Blockstreamの共同創業者兼CEOであるAdam Back氏は、量子コンピューティング懐疑論者として知られ、同技術はまだ未成熟であり、脅威が現実化するのは数十年先だと考えている。それでも同社は、この問題に対する実用的な防御策の研究では先頭集団にいる。Back氏は今年初めにCointelegraphに対し、「安全なのは」脅威に十分前もって備えることだと述べた。

Blockstreamは、実験的なポスト量子署名方式SHRINCSがLiquidサイドチェーン上で本番環境で動作することをすでに示しており、SHRINCSのBitcoin Improvement Proposal も本日公開された。

Blockstream ResearchのJonas Nick氏はこれを「Bitcoin向けに特化して設計されたポスト量子署名方式として、最初の具体的な提案」と呼んだ。一方で同氏は、「SHRINCSはBitcoinの『最終的な』署名方式を意図したものではなく、あらゆる面で最適というわけでもない。とはいえ、現時点で利用可能な選択肢の中では非常に良い妥協案だと思う」と付け加えた。

https://x.com/n1ckler/status/2092740384938226107

時期については激しい議論があるものの、十分に高度な量子コンピューターは公開鍵から秘密鍵を逆算できるようになり、Bitcoinのセキュリティを損ない、数十億ドル規模の盗難を可能にすると科学者らは一致している。こうした認識を背景に、Bitcoinをその攻撃に耐えられるようアップグレードする競争が進んでいる。

ポスト量子署名のサイズを縮小する

Blockstreamが最も有望視している研究分野の1つは、Bitcoinの要件に合わせてポスト量子署名方式を最適化し、Bitcoinユーザーが重視する既存の特性をより多く維持できるようにすることだ。米国立標準技術研究所（NIST）が推奨する現在のポスト量子対応のハッシュベースおよびラティスベースの署名方式は、Bitcoinの既存のECDSAおよびSchnorr署名の38倍から123倍の大きさがある。これらをBitcoinに導入すると、ブロックチェーンの処理速度は1 TPSのごく一部まで低下する可能性がある。

Ethereumのポスト量子チーム は、各ブロックごとに小さなゼロ知識証明を使って署名を集約することで、このサイズ問題に対処する計画だ。Bitcoinでも同様の手法が検討されており、実装されれば、1つの証明で複数の署名よりも少ないブロック容量しか使わないため、Bitcoinは現在より速く動作できる可能性がある。ただしBitcoinの世界では、ゼロ知識証明の追加はかなり大きな変更であり、起動に必要な支持を集めるには厳しい道のりになる。

Blockstreamもその選択肢を検討しているが、より段階的な方策として、NIST承認のハッシュベースのポスト量子署名のサイズを約13.23倍縮小する案とは切り分けている。

Bitcoin向けに最適化された小型署名

2025年12月、Blockstreamの研究者Jonas Nick氏とMikhail Kudinov氏はSHRINCS署名方式を発表し、オペコード提案は5月に公開された。SHRINCSはハッシュベースのポスト量子署名方式で、最小サイズは548バイト（48バイトの公開鍵を加える）だが、最大4,619バイトまで増大する。

PostQuantum.comの著者でApplied Quantumの創業者であるMarin Ivezic氏は、「SHRINCSは、これまで誰も作り出していない、最もBitcoinネイティブなポスト量子署名設計だ」と述べた。「BIP-39のシード復元が完全であり、Bitcoinマイニングがすでに依拠しているのと同じSHA-256の前提に安全性が乗っている」

同氏は、この方式はまだ初期段階であり、監査を受けておらず、NISTの署名方式が長年耐えてきた公開解析の蓄積にもさらされていないと指摘した。それでも、現時点でも有力な候補だという。

「これはLiquidメインネットで実際のトランザクションに署名した実コードであり、Bitcoinのブロック経済を壊さずにポスト量子化するための、現時点で最も強い答えだと評価している」と同氏は語った。

SHRINCSは多くのポスト量子署名よりかなり小さいものの、それでもBitcoinの既存のSchnorr署名（64バイト）や、より古いECDSA署名（70バイト）より約9倍大きい。

現在の署名より9倍大きければ、その分を補うためにBitcoinのブロックサイズも9倍必要になると考えるのは自然に見えるが、Ivezic氏によれば、BitcoinのSegregated Witnessによりその計算は変わる。

