ビットコイン全体の約4分の1は、ブロックチェーン上で公開されている公開鍵に結びついており、量子コンピュータによる攻撃リスクに直面している。もしこれほど多くの供給が脆弱であるならば、より深刻な懸念が浮かび上がる。それは、ビットコインのセキュリティモデルそのものへの信頼が揺らいでいるのではないかという点である。
朝起きてスマートフォンを確認すると、コールドストレージも取引所の口座残高も含め、ビットコインが一夜にしてゼロになっている――そんな事態を想像してみてほしい。数百万ものUTXOが、沈黙のうちに協調的に吸い尽くされてしまうのだ。
これは単なる盗難にとどまらない。それはビットコインの価値そのものへの直接的な攻撃であり、根幹を支える暗号技術がもはや安全ではないことを示す公然たるシグナルとなる。国家レベルのアクターが、コインを奪うこと以上に、信頼を破壊し、意図的に混乱を引き起こすために実行する可能性も否定できない。
すべての攻撃者が派手な行動を取るわけではない。利益の最大化を狙う攻撃者なら、量子コンピュータを用いて古いUTXOを密かに標的にし、長期間動いていないウォレットや忘れ去られたウォレットからコインを抜き取るだろう。目的は、世界が気づく前にできる限り多くを奪うことである。
だが、その攻撃が派手であれ静かであれ、迅速であれ緩慢であれ、最終的な帰結は同じだ。ポスト量子時代には、ビットコインを守ってきた前提はもはや通用しない。ビットコイン誕生以来、その安全性を保証してきた暗号数学は、いまだ誰も目にしたことのないが理論的には存在可能な量子マシンによって、いつでも破られる危険性をはらんでいるのだ。
量子コンピュータが実際に破壊するもの
量子コンピュータは、現在私たちが使っているコンピュータの単なる高速版ではない。それは根本的に異なる仕組みを持つマシンである。多くの処理においては通常のコンピュータと比べて大きな違いはないが、ごく特定の問題に対しては圧倒的な性能を発揮し、従来の暗号技術を根底から破壊できるほどの力を持つ。
現在のビットコインにおけるデジタル署名──Schnorr署名やECDSAを含む──は、離散対数問題と呼ばれる数学的課題に依存している。これは「片道通行」に例えると分かりやすい。秘密鍵から公開鍵や署名を生成することは容易だが、逆に公開鍵から秘密鍵を導き出すのは事実上不可能である。このため、公開鍵をブロックチェーン上で共有しても安全であり、誰もそれを逆算して秘密鍵を得ることはできない。
しかし、十分に大規模な量子コンピュータが登場すれば、この前提は崩れる。ショアのアルゴリズムを用いることで、量子攻撃者は離散対数問題を解くことができるのだ。すると「一方向性」という性質はもはや成り立たなくなり、ブロックチェーン上のあらゆる公開鍵から対応する秘密鍵を導き出せてしまう。
困難な選択と大きなトレードオフ
量子コンピュータによる攻撃からビットコインを守るために、完璧な解決策は存在しない。どのような計画も必ず大きなトレードオフを伴う。技術的なものもあれば、社会的なものもある。そしていずれも容易ではない。
ひとつの可能性は、ポスト量子署名のみを利用する新しいアウトプットタイプを導入することである。量子コンピュータが破ることのできる離散対数に依存する代わりに、最初から耐量子署名スキームでコインをロックする。この場合、そのアドレスに送金する人は、将来にわたって耐え得るより強固なセキュリティを選択していることを理解している。
しかしここでの大きなトレードオフは「サイズ」である。ほとんどのポスト量子署名は非常に大きく、バイト単位ではなくキロバイト単位で測定される。つまり、現在のビットコイン署名に比べて40倍から600倍も巨大になる可能性がある。ECDSAやSchnorr署名がテキストメッセージ程度に収まるとすれば、ポスト量子署名は小さなデジタル写真ほどの大きさになる。それに伴い、ネットワークでのブロードキャストやブロックチェーンへの保存コストは跳ね上がる。HDウォレットやマルチシグ設定、基本的な鍵管理でさえ複雑化し、場合によっては全く機能しなくなる危険性もある。さらに、ポスト量子署名を用いたしきい値署名は依然として研究段階にとどまっている。
完全なポスト量子移行に関しては、ジェームソン・ロップが提案した「4年間の移行期間」という案がある。ポスト量子署名を導入した後、ビットコインのエコシステムに数年間を与えて耐量子アウトプットへ移行させ、それ以降も移動されなかったコインは失われたものとして扱うという内容だ。大胆かつ攻撃的なアプローチではあるが、明確な期限を設定し、量子危機が訪れる前にネットワークが適応する時間を確保できる。
脅威がより現実味を帯びるまでは、我々はこれまで信頼してきた暗号技術に依存し続けたいと考える。しかし、ビットコインに将来的な計画が必要だという点で意見が一致するなら、その計画は一体何になるのだろうか。
