イーサリアム共同創設者のVitalik Buterin氏は水曜日、AI主導の数学の進展が、現在の署名方式に代わる有力な耐量子暗号である格子暗号を2年以内に蝕む可能性があると警告した。ただし、保有者に対しては、新しいウォレットへの資金移動を急がないよう注意を促した。

Buterin氏はXへの投稿で、多くの耐量子対応計画は楕円曲線が破られ、ハッシュと格子は耐えるという前提に立っていると述べた。そのうえで、「しかし、格子の具体的な安全性が今後2年間のAI数学によって深刻な打撃を受ける可能性は十分にある」と投稿で書いた。

同氏は、ML-DSA、完全準同型暗号、格子方式を主要な新たなリスク領域として挙げ、同じ圧力により、BitcoinおよびEthereumのウォレットで使われる署名方式ECDSAが予想より早く破られる可能性があると述べた。

格子暗号の鍵は長期的な安全性のため10倍のサイズ増が必要な可能性

Buterin氏は、数十年にわたる人間の労力を経て、RSA鍵の解読コストが現在は低下していることに触れ、ボットが曲線や格子に対して同様の近道をすぐに見つのではないかと問いかけた。AIが2年で50年分の数学を達成すれば、同じ安全性を保つために格子ははるかに大きな鍵を必要とするという。長期的なセキュリティにおける同氏の経験則は、鍵サイズを10倍にすることだ。

Ethereumの合理化されたロードマップは、過去1年間ハッシュのみに対応しており、署名はWOTSまたはSPHINCS-を採用し、ML-DSAやFalconは使用していない。サイズの差は大きい。secp256k1のECDSA署名は約64バイトだが、NISTが最終化したML-DSA-87の署名は約4,627バイトに達する（Cryptopolitan調べ）。署名はすべてのトランザクションとともにオンチェーンに保存されるため、この差は、より重い方式を採用するネットワークにとって実際のブロックスペースコストとなり、より大きな耐量子署名が困難なトレードオフであり続ける一因となっている。

OpenAIの722本の原稿公開を受け、Drake氏が「バンカーモード」を呼びかけ

Buterin氏は、イーサリアム財団の研究者Justin Drake氏への返信だった。Cryptopolitanによると、Drake氏は水曜日、業界に対し「『バンカーモード』の計画を冷静に開始する」よう呼びかけた。

Drake氏は、量子コンピュータが公開鍵暗号を解読する日であるq-dayの前にECDSAが破られる可能性があると述べ、最悪の場合、年単位ではなく数か月だとした。同氏の計画は、資金を、トランザクションに署名したことのないアドレスへ移動させるもので、最大の保有者から始める。そのようなアドレスは、最初の署名が行われるまで、公開鍵をハッシュの背後に隠す。この隠蔽こそが核心である。ECDSAの解読は公開鍵から始まるため、ハッシュのみを公開してきたアドレスは攻撃者に何もさらしていない。

Buterin氏は、切り替えが容易な場合にのみ新しいアドレスの利用を支持した。「今日、誰かが資金を新しいウォレットに急いで移動させることを推奨するものではない」と同氏は書き、失敗した移行で失った金額は、ハッキング被害の合計よりも多いと付け加えた。また、プライバシープロトコルは暗号化されたノートをオフチェーンに保ち、第三者経由で送信すべきであり、オフチェーンでの確認により、マルチシグウォレットが署名者の署名を公開の目から隠せるようになると述べた。

Drake氏はこの警告を、OpenAIが火曜日に公開した未発表の内部モデルによる722本の原稿（372ファミリーに分類され、ほとんどの証明はLean言語で書かれコンピュータによる検証が可能）に結びつけた。

7月、Anthropicは、同社のClaude Mythos Previewモデルが、NISTに提出された耐量子署名候補HAWKの鍵強度を60時間で50%低下させたと発表し、HAWKは実装ことがないため、この結果は稼働中のシステムには影響しないと述べた。両事例が残す問いは、AI支援による暗号解読が、候補方式や未公開モデルから、実際の資金を守る標準化された方式へと及ぶかどうかである。

Cryptopolitanによると、2026年5月時点で、Europolは公開鍵が可視の状態にあるオンチェーンのBTC約604万BTC（供給量の約30.2%）を引用している。まさに、署名履歴のないアドレスが守るよう設計された露出である。