著者：Biteye

10月8日、Starknetは公式に、チームがEthereum L2から独立L1への転換を積極的に検討しており、2027年に「完全耐量子ネットワーク」となることを目標の一つに据えていると発表した。

Eli Ben-Sasson @EliBenSasson が挙げた理由はこうだ。量子の脅威は市場が想像するよりも早く到来する可能性があり、Ethereumへの依存を続ければ、Starknet自身が進められる暗号技術のアップグレード速度が制限されてしまう、と。

Starknetは例外ではない。Ethereum、NEAR、Algorand、Sui、Solanaはすでに、程度の差こそあれ耐量子ソリューションの準備を始めている。

開発者コミュニティの外にいると、量子コンピュータがもたらす脅威すら感じ取れないが、「耐量子」という言葉が登場する頻度はますます高まっている。そこで、なぜ今パブリックチェーンがこぞって耐量子の準備を進めているのかを分解してみよう。

1️⃣量子コンピューティングはCryptoの何を攻撃できるのか？

「量子コンピューティングはBitcoinを破れる」とよく言われるが、より正確に言えば、量子コンピューティングが脅かすのはパブリックチェーンが使用する公開鍵暗号だ。

Bitcoin、Ethereum、Solanaは現在、ECDSA、Schnorr、Ed25519などの楕円曲線署名を大量に使用しており、その安全性の前提は「公開鍵から秘密鍵を逆算すること」が従来のコンピュータではほぼ不可能であることにある。

しかし、十分に強力な量子コンピュータはShorのアルゴリズムによってこの難易度を大幅に下げることができる。公開鍵がすでに公開されていれば、理論上は「公開鍵 → 秘密鍵 → 署名の偽造 → 資産の持ち出し」が可能になり得る。

当初、業界では量子の脅威が到来する時期は2029年と予想されていたが、最近EthereumのリサーチャーであるJustin Drakeは、AIの数学能力が急速に向上しているのを見て、業界に「バンカーモード」に入るよう呼びかけた。

10月6日、OpenAIは722件の数学の手稿を一挙に公開し、372グループの結果に分類した。これらは長年未解決だった多数の問題をカバーしており、そのうち多くの証明にはLeanによる形式化バージョンが付されている。

AIは数学研究を加速させる可能性があり、本物の量子コンピュータが成熟する前に、より効率的なアルゴリズムを先に見つけ出し、既存のECDSAなどの暗号体系の安全マージンを削り取るかもしれない。

2️⃣もしQ-Dayが今日到来したら、誰が最も危険か？

もしQ-Dayが本当に到来したら、パブリックチェーンごとに直面するリスクは同じではない。誰がより危険かを判断する鍵は2点だ。公開鍵がすでに露出しているかどうか、そして旧資産をスムーズに移行できるかどうか。

そこで、公開鍵の露出方法と移行の難易度に応じて、おおよそ次の3つのカテゴリーに分けられる。

第一段階：公開鍵が本来的に露出しているチェーン

Solanaは最も典型的な例だ。通常のアカウントアドレス自体がEd25519の公開鍵であるため、攻撃者はユーザーがトランザクションを送るのを待つ必要がなく、既存のアカウントに対して直接秘密鍵を計算できる。

将来、Ed25519を高速に解読できる量子コンピュータが本当に登場した場合、攻撃者はユーザーがトランザクションを開始するのを待つ必要がなく、すでに公開されている公開鍵に対して直接計算を始めることができる。

第二類：UTXOチェーン。

Bitcoin、Litecoin、Dogecoin、Bitcoin CashなどはすべてUTXOモデルに属する。この種のチェーンでは、多くの一般的なアドレスは最初から完全な公開鍵を公開せず、まず公開鍵のHashを保存する。そのため、資金が使われていない限り、公開鍵は通常まだ露出しない。

しかし、ユーザーがこのアドレスから一度でも送金を行えば、チェーン上には通常、対応する公開鍵と署名が公開される。その後も同じアドレスを使い続ければ、以降の資金は長期間にわたり公開鍵が露出した状態に置かれることになる。

