Googleの最新の量子コンピューティング成果により、Bitcoinにとってより長期的な問いが浮き彫りになった。暗号学的に関連する量子ハードウェアが実用化された場合、どの保有資産が最初に露出するのか、そしてその所有者はどのように移行できるのか。

10月15日の発表で、Google Quantum AIは、Willowプロセッサが特殊量子状態の準備中にエラーを約40分の1に低減したと述べた。この実験が対象とするのは、フォールトトレラント量子コンピュータの一構成要素であり、Bitcoinのデジタル署名を攻撃するために必要な完全なシステムではない。

Willowが実証したこと

研究論文"Magic state cultivation on a superconducting quantum processor"は、多くの誤り訂正アーキテクチャが対応する基本セット以外の操作に必要なリソースの準備方法を検証している。これらのリソースは「マジックステート」と呼ばれる。

マジックステートは、量子コンピュータが特定の操作を実行する際に消費される。したがって、長く複雑な計算では、計算を実行するハードウェアに加えて、信頼性の高い状態の継続的な供給が必要となる。

「カルティベーション」のプロセスは不完全な状態から始まり、協調的なチェックを用いてより高品質な結果を保持する。研究者らは、約99.99%の論理状態忠実度と、状態注入のベースラインと比べて約40分の1のエラーを報告した。

この結果には重要なトレードオフが伴った。選別プロセスの後、準備および測定中に行われたチェックを含め、試行の約8%のみが残った。したがって、報告された忠実度は保持された状態を示すものであり、大規模な計算を継続的に実行する完全なマシンの出力レートを示すものではない。

そのため、この発表をBitcoin攻撃に必要なリソースが40分の1に低減されたと解釈すべきではない。Willowはこの準備手法がハードウェア上で機能することを実証したが、暗号鍵の復元に必要な品質、規模、スループットを維持できるフォールトトレラントコンピュータの構築は、はるかに大きな課題であり続けている。

最初のリスクはオンチェーンで公開されている公開鍵

Bitcoinはデジタル署名を使用して取引の承認を証明する。所有者は秘密鍵で署名し、ワークは対応する公開鍵に対して署名を検証する。

Shorのアルゴリズムを実行する十分な能力を持つ量子コンピュータは、原理上、公開鍵から秘密鍵を導出し、有効な署名を作成できる可能性がある。そのような攻撃では、攻撃者はハードウェアウォレットを盗んだり、コンピュータに侵入したり、リカバリフレーズを入手したりする必要はない。

公開鍵が可視の状態で存在する期間の長さが、このリスクの中心にある。長時間露出型攻撃は、ブロックチェーン上ですでに入手可能な鍵を標的とし、将来の攻撃者に鍵の復元を試みるために必要なだけの時間を与える。短時間露出型攻撃は、承認待ちの取引に公開鍵が現れた後に始まり、はるかに狭い時間枠しか残らない。

多くの初期の採掘報酬はpay-to-public-key出力を使用しており、コインが未使用の間、公開鍵を明らかにする。これらの露出は、コインの古さではなく、支出条件に起因する。現代の保有資産も、鍵が過去の取引で明らかにされている場合や、Taproot出力を使用している場合には、長時間露出のリスクに直面し得る。

Taproot仕様は、署名ベースの直接支出を可能にする出力公開鍵を使用している。そのためTaprootが今日不安定になるわけではない。しかし、新しいアドレス形式でも、将来の量子鍵復元攻撃に関連する公開鍵情報が自動的に隠されるわけではないことを意味する。

コールドストレージは、秘密鍵をオンラインでの侵害から守るため、通常の窃盗に対して依然として有価である。しかし、ブロックチェーン上ですでに公開されている公開鍵を取り消すことはできない。

将来の攻撃にはWillowをはるかに超えるマシンが必要

Google主導の別のリソース研究は、特定の前提条件の下で、Bitcoinの楕円曲線署名に対する将来の攻撃に何が必要となるかを記述している。これはWillowの実証済み能力の説明ではない。この種のリソース推定は、量子の脅威を具体的なハードウェア要件に変換し、技術の発展に伴って開発者や研究者が追跡できる測定可能なベンチマークを提供する。

将来の超伝導アーキテクチャ（物理エラー率10 -3、平面接続性、高速制御システムを含む）の前提を用いて、この研究は関連回路が50万個未満の物理量子ビットで数分以内に実行できると推定した。

「プライムド」高速クロックのマシンについて、論文は公開鍵が利用可能になった後の平均鍵復元時間を約9分とモデル化している。この時間は事前計算や、現在のハードウェアが必要な規模で実証していない制御システムの反応時間に依存する。

このモデルはまた、9分間の計算には毎秒約50万個の十分に信頼性の高いTステートが必要と推定している。これは継続的な生産要件であり、マシン内の量子ビット数ではない。

このハードウェア推定には、マジックステート生成の効率的なアプローチがすでに組み込まれている。したがって、この数値をWillowの40倍のエラー低減で割ると、進捗を二重に数えることになる。一つの実験的準備手法におけるエラーの低減は、暗号攻撃全体のコストの比例的少と同等ではない。

将来の出力の保護はレガシー問題を自動的には解決しない

Bitcoinの開発者たちは、量子露出の異なる段階に対処する提案を検討している。BIP 360はPay-to-Merkle-Root（P2MR）を提案しており、これはTaprootの露出した鍵パス支出を除去するドラフトのソフトフォーク出力タイプである。

P2MRは、支出前にTaproot出力を脆弱にする鍵パスを回避することで、長時間露出リスクの低減を目的としている。ただし、mempoolで待機する取引内で鍵が明らかにされた後の完全な保護は提供しない。BIPの著者らは、これらの短時間の攻撃への防御には耐量子署名が必要になる可能性があると述べている。

Bitcoinの既存の署名からの移行提案は、さらなる課題をもたらす。BIP 361は情報提供目的のドラフト提案であり、別途まだ未特定の耐量子署名提案に依存している。その5年間の移行期間の提案は発効後にのみ開始されるものであり、Bitcoin保有者にとって現時点で有効な期限ではない。

休眠状態の保有資産が最も困難な移行問題を提示する。秘密鍵へのアクセスを失った所有者は、より強固な保護への移行を承認できない。しかし、非活動であることはコインが放棄されたことを証明しないため、未移行の保有資産を制限する規則は、後で戻ってくる正当な所有者にも影響を与え得る。

現時点での課題は備えであり、パニックではない

Willow実験のいかなる結果も、Bitcoin保有者が今日緊急の送金を行う必要があることを意味しない。重要な問いは、出力がすでに公開鍵を露出しているかどうかであり、所有者がハードウェアウォレットで秘密鍵を保管しているか、アドレスが単に古く見えるかではない。

Bitcoinにとってより困難な課題は、暗号学的に関連する量子ハードウェアが存在するようになる前に、移行経路を作成し採用することである。新しい出力タイプの合意、ウォレットおよびカストディソフトウェアの対応、既存資金を移動する実用的な手段が所有者に必要となる。

そのプロセスは、新しいアドレス形式の作成よりも時間がかかる可能性が高く、特に古いコインやアクセス不能なコインではそうである。Bitcoinには将来の保護に関するドラフト提案は存在するが、発効済みの耐量子移行経路はない。現時点で注視すべき具体的な指標は、BIP 360とBIP 361がドラフト段階から進展するかどうか、そして量子ハードウェアの進歩がWillowのような単一構成要素の実証から、リソース研究がモデル化するフォールトトレラントマシンへと拡大するかどうかである。

この記事は情報提供のみを目的としており、金融または投資に関する助言を構成するものではない。