ビットコインの量子コンピューティングをめぐる議論は、単なる暗号技術の技術的問題ではない。楕円曲線署名が所有権を確実に認証できなくなった場合にどの原則が優先されるかという論争でもある。有効なコインは所有者が支払える状態を保つという約束か、供給量の大きな割合を奪取しうる耐量子能力を持つ攻撃者からビットコインを守る必要性か。

どの現実的な選択肢も衝突を生む。何もしなければ現行のコンセンサスルールは維持されるが、将来の量子攻撃者が所有者の同意なくコインを奪うことを許しかねない。脆弱なコインの凍結は窃盗を防げるが、既存の支出条件を遡及的に無効化する。耐量子署名への強制移行は賢明なエンジニアリングであり得る一方、期限付きの没収体制と見られる可能性もある。

したがって中心的な問いは、楕円曲線署名が正当な所有者を確実に識別できなくなった場合に、財産権侵害の総量をいかに最小化するかである。

量子の脅威

ビットコインの現在の認可システムは楕円曲線暗号に依存している。レガシーなECDSA署名とSchnorr署名はどちらもsecp256k1曲線を使用する。古典計算の前提では、公開鍵から秘密鍵を導出することは計算上不可能であるShorのアルゴリズムを実行できる十分な能力を持つ暗号関連量子コンピュータはこの前提を変えうる。公開鍵が露出すれば、攻撃者は対応する秘密鍵を導出し、ネットワークが有効と受け入れるトランザクションを作成できる。

すべてのビットコイン出力が同時に公開鍵を露出するわけではない。古いP2PK(公開鍵への支払い)出力やTaproot出力はオンチェーンで公開鍵を露出しており、長距離攻撃にさらされうる。他の出力は所有者が支払うまで公開鍵をハッシュの背後に隠す。その場合、短距離攻撃者はトランザクションを観察し、素早く秘密鍵を導出して支払いを置き換えたり先回りしようとする可能性がある。

量子マイニングは別の問題である。Groverのアルゴリズムは有効なブロックハッシュの総当たり探索を理論上2乗速度で加速できるが、ShorのアルゴリズムはECDSAとSchnorrの背後にある前提に対して超多項式速度の加速を提供する。したがってマイニングに量子コンピューティングを使う優位性は、楕円曲線署名への攻撃に比べて実用性がはるかに低いと考えられている。

量子コンピュータをめぐる不確実性

暗号関連量子コンピュータが実現するかどうかは依然として不確実である。量子懐疑論者は一般に、Shorのアルゴリズムが楕円曲線暗号を破りうること自体は争っていない。彼らの主張は、関連する規模で実行できる強力なフォールトトレラントなマシンをエンジニアが製造できると考える明確な理由はない、というものである。

現在のノイズのある量子プロセッサではECCを破ることはできない。そのような攻撃には、多数の信頼性の高い論理量子ビット、極めて低いエラー率、長時間のコヒーレント計算、そして規模どおりに機能する量子誤り訂正が必要である。

Mikhail Dyakonovは、量子フォールトトレランス閾値定理が、十分に独立したノイズ、正確なゲート、限定された不要な相互作用、巨大なシステム全体でエラーを閾値以下に保つ能力といった理想化された前提に依存していると論じた。Gil Kalaiはより構造的な批判を行い、相関のあるノイズとノイズの蓄積が高品質な量子誤り訂正符号のスケーリングを妨げる可能性があると主張した。Kalaiは2011年の論文で、量子符号の物理的実装、確率システムにおける相関、蓄積されたノイズがスケーラブルな量子コンピュータを妨げうるかを検討した。

懐疑論者は物理量子ビット数の進捗からの単純な外挿も拒否している。50、100、1,000物理量子ビットから数百万物理量子ビットや数千論理量子ビットへの移行には、クロストーク、リーク、相関誤差、較正ドリフト、熱効果、測定誤差、製造ばらつき、制御ノイズの制御が必要である。慎重に選ばれたサンプリング題でのみ古典シミュレーションを上回る現在のデモは、256ビットECC秘密鍵を回収できるほど確実にShorのアルゴリズムのような長く構造化されたアルゴリズムを実行する能力について限られた証拠しか提供しない。

移行が重要である理由

暗号関連量子コンピュータが登場した場合、ユーザーに耐量子暗号の選択肢を与えるだけでは脆弱なビットコインすべてを保護できない。露出したコインには、初期のP2PKコイン、再利用された公開鍵に管理されたコイン、Taproot出力、公開鍵または拡張公開鍵がブロックチェーン外で開示されたコインが含まれる。