本当に厄介なのは、Bitcoinがすでに17年近く稼働しており、チェーン上には大量の休眠資産と旧アドレスが蓄積されていることだ。将来、耐量子アドレスが登場しても、これらの旧資金が自動的に保護されるわけではなく、依然として保有者による能動的な移行が必要となるため、ネットワーク全体のアップグレードは非常に困難になる。

第三類：EVM系パブリックチェーン

Ethereum、BNB Chain、Avalanche C-Chain、そしてPolygon、Base、Arbitrum、Optimism上の大量の通常EOAは、いずれもsecp256k1 ECDSAを使用している。

EOAアドレス自体は完全な公開鍵ではなく、公開鍵をHash処理して生成されたものだ。したがって、資産を受け取っただけで一度も能動的にトランザクションを送ったことのないアドレスは、通常、完全な公開鍵がまだ露出していない。

しかし、EOAが一度でもトランザクションを送れば、チェーン上にはECDSA署名が残り、対応する公開鍵も復元可能になる。つまり、大量のアクティブなアドレスはすでに公開鍵が露出した状態にあり、一度もトランザクションを送ったことのないアドレスにはもう一層の保護が残っていることになる。

3️⃣パブリックチェーンは量子の脅威にどう対処し始めているか？

長らく耐量子は研究や議論の段階にとどまっていたが、今年に入ってから、ますます多くのパブリックチェーンがソリューションを実際にメインネットやプロトコル層へと進めている。

7月20日、NEAR 2.13アップグレードは、NISTが標準化したML-DSA-65を正式にメインネットへ導入した。既存のアカウントは耐量子Access Keyを直接追加でき、その後従来の鍵を段階的に置き換えることができ、アカウントを作り直す必要はない。

Suiも今年8月に自らのロードマップを発表し、ML-DSA-65とSLH-DSAの2つのポスト量子署名を同時にサポートする計画を示した。またAddress Aliasを通じて、ユーザーが将来、アドレスを変更せず、資産を移行せずに認証鍵を変更できるようにする。

Ethereumの状況はより複雑だ。ユーザーウォレットに加えて、バリデーターが使用するBLS、KZG Commitment、そして一部のZKシステムもアップグレードが必要となる。今年1月、Ethereum Foundationは専門のPost-Quantum Security Teamを設立し、新しいバリデーター署名、アカウント抽象化、KZGの代替案のテストを開始した。

Starknetはさらに急進的だ。アカウントに耐量子署名を追加するだけでなく、ネットワーク全体を真の耐量子パブリックチェーンへとアップグレードすることを望んでおり、2027年を目標時期としている。

🌟最後に：耐量子は必修科目であり、新たなナラティブでもある

量子コンピュータの脅威は勢いを増しており、$STRKは好材料によって価格が倍になり、1ヶ月の上昇幅は最安値から計算すると5倍にも達した。

一方、新興パブリックチェーンのQuantusは「耐量子」を中核的なポジショニングとして直接掲げ、自らを量子時代に向けたBTCと称している。瞬く間に「耐量子」は時の人となった。

しかし、リスクはリスクであり、ナラティブはナラティブだ。

長期的に見れば、耐量子は特定のパブリックチェーンだけの独自の売りではなく、既存の公開鍵暗号に依存するすべてのネットワークが遅かれ早かれ直面しなければならないインフラのアップグレードだ。

だから、投機の観点から見れば、私は「耐量子」を新たなナラティブの一つとして捉えたい。最も直接的にはネイティブ耐量子チェーンのQuantus。次に、すでにML-DSAをメインネットに導入し、さらにIntentsを通じてQuantusの外部流動性への接続を支援している$NEAR。その次に、「完全耐量子パブリックチェーン」をロードマップに直接書き込んだStarknetだ。

一般ユーザーは、実際には「量子の脅威」を理由にすぐさま大規模な資産移行を行う必要はない。Vitalik @VitalikButerin も、本当に避けるべきなのは、パニックによって、自分がよく知らず、十分に検証されてもいない新しいソリューションへ慌てて資金を移すことだと注意を促している。

現段階でより現実的なのは、アドレスの再利用を減らし、大口の長期資産はできるだけ公開鍵がまだ露出していない新しいアドレスに置くこと、そして自分がよく使うウォレットやパブリックチェーンに明確な耐量子移行ソリューションがあるかどうかに注目することだ。