このビットコイン開発者の案により、量子ハッカーがコインを盗もうとしても、むしろ損失を負う結果になる。

著者：Jose、Decrypt

翻訳：Chopper、Foresight News

TechFlow 案内：量子コンピューティングが将来、初期に公開鍵を露出させてしまったビットコインアドレスの解読を脅かす可能性に対し、ビットコイン開発者のCory Fields氏は革新的なゲーム理論に基づく防御策「量子地雷」を提案しています。この設計は過激なハードフォークや一律の資産凍結に頼るものではなく、ゲーム理論を用いてチェーン上の攻防コストを再構築し、ハッカーが強盗を行う前に抗量子保証金を全額担保することを強制します。

実際の保有者が待機期間中に事前に隠していた所有権証書を示すと、ハッカーが担保した資産は没収され被害者に渡されます。秘密鍵を紛失した休眠資金に対しては、ゲーム理論に基づく入札メカニズムを導入し、攻撃を「ドル・オークション」のような必敗の損失トラップに陥れることで、経済的なペナルティを通じて技術的な解読意欲をそぎ落とす巧妙な手法です。

ビットコイン開発者のCory Fields氏は、将来の量子ハッカーに対処するユニークな方法を考案しました。それは、ハッカーが他人のビットコインを盗む場合、まず自分のビットコインを担保として賭けなければならないという仕組みです。

彼はビットコイン開発者向けメーリングリストで「量子地雷」の概念と2つのオークション・メカニズムを投稿しました。この設計の基本思想は、脆弱なウォレットへの攻撃が赤字リスクを伴う行為になるようにすることです。彼はこれがあくまで思想実験であり、確定版のビットコインアップグレード・プロトコルではないことを明確に述べています。

ビットコインユーザーは秘密鍵で署名して取引を開始し、対応する公開鍵はネットワーク上で署名を検証しますが、秘密鍵自体は漏洩しません。現在の一般的なコンピュータでは、公開鍵から秘密鍵を逆算することはほぼ不可能です。しかし、十分な性能を持つ量子コンピュータがあれば、Shorアルゴリズムを使用して秘密鍵を計算できてしまい、ハッカーはコインをそのまま送金することができます。

一部の初期ビットコインアドレスでは公開鍵がブロックチェーン上に直接公開されており、また一部の新しいアドレスでもユーザーが初めて送金する際に公開鍵が露出します。したがって、すべてのウォレットが量子攻撃に対するリスクを同様に抱えているわけではありません。業界では「ビットコイン暗号化を解読できる量子コンピュータが登場する日」をQ-Day（量子エンド）と呼んでいます。現時点でそのようなマシンが存在するわけではなく、いつ頃出現するかを知る人はいません。

量子地雷の動作メカニズム

あなたのウォレットに1 BTCあり、それが古くて量子コンピュータにより解読されやすいタイプだと仮定します。Q-Day の到来に備えて、事前に非常に小さな抗量子ビットコイン出力を新規作成し、そこに証明書を隠します。これは、量子攻撃が実用化される以前にこのコインが既にあなたのものだったことを証明するものです。「封印された所有権証書」とイメージしてみてください。外部からはこの少額の記録しか見えず、中に隠された証拠は一切見えません。さらには、これが罠であることすら気づかれません。

未来、ハッカーが量子コンピュータであなたの古い秘密鍵を計算し、1 BTC を持ち去ろうとした場合を想定します。新しいルールによると、ハッカーはコインを直接持ち去ることはできず、自分の抗量子ウォレットからさらに1 BTC を担保として預け入れる必要があります。

あなたの1 BTC とハッカーの担保1 BTC は一体化してロックされ、異議申立待機期間（例えば30日間）に入ります。この間、ハッカーは勝手にコインを送金できません。もし盗難の試みが発覚した場合、あなたは事前に隠しておいた所有権証明書を提示できます。ビットコインネットワークはこれを検証し、あなたが合計2 BTC（本来のコインに加え、ハッカーの担保も含む）をすべて事前に用意した抗量子アドレスへ移行させることができます。

