メインコンテンツまでスキップ

Solana の 3 年間にわたる量子ウェッジ：なぜ Yakovenko は Ethereum L2 ユーザーに「すべての希望を捨てよ」と告げたのか

· 約 19 分
Dora Noda
Dora Noda
Software Engineer

2026年5月2日、Anatoly Yakovenko は、ほとんどのブロックチェーン共同創設者が避けるような行動をとった。彼はユーザーの一群全体に対し、彼らのネットワークは救いようがないと告げたのである。Solana Labs の共同創設者である彼は、Ethereum レイヤー 2 に資産を保有し量子コンピュータを懸念している人々への唯一の誠実なアドバイスは、「すべての希望を捨てよ（Abandon all hope）」であるとツイートした。このツイートは、Solana のバリデーターステークの大部分を保護する 2 つのクライアント、Anza と Firedancer が、NIST（米国国立標準技術研究所）が耐量子標準として選定した格子暗号ベースのスキームである Falcon-512 署名を検証する、本番環境対応のテストビルドを公開したのと同じ時刻に投稿された。

このシンクロニシティ（同時性）は偶然ではなかった。それは 2017 年の Vitalik による Plasma の発表以来、最も強烈なクロスチェーン・マーケティングの猛攻であり、「耐量子性」を 2030 年代のエンジニアリング項目から 2026 年の競争上の優位性へと再定義した。Ethereum の「Strawmap（ストローマップ）」が 6 ヶ月周期で 7 つのハードフォークを計画し、2029 年頃に耐量子インフラを完成させるとしている一方で、Solana は現在、2 つの独立したクライアント実装で動作する Falcon-512 検証機能を備えている。その差は約 3 年であり、3 年という歳月は機関投資家のナラティブを勝ち取るには十分な時間である。

5月2日に実際にリリースされたもの​

同日に 2 つの出来事が現実となり、その組み合わせは単体での出来事よりも大きな意味を持っている。

第一に、Solana の 2 つの主要なバリデータ・クライアント・チームである Anza と Firedancer が、Falcon-512 を適切な耐量子署名スキームとして独自に採用し、それぞれの GitHub リポジトリに初期の検証スイートをリリースしたことだ。Anza のコミット履歴によれば、Falcon への取り組みは少なくとも 2026 年 1 月 27 日から開始されており、これがニュースサイクルに対する急ごしらえの反応ではなく、2 つのチームが並行して進め、収束させた数ヶ月に及ぶエンジニアリングの成果であることを示している。

第二に、ネイティブな耐量子ウォレットとスマートコントラクトの署名検証のための移行パスを定義する Solana 改良文書である SIMD-0416 が、クライアントの開発と並行して公開の議論へと移行したことだ。これらが組み合わさることで、「バイナリに Falcon-512 検証が存在する」状態から「Solana メインネットのアカウントがネイティブに Falcon-512 を使用できる」状態へのアップグレード・パスが形成される。Solana Foundation は、この移行が有効化されてもネットワークのパフォーマンスに大きな影響は及ぼさないと明言している。Solana の価値提案はスループットにかかっているため、これは極めて重要な主張である。

Falcon-512 は、高スループットな L1 にとって最適な選択肢である。NIST が標準化した耐量子署名アルゴリズムの中で、Falcon は最も署名サイズが小さく、これは秒間数千のトランザクションをターゲットとするチェーンが必要としているものそのものだ。より一般的な代替案である CRYSTALS-Dilithium は署名サイズが大きく、Solana のバリデータ・ゴシップ層や RPC 層全体で帯域幅コストを増大させたはずだ。

誰も議論したがらない L2 継承問題​

Yakovenko の「すべての希望を捨てよ」という表現は、暗号化のコールグラフを辿るまでは、単なる修辞表現のように聞こえるかもしれない。Arbitrum、Optimism、Base、zkSync、Linea など、あらゆる Ethereum レイヤー 2 は Ethereum L1 で決済を行う。すべての L1 決済トランザクションは、Bitcoin も使用しているプリミティブである secp256k1 曲線上の ECDSA を使用して署名されている。ブリッジの保管用コントラクト、不正証明の署名、妥当性証明の投稿、シーケンサーのバッチ送信など、これらはすべて最終的に L1 境界での secp256k1 ECDSA に依存している。

