イーサリアムメインネット上でチェーンID 42069000として稼働するOP Stackロールアップ「BB84」は、ネットワークからトランザクション署名を完全に廃止し、従来型暗号に対する長期的な量子脅威を鈍らせることを意図した設計として、Lamport型ハッシュチェーンに置き換えた。このネットワークは9月30日以来メインネットで稼働している。創設者はHadamardというペンネームで公開しており、10月24日のEthereum Research投稿でこのシステムを説明し、批判的なフィードバックを求めた。

通常のイーサリアムアカウントはECDSA署名でトランザクションを承認するが、Shorのアルゴリズムを実行する十分に大型の量子コンピュータがこれを破る可能性がある。現在それが可能なマシンは存在しないものの、露出したウォレット鍵に関する警告により、開発者は代替手段を模索してきた。アカウントがトランザクションを送信すると鍵は公開される。ハッシュベースの構造は最も古い耐量子候補の一つでもある。Leslie Lamport氏は1979年にハッシュベースの署名方式を提案しており、NISTの2024年耐量子標準にはハッシュベース方式のSLH-DSAが含まれる。

1ステップずつ進むハッシュチェーンアカウント

各BB84アカウントは、keccak-256（イーサリアム自体が使用するのと同じハッシュ関数）で秘密情報を繰り返しハッシュ化して構築され、最後の値のみが公開される値のチェーンが生成される。支払いの際、ウォレットは現在位置の一つ前の値を公開し、誰でも一度ハッシュ化するだけで検証できる。その後ネットワークはその値を記録し、アカウントをチェーンの1ステップ下へ進める。

プロトコルのデフォルトはハッシュチェーンあたり1,000件の支払いで、BB84の開発者向けCLIは各使い切りアドレスに10ステップのチェーンを生成する支払い自体が失敗した場合でもステップは消費され、チェーンは従来型の署名付きトランザクションを拒否する。

支払いはブリッジされたUSDCとEURCのみで行われる。コミットとリビールの両トランザクションはユーザーにとって無料であり、支払い者は受取人ごとに新しい使い切りアドレスを作成する。

セキュリティのトレードオフ

投稿はこの設計の限界を明示している。ネットワーク内部のセキュリティはすべてkeccak-256の逆算の困難さに依存しており、Groverの量子探索アルゴリズムでも必要な演算量は約2^128に低下するだけである。ただし、アドレスは160ビットに短縮されており、アドレス自体の量子耐性は約2^80にとどまる。BB84のドキュメントはその但し書きなしに128ビットの耐量子セキュリティを謳っている。イーサリアムメインネット自体も依然としてECDSAであり、入金は通常のイーサリアムウォレットから始まり、出金もそこに支払われる。

記事執筆中に発見されたフロントランニングの欠陥

秘密情報を公開すると誰でも見られるため、監視者がそれをコピーして自分への支払いトランザクションに組み込む可能性がある。これを防ぐため、ウォレットはまずコミットトランザクションを送信し、秘密情報を見せることなく特定の支払いに固定する。デフォルトではリビールは5ブロック以内に続かなければならない。

弱点は、コミットに署名がない点だった。署名に使うものが存在しないためである。初期バージョンでは、新しいコミットが単に保留中のコミットを置き換えていた。保留中のリビールで秘密情報を発見した攻撃者は、その秘密情報を自身の支払いに結び付けるコミットに差し替えることができた。Hadamard氏は、チームが記事の執筆中にこの欠陥を発見し、10月21日に発効した新ルールで修正したと述べている。改正ルールでは、最初のコミットが有効となり、スロットは対応するリビールまたは期限切れの後にのみクリアされ、ウォレットはリビール前にコミットがブロックに取り込まれるのを待ち、公開RPCは保留中のトランザクションを公開しない。

修正で残る課題

Griefingは依然として可能である。誰でも無意味なコミットを投稿してアドレスを最大5ブロックの間ブロックできるが、資金を動かすことはできない。悪意あるシーケンサーも残存リスクである。正直なコミットが期限切れになったり、リビール待ちの間に再編成で除外された場合、秘密情報はロックされなくなる。現在、保留中のトランザクションを見られるのはBB84自身のシーケンサーのみである。

Hadamard氏は、コミットを置き換えるのではなく追記するより厳格な「ガイ・フォークス」ルールを提案しているが、未実装だと述べている。ドキュメントは投稿より further 進んで、コミットとリビールによりシーケンサーは出金を盗めないと明言している。

カウントを誤れないウォレット

各チェーンには固定のステップ数があるため、ウォレットは最後の支払いに新しいコミットメントを含めてチェーンを更新しなければならない。この手順を誤るとアドレス使えなくなる。カウントの維持も同様に重要である。Hadamard氏は、本番環境でアプリとチェーンの同期が崩れたことがあるとし、ウォレットはチェーンデータから再同期できる必要があるとしている。

秘密情報は依然として鍵と同様に保護する必要がある。CLIはウォレットファイルに支出鍵を暗号化せずに保存していると警告し、暗号化をロードマップ項目として挙げている。署名の廃止は支出の承認方法を変えるものであり、秘密情報を安全に保つ必要性をなくすものではない。

出金は運営者への信頼に依存

BB84にはフォルト プルーフがない。許可制のプロポーザーが、即時に解決するカスタムのディスピュートゲームを通じてネットワークの状態をイーサリアムに投稿しており、証明システムがないため、Hadamard氏はL2BEATのフレームワークではこのチェーンは「Stage 0にすら届かない」と記している。同フレームワークは、ユーザーが証明システムではなく運営者をどこまで信頼する必要があるかに応じてロールアップをStage 0からStage 2に格付けする。そのため出金はプロポーザーを信頼することになる。ドキュメントは依然として、出金は7日の成熟遅延を伴うOP Stackのフォルト プルーフフローに従うと説明しているが、Optimismの解説が示す通り、フォルト プルーフは誤った状態に異議を申し立てるために存在するものであり、ここではその待機期間中に異議を申し立てられるものが何もない。シーケンサーもBB84が運営している。

状況を変えうるもの

投稿は、単一のチェーンを超える問いで締めくくられている。最大のものは、ハッシュチェーンアカウントが汎用レイヤー2ネットワークにおいてEIP-7702型またはネイティブのアカウントアブストラクション検証モードになり得るかという点であり、それが実現すれば専用チェーンに移行することなくこのアイデアを利用可能になる。2025年5月のイーサリアムのPectraアップグレードから稼働しているEIP-7702は、通常のアカウントがスマートコントラクトコードを搭載できるようにするものである。Hadamard氏は、追加チェックはOptimismの既存のCannonツールで証明できるほど単純であること、追記専用のコミットルールがGriefingとシーケンサーの両ギャップを塞ぐこと、完全なルールを含むより長い論文がarXiv向けに準備中であることを付け加えている。イーサリアムのより広範な移行の取り組みは、量子ロードマップに示されており、バリデータ署名、データコミットメント、証明システムも対象としている。

本記事は情報提供のみを目的としたものであり、金融または投資助言を構成するものではありません。実験的なネットワークには技術的およびカストディ上のリスクが伴います。

出典：Coindoo