量子コンピューターでビットコインが盗まれる？新対策「SHRINCS」が登場、でも落とし穴も

ブロックストリーム共同創業者兼CEOのアダム・バック氏は、量子コンピューター懐疑派として知られる人物だ。かねてから同氏は、量子コンピューター技術はまだ未成熟であり、ビットコインへの脅威が現実化するのは「数十年先」だと見てきた。

だからこそ、皮肉にも興味深い。そんなバック氏率いるブロックストリームが、量子時代のビットコイン防衛策を研究する先頭集団の一角にいるのだ。バック氏は今年初め、コインテレグラフに対し、脅威が来る前に備えるのが「安全なやり方」だと語っていた。

ブロックストリームはすでに、実験的な耐量子署名方式「SHRINCS（シュリンクス）」が同社のリキッド・サイドチェーン上で本番環境でも機能することを示している。そしてこのほど、SHRINCSに関するビットコイン改善提案（BIP）が公開された。

ブロックストリーム・リサーチのジョナス・ニック氏は、これを「ビットコイン専用に設計された耐量子署名方式として、初の具体的提案」と評した。ただし同氏は、SHRINCSがビットコインの「最終的な」署名方式を意味するものではなく、あらゆる面で最適というわけでもないと釘を刺す。

「それでも、現時点でわれわれが持つ選択肢の中では、非常に優れた妥協点だと思う」とニック氏は述べている。

Source: Jonas Nick

量子コンピューターがいつ実用的な脅威になるのか。この時期については激しい議論がある。ただ、十分に高度な量子コンピューターが登場すれば、公開鍵から秘密鍵を逆算できるようになり、ビットコインの安全性を根底から揺るがすという点では、科学者の見方はおおむね一致している。そうなれば、数十億ドル、つまり1ドル＝約159円換算で数千億円規模の資産が盗まれる可能性すらある。だからこそ、ビットコインを量子攻撃から守るためのアップグレード競争が始まっている。

耐量子署名をいかに小さくするか

ブロックストリームが力を入れてきた研究テーマのひとつが、ビットコインの要件に合わせて耐量子署名方式を最適化することだ。狙いは明確である。ビットコイナーが大切にしてきた既存の性質をできるだけ保ちながら、量子時代に備えることだ。

現在、米国立標準技術研究所（NIST）が推奨するハッシュベースおよび格子ベースの耐量子署名方式は、ビットコインで現在使われているECDSA署名やシュノア署名に比べ、38倍から123倍も大きい。

これをそのままビットコインに導入すれば、ブロックチェーンの処理速度は1TPS（1秒あたり1トランザクション）を大きく下回る可能性がある。イーサリアムの耐量子チームは、この問題に対し、各ブロックごとに小さなゼロ知識証明を使って署名を集約する方針を検討している。ビットコインでも同様の案は検討されている。仮に実装されれば、多数の署名を個別に格納するよりも単一の証明の方がブロックスペースを食わないため、ビットコインは現在より高速に動く可能性すらある。

だがビットコインの世界でゼロ知識証明を追加するのは、かなり急進的な変更だ。実際に有効化に必要な支持を集めるには、険しい道のりになるだろう。

ブロックストリームもこの選択肢を検討している。ただ同社は賢明にも、より受け入れられやすい提案を切り分けている。それが、NIST承認のハッシュベース耐量子署名を約13.23分の1まで小さくするというアプローチだ。

ビットコイン向けに小さくした署名

2025年12月、ブロックストリームの研究者であるジョナス・ニック氏とミハイル・クディノフ氏は、SHRINCS署名方式を発表した。その後、2026年5月にはオペコード提案も公開された。SHRINCSはハッシュベースの耐量子署名方式で、最小サイズは548バイト。これに48バイトの公開鍵が加わる。ただし条件によっては、署名サイズは最大4619バイトまで膨らむ。

ポストクオンタム・ドットコムの著者であり、アプライド・クオンタム創業者のマリン・イヴェジッチ氏は、こう説明する。

「SHRINCSは、これまで誰かが作った中で最もビットコイン・ネイティブな耐量子署名設計だ」

同氏によれば、SHRINCSは「BIP-39のシード復元に完全対応し、セキュリティはビットコインのマイニングがすでに依存しているSHA-256の前提に基づいている」。

もっとも、同氏はマガジンに対し、この方式はまだ初期段階であり、監査も受けていないと指摘する。NIST署名方式が長年浴びてきた公開暗号解析の洗礼も、まだ十分には受けていない。

それでもイヴェジッチ氏は、SHRINCSを有力候補と見る。

「これは実際のコードであり、リキッドのメインネット上で実際のトランザクションに署名している。ビットコインのブロック経済を壊さずに耐量子化する答えとして、現時点で最も強い案だと評価している」

SHRINCSは、多くの耐量子署名より小さいとはいえ、ビットコインの既存署名よりはなお大きい。現在のシュノア署名は64バイト、旧来のECDSA署名は約70バイトだ。SHRINCSはそれらの約9倍となる。

