🔬 Deep Dive｜Quantum Alliance、ブロックチェーンの耐量子対応を測る物差しづくり

ブロックチェーンにかかわる 9 つの組織が10月15日、耐量子の対応の公開標準をつくる団体 Quantum Alliance の発足を発表し、16日にリスボン発の報道発表を配信した。「量子に備えができている」とは何かを、誰でも自分の実装に当てて試せる公開の試験基準として定めるという。

Algorand

@Algorand

·Follow

While many L1 and L2 networks plan to become fully quantum-resilient L1 networks, these are just plans. Algorand has been putting in the work since 2022. The first major L1 to protect its chain history with Falcon-secured State Proofs. The first major L1 to execute a Show more

6:00 PM · Oct 12, 2026

540

Read 22 replies

10月だけでも、Tron、NEAR、Algorand、Starknet、Zcash の開発陣、そして Coinbase が、それぞれの言葉で耐量子への対応を打ち出した。各チェーンが自分の物差しで「対応済み」を名乗り始めたいま、何をもって備えとするかを誰が決めるのかが、次の争点になっている。

足元の宿題も重い。ビットコインでは、発行済みの供給量の約 3 割が、公開鍵の見える状態で保管されている。本稿は 10 月の各チェーンの発表を同じ物差しの上に並べ、Quantum Alliance が決めようとしているもの、「対応済み」の中身の違い、ビットコインの移行、そして時間軸を動かす要因を順に見ていく。どのチェーンの対応が優れているかは判定しない。

10 月に並んだ「耐量子対応」— 各チェーンの発表を同じ表に置く

10 月の発表を、何を、どの方式で、どの段階まで進めたかで並べると次のようになる。

Tron: 創設者の Justin Sun 氏が10月10日、耐量子の暗号がテストネットで稼働したと投稿した。改善提案 TIP-899 は格子型の署名 Falcon-512 と ML-DSA-44 の 2 方式を定めるが、テストネット Nile で有効なのは7月2日から Falcon-512 の 1 つだけで、メインネットにはまだ入っていない
NEAR: 開発チーム Near One が10月9日、アドレスを初期状態のハッシュから作り公開鍵をチェーンに出さない新しいアカウント方式 NEP-655 がテストネットで動いていると告知した。名前付きのアカウントは7月から、NIST の標準の格子型署名 ML-DSA-65 の鍵を持てる
Algorand: 公式の X で10月12日、Falcon-1024 を使う標準のアカウント (8月からメインネットで稼働) と、耐量子の署名を使った取引が 150 万件を超えたことを示し、2027 年に量子への耐性を備えると書いた
Starknet: 10月15日から22日まで、独立した耐量子のレイヤー 1 になる道を研究するかを STRK の保有者に問う、拘束力のない投票を開いている
Zcash: フルノードの Zakura が、ハッシュ型の署名を検証する量子耐性の命令を 1 月に入れる計画を技術記事で示した
Coinbase: 10月13日、ビットコインの耐量子の移行について、出力の形式と署名方式を切り離す設計や、従来の鍵と耐量子の鍵のどちらでも使える過渡期の財布など、取引所の立場から望む条件を公表した (The Block の報道)
a16z crypto: 10月16日、Falcon-512 の署名 3 万 2768 件を 1 つの証明に 0.65 秒で集約する仕組み Aerie をオープンソースで公開した

署名の方式で見ると、Tron、NEAR、Algorand、Aerie は格子型、Zcash とイーサリアムの長期計画はハッシュ型に寄る。この分かれ方は LiveMakers の10月12日の Deep Dive で整理した。Cardano は提案の段階で両方を比べている。段階で見ると、メインネットで使える、テストネットで動く、計画や投票の段階、と 3 つに分かれる。同じ「耐量子対応」という言葉の下に、これだけ距離の違う状態が並んでいる。

Quantum Alliance が決めようとしているもの — 5 つの領域の公開の定義・試験基準・移行の参照設計

創設に名を連ねたのは、耐量子のチェーンを手がける Quantus、プライバシーのチェーンの Midnight Foundation、監査会社 Hacken、ハードウェアウォレットの Keystone、ほか AmericanFortress、Intmax、Postquant Labs、Abelian、The Vault の 9 組織だ。

