イーサリアムのEIP-8288、耐量子署名をまとめて検証へ　ブテリン氏が支持

イーサリアムの共同創設者ヴィタリック・ブテリン氏は2026年10月19日、暗号処理を利用者側で実行・証明し、証明を集約してブロックチェーンで検証する構想を支持した。中核となる改善提案「EIP-8288」は、耐量子署名やSTARK証明の検証コストと、チェーンに記録するデータ量の削減を目指すドラフトだ。

ブテリン氏はこの方向性を「EIP-8288 maximalism」と呼び、新しい暗号方式に対応するたびに専用機能を実行クライアントへ追加する負担を減らすべきだと訴えた。ウォレットやプライバシー機能で多様な暗号を使えるようにしながら、ネットワーク全体が処理する情報を小さく保つ発想である。

■プリコンパイルの保守負担を減らす

プリコンパイルは、イーサリアムの実行クライアントに組み込まれた専用の処理機能だ。Geth、Nethermind、Besu、Erigonなどが共通の仕様を実装し、スマートコントラクトから呼び出せるようにしている。楕円曲線署名の検証や剰余べき乗などを、汎用のEVM命令だけで処理する場合より低いガス消費量で実行できる。

新しいプリコンパイルの追加には、ハードフォークによるプロトコル変更が必要になる。各クライアントは同じ入力に対して同じ結果を返す必要があり、実装の食い違いはチェーン分岐の原因になり得る。対応する暗号処理が増えるほど、保守や検証の対象も広がる。

EVMの実行を暗号学的な証明で確認するzkEVMにとっても、プリコンパイルは開発上の負担になる。EIP-8200の説明では、個々のプリコンパイルに専用の最適化実装が必要になることが、実装を難しくする要因として挙げられている。

こうした負担を減らす試みは以前からある。ブテリン氏らによる2024年のEIP-7666は、入力をそのまま返すidentityプリコンパイルを、同等のEVMコードに置き換える案だ。2026年3月作成のEIP-8200は、RIPEMD-160、MODEXP、BLAKE2fの3つへ同じ手法を広げることを提案している。

処理負荷とガス設定の調整は、ネットワークの安全性にも関わる。イーサリアムは2016年9～10月のサービス拒否攻撃を受け、同年10月18日のTangerine Whistleと11月22日のSpurious Dragonで、命令のガス設定変更や状態データの整理などを実施した。

■署名や証明をメンプールで集約

EIP-8288は、ブテリン氏とEthereum Foundation（EF）の耐量子研究者トーマス・コラジェ氏が共同執筆した。仕様の作成日は2026年6月3日で、9月9日にEIPリポジトリへ取り込まれた。2026年10月20日時点のステータスはドラフトである。

提案は、EIP-8141の「Frame Transaction」を拡張する。Frame Transactionは、取引の認証、手数料支払いの承認、操作の実行を、フレームと呼ぶ一連の処理に分ける仕組みだ。EIP-8288では、署名などの検証条件を宣言するフレームを追加する。

取引には、検証方式の識別子、対象データのハッシュ、検証鍵に対応する情報を記録する。署名や証明の本体は、未承認取引を保持・伝播するメンプールで取引とともに扱い、集約処理へ渡す。これにより、個々の大きな署名や証明をブロックへ直接収録する負担を減らす。

STARKは、計算が正しく実行されたことを示す暗号学的な証明技術である。メンプールのノードは署名や証明を検証し、その結果を示す証明を再帰的にまとめる。仕様では集約間隔を1000ミリ秒とし、ブロックには対象取引の検証条件を満たす単一の再帰的STARKを含める設計を示している。

現行ドラフトで有効な検証方式は、ハッシュベース署名のleanSPHINCSだ。汎用的な証明を扱うleanSTARKの識別子も用意されているが、この経路は予約扱いで、追加の定義が必要になる。ほかの署名方式を利用者側でSTARKに包み、共通の集約経路へ渡す構想は、この拡張に関わる。

■コスト試算は署名検証と取引全体を分けて読む

EIP-8288の説明では、検討中のハッシュベース署名は約2～3KBで、直接検証には約15万～20万gasを要するとしている。格子ベース署名も同程度のコストになるという。STARK証明については128KB超、高速生成を重視する場合は最大512KB程度となり、直接のオンチェーン検証には数百万gasを要すると説明している。

2026年10月20日時点のドラフトでは、leanSPHINCSの検証料金を1件3000gas、leanSTARKを1件3万gasとする定数が置かれている。これらは検証処理に対する提案上の料金であり、取引全体には基本料金や実行処理なども加わる。

より大きな削減幅が想定されているのが、耐量子性を備えたプライベート取引だ。NADA NEWSが報じた9月のブテリン氏の説明によると、約1000万gasを要するこうした取引を、EIP-8288によって数万gas程度まで抑えられる可能性があるという。この比較では削減率が99％を超える。