古いP2PK出力はUTXO数では小割合だが約170万BTCを占める。出力タイプ、活動パターン、既知の所有権に基づくより広範な推計では、アクティブなビットコインユーザーがウォレットを耐量子暗号に移行しても、少なくとも260万BTCが脆弱なまま残る可能性があるとしている。記事は約260万BTC、現行総供給量の約13%が量子安全なロッキングスクリプトへ移行できなくなる可能性があると推計している。

これらのコインは直接の売却を超えるシステミックリスクを生みうる。量子攻撃者は市場を不安定化させ、信頼を損ない、ネットワークを妨害し、または51%攻撃を試みるのに十分なハッシュレートを獲得するために利用するかもしれない。したがってコイン保護には、脆弱なECDSAまたはSchnorr署名の使用を防ぐコンセンサス変更が必要となる。

「没収」「焼却」「凍結」「窃盗」「回復」といった用語は異なるメカニズムを指す。凍結はコインを国家、マイナー、開発者、回復基金に移転するものではない。指定された出力を脆弱な署名では支払えなくするものである。コインが再割り当てされないため、支持者は時折「焼却」という表現を用いる。ただし元の鍵を依然として保持する正当な所有者は、その実効的な影響を没収的だと見なしうる。

BIP-361は移行を段階に分ける。耐量子アドレスタイプが存在するようになれば、新規コインは量子脆弱アドレスに送られなくなる。複数年の期間の後、レガシーなECDSAおよびSchnorrの支払いは無効化されうる。提案は、破られたECCのみに依存せず所有権を証明できるユーザー向けの回復方法も未解決のままとしており、シードフレーズやHDウォレット構造から導出されるゼロ知識証明などが考えられる。その目的は、ECCが廃止される前にユーザー、取引所、カストディアン、ウォレット、機関が移行するようインセンティブと期限を作ることである。

凍結を支持する議論

凍結の支持者は、量子計算によって秘密鍵を導出する攻撃者はいかなる意味でも正当な所有者ではないと主張する。脆弱なコインが奪われることを許すことは中立ではなく、既知の弱点にられた出力を最初の量子能力を持つ行為者が略奪することを許すに等しいという。

成功した一括回収は、比較的少ないリソースで獲得した行為者へ富を再分配し、経済的に合理的な参加者が保有価値を守るインセンティブを持つというビットコインのセキュリティモデルを損ないかねない。失われたコインは特に懸念される。攻撃者が永久に失われたと考えられていたコインを回収すれば、正式な2,100万上限は変わらないものの、実効的な流通供給量は増加しうる。

脅威は純粋に金銭的ではなく政治的でもありうる。攻撃者は市場を不安定化させ、信頼を損ない、大量のBTCを交渉材料として保有するかもしれない。メーリングリストでの議論におけるPieter Wuilleの発言は、実際の攻撃の前に、量子コンピュータがまもなく存在しうるというもっともらしい信憑性から危険が生じうることを強調している。したがって脆弱な支払いを無効化する信頼できる計画自体が安心メカニズムとなりうる。

支持者はまた、自主的な移行は遅いと主張する。ハードウェアウォレット、取引所、カストディアン、相続計画、マルチシグ調整、コールドストレージ手順の変更には数年を要する。Matt Coralloは、必要になる遥かに前にビットコインがシンプルな耐量子機能を追加すべきだと主張し、ウォレットが耐量子公開鍵の埋め込みやコミットを開始できるようにすべきだとしている。

既知の期限は、上場企業、ETF、カストディアン、取引所、コンプライアンス部門、リスク委員会に具体的な移行計画を与える。BIP-361は、期限が存在すれば取引所とカストディアンは受託責任と法的圧力に直面すると論じている。支持者はさらに、同じ準備がECCが時間とともに弱体化するその他の状況への対応にも役立つと指摘する。

この観点からは、明白に危険な支出経路を無効化する客観的なソフトフォークは、恣意的な政治的没収よりも壊れた錠の交換に近い。ルールは指名された所有者ではなくスクリプトタイプに適用され、実行可能な移行経路とともに数年前に告知されうる。

凍結に反対する議論

反対者はビットコインの確立された財産権の期待から出発する。有効なコインは、受領時に受け入れられたコンセンサスルールのもとで対応する鍵の保持者が支払い可能なまま残る。その支出経路を遡及的に無効化することは、「Not your keys, not your coins」を「期限までにアップグレードしていないならそれはあなたのコインではない」に変えるに等しいと彼ら主張する。

