量子コンピューティング分野における最近の発表を受けて、この技術の進展がビットコインに与える影響について、改めて注目が集まっている。Chaincode Labsが新たに公開したレポートでは、量子コンピューターの現状、ビットコインに対する脅威のモデル、現在検討されている今後の対応策について概説している。本記事では、最新レポートの主要な知見と提言を要約して紹介する。詳細についてはこちらの完全版レポートを参照されたい。
量子時代に向けたビットコインの備えとそのタイムライン
Chaincode Labsは、量子コンピューターの登場に備えたビットコインの移行戦略として、ふたつの道筋を提案している。
- 長期的アプローチ：この道筋は、量子コンピューターが実用的な脅威となるまでにまだ十分な猶予があるという前提に基づいている。SegWit（セグウィット）やTaproot（タップルート）といった過去のビットコイン・プロトコルのアップグレードにかかった時間を踏まえて、完全な「量子耐性」を備えるまでには約7年を要すると見積もられている。
- 短期的な緊急対応アプローチ：この道筋は、量子コンピューターの性能が突如として飛躍的に向上し、差し迫った脅威となる場合の緊急対応策だ。ビットコイン・ネットワークを保護する防御措置の迅速な展開を目的としており、約2年での実行が想定されている。
いずれのシナリオにおいても、適切に管理されている資金、つまり、アドレスの再利用を避け、P2PKHやP2WPKHのようにハッシュ化された公開鍵を用いたアドレスタイプに保管されているビットコインについては、現時点ですでに量子攻撃に対して一定の防御がなされている。ただし、将来的に量子耐性を備えた方法で資金を安全に使用（送金）するためには、追加的なインフラ整備が必要となる。この整備は、いずれの戦略でも「第2段階」で開発されることが見込まれている。
量子コンピューターはいつ登場し、何が可能になるのか？
量子コンピューターが本格的に実用化すれば、量子力学の原理を活用することで、特定の問題においては従来のコンピューターと比べて大幅な高速化が可能になる。なかでも深刻な懸念となるのが、「暗号に関連する量子コンピューター（CRQC: Cryptographically Relevant Quantum Computers）」だ。これは、現代の暗号技術の根幹を成す数学的前提を破る能力をもつといわれるマシンで、ビットコインのセキュリティにとって中核となる楕円曲線暗号（ECC）もその対象に含まれる。
量子コンピューティングは数十年にわたって理論研究が活発に行なわれてきた分野だが、特にCRQCのような大規模量子マシンの構築には、いまだに多くの技術的ハードルが存在する。現在までのところ、いかなる量子コンピューターも、商業的に意味のある問題解決の点で既存のスーパーコンピューターを上回った実績はなく、現代の暗号技術を脅かすような能力は示されていない。
CRQCの到来予測とそのタイムライン
技術の進歩は予測することが非常に難しく、直線的に進むことは稀である。歴史的にも、ある時点で突然ブレイクスルーが起こった例は数多く存在する。こうした状況を踏まえ、暗号技術の環境が急変する可能性に備えて、複数の組織が暗号署名の移行に関するタイムラインを提案している。
なかでも注目されるのが、アメリカ国立標準技術研究所（NIST）による取り組みだ。NISTは暗号標準の策定を主導する機関であり、同機関の公表した推奨事項では次のふたつの重要な節目が示されている。
- 2030年までに、ECDSAやRSAなど従来型の暗号手法を段階的に廃止すること。
- 2035年までに、すべての暗号システムを「耐量子暗号（PQC: Post-Quantum Cryptography）」に完全移行すること。
イギリスの国家サイバーセキュリティセンター（NCSC）も類似したアプローチをとっており、2035年までの完全移行を目指す3段階の移行枠組みを採用している。EUや中国などの主要地域でも、PQC戦略に関する取り組みは進んでいるが、正式なタイムラインはまだ公表されていない。
産業界でも、Cloudflare、Signal、Googleといった主要企業がすでにPQCの採用を開始。これらの企業は、従来の暗号手法とPQCを組み合わせた「ハイブリッド署名スキーム」を導入しており、システムを破るには両方の暗号方式を同時に破らなければならない仕組みとなっている。Appleも将来的なPQC移行を表明しており、PQCが新たな業界標準となるにしたがって、今後さらに多くの企業が追随するとみられている。
何が危機に晒されているのか？
量子コンピューターの脅威がもたらす経済的影響は極めて大きい。Chaincode Labsの分析によれば、現在のビットコイン供給量の約32.7％に相当する約651万BTCが量子的に脆弱であり、現在の評価額で7000億ドルを超える規模となっている（図2参照）。この脆弱なビットコインには、アドレスの再利用を行なったウォレットに保管された資金、構造的に量子攻撃に弱いスクリプトタイプで保護されている資金、ビットコインキャッシュなどフォークチェーン上で公開鍵が露出しており、元のビットコインにも波及しうる資金などが含まれる。
