Zcash は耐量子ですか？
短い回答
いいえ、まだです。
Ironwood アップグレード以降、Zcash は Ironwood プールに保有されている資金について量子回復可能です。これは実際の前進ですが、耐量子安全であることと同じではありません。その仕様である ZIP 2005 も、変更だけでは「プロトコルを量子攻撃者に対して安全にしない」と明言しています。これは、現在の暗号技術が無効化された後に将来のリカバリプロトコルを通じて移動できるよう、Ironwood の資金を準備するものです。
このページでは、Zcash が現在保護するもの、Ironwood が変更したもの、依然として露出しているもの、提案にすぎないものを区別します。末尾近くの ステータス表 では、各要素の状況と最終確認日を示します。
対象読者
- 「量子回復可能」を「量子耐性」と解釈した人
- 資金を Ironwood に移すべきか判断している保有者
- 参照先として提示できる、出典付きの回答を必要とする執筆者やモデレーター
量子コンピューティング自体の背景については、まず Zcash における耐量子セキュリティ を参照してください。
この質問が混乱を招く理由
「耐量子」は、あたかも単一の性質であるかのように使われます。しかし Zcash では、少なくとも4つの別々の問いがあり、それぞれ答えが異なります。
- プライバシー。 量子攻撃者は、誰が誰にいくら支払ったかを見られるか？
- 支出。 量子攻撃者は、自分のものではないコインを使えるか？
- インフレーション。 量子攻撃者は、何もないところから ZEC を作り出せるか？
- 回復。 現在の暗号技術を無効化する必要が生じた場合、正直なユーザーは依然として資金を引き出せるか？
Ironwood が変えるのは4番目の問いへの答えだけであり、しかも Ironwood プール内のノートについてのみです。
このすべての背後にある脅威は、Zcash が使用する楕円曲線上の離散対数を計算できる攻撃者です。Shorのアルゴリズムを実行する十分に大規模な量子コンピューターは、その一つの方法になります。ZIP 2005 は、単一の離散対数を見つけるだけで、任意のインフレーションや資金窃取を引き起こせると指摘しています。
Zcash が現在保護しているもの
この表は、離散対数を破れる攻撃者に対して、現在稼働しているプロトコルを説明します。Ironwood を含むすべてのシールドプールに適用されます。これは、Ironwood が Orchard 回路、Halo 2 証明、RedPallas署名を Orchard と同様に使用するためです。
| 性質 | 現在の量子攻撃者に対して | Ironwood が変更したこと |
|---|
| プライバシー | 攻撃者があなたのシールドアドレスを知らないなら維持されます。証明と再ランダム化された署名は、追加情報を漏らしません。攻撃者がアドレスを知っている場合、チェーンから保存した古いノートを含め、そのアドレスに送られたノートを復号できます。 | なし。ZIP 2005: 「プライバシーに関する状況は、どのプールでも変わらない。」 |
| 支出 | 保護されません。攻撃者は証明または支出署名を偽造し、一度も見たことのないアドレスのものを含め、あらゆるシールドプールから盗めます。 | まだなし。保護は将来リカバリプロトコルへ切り替えた後に初めて得られます。 |
| インフレーション | 保護されません。攻撃者は有効に見える証明を偽造し、場合によっては誰にも気付かれずに、任意のシールドプール内で ZEC を作り出せます。唯一の制限は ターンスタイル です。どのプールも記録上の残高を超えて支払うことはできません。 | まだなし。Ironwood のノートは現在、量子攻撃者が偽造できないはずの方法で内容全体にコミットします。これは将来のリカバリプロトコルが供給の健全性を保つために必要なものです。 |
| 回復 | Sprout、Sapling、Orchard のノートには回復経路がありません。これらのプロトコルが無効化されると、残されたものにはアクセスできなくなります。 | 原理上、すべての Ironwood ノートは回復可能です。Sapling または Orchard のノートは回復できません。 |
透明な ZEC は別のケースです。公開鍵が判明すれば、そのECDSA署名は偽造できます。通常の透明アドレスでは、最初にそこから支出したときにそれが起こります。また、トランザクションがmempool内で未承認のまま置かれている短い時間帯もあります。ZIP 2005 はこのいずれも変更しません。
Ironwood が変更したこと
Ironwood は NU6.3 ネットワークアップグレードです。2026年7月28日、ブロック3,428,143でMainnetに有効化されました。主な目的は Orchard 健全性バグ後の供給完全性（Ironwood ページを参照）であり、ZIP 2005 による量子回復可能性もその一部として導入されました。
