoneroとZcashを実際の現実世界のプライバシーという観点から比較したとき、本当にあなたを守ってくれるのはどちらか、そして「スイッチを切り替えることを忘れなかった場合に限って」守ってくれるのはどちらか。本稿では暗号学的保証、デフォルト挙動、ネットワーク匿名性、そしてプライバシーが現実との接触に耐えられるかを左右する人的要因を総合的に検討していきます。MoneroSwapperのようなサービスが存在するのは、まさに資産を交換する瞬間——情報漏洩が最も起きやすい局面——でこの差が決定的になるからに他なりません。

「設計によるプライバシー」と「選択によるプライバシー」

MoneroとZcashの最も重要な違いは、数学とは無関係です。それは「デフォルト」の問題です。Moneroはすべてのトランザクション、すべての出力、すべてのユーザーに対して、オプトインなしで自動的にプライバシーを適用します。Zcashはzk-SNARKに基づく強力なシールドプールをサポートしていますが、ネットワーク自体はビットコインと同形式の透明トランザクションもサポートしています。シールドは任意機能であるため、Zcashの取引量の大部分は歴史的に「丸見え」の状態で流通してきました。これは個々のユーザーのデータを漏洩させると同時に、実際にシールドを使用している人々の匿名性集合をも弱体化させてしまいます。

• Moneroにおける必須プライバシー: あらゆる取引がリング署名による入力、ステルスアドレスによる出力、RingCTによる金額隠蔽を使用します。透明モードは存在せず、ユーザーが誤って身元を特定する情報をオンチェーンに公開する手段はそもそも用意されていません。
• Zcashにおける任意プライバシー: ユーザーは透明アドレス(t-addr)とシールドアドレス(z-addr)のどちらを使うか自分で選択します。多くの取引所、カストディアン、さらには一部のウォレットでさえ、統合コストの安さから透明モードをデフォルトとしており、プライバシー保護は手動操作に委ねられています。
• 匿名性集合の非対称性: Moneroの匿名性集合は事実上ネットワーク全体です。一方Zcashの実効匿名性集合はシールドを選んだ少数のユーザーに限られます——歴史的には全体取引量のごく一部でした。2023年以降のOrchardアップグレードとUnified Addressの普及により差は大きく縮まってきていますが、それでも完全には埋まっていません。
• ヒューマンエラー面: Moneroの設計はプライバシー失敗の最大の原因——「ユーザーがプライバシーを有効化し忘れる」——を構造的に排除しています。Zcashの場合は、一連の操作のうち一回でも透明側を経由してしまうと、その活動連鎖全体が匿名性を失う可能性があります。

この一つのアーキテクチャ的選択——「デフォルトのプライバシー」か「機能としてのプライバシー」か——が、実世界での保護におけるほぼすべての下流の違いを生み出します。リング署名とzk-SNARKの相対的な暗号強度について暗号学者が何時間でも議論できるのは事実ですが、経験的記録が示すのは、デフォルト設定が能力そのものよりも遥かに強力に人間の行動を形作るということです。「みんなが使う弱いシステム」は、「ほとんどの人が使い忘れる強いシステム」よりも、集計としては大きなプライバシーを生み出します。

Moneroはいかにして匿名性を実現しているか

Moneroのプライバシーモデルは三つの柱に支えられており、それぞれが透明なブロックチェーンに内在する別個の漏洩経路に対処しています。これらが組み合わさることで、ユーザーの操作を必要とせず、あらゆる取引において送信者、受信者、金額のすべてを隠蔽します。

