イーサリアム財団の研究者ジャスティン・ドレイク氏が10月7日、AI による数学の急速な進歩で楕円曲線暗号が量子コンピューターより先に破られる可能性に備え、資産を公開鍵がまだ表に出ていないアドレスへ計画的に移す「バンカーモード」を業界に呼びかけました。この議論から、ヴィタリック・ブテリン氏が格子暗号の安全性にも疑問を示し、Cardano 創設者チャールズ・ホスキンソン氏がそれに長文で反論したことで、楕円曲線・ハッシュ・格子のどれに将来の安全を預けるかという問いが、Cardano と Midnight の足元にも及んでいます。
この記事では、3人の発言を原文で確かめたうえで、Cardano の鍵のどこが隠れていてどこが表に出ているのか、改善提案 CIP-0197 と Midnight の Nightstream がこの論争のどこに立つのかを整理します。なお、ドレイク氏もブテリン氏も、慌てて資金を動かさないよう求めています。
ドレイク氏の呼びかけ、署名したことのないアドレスへ
ドレイク氏の投稿は日本時間10月7日の夜に出されました。提案の中心は、公開鍵がハッシュの裏に隠れたままの新しいアドレスへ、資産を計画的に大量移動させることです。大口で経験のある保有者から順に、一度も取引に署名していないアドレスへ資金の大半を移し、署名したら残りの資金も新しいアドレスへ移す、という手順を示しています。新しいアドレスは同じシードフレーズから作ってよく、新しい暗号も新しいウォレットも要らない、とも書いています。
同氏は、最悪の場合は「数年ではなく数か月」で ECDSA が破られる可能性に備えるのが妥当だとしました。ここでいう「破られる」は、大型の GPU クラスターのような手に入る計算資源で、1週間程度で秘密鍵を復元できる状態を指します。根拠に挙げたのは、長年疑われてこなかった数学の予想がここ数日で相次いで覆されたことと、OpenAI が公表した大量の数学の成果です。そのうえで、楕円曲線は代数的な構造が豊かで、そのぶん AI に突かれる余地が大きく、ハッシュ関数は構造をできるだけ持たないように設計されている、と対比しました。
この状態から安全に抜け出すには、AI 以後を前提にした暗号が要る、というのが同氏の見立てです。曲線にも格子にも頼らずハッシュに全面的に寄せたいとし、SHA や BLAKE の系統のように使い込まれたハッシュ1つで、AI 以後にも通用しうる安全性が得られると書いています。Cardano のアドレスが鍵を隠すのに使っているのも、この BLAKE 系の Blake2b です。
ただし、楕円曲線を実際に破る手法が示されたわけではありません。同氏の投稿は可能性への備えの呼びかけで、慌てた移行は益より害が大きいとして、急がないことも繰り返し求めています。
ブテリン氏とホスキンソン氏、格子暗号で正反対の見立て
ブテリン氏は日本時間10月8日の朝、長文の投稿で応じました。今日あわてて新しいウォレットへ資金を移すことは勧めないとしたうえで、量子に弱い暗号だけでなく、AI に弱いかもしれない暗号への露出も減らすべきだと書いています。同氏が新しいリスクの中心に置いたのは、量子に強い次世代暗号の本命とされてきた格子暗号でした。「格子の具体的な安全性は、この先2年の AI の数学で深刻な打撃を受ける可能性が高い」という見立てです。
同氏の筋道は次のとおりです。素因数分解は、数十年の研究で数体ふるい法という高速な解き方が見つかり、RSA の鍵や署名は大きくせざるをえなくなった。楕円曲線や格子にも同じような未発見の抜け道があり、それを AI が先に見つけるかもしれない。だから、ハッシュ関数だけで組める署名と証明はハッシュに寄せ、格子を使う場面では鍵の大きさにずっと慎重になるべきだ、というものです。イーサリアムの長期計画の署名はハッシュ方式で揃えていると説明し、保有者には、自分自身はハッキングより移行の失敗で多くのお金を失ってきた、と書いて慎重な移行を促しました。
ホスキンソン氏は日本時間10月9日、この見方に正面から反論しました。
主な論点は4つです。
- 素因数分解のたとえは成り立たない。数体ふるい法は特定の算術から生まれたもので、手法は1993年までに出そろい、その後30年、RSA の鍵の大きさはほとんど変わっていない
- 格子にはすでに「ふるいの時代」があった。1982年の LLL から BKZ、2008年と2016年のふるい法の改良まで、攻撃の進歩はそのたびにパラメーターへ織り込まれ、米国の標準 ML-KEM と ML-DSA もこうした攻撃を前提に大きさが決められている
- 構造を持つ環や格子への攻撃で実際に壊れた方式はあるが、ML-KEM と ML-DSA には及んでいない。米国立標準技術研究所 (NIST) は2025年、格子だけに頼らないよう、別の数学にもとづく HQC も追加している
- 「AI が2年で50年分の数学をもたらす」は、攻撃の手法も費用も示さないので脅威モデルにならない。攻撃が見つかれば、検証し、見積もりをやり直し、パラメーターを調整するという既存の手続きで対応できる
