現代のデジタル経済、とりわけ暗号通貨（仮想通貨）のセキュリティ基盤は、一つの数学的信頼の上に成り立っている。それは「楕円曲線離散対数問題（ECDLP）」と呼ばれる計算が、現在のコンピュータにとって実質的に解読不可能であるという前提である。しかし、Google Quantum AIチームが発表した最新の研究論文は、この強固な防壁が崩れ去る日がこれまで考えられていたよりもはるかに近い未来に迫っていることを詳細なデータとともに明らかにした。

Coinbase、Ethereum Foundation、Stanford Institute for Blockchain Researchなど、ブロックチェーン業界の最前線に立つ研究機関との連携によってもたらされたこのホワイトペーパーは、将来の暗号学的に関連性のある量子コンピュータ（CRQC）が、既存のブロックチェーンインフラをいかにして無力化するかを具体的に示している。驚くべきは、暗号解読に必要とされる量子リソースの推定値が劇的に引き下げられた点だ。本稿では、Google Quantum AIが明らかにした量子攻撃のメカニズム、その証拠を安全に開示するために用いられた最先端の暗号技術、そしてデジタル資産を守るために不可欠となるポスト量子暗号（PQC）への移行プロセスについて見ていきたい。

AD

楕円曲線暗号（ECDLP）の崩壊：劇的に更新された量子リソース推定

BitcoinやEthereumをはじめとする主要なブロックチェーンは、デジタル署名の生成に256ビットの楕円曲線暗号（ECDLP-256、特にsecp256k1という曲線）を使用している。この暗号方式は、公開鍵から秘密鍵を逆算することが天文学的な時間を要するという非対称性に依存している。しかし、1994年にピーター・ショアによって提唱された「Shorのアルゴリズム」は、量子コンピュータの重ね合わせと干渉という物理法則を利用することで、この逆算を多項式時間で効率的に解いてしまうことが理論的に証明されていた。

長らくの焦点は、「実際にそのアルゴリズムを実行するために、どれほどの規模の量子コンピュータが必要か」という点にあった。数年前までの学界のコンセンサスでは、エラー訂正のオーバーヘッドを考慮すると、数千万から数億個の物理量子ビットが必要であり、現実的な脅威となるには数十年を要すると見積もられていた。しかし、Googleの最新の研究は、このタイムラインの前提を根本から覆すものである。

Google Quantum AIの研究チームは、Shorのアルゴリズムを量子回路にコンパイルする過程で、劇的な最適化を達成した。具体的には、測定に基づく計算の取り消し（Measurement Based Uncomputation: MBUC）やウィンドウ演算などの高度な手法を駆使し、回路全体のコストを支配する「Toffoliゲート」の数を大幅に削減することに成功したのである。その結果、ECDLP-256を破るために必要な論理量子ビット数を1200〜1450個、Toffoliゲート数を7000万〜9000万回という極めて低い水準にまで押し下げた。

この最適化された回路を、物理エラー率が0.1%（$10^{-3}$）の標準的な超伝導量子アーキテクチャにマッピングした場合、必要な物理量子ビット数は50万個未満に収まる。これは、過去の最高水準の推定値と比較して約20分の1の規模である。さらに恐ろしいのはその実行速度である。システムの反応時間を10マイクロ秒と仮定した場合、この規模の超伝導CRQCは、わずか数分（平均約9分）で公開鍵から秘密鍵を導き出すことが可能になるという。この「数分」という時間は、後述するBitcoinのネットワークにおいて極めて致命的な意味を持つことになる。

ゼロ知識証明（ZKP）を用いた「責任ある開示」という新たなパラダイム

サイバーセキュリティの領域には、脆弱性を発見した際のアプローチについて長年の議論が存在する。詳細をすべて公開する「完全開示」は、ユーザーへの警告となる反面、悪意あるハッカーに攻撃のレシピを与えるリスクを伴う。一方で「非開示」は、システムの改善を遅らせる要因となる。Google Quantum AIはこのジレンマに対し、最新の暗号技術である「ゼロ知識証明（Zero-Knowledge Proof: ZKP）」を用いるという革新的な解決策を提示した。