比較の目安として、単純なETH送金の基本的なガス消費量は2万1000gasだ。証明の集約によって大きな署名や証明を個別にチェーン上で扱う負担を減らすことが、耐量子ウォレットやプライバシー機能の低コスト化につながる。

■ハッシュ方式と格子方式を巡る議論

耐量子暗号への移行では、どの方式を採用するかも重要な論点となっている。米国立標準技術研究所（NIST）は2024年8月13日、格子ベースの署名方式ML-DSAと、ハッシュベースの署名方式SLH-DSAを標準化した。両者は異なる数学的基盤を持つ。

Crypto Front Newsによると、a16zは2026年10月、格子暗号の活用を支持し、ハッシュ方式に偏った設計ではハードウェアウォレットや機関向けセキュリティーシステムとの互換性が課題になると主張した。暗号方式の選択には、安全性に加えて既存機器や運用との接続も関わる。

同メディアによると、StarkWareの最高経営責任者イーライ・ベンサソン氏は、格子暗号の数学的構造に対するAIを使った解析の可能性や、一部の簡潔な構成の成熟度に懸念を示した。同氏は多額の資産を委ねる前に、さらに3～5年の評価期間を置くべきだと主張している。

また、ガブリエル・シャピロ氏は、競合ネットワークが格子暗号の採用を訴求し、対外的な優位性につなげる可能性に言及したと、Crypto Front Newsは報じた。同氏は調べた結果、イーサリアムの用途には現在の方向性が最善だと考えたとも述べている。

ブテリン氏は、格子暗号の安全性評価が進めば、アカウントやウォレット向けにプリコンパイルで対応する選択肢にも言及している。同氏がEIP-8288で描くのは、多様な暗号処理を利用者側で証明し、共通の検証基盤へ接続する構想だ。方式ごとの選択をアプリケーション側へ広げる余地がある。

■耐量子ロードマップとの調整

EFの耐量子チームが公開する計画では、I*でバリデーターの耐量子公開鍵登録、J*で耐量子署名の検証用プリコンパイルを導入する段階が示されている。実行層では、アカウント抽象化によって利用者が段階的に認証方式を移行する方針だ。アカウント抽象化は、認証や手数料支払いの条件をプログラムで定義できるようにする仕組みである。

一方、EFのProtocol部門が9月7日に公表した計画では、2029年12月までに実行層、合意形成層、データ層を耐量子化する目標を掲げている。年1回の更新ペースでは、J*で最小限の耐量子対応に到達する想定だ。より完全な対応へ向けては、約9カ月など、さらに短い更新間隔も検討している。

基盤となるEIP-8141について、同部門はHegotáの実行層の主要項目として選定済みと説明している。Hegotáの実装開始は2026年第4四半期後半を現実的な時期として挙げ、I*、J*と連続する開発工程として計画している。

ブテリン氏は9月、Hegotáに続くI*へのEIP-8288採用を希望すると表明した。署名用プリコンパイルと証明集約をどのように組み合わせるかは、今後の仕様設計とアップグレードの範囲に関わる。EIP-8288では、集約証明の検証鍵などにも未確定項目が残る。

■暗号方式の選択をアプリケーションへ広げる

EIP-8288の構想が持つ意義は、専用のプリコンパイルを増やす頻度を抑えつつ、ウォレットやアプリケーションが使う暗号方式を増やせる点にある。新しい方式の検証を共通の証明形式へ変換できれば、開発チームはその対応ソフトウェアを提供することで利用範囲を広げられる。

この方向性は、EFがFrame Transactionについて説明する「暗号方式ごとのハードフォークを必要とせずに認証方式を変更する」という目標にも通じる。プロトコル共通の検証基盤と、利用者が選ぶ認証方式を分けることが、暗号技術の更新を柔軟にする。

実装には、集約回路が正しい検証を行うことや、再帰的な証明の安全性を確保することが重要になる。EIP-8288の仕様は、メンプールへのサービス拒否攻撃対策として署名・証明の件数制限などを設けている。集約を担うノードやブロック構築者の計算・通信負荷も、検証対象となる。

今後の焦点は、未確定の仕様を詰め、実装と試験を通じて採用に必要な合意を形成することだ。EFが示す開発工程では、研究、EIP、試作、開発用ネットワークでの検証を経て、AllCoreDevsで採用の確度を高めていく。EIP-8288はその過程にある提案であり、耐量子対応とプライバシー機能を共通の証明基盤で支える方向を示している。

元記事: Ethereum Precompile Replacement Plan EIP-8288 Would Cut Quantum-Safe Transaction Costs by 99%