The Vault が公開した共同発表によると、つくるものは 3 つある。

定義: 取引の署名、鍵の管理、合意の仕組み (コンセンサス)、ゼロ知識証明、ノード間の通信の 5 つの領域について、ネットワーク、ウォレット、基盤の「耐量子の備え」の公開の定義
試験: どのチームでも自分の実装に当てて回せる、公開の試験基準とベンチマーク
移行: 公開鍵がすでに見えている鍵、長く動いていない口座、大きくなる耐量子の署名を扱う、移行の参照設計

運営はインターネットの標準化団体 IETF にならう。共同発表は、企業の規模やトークンの保有量は議決の重みにならないと書く。公式サイトによると、参加費や入会の審査はなく、議長が議論の重さを見て大筋の合意を判断し、2 週間の最終確認で強い反対が残らなければ文書が先へ進む。文書は討議文書、提案標準、団体標準の 3 段階で、最上位の団体標準には、独立した 2 つ以上のプロジェクトでの実装が要る。作業部会は、既存のチェーンの移行、耐量子のゼロ知識証明、ウォレットの安全、チェーン間の互換の 4 つだ。

公式サイトは、証拠を求め、量子への備えを誇張したり恐怖を売ったりしないことを原則に掲げる。一方で、標準を出す期限は、共同発表にも公式サイトにも書かれていない。

「対応済み」の中身はばらばら — 署名だけか、鍵管理・合意・ZK 証明まで含むか

Alliance が 5 つの領域を並べたこと自体が、いまの「対応済み」の狭さを映している。10 月の発表の多くは、利用者が取引に付ける署名の話だ。だがブロックチェーンが量子計算機に対して守るべき場所は、署名の外にも広がっている。

合意の仕組みは、その代表例だ。Algorand は利用者のアカウントを耐量子にしたが、公式サイトによると合意を動かす乱数の仕組み (VRF) はこれから研究する段階で、2027 年末までに広く耐性を備える計画の一部にとどまる。NEAR も、公式ドキュメントによれば検証者の鍵とブロックの生成は従来の方式のままだ。署名の側が先に進み、ネットワークを支える側は後に残る形は、ほかのチェーンにも共通する。

Starknet の投票は、別の層の問題を示した。Starknet Foundation の提案は、取引の正しさを示す証明 STARK がもともとハッシュ型で、利用者のアカウントはプロトコルの更新なしに耐量子の署名を採り入れられるとする。それでも、Ethereum とつなぐ橋やデータの置き場所は、Ethereum の移行の時間割に従う。自分の側だけ備えても、依存する先が備えていなければ全体は備えたことにならない。だから独立のレイヤー 1 を研究するか問う、という論理だ。

鍵の管理と移行の負担も、チェーンごとに違う。Tron では利用者が耐量子の鍵を新しく作り、そのアドレスへ資産を移す必要がある。今あるアドレスは自動では守られない。Coinbase は、顧客の資産を預かる立場から、複数の当事者で鍵を分けて管理する方式 (MPC) と相性のよい耐量子の署名を、少なくとも 1 つ用意するよう求めた。署名を数万件まとめる集約は、Aerie が答えの 1 つを出したばかりだ。

同じ言葉の下で、ある発表は利用者の署名だけを、別の発表は橋やデータまでを語っている。Alliance の 5 つの領域は、その差を 1 枚の表に載せて比べるための枠になりうる。

ビットコインの 604 万 BTC — 構造的な露出と運用上の露出、移行の提案

この問題が最も重いのは、ビットコインだ。オンチェーン分析会社 Glassnode が5月20日に公開した推計によると、保管中に公開鍵が見えている BTC は 604 万 BTC で、発行済みの供給量の 30.2% にあたる。

構造的な露出: 192 万 BTC。初期の P2PK や Taproot など、スクリプトの形式そのものが公開鍵を見せるもの
運用上の露出: 412 万 BTC。アドレスの使い回しなど、使い方によって公開鍵が見えているもの

