原文
Futarchy is insecure without a proposal gatekeeper — distbit0 (2026-06-19)
アセットフューターキーは、市場が提案のトークン価値への期待される影響を比較できるため、魅力的です。この比較は、条件付き価格が意思決定ルールを巡る戦略的行動ではなく、提案の因果的効果を追跡する場合にのみ信頼できます。
以下の攻撃は、提案者がPASS-ASSETをFAIL-ASSETよりも高く取引させ、ASSET保有者に見合った価値を創造しない方法を説明しています。これらは防御的なメカニズム設計の例です。それぞれが、条件付き市場価格と提案の真の期待効果との間の結合の失敗を特定しています。
緩和策はまた、現在の限界を示唆しています。堅牢なアセットフューターキーは、完全にパーミッションレスで自律的であることはできません。手動でのゲート処理にはレビュー担当者が必要であり、一部のペナルティでは、提案の条件が不適切であったかどうかを彼らが判断する必要があります。このレビュー層は信頼されたガバナンスの表面となります。レビュー担当者は、自分たちの悪意のある提案を通過させ、対抗提案をブロックすることができます。したがって、以下の防御策は、ガバナンスリスクを排除するのではなく、一部の市場攻撃を中央集権化の仮定に置き換えるものです。
ここでいうアセットフューターキーとは、条件付き市場が、提案が失敗した場合よりも通過した場合の方がASSETの価値が高くなると予測した場合に、提案が通過するガバナンスシステムを意味します。PASS-ASSETは、提案が通過する世界におけるASSETです。FAIL-ASSETは、提案が失敗する世界におけるASSETです。ここで重要な特徴は、相対的な条件付き価格が実行を決定することです。+EVは提案がASSETの期待価値を増加させることを意味し、-EVはASSETの期待価値を減少させることを意味します。以下の例では、2%の通過ハードルを想定しています。提案が通過するためには、PASS-ASSETがFAIL-ASSETよりも少なくとも2%高く取引される必要があります。
抵抗依存型デリバリー (Resistance-Contingent Delivery)
提案者は価値創造的な作業を約束しますが、デリバリーをバックアッププランとして扱います。彼らの第一の選択肢は、PASS/FAILスプレッドを防御することで提案を通過させ、提案の支払いを受け取り、作業をスキップすることです。
例: 提案者がDAOに対し、ウォレット配布パートナーシップのために30万ドルを支払うよう求めます。もし実際にウォレットパートナーを確保し、統合作業を完了すれば、このパートナーシップはDAOにとって+EVですが、デリバリーには提案者に18万ドルの費用がかかります。提案者はデフォルトで作業を行う代わりに、FAIL-ASSETが1.00で取引されている間、PASS-ASSETを1.02に保つ買い板を運営します。非デリバリーの場合、操作コストは、防御された価格と非デリバリーにおける公正なPASS-ASSETとの間のギャップであり、FAIL-ASSETに対するプレミアムではありません。もし非デリバリーが公正なPASS-ASSETを0.99にする場合、1.02を防御するには購入されたPASS-ASSETあたり0.03ドルの費用がかかります。
もし弱気なトレーダーが400万PASS-ASSETを買い板に売り込んだ場合、操作コストは400万 * 0.03ドル = 12万ドルになります。30万ドルの支払いはデリバリーと非デリバリーで同じであるため、提案者は12万ドルの操作コストと18万ドルのデリバリーコストを比較します。操作の方が安いため、提案者はフローを吸収し、提案は通過し、提案者は作業をスキップできますが、とにかく支払いを受け取ります。もし弱気なトレーダーが1000万PASS-ASSETを売り込んだ場合、非デリバリー操作には1000万 * 0.03ドル = 30万ドルの費用がかかり、これは18万ドルのデリバリーコストを上回ります。提案者は代わりにデリバリーを行います。デリバリーによって防御されたPASS-ASSET価格が正当化されるため、以前の買い板での購入はもはや個別の操作損失ではありません。提案者は操作コストまたはデリバリーコストの低い方を支払い、両方は支払いません。
