StarkWareは、量子計算機による攻撃に耐性を持つ初のビットコイン (BTC) トランザクションをメインネット上で実行したと明らかにした。量子攻撃に対し、およそ118ビット相当の セキュリティレベルに達する手法を用いたとしている。
主なポイント
- プロトコルを一切変更せず、実際のビットコイン送金を量子攻撃から防御したと説明。
- 1件あたり数時間規模の計算時間が必要。
- 一般ノードが中継を拒否する「非標準フォーマット」のため、マイニング企業MARAが専用経路で取引を処理。
量子耐性ビットコイン取引がメインネット到達
同社はブログで、 将来の量子攻撃にさらされうる資金を、量子計算機から「手の届かない状態」へ移すことに成功したと説明した。 このスキームを設計したのはStarkWare最高プロダクト責任者（CPO）のAvihu Levy氏で、 今年4月に「Quantum Safe Bitcoin」として論文を公開している。今回の送金結果はビットコインのブロックチェーン上に 記録されており、誰でも検証可能だ。
当初公表された実装では、オンチェーンでのブロードキャストは未完で、テストはGPUを用いた「ピニング」工程のみだった。 この工程はNvidia製GPU8枚を用い、約6時間にわたって動作した。
実際のトランザクションは、通常のビットコインノードが中継を拒む形式であるため、マイニング企業MARAが、 そうした取引も直接受け付ける「Slipstream」を通じてマイニングした。
関連記事: カルダノ、数カ月以内にイーサリアム連携の可能性 ホスキンソン氏
Levy氏の手法、ソフトフォーク不要で実現
従来の標準的なビットコイントランザクションはECDSA署名に依存しており、将来的に十分強力な量子計算機が Shorのアルゴリズムを用いれば、秘密鍵の特定が理論的には可能とされる。Quantum Safe Bitcoinは、 脆弱な楕円曲線暗号ではなくハッシュ関数側に安全性の負担を移す設計だ。ハッシュについては、 量子計算機が逆算を著しく高速化できる既知の手法はなく、基本的には総当たり攻撃に頼らざるをえない。
このスキームは、ビットコインのレガシースクリプトにおける「オペコード201個・最大10,000バイト」という制約内で 動作し、 約118ビットの安全性を実現している。
一方でLevy氏は、このアプローチを日常決済の代替ではなく「最後の手段」と位置づけている。 コストの高さに加え、ユーザーが直面する運用の複雑さを理由に挙げる。参考までに、通常のビットコイントランザクション 手数料は1件あたり約0.3ドルとされる。
今回の設計は、Robin Linus氏による先行案「Binohash」を発展させたものだ。 Binohashはビットコイントランザクションに追加の計算作業を課す一方、依然として将来の量子計算機では突破されうる 暗号に依存していた。Levy版では送金者側が膨大な探索計算を強いられる構造となっており、 論文によれば有効解を見つけるまでに約70兆回の試行が必要になるという。この計算作業は、一般的なGPUを用いて オフチェーンで実行する。
量子リスク巡り、ビットコイン開発者の意見割れる
StarkWareのCEOであるEli Ben-Sasson氏は、量子計算機の脅威に対し、プロトコル改定のコンセンサス形成を 待つのではなく、ビットコインは今すぐ対応を進めるべきだと主張している。
Levy氏はまた、今年2月にビットコインの公式リポジトリにマージされた量子耐性アドレス提案「BIP-360」の 共著者でもある。こちらの案は今回とは異なり、ソフトフォークを要するプロトコル変更を前提としている。
4月の論文は、開発コミュニティから高い評価を得る一方で批判も集めた。ビットコインアナリストの Daniel Batten氏は、この手法を「量子安全」と呼ぶのは誇張だと指摘。 初期のPay-to-Public-Key（P2PK）アドレスに保管されている約170万BTCは依然として量子攻撃にさらされており、 今回のような新規トランザクション側の工夫では保護できないと論じた。
こうしたP2PK残高は公開鍵がそのままブロックチェーン上に露出しており、新たな送金フォーマットでは そもそも巻き戻すことができない構造だからだ。