ビットコインにとっての脅威：何を懸念すべきか？
量子コンピューターは、ビットコインのふたつの重要な領域に影響を及ぼすとみられている。ひとつはマイニング、もうひとつはトランザクション署名だ。量子マイニングにおいては、複数のマシンの演算能力を組み合わせ難いという特性から、単一の大型量子マイナーが過剰な優位性をもつこととなり、ネットワークの分散性が損なわれる可能性がある。トランザクション署名に関しては、リスクはもっと直接的だ。CRQCは公開鍵から秘密鍵を導き出すことが可能とされており、これによって資金が盗まれる恐れがある。
とりわけ重要なのは、ふたつの脅威が到来するタイミングには大きな差がある点だ。現状のASICマイナーを上回る性能の量子コンピューターを開発することは、デジタル署名を破る量子コンピューターを構築するよりも遥かに難易度が高い。これは、量子プロセッサのクロックスピードが非常に低く、ビットコイン・マイニングに使われている高度に最適化された専用ハードウェアと比べて著しく劣ること、そして並列処理が難しいという性質が背景にある。
署名
署名に関していえば、ECCに基づく方式では「公開鍵から秘密鍵を導き出すことは非現実的である」という前提を、CRQCは打ち破る可能性がある。これが実現すれば、攻撃者は資金を不正に入手できるようになる。ビットコインでは、UTXO（未使用トランザクション出力）の所有権は、公開鍵に対応する秘密鍵でトランザクションに署名することで証明される。もし、CRQCがその秘密鍵を逆算できれば、実際には所有していない資金を送金できてしまうのだ。
これにより、量子攻撃にはふたつの異なるシナリオが生じる。ひとつは、ハッシュ化されたアドレス（P2PKHやP2WPKH）からビットコインを送金する際に発生するものだ。これらのアドレスでは、通常は公開鍵がブロックチェーン上に表示されないが、送金のタイミングで一時的に公開される。この一時的な公開期間中（通常は数分から数時間）、攻撃者は秘密鍵を導き出して資金を盗むチャンスを得る。場合によっては、チェーン再編成（リオーグ）を利用した攻撃も考えられる。
もうひとつは、P2PK（公開鍵直接指定型）、P2MS（マルチシグ型）、P2TR（Taproot）といったアウトプット形式に関連するものだ。この形式では、資金を受け取った段階から公開鍵がブロックチェーン上に恒久的に表示されるため、攻撃者は時間制限なしに量子攻撃を仕掛けることができる。さらに、アドレスの再利用は本来一時的であるはずのハッシュアドレスの脆弱性を、恒久的な公開状態へと変えてしまう。一度送金に使ったアドレスの公開鍵はブロックチェーン上に残り続けるため、その後も常に攻撃の対象となりうる。図3に示したように、もっとも狙われやすいのは、公開鍵が露出している状態で大量のビットコインを保有しているアドレスだ。とりわけ、アドレスの再利用を行なってきた機関投資家の保有資金などが深刻なリスクに晒される。
マイニング
ビットコインのマイニングは、「ブロック発見の確率は投入された計算資源に比例して高まる」という原則に基づいている。量子コンピューティングにおけるGroverのアルゴリズムは、総当たり検索に対して二次的なスピードアップを提供する手法であり、理論上はマイニングの効率を大きく向上させる可能性がある。しかし、Groverのアルゴリズムは従来のマイニングと異なり、並列化が困難となる。この制約により、大規模かつ集中的な量子コンピューター設備を擁する一部の事業者が不釣り合いな優位性を得ることになり、マイニングの中央集権化をさらに進めてしまう恐れがある。より多くの参加者を引き入れるどころか、むしろ集中化を助長する結果となる。
中央集権化の懸念に加えて、量子マイニングはマイナーの最適戦略にも影響を与え、結果としてブロックチェーンの品質を低下させる可能性がある。例えば、孤立ブロック（ステールブロック）の発生率が高くなることで、セルフィッシュ・マイニング（二重採掘）やダブルスペンド（二重支払い）といった攻撃のコストが下がり、実行可能性が高まるとされている。
先述の通り、現在の高度なASICマイナーを上回る性能をもつ量子コンピューターの構築は、暗号署名を破るCRQCの実現よりも遥かに先のことと考えられている。そのため、量子マイニングは現時点では差し迫った懸念事項ではなく、今後数十年にわたって現実的脅威となる可能性は低い。とはいえ、将来的に量子マイニングが現実のものとなった場合に備えて、量子時代におけるPoW（プルーフ・オブ・ワーク）メカニズムの在り方を研究することは意義深い。潜在的なリスクやその緩和策について、いまから理解を深めておくことは、ビットコイン・エコシステムが将来の量子時代に備えるうえで有益である。
量子耐性への移行：主な課題とは？
量子耐性のある署名方式
量子コンピューターに耐性のある暗号署名方式については、数十年前から研究が行なわれてきたが、ここ数年で関心と進展が大きく加速している。これにより、SPHINCS+、FALCONなどのプロトコル候補が開発されてきた。とはいえ、この分野はまだ比較的新しく、当初は安全と考えられていた方式が、のちに伝統的なコンピューターによって破られてしまう例も存在する（例えば、SIKEだ）。現在有力視されているプロトコル候補への信頼は徐々に高まりつつあるが、分野としてはいまだ活発に進化している状況だ。
