AIが「暗号学に挑戦」？Web3は備えるべきだが、性急な移行は絶対に避けるべき

著者：imToken

ここ数日、「AIが暗号学を破る可能性がある」という議論が、Cryptoコミュニティに少なからぬ動揺を巻き起こしている。

事の発端は10月7日、Justin DrakeがX上で、ブロックチェーン業界全体に対し、将来起こり得る暗号学的リスクに備えて「Bunker Mode」（バンカーモード）の計画を冷静に始めるよう呼びかけたことにある。

彼の中心的な懸念は、AIの数学研究における能力が進歩し続けるにつれ、ビットコインやイーサリアムなどのネットワークで広く使われている楕円曲線暗号が、真に暗号解読能力を持つ量子コンピュータが登場する前に、新たな数学的攻撃手法に直面する可能性があるというものだ。

彼が提示した最悪のシナリオでは、関連するブレークスルーは「数年単位ではなく数カ月単位」で起こり得るとされ、そのため大口保有者や機関は率先して資産の秩序ある移行を検討し、公開鍵が露出することによる潜在的リスクを可能な限り低減すべきだと提言している。

その後、Vitalik Buterinも議論に加わった。

興味深いことに、VitalikはAIが暗号学研究を加速させる可能性を否定せず、さらに一歩進めて、量子攻撃に耐えられると考えられている一部の暗号学的スキームも、将来の数学的ブレークスルーの影響を受ける可能性があると指摘した。

しかし、一般ユーザーが直ちに資産を移行すべきかという問いに対しては、性急なアップグレードと移行によって生じる実際の損失の方が、まだ発生していない暗号学的攻撃よりも、今は警戒すべきだと強調した。

これは、暗号業界全体を悩ませてきた長年の問題を浮き彫りにする。オンチェーン資産を保護する基盤となる暗号学的前提が新たな挑戦に直面し始めたとき、パブリックチェーンはどれだけ前もって準備すべきか、そして一般ユーザーはいつ行動すべきなのか。

一、なぜリスクがあるのか？まず「アドレス」と「公開鍵」の距離を理解する

この議論の焦点を理解するには、まずパブリックチェーンの最も基本的なアカウントと署名の仕組みに立ち返る必要がある。

周知のとおり、非カストディアルウォレットにおいて、秘密鍵は資産を管理する鍵となる証明書であり、技術的には、ウォレットはデジタル署名アルゴリズムを通じて、秘密鍵を公開することなく、ある取引が確かに該当する鍵の保有者によって承認されたことを証明する。

その中で最も典型的なのが、楕円曲線暗号（ECC）だ。

イーサリアムを例にとると、通常の外部所有アカウント（EOA）はECDSAを用いて取引署名を生成し、ビットコインの伝統的な署名体系もECDSAを広く使用している。一方、Taprootは同じ楕円曲線に基づくSchnorr署名を採用している。

これらのスキームが長期的に信頼性高く機能するのは、ある重要な数学的前提に依存している。秘密鍵から公開鍵を計算するのは非常に容易だが、公開鍵だけから秘密鍵を逆算することは、現在知られている古典的計算手法ではほぼ不可能である、という前提だ。

これは、検証は容易だが逆算が極めて難しい数学の問題と理解できる。ネットワーク上の誰もが公開鍵を使って署名の有効性を検証できる一方で、それによって署名者の秘密鍵を容易に割り出すことはできない。

まさにこの非対称性が、現代のブロックチェーンにおける資産所有権の重要な基盤を構成している。

しかし、ここには見落とされがちな細部がある。それは、私たちが日常的に目にする「ウォレットアドレス」が、必ずしも完全な公開鍵ではないということだ。

イーサリアムの通常のEOAを例にとると、ウォレットアドレスは公開鍵をKeccak-256ハッシュで計算した後、その一部を切り出して生成された識別子であり、ビットコインでも、P2PKH、P2WPKHなどの一般的なアドレスタイプは、公開鍵ハッシュに基づく設計を採用している。