- 新しいノート形式。 すべての Ironwood 出力ノートは、量子回復可能な形式（ノート平文の先頭バイトは
0x03）を使用します。ノートのランダム性は現在、すべてのフィールドから導出されるため、楕円曲線数学だけでなくハッシュによってノートは内容に結び付けられます。
- Ironwood ノート専用の回復経路。 ZIP 326 は、すべての Ironwood ノートは回復可能であり、Orchard ノートは一つも回復できないと明記しています。ウォレット設定でこれが変わることはありません。
- Orchard は新たな価値を受け取らなくなりました。 Coinbase 報酬はもはや Orchard へ送れず、Orchard は別の Orchard アドレスへ送れなくなったため、新しいシールド価値は Ironwood に入ります。
- ウォレットはすべてを移動するよう指示されます。 ZIP 2005 は、ウォレットが透明、Sprout、Sapling の資金を含めて管理するすべての資金を、実行可能になり次第 Ironwood ノートへ移動し、新規資金が到着するたびに継続すべきであるとしています。
Ironwood が変更しなかったものは、現在の支出と証明に使用される暗号技術、ノート暗号化、透明な ZEC に関するあらゆる事項です。
残る制約
露出期間があります。 Ironwood の有効化から古いプロトコルが無効化されるまで、量子攻撃者は依然としてすべてのシールドプールで資金を盗み、インフレーションを起こし、または資金を阻害できます。ZIP 2005 はこれを「重大な露出期間」と呼び、その間の攻撃は保有者が後に回復する能力を損ない得ると警告しています。そのため、量子攻撃が実行可能になる前に、Zcash は Orchard、Sapling、Sprout を無効化しなければならないとしています。
Sproutを除き、無効化の日程はありません。 ZIPには、OrchardまたはSaplingを無効化する予定はありません。Sproutは異なります。ZIP 259では、NU7が導入する変更の一つとしてZIP 2003が列挙されているため、NU7が有効化されるとバージョン4トランザクションは無効になり、Sproutプールに残るZECは支出不能になります。Mainnetの有効化はブロック3,543,405で予定されており、2026年11月5日を目標としています（ZIP 259、フォーラムでの発表）。Saplingの引き出し専用化に関する議論は、2026年4月にフォーラムで始まりました。
リカバリプロトコルは未完成です。 ZIP 2005 はその概要を示すだけであり、詳細は「変更される可能性がある」としています。何もデプロイされていません。
今収集し、後で復号する。 Ironwood、Orchard、Sapling、Sprout のノート暗号文はすべてチェーン上で公開されています。受信アドレスも知っていれば、誰かが今日保存して後で復号できます。公開または配布するすべてのアドレスは、このリスクの一部です。ZIP 2005 は、将来の送金に向けて「ほかのプロトコル変更が検討中」であるとしています。
透明な資金は対象外です。 支出に使用された、または再利用されたアドレスでは公開鍵が露出しています。一部の透明アドレスの回復可能性は、現時点ではアイデアにすぎません（下記の ZIP 2007）。
FROST の設定には追加の注意点があります。 FROST では、各参加者が量子支出鍵（qsk）を保有しており、それを持つ量子攻撃者は盗める可能性があります。ZIP 2005 は、対応するものが存在すれば、FROST の資金をしきい値サポートを備えた完全な耐量子プロトコルへ移すよう推奨しています。
提案と研究
これらはいずれも稼働していません。
- リカバリプロトコル。 切り替え後に実際に Ironwood の資金を支出可能にする仕組みです。ZIP 2005 で概要が示されていますが、仕様化されていません。
- ZIP 2007、一部の透明アドレスの回復可能性。 ZIP 番号が予約され、zips#1302 で議論されているだけです。公開鍵が一度も公開されていないP2PKHおよびP2SH出力が、Ironwood より弱い保証付きで回復可能になるというアイデアです。
- 既知のアドレスに対する耐量子プライバシー。 2022年から zips#1133 で未解決のままです。これは、アドレスが秘密に保たれている場合、Zcash は「すでに耐量子プライバシーを意図している」と記し、Kyber（現ML-KEM）のような耐量子鍵カプセル化方式などで既知のアドレスにもこれを拡張する方法を問うています。2026年6月、zips#1307 は、現在のプライバシー特性と可能な修正を文書化する ZIP を提案しました。