批判者は、凍結がUTXO所有者間で勝者と敗者を選ぶ前例を作ると懸念する。ルールが技術的に客観的であっても、アドレスの選択、ウォレット設計、休眠、行動不能に基づいてユーザーを標的とする。将来の連合は、制裁、盗難回復、相続紛争、国家の圧力、失われたと推定されるコインなど、同様の介入を求めるかもしれない。

凍結は失われたコインと休眠コイン、収監中の所有者、相続人がいる故人、敵対的管轄のユーザー、タイムロックされた取り決め、忘れられたコールドストレージ、意図的な長期貯蓄を区別できない。インセンティブの衝突も生じうる。アクティブな保有者は実効供給量の減少から利益を得る一方、非アクティブな正当な所有者が損失を被る。

量子のタイムラインと能力にも不確実性がある。量子コンピュータは予想より遅れてくるかもしれず、異なる形をとるかもしれず、秘密のままかもしれず、より穏当な手段で対抗されるかもしれない。脅威が現実化する前に数百万コインを永久に焼却すること自体が、不可逆的な財産権侵害となりかねない。

技術的な移行先も不確実である。NISTはML-DSA、SLH-DSA、ML-KEMを標準化したが、ビットコインには検証コストが管理可能でコンパクトな、スクリプト互換の所有権証明が必要である。Chaincodeの候補方式の比較によれば、耐量子署名と鍵はSchnorrやECDSAより大幅に大きくなりうるし、成熟度、サイズ、署名コスト、検証コスト、セキュリティ前提が大きく異なる。不適切な移行はスループットを低下させ、手数料を上げ、UTXOまたは証人データの負担を増やし、新たな前提を導入し、後の再移行を必要としかねない。

永久凍結の代替案

いくつかの提案は、古い財産権の主張を直ちに破壊せずにシステミックリスクを低減しようとしている。BIP-361のフェーズAは、既存の出力を一時的に支払い可能なまま、新規の脆弱な出力を防ぐ。Boris Nagaevは将来の再有効化高さを含む一時的なロックを提案し、ConduitionはP2QRHやP2MR様の出力との相互作用を検討し、EC検証の広範な禁止がハイブリッド構成に影響しうると警告した。

Hourglass V2提案は、古いP2PKの支払いをブロックあたり1入力、純増でブロックあたり1 BTCに制限するレートリミットを設ける。著者らはこれが時の焼却と無制限の量子清算の双方を防ぐという。批判者は、それでも許可不要な支出を制限し、正当な所有者と攻撃者の間に数十年にわたる競争を生みかねないと反論する。

コミット・ディレイ・リビール方式(Guy Fawkes型構成と関連して議論されることもある)では、ユーザーは将来の支出をコミットし、確認を待ち、後で検証に必要な情報を公開する。Chaincodeはこのアプローチをオプトインと説明し、Optechの要約は移行の緊急性を低減し短時間露出攻撃からコインを守れると指摘している。

もう一つの回復方法は、脆弱な公開鍵の管理ではなく、シードや導出経路の知識を証明するものである。Or Sattathらは「署名リフティング」を議論し、Olaoluwa Osuntokunはzk-STARKを用いてTaproot BIP-86出力鍵がBIP-32シード経路から導出されたことを証明する概念実証を構築した。最新の最適化版では200 KBの証明が必要である。手数料が数百ドル、高い手数料率では数千から数万ドルに達する可能性があるため、小さなUTXOの回復は経済的に成立しなくなる可能性がある。その他の懸念には、証明サイズ、検証の複雑さ、プライバシーリーク、ウォレット導出の前提、ビットコインのコンセンサスへの新規暗号の追加リスクがある。

Marc Johnsonらは、耐量子出力、任意のデュアル署名、手数料やポリシー上のインセンティブに基づく市場主導の移行を提案した。このアプローチは財産権をよりよく保護するが、価値の高いBTCが大量に露出したままならシステミックリスクには対処できないかもしれない。

技術的・経済的トレードオフ

NISTの耐量子標準は基盤を提供する。FIPS 204はML-DSAを、FIPS 205はSLH-DSAを、FIPS 203は鍵確立のためのML-KEMを標準化している。それでもビットコインには汎用標準だけでなく、デジタル署名とスクリプト互換の所有権証明が必要である。

ハッシュベースの署名は保守的な前提を提供するが大きい。Lamport型署名はOP_CATなどのスクリプトアップグレードで有効化できるが、量子脆弱なTaproot鍵経路は除去または無効化する必要がある。BIP-347のOP_CAT議論はこの問題を明示している。ML-DSAなどの格子ベースの方式は多くのハッシュベースの選択肢よりコンパクトだが、異なる前提と実装リスクを伴う。Falcon型署名はコンパクトだが実装がより繊細であり、SPHINCS+/SLH-DSAは保守的だが大きい。

