量子コンピュータによるBTC盗難に担保で対抗、ビットコインコア開発者が3案提案

量子盗難への対抗策

ビットコインコア（Bitcoin Core）の開発者コーリー・フィールズ氏は5日、ビットコイン（BTC）開発メーリングリストへの投稿で、量子コンピュータによる将来の盗難を抑止する3つの仕組みを提案した。3案はいずれも、量子コンピュータによる攻撃が可能になった後、旧アドレスのビットコインを動かす際に同額のビットコインを担保として求め、盗む側が担保を失いうる設計だ。

この提案の背景には、十分な規模の量子コンピュータが公開鍵から秘密鍵を割り出し、第三者が資産を動かせるようになるとされる事情がある。グーグルは3月、ビットコインの署名暗号を破るのに必要な量子ビット（情報を扱う最小単位）を50万個未満と推計したが、現在の量子コンピュータの規模はこれを大きく下回り、解読はまだ実現していない。

そこでフィールズ氏が示したのが、持ち主が事前の仕込みで攻撃者の担保を得る「量子地雷（Quantum Landmines）」と、第三者が攻撃者の担保をめぐって競り合う「ステーク型オークション（Staked Auction）」「サッツ・オークション（Sats Auction）」だ。旧アドレスの資金を動かした後の出力には、時間制限や別の使用経路といった条件が付く前提だ。

ここでいう旧アドレスは、量子コンピュータに耐える新形式のアドレスが導入される前から使われている形式を指す。旧アドレスの資金を動かす人が持ち主か攻撃者かは外から見分けられないため、動かす全員に担保を求める前提になっている。

この担保は、動かす資金と同じ取引に加える同額のビットコインを指す。攻撃者がこれを失う仕組みを用意することで、盗む動機をなくすのが狙いだ。

各案の仕組みと課題

このうち量子地雷は、本当の持ち主だけが後から名乗り出られるよう、事前に証明を隠しておく方式だ。持ち主は量子耐性型の出力へ少額のビットコインを置き、旧アドレスの秘密鍵で署名した新しい公開鍵への紐づけを、通常は表に出ない形で仕込んでおく。

この仕掛けがあれば、攻撃者が担保を付けて旧アドレスの資金を動かしても、持ち主は例示された30日の待機期間中に仕込んだ証明を示し、資金を自分の鍵へ移したうえで攻撃者の担保を得られる。攻撃者には、少額の出力が地雷かどうかを外から区別できないという。

一方、多くの旧アドレスの資金は秘密鍵が失われたとみられ、地雷が仕掛けられていないと攻撃者に見込まれかねない。そこでステーク型は、第三者が事前に入札額を決めて自分のビットコインを入札の裏付けとして確保（ステーク）しておき、地雷の期限後に入札して攻撃者の担保を得る方式だ。

この場合、盗まれた資金は元の持ち主に戻らず焼却され、誰も使えなくなる。

もう1つのサッツ・オークションは、事前のステークが不要だ。最高額の入札者が資金から入札額を引いた額を得る一方、2番目の入札者は入札額を失うため、入札が競り上がり、攻撃者が担保をすべて失う可能性がある。

3案について、フィールズ氏は、実装の詳細は今後の検討に委ね、あくまで思考実験として示したもので、どの結果が望ましいかも定まっていないと述べた。