誰も、実証されていない前提に基づいて拙速にビットコインを変えたいとは思わない。全く新しい仕組みを導入するのではなく、ビットコインにはすでに出発点となり得るものが存在する。それがTaprootである。
Taprootの秘められたポスト量子セーフティ
2021年に導入されたTaprootは、プライバシーと効率性を高める機能として広く知られている。しかし、多くのユーザーが気づいていないのは、これがポスト量子時代へのスムーズな移行の基盤にもなり得るという点である。
すべてのTaprootアウトプットには、当初は公開されない代替の支払い条件が含まれている。これらの代替スクリプトパスは、実際に使用されない限り決して明かされない。現在、多くのTaprootコインはSchnorr署名で消費されているが、この隠されたパスは耐量子署名の検証を含む、ほぼあらゆる用途に利用できる。
Taprootの内部構造が量子コンピュータによる攻撃に耐え得るという発想は、最初に提唱したマット・コラロにさかのぼる。そして最近では、Blockstream Researchのティム・ラフィングがこのアプローチの安全性を実証する論文を発表した。SchnorrやECDSAが破られたとしても、Taproot内部に仕込まれたフォールバックパスは信頼できる形で残り続けることが可能だというのだ。
これは、シンプルでありながらも強力なアップグレードパスへの扉を開くものである。
ステップ1：ポスト量子オペコードの追加
最初のステップは、ビットコイン・スクリプトにポスト量子署名のサポートを導入することである。これは、現在標準化と評価が進められているアルゴリズムを活用し、TaprootスクリプトがPQ署名を検証できるようにする新しいオペコードを追加することで実現できる。
この仕組みによって、ユーザーは2つの支払いパスを備えたTaprootアウトプットを作成できるようになる。
-
キーパス：日常利用に適した、高速かつ効率的なSchnorr署名を引き続き使用する。
-
スクリプトパス：必要になった場合にのみ公開される耐量子フォールバックを組み込む。
短期的には何も変わらない。コインはこれまでと同じように動作する。しかし、もし量子コンピュータによる脅威が現実となったときには、フォールバックがすでに備わっているため、安全に移行できる準備が整っている。
ステップ2：キルスイッチを作動させる
その後、もし大規模な量子コンピュータが開発され、リスクが現実のものとなった場合、ビットコインはSchnorr署名やECDSAによる支出を無効化できる。
この「キルスイッチ」は、脆弱なアウトプットにあるコインが盗まれるのを防ぐことでネットワークを保護する仕組みである。ユーザーが自らのコインを、耐量子フォールバックを含むアップグレード済みのTaprootアウトプットへ移動させていれば、それらのコインは安全に保たれ、引き続き利用可能である。
この移行には必然的に摩擦が伴う。しかし、土壇場で慌てて対応するよりも混乱は少なく済むだろう。そしてTaprootに備わる隠されたスクリプトパスのおかげで、この作業の大部分は事前に静かに進めることができる。
パニックに陥らず備える
量子コンピュータによる脅威に対するカウントダウン時計は存在しない。我々には、この分野でのブレイクスルーがいつ訪れるのか分からない。それは10年先かもしれないし、もっとずっと近いかもしれない。誰にも予測できないのだ。
問題は単純ではない。どのポスト量子アルゴリズムを採用すべきか、ビットコインに十分適した効率性をどう実現するか、しきい値マルチシグや鍵導出といった中核機能をどう維持するか――いずれも未解決の課題である。しかし最も重要なのは、行動を始めることである。理想的には、最初の暗号的に意味のある量子コンピュータが登場してからではなく、システムがまだ安全でアップグレードの選択肢が残されている今こそ備えるべきだ。
今日、ビットコイン・スクリプトにポスト量子署名のサポートを導入すれば、ユーザーには十分な準備時間が与えられる。教育もパニックを伴わずに段階的に進められ、ユーザーは自らのペースでコインを移行し始めることができる。逆に待ちすぎれば、その余裕を失い、ストレス下でのアップグレードは混乱を招きやすい。
Blockstream Researchのティム・ラフィングの研究は、前進するための具体的な道筋を示している。それは、すでにビットコインに組み込まれているツールを活用する計画であり、実現可能な解決策のひとつだ。詳細を理解するには、ぜひ彼の論文全文を参照してほしい。
この記事はBlockstreamのキアラ・ビッカーズによるゲスト投稿である。ここで述べられた意見はあくまで本人のものであり、BTC IncやBitcoin Magazineの公式見解を必ずしも反映するものではない。kiara