これは、基盤となる L1 が攻撃対象となる場合、L2 独自の暗号技術は無意味であることを意味する。Ethereum の上に、どんな署名スキームでも使用できる内部暗号を備えた、どれほど精巧な ZK ロールアップを構築したとしても、量子攻撃者は L1 決済レイヤーを標的にすることで勝利してしまう。L2 の出金と決済の保証は L1 から継承されており、その継承の流れは一方向に限定されているからだ。

Yakovenko の主張は技術的に目新しいものではなかった。Ethereum の研究者たちは、この依存関係を何年も前から理解していた。新しかったのは、競合する L1 が耐量子検証の動作を実証したのと同じ日に、それを公然と武器として利用する意思を示したことだ。

ストローマップ、グラムステルダム、そして2029年のゴールライン​

Ethereum にも計画はある。2026 年 2 月に公開された Foundation の「Strawmap」は、2026 年から 2029 年にかけて約 6 ヶ月周期で 7 つのハードフォークを実施し、2030 年末までに耐量子インフラを完成させるという明確な目標を掲げている。2026 年前半を予定している「Glamsterdam」がそのキックオフとなる。続いて 2026 年後半には「Hegotá」が控えている。現在 Hegotá で予定されている EIP-8141 は、個々のアカウントが独自の署名検証スキームを選択できるようにするもので、ユーザーはネットワーク全体の移行を待つことなく耐量子署名に切り替えることが可能になる。

これは一貫した戦略ではあるが、時間がかかる。

Ethereum にとっての移行が Solana よりも構造的に困難である理由は、エンジニアリングの質の差ではなく、その影響範囲（サーフェス・エリア）の広さにある。Ethereum は、L1 プロトコルの変更、バリデータ・インフラ（BLS 署名、KZG コミットメント）、アカウント抽象化ツール（EIP-7702 など）、そしてそれぞれが独自のシーケンサー、バッチャー、ブリッジ・コントラクトを持つ数十の L2 ロールアップを調整する必要がある。Strawmap の 7 つのハードフォークはこの拡散を反映している。対して Solana には Anza、Firedancer、そして SIMD プロセスがあり、リリースを完遂するための政治的な調整範囲ははるかに小さい。

2026 年 3 月後半、Google Quantum AI は 256 ビットの楕円曲線暗号を破るコストが約 20 分の 1 に低下し、約 1,200 の論理量子ビット（50 万個未満の物理量子ビットを必要とするハードウェアで達成可能）で実現できるという論文を公開した。この論文一つで、緊急性の計算式は書き換えられた。連邦準備制度（FRB）の 2025 年 9 月の作業部会論文でも、攻撃者が今日公開チェーンのデータを収集し、解読できるようになるまで待つという「今すぐ収集し、後で解読する（harvest now, decrypt later）」が現実の脅威モデルであると既に指摘されていた。

今収穫し、後で解読する：なぜすでに時計は動き出しているのか​

「今収穫し、後で解読する（Harvest Now, Decrypt Later）」という脅威は、この議論を学術的なものではなく緊急性の高いものにしています。ECDSA 公開鍵は、トランザクションがブロードキャストされるたびに漏洩します。一度漏洩すると、ブロックチェーンのデータは設計上決して削除されないため、将来の量子攻撃者にとって永久に抽出可能なものとなります。攻撃者が能動的に傍受して保存しなければならない暗号化された TLS セッションとは異なり、Ethereum の公開台帳全体は自由にダウンロード、アーカイブ、および複製が可能です。

その意味するところは不快なものです。Arbitrum と Optimism が 2021 年にメインネットをローンチして以来のすべての Ethereum L2 トランザクションは、すでに「収穫セット」の中にあります。アドレスを再利用しているすべての Bitcoin トランザクションも同様です。遡及的に機能する唯一の緩和策は、公開鍵が一度もブロードキャストされていないアドレスに資金を移動することですが、これはほとんどのユーザーができない、あるいはやろうとしないことです。将来的な緩和策には、資金を保持しているチェーン上で機能する耐量子署名スキーム（Post-Quantum Signature Scheme）が必要です。