同氏はさらに、ハッシュ方式の側にも構造の強いハッシュが含まれていることや、ブラウザやメッセンジャーで既に使われている ML-KEM への疑念を広めると、かえって古い暗号のまま通信が残ると指摘しました。一方で、ハッシュ署名は合う場面で使えばよいとも書いており、ハッシュ署名の有用性そのものは両者とも認めています。分かれているのは、格子を長期の土台として信頼できるかどうかです。
Cardano の鍵、隠れている鍵と表に出ている鍵
ドレイク氏が名指ししたのはビットコインやイーサリアムの ECDSA ですが、懸念の根拠に挙げたのは楕円曲線そのものの構造でした。Cardano の署名に使われている Ed25519 も、楕円曲線の離散対数問題の上に安全性が成り立っています。CIP-0197 の提案文書も、Cardano の鍵は Ed25519 であり、量子計算機を持つ攻撃者には破られると明記しています。
そのうえで、Cardano の鍵には「隠れている鍵」と「表に出ている鍵」があります。
支払いに使う鍵は隠れています。アドレスの形式を定めた CIP-0019 によると、アドレスに入っているのは公開鍵そのものではなく、公開鍵を Blake2b-224 というハッシュ関数で短くした値です。公開鍵がチェーン上に出るのは、そのアドレスから送金するために署名したときで、台帳の署名データには公開鍵と署名がひと組で記録されます。一度も送金に使っていないアドレスの公開鍵は表に出ていないので、ドレイク氏の考え方は Cardano の支払い側にもそのまま当てはまります。
ステーキングに使う鍵は事情が違います。Cardano の開発者向けポータルによると、ステークプールへの委任、DRep (委任代表者) への投票権の委任、報酬の引き出しといったステーク鍵が関わる操作には、支払い用の鍵とステーク鍵の両方で署名します。つまり、ADA を委任している人のステーク鍵は、委任した時点で公開鍵がチェーン上に記録されています。委任するには署名が要るので、ステーク鍵で委任している限り、この公開鍵を隠したままにはできません。
ステーク鍵では支払い側の ADA を動かせません。ただ、仮に楕円曲線が破られた世界では、理屈の上では他人が委任先や投票権の委任先を書き換え、報酬を引き出せることになります。オンチェーンのガバナンスを持つ Cardano では、AI による暗号解析の問題は資産の保管だけでなく、投票権の扱いにも関わってきます。
もっとも、これは楕円曲線が実際に破られたらという仮定の話です。手元の ADA について急いで何かをする理由は、今のところ一次ソースからは出てきません。
CIP-0197 の表に映る、ハッシュと格子の分かれ目
Cardano 側でこの問題に最も近い位置にあるのが、Pawel Jakubas 氏が8月7日に出した改善提案 CIP-0197「Post-Quantum ZK Signatures for HD Wallets」です。SIPO は8月24日の Signal で取り上げました。10月12日に確認した時点で、提案文書の状態は Proposed、提案を受け付けるプルリクエストはまだマージされておらず、レビュー上の表示は「作者の対応待ち」でした。
提案の考え方は、鍵やアドレスを入れ替えずに、今の鍵の背後にあるシードを知っていることをゼロ知識証明で示す層を足すというものです。対象は支払い用だけでなく、ステーキング、DRep、憲法委員会の鍵にも同じように及ぶと書かれています。前の章で見たステーク鍵の問題も、この提案の範囲に入っています。
この提案が興味深いのは、証明に使う方式の比較表に、今回の論争の分かれ目がそのまま載っていることです。
- ハッシュ関数にもとづく STARK (RISC Zero) は、提案文書が「現時点で量子耐性が証明されている唯一の方式」と位置づける既定の方式です。ただし証明が約219KB あり、提案文書の表によると1件の取引の上限 16,384 バイトの約13倍で、1ブロックの本体の上限 90,112 バイトにも収まりません
- 格子の問題 (SIS) にもとづくコミットメントを使う NovaSlim は、証明が約0.4〜2.5KiB と小さく、Cardano 上の検証もすでに動いています。ただし量子耐性は推測の段階で、実験的・未監査であり、今は資金の回復のような限られた用途向けとされています
- 格子ベースの Lova も候補に挙がっていますが、研究段階の試作です
提案文書は、NovaSlim の「ハッシュ」方式のコミットメントも実際には格子の SIS 問題と同じ仮定に立つ、とまで書いています。ハッシュで組めば前提は堅いが重く、格子で組めば軽いが、ブテリン氏が疑問を投げた仮定に乗ることになる。ブテリン氏とホスキンソン氏の論争は、Cardano の改善提案の中では、どの方式を既定にするかという具体的な設計判断として表れています。