量子アルゴリズムの具体的な回路設計図を公開することは、将来CRQCが完成した瞬間に、世界中の暗号資産が即座に略奪されることを意味する。そこでGoogleのチームは、国際標準規格（ISO/IEC 29147:2018）に基づく「協調的な脆弱性開示（CVD）」の原則を量子暗号解読の分野に適用した。彼らは、最適化された量子回路の詳細（攻撃のレシピ）を非公開としたまま、SP1 zkVM（ゼロ知識仮想マシン）とGroth16 SNARKという技術を用いて、「我々は確かに指定されたリソース（1425論理量子ビット以下、7000万Toffoliゲート以下など）でECDLPを解く量子回路を保有している」という数学的な証明だけを公開した。

ゼロ知識証明とは、ある情報が真実であることを、その情報自体の内容を一切明かすことなく証明する魔法のような暗号技術である。Googleは、疑似乱数生成器を用いて9024個のランダムなテストケースを作成し、秘密の回路がそれらの入力に対して正確に楕円曲線上の点の加算（Shorのアルゴリズムの心臓部）を実行できることを、SP1 zkVM上でシミュレーションした。そして、その実行の痕跡から暗号学的な証明（SNARK）を生成し、GitHub等を通じて一般に公開したのである。これにより、外部の研究者やブロックチェーンコミュニティは、Googleが嘘をついていないことを数学的に検証できると同時に、FUD（恐怖、不確実性、疑念）を煽るだけの根拠のない脅威論を排除することが可能となった。

AD

暗号通貨ネットワークに対する具体的な量子攻撃のメカニズム

量子コンピュータによる脅威は、対象となるブロックチェーンの設計やコンセンサスアルゴリズムによって異なる形で顕在化する。ここでは、時価総額で双璧をなすBitcoinとEthereumに対する具体的な攻撃ベクトルを解き明かす。

Bitcoinにおける脅威：暴露された公開鍵とTaprootの皮肉

Bitcoinのトランザクションは、UXTO（未使用トランザクション出力）モデルに基づいており、資金の所有権は公開鍵に対するデジタル署名によって証明される。量子攻撃者が秘密鍵を導き出すためには、まずターゲットとなる「公開鍵」を知る必要がある。Bitcoinネットワークにおいて、公開鍵が暴露されるシナリオは大きく分けて「アット・レスト（保存中）攻撃」と「オン・スペンド（使用中）攻撃」の二つが存在する。

アット・レスト（保存中）攻撃は、ブロックチェーン上に既に公開鍵が記録され、長期間にわたって露出している資金を標的とする。Satoshi Nakamotoの初期のマイニング報酬など、2009年頃に多用されたP2PK（Pay-to-Public-Key）という形式は、公開鍵そのものをブロックチェーンに記録するため、完全に無防備である。また、現代のBitcoin運用において推奨されていない「アドレスの再利用」を行った場合も、過去の送信トランザクションによって公開鍵が明らかになるため、残された資金は危険にさらされる。

さらに興味深いのは、2021年に導入されたBitcoinの「Taproot（P2TR）」アップグレードの意図せぬ副作用である。Taprootはプライバシーの向上とスマートコントラクトの柔軟性をもたらす革新的な技術であったが、その設計上、公開鍵のハッシュ値ではなく公開鍵そのものをブロックチェーンに記録する構造となっている。結果として、最先端のTaprootアドレスを使用しているユーザーは、初期のP2PKと同様に、アット・レスト攻撃に対する量子脆弱性を抱え込むことになってしまった。現在、P2PKやTaproot、そしてアドレス再利用によって公開鍵が露出しているBitcoinは総計で約690万BTC（総供給量の約3分の1）に上ると推定されている。

オン・スペンド（使用中）攻撃は、より動的で恐ろしい脅威である。Bitcoinの公開鍵をハッシュ化して隠す安全なアドレス（P2PKHやP2WPKH）を使用している場合でも、資金を送金する瞬間には、ネットワークに署名を検証させるためにMempool（未承認トランザクションの待機プール）へ公開鍵を送信しなければならない。Bitcoinのブロック生成時間は平均約10分である。Googleが推定した「超伝導CRQCを用いた場合、約9分で秘密鍵を特定できる」という事実は、この10分の間に攻撃が成立することを意味している。

