🔬 Deep Dive｜耐量子署名、イーサリアムはハッシュで Tron は格子に

イーサリアム財団の研究者ジャスティン・ドレイク氏が10月7日に「バンカーモード」を呼びかけてから3日のうちに、ヴィタリック・ブテリン氏とチャールズ・ホスキンソン氏が、AI と量子に備える暗号をハッシュ関数に寄せるか格子暗号に寄せるかで正面から意見を分けた。各チェーンの選択もすでに割れており、イーサリアムの長期計画と Zcash はハッシュ署名、Tron は格子署名をテストネットで動かし、ビットコインは草案、Cardano は提案の段階で両方を比べている。

Justin Drake

@drakefjustin

·Follow

Today I call upon the blockchain industry to calmly begin planning for "bunker mode". My personal recommendation is to set in motion a controlled mass migration of assets to fresh addresses, i.e. addresses whose pubkeys remain hidden behind a hash. Holders, starting with large Show more

2:14 PM · Oct 7, 2026

26.8K

Read 5.8K replies

単なる専門家どうしの論争ではない。攻撃はまだどこでも示されておらず、保有者がいまできることは、本稿で比べる5つのチェーンで同じだ。公開鍵をまだ見せていないアドレスに資産を置くこと。一方で、チェーンが長期に何へ賭けるかは分かれ始めている。その差は、数年後に保有者が何回、どれだけ重い移行を求められるかを決める。本稿は3人の投稿、鍵の見え方、各チェーンの選択、名指しされた取引所と機関の順にたどり、次の確認先までを示す。

10月7日から9日まで、3人の投稿で論点がそろった

ドレイク氏の提案は 10月9日の記事で詳しく伝えた。要点は、資金を一度も署名に使っていないアドレスへ、大口で慣れた保有者から順に計画的に移すことだ。同氏は、ビットコインやイーサリアムの署名を支える楕円曲線暗号 (ECDSA) が、量子計算機の実用化より先に、最悪の場合は「数年ではなく数か月」で破られる可能性に備えるのが妥当だとした。ここでいう「破られる」は、大型の GPU クラスターのような手に入る計算資源で、1週間程度で秘密鍵を復元できる状態を指す。

この投稿で、のちの論争の中心になった一文がある。楕円曲線は代数的な構造が豊かで、ハッシュ関数は構造を最小にするよう設計されている、という対比だ。同氏はバンカーモードの出口として、曲線・格子・同種写像 (アイソジェニー) のような構造を持つ数学の仮定をすべて避け、SHA や BLAKE 系の実績あるハッシュに全面的に寄せる方向を挙げた。

ブテリン氏は同じ日のうちに (協定世界時) 長文で応じた。今日あわてて資金を移すことは勧めないとしたうえで、量子に弱い暗号だけでなく、AI に弱いかもしれない暗号への露出も減らすべきだと書いた。新しいリスクの中心に置いたのは、量子に強い次世代暗号の本命とされてきた格子暗号だ。「格子の具体的な安全性は、この先2年の AI の数学で深刻な打撃を受ける可能性が高い」という。素因数分解が数十年の研究で速くなり、RSA の鍵が長くなったように、格子にも未発見の抜け道があるかもしれない。だから格子を使うなら鍵の大きさにずっと慎重になり、ハッシュで組める署名と証明はハッシュに寄せる。イーサリアムの長期計画 (lean Ethereum) の署名が、WOTS (ウィンターニッツ・ワンタイム署名) か SPHINCS- 系のハッシュ方式だけで組まれているのは、この理由が大きいとした。