提案文書は、新しく作る鍵を最初から耐量子の署名方式にする道 (ML-DSA、Falcon、SPHINCS+ など) を、別の CIP で扱うべきものとして範囲の外に置いています。こちらを選ぶと新しいアドレスが必要になり、既存の資金を移す橋渡しとして CIP-0197 の仕組みが使われる、という整理です。
Midnight の Nightstream、長期の土台は格子
格子をめぐる議論がもう一つ直接関わるのが、Midnight です。ホスキンソン氏は9月18日の配信「Hanging out with Charles」（SIPO.TOKYO で全翻訳済み）で、Nightstream のリポジトリで新しい証明の手法を実装したこと、ProtogaLattice という独自の折り畳み方式を考案したことを語り、こうした成果を Midnight へ素早く取り込むと述べていました。
GitHub で公開されている Nightstream の説明によると、Nightstream は格子ベースの折り畳み方式を中心にした耐量子の証明システムで、コミットメントには module-SIS という格子の問題にもとづく方式を、証明の過程で使うハッシュには Poseidon2 を使っています。状態は開発中の研究用ソフトウェアで、チェーンへの組み込みと独立した監査はまだ終わっておらず、本番利用の段階ではないと明記されています。
格子の安全性が AI の数学で打撃を受けうるというブテリン氏の見立ては、ホスキンソン氏が Midnight に取り込むと語っている Nightstream の方向に直接かかわります。ホスキンソン氏の反論は、その方向を数学の蓄積から擁護したものと読むことができます。もう一つ、Nightstream が使う Poseidon2 は、ホスキンソン氏が反論の中で「最も代数的な構造を持つハッシュ」として挙げた系統でもあります。格子とハッシュのどちらの見立てが当たるにせよ、AI による暗号解析の進み方は、Midnight にとって見守るべき対象に入っています。
編集メモと、次に確かめる場所
本稿は3人の主張の中身を原文で並べたもので、どちらの見立てが正しいかを判定するものではありません。3人の投稿も、AI によって楕円曲線や格子の暗号が実際に破られた事例を挙げてはいません。
確かめる場所は3つあります。1つ目は CIP-0197 のプルリクエスト (#1242) で、作者の修正版が出たとき、既定の方式が STARK のままか、格子系に寄るかが見どころです。2つ目は GitHub の Nightstream のリポジトリで、監査とチェーンへの組み込みの進み具合が分かります。3つ目はドレイク氏が11月にロンドンで予定している機関投資家向けの公開質疑で、取引所やカストディアンが保管の見直しを語るかどうかが、業界がこの呼びかけをどこまで重く受け止めたかを測る最初の場になります。
Cardano の委任者にとっては、新しい鍵を最初から耐量子の方式にする別の CIP が出てくるかどうかも、長い目で見ておきたい点です。CIP-0197 の提案文書は、鍵そのものを耐量子の方式に入れ替える道と、今の鍵の上に証明の層を足す道を整理しており、委任の鍵を守る方法もこのどちらかの延長で考えることになります。
ことば
- Ed25519 — Cardano が取引の署名に使う楕円曲線の署名方式です。ビットコインやイーサリアムの ECDSA とは別の方式ですが、どちらも楕円曲線の離散対数問題の難しさに安全性を預けているため、今回の議論の対象に入ります。
- ステーク鍵 — ADA の委任先や DRep への投票権の委任、報酬の引き出しを操作する鍵です。支払い用の ADA は動かせませんが、委任の手続きで署名するため、委任している人の公開鍵はチェーン上に記録されています。
- module-SIS — 格子暗号の土台になる数学の問題の一つです。Midnight の Nightstream のコミットメントはこの問題の難しさに安全性を預けており、格子の安全性をめぐるブテリン氏とホスキンソン氏の論争は、ここにも及びます。
一次ソース / 関連リンク
- ジャスティン・ドレイク氏の X 投稿（2026年10月7日）
https://x.com/drakefjustin/status/2107837081313505768 - ヴィタリック・ブテリン氏の X 投稿（2026年10月8日・日本時間）
https://x.com/VitalikButerin/status/2107976296320106851 - チャールズ・ホスキンソン氏の X 投稿（2026年10月9日・日本時間）
https://x.com/IOHK_Charles/status/2108377196561867242
GitHub
Cardano Developer Portal — Delegate and Withdraw
developers.cardano.org
Cardano Developer Portal — Manage Stake
developers.cardano.org
GitHub