- Project Tachyon。 提案中のスケーリングアップグレードです。そのサイトでは、支払いの配送をチェーン外へ移し、耐量子鍵交換を使用する副次的効果として、「完全な耐量子プライバシー」を得るとしています。証明随伴データライブラリRaguは「現在も構築中」と説明されています。Project Tachyon を参照してください。
- 完全な耐量子 Zcash。 耐量子証明、署名、コミットメントをすべて備えるものです。2016年から未解決の zips#1134 で追跡されています。仕様もタイムラインもありません。
ステータス表
最終確認日：2026年9月13日。ただし、Sprout の行は2026年10月9日に更新されました。ZIP のヘッダー上のステータスとネットワーク上のステータスは別物です。ZIP 2005 は、2026年7月以降そのルールがMainnetで適用されているにもかかわらず、ヘッダーでは依然として「Proposed」と記されています。
| 項目 | ZIP のステータス | ネットワークのステータス | 日付 | 出典 |
|---|
| 量子回復可能なノートを持つ Ironwood プール（NU6.3） | ZIP 2005 Proposed、ZIP 229 および ZIP 258 Draft | Mainnetで有効化済み | 2026年7月28日、ブロック3,428,143 | ZIP 2005、ZIP 258 |
| 新たな価値の受け入れを停止した Orchard | ZIP 2006 Reserved、ZIP 258 のルール | Mainnetで有効化済み | 2026年7月28日 | ZIP 258 |
| 資金を Ironwood へ移すウォレット | ZIP 2005、ZIP 318、ZIP 326（Draft）のガイダンス | 推奨、利用するウォレットに依存 | 2026年7月28日以降 | ZIP 318、ZIP 326 |
| リカバリプロトコル | ZIP 2005 内で概要のみ | 未実装 | 日程なし | ZIP 2005 |
| Orchard と Sapling の無効化 | ZIP なし | 予定なし | 2026年4月からの Sapling 議論 | フォーラム |
| Sprout 支出の無効化（ZIP 2003） | Proposed、ZIP 259（Proposed）に従い NU7 により導入 |
Zcash Foundation の NU7 意向調査（2026年2月）では、量子回復可能性は ZCAP から90.5%、コイン保有者から94.6%の支持を受け、Tachyon はほぼ全会一致の支持を得ました。これらは意向調査であり、何を NU7 に組み込むかについての決定ではありません。
今できること
- 資金を Ironwood に移してください。 Sapling と Orchard のノートは決して回復可能になりません。プール間で価値を移すと金額がチェーン上に表示されるため、ZIP 318 ではウォレットが残高を固定額に分割し、時間をかけて送るようにしています。一度にすべて移すのではなく、ウォレットに任せてください。
- 不要なシールドアドレスを公開しないでください。 将来の量子攻撃者に対するプライバシーは、相手があなたのアドレスを知らないことに依存します。Unified Addressは低コストで生成できるため、支払者ごとに新しいものを渡してください。ZIP 229 はこの理由からアドレスローテーションを推奨しています。
- 透明アドレスを再利用しないでください。 一度そこから支出すると、公開鍵は永久にチェーン上に残ります。
- シードフレーズを安全に保管してください。 概要が示されているリカバリプロトコルでは、回復支出に支出鍵を知っていることの証明が必要であり、通常のウォレットはその鍵をシードから導出します。
- 「Zcash は量子耐性だ」という主張を無視してください。 まだそうではなく、仕様を書いている人々もそう述べています。
よくある誤解
- 「Ironwood は耐量子だ。」 いいえ。同じ Orchard 暗号技術を使用しており、ZIP 2005 はこの機能が「Orchard プロトコルを量子攻撃に対して安全にしない」と述べています。
- 「量子回復可能とは、現在の量子コンピューターに対して安全という意味だ。」 いいえ。適時に切り替えが行われる限り、将来の切り替え後に Ironwood の資金を回復できる、という意味です。
- 「シールドされた Zcash はすでに耐量子プライベートだ。」 攻撃者があなたのアドレスを知らない場合に限ります。既知のアドレスは、すべてのプールで露出します。
- 「Tachyon はすでに耐量子プライバシーを追加した。」 Tachyon は提案です。そこから稼働しているものは何もありません。
- 「量子コンピューターは Zcash のすべての部分を破る。」 既知の量子攻撃によってハッシュ関数は弱まるだけで、破られるわけではありません。量子回復可能性は、まさにこの違いに依存しています。
関連ページ
出典
