量子コンピューティングは、ここ数年暗号資産にとって進行の遅い課題であり続けてきた。脅威そのものが現実であることについては広く認識が一致している。十分に大規模な量子コンピュータが構築されれば、ウォレットを守る数理は機能しなくなる。争点となっているのは、それが起きる前に数億規模のウォレットを新しいアドレスへどう移行するかであり、とりわけ長期間動いていない口座は移行通知を目にしない可能性がある。ブロックチェーンセキュリティ企業 AmericanFortress が公表した新しい論文は、その移行手順自体がそもそも不要であり、ユーザーは鍵のローテーションやウォレットアドレスの変更をする必要はないと主張している。

アドレス移行こそが常に最大のボトルネックだった

Shor のアルゴリズムを実行する量子コンピュータは、対応する公開鍵から直接、秘密鍵を導出できる。これは事実上、現在存在するほぼすべての暗号資産ウォレットを露出の危険にさらすことになる。従来の対策は、資産を耐量子署名スキームへ移すことだろう。ただし、そのためには公開鍵形式を変更する必要があり、実務上は参加するすべてのネットワークでアドレス移行が必要になる。

問題は、一部のコインは移行できないことだと論文は述べる。たとえば、Satoshi の 1.1 million BTC は 2010年以降一度も動いていない。休眠ウォレットに眠るさらに数百万枚のコインを保有する人々も、移行通知を読む可能性は高くない。つまり移行の問題は単なる技術的な細部ではなく、既存のすべてのアドレスに改修を行き渡らせられるかを左右する運用上の障壁だとしている。

署名するのではなく、シードを知っていることを証明する

論文の考え方は概念上は単純だ。ウォレットを作成するとき、ユーザーはシードフレーズを書き留める。そのウォレット内のすべてのアドレスは、その単語列から生成される。シードが根であり、アドレスはそこから伸びる枝というわけだ。

ZKPoSP（Zero-Knowledge Proof of Seed Provenance）と呼ばれる提案は、署名の手順を取り除き、代わりにウォレットがシードを知っていることを証明させる。これに使うのがゼロ知識証明であり、ある主張が真であることを、その真実性を裏付ける情報を明かさずに示す手法だ。この設計では、ウォレットはアドレスの背後にあるシードを知っていることを、シード自体を公開することなく示す。ノードは証明を検証し、トランザクションを承認する。

このモデルでは、アドレスは変更されない。著者らは、この手法にアドレス移行もキー登録も不要だとしている。公開鍵は、もはや支出を承認する要素ではないため、弱点ではなくなる。

次の要素である QBIP32 は、その先の課題に対応する。チェーンごとに基盤となる暗号方式は異なり、Bitcoin と Ethereum は secp256k1、Solana は Ed25519 を使う。論文は、既存の標準では各自の鍵形式の副産物としてしか実用的な耐量子証明を生成できず、曲線をまたいで共通に使える単一の手法はないと主張し、いずれにも対応する派生方式として QBIP32 を提示している。既存のウォレットはこれを必要としない。論文によれば、BIP32 や SLIP-10 を含む現在の標準は、それ自体で証明をすでにサポートしている。

なお必要なこと

論文は、自身の量子耐性を証明済みではなく仮説段階だと述べている。検証に使える量子コンピュータはまだ存在しない。

実装展開の方がより大きな課題だ。どのネットワークもこの仕組みを強制する前に、ノードのアップグレードが必要になる。ウォレット側も証明コードを搭載する必要がある。ユーザーが何もしなくてよくなるのは、両者が先に対応した後だけだ。AmericanFortress は特許出願を行っており、SDK のライセンス提供も進めているため、この採用には商業的な利害関係も持っている。

論文は、International Association for Cryptologic Research の ePrint archive で から入手できる。