運用上の露出は、持ち主が新しいアドレスへ移せば消える。構造的な露出には、長く動いていない初期のコインが多く含まれ、持ち主が動かさない限り残る。内訳の読み方は 10月18日の Signal で詳しく伝えた。

移行の道具はまだ提案の段階にある。ビットコインの改善提案 BIP-360 (P2MR) は草案で、メインネットでは有効になっていない。Coinbase は10月13日の文書で、BIP-360 などを、出力の形式と署名方式を切り離して後から方式を差し替えられる設計の例として挙げた。耐量子の署名の候補として、NIST の ML-DSA、SLH-DSA、FN-DSA と、提案中の SHRINCS を比べるよう勧めている。

最も難しいのは、持ち主が二度と動かさないコインの扱いだ。Alliance が移行の参照設計に「長く動いていない口座」を明記したのは、この問題を避けて通れないからだ。古いコインを凍結するのか、放置するのか、別の手当てをするのか。どれを選んでもビットコインの合意の根本に触れるため、技術の標準だけでは決められない。外部の団体が書く参照設計は、ビットコインの開発者たちの議論の材料にはなっても、結論の代わりにはならない。

時間軸を動かすもの — 量子ハードの進歩と、AI による量子回路の設計

各チェーンの移行の時間割は、量子計算機が暗号を破れるようになる日の見積もりで決まる。その見積もりが、10 月に両側から動いた。

ハードの側では、Google が10月15日、量子計算機 Willow で「マジック状態」と呼ぶ計算の材料の誤りを、ある手法を使わない場合のおよそ 40 分の 1 に抑えたと米科学誌 Science に発表した (10月18日の Signal)。論文自身の記述では、2048 ビットの RSA 暗号を破るにはなお 6 桁の改善が要る。

設計の側では、Anthropic が10月16日、AI モデル Claude Mythos 5 が楕円曲線の点の足し算の量子回路を、量子ビットの数が最も少ない既存の設計に比べ、量子ビットは 12% 多いがゲートは 17 分の 1 で組んだと発表した (10月17日の Signal)。ビットコインやイーサリアムの署名が頼る楕円曲線暗号を破る回路が、AI の手で軽くなり始めた。

ハードの進歩は年単位の工程表で語られてきたが、回路の設計を AI が担うようになると、必要な機械の規模の見積もりそのものが短い間隔で書き換わる。猶予が縮むほど、各チェーンが自分の物差しで「対応済み」を名乗る誘因は強まる。共通の試験基準があれば、その名乗りを外から確かめられる。Quantum Alliance の価値は、標準の中身より先に、この確かめ方を誰にでも開くところにある。ただし、Alliance の名簿にはビットコインやイーサリアムの本体の開発者は入っていない。物差しが広く使われるかどうかは、大きなチェーンの側がそれを使うかにかかっている。

次に見るもの

確認先は 3 つある。1 つ目は Starknet のガバナンスのページで、10月22日 9 時 32 分 (協定世界時) に締め切る投票の結果。2 つ目は Quantum Alliance の公式サイトで、最初の討議文書が載る時期と、「備え」の定義が 5 つの領域のどこまでを含むか。3 つ目は NEAR の GitHub の NEP-655 で、Near One が「数週間のうち」とした、公開鍵を出さないアカウントのメインネットへの導入が実際に行われるかどうかだ。

ことば

Quantum Alliance — 2026年10月に 9 つの組織が立ち上げた、ブロックチェーンの耐量子の対応の公開標準をつくる団体。IETF にならった運営で、企業の規模やトークンの保有量を議決の重みにしないと掲げる。標準を出す期限はまだ示していない。
格子型とハッシュ型 — 耐量子の署名の 2 つの主な系統。格子型 (Falcon・ML-DSA) は署名が比較的小さく、ハッシュ型 (SLH-DSA など) は安全性の前提が単純だが署名が大きい。どちらを選ぶかで、チェーンの移行の重さが変わる。
公開鍵の露出 — ビットコインのアドレスの多くは公開鍵のハッシュで、送金するまで公開鍵そのものは見えない。使い回しや一部の古い形式では公開鍵がチェーン上に残り、量子計算機で秘密鍵を割り出される入口になりうる。

🔗 一次ソース