Bitcoin(BTC)量子攻撃のリソース見積り、ECDSA.Fail挑戦で86%削減

量子攻撃ベンチマークが86%低下

100人を超える研究者がAIコーディングエージェントと協働し、Bitcoin(BTC)の暗号方式への潜在的な量子攻撃に必要な主要ステップのリソースコスト見積りを86%削減した。この成果は水曜日に公開された論文によるものだ。舞台となったのはECDSA.Fail。Eigen Labsが5月下旬に立ち上げたオープンコンペティションで、EthereumとBitcoinの取引署名を支える楕円曲線secp256k1を標的にしている。参加者は、Shorのアルゴリズムがウォレットの秘密鍵を導出する際に必要となる楕円曲線上の点加算演算回路について、リソーススコア――論理量子ビット数にToffoliゲート(1980年に考案された高コストな量子演算)を掛け合わせた指標――の最小化を競った。論理量子ビットは回路の作業メモリに相当するため、このスコアは将来の攻撃者に必要な量子メモリと計算量の合計を測るものだ。7月26日の締切までに最上位設計は、1,151個の論理量子ビットと約130万個のToffoliゲートを用いて、初期値107億5,000万から14億9,600万までスコアを下げた。これは3月にGoogle Quantum AIが公表したベンチマークの約半分に当たるが、検証方法や数え方の違いから直接比較はできない。検証済みテストが確認したのは回路の演算の正しさであり、実際の秘密鍵を破ったわけではない。注目すべきは、脆弱性が台帳の順序付けを担うproof of workによるminingプロセスではなく、署名暗号側にある点だ。約2カ月間で参加者は400件を超える改善案を積み上げ、各提出物が次の挑戦者の足場となった。AIエージェントがコード作成・検証・細部の最適化を担い、人間は研究の方向性と主要な設計判断を握る分業だった。論文はまた、Shorアルゴリズムの本格実装に近づけた設計が約19億6,000万、その後の改良で約12億6,000万を記録したこと、締切後の取り組みではToffoliゲート数を952,707まで、あるいは別の設計では計算コストを大幅に上げて論理量子ビット数を813個まで抑えたことも報告している。

移行スケジュールと曝露資産

このコンペの起点は、Google Quantum AIの3月発表だ。検証済み回路の存在証明を公開しつつ、回路そのものは非公開とした。Eigen Labsはこの検証ツールを使い、公開ベンチマークとリーダーボードを構築した。Theta LabsのCTO、Jay Long氏は9月10日にXでこの知見を公開した。Theta Labs、MultiVM Labs、Eigen Labs、Trail of Bits、StarkWare、Ethereum Foundationに属する論文著者らは、脆弱な暗号からの移行がすでに始まっていると指摘する。NIST IR 8547の初回公開草案は、112ビットセキュリティレベルの古典的公開鍵アルゴリズムを2030年以降に廃止、2035年以降に禁止することを提案している。StarkWareの共同創業者兼CEO、Eli Ben-Sasson氏は、復号コストが2カ月で半減する以上、量子コンピュータ実現時期に関するあらゆる前提を見直すべきだと主張した。脅威の時程は抽象論ではない。IonQの推定では、誤り耐性を持つ約2万物理量子ビットのマシンがsecp256k1を26日以内に破り得る。一方、Coinbaseの諮問委員会は6月、鍵が公開されているアドレスに約700万BTCが存在すると推定した。対照的にEthereumは、2029年12月までの完全な量子耐性獲得を目指す。防衛資金も拡大している。7月にはGalaxy Digitalが量子防御研究に最大500万ドルを拠出し、最大手の現物Bitcoin ETF運用者のBlackRock、Coinbase、Strategyを含む9社が、Bitcoinのセキュリティ全般に向け3年間で計1,500万ドルを誓約した。この動きは、システミックな曝露への規制当局の警告や、BlackRockの50/30/20ポートフォリオ再編の報道と同じ時期にやって来ている。

Q-Day推定の見直し

当メディアのプレプリント解釈はこうだ。著者ら自身が、最適化された回路は主要ステップの一つしかカバーしておらず、物理誤り訂正やShor計算の全体は範囲外だと明言している。つまり、これらの結果だけでは今日のBitcoinを解読できない。それでも方向性は重要だ。Long氏は、攻撃はまだ差し迫っていないものの、防御には年単位を要し後付けはできないと強調する。だからこそ、2カ月での86%圧縮は危機ではなく計画課題として扱うべきだというのがCOINOTAGの見方だ。暗号移行に必要なリードタイムこそが、生の量子ビット数ではなく、いまや本当の締切を定めている。