「SegWitでは、署名データはwitnessに入り、その他のトランザクションデータの4分の1の重みしか持たない」と同氏は述べた。

Blockstreamの以前の研究で公表された推計によると（やや異なるパラメータを使用）、もし全員がTaprootのSchnorr署名を使えばBitcoinは毎秒6.5トランザクションを処理できる（実際には約80%の人は使っていない）。BitcoinがNIST承認のラティスベース署名ML-DSAを使えば処理速度は0.5 TPSに低下し、NIST承認のハッシュベース署名SPHINCS+を使うと0.36 TPSにまで落ちる。一方、SHRINCSを使えば、ブロックチェーンは3 TPSで動作でき、これは現在とほぼ同水準だ。

SHRINCSは今年3月、Liquidサイドチェーン上で本番環境でテストされ、その試験にはBitcoinのホワイトペーパーのコピーまで含まれていた。

https://x.com/Blockstream/status/2090215730604298359?s=20

本番で動くなら問題ないのか？ 何が難点なのか

BIPが警告するように、「security proof is TODO」とあり、これは研究は有望だが、提案はまだ暗号学的に成熟した、完全に検証済みの設計ではないことを意味する。Bitcoinのアップグレードは一般に進行が遅く、ポスト量子への移行にはコードレビューだけでなく、エコシステム全体でのウォレット、ハードウェア、コンセンサス層の互換性確保にも時間が必要になる。

また、Bitcoinには追加の複雑性ももたらす。各署名は新しいワンタイム鍵を使用し、SPHINCS+が非常に大きい理由の1つは、それらすべてのワンタイム鍵を多層のハッシュツリー構造にまとめ、方式をstatelessにしている点にある。SHRINCSはサイズ削減のためにその構造を廃し、代わりに使用済み鍵を利用者の端末上に保存する。これはstatefulと呼ばれる方式で、鍵が再利用されていないかを素早く確認できる。

その代償は明確だ。署名は使用されるたびに16バイト大きくなり、端末を失うと復旧のために約5,777バイトの非常に大きな「stateless fallback」トランザクションが必要になる。

BOLTS Technologiesの創業者Yoon Auh氏は、サイズを小さくする過程で、SHRINCSの設計者は「statefulness、コンパクトな署名パス、フォールバック、シードが何回初期化されるかに関する前提、そして端末がより大きなstateless署名へ切り替えるべき条件のルール」を追加したと述べた。

「それは実務的なエンジニアリングかもしれないが、スループット最大化と計算サイクル最小化のために、複雑性と脆弱性がかなり導入されている。Bitcoinでは、新しいコンセンサスルールはすべて恒久的な保守義務になり、ウォレット側の前提はすべてユーザーの失敗要因になり得る」とAuh氏は語った。

SHRINCSの改良とSHRIMPSの追加

Blockstreamは2026年を通じてこの方式の研究と最適化を進めてきた。先週には、SHRINCSを含むさまざまなポスト量子署名方式が、一般的なハードウェアウォレット上で実用的に動作できることを示した。これは、Bitcoinの移行が特殊なインフラではなく、制約のある端末から署名する利用者でも使える必要があるため、有用な一歩だ。

ただしBIPは、低性能なハードウェアウォレットで動かす際の複雑性にはリスクもあると注意している。statelessコンポーネント向けにhypertree pruningを使って生成されたSHRINCS鍵は、hypertree pruningをサポートしないSHRINCS実装とは互換性がなく、こうした互換性のない実装間で鍵をインポートすると資金を失う可能性がある。

3月には、研究所はSHRIMPSという補完方式を公開した。これはSHRINCSと併用し、同じシードから初期化されたバックアップデバイスでもトランザクションに署名できるようにするものだ。ただし、草案のBIPからは、この方式が組み込まれるかどうかは明確ではない。

Blockstreamはまた、一般にハッシュベース方式より小さいが、より実証が進んでおらず信頼性も低いと見なされるラティスベース署名方式の実験も行っている。さらに、署名のゼロ知識証明による集約も検討しており、SHRINCSと組み合わせればBitcoinの速度は6.7 TPSまで倍増し得ると見積もっている。

同社は、署名方式の選択と、ブロックサイズ拡大やZK証明集約の追加を意図的に切り分けている。両者を同時に検討すると、SHRINCSの採用が頓挫しかねないためだ。Bitcoinのポスト量子アップグレードは、どれも議論を呼び、起動に必要な支持を集めるのは難しいと見込まれている。

「Bitcoinの量子移行における制約は暗号学ではなく、ガバナンスだ」とIvezic氏は述べた。「BIP-360、BIP-361、SHRINCS、STARKsの間で、エンジニアリング上の選択肢は急速に増えている。Bitcoinに欠けているのは、時間切れになる前にその中から選ぶ仕組みだ」