その鍵は、いつまで安全か。
量子コンピュータへの備えとして、SolanaはFALCONという新しい署名方式に向かっています。その全体像を、図とアニメーションで。
量子はまだ数年先。もし現実になっても、Solanaを移行させる作業はすでに研究され、理解され、いつでも実行できる状態にある。
SOLANA FOUNDATION / ANZA / FIREDANCER — 2026.04.27
まだ数年先。でも、ゼロではない。
Anzaの見立てでは、鍵を破れる量子コンピュータが5年以内に現れる確率は3〜5%。小さい。けれど「無視できる」から動いた数字です。
別々に調べて、同じ答え。
主要クライアントを開発する2チームが、互いに独立して研究し、どちらもFALCONに行き着きました。実装はすでにGitHubにあります。
手順は、もう決まっている。
研究を続ける → 新しい財布から切り替える → 既存の財布を移す。いまは第1段階。ユーザーが今日やることはありません。
どこから読んでも大丈夫です。
なぜ、鍵は破られるのか。
一方通行だったはずの計算が、量子コンピュータの上では往復できてしまう。その距離感を、数字で確かめます。
行きは一瞬。帰りは、道がない。
秘密鍵から公開鍵は、すぐに計算できます。けれど公開鍵から秘密鍵へは戻れない。この一方通行が、いまあなたの資産を守っている仕組みそのものです。
量子コンピュータはShorのアルゴリズムを使い、この逆算を現実的な時間で解いてしまいます。Solanaが署名に使っているEd25519も、この対象です。ただしそれは、十分な規模の量子コンピュータが完成した場合の話です。
必要な量子ビットが、減ってきている。
脅威が近づいた理由は、量子コンピュータが急に大きくなったからではありません。同じ計算をより少ない量子ビットで済ませる方法が、次々と見つかっているからです。
※縦軸は対数目盛です。3つは前提となる解読時間が異なります（数分／数日）。いずれも論文上の理論値で、この規模の実機はまだ存在しません。
ただし、実機はまだ「21」。
実際の量子コンピュータがShorのアルゴリズムで素因数分解に成功した最大の数は、21です。2012年のことでした。破るべき相手は、256ビットの楕円曲線。
※素因数分解と離散対数は別の問題ですが、規模の隔たりを示すために並べています。Anzaもこの差を「依然として非常に大きい」と表現しています。
数字にすると、こうなる。
Anzaによる現時点の見立てです。以前は「無視できる」とされていた数字が、ほんの少しだけ手前に動きました。動いたのは確率であって、脅威そのものではありません。
※中性原子方式の進展が現在のペースで続いた場合の見積りです。確率は今後の研究次第で上下します。
今日、あなたがやることはありません。
ウォレットの設定を変える必要も、資産を移す必要もありません。けれどこの数字は、設計を始めるには十分でした。慌てて決めずに済むうちに決めておく——それが、Solanaがいま動いている理由です。
FALCONとは何か。
格子の上に立つ署名方式。署名は10倍大きく、しかし検証は速い。その非対称性が、Solanaに向いている理由です。
名前が、そのまま設計になっている。
FALCONは隼のことではなく、頭文字を並べた名前です。何を大事にして作られたかが、名前だけで分かります。
FAst-Fourier Lattice-based Compact signatures over NTRU
速さの出どころ
高速フーリエ変換という計算手法を土台にしています。ここが、後で出てくる「検証の速さ」につながります。
安全さの土台
楕円曲線ではなく「格子」という数学に乗せ替えます。NTRUは、その格子の具体的な形の名前です。
小ささへのこだわり
NISTが標準化を進める3つの署名方式のなかで、署名がいちばん小さい。帯域を食うブロックチェーンでは、これが決め手になりました。
格子とは、点が規則正しく並んだ空間。
FALCONの安全性は、この空間の「ある問題」が解けないことに寄りかかっています。まず2次元で、その問題を体験してみてください。
赤い点にいちばん近い格子点はどれでしょう。青い点をタップしてみてください。
2次元なら、目で見て一瞬です。けれどFALCON-512が扱うのは、1,024次元の格子。その広さでは「いちばん近い点」を効率よく見つける方法が、いまだに知られていません。量子コンピュータを使っても、です。
