ビットコインの量子計算リスクは、暗号アルゴリズムの置き換えだけでは済まない可能性がある。暗号資産投資家のニック・カーター氏は10月13日、ルーク・マーティン氏とのインタビューで、将来、ビットコインの鍵を破れる量子コンピューターが登場すれば、攻撃者が休眠中のビットコインの秘密鍵を復元し、約10ブロックの間に多数の送金をまとめてブロードキャストするシナリオを示した。初期のビットコインが一斉に動けば、ネットワーク上の所有権や決済ルールへの信頼が、まず揺らぐおそれがある。
約604万BTCで公開鍵が露出
Glassnodeは5月20日の分析で、約604万BTC、当時の発行済み供給量の30.2％にあたるビットコインについて、公開鍵が露出していると推計した。過去に使用された、あるいはアドレスが再利用されて公開鍵が見える状態になった資産のほか、P2PKなど構造上公開鍵が直接露出する初期の出力や、一部のTaproot関連出力も含む。
量子攻撃の想定では、十分な性能を持つ量子コンピューターがショアのアルゴリズムを使い、公開鍵から秘密鍵を導き出す。その後、正当なものに見える送金承認を生成できる可能性がある。Googleはこうした攻撃に必要な計算資源をモデル化した研究を公表しているが、ビットコインの鍵が実際に復元されたことを示す証拠はない。現時点では将来のリスクであり、発生済みのネットワーク事象ではない。
一方、ブロックスペースの制約だけで大規模な移動を防げるとは限らない。初期の出力5万件にそれぞれ50BTCが保有されていると仮定すると、合計は250万BTCとなる。ビットコイン開発者向け文書にあるP2PK入力の例に基づけば、これらの入力には約570万バイトが必要で、取引の追加的なオーバーヘッドを除いても約2,280万重量単位に相当する。ブロックの重量上限は1ブロック当たり400万重量単位、10ブロックで計4,000万重量単位だ。取引を分割し、各バッチをBitcoin Coreの標準制限である約40万重量単位以内に収めれば、理論上は10ブロック分の容量に収まる。
10ブロックでの処理完了は保証されない
実際に取引がブロックに取り込まれるかは、手数料やネットワークの混雑状況、マイナーの選択に左右される。ビットコインは平均で約10分ごとにブロックが生成されるため、10ブロックには通常約100分かかるが、実際の所要時間にはばらつきがある。出力ごとのスクリプト形式や支出条件、送金先の出力数によっても、まとめて移動する際に必要なブロックスペースは変わる。
量子攻撃が起きても、移動するのは既に存在するビットコインの支配権であり、新たな発行が生じるわけではない。大規模な送金が目に見える形で起きれば、売却が始まる前に保有者の不安を招く可能性がある。その後、より広い市場変動に発展するかどうかは、取引所の対応や利用可能な流動性、送金元に対する市場参加者の判断などによる。公開鍵の露出、長期にわたる保有者の活動停止、秘密鍵の永久的な紛失、初期資産の一部がサトシ・ナカモト氏に属するかどうかは、それぞれ別の問題だ。
セキュリティ研究者のジェイムソン・ロップ氏は5月21日の分析で、公開鍵が露出した約260万BTCは移行できない可能性があると推計した。保有者の長期的な活動停止や、既知の主体に関するラベルなどを判断材料としている。ただし、この推計は対象資産を正当な保有者が確実に移動できないと確認したものではない。
防御策が正当な保有者を締め出す懸念
現行の支出ルールを維持すれば、有効な秘密鍵を提示できる者は誰でも対象資産を使用できる。将来、攻撃者が復元した秘密鍵も例外ではない。一方、旧式の署名をネットワーク上で制限すれば、資産を期限内に移行できない保有者や、新たな救済条件を満たせない保有者がアクセス権を失う可能性がある。量子対策では、未移行資産の安全性を高めることと、正当な保有者に残される対応手段を確保することの両立が課題になる。
BIP-360の草案は、Pay-to-Merkle-Rootという出力形式を提案している。Taprootで鍵が露出し得る支出経路を取り除き、公開鍵を隠した状態で長期的な露出リスクを下げる狙いだ。BIP-361は段階的な対応を提案し、発動から約3年後に脆弱な受取先を新たに作ることを制限、その約2年後に救済条件を通じて旧式署名の利用をさらに絞る構想を含む。Googleが示した暗号技術移行の工程表では、予防的な移行目標が2029年に設定されているが、これはビットコインのコンセンサスルールと同じものではない。
救済策の一部は、強化された派生方式で生成されたウォレットの親秘密情報を利用する。攻撃者が個別の支出鍵を復元しても、通常は追加の親秘密情報までは得られない。ただし、P2PKを直接使う出力については、所有権を証明する方法が未解決の課題として草案の作成者から挙げられている。
PACTやHourglass V2も提案段階
ダン・ロビンソン氏が5月1日に提案したPACTの概念は、プライバシーを保つタイムスタンプを使ってアドレスの支配権を証明する方法を検討している。将来のルールでこうした証拠が認められる場合、保有者は量子計算による鍵の復元が現実になる前に準備し、証明を保存しておく必要がある。実際に保護策として機能するかは、検証ルールの標準化とエコシステムでの採用にも左右される。
2月に公開されたHourglass V2の草案は、より直接的な処理制限を提案する。1ブロック当たりのP2PK支出を1件までとし、各ブロックで差し引かれる支出量を1BTC以下に抑える内容だ。制限を設ければ攻撃者の資金流出を遅らせられる可能性がある一方、正当な保有者にも同じ制約がかかり、大規模な資産の移行にはより長い時間が必要になる。
これらはいずれも研究・提案段階で、ビットコインネットワークの共通ルールにはなっていない。BIPの手続き上、関連する変更が採用されるにはソフトウェアへの実装、ノードでの運用、そしてエコシステム全体の受け入れが必要となる。通常の署名では元の保有者と量子攻撃者を区別できない状況で、ネットワークがどのような支配権の証明を認めるのか、また事前に移行できない正当な保有者をどう救済するのかが、カーター氏の示したシナリオを巡る論点となっている。