ザクラ開発チーム、Zcashへの耐量子署名導入を1月に目指す

公開型のトランスペアレント取引が対象
関連ニュース

公開型のトランスペアレント取引が対象

暗号資産（仮想通貨）「ジーキャッシュ（Zcash：ZEC）」のフルノード用ソフトウェア「ザクラ（Zakura）」の開発チームが、耐量子署名を検証する機能の導入を来年1月に目指す計画を明らかにした。同チームが10月8日に公式Xで紹介した技術ブログに、同計画が記載されている。

今回の対象は、取引内容がブロックチェーン上で公開される「トランスペアレント取引」だ。ザクラのチームは、ハッシュベースの耐量子署名を検証する「オペコード（実行命令）」の追加を目指す。ただし、同ブログにはネットワークでの具体的な有効化日は示されていない。

ハッシュベースの署名は、暗号学的なハッシュ関数を利用する電子署名方式だ。同方式は、現在広く使われている楕円曲線暗号とは異なる仕組みで、量子コンピューターによる攻撃への耐性を備えるとされる。ザクラのチームは、同方式の例として「WOTS」を挙げている。

Zcashの標準的なトランスペアレントアドレスでは、資金を使用する際に公開鍵が開示される。残りの資金を公開鍵がまだ開示されていない新しいアドレスへ移せば、公開鍵の露出を減らせる。ただし、この対策はハッシュ関数の安全性が保たれることを前提とする。ザクラのチームは、このアドレスの使い分けとハッシュベースの署名を組み合わせる構想を示した。

一方、ウォレットが複数のアドレスの残高や取引履歴をサーバーに問い合わせると、サーバー側はそれらが同じ利用者のアドレスだと関連付けられる。この問題に対応するため、ザクラのチームは、照会対象をサーバーに明かさずに情報を取得する「PIR（Private Information Retrieval）」の仕組みも開発している。

同ブログによると、PIRの実験的な実装は、ジーキャッシュウォレット「バイザー（Vizor）」の設定で「プライベート・クエリーズ（Private queries）」を有効にすると試せるという。PIRが保護するのは残高や履歴の照会に関する情報で、トランスペアレント取引自体は引き続きブロックチェーン上で公開される。

今回の発表に先立ち、イーサリアム財団（Ethereum Foundation）の研究者ジャスティン・ドレイク（Justin Drake）氏は10月7日、AIによる数学研究の進歩で、暗号資産の電子署名を支える暗号技術が想定より早く破られる可能性を自身のXで警告していた。同氏は「バンカーモード」への備えとして、公開鍵がまだ開示されていない新しいアドレスへの段階的な資金移動を提案していた。

Here’s our plan for quantum-safe, unlinkable, rotating taddrs. Possible with Zcash, today. While others are worrying about the viability of rotating transparent addresses, we’re already solving linkability. https://t.co/LE0OOKUKgA
— Zakura (@ZakuraZcash) October 8, 2026

Today I call upon the blockchain industry to calmly begin planning for “bunker mode”. My personal recommendation is to set in motion a controlled mass migration of assets to fresh addresses, i.e. addresses whose pubkeys remain hidden behind a hash. Holders, starting with large and sophisticated ones, should consider moving the bulk of their funds to addresses that have never signed a transaction. And when they do sign one, they should also move remaining funds to a new address (possibly generated from the same seed phrase). Don’t rush. While I believe there is cause for action a rushed migration would do more harm than good. Don’t panic either. Moving assets to protected addresses is a simple, preventative step which does not require new cryptography or new wallets. IMO it is now reasonable to brace for the possibility that ECDSA breaks before qday, in the worst case in months not years. By “break” I mean fast private key recovery (e.g. in one week) on available hardware (e.g. a large GPU cluster). Recent days have been humbling for human mathematical intuition. Long-held, unquestioned hypotheses have fallen. This includes the n log(n) bound for integer multiplication and the 3SUM conjecture. In hindsight, May’s unexpected disproof of the Erdős unit distance conjecture was our warning shot. Yesterday’s OpenAI drop made it clear that mathematical superintelligence is upon us. They say there are weeks where decades happen. We are about to live through weeks where centuries of mathematical progress happen. Could our magic 64-byte ECDSA signatures be too good to be true? Was it just security through obscurity all this time? Elliptic curves feel especially vulnerable to superintelligence. Curves carry rich structure, with room for fancy tricks like Schoof, Frobenius, pairings. (By contrast, hashes are designed to minimise algebraic structure.) Separately, as Ewin Tang can attest, an efficient quantum algorithm sometimes foreshadows an efficient classical one. We should be open to the possibility of a classical counterpart to Shor that breaks elliptic curves and RSA at once. Also noteworthy is the striking under-representation of cryptographic breakthroughs among the 722 mathematical results OpenAI published. I’ve witnessed first-hand the US government censoring academic quantum cryptanalysis results. Backroom interventionism is my base case. I urge large, sophisticated actors to lead by example. Project11’s “risq list” (bitcoin-risq-list.projecteleven[.]com) is a great tracker of exposed BTC pubkeys. Binance, Bitbank, Robinhood, Bitfinex, and Tether have an opportunity to harden their cold storage. Next month I’ll address institutions in London in a live Q&A (forum.ethereuminstitutional[.]org/london-2026). Again, please do not rush. Wallets holding under 50 BTC enjoy partial cover from “Satoshi’s shield”, i.e. his 20K exposed addresses that hold 50 BTC each. Load-bearing signers like oracles and L2 security councils should consider rotating ECDSA pubkeys with every signed message and/or multi-signing with a hash-based schemes like SPHINCS. Exiting bunker mode safely will require post-AI cryptography. My inclination is to go all-in on hash-based cryptography and avoid structured mathematical assumptions entirely, whether from curves, lattices, or isogenies. A single battle-tested hash (e.g. from the SHA or BLAKE families) yields plausible post-AI security. The Ethereum roadmap on strawmap[.]org fully embraces hash-based cryptography with end-to-end formal verification as a response to the quantum threat. Those timelines must now be revisited and accelerated in light of mathematical superintelligence. I’ll be pushing for maximum defensive acceleration.
— Justin Drake (@drakefjustin) October 7, 2026

参考：ザクラ公式ブログ
画像：PIXTA