執筆：@yq_acc
翻訳・編集：AididiaoJP、Foresight News
Devcon 8はイーサリアムに対し、公式計画より野心的なスケジュールを打ち出した。2028年12月に耐量子移行を完了させるというものだ。研究チームは暗号技術が追随できると見ているが、今秋のリリースペースが示すのは、本当のボトルネックがアルゴリズムではなく、ハードフォークを予定通りに出せるかどうかだという点にある。
ムンバイでの方向づけ：2028年目標は公式計画より1年早い
Devcon 8は2026年11月3日から6日まで、ムンバイのJio World Centreで開催された。Devconがインドで開かれるのは初めてだ。初日の午前、イーサリアム財団（EF）の研究者Justin Drake氏が会場で最も大きなニュースを打ち出した。2028年12月までに耐量子とポストAIへの移行を完了させたいというもので、これはGlamsterdamの後、24か月以内に3つのハードフォークを投入することを意味する。
これはイーサリアム財団の正式計画より1年早い。EFは9月に公開した優先順位に関する記事で、2029年12月までに3層の耐量子を実現すると約束し、この日付は2027年1月に外部専門家による再検討が行われるまで変わらないと明言した。つまり、研究者は現在2028年を前提に進めており、2029年はあらかじめ設定された締め切りという位置づけだ。
同じ週に起きた出来事が、この差がなぜ重要かをよく示している。10月22日、次のハードフォークであるGlamsterdamは2つ目のテストネットから外された。Devcon最終日、EFはその理由を説明した。gasの再価格設定が、既にデプロイされたコントラクトが依存する前提を壊してしまったのだ。耐量子イーサリアムの暗号技術はほぼ準備が整っている。制約は、既に動いているものを壊さずに、どうやってフォークを1つずつリリースしていくかにある。
ムンバイの会場自体も縮小していた。4日間で370件の講演、399人の登壇者で、セッション数はバンコクのDevcon 7より約43%少ない。これは意図的なものだ。EFは今年54のポジションを削減し、これは従業員全体の約5分の1にあたる。メイン会場の講演の3分の2には、EFの憲章にある「CROPS」属性、すなわち検閲耐性、オープンソース、プライバシー、セキュリティのタグが付けられた。セキュリティ系の講演が70件で最も多く、プライバシー系が65件、AI系が57件で3番目だった。Vitalik Buterin氏の基調講演の主旨は、報道によれば「技術が人に信じさせすぎ、検証できることが少なすぎる」というもので、OSとチップ、ヘルステック、通信、AIに及んだ。次回のDevcon IXは2027年10月11日から13日までリスボンで開催される。
24か月で3フォーク、イーサリアムは近年これほど速く走ったことがない
EFのロードマップ草案はフォーク順に並べられ、後続のフォークはまず文字で仮置きされている。H*はHegotá、その後にI*、J*、K*、L*が続く。耐量子イーサリアムはこれらのフォークに沿って積み上げられていく。
Hegotáは2027年で、耐量子フォークではないが、各アカウントが自ら署名方式を選べるフレームワーク取引を導入する。これはECDSAから脱却する道筋だ。I*は最小限の証明仮想マシンであるleanVMと、耐量子の「lean」取引を導入する。J*はハッシュベースのバリデータ署名と耐量子データサンプリングを導入し、EFはこれを「最小実行可能な耐量子」マイルストーンと呼ぶ。K*とL*は強制執行される証明と、Leanアーキテクチャ再構築の残り部分を導入する。
24か月で3フォークは8か月に1つに相当する。イーサリアムの近年の間隔は11か月、14か月、7か月で、Glamsterdamは既に11か月たっても完了していない。EF自身の計算では、2029年12月にL*へ到達するには7.2か月に1フォークが必要だ。12か月ペースでは、J*だけが予定通りに間に合う。
切迫感は両側から来ている。
一方は攻撃コストの低下だ。今年3月、Google Quantum AI、UCバークレー、イーサリアム財団、スタンフォードの研究者らが共同で論文を発表し、イーサリアムの楕円曲線署名を破るのに必要な論理量子ビットは1200個未満、物理量子ビットは50万個未満、実行時間は分単位と推定した。この速さは、取引がまだメモリプールで待っている間に攻撃を仕掛けられるほどだ。