もし提案が通過する前に失敗した場合、提案者はデリバリーの義務を負わず、通過条件付きの操作損失も発生しません。彼らのデメリットは、提案の作成/提出コストです。資本コストを無視すれば、これはプルーフ・オブ・ワークマイニング (proof-of-work mining) における利己的マイニングに漠然と似ています。攻撃者は、弱い抵抗があれば利益が得られ、強い抵抗があれば個別の操作損失なしに正直な道に戻れるため、私的に支配的な戦略を持っています。
提案者は、デリバリーをデフォルトの義務から、抵抗によってトリガーされるバックストップへと転換しました。弱い反対があれば、作業を行わずに通過して支払いを受け取ることができます。強い反対があれば、より安価な道を選択せざるを得ません。操作コストがデリバリーよりも安ければ操作を続け、デリバリーが安ければデリバリーを行います。これにより、提案者には私的なコスト上限が与えられます。操作コストまたはデリバリーコストの低い方を支払うことで、通過を維持します。提案者がスプレッドを防御するのに十分な資本を持っていれば、これにより通過を減らすことなくデリバリーが必要となる頻度を減らすことができます。
これは、正直にデリバリーされれば+EVとなるあらゆる提案に利用できます。害は、futarchyがデリバリーが無条件であるかのように提案を承認する一方で、提案者がデリバリーをオプションとして扱うことです。カウンター取引が弱い場合、組織は行われない作業に対して支払いを行い、結果的にfutarchyを利用して組織からリソースを盗みます。カウンター取引が強い場合、デリバリーは操作が作業よりも高価になった場合にのみ行われます。
法的執行は、破られた無条件の約束に対してのみ役立ちます。提案自体が提案者にデリバリーの裁量を与えるか、デリバリーを抵抗依存型にする場合、この攻撃を阻止することはできません。その場合、提案者は嘘をついたり契約に違反したりすることなく、書かれた条件に従うことができます。メカニズムは、通過後の執行に頼るのではなく、オプション価値を事前に拒否する必要があります。
バッグホルダー抽出 (Bag-Holder Extraction)
提案者は、提案を通過閾値以上に押し上げるのに十分なPASS-ASSETを購入します。重要な事実は、PASS-ASSETを売ることが単に「提案に反対票を投じる」ことではないということです。ASSET保有者にとって、それは提案が通過する世界におけるASSETからの条件付き退出です。
例: 提案者がDAOに対し、ウォレット配布パートナーシップのために30万ドルを支払うよう求めます。もし実際にウォレットパートナーを確保し、統合作業を完了すれば、このパートナーシップはDAOにとって+EVですが、デリバリーには提案者に18万ドルの費用がかかります。提案者はデフォルトで作業を行う代わりに、FAIL-ASSETが1.00で取引されている間、PASS-ASSETを1.02に保つ買い板を運営します。非デリバリーの場合、操作コストは、防御された価格と非デリバリーにおける公正なPASS-ASSETとの間のギャップであり、FAIL-ASSETに対するプレミアムではありません。もし非デリバリーが公正なPASS-ASSETを0.99にする場合、1.02を防御するには購入されたPASS-ASSETあたり0.03ドルの費用がかかります。
もし弱気なトレーダーが400万PASS-ASSETを買い板に売り込んだ場合、操作コストは400万 * 0.03ドル = 12万ドルになります。30万ドルの支払いはデリバリーと非デリバリーで同じであるため、提案者は12万ドルの操作コストと18万ドルのデリバリーコストを比較します。操作の方が安いため、提案者はフローを吸収し、提案は通過し、提案者は作業をスキップできますが、とにかく支払いを受け取ります。もし弱気なトレーダーが1000万PASS-ASSETを売り込んだ場合、非デリバリー操作には1000万 * 0.03ドル = 30万ドルの費用がかかり、これは18万ドルのデリバリーコストを上回ります。提案者は代わりにデリバリーを行います。デリバリーによって防御されたPASS-ASSET価格が正当化されるため、以前の買い板での購入はもはや個別の操作損失ではありません。提案者は操作コストまたはデリバリーコストの低い方を支払い、両方は支払いません。
