量子耐性ブロックチェーンで手数料削減とネットワーク肥大抑制へ

署名の排除：96バイトのオンチェーンフットプリント

長年にわたり、暗号学界は量子コンピューティングとブロックチェーン技術の衝突が差し迫っていることを警告してきました。この脅威の背景にある数学的根拠は単純明快です。ビットコインの取引からスマートコントラクトに至るまであらゆるものを保護しているECDSAのような公開鍵アルゴリズムは、量子ハードウェアが成熟すれば、もはや十分なセキュリティを提供できなくなるでしょう。

しかし、提案されている解決策は、しばしば「病」そのものとほぼ同等の危険性をはらんでいるように見えました。ポスト量子暗号方式は、常に肥大化した署名や膨大なゼロ知識（ZK）証明を生成します。このデータの爆発的な増加は、ピアツーピアネットワークを詰まらせ、マイナーに過大な負荷をかけ、取引手数料を押し上げる恐れがあります。

しかし、新たなアーキテクチャのパラダイムが、量子セキュリティとネットワークのスケーラビリティというゼロサムのトレードオフを打破する可能性を秘めています。 暗号研究者のドラゴス・イリエ氏がインペリアル・カレッジ・ロンドンのチームと共に先駆的に開発した「コンパクト・シールド・クライアントサイド・バリデーション（CSV）」は、ポスト量子暗号へ移行する際に法外なガス料金やネットワークパフォーマンスの低下を受け入れる必要がないことを実証しています。

実際、所有権の証明方法を再考し、検証作業をユーザーのデバイスに直接オフロードすることで、このプロトコルは、今日のレガシーブロックチェーンよりもはるかに軽量なオンチェーンフットプリントを実現しています。

量子スケーラビリティ問題の核心には、従来の設計上の選択、すなわち、すべてのフルノードが検証できるよう、重いデジタル署名をパブリック台帳に保存するという方法があります。「コンパクト・シールド・CSV」は、オンチェーン署名を完全に廃止し、代わりに「デグリーファー」と呼ばれる新しい暗号学的構造を採用しています。

実際には、ブロックチェーンに記録される単一入力取引は、二重支払いを防ぐためのヌリファイア、トランザクション・コミットメント、そしてデグリーファーそのものの3つの簡潔な32バイトのハッシュ（合計わずか96バイト）で構成されます。

「デグリーファーとは、コインのヌリファイア、所有者の秘密鍵、そしてそのコインを支出するトランザクションに対するハッシュに過ぎません」とイリエ氏は説明した。「この小さなハッシュをオンチェーンに追加することで、送信者はこれに対するオフチェーンのゼロ知識証明を構築できるようになります。」

フロントランナーやグリーフィング攻撃の無力化

付随するZK証明の構築には所有者の秘密鍵をプライベート入力として必要とするため、悪意のある中継者やフロントランナーは数学的に行き詰まります。「攻撃者はトランザクションをフロントランすることはできますが、有効なZK証明を構築することはできないため、確実に利益を得ることはできません」とイリエ氏は指摘しました。

さらに、攻撃者が支出を遅らせるために競合するトランザクションをブロードキャストした場合でも、正当な所有者はその試みを容易に暴くことができます。 「ユーザーは、自身の実際の秘密鍵をヌリファイアでハッシュ化したものと攻撃者のトランザクションを組み合わせても、攻撃者が投稿した『デグリーファー』が生成されないことを示すことで、そのフロントラン攻撃が無効なグリフィングの試みであることをZK証明できます」とイリエ氏は強調しました。

したがって、世界中のすべてのノードに取引履歴のすべてを永久にダウンロード・実行・アーカイブさせるのではなく、Compact Shielded CSVは証明データの保存と検証の責任を取引に関与する特定のユーザーに移しています。

エンドユーザーの視点から見ると、Compact Shielded CSV上でウォレットを操作する感覚は、軽量なビットコインSPVクライアントを使用するのと似ています。「少なくとも1つの誠実なノードへの接続さえあればよいのです」とイリエ氏は述べました。着金を確認するために、ウォレットは証明の公開パラメータをオンチェーンデータと照合し、ZK証明をローカルで検証します。 例えばSTARKのZK証明の場合、スマートフォンであっても、 [verification] 100ミリ秒未満で完了します」と彼は付け加えました。

送金証明の生成にはやや多くの計算を要しますが、イリエ氏は証明回路が成熟するにつれて処理速度が向上すると見込んでいます。重要な点として、このアーキテクチャは定サイズ再帰的証明に依存しているため、過去の取引履歴の深さがエッジユーザーに不利益をもたらすことは決してありません。ポスト量子証明をオフチェーンで保存することへの懸念について、イリエ氏は次のように指摘しました。

「証明は確かに署名よりもサイズが大きく、生成や検証にも時間がかかりますが、それが負担となるのは、ネットワーク全体がそれらを保存・検証しなければならない場合だけです。これはクライアントサイドの検証プロトコルであるため、各ユーザーは自分自身が関心を寄せるコインのみを保存・検証・証明すればよく、非常に管理しやすいのです。」

ストレージ容量の規模を具体的に示すため、イリエ氏は「スマートフォンの写真1枚は、証明1つよりも20～40倍大きい」と述べ、さらに支払いの送信には「写真を送信するよりも少ない帯域幅とストレージ容量しか必要としない」と付け加えた。

ゼロ・ステート・ブロート

取引履歴が増加するにつれ、従来のエッジデバイスはしばしば「状態の肥大化」に悩まされます。しかし、Compact Shielded CSVの下では、ライトクライアントは自身の未使用コインに対する固定サイズのプルーフ以外の取引履歴を一切保存しません。 それ以外の処理、例えばヌリファイアに競合する支出があるかどうかを確認する場合は、単にフルノードやアーカイブノードにクエリを送信するだけです」とイリエ氏は指摘し、「履歴の増加はプルーフのサイズや検証時間に全く影響を与えません」と付け加えました。

量子耐性がネットワークの混雑や高額な手数料を招くという一般的な通説とは対照的に、イリエ氏はコンパクト・シールド・CSVが現在の非量子ネットワークよりもはるかに効率的であると主張しました。

「意外にも、私たちのスキームは従来のチェーンよりもはるかに軽量で高速であり、重くなることはありません。完全なポスト量子耐性を備えているだけでなく、現状と比較しても取引手数料は大幅に低く抑えられ、ネットワークの混雑もはるかに軽減されるでしょう。」