もう一方はDrake氏が言う「ポストAI」のリスクだ。7月、Anthropicは自社のモデルの1つが攻撃手法を見つけ、格子署名方式HAWK-256の鍵復元の難易度を約2^64回の演算から約2^38回へと引き下げたと報告した。難易度は大幅に下がった。10月、Drake氏は業界に対し「冷静にバンカーモードの計画を始める」よう呼びかけた。つまり、AI支援の数学が量子コンピュータより先にECDSAを破る場合に備え、最悪の事態を準備するということだ。
2つの線は同じ方向を指す。ハッシュ関数だ。暗号プリミティブの中で、それが依拠する仮定は最も少なく、破るのも最も難しい。
Glamsterdamの停滞：一度のgas再価格設定が本線を乱す
Glamsterdamは10月6日からSepoliaテストネットで稼働している。2つの中核的変更はそれ自体はよく設計されている。組み込み型の提案者・ビルダー分離はビルダーの入札をプロトコルに取り込み、実行をslot（スロット）のクリティカルパスから外す。ブロックレベルのアクセスリストは各ブロックの読み書き集合を事前に宣言し、クライアントが並列実行できるようにする。
問題は再価格設定にある。EIP-8037は状態の増加を鈍らせるため、新しい状態を1バイトあたり1530 gasと価格付けする。新しいストレージスロットへの書き込みは22100 gasから110020 gasに上がり、24 kBのコントラクトのデプロイコストは約8倍になる。この規模のコストは、1取引あたり224のgas上限（原文ママ。2^24の誤記と思われる）には収まらない。そこで上限を超えたgasは独立した状態gasリザーブプールに入り、全額が呼び出されたコントラクトに渡され、呼び出しがロールバックされると返却される。
ChainSecurityは、これにより従来はgas不足で途中終了していたエラーハンドラが最後まで実行できるようになり、一般的な悪意ある妨害への防御チェックを回避できると指摘した。EFは破られた不変条件、つまりプロトコルが常に成立させるべきルールを8つ挙げ、AllCoreDevsのサマリーでは13のDeFiプロジェクトが影響を受けたと集計されている。Hoodiテストネットは延期され、Hoodiやメインネットの日付は示されていない。All Core DevsのコーディネーターNixo氏は、これが「Glamsterdamのメインネットを2027年に押しやる可能性が高い」と書いた。
教訓は1つのEIPにとどまらない。ブロックチェーンの本当のインターフェースは、あらゆる観察可能な挙動だ。gasコスト、63/64ルール、アカウントがコードを実行できるかどうか。その一つひとつが移行リスクになる。これが重要なのは、Hegotáのフレームワーク取引がEIP-8037を要件として挙げているからだ。
Hegotá：検閲耐性と署名の差し替え可能性
Hegotáには2つの重要な仕組みがある。FOCIL（EIP-7805）は各スロットで16のバリデータがそれぞれ包含リストを公開し、最大8 KiBのトランザクションプール内取引を載せることを求める。次のブロックは、取引が無効であるかブロックが満杯である場合を除き、これらの取引を含まなければならず、提案者はフォークチョイスを通じてそれを強制する。取引を検閲するには、今やそれを見たすべての包含者を同時に何とかしなければならず、ビルダー1つを押さえるだけでは済まない。
フレームワーク取引（EIP-8141）は、アカウントが認可の方法を自ら定義できるようにし、方式を変えるたびにフォークするのではなく耐量子署名へ移行できるようにする。却下された提案のほうが設計哲学をよく物語る。オプションの実行証明、組み込みのプライバシープール、block-in-blobs——最後のものはKZGコミットメントへの依存を深めるため却下された。LUCID暗号化メモリプールは後続のフォークへ延期された。イーサリアムが繰り返し選んできたのは、プロトコルをより良いプラットフォームにする仕組みであり、特定のアプリを内蔵する仕組みではない。
耐量子コンセンサスの代償：署名は長くなり、集約で補う