保有者は抽象的に「提案が通過する」か「提案が失敗する」かを選択しているわけではありません。彼らは、通過後にASSETを保有するか、条件付きでUSDに退出するかを選択しています。保有者は、提案がわずかに-EVであると信じていても、USDよりも通過ブランチのASSETエクスポージャーを好む可能性があります。
したがって、攻撃者は、提案が有害だと考えるすべての保有者を買い通す必要はありません。防御コストが提案者の私的な利益を超えるのに十分な修正フローを買い通すだけで済みます。保有者のみの市場では、そのフローは保有者の異質な通過ブランチの留保価格によって制限されます。多くの保有者は、スポット価格に対してかなりのプレミアムでしかASSETエクスポージャーを売却しないため、軽微な損害では通過閾値以下の条件付き売りフローが少なすぎる可能性があります。
直接移転提案の場合、通過を阻止するために必要な修正フローは依然として非常に大きくなる可能性があります。提案者は移転を内部化する一方で、損失は保有者に分散されるため、攻撃者の私的な利益は通過閾値以下で利用可能なカウンターフローを超える可能性があります。
ショートを伴う合成条件付き市場は、非保有者がPASS-ASSETの売りフローを作成できるため、この機械的な保有者供給制約を軽減します。しかし、修正フローを無制限にするわけではありません。大きなPASSショートは、売り手が提案価値について間違っている状態（機密の相手方が価値がある、提案者がデリバリーする隠れた能力を持っている、またはショートが十分な抵抗を追加し、デリバリーが継続的な操作よりも安価になり、PASSを公正にする）で損失を被ります。サイズが大きくなると、これらの逆選択 (adverse selection) 状態へのエクスポージャーが増加するため、ボトルネックは保有者の留保価格から、そのエクスポージャーを取る意思のあるリスク負担資本へと移行します。
これは主に、わずかに-EVの提案に役立ちます。提案が強く-EVである場合、より多くのトレーダーがPASS-ASSETを売るかショートすることを好みます。わずかに-EVである場合、強気な保有者は損害を許容し、アービトラージャーは大きな逆選択を伴うポジションを避ける可能性があり、通過閾値以下の修正供給が少なすぎる可能性があります。
提案の凸性最大化 (Proposal Convexity Maximisation)
市場価格が提案を実行するかどうかを決定するため、意思決定の選択バイアスが生じます。アセットフューターキーは因果的なシグナルを求めています。この提案を実行すればASSETの価値は上がるか？しかし、市場は相関関係を測定します。この提案が通過する世界では、ASSETは失敗する世界よりも価値があるか？
提案者は、提案自体に関する未解決の情報を巡って提案のタイミングを計ることで、これら2つの質問の間のギャップを悪用できます。
例: 提案者がDAOに対し、主要なキャンペーンの詳細（主要な取引所との共同マーケティング枠が含まれるかどうか）が判明する前に、成長キャンペーンに60万ドルを費やすよう求めます。もしその枠が含まれていれば、キャンペーンはASSET保有者にとって120万ドルの価値があります。含まれていなければ、10万ドルの価値があります。詳細が判明する前に、その枠が含まれる可能性が20%あるとします。真の事前期待値は (20% * 120万ドル) + (80% * 10万ドル) - 60万ドル = -28万ドルなので、選択前は提案は-EVです。
もしこの市場で30万ドルの提案価値がASSET価格の1%に相当する場合、無条件の承認はPASS-ASSETが0.9907、FAIL-ASSETが1.00で取引されることに対応するため、選択前には提案はハードルをクリアしません。しかし、PASS市場は無条件の承認を価格設定しているわけではありません。それは通過を条件としたASSETを価格設定しており、通過する世界は、枠が存在する世界に不釣り合いに多く含まれます。枠のブランチでは、EVは120万ドル - 60万ドル = +60万ドルであり、これはPASS-ASSETの1.02に対応します。提案は、提案者による操作なしに2%のハードルをクリアできます。なぜなら、通過ルールが事前の混合を直接評価するのではなく、好ましい提案固有の情報を選択するからです。