「1,024次元」って、そんなものが存在するの？
結論から言うと、ここでいう「次元」は、空間や時間の話ではありません。タテ・ヨコ・高さ・時間……と数えていく、あの次元とは別ものです。数学でいう次元は、もっとそっけない意味です。
1つの点を指すのに、数字がいくつ必要か。それだけです。
つまり1,024次元の点とは、数字を1,024個ならべたリストのことです。宇宙のどこかに1,024次元の空間が必要なわけではありません。エクセルの1行に1,024個の数字が並んでいる、と思えばそれで合っています。
FALCON-512という名前の512は、この方式が扱う数の個数です。格子としてはその2倍の1,024次元になります。ちなみに「◯次方程式」の次は英語ではdegreeで、こちらのdimensionとは別の言葉です。
※楕円曲線はShorのアルゴリズムで破られますが、格子の問題にはそれに相当する量子アルゴリズムが見つかっていません。これがポスト量子暗号の拠りどころです。
代償は、大きさ。
FALCONは「小さい」ことが売りの方式です。それでも、いま使っているEd25519と比べれば桁が変わります。
※両方のグループを同じ目盛りで描いています。バーの長さがそのままバイト数の比です。
その大きさは、いまの箱に入らない。
Solanaのトランザクションには容量の上限があります。FALCONの署名と公開鍵を足すと、その上限を超えてしまう。だから箱のほうを広げる提案が、先に進んでいます。
※1,563 Bは署名666 Bと公開鍵897 Bの合計で、署名者ひとり分です。実際のトランザクションには宛先や命令も入るため、必要な余白はもっと大きくなります。
遅いのは署名。速いのは検証。
FALCONは、作るのが難しく、確かめるのは簡単という、めずらしい形をしています。この偏りが、Solanaにとって都合がよいのです。
浮動小数点のフーリエ変換とガウシアンサンプリングを使うため、正しく実装するのが難しい方式です。実際、消費電力から鍵を読み取る攻撃が実機で成功しています。NISTでの標準化が遅れた理由もここにあります。
実測では1回 約0.2ミリ秒。Ed25519の10倍以上ですが、人が気づく差ではありません。厄介なのは待ち時間ではなく、正しく書く難しさのほうです。
こちらは整数の計算だけで済み、実装も複雑ではありません。Firedancerの計測では、Ed25519より短い時間で検証が終わっています。
同じ計測で1回 約0.05ミリ秒。ブロックに詰まれた何百件もの署名を、次々に確かめていく側です。
署名を作るのは、あなたの手元で一度きり。確かめるのは、ネットワーク全体で何度も。
重い作業が、回数の少ない側に寄っている。
「浮動小数点のフーリエ変換」「ガウシアンサンプリング」って何？
FALCONは、数字を512個ならべたかたまり（多項式）どうしをかけ算します。素直にやると、全部の組み合わせで 512 × 512 = 262,144回 の計算が必要です。
高速フーリエ変換（FFT）は、この計算を組み替えて 約4,608回 に減らす技です。約57分の1になります。
「浮動小数点」は、小数を使う計算のことです。整数の計算とちがって、ごくわずかな誤差がどうしても出ます。その誤差が積み重なると結果がずれるため、扱いに神経を使います。Dilithium（ML-DSA）が整数だけで済むのに対し、FALCONがここでつまずきやすいのはこのためです。
署名を作るとき、FALCONは乱数を混ぜます。このときどんな形で乱数を選ぶかが決定的に重要です。
サイコロのように平らに選ぶと、できあがった署名に秘密鍵のクセが残ってしまう。署名をたくさん集めれば、そこから鍵が復元できてしまいます。
この釣鐘型（ガウス分布）に正確に従って乱数を選ぶことを、ガウシアンサンプリングと呼びます。形がわずかに歪むだけで、鍵が漏れます。実際、初期の実装で分布がずれていて、署名から秘密鍵の情報が漏れる不具合が見つかり修正されました。
そして、この釣鐘を作る処理は消費電力や処理時間に痕跡を残します。そこを外から観測して鍵を盗むのが、本文で触れたサイドチャネル攻撃です。
まとめると——FALCONの難しさは、この2つに集中しています。そしてどちらも「署名を作る側」だけの話で、確かめる側には出てきません。だから検証は整数計算だけで、速くて単純なままでいられるのです。