これにより、非常に興味深いセキュリティ上の差異が生まれる。

一度もオンチェーン取引を発行したことがなく、他の経路でも公開鍵情報を公開していないイーサリアムの通常アカウントの場合、外部からは通常、ハッシュ処理されたウォレットアドレスしか見えない。既存の計算手法ではアドレスハッシュから完全な公開鍵を逆算するのが難しいため、公開鍵にはもう一層の保護が加わっていることになる。

しかし、このアカウントが自ら取引を発行してECDSA署名を提出すると、ノードは署名情報から対応する公開鍵を復元できる。オンチェーンの取引記録は長期的に公開されるため、この情報も外部に継続的に露出し続けることになる。

つまり、公開鍵ハッシュアドレスを採用するアカウントにとって、公開鍵がまだ露出していない場合とすでに露出している場合では、将来のある種の暗号学的攻撃に直面した際、リスク水準が異なる可能性があるということだ。

強調すべきは、すべてのパブリックチェーンが完全に同じルールに従っているわけではないということだ。

例えば、ビットコインのTaprootアウトプット自体が可視の楕円曲線公開鍵を含むため、たとえTaprootアドレスが一度も資金を動かしたことがなくても、その公開鍵が依然としてハッシュ関数の背後に隠れていると単純に考えることはできない。また、一部の公開鍵情報は、アドレスの再利用、公開署名、拡張公開鍵、その他の方法によって事前に露出している可能性もある。

したがって、「資産を送金したことがない」ことは必ずしも「公開鍵が露出していない」ことを意味せず、新しいアドレスも本来的に量子耐性を持つわけではない。

この差異を理解すれば、量子コンピューティングとAIがもたらす課題を見るのがずっと容易になる。

理論上、十分な規模と誤り訂正能力を備えた量子コンピュータは、このアルゴリズムを利用して楕円曲線離散対数問題を効率的に解き、公開鍵から秘密鍵を導出することで、ECDSAやSchnorrなどの署名体系を脅かす可能性がある。

しかし現時点では、ビットコインやイーサリアムの主要な署名体系を実際に解読できる量子コンピュータが存在することを示す証拠はない。

Justin Drakeが今回提起した懸念は、量子コンピュータとは別に、AIが人間による既存の数学アルゴリズムではまだ見つかっていない解法の近道の発見を助ける可能性に焦点を当てている。尤に、ここ1年ほどAIが数学的推論、アルゴリズム探索、形式化証明などの分野で進歩を続ける中、一部の研究者は、数十年にわたって検証されてきた計算困難問題が、新たな数学的発見によって再評価される可能性があるのかを改めて考え始めている。

二、JustinとVitalikに本質的な対立はない

基盤となるロジックを明確にした上で、JustinとVitalikの議論を振り返ると、二人の判断は完全に対立しているわけではなく、異なるリスクに異なる優先順位を付与しているだけだと分かる。

まずJustin Drakeから見ていこう。

伝統的に、暗号学体系の更新は往々にして長いプロセスを要する。潜在的なリスクの特定、新標準の策定から、エンジニアリング実装の完了、さらにパブリックチェーン、ウォレット、取引所、カストディ機関、ハードウェア機器間の互換性調整に至るまで、数年あるいはそれ以上の時間がかかるのが普通だ。

ましてやビットコインやイーサリアムのような規模が大きく、広範な調整を必要とする分散型ネットワークでは、基盤となるアップグレードは通常、一般のソフトウェアのように一度のバージョン更新で完了することはあり得ない。

Justinが懸念するのはまさに、この長いアップグレードサイクルが、将来の数学研究のブレークスルーのスピードに追いつけない可能性だ。

例えば将来、AIが本当に研究者による新たな暗号学的攻撃手法の発見を助けたなら、量子コンピュータが実用的な解読能力を備えるのを待たずとも、既存の楕円曲線署名体系が前倒しで脅威にさらされる可能性がある。

