ビットコイン開発者のコリー・フィールズ氏には、将来の量子窃盗犯への対処に関する風変わりなアイデアがある。それは、他人のビットコインを盗もうとするたびに、盗もうとしている本人自身のビットコインをリスクにさらさせるというものだ。

11月4日にビットコイン開発メーリングリストに投稿された内容で、フィールズ氏は「量子地雷」と、脆弱なウォレットへの攻撃を高リスクな賭けに変えることを目的とした2種類のオークションを概説した。氏はこれらのアイデアを、完成したビットコインのアップグレードではなく「思考実験」と呼んだ。メーリングリストでの議論という位置づけは、正式な提案やコードが存在するはるか前の、ビットコインのオープンな変更プロセスの最も初期の段階にこのアイデアを置くものであり、他の開発者が仕組みを検証できる状態となる。オークションの設計は、地雷を仕掛けられる所有者がもういない可能性のある、放棄されたとみられるコインを対象としている。すべては仮説の段階であり、実現には量子耐性ウォレット、新しいコンセンサスルール、そしてその有効化方法に関する合意がビットコインに必要となる。

なぜ量子コンピューターが一部のウォレットを脅かすのか

ビットコインの所有者は、秘密の秘密鍵を使って取引を承認する。対応する公開鍵により、ネットワークは秘密を知ることなく署名を検証できる。今日のコンピューターでは、公開鍵から秘密鍵を現実的に計算することはできないが、十分に高性能な量子コンピューターであれば、「ショアのアルゴリズム」と呼ばれる数学的手法を用いてそれが可能になり、窃盗犯が自分のコインであるかのようにコインを使えてしまう可能性がある。

一部の古いビットコイン出力は公開鍵を露出しており、特定の新しい形式でも公開鍵が明らかになる。他のアドレス形式は、支出が行われるまで鍵を隠すため、リスクはすべてのウォレットで同一ではない。研究者らは、この種の攻撃が可能なコンピューターの仮説上の出現を「Qデー」と呼んでいる。現在、この方法でビットコインを盗めることが公に実証されたマシンは存在せず、いつ登場するのかも誰にも分からない。

量子地雷の仕組み

誰かが古い、脆弱性のある可能性のあるウォレットで1 BTCを保有していると想像してほしい。Qデーの前に、この所有者は、量子窃盗がまだ不可能だった時点で元の秘密鍵を管理していたことを証明する隠された証拠を含む、ごく小さな独立した量子耐性のビットコイン出力を作成する。それは封印された所有権の証明書のようなものだ。部外者は小さな出力自体は見えるが、その中に隠された証拠や、それが罠であることすら分からない。

次に、未来の窃盗犯が量子コンピューターを使ってその秘密鍵を復元したと想像してほしい。フィールズ氏の提案するルールでは、窃盗犯は単純にその1 BTCを奪うことはできない。量子耐性ウォレットから自分自身の1 BTCを担保として追加しなければならない。両方のコインは2 BTC相当の制限付き出力に入り、窃盗犯は自由に使えるようになるまで、異議申立て期間——フィールズ氏の例では30日間——を待たなければならない。

ウォレットの所有者がこの取引に気づけば、Qデー以前の証明を明かす。するとネットワークは、所有者が全額の2 BTCを、事前に約束していた量子耐性アドレスへ移動することを認める。つまり、元のコインに加え、窃盗犯の担保も取得できる。攻撃者は事前にどの古いウォレットにこうした隠された証明書が含まれているかを知る手立てがないため、量子による鍵の復元に成功したとしても、1 BTCの損失に終わる可能性がある。

この設計は正直な保有者にも負担を強いる。所有者は、自身のレガシーコインをQデー後に通常移動する際にも、同額の担保を用意する必要がある。余分なBTCがなければ、窃盗犯を懲らしめるために意図された同じルールが、自身の貯蓄を移動することを困難にしかねない。