※署名はウォレットやバリデータが自分の手元で行うため、監査済みの安全な実装を選べます。Firedancerは参照実装より2〜3倍速い検証実装を開発し、監査を予定しています。実測値はブロックチェーン環境での測定例（Falcon-512：署名206マイクロ秒／検証52マイクロ秒）によります。測定環境によって数値は変わります。
ほかの候補と、並べてみる。
ポスト量子の署名方式はFALCONだけではありません。それぞれに得意と不得意があり、Solanaは「小ささ」を最優先しました。
※出典はFiredancerの比較表です。検証時間は数値が小さいほど速いことを表します。Dilithium2の署名は目盛りの上限にあたります。
まだ、決まったわけではない。
AnzaもFiredancerも、特定の方式に約束したわけではないと明言しています。ポスト量子暗号の研究はいまも動いていて、SQIsignの検証がもし速くなれば、有力な対抗馬になります。急いで決めないことも、設計のうちです。
守るべき場所は、4つ。
アカウント、ブロック伝播、コンセンサス、そしてプログラム。楕円曲線は、Solanaのあちこちに埋まっています。
財布だけの話ではない。
量子コンピュータの影響を受けるのは、あなたの署名だけではありません。Solanaが楕円曲線を使っている場所は4つあり、壊れ方もそれぞれ違います。ひとつずつ見てください。
あなたがトランザクションに署名するときの方式です。アドレスは、そのまま公開鍵になっています。
dAppは、これらの検証機能をsyscallとして呼び出せます。マルチシグや預かり資産の権限判定に使われています。
移行のときには、古い楕円曲線のsyscallは順に無効化される見込みです。
ブロックは「シュレッド」という小さな断片に分けて配られます。その断片一つひとつに、リーダーが署名しています。Gossip や QUIC でも同じ方式が使われています。
なぜ「止まる」の？ 偽物を無視すればいいのでは？
無視したいのですが、本物と偽物を見分ける唯一の目印が、リーダーの署名なのです。各ノードは断片を受け取ると、署名を確かめ、本物と判断したものだけを次のノードへ転送します。検査はこの1つだけです。
署名が偽造できるようになると、この検査が意味を失い、2つのことが同時に起きます。
① ネットワーク自身が偽物を運んでしまう。検査を通った断片は各ノードが誠実に転送するため、偽物がネットワークの手で増幅されます。帯域はブロックを運ぶ余力ごと食い潰されます。
② ブロックが組み立てられなくなる。同じ番号の断片に「本物」と「偽物」の2種類が届くと、ノードはどちらを材料にブロックを復元すべきか判別できません。欠けを補う訂正の仕組み（消失訂正符号）も、偽の材料を混ぜられると正しく働きません。
ブロックが完成しなければ、そのスロットは飛ばされ、次のブロックも前提を失います。資産は1円も動いていないのに、チェーンが前に進めなくなる。これが「止まる」の中身です。
次の合意の仕組みAlpenglow（2026年7月時点でテスト段階、メインネット有効化を準備中）では、バリデータの投票がBLS署名になります。BLSは何千もの署名を1つにまとめられるのが強みで、その性質で証明書を作る設計です。
なお、トランザクション用と合意用で別の方式を採る道も残されています。トランザクションにEd25519、合意にBLSと役割で使い分けるAlpenglowの設計と、同じ考え方です。
※出典はAnzaの整理です。ブロックの配信にはTurbineのほか、Alpenglowで導入されるRotorも含まれます。
ひとつだけ、はじめから安全なものがある。
SolanaにはPDAという特殊なアドレスがあります。プログラムが所有するアドレスで、これは量子コンピュータの影響を受けません。理由は拍子抜けするほど単純です。
← アドレスから秘密鍵へ、量子コンピュータなら逆算できてしまう
狙われる逆算しようにも、その先に秘密鍵がない
もともと量子安全※PDAはプログラムだけが操作できるアドレスで、対応する秘密鍵がそもそも作られません。破るべき鍵が存在しないので、量子コンピュータの攻撃対象になりません。
「量子耐性ボールトに入れれば安心」ではない。
Solanaにはすでに量子耐性のボールトが動いています（第6章）。ただしAnzaは、それだけでは足りないとはっきり書いています。守れる範囲が、思ったより狭いのです。
