量子脅威に対応するため、イーサリアムはPoseidonを放棄し、従来のハッシュへ転換

著者：ChandlerZ、Foresight News

8月13日、イーサリアム研究者のJustin DrakeはXに投稿し、イーサリアム財団がL1層でSNARKフレンドリーなハッシュアルゴリズムPoseidonを放棄し、SHA2またはBLAKE2などの従来型ハッシュ関数に切り替える決定をしたと述べた。

この決定の背景には、8年間の研究、数千万ドル規模の投資の蓄積、そしてポスト量子暗号ロードマップの大きな修正がある。

Poseidonは2019年の登場以来、zkRollupやzkVMなどのアプリケーションにとって理想的なハッシュ手法と見なされてきた。その構造により、SNARK回路では従来のバイナリ演算ベースのハッシュ関数よりも安価で効率的になる。しかし、ポスト量子安全性がイーサリアムの必須要件となると、Poseidonの限界が露呈し始めた。

Justin Drakeは、この転換は画期的なSNARK設計の進展によるものだと述べている。すなわち「バイナリ体」演算方式によって、従来のハッシュ関数をSNARK回路で、それまでSNARK向けに最適化設計されてきたPoseidonに匹敵する性能にできるという。1台のノートPCで毎秒約100万回の従来型ハッシュ呼び出し検証を完了できる。

記事では、Poseidonは2019年の登場以来、主流のSNARKフレンドリーなハッシュ手法であり、zkRollupやzkVMなどのアプリケーションにセキュリティを提供してきたと紹介。Justin Drakeによると、計画では本番レベルのleanVMは2027年に登場する見込みで、コンセンサス層・データ層・実行層の関連展開は2028年に完了する見込みだ。イーサリアム財団のポスト量子チームもバイナリ体関連の研究を加速させている。

なぜ今なのか

従来型ハッシュが長らくSNARKに入りにくかった主な障壁は、計算言語の違いにある。SHA2、BLAKE2s、KeccakはXORやシフトなどのブール演算を多用するが、従来のSNARKは通常大きな素数体上で算術を処理するため、各ビット演算をシミュレートすると制約コストが高くつく。Poseidonは素数体算術を中心に直接設計されており、より少ない制約でより高い証明速度を得る一方、アルゴリズムの歴史が短く、継続的な暗号解析が必要になるという代償がある。

バイナリ体は、基盤となる数学を0と1だけを含む最小の素体に切り替え、バイナリ拡大体でより大きなデータを扱う。これによりビット演算を直接証明システムに組み込めるようになり、SNARKは従来型ハッシュに適応し始めた。技術の重点は、SNARKフレンドリーなハッシュの設計から、ハッシュフレンドリーなSNARKの設計へと移っている。

Jim PosenとBenjamin Diamondが2023年に提案したBiniusは、バイナリタワー体SNARKの経路を示した。Benedikt Bünz、Ron Rothblum、William WangによるFlock論文は2026年7月29日にarXivへアップロードされ、そのM4 Maxベンチマークはシングルコアで毎秒8万2000回のBLAKE3圧縮、4万2000回のSHA-256圧縮、3万回のKeccak置換を証明し、10コアのBLAKE3スループットは66万回を超えた。

Drakeによると、ノートPCで毎秒約100万回の従来型ハッシュ呼び出しを証明でき、オーバーヘッドはネイティブCPUのブール計算の約100倍だという。SNARK.fastは数日前、M3 Maxで毎秒180万回のBLAKE3に達した。

2027年にleanVM、2028年に3層への展開

Poseidonが放棄されたもう一つの重要な理由は、ポスト量子安全性のスケジュールが加速していることだ。Project Elevenが発表した「The Quantum Threat to Blockchains - 2026 Report」は、量子コンピュータの急速な発展がブロックチェーンの安全性に深刻な脅威をもたらしていると指摘している。ひとたび「暗号学的に関連する量子コンピュータ」（CRQC）が出現すれば、ShorアルゴリズムはECDSA（ビットコインおよび大半のパブリックチェーンで採用）やRSAなどの非対称暗号を迅速に解読でき、Q-Day（量子解読日）は2030年から2033年に到来する可能性があり、その時には数兆ドル規模のオンチェーン資産がリスクにさらされると予想されている。

ブロックチェーンの公開鍵は長期間静的でロールバックできないため、移行は極めて難しい。報告書は、量子の脅威が全面化するのを避けるため、格子ベースやハッシュベースなどの耐量子署名方式を含むポスト量子暗号（PQC）への移行を直ちに開始し、ハイブリッド方式を通じて段階的に移行することを勧告している。