紛失・放棄されたコインはどうなるのか

地雷は、所有者がQデー前に事前に準備し、タイムリーに明かした場合にのみ機能する。この事前準備の要件は提案内のすべてのメカニズムに共通しており、保有者にとっての賭けの核心でもある。こうした攻撃が可能なマシンが一度存在すれば、Qデー以前の所有権を証明したり、地雷を仕掛けたり、入札を登録したりする機会は二度と訪れない。鍵がすでに失われたコイン、すなわちアクセス不能と広く考えられている初期のビットコイン保有の一部は、保護できない。

フィールズ氏は「ステークドオークション」と呼ばれる第2のメカニズムを提案している。Qデー前に、誰かが量子耐性のビットコインをロックし、窃盗犯の標的になると予想される特定の古いウォレットに対して、秘密裏に入札を登録しておくことができる。ある放棄されたと思われるウォレットに50 BTCが保管されているとしよう。未来の攻撃者がそれを移動しようとして、さらに50 BTCを担保として差し出す。オークション期間中、事前に入札を約束していた参加者が、その窃盗の試みに異議を唱えることができる。

フィールズ氏の例では、異議申立てに成功した参加者は攻撃者の担保の一部を獲得する一方、元の脆弱なコインは入札者に渡されるのではなく破棄される。狙いは、窃盗犯から確実な収入源を奪うことであり、行方不明の所有者にコインを返すことではない。

3つ目のアイデアである「サッツオークション」は、事前のステークを必要としない。代わりに、脆弱なコインの支出が競争を引き起こし、最高入札者が入札額を差し引いた額でコインを獲得し、2位の入札者は入札額を支払うが何も得られないという仕組みだ。これは、どちらの入札者も「無駄損」になりたくないため互いに提示額を吊り上げ続ける、悪名高いオークションゲームに似ている。窃盗犯は、盗もうとしたコインの価値を上回るコストがかかり得る競争を、避けるかもしれない。

脆弱なビットコインを凍結すればよいのでは

量子リスクへの対処として提案されているのが、移行期限後に旧式のウォレットからの支出を制限する方法だ。窃盗は防げるかもしれないが、コインを移動しなかった正当な所有者を永久に締め出す可能性もある。

フィールズ氏は異なるトレードオフを模索している。古いコインは支出可能なまま維持しつつ、移動の試みをコストがかかるものとし、異議申立ての対象にするというものだ。難しいのは、両者が同じ有効な署名を作れる場合、ビットコインは正直な所有者と量子窃盗犯を区別できない点だ。このトレードオフは深刻である。正直な所有者は大規模な担保預入を必要とするかもしれず、非アクティブな保有者は異議を唱える機会を逃すかもしれず、オークションのルールは、まだ生きていて単にオフラインになっているだけの人々のコインを焼却してしまう可能性もある。

実装には何が必要か

ビットコインはまず、資金を量子耐性の方法で保有・支出する手段を必要とする。そのうえで、ウォレットは隠された所有証明をサポートし、ビットコインのコンセンサスルールは担保、待機期間、特別な復旧取引、オークションを強制する必要がある。開発者らはまた、新ルールをいつ有効化するか、どの程度の担保が必要か、入札に敗れた場合や残った資金をどう扱うかについても合意しなければならない。

フィールズ氏は、一部の仕組みはソフトフォークという種類のビットコインのルール変更を通じて導入できると考えているが、詳細な設計は示していない。こうした保護は今日のビットコインには一切存在しない。フィールズ氏は実装や有効化のスケジュールを公表しておらず、当初の投稿ではオークションの配分、さらにはオークションの望ましい結果についてさえ未決のままとなっている。こうした未解決の点こそが注視すべきシグナルとなる。オークションの配分を確定するフォローアップ投稿、ドラフト仕様、量子耐性の出力形式に関する他の開発者の目に見える関与などがあれば、このアイデアは思考実験の域を超えたことになるが、それがなければ現状維持だ。

出典: Decrypt