バリデータは既存の鍵に加えて、休眠状態のハッシュベース鍵を登録する必要がある（EIP-8450草案）。leanXMSS署名は2404バイトで、BLSはわずか96バイトだ。BLS署名は加算できるがハッシュベース署名は加算できないため、アグリゲータは代わりに全署名を検査したことを証明する。leanVMはノートPC1台で毎秒約965署名を集約し、1500署名を265 KiBの証明に変え、7.4ミリ秒で検証し終える。
データ層では、KZGコミットメントがLeanDAに譲る。LeanDAはMerkleコミットメントとleanVM証明を使い、データが正しくエンコードされたことを証明する。ユーザー側では、ウォレットはleanSPHINCSを手にする。署名は7740バイトだが、メモリプールで集約されれば（EIP-8288）、1つあたりのコストは約33000 gasになる。直接検証すると1つ15万から20万gasかかる。
「形式検証」には一言補足が要る。Drake氏はleanVMのエンドツーエンドの形式検証を発表した。プロジェクトのLean 4による作業は命令の意味論と制約の健全性を証明したが、Rust実装は差分テストのみで、再帰証明の健全性は未解決問題のままで、コードもまだ本番準備には至っていない。
EIP-8288：暗号技術をメモリプールへ移す
もしイーサリアムをどこへ向かわせたいかを最もよく表す提案が1つあるとすれば、それはEIP-8288「メモリプール内での署名と証明の集約」だ。Buterin氏は6月にThomas Coratger氏と共同で草案を書いた。10月19日の一連の投稿はその論点を率直に述べている。プリコンパイルもEVMも、イーサリアムの暗号サポートの大半を担うのには向いていない。どちらが扱うデータもオンチェーンに入らなければならないからだ。9月の記事では既に、署名と証明をメモリプール内で並列処理することをイーサリアムの2030年設計の一部として挙げていた。
それが解決するのはサイズの問題だ。ハッシュベース署名は2〜3 KBで、EVMで検証すると15万から20万gasかかる。プライバシープロトコルが必要とするSTARKは128〜512 KBだ。1つずつオンチェーンに送れば、耐量子アカウントは法外に高くつき、プライバシー取引も現実的でなくなる。しかもどちらも大きすぎて、FOCILの包含リストを通せない。
EIP-8288は重いデータをブロックの外に追い出す。取引は宣言するだけで、持ち運ばない。フレームワーク取引（EIP-8141）に新しいフレームモードを追加し、依存先を96バイトの参照——方式、データハッシュ、鍵ハッシュ——として列挙する。1つの取引は最大16のleanSPHINCS署名と1つのSTARKを宣言できる。ノードは取引の到着時に実際の署名と証明を検査し、毎秒それらを再帰STARKへと畳み込む。ビルダーとFOCILの包含者も、自分がパッケージする内容について同じことを行う。ブロックヘッダには、ブロック内の全依存先をカバーする再帰STARKが1つ追加されるだけで、バリデータはそれだけを検証する。
これがいくつかの結果をもたらす。耐量子署名が安くなる。1つのleanSPHINCS署名は約33000 gasで、3000はフレーム自体、30000はブロックSTARK内での按分だ。直接検証なら15万から20万gasかかる。プライバシーが手の届くものになる。STARK依存が一度開けば（現行草案では既に枠が確保されている）、オンチェーン検証に数百万gasかかるプライバシー証明が約6万gasで済む。方式ごとにプリコンパイルを足す必要がない。新しい署名方式は証明に包み込めばよく、フォークを待たなくてよい。コア開発者は既にその方向へ動いている。10月、彼らはHegotá向けのML-DSAプリコンパイルを却下し、ハッシュベースの方式を好んだ。ブロックのオーバーヘッドには上限がある。仕様は、中にどれだけ署名が入っていても、ビルダーのオーバーヘッドを集約区間あたり約256 KBに抑える。
ただし、まだ早い。EIP-8288は草案で、STARK依存は枠が確保されているだけ、集約鍵と依存ハッシュは今も「未定」と記されている。取引がロールバックしても手数料はかかり、著者らはこれがメモリプールへのDoS攻撃リスクを高めると認め、再帰証明の健全性は「広く信じられている」が未証明だとしている。Coverageによれば、Hegotá以降のフォークを対象とするが、スケジュールは一切ない。さらにHegotáがフレームワーク取引を出すことに依存し、それは再検討中のGlamsterdamの再価格設定に依存している。
