🔬 Deep Dive｜ビットコインの量子対策、凍結でも放置でもない Fields 氏の第3案

Bitcoin Core の開発者 Cory Fields 氏は11月4日 (米国時間)、開発者向けのメーリングリスト bitcoin-dev に、量子計算機によるコインの盗難を思いとどまらせる仕組みを「思考実験」として投稿した。量子に弱い古い形式のコインを動かすには同じ額の担保を積み、一定の期間を待つことを義務づける。前もって証明を仕込んでおいた持ち主は、その待ち時間のうちにコインを取り返し、盗もうとした側の担保まで受け取れる。

鍵を失ったコインについては、競売の案を2つ添えた。これまでの議論は、古いコインを期限付きで使えなくする案 (BIP-361 の草案) と、何もしない案の間で揺れてきた。凍結もせず放置もしない3つめの道が出たことで、量子対策は署名方式の選択から、移行しそこねたコインを誰がどう扱うかという財産と統治の問題へ移ってきた。

LiveMakers はこれまで、10月12日の Deep Dive で各チェーンが「どの署名へ移るか」を、10月19日の Deep Dive で耐量子対応をどう測るかを書いてきた。本稿はその先の問い、つまり新しい署名へ移り損ねたコインをどうするかを扱う。

凍結か放置かの二択に、3 つめの案

量子計算機が十分に強くなると、公開鍵から秘密鍵を割り出せるようになる。ビットコインでは、一度でも公開鍵がチェーンの上に出たコインがその対象になる。BIP-361 の草案は、2026年3月1日時点で全ビットコインの34%超が公開鍵を明かしていると書いている。

これに対する案の一つが、Jameson Lopp 氏らが書いた BIP-361 だ。2026年2月11日に番号が割り当てられた草案で、2段階で古い署名を使えなくしていく。

段階	中身	時期
Phase A	量子に弱いアドレスへの送金を禁止し、量子耐性の形式への送金だけを認める	有効化から16万ブロック (約3年) 後
Phase B	古い署名 (ECDSA・Schnorr) での支出を、量子耐性の救済の手順に縛る	Phase A から2年後

もう一方には、プロトコルに手を付けず、移行を持ち主の責任に任せる立場がある。凍結は持ち主の財産に期限を切り、放置は盗まれるのを見過ごす。どちらにも、所有の考え方として受け入れがたい面がある。

Fields 氏の案は、そのどちらとも違う。古いコインを使えなくもせず、自由にもさせず、盗もうとする側に経済的な損を負わせる。投稿の冒頭で Fields 氏は、ソフトフォークでどう実現するかの詳細は「将来の課題」に回し、目的は考えを「思考実験」として示すことだと書いている。正式な提案 (BIP) ではなく、番号も付いていない。原文は BIP-361 に触れておらず、BIP-361 との対比は本稿の整理だ。

「量子の地雷」の仕組み

Fields 氏は前提を4つ置く。量子計算機が実用になる日 (原文の「qday」) より前に、量子耐性の新しい出力の形式がある。qday の後に、Tripwire のような仕組みや手動で、新しい検証のルールを有効にする。qday の後は、古い形式の出力を使うには全額の担保が要る。そして、その支出の行き先は、時間ロック (すぐには動かせない待ち時間) と別の使い道を持つ出力に限られる。

そのうえで、原文は持ち主の Alice の例で説明する。

Alice は、古い形式 (P2PK) の 1 BTC、量子耐性の形式の 1 BTC、量子耐性の形式のごく少額の出力を持つ。この少額の出力が「地雷」だ
qday の前に、Alice は地雷の出力の中に、新しい量子耐性の公開鍵を指し示し、古い秘密鍵で署名した証明を隠しておく。この証明は、使われるまで外からは見えない
qday の後、Alice が古い 1 BTC を動かすには、量子耐性の 1 BTC を担保に足し、2 BTC の出力にまとめる
この出力は、例えば30日のうちなら、qday 前の証明を出せば使える。待ち時間が過ぎれば、証明なしで普通に使える

地雷は比喩で、中身は「qday の前に仕掛けておいた所有の証明」のことだ。

効くのは、量子計算機で Alice の秘密鍵を割り出した攻撃者が現れたときだ。攻撃者も自分の 1 BTC を担保に積み、Alice の 1 BTC と合わせて 2 BTC の出力をつくる。だが qday 前の証明を持たないので、待ち時間が過ぎるまで動かせない。その間に Alice は取引に気づき、地雷を使って証明を出し、宙に浮いた 2 BTC を自分の鍵へ移す。自分のコインを取り戻し、攻撃者の担保まで手に入れる。

ここが本筋だ。どのコインに地雷が仕掛けてあるかは、外からは見分けがつかない。原文は、この仕組みが持ち主に qday 前から攻撃者をおびき寄せる動機を与え、攻撃者は地雷を恐れて盗みに慎重になると書く。qday の時点で、盗める状態のコインがどれだけあるかを外から数えられなくなるという。

担保は「盗む側が自腹で積むお金」だ。盗めば儲かる仕組みを、盗もうとすると損をしうる仕組みに変える。30日、1 BTC といった数字は原文が例として置いたもので、決まった値ではない。

