Zcashのフルノードを開発するZakuraは、透明アドレスの使い回しを避け、PIRとハッシュベース署名を組み合わせる耐量子構想を公表した。狙いは、公開鍵の露出とウォレット照会時のアドレス紐付けという別々のリスクを同時に減らすことだ。 ただし、対象はZcashの透明決済であり、ネットワーク全体への有効化日や正式な合意はまだ示されていない。現時点では「実装方針と実験機能」であって、量子攻撃への完全な防御が完成したというニュースではない。
Zakuraが公表した耐量子構想の概要
Decryptが2026年10月11日に報じたのは、Zcashフルノード開発チームZakuraによる透明決済向けの防御案だ。Zakuraの技術記事では、取引ごとに新しい透明アドレスへ切り替える「アドレスローテーション」、照会対象をサーバーに明かさないPIR（Private Information Retrieval）、そしてWOTSのようなハッシュベース署名を組み合わせる方針が説明されている。
Zakuraは、耐量子署名を検証するためのオペコードが2027年1月にZcashへ入る見通しだとしている。しかし、これはネットワークでの有効化日を意味しない。Decryptも、いつどのアップグレードで全ノードの合意ルールになるのかは未確認だと報じている。したがって、ZEC利用者は「1月に自動的に全資産が耐量子化される」と解釈すべきではない。
この議論の背景には、Ethereum研究者Justin Drakeが提起した「バンカーモード」がある。AIによる数学研究の進展が、量子コンピューターより先に楕円曲線署名の安全性を揺るがす可能性を想定し、未使用の新しいアドレスへ資産を移す準備を検討する考え方だ。ただし、現時点でAIがBitcoinやEthereumの署名を実用的に破った事実を示すものではなく、将来リスクに備えるシナリオとして読む必要がある。
なぜ透明アドレスの公開鍵を隠すのか
Zcashには、情報を公開する透明アドレスと、送信者・受信者・金額などを秘匿するシールド型アドレスがある。公式ドキュメントによれば、透明アドレス間の取引では価値の移動が公開され、仕組みはBitcoinのアドレスに近い。一方、シールド型取引ではゼロ知識証明を用い、ノードが正当性を検証できる状態を保ちながら取引情報を秘匿する。
Zakuraが今回焦点を当てるのは透明側だ。標準的な透明アドレスには公開鍵そのものではなく、そのハッシュが含まれる。受け取りだけに使われ、まだ支出していない間は、基礎となる公開鍵がチェーン上に現れない。ところが、そのアドレスから支出すると署名とともに公開鍵が公開される。将来、楕円曲線暗号の公開鍵から秘密鍵を復元できる攻撃が現れた場合、公開鍵が露出したアドレスほど検討対象になりやすい、というのがZakuraの問題設定である。
そこで、支出後の残高や今後受け取る資金を別の新規アドレスへ移し、未公開の別公開鍵をハッシュの背後に置く。HDウォレットでは一つのシードから複数の鍵を導出できるため、毎回新しいウォレットやシードを作る必要はない。ただしZakuraは、拡張公開鍵やUnified Full Viewing Keyの透明部分を共有すると、複数の公開鍵情報を露出し得る点にも注意を促している。
アドレスローテーションだけではプライバシーが漏れる
新しいアドレスを使い続ければ、オンチェーン上の単純な再利用は減らせる。しかし、Vizorのような軽量ウォレットは、入出金や残高を復元するためにサーバーへ多数のアドレスを照会しなければならない。通常の照会で「アドレスA、B、Cを検索してほしい」と同じサーバーへ送れば、チェーン上では別々に見えるアドレスが同一利用者のものだとサーバー側に推測される。
ここで重要なのは、通信の暗号化だけでは解決しないことだ。TLSなどで経路を保護しても、リクエストを処理するRPCサーバーは照会対象を読める。Zakuraが「lookup leak」と呼ぶのは、このウォレット同期層から生じる紐付けだ。Zcashの透明取引自体が公開であることとは別の漏えい面であり、アドレスを替えるだけでは運用上のプライバシーは完成しない。
利用者側では、取引所やブリッジの入出金履歴、アドレス再利用、ウォレットの同期先も合わせて考える必要がある。たとえばZECを中央集権型取引所から出金してからDeFiへ接続する場合、チェーン外の本人確認情報や預入記録までPIRが消すわけではない。Zakuraの仕組みは、RPC照会先が複数アドレスを束ねる問題を抑えるものであり、すべての追跡可能性をなくす機能ではない。
PIRはウォレット照会をどう隠すのか