ハッカーは事前にどの古いウォレットにこのような罠が仕掛けられているのか全く知りえません。秘密鍵の計算に成功したとしても、最終的には1 BTC を直接損することになりかねません。しかしこの方式にも代償があります。もしコインの所有者自身が Q-Day 後に自分の古いコインを正常に移転したい場合も、同額の担保が必要になります。手持ちに追加の BTC がなければ、本来ハッカー対策のために設けられたこのルールが、かえって自らのコインを送金困難にしてしまいます。

行方不明および初期に紛失した資産に対するゲーム理論ベースの入札競合

量子地雷には前提条件があります。コインの所有者が事前に罠を仕掛ける必要があり、かつ異議申立ウィンドウ内で証拠を提示しなければなりません。もし秘密鍵がすでに紛失しており、所有者が二度とオンラインになれない場合、この方案はこれらのコインを守ることができません。多くの人が完全に失われたと考えている初期ビットコインもその対象です。

そのため、Cory Fields氏はもう一つのメカニズムである担保オークションを提案しました。Q-Day に先立ち、誰でも一定量の抗量子ビットコインをロックし、狙われやすい古いウォレットに対して密かに入札することができます。例を挙げると、所有者に見捨てられたと思われるウォレットに50 BTC が残っているとします。未来にハッカーがそれを送金しようとすると、50 BTC の担保が必要になります。オークションウィンドウ中は、事前にエントリーした人が登場してこの盗難行為に対抗できます。

彼の構想によれば、挑戦に成功した人はハッカーの担保の一部を受け取ることができます。一方、元々50 BTC あったリスクのあるビットコインは直接破棄され、挑戦者に渡ることはありません。この目的は行方不明の所有者へのコイン回収ではなく、ハッカーがコインを確実に盗めなくすることで攻撃の動機を削ぐことにあります。

三つ目の方案は「サトシ・オークション」と呼ばれ、事前にコインをロックする必要はありません。だれかが高リスクのコインを送金しようとした瞬間に自動的に入札が始まります。最高入札者がそれらのコインを手入れられますが（自分の入札額は差し引かれる）、二番目に高い入札者は入札金が没収され何も得られません。これは古典的な「ドル・オークション・ゲーム」に似ています。二人で一つのアイテムを取り合うため互いに価格を釣り上げ、誰も無駄遣いしたくありません。ハッカーは計算の末、おそらくさらに大金を損するであろうこの入札戦に参加しない選択をするでしょう。

なぜ一括凍結戦略を採用しないのか

ある提案されたアプローチは、移転期限を設定し、期限を過ぎた後からは古いウォレットのコインの送金を一律禁止するというものです。確かに盗難は防げますが、副作用として、コインの移転を忘れたり操作時間がなかったりする実際の保有者のコインは永久にロックされてしまいます。

Cory Fields氏が選んだのは別の路線です。古いコインの送金は依然として可能ですが、送金を試みる際には常にコストが発生し、他者からの挑戦を受けます。ビットコインネットワークそのものでは、有効な署名を提示できるのが正当な所有者なのか量子ハッカーなのかを区別できません。

このトレードオフによる代償は明白です。合法的な保有者もコインを送金するには多額の担保を準備する必要があります。長期間オフラインにいる保有者は異議申立の機会を逃すことになります。また、生きているのに一時的にオフラインになっているだけの保有者のコインでさえ、オークションで破棄される可能性があります。

本方案の潜在的代償と実現への道筋

ビットコインにおいてまずは必要なのは、量子安全な方法で資金を保有・使用できるようにすることです。ウォレットは隠された所有権コミットメントをサポートする必要があり、ビットコインのコンセンサス・ルールは担保、待機期間、特別な復旧トランザクション、およびオークション・メカニズムの強制執行を実装しなければなりません。

開発者同士で、新ルールの発効時期、必要な担保金額、そして入札失敗時または余剰資金の処理方法について合意形成を図る必要があります。Fields氏は一部のメカニズムはソフトフォークで導入できると考えていますが、詳細な設計図は提示していません。

現在、ビットコインネットワーク上にはこれらの保護メカニズムは一切実装されていません。Fields氏もコードの実装やローンチ日程を提示しておらず、オークションにおける資金分配や最終目標についても、元の論文内で確定していません。