鍵を失ったコインは地雷では守れない

地雷には弱点がある。原文が書くとおり、量子に弱い出力の多くは、すでに秘密鍵が失われていると考えられている。持ち主がいなければ、地雷を仕掛ける人もいない。攻撃者はそう見当を付けて、そうしたコインを狙える。

Fields 氏はここに競売の案を2つ重ねた。

一つは staked auction (事前に入札を積む競売) だ。待ち時間の後に「入札の期間」を足す。原文の例では、Bob は古い 50 BTC の出力に地雷が無いとにらみ、qday の前に 50 BTC の量子耐性の出力を用意して、その出力の中に 40 BTC の入札を隠しておく。qday の後、攻撃者が 50 BTC を盗み、自分の 50 BTC を担保に積んで 95 BTC の出力をつくる。これは 45 BTC の入札にあたる。地雷が無いので最初の待ち時間は過ぎ、競売が始まる。Bob は隠していた入札を明かし、攻撃者の担保から 40 BTC を得る。続いて Carol が 30 BTC の入札を明かし、誰も上回らなければ 30 BTC を手にする。

この設計では、盗まれたコインそのものは焼却され (永久に流通から外され)、競売の勝者が受け取るのは攻撃者の担保だ。地雷か、より低い事前の入札があるかぎり、攻撃者は盗みに成功しない。攻撃者がコインを持ち去れるのは、誰も上回る入札をしなかったときだけだ。

もう一つは sats auction で、Neha Narula 氏が、ドル・オークションを使えると示唆したものだ。ドル・オークションは、2位の入札者も入札額を払う競売で、降りられないまま値がつり上がる。この案では事前の準備が要らない。古いコインが動くたびに、待ち時間の後で競売が始まる。最高の入札者がコインから入札額を引いた分を得て、2位は入札額を失う。攻撃者は担保をすべて失うこともありうるので、原文は、合理的な結論は攻撃者が参加しないことだと書く。事前の約束が要らないので、外からは攻撃者と見分けのつかない元の持ち主が、自分で競売を始めて一部を取り戻す道もあるという。

ここで、BIP-361 の草案が P2PK について書いていることと重ねて読める。草案は、P2PK の出力には知識の差 (持ち主だけが知っていること) が無いため救済の手順をつくれないとし、P2PK については「Hourglass」型の別の提案を支持している。Fields 氏の例はちょうどその P2PK で、qday の前に証明を仕込むことで、持ち主だけが持つ知識を前もってつくり出している。救済が難しいとされてきた形式に、別の入口を示した形だ。

まだ書かれていないもの

原文は、仕組みの骨格を示しただけで、多くを空欄のまま残している。

量子耐性の出力の形式 (前提の一つ目で、まだ決まっていない)
qday の後に有効にする検証のルールと、その有効化の判断の仕方
ソフトフォークとしての具体的な手順 (原文は「将来の課題」とした)
担保の比率 (原文は「1:1 または x:y」)、入札の上限と下限、入札の間隔
負けた側の資金の行き先 (焼却・勝者へ・マイナーへ・後で使う積立のいずれか)
入札者が預けたコインの扱い (負けたら戻すか、没収するか) と、コインの保有期間を考慮するか

さらに Fields 氏は、何を目標にするかすら自分には定まっていないと書く。挙げた候補は3つある。攻撃者にそもそも盗みを試みさせないことか。競売による入札を促し、時には攻撃者を勝たせてでも仕組みを回すことか。コインをできるだけ無作為に配り直すことか。最後の場合は、すべての未使用の出力をくじの券のように扱う競売も考えられるという。

望ましい結果は qday の後、時間とともに変わりうるとも書いている。qday から時間がたつほど、古いコインを動かそうとする者は元の持ち主より攻撃者である可能性が高くなるからだ。

この問いは、署名の暗号の選び方では答えが出ない。移行しそこねたコインを、凍結で持ち主から切り離すのか、競売で市場に戻すのか、盗む側の担保で守るのか。どれを選んでも、誰の財産をどの条件で扱うかを、ネットワーク全体で決めることになる。量子対策の議論は、技術の選択から、財産の扱いを決める統治の領域に入っている。

次に見るもの

bitcoin-dev のメーリングリスト: 11月9日時点で、Fields 氏の投稿のスレッドに返信はまだ付いていない。他の開発者がこの案をどう評価し、担保や競売の設計をどう詰めるかを見る
BIP-361 など凍結案との議論の行方: bitcoin/bips のリポジトリで、BIP-361 の草案の改訂と、凍結案と担保・競売の案を比べる議論が出てくるか
量子耐性の出力の形式の進み具合: Fields 氏の案の前提になる新しい出力の形式 (BIP-360 など) が、草案から先に進むか。この前提が固まらないかぎり、地雷も競売も設計図の上にとどまる

ことば

qday — 量子計算機が、いまの署名方式の秘密鍵を公開鍵から割り出せるようになる日。いつ来るかは定まっておらず、Fields 氏の案も BIP-361 も、その前に備えを済ませる前提で組まれている。
P2PK — ビットコインの最も古い出力の形式の一つで、公開鍵そのものをチェーンの上に置く。公開鍵が最初から見えているため、量子計算機に最も弱い形式とされる。
ドル・オークション — 最高の入札者が品物を得るが、2位の入札者も入札額を払う競売。降りれば損が確定するので入札が続き、品物の値を超えて値がつり上がることがある。

🔗 一次ソース