PIRは、データベースから特定レコードを取得しながら、どのレコードを選んだかをサーバーに知らせにくくする暗号技術だ。Zakuraの設計では、確認済みの透明アクティビティをブロック範囲ごとのシャードに分ける。Vizorウォレットは、支払いスクリプトを端末内でハッシュし、候補位置を計算したうえでPIR照会を行うため、サーバーは選択された位置を把握しない。
さらに、各シャードが公開するコンパクトなアクティビティフィルターを端末へダウンロードし、関係しそうな範囲だけをローカルで判定する。候補がある場合に限ってPIR照会を行い、受取・支出履歴を復元する。残高がゼロになった古いアドレスも、過去に受け取ってから支出またはシールド化した履歴があるため、シードからの復旧時には確認が必要になる。
Zakuraは、Vizorの設定にある「Private queries」から実験的な透明PIRを試せるとしている。ただし、実験機能の性能、サーバー運用の分散性、障害時のフォールバック、モバイル端末での負荷などは、実利用前に個別確認が必要だ。PIRが守るのは照会内容であり、Zcashの透明トランザクションをシールド型へ変えるものではない。
WOTSが担う役割と実装上の注意点
WOTSはWinternitz One-Time Signatureの略で、ハッシュ関数を基礎にする一回限りの署名方式である。RFC 8391はWOTS+をXMSSの主要構成要素として定義し、既知の量子コンピューター攻撃に耐えるハッシュベース署名の特徴を説明している。楕円曲線上の離散対数問題に依存しないため、Zakuraは既存の楕円曲線署名に対する「退避経路」として組み合わせる構想を示した。
一方、「一回限り」という性質は運用を難しくする。同じWOTS鍵を誤って再利用しないための状態管理、バックアップから復元した際の署名済み鍵の判定、署名サイズや検証コスト、ウォレットとフルノード双方の互換性を詰める必要がある。BitcoinやEthereumで一般的な署名を単にWOTSへ置き換えれば済む話ではない。
また、Zakuraの記事は「オペコードを追加する計画」を示した段階だ。Zcashの合意ルールとして採用するには、仕様の固定、実装、レビュー、テスト、ネットワークアップグレードに向けた合意形成が必要になる。利用者が確認すべきなのは、発表時期だけでなく、正式なZIPやリリースノート、対応ウォレット、実際の有効化ブロックが公開されたかどうかである。
DEX・DeFi利用者が確認すべき実務ポイント
Zcashの耐量子構想は、UniswapやAaveのスマートコントラクトを直接更新するものではない。ZECをラップ資産やブリッジ経由で別チェーンのDEX・DeFiに持ち込んだ場合、資産の管理鍵、ブリッジの署名方式、接続先チェーン、ウォレット認証はそれぞれ別のセキュリティ境界になる。Zcash側の透明アドレスをローテーションしても、ラップ資産のカストディやEthereum側アカウントまで自動的に耐量子化されるわけではない。
実務では、第一に利用中のZcashウォレットがPIRとアドレスローテーションに対応しているか、第二に透明アドレスとシールド型アドレスのどちらを扱っているか、第三に取引所・ブリッジ・DEXへ移す過程でどの公開情報が残るかを分けて確認したい。Vizorの実験機能を試す場合も、少額での送受信、復元手順、バックアップ、同期先の表示を確認し、主要資金を移す前に運用上の制約を把握するのが妥当だ。
今回の発表を相場材料だけで評価するのも適切ではない。技術的な評価軸は、オペコードが正式仕様になったか、Zakura以外の実装が相互運用できるか、監査やテスト結果が公開されたか、透明プールからシールド型プールへの移動を含めて利用者体験が破綻しないか、という点にある。
まとめ
Zakuraの提案は、Zcashの透明アドレスについて、公開鍵の露出を減らすローテーション、照会時の紐付けを防ぐPIR、楕円曲線暗号に依存しないWOTS系署名を組み合わせるものだ。三つは同じ問題を解く機能ではなく、鍵の露出、サーバー側のプロファイリング、将来の署名破りという異なるリスクを分担して抑える。
ただし、Vizorで試せるのは実験的なPIRであり、耐量子署名オペコードのネットワーク有効化日は未確定だ。対象も透明決済に限られ、Zcashのシールド型取引、Bitcoin、Ethereum、Uniswap、Aave、ブリッジの鍵管理を一括で保護するものではない。今後は、Zcashの正式仕様、ノード実装、ウォレット対応、ネットワークアップグレードの確定情報を追い、構想と稼働済み機能を区別して評価する必要がある。