リング署名とCLSAG

Moneroの出力を使用する際、プロトコルは単一の過去出力を資金源として指し示しません。代わりに、あなたの実際の出力をチェーン履歴から抽出した16個のデコイ(囮)と暗号学的に組み合わせます。2020年10月のハードフォークで導入されたCLSAG署名方式は、17通りの可能な署名者のうちの一人が確かに承認したことを、誰が承認したかは明かさずに証明します。観測者にはそれら出力のうちの一つが使用されたことだけが分かり、どれかまでは特定できません。リングメンバーに対する統計的推測攻撃は広範に研究されており、SeraphisやFCMP++のような継続的改善は、現在の16デコイから将来的にはチェーン全体へとリングサイズを拡張することを目指しています。

ステルスアドレス

受信者側は、受信者の公開ビュー鍵と公開スペンド鍵に取引固有のランダムデータを組み合わせて導出される、ワンタイム出力アドレスによって隠蔽されます。同じMoneroアドレス宛ての二件の支払いは、オンチェーン上で完全に紐付け不能な二つの出力を生成します。外部観測者は同一受信者が両方を受け取ったことを判別できず、受信者の残高も決定できず、繰り返しの支払いを介してMoneroアドレスを公的なアイデンティティに結び付けることもできません——これはアドレスの再利用が横行するビットコインの根本的弱点でもあります。

RingCTとBulletproofs+

金額はペダーセンコミットメントとレンジプルーフによって隠蔽されています。2022年8月のハードフォークでは、従来のBulletproofs方式がBulletproofs+に置き換えられました。Bulletproofs+は典型的なトランザクションサイズを約5%、検証時間を約7%削減しつつ、金額をネットワーク観測者から完全に秘匿し続けます。「送信者不明・受信者不明・金額不明」という組み合わせは、Moneroのブロックが本質的にタイムスタンプと集計トランザクション数しか漏らさないことを意味します。

ネットワーク層:Dandelion++とTorサポート

オンチェーンのプライバシーは、取引をブロードキャストする際にIPアドレスが露出してしまえば意味を失います。MoneroはDandelion++をトランザクション伝播に採用しており、新しい取引はまずランダム化されたステム段階を経由してから、より広いゴシップフェーズへと拡散します。これにオプションのネイティブTorおよびi2pサポートが組み合わさることで、ビットコインやZcashと比較して、トランザクションをブロードキャストしたノードへの相関付けが格段に困難になります。ビットコインやZcashでは、ネットワーク層のプライバシーは依然として別個の懸念事項として残されたままです。

Zcashはいかにして匿名性を実現しているか

Zcashは根本的に異なる暗号学的アプローチを採用しています。すなわち、ゼロ知識簡潔非対話的知識証明(zk-SNARK)です。意図通りに動作する場合、その結果はリング署名よりも数学的に強力です——シールドされたZcashトランザクションは入力、出力、金額について何一つ漏らしません。問題は「意図通りに動作する場合」がいつであり、その条件が現実にはどれほどの頻度で成立しているか、という点にあります。

SaplingとOrchardのアップグレード

2016年にローンチされた当初のSproutプールは、セレモニーで生成されたパラメータを必要とし、シールドトランザクションの生成に数秒の時間と大量のRAMを要しました。2018年10月のSaplingアップグレードによってシールドトランザクションの生成時間は控えめなハードウェアで約1秒に短縮され、メモリ要件も大幅に削減され、ようやくモバイル向けシールドウォレットが実用化されました。2022年5月のNU5ネットワークアップグレードで有効化されたOrchardは、BLS12-381曲線をPallas/Vestaに置き換え、当該プールについてはトラステッドセットアップ・セレモニーへの依存を取り除きました。ただし、古いプールから移行してくる出力には歴史的な系譜が引き継がれている点には注意が必要です。

透明プールという問題

Zcashは透明アドレスについてはビットコインのトランザクション構造を継承しており、すべてのt-addr取引は完全に可視であり、追跡可能であり、ビットコインの資金フローをマッピングするのと同じチェーン分析の対象となります。資金は透明プールとシールドプールの間を自由に行き来できるため、分析会社はプール境界における入出金パターンの追跡を通じてシールド残高を推測する高度なヒューリスティックを構築してきました。QuesnelleらによるZcash黎明期を対象とした2020年の学術論文では、シールドプール活動の少なくない部分が、透明側の観測のみによって匿名解除可能であったことが示されています。