この条件付きブランチの計算は意図的に単純化されています。それはクリーンな選択効果を過大評価しています。なぜなら、提案の通過を助けるのと同じ意思決定選択バイアスが、一部の不利な状態も通過させるからです。これにより効果は自己制限的になりますが、自己相殺的ではありません。もし希釈が選択効果を完全に除去すれば、希釈を引き起こすメカニズムも除去されるでしょう。無条件の承認が負のEVであるにもかかわらず、選択された通過ブランチの価格はハードルをクリアするのに十分な高さに留まる可能性があります。もし提案が失敗した場合、提案者は提案の利益を受け取らず、通過条件付きの操作損失も発生しません。彼らのデメリットは、提案の作成/提出コストのみです。
問題はトレーダーが不合理であることではありません。彼らは自分がいる条件付きブランチを正しく価格設定しています。問題は、意思決定市場が選択前に提案の因果的効果に関する証拠を必要としたにもかかわらず、通過が提案の好ましいバージョンを選択することです。[1]
これは+EVと-EVの両方の提案に適用されます。+EV提案の場合、TWAPウィンドウ (TWAP window) 中に解決される人工的な不確実性を追加するインセンティブを生み出します。なぜなら、未解決のアップサイドが情報が明らかになる前にPASS-ASSETを上昇させる可能性があるからです。-EV提案の場合、同じ構造が悪質な提案を通過させる可能性があります。好ましい提案固有の情報が到着する世界の部分集合を選択することによってです。
カウンター操作抑止 (Counter-manipulation Deterrence)
提案者は不十分な仕様の提案を提出し、その後PASS-ASSETを購入します。
提案には、価値に関連する詳細（相手方、範囲、根拠、実装計画、実績の提示など）が曖昧または欠落しています。
曖昧さは参加を減少させます。悪いオラクル解決ルールと同様に、曖昧さはトレーダーの取引意欲を低下させ、流動性を減少させる可能性があります。提案者はその後PASS-ASSETを買い上げますが、懐疑的な人々は売却をためらいます。これは提案を承認しているからではなく、欠落している詳細が逆選択 (adverse selection) を生み出すためです。
逆選択が重要であるのは、+EVの提案者も合理的に曖昧さを使用できるからです。良い提案を持つ提案者は、意図的に強力な詳細を隠し、懐疑的な人々が提案を過小評価している間にPASS-ASSETを購入し、その後それらの詳細を明らかにすることができます。これにより、彼らの意思決定市場での取引リターンが最大化されます。-EVの提案者は同じパターンを模倣し、欠落している詳細をそれほど致命的でないように見せかけ、彼らにカウンター取引する意思のある資本の量を減らすことができます。
例: 提案者がDAOに対し、75万ドルの取引所流動性およびマーケットメーカーパッケージを承認するよう求めます。彼らは、相手方、会場、手数料条件、およびパフォーマンスコミットメントは承認まで機密であると述べます。実際には、このパッケージは明らかに-EVです。それは15万ドルの実質価値しか購入しないため、75万ドル - 15万ドル = 60万ドルの価値を破壊します。提案者はPASS-ASSETを購入して、FAIL-ASSETが1.00で取引されている間、2%のハードルを1.02で防御します。