攻撃者はMempoolに流れたトランザクションから公開鍵を読み取り、高速なCRQCで即座に秘密鍵を計算する。そして、正規の所有者よりも高いマイナー手数料（Replace-By-Fee: RBFメカニズムの悪用）を設定した「偽造トランザクション」をブロードキャストする。マイナーは経済的インセンティブに従って手数料の高い偽造トランザクションを優先してブロックに取り込むため、正規の送金は無効化され、資金は攻撃者のアドレスへ奪い去られてしまうのである。これは、手紙をポストに入れた直後に、透視能力を持つスパイが中身を改ざんし、特急料金を払って本来の宛先とは別の場所へ先に届けてしまうような究極のインターセプトである。

なお、量子コンピュータがBitcoinのProof-of-Work（PoW）マイニングを破壊するという懸念が度々語られるが、これは誤りである。暗号学的ハッシュ関数（SHA-256）を逆算するGroverのアルゴリズムは、Shorのアルゴリズムのような指数関数的な速度向上（スピードアップ）をもたらさない。量子エラー訂正のオーバーヘッドを考慮すると、マイニングに特化した現代のASICマシンの効率を量子コンピュータが上回ることは、少なくとも今後数十年間は現実的ではないとGoogleの論文は明確に否定している。

Ethereumのエコシステムに潜む多層的なシステミック・リスク

Ethereumは「世界的な分散型コンピュータ」として機能するため、Bitcoinよりも遥かに複雑で広範な攻撃対象領域（アタックサーフェス）を持つ。

第一の脆弱性は、Ethereumの根幹をなすアカウントモデルに起因する。UTXOモデルを採用しアドレスを使い捨てにできるBitcoinとは異なり、Ethereumのユーザー（EOA：外部所有アカウント）は、同一のアイデンティティ（アドレス）を継続して使用する。最初のトランザクションを送信した瞬間に公開鍵はネットワークに永続的に露出するため、すべてのEthereumアクティブユーザーは、構造的にアット・レスト攻撃の標的となり得る。

第二に、DeFi（分散型金融）やトークン化された現実資産（RWA）を支えるスマートコントラクトの管理者（Admin）権限のリスクである。数十億ドル規模のステーブルコイン（USDCやUSDTなど）やクロスチェーンブリッジを制御するマルチシグ（複数署名）コントラクトの管理者鍵は、過去のアップグレードの過程でブロックチェーン上に公開されていることが多い。攻撃者がこれらの鍵を量子計算で特定すれば、無制限にステーブルコインを新規発行してペッグを崩壊させたり、ブリッジ内の流動性を完全に枯渇させたりすることが可能となる。これは単なる個人の資金盗難を超え、デジタル経済全体を連鎖的な崩壊へと導くシステミック・リスクである。

第三に、Proof-of-Stake（PoS）コンセンサスに対する脅威である。Ethereumのバリデーターは、多数の署名を効率的に処理するためにBLS署名というペアリング暗号を使用している。これもECDLPに基づいており、量子攻撃に対して脆弱である。もし攻撃者が全バリデーターの3分の1の鍵を特定すればネットワークのファイナリティを停止させることができ、過半数を支配すればブロックチェーンの歴史を改ざんするディープリオーグ（再編成）が可能になる。

さらに、Layer 2ソリューションの基盤となるData Availability Sampling（DAS）における「オン・セットアップ攻撃」という特殊な脅威が存在する。DASはKZGコミットメントという暗号技術に依存しており、このシステムの初期設定（トラステッド・セットアップ）で生成されたパラメータはブロックチェーン上に公開されている。CRQCを用いてこの公開パラメータから「毒の廃棄物（Toxic Waste）」と呼ばれる秘密の数値を一度でも逆算してしまえば、以降は量子コンピュータを使わずとも古典コンピュータだけで、データの可用性証明を永久に偽造できる「マスターキー」を手に入れることになる。

