Europol、公開鍵が露出した690万BTCに量子コンピュータの脅威を警告

Europolの2報告書、ウォレット鍵に焦点

欧州連合の法執行機関Europolは10月7日、2件の報告書を公表し、実用的な攻撃が可能になる前に量子コンピュータへの備えを進めるよう暗号資産業界に促した。第1報告書「Quantum Computing and Cryptocurrencies」で同機関の欧州サイバー犯罪センターが結論づけたのは、将来の量子脅威への主な露出点がブロックチェーンそのものではなくクリプトウォレットだということだ。十分な能力を持つ量子マシンは、理論上、オンチェーンに公開された公開鍵から支払いを承認する秘密鍵を逆算でき、所有者の同意なく資金を移動できることになる。同機関の推計では、約690万のBitcoin (BTC)が公開鍵がすでにオンチェーンで見える状態のアドレスに存在し、サトシ時代のコインや長期休眠の保有分が含まれる。一方、チェーンの履歴を守るハッシュ関数の耐性ははるかに高く、256ビットのハッシュを破るには、現見の技術では報告書の言う「天文学的」な演算回数が必要になる。この警告は資産の所有権に関するものであり、ビットコインの価格とは直接の関係がない。Europolはタイミング自体が最大の不確実性だと位置づけた。能力を持つマシンがいつ登場するかは誰にも分からないが、分散型ネットワーク全体の暗号方式を更新するには数年を要しうるため、同機関はより強固なウォレットセキュリティと鍵管理と並行して、耐量子暗号への段階的な移行を推奨している。

全移行には76日分のブロックスペース

より難しいのはネットワーク自体の更新だ。露出した鍵は後から安全化できず、報告書の処方箋は、攻撃の前に古いアウトプットを新しいアドレスへ先回りして移すことだ。この方針を巡っては、サトシ時代の休眠資金を凍結すべきか放置すべきかで、Bitcoinコミュニティ内部でも意見が割れている。移行自体にもコストが伴う。NISTが標準化した耐量子署名方式は、Bitcoinが現在使うECDSA署名の10倍から120倍のサイズになり、ブロックスペースの逼迫、手数料の上昇、承認の遅延を招きかねない。報告書が引用する2024年の研究によれば、未使用トランザクションアウトプットをすべて移し替えるには合計で最低76日分のブロックスペースが必要で、各ブロックの4分の1を確保する場合は約300日に及ぶ。開発者はすでにこの問題を検討している。草案のBIP-361は、耐量子アウトプット型が存在するようになったらレガシーなECDSAとSchnorr署名から移行するもので、有効化されていないフォークに匹敵するコンセンサスレベルの変更だ。時間的圧力は明示されている。IBMは2029年までにフォールトトレラントなマシンを目標に掲げ、2025年に実施された専門家32人の調査では、来10年内にRSA-2048が24時間以内に破られる確率を28%から49%と見ている。

custodianと標準化機関が先行

第2報告書「Harvest Now, Decrypt Later」は、スペインのマドリード・カルロス3世大学との共同作成で、暗号化データを今保存し数年後に解読する攻撃者を検証した。必要な保存と処理の負荷を踏まえ、Europolはこの手法が大規模に体系的に悪用されている明確な証拠は見つけられなかったとする。暗号資産側の備えはすでに始まっている。NISTは2024年8月に耐量子標準のFIPS 203、FIPS 204、FIPS 205を承認し、現在最も一般的な公開鍵構成を2030年までに非推奨とし、2035年までに古典的公開鍵暗号を段階廃止する案を提示した。BitGoとSilence Laboratoriesは今年前半、ML-DSA方式を用いた耐量子マルチパーティ計算署名のテストを行い、BitGoはその後、公開鍵の露出を測定しアウトプットを統合する機関向けウォレット管理機能を追加した。Coinbaseの量子諮問委員会は6月、開発者に耐量子移行の着手を呼びかけ、同社は標準が固まるまでの間、複数の署名方式を支援できるカストディ基盤を設計中だ。7月にはBlackRock、Coinbase、Strategyなど9社が3年間で1,500万ドルをBitcoin (BTC)セキュリティ研究に拠出することを約束した。Galaxy Digitalは別に500万ドルの耐量子署名研究プログラムを用意し、Suiは2027年のメインネットでオプションの耐量子アカウントを目標に掲げる。

崩壊ではなく調整の問題

COINOTAGの読み解きでは、Europolの2報告書は、業界内部の研究者がすでに到達していたのと同じ診断に着地した。律速要素は暗号技術ではなく調整だ。署名方式の移行には分散型ネットワーク上の開発者、カストディアン、マイナー、保有者の合意が不可欠であり、690万BTCの露出は、移行されない休眠コインをどう扱うかという未解決の問いをさらに鋭くしている。IBMとMicrosoftがいずれも2029年を示すなか、警告は遠い理論から工程表の問題へと移った。Europolが提案する、EUのサイバーセキュリティ機関ENISAや域内マネーロンダリング対策当局も加える委員会主導の作業部会は、規制側でこの案件を開き続けることになる。