Vitalik Buterin氏がEIP-8288を支持、Ethereum(ETH)の量子耐性プライバシー費用を99%以上削減

Vitalik氏が狙う「I-star」アップグレード

Ethereum(ETH)にとって耐量子暗号はあまりに重い処理であり、共同創設者のVitalik Buterin氏はこれを圧縮する構想を示した。同氏は9月9日、Xへの投稿で再帰的STARKメンプールに関するノート、EIP-8288を解説し、Hegotáに続くネットワークアップグレードとして計画されている「I-star」にこの提案を盛り込みたいとの考えを明かした。EIP-8288はButerin氏が研究者のThomas Coratger氏とともに6月3日に起草したもので、現時点ではドラフト段階にあり、いずれのフォークにも割り当てられていない。提案の骨子はシンプルだ。実行パスの中で耐量子署名やSTARK証明を一件ずつ検証するのではなく、大量のバッチを単一の再帰的STARKに集約しようというものだ。再帰的STARKとは、基盤となる計算を再実行することなく、他の証明の正しさを証明する仕組みである。

再帰的STARKメンプールに関するノート、EIP-8288https://x.com/VitalikButerin/status/2097711433073172837?ref_src=twsrc%5Etfw

この提案は、取引を認証・ガス支払い・実行の個別フレームに分割し、署名方式をトランザクション形式そのものから切り離すFrame Transactions(EIP-8141)を拡張するものだ。EIP-8141のテキストが指摘するように、この分離こそが、現在の楕円曲線認証から耐量子方式への移行経路を開く鍵となる。FramesはすでにHegotáの「Scheduled for Inclusion」ステータスを持ち、Ethereum Foundationのプロトコルチームは同アップグレードの優先度評価で最上位 tier である「Must ship」と位置づけている。技術的には、EIP-8288はかさばる暗号処理をブロックから完全に締め出す。取引は依存関係の宣言、すなわち「あるメッセージが特定の鍵で署名された」「あるデータが証明を満たす」という96バイトの主張を行うだけでよい。実際の署名はメンプールに流れ、ブロックバリデータに近い役割を担うノードが、これらの主張のバッチを証明する再帰的STARKを生成する。ブロックビルダーは含めた全件をカバーする単一の証明を添着し、提案の仕様によればオンチェーン上のフットプリントは単一のSTARKと条件ごとに96バイトまで縮小する。Ethereumのベースレイヤーにとっては、検証コストがブロック内の特殊な署名の数に比例しなくなることを意味する。

1,000万ガスから数万ガスへ

この議論を支えるのは、EIPテキスト自体に記載された生の数値だ。ハッシュベースの耐量子署名は約2〜3キロバイトのデータを要し、検証には約15万〜20万ガスのコストがかかる。いかなるガス代にとっても痛烈な上乗せである。STARK証明はさらに重く、128キロバイトを超え、速度優先で生成した場合は約512キロバイトに達することもあり、オンチェーン検証は数百万ガス規模にのぼる。Buterin氏の試算はプライバシーを題材にしている。今日、入念に設計されたプライベート取引のコストは約30万ガスだが、これを耐量子対応にすると約1,000万ガスに膨らみ、33倍のプレミアムとなる。EIP-8288の下では、両方のコストが数万ガス台の低水準まで縮減し、削減率は99%を超えると同氏は見積もる。

この算数が、実用的な耐量子プライバシープロトコルへの道を開く。Foundationの研究者Nicolas Consigny氏が6月にEVM向けに提案したハッシュベース署名方式SPHINCS-は、約3 kBの署名をオンチェーンに置く必要がなくなる。また、FalconやML-DSAといった方式は、クライアントが検証の実行を正しくSTARK証明できる場所であれば利用可能になり、方式ごとのEVM改修も新たなスマートコントラクトロジックの公開も不要だ。この種の集約は、すでにLayer 2ネットワークで経済的に実証済みであり、EIP-8288は同じ仕組みを事実上L1のパイプラインに取り込むものと言える。Buterin氏はさらに、プライベートなアカウントアブストラクションの構想も描いた。アカウントの認証ロジックは非公開のまま、紐づく全ポジションの所有権を、どれが移転されたかを明かさずに単一の取引で変更できるという。長期的には、再帰的証明には主張を記述する共通言語が必要で、有力候補はチップ設計由来のオープンな命令セットRISC-Vだ。これをEthereumの事実上の標準ISAとすることは、Buterin氏の言葉を借りれば慎重を要する「大きな決断」だが、同氏が「Proof Singularity(証明のシンギュラリティ)」と呼ぶ未来への不可欠な一歩である。 市場をリアルタイムで追いたい読者は、Binanceで現物・先物価格をライブで確認できる。

2029年12月までに量子耐性を

二つの流れは、一つの筋に収束する。Foundationのプロトコル部門は、実行・コンセンサス・データの各レイヤーで2029年12月までの量子耐性達成を掲げており、Buterin氏は8月に、量子安全性がL1の優先順位を押し上げたと述べ、具体的な作業項目としてleanSPHINCSの署名集約を挙げていた。公式のEIP-8141リスティングは、FramesがすでにHegotáへ組み込まれる予定であることを裏付ける。一方でFoundationは最近、別のEIP-8363の報酬バーン提案を優先事項から外しており、Hegotáのラインナップが今も活発に交渉されていることを示唆する。EIP-8288もFramesもフォークへの割り当てはなく、I-starへの中身は未定だ。COINOTAGの読みとしては、この投稿はEthereumのアップグレードパイプラインをめぐる議題設定と捉えるべきだ。拘束力のあるスケジュールシグナルは、今後公表されるHegotáおよびI-starのEIPリストに現れる。その規模は、Ethereum 2.0への再プラットフォーム化を想起させるものだ。