未公開のAnthropic AIモデルが、約60時間で耐量子署名方式を破り、Bitcoin開発者がまだ解決していない問いを再燃させました。ネットワークはいつ耐量子暗号への移行を開始すべきでしょうか。

この発見はBitcoinに直接的な脅威をもたらしません。HAWK-256はネットワークに導入されたことがなく、既存のウォレットは影響を受けません。しかし、この結果はBitcoinの耐量子ロードマップの根底にある重要な前提を変えるものです。すなわち、AIによって高度な暗号システムのテスト、さらには破壊がより高速かつ低コストで可能になりつつあるということです。

MythosがHAWKに何をしたか — そしてそのコスト

7月28日、Anthropicは、承認された一部のユーザーにのみ提供されているClaude Mythos Previewモデルが、NISTの耐量子暗号評価第3ラウンドに残る最後の格子ベース署名候補であるHAWK-256に対する、これまで文書化されていない攻撃を発見したと発表しました。NISTは連邦暗号標準を策定する米国商務省の機関であり、2016年からこの長期間にわたるコンペティションを実施しています。同機関が選定したアルゴリズムは、米国政府システムだけでなく、世界中の企業やプロトコルで採用されるのが通例です。

このAIは、人間の専門家が見逃していたHAWKの設計に隠された対称性を特定しました。この発見により、アルゴリズムの実効セキュリティは約50%低下し、必要とされる予想計算量は約2^64から2^38オペレーションにまで減少しました。Anthropicのリサーチブログによると、攻撃には約60時間を要し、約100,000ドルの計算コストがかかりました。これは暗号学の正式な教育を受けていない研究者によって実行されました。

暗号コミュニティの反応は迅速でした。GoogleのSophie Schmiegは「基本的にこの論文で、HAWKは終わりました」と述べました。Johns Hopkins UniversityのMatthew Greenは、この研究に画期的な数学は含まれていないものの、既存の手法の斬新な組み合わせを示していると指摘しました。Ars Technicaは、HAWKの開発者が翌日にアルゴリズムを公的な流通から撤回したと報じました。

すべてのBitcoinウォレットが影響を受けない理由

この結果はBitcoinの現在のセキュリティには何の影響も与えません。Bitcoinはsecp256k1楕円曲線上のECDSAに依存しており、これはHAWKとは完全に無関係です。このアルゴリズムはBitcoinや他のブロックチェーン、または商用ソフトウェアに実装されたことはありません。その破綻はレビュープロセス中に発生したものであり、まさに導入前に欠陥を暴くために意図された精査の結果でした。

Bitcoinの計画されている耐量子移行は、HAWKを完全に回避していました。2026年2月、Bitcoin Improvement ProposalリポジトリにBIP-360が提出されました。これはP2QRHと呼ばれる新しい出力タイプを導入するものです。この出力タイプはML-DSA（HAWKと同じ数学的ファミリーに属する格子ベースの方式）とSLH-DSA（ハッシュベースの署名）を使用し、いずれもNISTが長年にわたる公開評価を経て2024年に最終化したものです。さらに、2026年4月にはJameson LoppらによってBIP-361が提出され、BitcoinにおけるECDSAの段階的廃止が提案されました。HAWKはいずれの提案にも含まれていませんでした。

移行開始時期を決めるテスト

TFTCで議論されたように、中心的な問いは、AI支援による暗号解読が最終的にBitcoinが採用予定のアルゴリズム（ML-DSAまたはSLH-DSA）を脅かす可能性があるかどうかです。同じく格子ベースであるHAWKがAI主導の攻撃によって破られたという事実は、ML-DSAとHAWKは構造的に異なり別個の分析を受けているものの、この問いにさらなる重みを与えています。ネットワークが移行を完了する前にいずれかの候補に脆弱性が発見された場合、成熟した標準を待つという戦略はもはや成り立たない可能性があります。

暗号解読の経済性も変化しています。Anthropicは、意味のある暗号分析が現在約60時間・約100,000ドルで実行可能であることを実証し、この種のテストがはるかに再現しやすくなりました。NSAやGCHQなどの情報機関はほぼ確実に裏で同様の作業を行っており、公開された研究結果は非公開の結果に遅れをとっていると考えられます。

研究者たちはこの事例とSIKE（Supersingular Isogeny Key Encapsulation）の間に類似点を描いています。SIKEもまた長年の分析を生き延びた別の耐量子候補でありながら、2022年にノートパソコンで1時間未満で破られました。AIはこのパターンを加速させているようです。

タイムラインが縮み続ける理由

AI支援による暗号解読は、量子攻撃が実用的になるまでの予想期間を短縮しています。Forresterの2026年量子セキュリティレポートはこの評価を裏付け、新しいアルゴリズムの出現が複雑な暗号問題を解くために必要な計算リソースを削減することで、セキュリティタイムラインを「一晩で」短縮する可能性があると警告しています。同社は2030年までにQ-Dayに関連する深刻なセキュリティ脅威を予測しています。

Googleも同様に自社の取り組みを加速させており、2029年までに内部システムからRSAと楕円曲線暗号を退役させる目標を設定し、他社にも追従するよう求めています。

Bitcoinにとって、利害は大きいです。TheStreetに引用されたアナリストの試算によると、約670万Bitcoin（時価総額でほぼ6,000億ドル）が、十分に強力な量子コンピューターによって侵害される可能性のあるウォレットに保管されています。Quantum Horizonと呼ばれる研究は、量子攻撃が発生した場合、約230万Bitcoinが永続的に失われると報告しています。また、現在の暗号を破る能力を持つ量子コンピューターが2035年までに稼働する確率を6分の1と推定しています。著者らは、Bitcoinの主な課題はもはやハードウェアの開発ではなく、そのような技術が出現する前にネットワークが移行を完了できるかどうかにあると主張しています。

Bitcoinはどのような暗号を使用しているか

Bitcoinはそれぞれ異なる目的を果たす複数の暗号プリミティブを採用しています。重要な点として、Bitcoinはトランザクションを暗号化しません。その代わり、認証、完全性、コンセンサスのために暗号技術に依存しています。

懸念されているのは、Bitcoinの署名方式（ECDSAおよびSchnorr）が、Shorのアルゴリズムを実行する将来の量子コンピューターに対して理論上脆弱であることです。そのため、開発者や研究者はBitcoinが将来のプロトコルアップグレードを通じて、ハッシュベースや格子ベースの代替案などの耐量子署名方式に移行するための道筋を模索しています。このような移行は、ウォレット、トランザクション、コンセンサスルールへの影響が甚大であるため、Bitcoinエコシステム全体（マイナー、ウォレット開発者、取引所、フルノード運用者を含む）の幅広い合意を必要とします。その合意形成は歴史的に遅いのが特徴です。Bitcoinには変更を命じる中央機関がなく、物議を醸すアップグレードはチェーンの分裂を招くリスクがあります。

HAWKへの攻撃は、ネットワークがHAWKを使用していないため、Bitcoinに直接的な影響を与えませんでした。それでも、この結果はAIが暗号解読を加速させ、新興の暗号方式の評価または破壊に必要な時間を短縮できることを示しています。量子アルゴリズムの最近の進歩と相まって、これらの発展はBitcoin開発者による耐量子未来に向けた継続的な取り組みの緊急性を浮き彫りにしています。