Justin Drakeは、AIの暗号解析能力の向上により、格子ベースの方式HAWKと同種写像方式SQIsignが相次いで打撃を受けたと警告している。これによりイーサリアム財団は、量子攻撃に対してより高い耐性があると見なされるハッシュベースの方式に賭けざるを得なくなっている。

これに先立ち、イーサリアムはポスト量子ロードマップを公表しており、2027年に本番レベルのleanVMを展開し、2028年にコンセンサス層、実行層、データ可用性層で展開を完了する計画が含まれている。leanVMは、ポスト量子署名集約に特化した最小限のゼロ知識仮想マシンであり、戦略全体の中核的構成要素と見なされている。

2026年3月、イーサリアム財団はポスト量子セキュリティのリソースセンターとしてpq.ethereum.orgを開設し、10を超えるクライアントチームが毎週ポスト量子相互運用性開発ネットの運用を開始した。財団はまた、ポスト量子暗号研究を推進するため、100万ドルのPoseidon Prizeと同額のProximity Prizeを設けた。Vitalik Buterin自身も、ポスト量子安全性はイーサリアムの「walkaway test」（安心して離れられるテスト）の必要条件であり、イーサリアムが量子安全性を実現しない限り「硬直化」できないと繰り返し強調している。

ハッシュ関数の切り替えは、イーサリアムのポスト量子路線の全体構造を変えるものではない。現在バリデータが使用しているBLS署名は楕円曲線に依存しているが、将来の方式は引き続きleanXMSSなどのハッシュ署名を基盤とし、その後leanVMが多数の署名をブロックごとの1つの小型証明に圧縮する。イーサリアム公式ページが以前示した比較では、leanXMSS署名は約3000バイト、BLS署名はわずか96バイトで、leanVMのデータ圧縮目標は約250倍となっている。

SHA2またはBLAKE2sは公開解析の歴史がより長く、EFはPoseidonパラメータが長年の暗号解析に耐えるのを待つ時間を短縮できる。Drakeが示したストローマップ（strawmap）は、2027年の本番レベルのleanVM、そして2028年のコンセンサス層・データ層・実行層への展開を指している。

競合も加速、SolanaはFalconを選定

イーサリアムだけがポスト量子時代に備えている主要パブリックチェーンではない。Solana財団は2026年4月にポスト量子セキュリティロードマップを発表し、中核開発チームであるAnzaとJump CryptoのFiredancerは、独立した研究の末、期せずして同じポスト量子署名方式Falconを選定した。

FalconはNISTが標準化したポスト量子署名方式の1つで、署名がコンパクトであり、Solanaのような高スループットのブロックチェーン環境に適している。

2大バリデータクライアント開発チームであるAnzaとFiredancerは、独立した研究を経て一致してポスト量子デジタル署名方式Falconを選定し、それぞれGitHubで初期実装コードを公開している。現在のロードマップは3段階に分かれる。Falconと代替方式の継続的評価、量子の脅威が現実化した場合の新規ウォレットへのポスト量子方式の採用、最終的な既存ウォレット全体の移行だ。また、BlueshiftのSolana Winternitz Vaultはすでにエコシステム内で2年以上稼働しており、今年初めにGoogle Quantum AIのホワイトペーパーで業界の最先端事例として引用された。

Solana財団は、量子コンピューティングが現実的な脅威となるにはまだ数年かかり、現時点で即時の移行は不要だと述べている。ただし研究、インフラ、エコシステムの連携はすでに整っており、機が熟せば迅速に開始でき、ネットワーク性能への顕著な影響はないと見込んでいる。

Starknetは、現在EFの新たな方向性に最も近い比較対象だ。StarkWareは6月30日にロードマップを発表し、3段階で進める。第1段階では、状態コミットメント、コントラクトアドレス、ネットワーク設定に使用するPedersenハッシュアルゴリズムをBLAKE2に置き換え、同時にFalcon-512などのポスト量子コンセンサス署名を導入する。第2段階は従来型コントラクトの移行ツールに重点を置き、最終段階ではイーサリアムに依然として関連する外部依存関係（ブリッジシステムコールやblobデータ可用性など）の解決に重点を置く。第3段階はイーサリアム自身の移行経路に依存する。

他のパブリックチェーンと比べ、イーサリアムは「先に標準を定め、後にコードを動かす」という道を選んだ。Poseidonを放棄してSHA2/BLAKE2に切り替えるのは、実際にはポスト量子時代において、より成熟し、より広く検証された暗号プリミティブを選ぶことだ。