ファイナリティ、証明、その他の進展
イーサリアムのファイナリティは現在約16分かかる。EIP-8453草案「コンセンサスの分離」はこれを2つに分解する。約512のバリデータからなる委員会の投票で確認する高速な可用性チェーンと、全バリデータが運用する独立したファイナリティ・コンポーネントだ。第一の目標はファイナリティを少なくとも4倍速くすること。より長期的な目標はfinality.watchに書かれている。探索的な36秒（同サイトは「予測ではない」と注記している）から、1秒ブロック生成・2秒ファイナル確定というノーススターへと向かう。同時に、Fast Confirmation Ruleは取引所やクロスチェーンブリッジが入金確認時間を12〜24秒に短縮できるようにする。
再実行を証明で置き換えた後、速度の問題は既に解決している。11月8日、3つの証明者（プロバー）が4〜16枚のコンシューマー向けGPUでEthproofsのリアルタイム基準に達し、ブロックあたりの証明コストは約0.003〜0.007ドルだった。新たなボトルネックは安全性の保証になった。EFの次のマイルストーンは12月初旬で、目標は128ビットの証明可能な安全性だ。DevconでCody Gunton氏が語ったように、「形式検証されたバリデータ実装を出したチームはまだない」。証明の統合は既に止まっている。Hegotáにはオプションの証明が入らず、ロードマップ草案は強制証明をK*に置いている。gas上限の引き上げも後のフォーク待ちだ。メインネットは依然として1ブロック6000万gas、Sepoliaは約2億gasで、gigagas目標は今日のスループットの200倍を目指すものだ。
その他の進展は手短に触れておく。
Blobについては、1月以来ターゲット値14、上限21で、6月から9月は1ブロックあたり平均約4.4個しか使われておらず、1 blobあたりのコストは1セントを大きく下回り、容量が需要を先回りしている。
ロールアップについては、データプラットフォームのL2BEATがETHBEATに改名した。多くのロールアップの価値は依然としてStage 1にとどまり、Baseが約140億ドル、Arbitrumが約90億ドルだ。
相互運用性については、Ethereum Economic Zoneがdevnet上でL1とL2のアトミックな呼び出しを実演し、Gnosis Chainは2027年春の参加を計画している。
プライバシーについては、EFのKohakuウォレットスタックがPrivacy PoolsとTornado Cashを経由するプライベート送金を披露したが、コードはまだ監査されていない。
セキュリティについては、10月29日にBinanceが約63.6億ドル相当を盗まれ、北朝鮮のTraderTraitorに帰属されている。攻撃は50件の事前署名されたEIP-7702認可を利用してホットウォレットを空にした。TRM Labsは、このアップグレードが攻撃を増幅したが、原因ではなかったと述べている。
次に注目すべきこと
今後、注目に値することがいくつかある。
- 11月12日のACDC #191と11月19日のACDE #249で、EIP-8037/8038の修正案が議論され、新しいHoodiテストネットの日程が示される見込みだ。
- 2027年1月、2028年12月が耐量子の正式な締め切りとして定められるかどうか。
- Hegotáの開発ネットでFOCILとフレームワーク取引が同時に動くかどうか。
- 耐量子鍵レジストリが最終的にどれを選び、どのフォークに入るか。
- leanVMが最終的にどのハッシュ関数と有限体を選ぶのか、そしてその証明システムの健全性の証明を示せるか。
- 12月、EFの128ビットzkEVM安全性マイルストーンが達成できるか。
イーサリアムは今や、耐量子版をどう設計するかを知っている。ムンバイが残した未解決の問題は、設計を進めながら8か月に1つのハードフォークという提供ペースを保てるかどうかだ。