そして、そのようなブレークスルーが実際に現れた場合、パブリックチェーンとウォレットエコシステムに残された移行の猶予は、過去に想定されていたよりもはるかに短いかもしれない。

したがって、彼の立脚点は未然の防止であり、取引所、大手機関、そして大量の資産を保有するユーザーにとって、今から将来のリスク回避経路を考え始めるべきだと強調している。

これには、公開鍵がすでに露出しているアドレスを事前に棚卸しし、長期保有している一部の資産を、公開鍵がまだ露出していない新しいアドレスへ秩序立てて移し、その後の使用において不必要な署名やアドレスの再利用を可能な限り減らすことが含まれる。

技術的には、この提言には確かに合理性がある。将来の攻撃が公開された公開鍵から秘密鍵を導出することに依存するのであれば、公開鍵の露出面を事前に減らすことで、特定の条件下ではより多くの防御時間を稼げる可能性があるからだ。

しかし問題は、資金を公開鍵がまだ露出していない新しいアドレスに移すことは、真のポスト量子暗号への移行を完了したことにはならないという点だ。

なぜなら、新しいアドレスが依然としてECDSAなどの伝統的な署名スキームを使用している限り、その基盤となる安全性の前提は根本的に変わっておらず、一度そのアドレスを使って取引を発行すれば、公開鍵は再び露出する可能性があるからだ。攻撃能力が十分に強ければ、取引がブロードキャストされてから確定する前の短い時間枠さえ、新たなリスクポイントになり得る。

言い換えれば、これは過渡的なリスク緩和手段であり、問題を一挙に解決できる最終的なソリューションではない。さらに重要なのは、暗号学的な観点から潜在リスクを減らすことが、実際の資産管理の観点からも必ずより安全であることを意味するわけではないという点だ。

これはVitalikが特に強調している点でもある。

現在知られている技術的条件の下では、公開された公開鍵からECDSA秘密鍵を直接復元する実行可能な実際の攻撃手法は依然として存在しないが、オンチェーン資産の移行プロセスにおいて、アドレスの誤り、鍵バックアップのミス、悪意ある承認、その他の操作上の問題によって生じる損失は、毎日起こり得る現実のリスクだ。

Vitalikは、自分自身が移行設定のミスによって被った損失が、ハッカー攻撃による損失よりも多かったとさえ述べている。

少量のETHしか保有していない一般ユーザーにとって、資産の移行は新しいアドレスを作成し、鍵をバックアップし、数回の送金を行うだけかもしれない。しかし、長期的にDeFi、ステーキング、クロスチェーン取引に参加し、さらにはマルチシグウォレットで資金を管理しているユーザーにとっては、状況ははるかに複雑だ。

資産は異なるネットワークに分散している可能性があり、一部の資金は依然としてステーキングやレンディングプロトコルの中にあり、古いアドレスはスマートコントラクトの管理者権限、資金の引き出し、その他の重要な操作権限を保持している可能性もある。

「AIがウォレットを解読するかもしれない」というニュースを見ただけで、一時的に大規模な資産移行を行えば、ネットワークの転送ミス、クロスチェーンツールの誤用、悪意ある取引への署名、マルチシグ操作のミスなどによって、取り返しのつかない損失を被る可能性がある。

ましてや、市場で「ウォレットがまもなく解読される」というパニック感情が広がり始めれば、各種の公式を装った量子耐性アップグレードのリンク、資産保護ツール、いわゆる移行サービスも出現する可能性がある。

注目すべきは、Vitalikの慎重さが、彼が基盤となる暗号学のアップグレードに対して保守的な態度を取っていることを意味しないという点だ。

むしろ彼は、AIがもたらす数学的進歩は真剣に研究する価値があると同様に考えており、業界に対し、格子暗号に基づく一部のポスト量子スキームを再検討するよう注意を促している。あるアルゴリズムに「量子耐性」というラベルが貼られたからといって、それが将来のあらゆる数学的ブレークスルーに耐えられると決めつけることを避けるためだ。