カウンター取引を検討している懐疑的な人々は、欠落している詳細から逆選択に直面します。もしパッケージが隠された悪いバージョンである場合、懐疑的な人々は60万ドルの損失を公正なPASS-ASSETの0.994にマッピングするため、1.02で100万PASS-ASSETを売却すると、期待利益は100万 * 0.026ドル = 2万6千ドルになります。もしパッケージが、真に価値のある会場コミットメントを伴う曖昧な+EVバージョンである場合、懐疑的な人々は公正なPASS-ASSETを1.08と見積もるため、同じ取引で100万 * 0.06ドル = 6万ドルの損失を被ります。もし懐疑的な人々が曖昧な+EVバージョンに40%の確率を割り当てる場合、期待取引利益は (60% * 2万6千ドル) - (40% * 6万ドル) = -8400ドルになります。懐疑的な人々は、目に見える提案が良いよりも悪い可能性が高いと信じていても、PASS-ASSETの売却を拒否することができます。もし提案が失敗した場合、提案者は提案の利益を受け取らず、通過条件付きの操作損失も発生しません。彼らのデメリットは、提案の作成/提出コストのみです。
弱点は、曖昧さが安価に模倣できることです。しかし、曖昧さが負の証拠となるのは、曖昧な-EV提案が曖昧な+EV提案を上回る場合のみです。その比率は、とりわけ提案提出コストに依存します。+EV提案の作成者は、提案の詳細を開示することなくPASS-ASSETを自分で防御できるため、曖昧さがその通過確率を低下させたり、より悪い提案条件を強制したりする必要はありません。
失敗ブランチの妨害 (Fail-Branch Sabotage)
提案者は、失敗ブランチを悪化させることを約束します。
例: 流動性プロバイダーが、DAOにとって明らかに10万ドルの価値しかない50万ドルの更新助成金を要求します。提案自体は-EVです。トレーダーは、過剰な助成金と前例による損害を、公正なPASS-ASSETの0.99と評価します。流動性プロバイダーはまた、提案が失敗した場合に流動性を引き出し、サポートを停止すると信用できる脅威を与え、これによりFAIL-ASSETは1.00から0.965に低下します。2%の通過ハードルがあるため、提案はPASS-ASSETが0.965 * 1.02 = 0.9843を超える必要があります。公正なPASS-ASSETの0.99は、追加のPASS市場操作を必要とせずにハードルをクリアします。
脅威が与えられた場合、市場価格は間違っていません。失敗ブランチが毒されているため、PASSはFAILよりも優れています。この攻撃はコミットメントの失敗です。関連する反実仮想は、妨害の脅威を信頼できる形で拒否するガバナンスルールであり、これにより提案者は拒否を予想し、そもそも脅威を行いません。標準的なアセットフューターキーはそのようなグローバルなコミットメントを行うことはできません。なぜなら、それは「最も高値の条件付きブランチが勝つ」というルールと互換性がないからです。脅威が存在すれば、支払いと妨害の苦痛との間の局所的な比較を最適化します。たとえ、決して支払わないというポリシーが、提案全体でより高いEVであったとしてもです。
もし提案が通過すれば、攻撃者は40万ドルの過払いを受け取り、妨害する必要はありません。もし提案が失敗すれば、攻撃者は妨害を実行するため、ここでは失敗のみがオフパスの私的コストを伴うブランチです。その私的コストは、組織が失った価値と必ずしも等しいわけではありません。流動性の引き出しは、攻撃者にとってそれが破壊するASSET価値よりも少ないコストで済む可能性があります。
これは、提案者が実際の妨害ベクトルを持ち、評判コストを避けるほどそれを重視しないという2つの条件が満たされる場合に、+EVと-EVの両方の提案で機能します。
これにより、他の攻撃よりも範囲が狭くなります。新しい提案者は、組織に信頼できる形で損害を与える能力を欠いていることが多く、確立された提案者は将来のビジネスを重視することがよくあります。しかし、暗号は、通常の企業や政治的状況よりもこの脅威を強く見せることができます。匿名性の高いアクター (pseudonymous actors)、国境を越えたエンティティ、および不明確な法的救済は、攻撃者を社会的または法的に罰することをより困難にする可能性があります。
妨害ベクトルが存在する場合、コストはほとんどオフパスです。脅威が機能すれば、提案者がそれを実行する必要があることはめったにありません。十分に信頼できる攻撃者は、複数の提案で脅威を再利用できます。これにより、探索インセンティブが生まれます。組織に損害を与える信頼できる方法を見つけたアクターは、それらのベクトルを交渉力に変換し、リソースを抽出できます。メカニズムは妨害ベクトルの発見を補償します。
