八年にわたる投資の方向転換——イーサリアムはなぜ突然Poseidonを放棄したのか？

原文著者：ChandlerZ、Foresight News

8月13日、イーサリアムのリサーチャーであるJustin Drake氏はXにて、イーサリアム財団がL1層においてSNARKフレンドリーなハッシュアルゴリズムであるPoseidonを放棄し、SHA2やBLAKE2などの従来型ハッシュ関数を採用することを決定したと投稿した。

この決定の背後には、8年にわたる研究、数千万ドルに及ぶ投資の蓄積、そして耐量子暗号ロードマップにおける重大な修正がある。

Poseidonは2019年の発表以来、zkRollupやzkVMなどのアプリケーションにとって理想的なハッシュ方式と見なされてきた。その構造により、SNARK回路において従来のバイナリ演算ベースのハッシュ関数よりも低コストかつ高効率を実現する。しかし、耐量子安全性がイーサリアムの必須要件となったとき、Poseidonの限界が露呈し始めた。

Justin Drake氏によると、この転換は画期的なSNARK設計の進展によるもので、「バイナリ体」での演算方式により、従来のハッシュ関数がSNARK回路において、これまでSNARK用に最適化されてきたPoseidonに匹敵する性能を発揮できるようになった。ノートパソコン1台で毎秒約100万回の従来型ハッシュ呼び出しの検証が可能だという。

記事によると、Poseidonは2019年の発表以来、主流のSNARKフレンドリーハッシュ方式であり、zkRollupやzkVMなどのアプリケーションにセキュリティを提供してきた。Justin Drake氏は、計画では本番グレードのleanVMが2027年にリリースされる見込みであり、コンセンサス層、データ層、実行層の関連展開は2028年に完了する見込みであると述べている。イーサリアム財団の耐量子チームもバイナリ体関連の研究を加速させている。

なぜ今なのか？

従来型ハッシュが長らくSNARKに組み込めなかった主な障壁は、計算言語の違いにある。SHA2、BLAKE2s、KeccakはXOR、シフトなどのブール演算を多用するが、従来のSNARKは通常、大きな素数体上で算術を処理するため、各ビット演算をシミュレートする際に高い制約コストが発生する。Poseidonは素数体上の算術を中心に直接設計されており、より少ない制約でより高い証明速度を実現するが、その代償としてアルゴリズムの歴史が浅く、継続的な暗号解析が必要となる。

バイナリ体は、基礎となる数学を0と1のみを含む最小の素数体に切り替え、バイナリ拡大体を用いてより大きなデータを担う。これにより、ビット演算が直接証明システムに入り込むことができ、SNARKが従来型ハッシュに適合し始める。技術的な焦点は、SNARKフレンドリーなハッシュの設計から、ハッシュフレンドリーなSNARKの設計へと移行する。

Jim Posen氏とBenjamin Diamond氏が2023年に発表したBiniusは、バイナリタワー体上のSNARK経路を示した。Benedikt Bünz氏、Ron Rothblum氏、William Wang氏によるFlock論文は2026年7月29日にarXivへアップロードされ、そのM4 Maxベンチマークでは、単一コアで毎秒8.2万回のBLAKE3圧縮、4.2万回のSHA-256圧縮、3万回のKeccak置換を証明し、10コアのBLAKE3スループットは66万回を超える。

Drake氏によると、ノートパソコンは毎秒約100万回の従来型ハッシュ呼び出しを証明でき、そのオーバーヘッドはネイティブCPUのブール計算の約100倍である。SNARK.fastは数日前にM3 Max上で毎秒180万回のBLAKE3を達成した。

2027年にleanVM、2028年に3層展開

Poseidonが放棄されたもう一つの重要な理由は、耐量子安全性のタイムラインが加速していることだ。Project Elevenが発表した『The Quantum Threat to Blockchains - 2026 Report』は、量子コンピューターの急速な発展がブロックチェーンのセキュリティに深刻な脅威をもたらしていると指摘する。「暗号学的に関連する量子コンピューター」（CRQC）が登場すれば、ShorのアルゴリズムはECDSA（ビットコインおよび大多数のパブリックチェーンで採用）やRSAなどの非対称暗号を急速に解読できる。Q-Day（量子解読日）は2030年から2033年の間に到来する可能性があり、その際には数兆ドル相当のオンチェーン資産がリスクにさらされると予測される。

ブロックチェーンの公開鍵は長期間静的であり、ロールバックが不可能なため、移行は極めて困難である。報告書は、格子ベースやハッシュベースなどの耐量子署名方式を含む耐量子暗号（PQC）移行を直ちに開始し、ハイブリッド方式による段階的な移行を通じて、量子の脅威の全面勃発を回避することを推奨している。