表1が示す通り、量子耐性のある署名方式には重大な制約がある。現在ビットコインで用いられているECDSAやSchnorrといった既存のアルゴリズムと比べて、鍵や署名のサイズが極めて大きく、検証にかかる時間も長くなる点だ。この問題に対処するため、一部の提案ではSegWitのウィットネス・ディスカウント機能を活用し、オンチェーンでのデータ負荷を軽減する方法が検討されている。しかし、量子耐性署名方式をビットコイン・プロトコルに統合する最適な手法については、いまだ明確な結論は出ていない。また、パフォーマンス上のトレードオフに加えて、現在の量子耐性アルゴリズムは、従来の署名方式が提供していた機能のすべてをカバーできない。例えば、ライトニングネットワークなど一部のアプリケーションに依存している署名機能には、現時点で対応していない部分がある。この領域は暗号学コミュニティにおける重要な研究テーマとなっており、今後数年の間にさらなる改良や進展が期待されている。
移行の選択肢
もし、ビットコイン・コミュニティが量子コンピューターに脆弱な資金を量子耐性のある形式へ移行することを選択した場合、大量のUTXOを移動させる必要が生じる。現在いくつかの移行手法が検討されており、それぞれ異なるトレードオフを伴っている。一部の手法では、ハッシュ化アドレスからの出金時に公開鍵が事前に露出しないよう、安全な送金を可能にすることを目的としている。また別の手法では、量子盗難のリスクが高いUTXOの使用を制限・管理する仕組みを提案している。これらの対策の多くは、ソフトフォークなどコンセンサスルールの変更を必要とする。また、実際に膨大な数のUTXOを移動させるには、ブロックスペースを持続的に割り当てたとしても、約4〜18カ月を要する可能性があり、技術面・運用面の課題も多い。
哲学的ジレンマ：盗難を許容すべきか？
ビットコイン・コミュニティは、根本的かつ哲学的な問いかけに直面している。すなわち、量子コンピューターに対して脆弱な資金を、永久に使えない「バーンド（burned）」な状態にするのか、それとも量子コンピューターによって「盗まれる（stolen）」ままにしておくのか、という問題だ。この判断は、ビットコインの中核をなす所有権の尊重、検閲耐性、不変性といった原則に深くかかわる。「burned」を支持する立場では、量子脆弱性をプロトコル上のバグとみなし、保守的な修正によって、CRQCを先に手に入れた者による不当な富の再分配を防ぐべきだとする。一方、「stolen」を容認する立場では、「burned」は所有者の財産権を侵害するものであり、脅威を知らなかった、あるいはタイミングよく移行できなかった人々から資産を事実上没収する行為に等しいと考える。
この問題は、哲学的な次元にとどまらず、市場のダイナミクスにも重大な影響を及ぼす。もし「burned」が実行されれば、数百万BTCが恒久的に流通から除外され、結果として残されたビットコインの価値が上昇し、市場に一定の安心感を与える可能性がある。一方で、「stolen」を許容すれば、量子計算能力をもつ主体への大規模な富の移転が発生し、資金の流出が時間をかけて進むことで、市場の不確実性や価格変動の増加を招く恐れがある。この問題にどう向き合うかは、ビットコインのガバナンスモデルにとって極めて重要な分岐点となる。セキュリティ上の必要性と、ユーザーの主権や非介入の原則といった価値観との間で、どのようにバランスをとるのかが問われている。
では、これから何が起こるのか？
CRQCの登場は、デジタル社会全体に大きな転換をもたらす可能性がある。現在の安全な通信手段、認証プロトコル、デジタルインフラの多くが、その影響下に置かれることになるだろう。量子コンピューティングはまだ現実の脅威とはなっていないが、将来に備えてビットコインの耐性を高めるための準備はすでに始まっている。暗号技術の研究者コミュニティとビットコインの開発者コミュニティの双方で、リスク評価や実践的な対応策の模索が続いている。今回のレポートでは、近い将来に優先的な検討が必要となるふたつの課題を取り上げた。ひとつは「アドレスの再利用を止めること」、もうひとつは「公開鍵が露出している資金をめぐる『燃やすか、盗まれるか（Burn vs. Steal）』議論におけるトレードオフの評価」である。
いまならまだ、事前に備えるための時間が残されている。ただし、この猶予期間が永遠に続くとは限らない。量子コンピューティングと暗号分野の進展を常に把握し、緩和策とビットコイン・エコシステム全体への影響を慎重に検討することが重要だ。ポスト量子時代においてもビットコインの長期的なセキュリティを維持するには、いまこの時点から、意識的かつ計画的な取り組みを開始し、時間的余裕のあるうちに十分な判断をくだしておく必要がある。
※本記事はClara ShikhelmanとAnthony Miltonによるゲスト寄稿です。記事内に述べられた意見は、完全に筆者個人のものであり、BTC IncやBitcoin Magazineの見解を必ずしも反映するものではありません。