設計上の示唆 (Design implications)
これらの攻撃には、通常の価格発見以外の防御が必要です。アセットフューターキーは、負の情報を表現できる市場と、契約、省略、または脅威によってPASS対FAILの比較が因果的価値を測定しなくなる提案を拒否する承認ルールを必要とします。
抵抗依存型デリバリーは、契約設計の問題です。提案者には強制力のあるデリバリー義務が必要であり、提案レビューは、反対が操作を作業よりも高価にする場合にのみ提案者がデリバリーできるようにする条件を拒否またはペナルティを課すべきです。
バッグホルダー抽出は、市場アクセスに関する問題です。スポット条件付き市場は、修正売りを、通過ブランチのASSETから退出する意思のある現在の保有者に限定します。合成条件付き市場は、非保有者がPASSエクスポージャーを売却またはショートすることを可能にし、わずかに負のEV提案に反対できる資本を広げます。
提案の凸性最大化には、市場決済と市場主導の実行を時々分離するランダム化されたメカニズムが必要です。[2] ランダムに選択された大部分のケースでは、市場はキャンセルされ、提案の決定はその推奨に従うべきです。残りのケースでは、市場は決済されるべきですが、実行は市場によってではなくランダムに選択されるべきです。その場合、決済されたPASS状態は、好ましい提案固有の情報が通過を引き起こした世界のみで構成されることはなくなります。重要な情報を開示しない提案も、ゲート処理されるか、ペナルティを課されるべきです。
カウンター操作抑止は、主に承認と執行の問題です。不十分に定義された提案は取引前に拒否されるべきであり、価値に関連するコミットメントには利用可能な執行メカニズムが必要です。
失敗ブランチの妨害には、提案入力としての脅威の拒否が必要です。明示的または暗黙的な報復によって失敗ブランチを悪化させる提案は、手動でゲート処理されるか、スラッシュされるか、その他の方法でペナルティを課されるべきです。
パーミッション付きレビューは、これらの攻撃すべてに対処できる唯一の防御策であるとは限りませんが、私が知る限りでは唯一のものです。信頼されたレビュー層を再構築することなくこれを行う設計は、ここで説明されている緩和策よりも意味のある改善となるでしょう。
-
意思決定選択バイアスは、高度に情報化されたトレーダーによって完全に緩和されるわけではありません。トレーダーは市場よりも提案をよく理解し、逆選択リスクがほとんどない場合でも、バイアスを修正するよりもPASS-ASSETを購入することを好む可能性があります。もし意思決定市場が流動的で、通過がFAIL-ASSETの低下よりもPASS-ASSETの上昇によって起こる可能性が高い場合、PASS-ASSETの購入には退出オプションが含まれます。トレーダーはPASS-ASSETがFAIL-ASSETを下回って取引されている間に購入し、通過閾値付近に自動売却注文を出すことができます。もし通過がPASS主導の価格変動によって起こる場合、その閾値は決済前に超えられ、トレーダーはエントリー価格よりも高く売却する機会を得ます。したがって、PASS-ASSETの購入は、選択バイアスを強める場合でも私的に魅力的である可能性があります。このインセンティブは、PASS-ASSETにおける提案固有のボラティリティが、FAIL-ASSETに反映される通常のASSETボラティリティを超える場合に最も強くなります。短い取引ウィンドウは、この条件を満たしやすくします。それらは提案に関連する情報の周りに取引を集中させ、条件付き市場トレーダーにとって無関係なボラティリティコストを削減します。 ↩︎
-
ランダム化ソリューションは、Dynomightの「予測市場は因果関係を意味しない (Prediction market does not imply causation)」で紹介されています。関連するfutarchy批判については、「フューターキーの根本的な欠陥 (Futarchy’s fundamental flaw)」も参照してください。 ↩︎
1投稿 - 1参加者