Justin Drake氏は、AIによる暗号解析能力の向上により、格子ベースのHAWKや同種写像ベースのSQIsignが相次いで打撃を受けていると警告する。これにより、イーサリアム財団はハッシュベースの方式に賭けざるを得なくなった。このような方式は量子攻撃に対してより強い耐性を持つと考えられている。

これに先立ち、イーサリアムは耐量子ロードマップを公表しており、2027年に本番グレードのleanVMを展開し、2028年にコンセンサス層、実行層、データ可用性層での展開を完了する計画である。leanVMは、耐量子署名の集約に特化した最小限のゼロ知識仮想マシンであり、戦略全体の中核的構成要素と見なされている。

2026年3月、イーサリアム財団は耐量子セキュリティのリソースセンターとしてpq.ethereum.orgを立ち上げ、10以上のクライアントチームが毎週、耐量子相互運用性開発ネットワークを稼働させ始めている。財団はまた、耐量子暗号研究を推進するため、100万ドルのPoseidon Prizeと同額のProximity Prizeを設立した。Vitalik Buterin氏自身も、耐量子安全性はイーサリアムの「walkaway test」（安心して離れられるテスト）の必須条件であり、量子安全性を実現しない限りイーサリアムは「凍結」できないと繰り返し強調している。

ハッシュ関数の切り替えは、イーサリアムの耐量子ロードマップの全体構造を変えるものではない。バリデータが現在使用しているBLS署名は楕円曲線に依存しているが、将来の方式は依然としてleanXMSSなどのハッシュ署名を基礎とし、leanVMが多数の署名を各ブロックあたりの1つの小さな証明に圧縮する。イーサリアム公式ページが以前に示した比較では、leanXMSS署名は約3000バイト、BLS署名はわずか96バイトであり、leanVMのデータ圧縮目標は約250倍である。

SHA2やBLAKE2sはより長い公開解析の歴史を持ち、EFはPoseidonのパラメータが長年の暗号解析に耐えるのを待つ時間を減らすことができる。Drake氏が示したストローマップは、2027年の本番グレードleanVM、そして2028年のコンセンサス層、データ層、実行層の展開を指し示している。

同業他社との競争、SolanaはFalconを選定

イーサリアムだけが耐量子時代に向けて準備を進めている主流パブリックチェーンではない。Solana財団は2026年4月に耐量子セキュリティロードマップを発表し、その中核開発チームであるAnzaとJump CryptoのFiredancerは、独自の調査の結果、同じ耐量子署名方式であるFalconを選定した。

FalconはNISTが標準化した耐量子署名方式の一つであり、その署名はコンパクトで、Solanaのような高スループットのブロックチェーン環境に適している。

2つのバリデータクライアント開発チームであるAnzaとFiredancerは、独立した調査を経て、耐量子デジタル署名方式Falconを一致して選定し、それぞれGitHub上で初期実装コードを公開している。現在のロードマップは3段階に分かれる：Falconおよび代替方式の継続的な評価、量子の脅威が現実となった際の新規ウォレットへの耐量子方式の採用、最終的には既存ウォレットの全体移行である。さらに、BlueshiftのSolana Winternitz Vaultはエコシステム内で2年以上稼働しており、今年初めにGoogle Quantum AIのホワイトペーパーで業界最先端の事例として引用された。

Solana財団は、量子コンピューティングが実質的な脅威となるまでにはまだ数年かかり、現時点で直ちに移行する必要はないが、研究、インフラ、エコシステムの調整はすべて整っており、時期が熟せば迅速に開始できると述べている。ネットワークのパフォーマンスへの顕著な影響は予想されていない。

Starknetは現在、EFの新しい方向性に最も近い比較対象である。StarkWareは6月30日にロードマップを公表し、3段階で進行する。第1段階では、PedersenハッシュアルゴリズムをBLAKE2に置き換え、状態コミットメント、コントラクトアドレス、ネットワーク設定に使用するとともに、Falcon-512などの耐量子コンセンサス署名も導入する。第2段階は従来のコントラクト向け移行ツールに焦点を当て、最終段階ではブリッジのシステムコールやblobデータ可用性など、イーサリアムに依然関連する外部依存関係の解決に重点を置く。第3段階はイーサリアム自身の移行経路に依存する。

他のパブリックチェーンと比較して、イーサリアムは「先に標準を確立し、その後にコードを動かす」という経路を選択した。Poseidonを放棄してSHA2/BLAKE2へ移行することは、耐量子時代において、より成熟し、広く検証された暗号プリミティブを選択することを意味する。