ポスト量子暗号（PQC）への移行ロードマップと休眠資産のジレンマ

これらの破滅的なシナリオを回避する唯一の根本的な解決策は、基盤となる暗号技術を量子耐性を持つ「ポスト量子暗号（PQC）」へ移行することである。NIST（米国国立標準技術研究所）は既に格子暗号やハッシュベース暗号などのPQC標準化を進めており、技術的な道筋は存在している。Googleは、CRQCが現実のものとなる前の「2029年」をPQC移行の重要なマイルストーンとして設定し、CoinbaseやEthereum Foundation、Stanford Institute for Blockchain Researchといった業界の主要なプレイヤーと緊密に連携して、エコシステム全体への警告と技術的サポートを行っている。

しかし、ブロックチェーンにおけるPQCへの移行は、単なるソフトウェアのアップデートではない。PQCのデジタル署名は従来のECDSAやSchnorr署名と比較して、鍵サイズや署名サイズが1桁から2桁大きく、検証にかかる計算リソースも増大する。これは、ブロックチェーンの帯域幅やストレージ要件を圧迫し、ネットワークの分散性を損なう懸念を生む。過去にBitcoinのブロックサイズ変更がコミュニティの分裂（Bitcoin Cashの誕生）を招いた歴史を振り返れば、PQC移行に向けたコンセンサス形成がいかに困難な政治的課題であるかが理解できる。

さらに、解決の糸口が見えない最大の難題が「休眠資産（Dormant Assets）」の扱いである。初期のSatoshiアドレスに眠る約100万BTCを含む、総計約230万BTC（数百億ドル相当）の資金は、所有者が秘密鍵を紛失したか死亡したことにより、永遠にアクセス不可能と考えられている。これら休眠資産の公開鍵はブロックチェーン上に完全に露出しており、PQCアドレスへ資金を移動させるための正当な署名を行うことができない。

もしPQCへの移行が完了したとしても、これらの休眠資産は古い脆弱なプロトコルのまま取り残され、CRQCが稼働した瞬間に攻撃者の巨大な標的となる。Bitcoinコミュニティでは、この問題に対していくつかの対応策が議論されている。

  • Do Nothing（何もしない）: プロトコルの不変性を重んじ、量子攻撃者による略奪を自然の摂理として受け入れる。しかし、数百万BTCが市場に一気に放出されれば、価格の暴落は免れない。
  • Burn（焼却）: 特定の期日を過ぎた脆弱なアドレスの資金をプロトコルレベルで強制的に無効化する。これは所有権の侵害であり、「コードは法である」という理念に反するため激しい反発が予想される。
  • Hourglass（砂時計）: 休眠資産が動く際のレート（例えば1ブロックに1トランザクションのみ）を制限し、市場への影響を緩和する。

Googleの論文は、これらの技術的アプローチに加えて、政府や政策立案者が介入する可能性にも言及している。例えば、海の底に沈んだ財宝を引き上げる「海難救助（Maritime Salvage）」の法理を適用し、休眠資産を「放棄された財産」とみなして法的に規制された「デジタルサルベージ（Digital Salvage）」を許可するというアプローチである。また、敵対国家が巨額の資金を手にすることを防ぐため、国家安全保障上の理由から政府機関が先回りしてCRQCで休眠資産を接収するシナリオも否定できない。

いずれにせよ、事態は一刻を争う。AlgorandやSolana、XRP Ledgerなど、既にPQCの実験的導入やネイティブ対応を進めているブロックチェーンプロジェクトも存在し、Ethereum FoundationはPQCへの移行を見据えたアーキテクチャの再設計に積極的である。対照的に、分散化の度合いが強く明確なリーダーシップが存在しないBitcoinコミュニティは、合意形成に最も時間を要する可能性がある。

量子コンピュータはもはやSFの産物ではなく、現実のエンジニアリングの課題として着実に進化を続けている。Google Quantum AIが提示した「50万量子ビット未満、数分での解読」というリソース推定の劇的な引き下げは、暗号通貨コミュニティに対する最終警報である。パニックに陥ることなく、しかし決して楽観視することなく、来るべき量子の時代に向けてデジタル資産の堅牢性を再構築するためのアクションを、今すぐ開始しなければならない。

参考文献