これこそが、ヤコヴェンコ（Yakovenko）氏のツイートを読み解くためのプリズムです。それは「Solana は Ethereum よりも先に耐量子性を備えるだろう」という未来に関する記述ではありません。むしろ、「Ethereum のすでに漏洩した公開鍵は誰かの収穫パイルの中にあり、あなたが信頼している L2 にはそれを修正する一方的な権限がない」という、現在に関する記述なのです。

Optimism の対抗策：10 年間にわたるスーパーチェーンの移行​

Optimism はこの圧力が来ることを予見していました。2026 年 1 月、OP Labs はスーパーチェーン向けの耐量子ロードマップを公開しました。これは、ガバナンスの承認を前提として、2036 年 1 月までに ECDSA ベースの外部所有アカウント（EOA）を完全に廃止することを目指す 10 年のスパンの計画です。この計画は EIP-7702 に依拠しており、ユーザーに残高やアドレスを放棄させることなく、EOA を耐量子スマートコントラクトアカウントに移行させることを目指しています。署名検証の候補としては、CRYSTALS-Dilithium などが挙げられています。

これは真剣なロードマップですが、あくまでロードマップであり、実装済みのコードではありません。Optimism は、特定の耐量子署名スキームは未決定であり、格子ベースの NIST 標準化が長期的に最善の選択ではない可能性があることを明示しています。また、彼らは Ethereum Foundation に対し、バリデーターを並行した BLS から PQ（耐量子）へのタイムラインにコミットさせるよう働きかけています。なぜなら、L1 の整合性がなければ、L2 レベルの作業には限界があるからです。

Anza や Firedancer の「本番環境に近いテストビルドで実行されている検証スイート」と比較すると、Optimism の 1 月の発表は、異なる認識カテゴリにある異なる成果物です。どちらも必要ですが、2026 年に提供可能なのは一方だけです。

Bitcoin の文脈：BIP-360、BIP-361、そしてソフトフォークの政治学​

Bitcoin の耐量子移行は、異なるガバナンスマシンを介して行われます。Hunter Beast 氏の BIP-360（pay-to-quantum-resistant-hash）と BIP-361（休眠資金を量子的に脆弱なスクリプトから強制的に移行させる「量子コイン凍結」メカニズム）は、どちらもコミュニティで活発に議論されています。しかし、どちらも有効化されていません。Bitcoin の道筋は必然的に、マイナーとノードの広範な合意を伴うソフトフォークであり、設計上低速です。

Solana の移行は、Anza および Firedancer クライアントのリリースと SIMD プロセスを通じて行われます。これは高速ですが、ガバナンスがより小さなサークルに集中することも意味します。それが機能（フィーチャー）なのかバグなのかは、分散化のトレードオフのどちらを優先するかによります。2027 年の調達資料で、防御可能な「耐量子 L1」という主張を求める機関投資家にとって、答えは明らかです。速いほうが勝つのです。

誰も価格に織り込んでいないインフラコスト​

耐量子署名スキームは ECDSA よりもサイズが大きくなります。Falcon-512 の署名は、エンコーディングにもよりますが、secp256k1 の署名の約 5 〜 10 倍のバイトサイズになります。Dilithium の署名はさらに大きくなります。これは、高スループットチェーンの RPC および帯域幅スタック全体で償却される場合、無視できないコストになります。

具体的には、投票をゴシップする Solana バリデーター、トランザクション送信時に署名検証を行う RPC プロバイダー、トランザクション履歴を再構成するインデクサーなど、すべてのレイヤーが帯域幅税を支払うことになります。リクエストごと、あるいは帯域幅ごとに価格設定されている RPC ティアでは、トランザクションあたりのコストは署名サイズに比例して上昇します。これは、耐量子署名が例外ではなくデフォルトになるにつれて、スループット重視のチェーンが計画する必要がある「価格再設定イベント」です。