条件が許す場合には、ハッシュ関数に基づく暗号学的構造をより多く検討し、他のスキームに対してはより保守的なセキュリティパラメータを採用する傾向もある。

したがって、JustinとVitalikを単純に急進派と保守派に分類することはできず、二人の間に本質的な深い対立は存在しない。

三、パブリックチェーンのアップグレードからウォレット移行へ：真の量子耐性への準備はどこまで進んでいるのか？

多くのユーザーはこう問うかもしれない。基盤となる暗号学に長期的なリスクがあるのなら、ウォレットが直接「量子耐性ウォレット」にアップグレードしてくれないのか、と。

ウォレットアプリを更新するだけでは不十分だ。

なぜなら、ブロックチェーンにとって暗号学のアップグレードは、秘密鍵の生成方法や取引の署名方法だけでなく、ネットワーク全体が新しい署名を認識・検証できるかどうか、そして既存のアカウントがスムーズに移行できるかどうかにも関わるからだ。

実際、今回のAIをめぐる議論がなくとも、主要なパブリックチェーンや暗号学研究機関は、すでにポスト量子時代への準備を始めている。

再びイーサリアムを例にとると、その量子耐性への準備はすでに複数の層に及んでいる。

通常アカウントが使用するECDSAに加え、バリデータのコンセンサスに使用されるBLS署名、データ可用性に関連するKZGコミットメント、そして一部のゼロ知識証明システムは、いずれも将来再評価またはアップグレードが必要な暗号学的構造に関わっている。

イーサリアム財団はこのために専門のPost-Quantum Security研究チームを設立し、leanXMSS、leanVMなどの技術を通じて、コンセンサス層に新しい署名・証明スキームを提供することを模索している。

一方、一般ユーザーのアカウント層では、アカウント抽象化がもう一つの注目すべき道を提供している。従来のEOAの署名検証メカニズムが基盤プロトコルと密接に結びついているのとは異なり、アカウント抽象化と交換可能な署名検証メカニズムは、将来的にユーザーアカウントが異なる署名アルゴリズムを採用することを可能にし、ポスト量子アップグレードのためにより柔軟な余地を残すことが期待される。

例えば、現在も議論中のEIP-8141は、イーサリアムのネイティブアカウント抽象化に関連しており、将来より柔軟な署名検証をサポートする重要な基盤となる可能性がある。ただし、その具体的な展開時期と最終的な実装方法は、コミュニティによるさらなる議論とテストを待つ必要がある。

これに対し、ビットコインが直面する課題は異なる。

UTXOモデルを採用していることに加え、歴史的なアドレスタイプが複雑で、一部の初期資産が長期間休眠状態にあるため、ビットコインは新しい署名アルゴリズムとアウトプット構造を検討するだけでなく、大量の既存資産をどのように移行するかという問題も解決しなければならない。現在、コミュニティの関連草案は依然として提案と調整の段階にある。

さらに、他の一部のパブリックチェーンも、より直接的なエンジニアリング実装を試み始めている。例えばNEARは2026年7月、そのメインネットのアップグレードがFIPS 204に基づくML-DSAポスト量子署名をサポートし、アカウントに量子安全鍵を追加する能力を提供したと発表した。

もちろん、ある種のポスト量子署名をサポートしたからといって、パブリックチェーン全体とそのすべてのアカウント、アプリケーション、インフラストラクチャが、すでに量子耐性への移行を完了したことを意味するわけではない。

これらの進展をまとめると、業界が真に直面している難題は多様であることが分かる。新しい暗号学的スキームが理論的に十分安全でなければならないだけでなく、署名サイズ、オンチェーン検証コスト、ノード性能、ハードウェア互換性、そして大量の既存アカウントがスムーズに移行できるかどうかも考慮しなければならない。