資産を金庫に移しても、その金庫を開けるための手数料は、外の財布から出ていく。
そして外の財布は、無防備なまま。
※Solanaでは手数料の支払いは通常のアカウントが行い、ユーザー定義プログラムであるボールトは手数料の支払い元になれません。プロトコル本体を直さないかぎり、手数料を払うアカウントは狙われ続けます。
つまり、やることはこれだけある。
Anzaが公開しているチェックリストです。署名方式を差し替えるだけでは終わらず、アドレスの持ち方から通信の性能まで、広い範囲に手が入ります。
見てのとおり、右端（メインネットで有効）に達したものは、まだ一つもありません。いちばん進んでいるトランザクション拡大も有効化はこれからで、FALCON関連はまだ提案・設計・研究の途中です。
※バーの位置はAnza・Firedancer・solana.comの公開情報にもとづく本サイトの整理で、公式なステータス表記ではありません。トランザクション拡大（SIMD-0296/0385）はsolana.comのアップグレードページに「導入予定」（メインネット目標: 2026年Q3）として掲載されています（2026年7月時点）。
一か所でも残れば、そこが穴になる。
4つのうち3つを直しても、残った1つが弱点として残り続けます。だからロードマップは、範囲を絞らず全部を対象にしています。次の章では、そのなかでいちばん身近な「アカウント」を、どうやってアドレスを変えずに移行するのかを見ていきます。
アドレスは、変わらない。
3段階の移行計画と、「SHA-512の壁」。シードさえ持っていれば、Q-dayのあとでも移行できる仕組みを解きます。
計画は、3段階しかない。
Solana Foundationが公開しているロードマップは、驚くほど簡潔です。いまは第1段階で、第2段階が始まる条件は「量子が現実の脅威になったとき」。それまでは動きません。
FALCONと対抗馬の評価を続け、実装と証明の試作を進める。プロトコルには手を入れない。
いまここ量子が現実の脅威になった時点で、新規に作られるウォレットをポスト量子方式にする。あわせてEd25519の署名検証を無効にする。
すでにあるウォレットを、選んだ方式へ移行する。このとき使うのが、次に説明する仕組みです。
※STEP 02でEd25519の検証を止めるのは、量子コンピュータを持つ者なら誰でも署名を偽造できるようになるためです。止めること自体が防御になります。
量子コンピュータにも、届かない場所がある。
ここがこの移行計画のいちばん巧妙なところです。Ed25519の鍵は、シードという32バイトの種から作られます。そして種と鍵のあいだには、量子コンピュータが越えられない壁が立っています。
しかしSHA-512は量子でも逆算できないため、その先の「シード」には届きません。ここに、正規の持ち主だけが知っている情報が残ります。
※Ed25519では、シードをSHA-512にかけた結果から署名用の値と公開鍵が作られます（RFC 8032）。ハッシュの逆算に対して量子計算が持つ優位は限定的で、SHA-512は現在もポスト量子的に安全と考えられています。
だから、アドレスを変えずに鍵だけ入れ替えられる。
シードを知っているのは正規の持ち主だけ。ならば「シードを知っていること」を証明できれば、その人が本人だと分かります。しかもゼロ知識証明を使えば、シードそのものは一切渡さずに済みます。
アドレスの文字列は、1文字も変わりません
そしてこの手順は、Q-dayのあとでも使えます。
Ed25519の署名が止められていれば、シードを持っている人だけが、あとから移行できる。
※Baldimtsi・Chalkias・Roy（2025）の研究にもとづき、Anzaが試作を公開しています（anza-xyz/cryptography PR #10）。400 kB・55 msはその試作での測定値です。移行は一度きりなので、この大きさは許容範囲とされています。
では、古いEd25519の鍵はどうなる？
当然の疑問です。アドレスが変わらないなら、量子コンピュータで復元した古い秘密鍵で、そのまま署名できてしまうのでは——。答えは「できません」。理由は3つあります。
※古い鍵は有効なままですが、それを受け付ける窓口がなくなります。「署名方法そのものが変わるから安全」という理解で合っています。
アドレスの意味が、途中で変わる。
