Googleは最新のWillow量子チップで、量子計算に必要な特殊な量子状態の生成におけるエラーを約40分の1に削減したと発表しました。この進展は、将来的にbitcoinウォレットを解読しようとする際のハードウェアの主要なボトルネックを軽減するものです。
同社によると、Willowチップは量子計算で用いる特別な状態の準備時の誤差を大幅に低減しており、bitcoinウォレットの解読に必要な高コストな処理の改善に取り組んでいます。
今週Science誌に掲載されたこの成果は、bitcoinの量子脅威を巡る議論で見過ごされがちな点、つまり攻撃者に必要な量子コンピューターの規模だけでなく、その中で計算準備に充てられる資源の割合にも注目したものです。
なぜ最も古いコインほど攻撃者に有利となるのか
bitcoinウォレットは支払い承認に秘密鍵と公開鍵のペアを用います。送金が行われると公開鍵が明らかになりますが、中には最初から公開されている種類の支払い形式もあります。秘密鍵の逆算は非常に困難とされています。
しかし、十分に大型の量子コンピューターがShorのアルゴリズムを実行すれば、理論上は秘密鍵の特定が可能です。秘密鍵を得た者はトランザクションに署名でき、ネットワークから正当なものとして認められます。Shorのアルゴリズムは1994年に提唱されましたが、実証例はまだありません。
リカバリーフレーズを物理的に保存していてもこうした攻撃を防げず、攻撃者は既にブロックチェーン上に存在する情報を基に行動します。
近年登場した支払い形式では所有者が送金するまで公開鍵をハッシュに隠すこともありますが、攻撃者は公開待ちの間に速やかに秘密鍵を回復しなければなりません。
失われたコインの問題が厄介になるのはこのためで、bitcoinは強力な送金保護を採用しても、既存の公開鍵の暗号を保持したまま古いコインを動かすには元の鍵が必要です。このため攻撃者は未だ利用可能な公開鍵に対処可能なままです。
特に最古のbitcoinの一部は1970年代初期の採掘時から公開鍵が露出し続けています。
最近は量子脅威への関心の高まりに伴い、古いコインの動きも見られます。2023年10月7日には2010年7月以降動きのなかった100.02 BTCが16年ぶりに移動し、約850万ドルの価値に達していました。また、2023年8月には2011年から2014年の非稼働ウォレット6件により553.59 BTC、約4,000万ドル相当の移動が確認されています。
なお、これらの動きが量子脅威への対応とは断定できず、ウォレットの整理や売却準備など他の理由も考えられます。
準備にかかるコストの課題
量子コンピューターは量子ビットという単位で情報を扱いますが、環境要因に非常に脆弱でエラーが発生しやすくなります。量子ビットを増やすほどエラーの機会も増加します。
これに対応するため、物理的な量子ビットを複数まとめてエラー検出・訂正を行うグループを形成し、信頼性の高い論理量子ビットとして扱います。
特定の計算を実行するには、「magic states」と呼ばれる特別に準備された量子状態を大量に生成し続ける必要があります。これらの状態は使うごとに消費されるため、コンピューターは計算中常に新たな状態を供給し続けなければなりません。
この状況はキッチンで毎回使い切る新しいソースを作るスタッフが常に必要なレストランのようなもので、magic statesの生成に割り当てられたハードウェアは他の用途に回せません。量子攻撃の多くの労力は事前準備に費やされます。
Googleの「cultivation」手法では、荒い状態をまず生成しエラーを検査して欠陥のある試行を棄却しながら従来より少ないハードウェアで良質な状態を作り出すことを目指しています。
同社は約99.99％の忠実度を達成したと報告しました。これは完成した状態が目標とする理想的な状態にどれだけ近いかを示します。
この数字は検査を通過した状態のみが対象となり、Willowチップでは準備と測定段階で約8％の試行が合格しました。100回試行で約8回が有効となる計算です。
今後の課題として、これらのプロセスを大規模化し長時間の計算でも状態を保つことが挙げられています。また、研究者はリアルタイムでの操作やより強力な誤り訂正方式への状態転送についてもさらなる研究が必要としています。
過去の研究との関連
2023年3月、Googleは特定のハードウェア前提のもと、50万個未満の物理量子ビットを備えた超伝導量子コンピューターがBitcoinやEthereumで用いられるウォレットの暗号を破る試算を公表しました。
9月にはCoinDeskがその攻撃に用いる中核的計算の効率化を進めた研究を報じましたが、これは攻撃全体や必要な物理ハードウェアのコストを含まず一構成要素に限ったものでした。
これらの研究は必要な計算量を削減し、今回のcultivation手法はその計算を実行するために必要なマシンの準備コストに焦点を当てています。ただし、両者の改善効果は単純には合算できません。Googleの3月の試算は効率的なmagic-state生成を前提とし、今回の実験はその一部の工学的検証にとどまっています。したがって、bitcoin攻撃推定コストをさらに40分の1に削減するわけではありません。
3月の論文では攻撃の燃料消費も示されており、公開鍵の利用開始後約9分間続く一回の攻撃では、Googleは毎秒約50万個の高信頼なmagic statesが必要と推定しています。