トラステッドセットアップと「最弱プール」問題

SproutとSaplingの両プールは、暗号パラメータ生成のために多者間セレモニーを必要としました。万が一それらのセレモニーが侵害されていたら——一人の参加者が「トキシック・ウェイスト(有毒残骸)」を残し続けただけでも——該当プールにおいて検出不可能な偽造が可能となります。Zcash財団はこれらのリスクについて透明性を保って情報公開を続け、活動を着実にOrchardへ移行させてきました。Orchardは透明性のあるHalo 2証明系を使用し、トラステッドセットアップを必要としません。それでも歴史的なプールは依然として存在し、それらのパラメータの下で最初に発行された価値は今もなお流通し続けています。

横並びの比較

以下の表は、現実的な脅威モデルにおいて意味を持つ各次元での実用上の違いをまとめたものです。私たちは意図的に「暗号学的能力」と「デフォルト挙動」を分離しています。なぜなら、両者のギャップこそが、現実におけるプライバシー失敗のほとんどが発生する場所だからです。

世界で最も強力な暗号も、ユーザーが暗号化を忘れた取引を守ることはできません。「思い出すこと」に依存するプライバシーは、疲れていたり、注意散漫だったり、急いでいたりした日に必ず失敗するプライバシーです。

自分で実行できる実践的プライバシー検証

理論的比較も有用ですが、プライバシー論争に決着をつけるには、実際に自分で実験するに勝るものはありません。以下の手順は公開のブロックエクスプローラーと無料で入手できるツールだけを使用します。MoneroとZcashの差を実際のチェーンデータ上で経験的に、30分以内に確認できる手順です。

1. xmrchain.netのMoneroブロックエクスプローラーを開き、最近のブロックを読み込みます。 任意のトランザクションを選びましょう。入力アドレスを探してみてください——見つけられません。出力金額を探してみてください——見つけられません。表示されている受信者アドレスは、ウォレット識別子ではなく一回限りのステルスアドレスである点にも注意してください。
2. explorer.zcha.inなどのZcashエクスプローラーを開き、最近のブロックを読み込みます。 二種類の異なる取引タイプが見えるはずです。まず透明トランザクションをクリックしてください——送信者、受信者、金額が完全に見えることを確認します。次に完全シールドのトランザクションをクリックします——シールド操作が「存在した」という事実だけが記録され、読み取れる詳細が皆無であることを確認してください。
3. Zcashブロック内のシールド対透明の比率をフィルタしてみます。 Orchardアップグレード以降シールド比率は大きく成長していますが、それでも依然としてかなりの透明取引量が見られるはずです。この可視部分こそが、分析会社にエコシステムへの部分的可視性を維持させているものです。
4. 単純なアドレスクラスタリングを用いて、Zcash透明セット内で5分以内に何件の異なる取引相手を識別できるか数えてみます。 同じ作業をMoneroブロックに対しても試みてください。Moneroではクラスタリングする対象が何も存在しないため、作業は数秒で終了します。
5. 完全なネットワーク層可視性を持つ敵対者があなたのサンプルから何を学習しうるか記述します。 Moneroの場合、答えはブロックタイムスタンプと集計件数を超えるものは「ほぼ何もない」です。混在型Zcashの場合、答えは活動のうちどの程度の割合がシールドされていたか、ユーザーがプールをどれほどきれいに分離できていたかに依存します。

この実践は「潜在的プライバシー」と「実現されたプライバシー」の違いを鮮明に結晶化します。Zcashのzk-SNARK証明は、間違いなくこれまで実運用で展開された中で最もエレガントな暗号学的プライバシープリミティブの一つですが、そのプライバシーが提供する保護は、実際にそれを使用する活動の割合に比例して弱まります。Moneroのやや古いリング署名モデルは必須で、均一に適用され、均一に不透明なチェーンを生み出します。