これに10月9日、Cardano の創設者でエンジニアリング企業 IOG を率いるホスキンソン氏が反論した。論点は次のとおりだ。

素因数分解のたとえは成り立たない。数体ふるい法は特定の算術から生まれた手法で、1993年までに完成し、その後30年 RSA の鍵の大きさはほとんど変わっていない
格子への攻撃は、1982年の LLL、BKZ、2008年と2016年のふるい法 (いずれも格子の短いベクトルを探す手法) とすでに何度も進んでおり、そのたびにパラメーターに織り込まれてきた。NIST 標準の ML-KEM と ML-DSA は、これらの攻撃を前提に大きさが決められている
NIST は2025年に、格子ではない符号ベースの HQC を予備の標準に加え、鍵共有を格子だけに頼らない形にしている
ハッシュにも構造がある。MD5 と SHA-1 は差分解読法で実際に破られ、イーサリアムのハッシュ中心の計画が使う Poseidon は代数的に表しやすく設計されたハッシュだ
「AI が2年で50年分の数学をもたらす」は、攻撃の手法もコストも名指ししておらず、脅威モデルではない

ホスキンソン氏もハッシュベース署名そのものは否定しておらず、合う場面では使えばよいと書いている。対立しているのは、ハッシュか格子かの二者択一というより、格子の安全性をどこまで割り引いて見積もるかという点だ。

3人とも、実際の攻撃は一つも挙げていない。

鍵はどれだけ見えているか、BTC は626万枚

ハッシュか格子かは、まだ先の話だ。いま保有者の資産を分けているのは、公開鍵がすでにチェーン上に見えているかどうかになる。量子計算機でも、仮に AI が新しい解き方を見つけた場合でも、秘密鍵を割り出すにはまず公開鍵が要る。公開鍵がハッシュの裏に隠れていれば、楕円曲線が破られても直接は狙えない。

ビットコインでは、その量が数えられている。Glassnode の共同創業者ラファエル・シュルツェ=クラフト氏は10月8日、公開鍵が見えているアドレスに約626万 BTC、供給量の31.2%があると示した (10月11日の記事)。内訳は、アドレスの使い回しによるものが433万 BTC、公開鍵をそのまま載せる初期の形式 P2PK が171万 BTC だ。使い回しの分は、新しいアドレスへ移せば消える。ドレイク氏は、50 BTC 未満の財布はサトシ・ナカモトのものとされる約2万の露出アドレス (各50 BTC) が先に狙われるという意味で、部分的に守られているとも書いた。急ぐ必要がないという同氏の主張の根拠の一つだ。

鍵の見え方は、チェーンの作りで違う。

イーサリアム: 送金を一度でもしたアカウントは公開鍵がチェーン上に出ている。受け取っただけのアカウントは出ていない (ethereum.org)
Tron: アドレスは公開鍵の Keccak-256 ハッシュから作る。後ろの20バイトはイーサリアムのアドレスと同じ値になる (TRON 開発者ドキュメント)
Zcash の透明なアドレス: ビットコインと同じく、公開鍵が出るのはそのアドレスから送金するときだ。発行済み ZEC の約7割が透明なアドレスにある (10月10日の記事)
Cardano: 支払いの鍵はアドレスの中で blake2b-224 のハッシュに隠れ、使うときに初めて公開鍵を出す (CIP-0019)。ステークの鍵は委任の手続きで署名に使うため、委任したことのある利用者は公開鍵がチェーンに出ている。資金を動かす権限は支払い側にある
ソラナ (比較): 利用者のアドレスは Ed25519 の公開鍵そのものだ (ソラナ公式ドキュメント)。新しいアドレスへ移しても、公開鍵を隠す効果は無い

イーサリアム、Tron、Zcash、ビットコイン、Cardano の5つでは、保有者がいまできる手は同じになる。一度も署名に使っていないアドレスへ移し、署名したら残りも新しいアドレスへ移す。新しい暗号も新しいウォレットも要らない。Cardano とソラナが使う Ed25519 も楕円曲線の署名なので、ドレイク氏が楕円曲線全般について示した懸念の外にはない。

