📡 Signal｜a16z crypto の Aerie、耐量子署名3万2768件を0.65秒で集約

ベンチャーキャピタル a16z の暗号資産部門 a16z crypto は10月16日、量子計算機でも破られにくい署名を大量にまとめる仕組み「Aerie」をオープンソースで公開した。格子暗号の署名 Falcon-512 を 3 万 2768 件、GPU なしのノートパソコン (Apple M4 Max) で 0.65 秒、約 66 KiB の証明 1 つに集約できるという。

Fast post-quantum signature aggregation with lattice SNARKs (a16z crypto・2026年10月16日／Falcon-512 3 万 2768 件を 0.65 秒、証明約 66 KiB、検証 54 ミリ秒、ソルト約 1.3 MB、Orthus・leanVM との比較、Lean Consensus の目標 1 秒 1,000 署名を確認)a16z crypto

プルーフ・オブ・ステークのブロックチェーンは、数万のバリデーター (検証者) の署名を 1 つにまとめる技術で動いている。いま使われている BLS 署名は量子計算機に弱く、耐量子の署名はそのまま並べるとブロックが膨らむ。Aerie は、署名の集約という量子移行の詰まりどころに、イーサリアムの公式の計画とは別の道で答えを出した。

3万2768件を0.65秒、検証は54ミリ秒

a16z crypto の発表によると、Aerie の性能は次のとおりだ。

• 集約: Falcon-512 の署名 3 万 2768 件を 0.65 秒 (1 秒あたり 5 万件超)。同じ大きさの証明で Falcon-1024 なら 1 万 6384 件
• 証明の大きさ: 約 66 KiB。署名 1 件あたり約 42 バイトで、Falcon-512 の署名 (666 バイト) の約 16 分の 1
• 検証: 1 コアで 54 ミリ秒。署名を 1 件ずつ確かめるより約 10 倍速い

ただし証明とは別に、各署名に付く 40 バイトの乱数 (ソルト) が検証に要る。3 万 2768 件では合計約 1.3 MB になり、集約後のデータの大半はこちらが占める。a16z crypto もこの点を明記している。

比較の相手として、a16z crypto は Falcon の集約でこれまで最速だった Orthus を挙げ、同じサーバーの 1 コアで比べて証明の作成は 1.5 倍速く、検証は 38 倍速く、証明は 1.7 分の 1 の大きさだとした。仕組みは、a16z crypto が LayerZero Labs と開発した格子暗号の多項式コミットメント「Akita」の上に組み立てている。

イーサリアムの計画はハッシュ署名、Aerie は格子

量子移行の設計で、イーサリアムとソラナは署名の集約という同じ課題を抱える。イーサリアムは 1 スロット (12 秒) ごとに数万のバリデーターの署名を BLS でまとめており、ソラナも大型アップグレード Alpenglow の一部として BLS を採り入れつつある。どちらも、BLS を耐量子の署名に置き換える時に、集約の手段を別に用意しなければならない。

イーサリアムの研究者たちが進める計画 (Lean Consensus) は、ハッシュ関数だけに安全を預けるハッシュ署名 (XMSS) を、専用の証明の仕組み leanVM で集約する方向にある。a16z crypto によると、その目標は 1 秒あたり 1,000 署名だ。a16z crypto は leanVM の公表済みの計測と比べて、Aerie は XMSS の集約より約 29 倍多く (1 秒あたり約 5 万 800 件対約 1,770 件) 処理すると書く。

数字だけを見れば格子の側が速い。ただ、ハッシュ署名には安全の前提がハッシュ関数だけで済むという強みがある。格子暗号は効率で勝り、ハッシュ署名は前提の少なさで勝る。Aerie は、その比較の材料を具体的な数字で机に載せた。

1台で1スロット分を作れる意味

a16z crypto が強調するのは、1 つのノードが 1 スロット分の署名を、再帰的な証明の積み上げなしに 1 つの証明にできる点だ。集約にかかる時間が短いほど、票を集めてブロックを伝える時間に余裕ができる。署名を手元に持つノードなら誰でも、集約役が落ちた時に代わりを務められる。

集約が重い仕組みでは、作業を多くの証明者に分けて最後に合流させる必要があり、そのぶん担い手が限られやすい。ノートパソコン 1 台で 1 スロット分を作れるなら、集約は特別な設備を持つ一部の参加者の仕事でなくなる。量子への備えが、分散の度合いを削らずに済むかどうかは、こうした数字で決まっていく。

次に見るもの

確認できる次の一点は、a16z crypto が予告した拡張だ。Aerie は今のところ Falcon だけを扱い、米国の標準になった ML-DSA と、格子と楕円曲線を組み合わせた混成の署名への対応は今後としている。GitHub の a16z/aerie の更新で ML-DSA への対応が入るか、また Ethereum Research のフォーラムで Lean Consensus の署名の選定にこの数字が引かれるかを追う。

ことば

• 署名の集約 — 多数の電子署名を、短い証明 1 つにまとめて一度に検証できるようにする技術。プルーフ・オブ・ステークのチェーンは、数万のバリデーターの投票を毎回この方法でまとめてブロックに載せている。
• Falcon と ML-DSA — どちらも格子暗号にもとづく耐量子の電子署名。米国立標準技術研究所 (NIST) が標準化を進めており、ML-DSA は 2024 年に標準として公表された。Falcon は署名が小さいのが特徴。
• BLS 署名 — 楕円曲線のペアリングを使う署名で、多数の署名を 1 つに足し合わせられる。イーサリアムの合意形成を支えているが、量子計算機では破られる。

🔗 一次ソース

• Fast post-quantum signature aggregation with lattice SNARKs (a16z crypto・2026年10月16日／Falcon-512 3 万 2768 件を 0.65 秒、証明約 66 KiB、検証 54 ミリ秒、ソルト約 1.3 MB、Orthus・leanVM との比較、Lean Consensus の目標 1 秒 1,000 署名を確認)a16z crypto
• a16z/aerie (GitHub／Aerie の実装)GitHub
• Aerie の論文 (LayerZero Labs 掲載の PDF)assets.layerzero.network