現実世界での採用と脅威モデル

プライバシーの選択は、誰から身を守ろうとしているかによって全く異なる姿を見せます。情報源を保護するジャーナリスト、国境を越えて資金を移動させる活動家、競合他社から給与情報を隠したい起業家、そして単に監視資本主義に違和感を覚える一般ユーザー——それぞれが固有の脅威モデルに直面しています。MoneroとZcashはいずれもその一部にうまく対処していますが、辺境部では大きく分岐します。

チェーン分析能力は持っていても特権的なネットワークアクセスは持たない敵対者に対しては、Moneroは標準状態で一貫して強力な保護を提供します。主要な分析企業は、本番運用に耐えるMoneroトレーシングツールが存在しないことを公式に認めています。2020年の米国IRSによるMoneroトレーシングの懸賞は、文書化された成功例を生み出しませんでした。Zcashは、シールドプール内で完結して使用される限りにおいては、同等あるいはそれ以上の暗号学的保証を提供しますが、その維持には規律ある運用衛生が必要です——透明プールとのあらゆるやり取りが実効匿名性集合を縮小させ、推論の手がかりを生み出します。

特権的なネットワーク層可視性を持つ敵対者に対しては、絵が変わります。Moneroのネイティブなトラフィック層Torとi2pサポート、そしてDandelion++によるトランザクション伝播の組み合わせは、ウォレットからメンプールまでの経路をIP相関から堅固に守ります。多くのZcashウォレットはこれと同等のネットワーク層保護をバンドルしておらず、この種の攻撃者から身を守りたいユーザーは手動でTorを設定するしかありません。暗号学的構造は無欠でも、ブロードキャスト層でメタデータが漏洩すれば、タイミング、地理、セッションの紐付けなどから依然として身元が露呈し得ます。

規制環境はさらにもう一層の複雑さを加えます。複数の主要取引所が2023年から2025年にかけてMoneroの上場を廃止しました。理由として挙げられたのは、欧州MiCA実装、英国、オーストラリアの類似フレームワークによるコンプライアンス圧力です。日本においても、金融庁(JFSA)の方針および日本暗号資産取引業協会(JVCEA)の自主規制により、主要な国内取引所では2018年以降Moneroをはじめとする匿名性の高い暗号資産はホワイトリストから外され、上場再開の見通しは立っていません。一方Zcashは透明モードによってFATFトラベルルール要件を満たせるため、同期間でも比較的多くの取引所サポートを維持しました。これは奇妙な逆転を生みます——Zcashは規制されたベニューでアクセスしやすいものの、多くのユーザーがそれを購入する理由となったプライバシー特性は、購入後にすぐシールドプールへ資金を移して初めて実現されるのです。Zcashを単なる「プライベート版ビットコイン」として扱い、決してシールドしないユーザーは、ビットコインが提供する以上のものを実質的に何も得ていないことになります。

これこそが、KYC不要のスワップサービスが急速に成長してきた理由です。主要取引所でMoneroを安定的に購入できないとき、別の経路が必要になります。MoneroSwapperのようなサービスは、アカウント作成、本人確認、取引履歴提出のいずれも要求せずに資産をMoneroへ変換する手段を提供します——プライバシー保証をエンドツーエンドで保持し、あなたの一切を既に知っているカストディアンに引き渡してしまうことを防ぎます。Moneroあるいはシールド版Zcashの技術的強度は、入金経路があなたの身元を最初に取り込んだ時点でほとんど無意味になってしまうのです。