ハッシュか格子か、5つのチェーンの選択を一枚に

ここで道が分かれる。いま見えている鍵を隠す手は共通でも、その先で何に乗り換えるかはチェーンごとに違う。10月12日時点の各チェーンの位置は次のとおりだ。

チェーン	長期の署名の方向	現在地
イーサリアム	ハッシュ (lean Ethereum の署名は WOTS か SPHINCS- 系)	財団が実行・コンセンサス・データの3層の耐量子化を2029年12月までの目標に置く
Zcash (透明側)	ハッシュ	Zakura が1月の導入を目標に置く。方式名とメインネットの有効化日は未確定
Tron	格子 (Falcon-512 と ML-DSA-44)	テストネット Nile で Falcon-512 のみ稼働。メインネットは未導入
ビットコイン	未定 (BIP-360 は ML-DSA と SLH-DSA を検討の対象に挙げる)	公開鍵を出さない出力形式 P2MR の BIP-360 が草案
Cardano	比較中 (CIP-0197 案はハッシュに安全性を置く証明を既定に、格子系も候補に並べる)	個人の提案 PR #1242 が審査中

イーサリアムの方向は、ブテリン氏の投稿と ethereum.org の説明がそろって示している。ブテリン氏によれば、長期計画は、格子も ML-DSA も Falcon も使わないハッシュ一本の方向で進んできた。ethereum.org は、コンセンサス層の検証者の署名を BLS からハッシュベースの leanXMSS へ置き換えると説明し、その署名は約3,000バイトと、BLS の96バイトから大きく膨らむと書く。イーサリアム財団のプロトコル部門は9月7日、3層すべてを2029年12月までに耐量子にする目標を書いた。

Zcash は、ノードを開発する Zakura が、ハッシュベース署名で透明なアドレスを守る命令 (オペコード) を1月に入れる計画を技術記事で示した。例に挙げたのは WOTS だ。

Tron は逆に格子へ向かった。改善提案 TIP-899 が入れるのは、格子暗号にもとづく Falcon-512 と ML-DSA-44 の2方式で、テストネットでは7月から Falcon-512 だけが有効になっている (10月11日の記事)。署名は ECDSA の65バイトに対し、Falcon-512 で最大667バイト、ML-DSA-44 で2,420バイトと、10〜37倍に重くなる。

ビットコインは、署名より先に出力の形式を決めようとしている段階だ。BIP-360 は Taproot から鍵による支払い経路を外した新しい出力 P2MR を、ソフトフォークで入れる草案になる。BIP-360 自身は、公開鍵が長くチェーンに置かれる攻撃への備えにとどまり、耐量子署名は別の提案に委ねると書く。その候補として ML-DSA (格子) と SLH-DSA (ハッシュ) を挙げ、どちらも使う前に精査が要るとしている。

Cardano では、改善提案の候補 CIP-0197 が8月7日に GitHub に出された。提案者は個人の開発者で、まだ審査の途中にある。中身は、いまの鍵とアドレスを変えずに、鍵の持ち主であることを示すゼロ知識証明を署名に添えるというものだ。安全性は SHA-256 と SHA-512 の量子耐性に置き、証明の方式では、ハッシュにもとづく STARK と、格子系の候補 (Lova など) を並べて比べている。STARK は証明が約219KB と大きく、いまの取引の大きさの上限に収まらないことも提案自身が書いている。ML-DSA、Falcon、SPHINCS+ のような耐量子署名への鍵の切り替えは、別の提案で扱うとしている。

もう一つ、表に入れていない直近の例がある。NEAR は7月から、名前付きのアカウントで格子にもとづく ML-DSA-65 の鍵を使えるようにし、10月にはテストネットで公開鍵を出さない新しいアカウント方式を動かしている (10月12日の記事)。格子の側にも、すでにメインネットで使われている例がある。

この分岐が保有者に関わるのは、移行の回数と重さだ。格子の署名は小さく、いまの帯域で扱いやすい。ブテリン氏の見立てどおり格子のパラメーターを大きく取り直す日が来れば、格子へ移ったチェーンはもう一度鍵を替える必要が出る。ハッシュの署名はいま大きくて重いが、構造を持つ数学の仮定に頼らない分、2度目の移行の可能性を小さく見積もれる。ホスキンソン氏の見立てどおり格子の見積もりが保たれれば、格子は小さな署名のまま使い続けられ、ハッシュを選んだチェーンは重い署名を抱え続けることになる。

