グーグルは、量子チップWillowが「マジックステート」の作成時にエラーを約40分の1に削減したと発表した。マジックステートは、最終的にビットコインウォレットを脅かす可能性のある量子計算に必要な特殊なリソースだ。今回の結果は、今週Science誌に掲載された。

この実験では、検査を通過したステートの間で約99.99%の忠実度を達成したが、作成の試みが成功したのは約8%にとどまり、大幅なスケーリングの課題が残っている。

この知見によって、ビットコインへの攻撃コストが40分の1になるわけではない。むしろ、あるモデル化された攻撃で必要とされる毎秒約50万個の信頼性の高いマジックステートを、将来の量子コンピュータが持続的に供給するのに役立つ工学手法を前進させるものだ。

この研究は、量子コンピューティングとビットコインをめぐる議論ではほとんど取り上げられない課題に取り組むものだ。こうした議論は通常、攻撃者にどれだけ大きなマシンが必要かという点に焦点を当てる一方、そのマシンのどれだけが計算の準備に占有されるかという点にはあまり注意を払っていない。

最も古いコインが攻撃者に多くの時間を与える理由

ビットコインウォレットは、支払いを承認するための秘密鍵と、ネットワークがその承認を検証できる対応する公開鍵を使用する。支払いを実行する際に通常公開鍵が明らかになるが、一部の支払い形式では最初から公開されている。

公開鍵から秘密鍵を逆算するには、非現実的な量の計算が必要とされ、これが暗号資産ウォレットのリバースエンジニアリングを事実上不可能にしている。しかし、十分に大規模な量子コンピュータがショアのアルゴリズムを実行すれば、理論上はこの計算が可能になる。秘密鍵を回復した者は所有者として取引に署名でき、ネットワークはそれを本物受け入れる。数学者のピーター・ショア氏がこの手法を最初に発表したのは1994年だが、これまで誰も実証に成功していない。

物理的な引き出しに保管されたリカバリーフレーズは、この種の攻撃に対する保護にはならない。攻撃者はすでにブロックチェーン上に存在する情報を利用して作業するからだ。

一部の後発の支払い形式では、所有者が支払いを実行するまで、公開鍵がハッシュ(デジタル指紋)の背後に隠される。以前は隠されていた鍵を標的とする攻撃者は、その公開を待つ必要があり、支払いに干渉できるよう迅速に秘密鍵を回復しなければならない可能性がある。

失われたコインが難しい問題となるのも同じ理由による。ビットコインはより強力な支払い保護を導入できるが、古い保有コインをそれらへ移すには既存の鍵が必要だ。鍵が失われている場合、所有者は移行できず、公開された公開鍵は将来の攻撃者にとって引き続き利用可能なままとなる。

ビットコイン初期の保有分は、ネットワークの匿名の創設者にちなんで「サトシ時代」と呼ばれることが多く、初期の報酬の多くは公開鍵に直接支払われていた。これは、ハッシュではなく鍵そのものがブロックチェーン上に記録される形式だ。ビットコイン最古の保有分の一部は採掘当時から公開鍵が露出しており、量子をめぐる議論が高まるなか、古いコインの移動も発生している。10月7日には、2010年7月以降手つかずだった100.02 BTCが16年以上を経て移動し、当時の価値は約850万ドルだった。8月には、2011年〜2014年から動きのなかった6つのウォレットがさらに553.59 BTCを移動し、当時の価値は約4,000万ドルだった。

これらの移動が、保有者が量子への懸念に対応していることを単独で証明するものではない。コインの移動は、ウォレットの変更、保有の整理、売却準備を意味する場合もある。

準備にかかるコスト

量子コンピュータは量子ビット(キュービット)と呼ばれる単位で情報を保存するが、これは極めて不安定だ。熱、振動、外部からの信号によって乱されて誤りが生じる可能性があり、キュービットを追加するほどミスの機会も増える。

エンジニアはこれに対処するため、多くの物理キュービットを誤りを検出・訂正するグループに組織化する。各グループはより信頼性の高い単位として機能し、これは論理キュービットと呼ばれる。これらの単位は、特定の操作を実行するためのデジタル的な燃料、すなわち研究者が「マジックステート」と呼ぶ特殊な量子状態を必要とする。マジックステートは使用時に消費されるため、コンピュータは計算の間ずっと生産し続けなければならない。

すべての料理に再利用できない新しいソースを一大批必要とし、調理するスタッフの横で一部のスタッフがソースを作り続けるレストランのを想像してほしい。量子コンピュータでは、マジックステートの生産に充てられるハードウェアは、他の作業に割り当てられないハードウェアだ。

このオーバーヘッドは、攻撃を企む者が同時に2つの問題に直面することを意味する。計算を実行できる規模のマシンを組み上げることと、その期間全体にわたってステートを供給し続けることだ。

グーグルの手法は「カルティベーション」と呼ばれ、大まかな状態から始めて誤りを検査し、欠陥のある試みを廃棄する。目標は、従来の手法よりも少ないハードウェアでクリーンなステートを生成することだ。

同社が報告したのは約99.99%の忠実度で、これは完成したステートが研究者の狙いにどれだけ近いかを示す指標だ。この数値は検査を通過したステートにのみ適用される。Willowは作成と測定の過程での検査の後、試みの約8%を保持した。100回の試みのうち、合格したのは約8回だ。

次のステップは、このプロセスをはるかに大きな規模で実行することと、より長い計算に投入される際にステートを有効な状態に保つことだ。研究者らは、リアルタイム処理や、より強力な誤り訂正体制へのステートの移行について、さらなる研究が必要だとしている。

これまでの研究との関係

グーグルは3月、特定のハードウェアの前提条件のもとで、50万個未満の物理キュービットを持つ将来の超伝導量子コンピュータが、BitcoinとEthereumで使用されているウォレット暗号を破れると推定していた。9月には、CoinDeskが、その攻撃に用いられる中核計算の作業量を削減した研究者たちについて報じた。この研究は一つの構成要素を扱ったものであり、攻撃全体や実行に必要な物理ハードウェアのコストは含まれていない。

これらの研究は、攻撃者が実行しなければならない計算量を減らすものだ。一方、カルティベーションは、計算の実行中にマシンへ供給するコストに取り組むものだ。両者の利得を単純に掛け合わせることはできない。グーグルの3月の推定はすでに効率的なマジックステート生産を前提としており、今回の実験はその工学手法の一部を検証したものであり、ビットコイン攻撃の推定コストがさらにもう40分の1になることを意味するものではない。

全体として、この研究は残された工学的チェックリスト、すなわち十分な物理キュービット、より効率的な計算、信頼性高いステート供給を示しており、それぞれがこれまで単独で実証されたものであり、完全なマシンとして実証されたわけではない。

3月の論文は、攻撃がどれほどの燃料を消費するかも示している。公開鍵が利用可能になってから約9分続くあるモデル化された攻撃において、グーグルはマシンに毎秒約50万個の十分に信頼性の高いマジックステートが必要になると推定した。

カルティベーションおよび他の構成要素が大規模に連携して動作することが実証されるまで、このモデル化された攻撃はハードウェア上の推定にとどまり、実行可能な能力には至っていない。