日本のユーザーが特に注意すべき点

日本のユーザーは、欧米とは異なる規制環境に置かれています。前述のとおりJVCEAの自主規制により、bitFlyer、Coincheck、bitbankなどの主要国内取引所ではMoneroもZcashも取り扱いされていません。一方、税務上は国税庁(NTA)が暗号資産を雑所得として位置付けており、取引時の譲渡益と取得価額の差額が課税対象となります。プライバシーコインであっても、購入時の出所(法定通貨ベース)と最終的な売却時(法定通貨換算)の両端で記録が残れば、雑所得計算は通常の暗号資産と同様に必要です。日本居住者がMoneroを保有する正当な理由はもちろん存在しますが、税務上の記録義務はプライバシー設計とは別次元の話である点を理解しておく必要があります。

もう一つの実務的問題は、日本円から直接Moneroを購入する経路がほぼ存在しないことです。多くのユーザーはまず国内取引所でビットコインまたはイーサリアムを購入し、それを海外サービス経由でMoneroへ変換する流れを取ります。この変換段階こそ、MoneroSwapperのようなノンカストディアル・KYC不要のスワップサービスが意味を持つ局面です。ただし大口取引や事業利用の場合は、税務上の説明責任を果たせる範囲で活動を設計することを強くお勧めします。プライバシーは違法性を意味しません——プライバシーは、自分の財務情報を自分以外の誰に開示するかを自分で決める権利のことです。

よくある質問

Zcashの方がMoneroより暗号学的に進んでいるのですか?

純粋な暗号学的観点では、シールド版Zcashの基盤となるzk-SNARK証明は、Moneroのリング署名・ステルスアドレス・Bulletproofs+の組み合わせより、論理的にはエレガントだと言えるでしょう。外部観測者に対して取引内容を完全に何も漏らしません。しかしこの比較が成り立つのは、Zcashが完全にシールドプール内でのみ使用される場合に限られ、歴史的な採用は透明プール側に大きく偏ってきました。Moneroはやや古い手法を普遍的かつ一貫的に適用し、より均一にプライベートなチェーンを生み出します。構造の強さよりも、使用範囲のカバレッジの方が重要です。

法執行機関はMonero取引を追跡できますか?

2026年現在、プロトコル層でMonero取引を確実に追跡できる、公開実証された手段は存在しません。過去の米国IRSによるMoneroトレーシング懸賞は文書化された汎用的ブレークスルーを生み出しておらず、主要なチェーン分析ベンダーは引き続きMoneroを「信頼できる追跡能力の外側」と分類しています。これはMoneroユーザーが無敵だという意味ではありません——TorなしでのIP再利用、身元判明済みウォレットと非判明ウォレットの混在使用、活動を記録するカストディアル・サービスへの信頼など、運用上のミスは依然としてプライバシーを台無しにし得ます。プロトコルは追跡に抵抗します——ユーザーはプロトコルの外側で自分を紐付けてしまわないよう注意する必要があります。

なぜ取引所はZcashを上場し、Moneroを上場廃止するのですか?

Zcashが透明取引モードをサポートしているため、取引所はそれをビットコインと同じように統合でき、FATFトラベルルールなどのコンプライアンス要件を満たすことができます。Moneroにはそのような透明オプションが存在しないため、Moneroを上場する取引所はコンプライアンスの曖昧性を受け入れるか、ほとんどの規制当局がまだ承認していない新規プロセスを構築する必要があります。複数の取引所が2023年から2025年にかけてMoneroを上場廃止したのは、その資産に技術的欠陥があったからではなく、まさにこの曖昧性を回避するためでした。結果として、Zcashの方が入手しやすいが、そのプライバシー機能はあまり使われない、一方でMoneroはデフォルトでプライベートだが規制されたベニューでの入手が困難、というパラドックスが生まれています。

今日、最大限のプライバシーを求めるなら、どちらを選ぶべきですか?