どちらが正しいかは、いまの時点で決まっていない。決まっているのは、移行を設計する側が、どちらの外れ方に耐えるかを先に選んでいるということだ。ブテリン氏自身が、失敗した移行で失ったお金はすべてのハッキングで失ったお金より多いと書いている。各チェーンの選択は、保有者が将来くぐる移行の数を左右する。

名指しされた5社と、コールドストレージの見直し

ドレイク氏は投稿の中で、大口で慣れた当事者が手本を示すよう求め、バイナンス、ビットバンク、ロビンフッド、ビットフィネックス、テザーの5社の名を挙げた。書いたのは、5社には「コールドストレージを固める機会がある」ということだ。攻撃を受けた、危険にさらされているという話ではない。5社とも大量の暗号資産を預かる立場にあり、ビットバンクは国内の暗号資産交換業者だ。

Glassnode の5月のリサーチは、取引所に関わる残高が、運用で公開鍵が露出した BTC の約4割を占めると集計していた。リサーチは同時に、取引所の分を移し替えうる部分と位置づけ、アドレスの管理、準備金の扱い、鍵の使い回しを減らすこと、移行の計画が、露出を減らす実際の手段だと書く。個々の取引所や保管業者の安全性の順位を示すものではない、という但し書きも付いている。

取引所の顧客にとって、この移し替えは自分の手を動かす話ではない。預けた資産のコールドウォレットの鍵をどう替えるかは、業者の側が計画して行う。

機関向けには、2人の具体的な助言もある。ドレイク氏は、オラクルや L2 のセキュリティ評議会のように署名が重い役割を担う主体に、署名のたびに ECDSA の公開鍵を替えるか、SPHINCS のようなハッシュ方式との多重署名を検討するよう求めた。ブテリン氏は、マルチシグの承認をチェーンの外で済ませれば、署名者の署名が公開されず、万一 ECDSA が早く崩れても被害の広がり方を抑えられると書いた。

次に見るもの

確認先は4つある。

11月12日、ロンドンのイーサリアム機関投資家フォーラム (Ethereum Institutional Forum): ドレイク氏が機関向けの公開質疑を予定している招待制の会合で、案内には耐量子への備えが議題として載っている。取引所やカストディアンが、コールドストレージの移行計画を語るかを見る
ビットコインの BIP-360 のページ: 状態が草案から先へ進むか、別に予告されている耐量子署名の提案が出て、ML-DSA と SLH-DSA のどちらに寄るかを見る
Zcash の1月: 改善提案のサイト (zips.z.cash) に、ハッシュベース署名の命令の提案が番号付きで出るか。1月の目標が、ネットワークアップグレードの日程に入るかで見える
Tron のメインネット: TRONSCAN のガバナンス提案の一覧に、Falcon-512 を有効にする提案が出るか。出れば、それがメインネット導入の日付になる

Cardano の CIP-0197 は、GitHub の PR #1242 がマージされ、CIP の一覧に載るかを見る。5つのうち、ハッシュか格子かの答えをまだ出していないのはビットコインと Cardano の2つだ。その2つのうち、時価総額で最大のビットコインがどちらへ寄るかは、ほかのチェーンの次の選択にも響く。

ことば

ハッシュベース署名 — ハッシュ関数の性質だけに安全性を頼る署名方式。代数的な構造をほとんど持たないため量子にも AI の数学にも強いとみられる一方、署名が大きく、WOTS のように使える回数に制限がある方式もある。
格子暗号 — 多次元の格子の上の問題の難しさを使う暗号。NIST が ML-KEM や ML-DSA として標準にした耐量子暗号の主力で、署名が比較的小さい。今回の論争では、その安全性の見積もりが割れた。
公開鍵の露出 — 送金の署名などで、公開鍵がチェーン上に見える状態になること。秘密鍵を割り出す攻撃はまず公開鍵を必要とするため、一度も署名していないアドレスに置くことが当面の備えになる。

🔗 一次ソース