Ethereum Foundation、349ドルのPassport Prime向け署名アプリ「Universal Signer」を公開

Passport Primeに汎用イーサリアム署名アプリが登場

Ethereum (ETH) Foundationの新しい署名アプリを使いたいユーザーは、ベータ期間中、349ドルのハードウェアウォレット「Passport Prime」に自らサイドロードで導入する必要があり、導入期限は定められていない。この「Universal Ethereum Signer」はLedgerの共同創業者Nicolas Baccaが開発したもので、同財団がPassportハードウェア向けに構築したOS「KeyOS」上で動作する。共同創業者でCEOのZach Herbertは2026年11月12日(木)に公表した発言の中で、OSの設計思想、バックアップ方式、製造体制を説明した。KeyOSでは端末上のすべてのアプリがそれぞれ独立したサンドボックス内で実行され、コールドウォレット的なマスターキーそのものではなく、強化された子鍵を各アプリに割り当てる。アプリ同士を互いに隔離する設計は、署名用ハードウェア上でアプリストアを運営するための前提条件だと同財団は位置づける。Herbert氏によれば、この隔離構造があるからこそ、信頼できる開発者は財団を介さずに更新をPassport Primeの保有者へ直接届けられる。同氏は自社の署名デバイスを「人間の主権を担うハードウェア」と呼び、鍵をiPhone一台に預ければよいのではないかという再燃しがちな問いに対し、349ドルという価格を挙げて反論する。汎用スマートフォンは署名処理をアプリ、ブラウザ、ネットワークへの露出と混在させており、署名専用機が想定しない環境だからだ。なお、今回の発表はハードウェアとソフトウェアに関するものであってトークンイベントではなく、PRIMEの価格は同財団の製品群とは切り離されており、署名アプリやベータにトークン要素は一切付いていない。

このアーキテクチャの技術的根拠はコード量にある。KeyOSのマイクロカーネルは約9,000行で構成され、Linuxカーネルの約4,000万行と比べ桁違いに小さい。Herbert氏はこの差を、監査者が検証できるコードとできないコードの分水嶺だと説明する。十分に小さいコードベースなら小規模チームでも監査を完遂できるが、Linuxのツリー全体は無理であり、この非対称性が同社の主張の中核だ。さらに同財団はマイクロカーネルの形式検証を計画している。テストによるサンプリングではなくコードの性質を数学的に証明する手法で、エンドツーエンドで検証できる規模のカーネルこそ子鍵モデルの土台になる、というのが同氏の論理だ。復元方式も同じミニマリズムに沿う。「Magic Backups」はウォレットのシードをシャミアの秘密分散で3つのシェアに分割し、NFCカード2枚とスマートフォン1台に分散保管する。十分な数のシェアが揃ったときのみシードが復元されるため、単体のカードや端末が漏洩してもシードは露出しない。端末データの暗号化された復元も可能で、Foundationのシステム内にメールアドレスやユーザー名は一切保存されない。製造は米国内のITAR認証施設で行われ、各端末には稼働中のアンチタンパスイッチが搭載される。ソフトウェア面では、信頼できる開発者がPassport Primeの利用者へ更新を直接配信できる「App Catalog」が予定されており、Herbert氏はこれをGrapheneOSにおけるF-Droidに例える。ベータ期間中、同財団のアプリは手動でサイドロードされるが、カタログの提供開始後はこの手作業が置き換わる見込みで、提供時期は明かされていない。同氏はまた、スワップや送金入出手数料に依存する収益化路線を取る「お供アプリ」化を避け、Passportを中立的なプラットフォームとして維持したい考えを示す。こうした手数料収益化はweb3ウォレットやDeFiのフロントエンドで広く見られる手法だ。

子鍵でブラインド署名のリスクを低減

この発表で事実上の裏付けとなるのは財団自身によるKeyOS設計の開示であり、セキュリティ上の意味が最も大きいのが子鍵のルールだ。スコープを限定した鍵を持つサンドボックス化アプリは、仮に単一のアプリが侵害されても被害を局所化でき、端末が内容を完全に確認できないまま取引を承認する失敗形態であるブラインド署名への露出も狭める。市場への影響という観点では、発表内容はトークンの供給や資金フローに触れるものがなく、PRIMEは財団の製品群に組み込まれていないため、本件は特定資産の材料ではなくハードウェア署名デバイス間の競争として読むのが妥当だ。資料上、未確定のまま残る日程はベータ期間とApp Catalogの提供開始の2つである。サイドロードの機会を逃したユーザーについて、文書化された代替手段は存在せず、導入済み環境の扱いも未回答のままだ。