大多数のユーザーにとって、Moneroの方が「実現される」プライバシーは強力です。なぜなら運用上の専門知識を要せず、「スイッチを切り替えることを思い出す」必要もないからです。すべての取引は自動でシールドされます。技術的に高度で、シールドアドレスのみを使い、厳格なプール衛生を維持する意思があり、自分のノードを快適に運用できる方であれば、OrchardプールにおけるZcashは同等の理論的保護を提供します。それ以外の全員にとっては、Moneroの「デフォルトオン」アプローチが決定的に勝ります。コンピュータセキュリティの歴史が示すのは、デフォルト設定はほぼ例外なく能力を上回るということです。

真にプライベートであるためには、自分のノードを運用する必要がありますか?

両ネットワークとも、自分のノードを運用することが強く推奨されます。リモートノードは、たとえ評判の良いものであっても、着信接続を記録したり、ウォレットのポーリングパターンを相関させたり、ブロックデータを要求するユーザーのIPアドレスを観測したりすることが可能です。Moneroの場合、公式ウォレットはリモートノードへの接続にTorまたはi2pを使用できるため、自分でノードを運用することが現実的でない場合でも最悪のリスクは緩和できます。Zcashの場合、フルノードの運用には歴史的に多くのストレージと帯域幅が必要でしたが、2020年以降に導入された軽量ウォレットプロトコルによってこの負担は大幅に軽減されました。いずれにせよ、ノード接続はプライバシー上の重要なステップとして扱い、決して付け足しと考えないでください。

DashやPirate Chainなど他のプライバシーコインはどうですか?

DashのPrivateSendによるCoinJoinベースのミキシングは任意機能であり、ユーザー側でのセットアップが必要で、Moneroの必須リング署名やZcashのシールドプールよりも実質的に弱い保証しか提供しません。Pirate ChainはZcashのフォークで必須シールドを採用しており、理論的には興味深い設計ですが、採用率の低さ、流動性の薄さ、二大プライバシー資産より小さなセキュリティ予算という問題を抱えています。大半の脅威モデルにおいて、実用的な比較は本当のところMonero対Zcashであり、その中での回答は「あなたの利用形態が一貫してシールド状態を保てるかどうか」に懸かっています。

結論

MoneroとZcashの誠実な比較は、どちらの暗号学的プリミティブが数学的により優美かという点には行き着きません。両プロトコルとも、現在公知の汎用追跡攻撃に対して耐性のある、本格的で査読済みの近代暗号を展開しています。比較の本当の焦点は、もっと静かな問いにあります——プライバシーを趣味として研究しないユーザー、すべてのスイッチを切り替えることを覚えていないユーザー、運用セキュリティの専門家になることなくただ自分の金融活動を自分のものとして保ちたいだけのユーザーを、どちらのプロトコルが守ってくれるか、という問いです。この尺度においては、Moneroの設計が決定的に強力です。なぜならMoneroは、プライバシーの判断からユーザーを完全に取り除いているからです。あらゆる取引がシールドされているのは、他の選択肢が存在しないからに他なりません。

この洞察はZcashの価値を貶めるものではありません。Orchardプール、トラステッドセットアップからの脱却、プロトコルの全体的な方向性は、紛れもなく印象的なエンジニアリング上の達成であり、必要に応じて規制要件をも満たせるプライバシー資産には現実的な価値があります。しかしこの洞察は、なぜプライバシー・コミュニティが実用上、監視への抵抗が真に重要な状況に対するデフォルトツールとしてMoneroへ引き寄せられてきたかを説明します。今日この二者から選ぶ場合、そして数年間にわたるあらゆる取引で規律ある運用衛生を保証できないのであれば、あなたの代わりに作業をやってくれる方を選ぶべきです。Moneroを取得したいが、最初にあなたを惹きつけたプライバシーを犠牲にしたくないという段階に至ったときは、MoneroSwapperのようなKYC不要のスワップサービスを利用すれば、本人確認なしで資産を変換できます——プライバシーの約束は入金経路からウォレット、そして実際の支出に至るまで途切れることなく続きます。