もうひとつの疑問、「新しい鍵から偶然おなじアドレスができるのか」については、答えは「いいえ」です。アドレスは作り直しません。そのまま残したうえで、意味のほうを変えます。
※アドレスを新しい鍵から計算し直すわけではないので、偶然の一致を期待する話ではありません。既存のアドレスを名前として据え置き、そこに新しい鍵をひも付けます。
同じ手が、Bitcoinでは使えない。
この移行方法は「すべての鍵がシードから作られている」ことが前提です。Solanaはその条件を満たしていますが、Bitcoinの初期のコインは満たしていません。
Ed25519は仕様上、必ずシードから鍵を作ります。だから全員が同じ手順で移行できます。
全アカウントが移行可能いわゆる「サトシコイン」の一部は、シードから鍵を作る仕組み（BIP32／BIP39）が生まれる前の口座にあります。証明すべき種が、そもそもありません。
同じ手が使えない※この対比はAnzaが明示的に指摘しているものです。Bitcoinでは移行できないコインを凍結するか放置するかをめぐって、BIP-360／361などの議論が続いています。なおBitcoin全体が移行できないわけではなく、問題になるのは初期の形式の口座です。
いま個人にできる備えは、ひとつだけ。
シードフレーズを、なくさないこと。この移行方法が成り立つ条件は「シードを持っていること」だけです。ウォレットの設定を変える必要も、資産を移す必要も、新しい何かを買う必要もありません。次の章では、この計画の外側ですでに動いているものを見ていきます。
もう動いているもの。
2025年からメインネットで稼働するWinternitz Vault、そして他チェーンの現在地。
量子耐性の金庫は、もう動いている。
プロトコルを変えずに使える量子耐性ボールトが、2025年1月からSolanaのメインネットで動いています。格子ではなく、ハッシュだけで作られた仕組みです。
※格子ではなくハッシュだけを使うため、量子コンピュータに対する安全性の根拠がとても単純です。1979年のLamport署名を発展させたWinternitz方式にもとづいています。
ただし、1回しか使えない。
この方式には大きな癖があります。署名するたびに、秘密鍵の一部が世に出てしまうのです。
※このボールトはGoogle Quantum AIの論文で、業界の先行事例として名指しで引用されました。ただし第4章のとおり、守れるのは中に入れた資産だけです。
ここまでの流れ。
量子への備えは、この数年で一気に具体的になりました。
実運用で動いた最初のポスト量子署名。ただし守る対象は履歴の証明で、口座の残高ではありません。
プロトコルを変えずに使える、オプトインの量子耐性ボールト。
希望する利用者だけがポスト量子の口座を使えるようになりました。
Google自身も、2029年までに自社システムを移行する方針を示しました。
AnzaとFiredancerが独立に研究し、どちらもFALCONに到達。このサイトが扱っている内容です。
TRONは量子耐性メインネットを、Ethereumは口座ごとに署名方式を選べる仕組みを予定しています。
※日付と内容は各プロジェクトの公表資料および報道にもとづきます。予定は変更されることがあります。
他のチェーンは、いまどこにいるか。
先に結論を言うと、どのチェーンも「全アカウントがポスト量子署名で動いている」状態には達していません。動いているものは、すべて希望者だけが使うオプトインか、限られた層です。
ここでも、右端に届いているチェーンはありません。Solanaが先行しているのは実装ではなく、移行の道筋がすでに描けているという点です。
※各プロジェクトの公表資料と報道にもとづく本サイトの整理で、公式なステータス表記ではありません。2026年7月時点の情報です。
覚えて帰るとよいこと、3つ。
5年以内に鍵が破られる確率は3〜5%。実機はまだ「21」の因数分解が最高記録です。
シードの証明を使えば、同じアドレスのまま鍵だけをFALCONへ入れ替えられます。
シードフレーズをなくさないこと。それ以外に、いま必要な準備はありません。
出典
このサイトの内容は、次の公開資料にもとづいています。
最後に。
量子コンピュータの話は、恐怖の材料としてよく使われます。けれど実際に起きているのは、まだ来ていない日に向けて、複数のチームが淡々と準備を進めているという地味な作業です。その地味さこそが、いちばん安心できる材料だと思います。