では署名が9倍になるなら、ビットコインのブロックサイズも9倍にしなければならないのか。そう考えるのは自然だが、イヴェジッチ氏によれば実際には違う。理由は、ビットコインのSegWit（セグウィット）にある。

「SegWitでは、署名バイトはウィットネス領域に入り、通常のトランザクションデータの4分の1の重みで扱われる」と同氏は言う。

ブロックストリームの過去の研究で示された推計によれば、全員がタップルートのシュノア署名を使った場合、ビットコインは6.5TPSで動作できる。実際には約80％のユーザーはまだ使っていない。NIST承認の格子ベース署名ML-DSAを使うと0.5TPSに落ち、同じくNIST承認のハッシュベース署名SPHINCS+ではわずか0.36TPSになる。

一方、SHRINCSを使えば、ビットコインは約3TPSで動作できる。これは現在の水準に近い。

SHRINCSは今年3月、リキッド・サイドチェーン上の本番環境でテストされた。その際には、ビットコイン白書のコピーまで含められていた。では本番で動くなら、もう安心なのか。ビットコインの量子問題は解決したのか。

Source: Blockstream

SHRINCSはすごそうだ。では落とし穴は？

BIPはこう警告している。「セキュリティ証明はTODO」。つまり、研究としては有望だが、暗号学的に成熟し、完全に検証された提案ではまだないということだ。

さらに、SHRINCSはビットコインに新たな複雑さを持ち込む。

各署名では、新しいワンタイム鍵が使われる。SPHINCS+のサイズが大きい理由のひとつは、こうしたワンタイム鍵を多層ハッシュツリー構造で包み込み、ステートレスな方式にしているためだ。

SHRINCSはサイズを削るため、その仕組みを取り払っている。代わりに、使用済みの鍵を端末側に保存する。これはステートフル方式と呼ばれ、鍵の再利用がないかを素早く確認できる。だが代償もある。署名は使用するたびに16バイトずつ大きくなる。さらに端末を失った場合、復元には約5777バイトという非常に大きな「ステートレス・フォールバック」トランザクションが必要になる。

BOLTSテクノロジーズ創業者のユン・アウ氏は、SHRINCSの設計者らがサイズ削減のために「ステートフル性、コンパクトな署名パス、フォールバック、シード初期化回数に関する前提、端末がより大きなステートレス署名へ切り替えるタイミングのルール」を導入したと指摘する。

「それは実用的なエンジニアリングかもしれない。しかし同時に、スループットを最大化し計算サイクルを最小化するために持ち込まれた複雑性と脆弱性でもある。ビットコインでは、新しいコンセンサスルールはすべて恒久的な保守義務になる。そしてウォレット側の前提はすべて、ユーザーが失敗する可能性のあるポイントになる」

SHRINCSの改良とSHRIMPSの追加

ブロックストリームは2026年を通じて、この方式の研究と最適化を続けてきた。つい先週には、SHRINCSや他の複数の耐量子署名方式が、一般的なハードウェアウォレット上でも実質的に動作できることを示した。

ただしBIPは、低消費電力のハードウェアウォレットでこれを動かす際の複雑さにはリスクがあるとも警告している。

ステートレス部分にハイパーツリー・プルーニングを使って生成されたSHRINCS鍵は、ハイパーツリー・プルーニングをサポートしないSHRINCS実装とは互換性がない。実際、こうした互換性のない実装間で鍵をインポートすると、資金を失う可能性がある。

3月には、同研究所がSHRINCSと併用される補完方式「SHRIMPS（シュリンプス）」を発表した。これは同じシードから初期化されたバックアップ端末でもトランザクションに署名できるようにするものだ。ただ、ドラフトBIPを見る限り、この方式が組み込まれるかどうかはまだ明らかではない。

ブロックストリームは、格子ベース署名方式についても実験している。格子ベース方式は一般にハッシュベース方式より小さいが、実証度や信頼性では劣ると見られている。同社は署名をゼロ知識証明で集約する案も検討している。試算では、ゼロ知識証明をSHRINCSと組み合わせた場合、ビットコインの処理速度は6.7TPSまで倍増する可能性がある。

ブロックストリームが、署名方式の選択と、ブロックサイズ拡大やゼロ知識証明による署名集約の問題を切り分けたのは賢明だった。これらを一緒に議論すれば、SHRINCSの採用そのものが沈みかねないからだ。ビットコインの耐量子アップグレードはいずれも論争を呼ぶ。実際に有効化するための十分な支持を集めるのは、容易ではない。

イヴェジッチ氏はこう語る。

「ビットコインの量子移行における本当の制約は、暗号技術ではない。ガバナンスだ。BIP-360、BIP-361、SHRINCS、STARKsと、技術的な選択肢は急速にそろいつつある。だがビットコインに欠けているのは、時間切れになる前に、その中から選ぶための仕組みなのだ」