量子時代におけるビットコインのセキュリティ：フィクションと実際の脅威の区別

広くメディアで語られる「量子コンピュータによるビットコイン暗号解読」のナarrativeには根本的な概念的誤りが含まれています。ビットコインはブロックチェーンに保存されたデータの暗号化に依存していません。ブロックチェーンは公開台帳として機能し、すべての取引、金額、アドレスが誰でも閲覧可能です。実際に懸念すべき脅威は、解読ではなく、公開鍵に関連付けられたデジタル署名の改ざんの可能性にあります。

実際の脆弱性の所在：暗号化から署名へ

ビットコインの署名システム—ECDSAやSchnorr—は資金管理の基盤です。資金は有効な署名を生成し、それをネットワークが認証することで移動します。この仕組みでは、公開鍵の公開が、Shorのアルゴリズムを実行できるコンピュータが登場した場合に、重要な弱点となります。

攻撃者が量子コンピュータを所有している場合、次のことが可能になります：

• ブロックチェーン上の公開鍵から秘密鍵を導き出す
• 別の支出に対して競合する署名を生成する
• 資金を奪取する

公開鍵の露出範囲を限定することが、このリスクの規模を決定します。多くのビットコインアドレスは公開鍵をハッシュ化しており、取引時に初めて生の公開鍵が公開されます。pay-to-pubkeyや一部のマルチシグのようなフォーマットは、早期に公開鍵を露出させるため、リスクが高まります。アドレスの再利用はこの露出期間を延長し、一度だけの露出を潜在的な攻撃対象の永続的なターゲットに変えてしまいます。

数値で見る量子脅威：今日測定可能なもの

Project Elevenは、公開鍵が露出したUTXOを特定するためにチェーンのスキャンを毎週行っています。彼らの公開トラッカーによると、約 6.7百万BTC が量子脆弱性の基準を満たしていると示されています。

計算の観点から、Roettlerらの研究によると、256ビット楕円曲線離散対数の突破には次のような必要があります：

論理量子ビットと物理量子ビットの差は本質的です。誤り訂正を行いながらエラー率の低い量子コンピュータを構築するには、膨大なコストと時間が必要となります。

Taprootがもたらす脆弱性の変化

Taproot (P2TR)の導入により、公開鍵の露出パターンが変化します。Taprootの出力は、ハッシュ化されていない32バイトの修正済み公開鍵を直接出力に含めるため、従来よりも多くのUTXOが公開鍵を露出した状態で存在します。これにより、量子技術が実用的な脅威となった場合に備えた新たなリスクプールが形成されることになります。

しかしながら、これまでの安全性は変わりません。露出は測定可能な変数となり、将来の脅威の規模を示す指標となるのです。

グローバーからマイグレーションへ：量子全体像の文脈

SHA-256のようなハッシュ関数は、別の種類の量子攻撃に直面しています。Groverのアルゴリズムは、ブルートフォース探索の速度を平方根に高速化しますが、Shorのように離散対数を破るわけではありません。SHA-256のプリイメージに対しては、Grover適用後もコストは約2^128操作のままであり、ECDSAの突破よりもはるかに実用的な脅威ではありません。

量子脅威のナarrativeには、これらのアルゴリズムの違いの理解が欠けていることが多いです。NISTはすでにポスト量子暗号の標準化を進めており (ML-KEM)やFIPS 203(などが策定されています。ビットコインも、BIP 360のように「量子耐性ハッシュへの支払い」を提案する解決策を模索しています。課題は移行にあり、即時の破綻ではありません。

これがインフラの問題であり、黙示録的シナリオではない理由

最新のレポートによると、IBMは2029年頃に耐エラー性のあるシステムへの道筋を描いています。同じく、誤り訂正技術の進展は、量子突破が長期的な開発の結果であり、予期せぬ攻撃ではないことを示唆しています。

実際の問題は、次の3つの次元に集約されます：

1. 既に公開鍵が露出しているUTXOの割合 )今日すでに識別可能な
2. 量子耐性支出を採用するウォレットやプロトコルの普及速度
3. 移行期間中にネットワークのスループット、安全性、手数料経済性を維持できるかどうか

ポスト量子署名は、数キロバイトのサイズになり、従来の数十バイトと比べてトランザクションの重みやユーザー体験を変化させます。移行には調整と協調が必要であり、絶望的な再プログラミングではありません。

実際の量子リスクは測定可能ですが、主に時間と設計の課題であり、安全性のナarrativeの変化に対してパニックを起こす必要はありません。