Chaincodeは、すべてのUTXOの移行には、ブロックスペース全容量を使えば約76〜142日、25%を使えば305〜568日かかると推計している。これらの数値にはウォレットのアップグレード、機関の承認、エアギャップ署名、ハード交換、会計ワークフロー、調整は含まれない。したがって完全な移行には数年を要する可能性が高い。Chaincodeの概算は最良の場合で約5年、最悪の場合で約15年の範囲であり、緊急時には2年に圧縮できる可能性があるが、過去の緊急時の修正は直接の比較にはならないと報告書は述べている。

歴史的前例とガバナンス

Value Overflow Incidentは、当時ルールに従って正当に作成されたコインを除去するためにコンセンサスルールが変更されたことを示している。2010年8月15日、ブロック74,638に3つのアドレスに対して184,467,440,737.09551616 BTCを作成するトランザクションが含まれていることが発見された。2つのアドレスがそれぞれ922億BTCを受け取り、マイナーは追加の0.01 BTCを受け取った。エラーはトランザクション検証での整数オーバーフローによるものであった。

5時間以内に、ソフトフォークのコンセンサス変更でそのようなトランザクションを拒否する新クライアントが公開された。ブロックチェーンは分岐し、「良い」チェーンはブロック高74,691で追い越した。無効なトランザクションとそれが作成したコインは、最大の累積プルーフ・オブ・ワークを持つチェーン上には存在しない。

EthereumのThe DAO事件は別の比較対象である。2016年、The DAOのコントラクトに資金引き出し前の遅延があったため、コミュニティはETHの5%を掌握する攻撃者に対応する約1か月を得た。Ethereumは最終的に資金を返還するためハードフォークし、元のチェーンはEthereum Classicとなった。2つのネットワークには異なる歴史と構造があるものの、Ethereum ClassicはEthereumの時価総額の10%に達するのも困難であった。

BIP-361型のビットコイン変更はハードフォークではなくソフトフォークである。DAOフォークに反対するユーザーは元のルールのまま残ればよかったが、ハッシュレートの多数派を持つ量子移行ソフトフォークに反対するには、User Rejected Soft Forkの調整が必要であり、前例はない。

ビットコインにはそのような変更を強制できる中央当局は存在しない。ECCの廃止には、ノード運営者、マイナー、取引所、ウォレット、カストディアン、加盟店、ユーザーの広範な合意が必要である。暗号関連量子コンピュータの証明後にのみ行動することは、パニックと市場のストレスの中での決定を意味しかねない。行動が早すぎれば、脅威が十分にもっともらしい前に不可逆的なコストを課しかねない。

考えられる前進の道

Matt Coralloは、議論は単にコインを凍結しないことではなく、財産権を最大限に保護することとして枠づけるべきだと主張した。その枠組みでは、広くレビューされた耐量子の移行先が存在し、移行期間が十分に長く、ルールが客観的で狭く、回復の選択肢が利用可能である場合にのみ、ECCの廃止は化されうる。

BIP-361には5年の移行期間が提案されている。移行が早すぎると不必要なコストを課したり未成熟な方式に固定されたりし、遅すぎるとシステミックな脅威にシステムが晒されうるからである。記事は、暗号関連量子コンピュータが10年未望にある可能性が高く見える場合を除き、有効化を真剣に検討すべきではないとしている。

次のステップにBIP-361の有効化は含まれない。アドレス再利用の削減、回復証明の研究、xpub共有への依存低減、より効率的な耐量子方式の開発、オプトインの量子安全なロッキングスクリプトの有効化、複数の緊急時対応計画の準備が含まれる。

ビットコインの量子問題は、今日パニックになるべきという意味で緊急なのではない。分散型システムは緊急事態になる前に困難な調整問題を解決しなければならないという意味で緊急なのである。議論は財産権の尊重と侵害の間の単純な選択ではなく、競合する形態の財産権の失敗の間の選択である。記事は、ビットコインは量子コンピューティングを現実的だが定量化できないシステミックリスクとして扱い、不確実性のみに基づく性急で物議を醸す変更は避けるべきだと結論づけている。

本記事はBitcoin Magazineの最新印刷版『The Quantum Issue』に掲載されており、号全体で探求されるアイデアの先行公開として共有されている。著者はShinobiで、初出はBitcoin Magazine。