ビルダーにとっての実践的な意味は、測定を開始することです。Solana 上で毎秒数千のトランザクションをブロードキャストするアプリケーションを運用している場合、Ed25519（現在のデフォルト、64 バイト署名）から Falcon-512（圧縮にもよるが約 666 バイト署名）への移行は、今日計算可能な具体的な帯域幅とストレージの増分となります。それに応じて計画を立ててください。

ビルダーが持ち帰るべき教訓​

いくつかの実践的な見解を挙げます。

Solana で構築している場合は、SIMD-0416 スタイルのアップグレードが Ethereum の L1 ロードマップが示唆するよりも早く導入されることを期待し、アカウント抽象化や署名集約戦略を最初から Falcon-512 を念頭に置いて設計してください。ハードウェアウォレットベンダーはクライアントチームに従うでしょう。Falcon のファームウェアアップデートは扱いやすいものですが、些細な作業ではありません。

Ethereum L2 で構築している場合、率直な見解としては、L1 がその役割を果たすまでは L2 レベルの耐量子主張は意味のある安全性を担保しません。EIP-7702 によるアカウントレベルの移行は道筋を示してくれますが、ブリッジコントラクトや決済署名は、自分では制御できない継承されたリスクです。2026 年ではなく、2027 年から 2029 年の移行ウィンドウを計画してください。

クロスチェーンインフラを構築している、あるいはマルチチェーン製品を運用している場合、あなたの脅威モデルには「ブリッジを経由したチェーンから収穫された公開鍵」を含める必要があります。ECDSA 署名のマルチシグの背後に資産を保管しているブリッジは、どのチェーンにアンカーされているかに関わらず、移行期において最もリスクの高い成果物となります。

マーケティングの楔（くさび）はストーリーにある​

ヤコヴェンコ（Yakovenko）氏のツイートは、単なる技術的な情報開示ではありませんでした。それは、稀に見るタイミングの正確さで実行された市場ポジショニング戦略でした。「Ethereum の L2 は L1 の暗号学的リスクを継承する」という技術的な主張は、長年にわたり論文や EIP（Ethereum 改善案）で文書化されてきました。2026 年 5 月 2 日において斬新だったのは、その主張をわずか数単語のフレーズに凝縮し、公の場で発信し、さらに同じニュースサイクルの中でリリースされた競合技術と結びつけたその決断力です。

3 年という期間は、マーケティングにおいて非常に長い窓口となります。Ethereum の 7 つのハードフォークが実際に 2029 年に完了するか、あるいは 2030 年までずれ込むかにかかわらず、Solana は少なくとも今後 12 か月間、「量子耐性を持つ L1」というメディア報道において主導権を握ることになります。暗号学の会議の議事録よりも、調達資料の検討事項が機関投資家の採用を左右するこの業界において、その地位は非常に大きな価値を持ちます。

より難しい問いは、ヤコヴェンコ氏の枠組みが Ethereum 財団に「ストローマップ（Strawmap）」の加速を強いるのか、そして L2 陣営が L1 のアップグレードを待つのではなく、その遅れを補完するような CRYSTALS-Dilithium 署名エンベロープの実装を開始するのかという点です。最も興味深い結果は、競争によって業界全体の耐量子（PQ）タイムラインが 2 〜 3 年前倒しされることです。逆に最も面白くない結果は、各エコシステムが独自のロードマップに閉じこもってしまうことでしょう。その答えを知るために、今後 6 か月間の Ethereum All Core Devs（全コア開発者）会議に注目してください。

BlockEden.xyz は、Solana、Ethereum、および主要な L2 向けに商用グレードの RPC インフラを運営しています。これには、Falcon-512 への移行によって再編されるような高スループットの署名検証ワークロードも含まれます。耐量子署名スキームによって、すべての RPC ティアで帯域幅と検証コストが増大する中、アプリケーションの経済性を損なうことなく次世代の暗号技術への移行を吸収できるよう設計された 当社の Solana および Ethereum API サービス をぜひご検討ください。

情報源​

Share on Twitter