そして、これらのプロトコル層の変化は、最終的にユーザーが毎日使用するウォレットに落とし込まれることになる。

imTokenのようなマルチチェーン非カストディアルウォレットにとって、将来の暗号学のアップグレードも、単純なバージョン更新にとどまることはあり得ない。

一方で、ウォレットは異なるパブリックチェーンのアップグレードに伴い、新しいアカウント・アドレスタイプ、鍵管理方式、取引署名・検証メカニズムを段階的に適応させる必要があり、ハードウェアウォレット、スマートコントラクトアカウント、マルチシグシステムとの互換性にも関わる可能性がある。
他方で、ウォレットは複雑な基盤技術の変化を、一般ユーザーが理解できる操作に変換する必要がある。将来あるパブリックチェーンが正式に新しいポスト量子署名スキームをサポートした場合、ユーザーが本当に関心を持つのは、元のアドレスが引き続き使えるのか、新しいアカウントを作成する必要があるのか、既存のニーモニックとハードウェア機器が互換性を持つのか、そしてすでに保有しているToken、NFT、ステーキング資産、DeFiポジションをどう処理すべきか、ということだけだ。

そのうち一部の問題はウォレットの製品能力によって段階的に解決できるが、一部はパブリックチェーンのプロトコル、スマートコントラクト、そしてエコシステム全体がサポートを提供するのを待たなければならない。

これこそが、基盤となるセキュリティアップグレードが複雑であればあるほど、ユーザー側の移行プロセスには十分なテストが必要であり、いわゆる「ワンクリック量子耐性」の入口を一時的に立ち上げるべきではない理由だ。

では現段階で、一般ユーザーはいったい何をすべきなのか。

第一に、この議論だけで直ちにすべての資産を移転する必要はない。目前、主要なパブリックチェーンの署名アルゴリズムが実際に解読されたという証拠はなく、特に「量子耐性アップグレード」の名目で拡散される見知らぬリンクや移行ツールには警戒が必要だ。ニーモニックや秘密鍵の入力を要求したり、不明な取引への署名を誘導したりする操作には、いずれも高度な警戒を払うべきである。
第二に、大口・長期保有の資産については、意識的にアドレス管理の習慣を改善し始めることができる。 例えば、自分が使用しているパブリックチェーンとアドレスタイプを理解し、高価値資産アドレスの不必要な再利用や署名操作を減らすことだ。資産の保管構造を調整する必要が本当にある場合も、まずウォレットとネットワークの互換性を確認し、鍵のバックアップを行い、受取アドレスを照合し、少額テストと分割操作によって移行リスクを低減すべきである。
最後に、最も見落とされがちな点は、ウォレットが将来ポスト量子署名をサポートできるかどうかと、ユーザーが今日資産を移行する必要があるかどうかは、別の問題だということだ。

最後に

ブロックチェーンの世界では、私たちは数学とコードによって信頼を構築している。

この観点から見れば、数兆ドル規模の資産を長期的に支えることを目指すオープン金融ネットワークにとって、今日十分に安全な暗号学的スキームが、今後数十年にわたって調整を必要としないと誰も保証できない。

しかしそれは、フロンティア研究がブレークスルーを遂げるたびに、一般ユーザーが直ちに自分の資産を再配置する必要があることを意味しない。

暗号学研究者は最悪の可能性に目を向ける必要があり、パブリックチェーン開発者は新しいセキュリティメカニズムを事前に設計する必要があり、ウォレットチームは将来のアップグレードと移行に信頼できるサポートを提供する必要がある。そして一般ユーザーは、リスクを真に理解した上で、未確認の情報によって性急な決定を下すことを避ける必要がある。

危機がすでに目の前にあると決めつける必要はなく、進化の必然性を過小評価する必要もない。冷静さを保ち、慎重に行動すること。

これは、すべてのコイン保有者にとって、未知に立ち向かうための最善の方法である。