ビットコインを量子耐性にするという件で、今週の月曜に一気にいくつかのルートが出てきました。進み方はまったく違います。最初にバズったものも、理解しやすいです。ビットコインのルールは一文字も変えず、1回の送金の署名を何度も計算し直して、量子コンピュータでもそれを破れないところまで算出したら、そのままマイナーに渡してブロックに取り込んでもらう、というものです。成立する前提はちょっと皮肉で、通常のノードはそういう形式の取引をそもそも転送しません。だから自分でマイニングプールの門をたたく必要があります。
この取引は第 964,199 番目のブロックに入りました。案を設計したのはStarkWareのAvihu Levyで、同僚のTomer GiladiがMARAのSlipstreamチャネルに投入しました。私はオンチェーンでそれを掘り起こして一度照合しました。量子耐性で守られている入力は1万サトで、現在の価格に換算しても8ドル未満です。Levyは仕組みを説明していて、ウォレットは最初に計算できた「有効な署名」をそのまま受け付けず、形がぴったり合うものに当たるまで候補を作り直し続けます。この処理には数時間分の計算リソースが必要になります。
8ドル、数時間。この比較は嘲笑のためではなく、今回の証明が何を示したのかをちょうど説明しているからです。ビットコインの今日のコンセンサスルールのもとでは、公鍵を最後まで漏らさない「全行程非開示」の支払いでも、実際にメインネットへ取り込める、ということです。方案の境界については、転送した側よりStarkWare自身のほうが正直です。会社としては、QSBはビットコインを量子耐性にしたわけではないと言い切っています。守っているのは特定の取引だけで、すでにオンチェーンで公鍵が露出しているアドレスは救えません。CEOのEli Ben-Sassonも、さらに率直でした。彼は、ビットコインにはソフトフォークを一度やってほしいし、最終的にはそうなると考えている、とのことです。
問題はここです。ビットコインの量子リスクは、すべてのコインに均等にではなく、公鍵がすでにブロックに書き込まれているアドレス群のみに押しつけられています。お金を一度でも使ったアドレスはこのカテゴリに入ります。今年3月1日までに、ネットワーク全体の3分の1を超えるビットコインがオンチェーンで公鍵を露出済みです。このコインは、新しい支払い手法が増えたからといって自動的に安全になりません。持ち主が自発的に移すか、ずっとそこに寝かせておくかのどちらかです。QSBは、まだ露出していない残りの部分のためのツールで、最も助けが必要なその層には届きません。
2つ目のルートは、このギャップを狙っています。同じ週に、BlockstreamのJonas NickがSHRINCSのBIPを正式に出しました。これはビットコインの台帳構造に合わせて裁断された、最初の量子耐性署名方式です。土台はやはりSHA-256で、新しい数学的仮定には依存しません。代償は表に書かれており、今日のSchnorr署名が64バイトなら、SHRINCSの最小は548バイト、最悪で4,619バイトまで膨らみ得ます。さらに状態管理も必要で、同じ秘密鍵を1回署名するたびに長くなっていきます。端末を紛失した場合は、5千バイト以上の「保険用の支払い取引」で資金を救い出す必要があります。BIPドキュメントには、削除されなかった一行もあります。安全性の証明はまだ完成していない、というものです。
3つ目のルートはさらに遠い話です。Blockstreamは同じ週に格子署名の評価も出しており、その枠ではFalcon-1024が最も軽く、公開鍵と署名を合わせて3,073バイトでした。ただ、研究チーム自身は「今すぐ導入を推奨する」形ではありません。NISTの標準文書はまだ最終稿になっていないからです。彼らが示した順序は、まずハッシュ系を使い、格子系の標準が確定したら混合を考える、という流れでした。
ルートが出揃ったところで、共通点も隠せません。QSBを除き、他の2つはコンセンサス層を動かす必要があります。QSBがコンセンサスを動かさないのは、まさにP2Pネットワーク全体を迂回しているからです。ノードはそういう取引を認識しないので、マイナーが別途受け取って取り込むしかありません。技術面では、ビットコインの答えが足りないわけではない。足りないのは、その三分の一のコインについて決定権を誰が持つのか、という点です。
この矛盾は今年、表に出てきました。2月にBIP-360が公式リポジトリに取り込まれ、ビットコインに最初の量子耐性アドレス種別が定義されました。4月には、Jameson Loppと他5名の開発者がBIP-361を出し、古い署名種別に5年の「日没」を設定しました。期限までに移さないコインは、その支払いがネットワークに認められなくなります。これには、一般に中本聡のものだと見なされているコイン群も含まれます。Adam Backは、強制的な凍結に明確に反対し、今すぐ量子耐性機能をオプションとしてプロトコルに追加し、各自が移せるようにすべきだと主張しました。ポスト量子安全のMarin Ivezicが最も的確にまとめていて、彼は「ビットコインの量子移行の本当の制約は暗号ではなく、ガバナンスだ」と言っています。
私はその判断に同意します。今週のニュースが、その添え書きになっています。暗号研究者たちは選択肢を出し終えました。いま使えるものはQSB、プロトコルに入れられるものはSHRINCS、さらに省スペースなのはFalcon。残る争点は技術選定ではなく、一部の人のコインに期限を設けるかどうかです。ビットコインのこのガバナンス構造で「追加」は処理できます。Taprootがそうです。一方で「権利の削減」は成功したことがない。そもそもの設計が、その手の事態を防ぐためだったからです。
この判断は反証可能です。これから数か月で、BIP-360やSHRINCSが実質的なアクティベーション議論に入って、当年のTaprootのようなシグナル期間のタイムテーブルを除外できれば、ガバナンスのこの部分は想像しているほど詰まっていない可能性があります。もう1つのシグナルはチェーン上でより直接的で、10年以上動かされていない大口アドレスで、公鍵がすでに露出しているものがまとまって移され始めれば、凍結するかどうかの議論は自然に格下げされます。これら2つはいまのところまだ起きていません。
そして、今週の騒ぎにビビる必要もありません。市場のこの量子不安の出発点は、3月末と6月です。Google Quantum AIチームが、楕円曲線に対するShorアルゴリズムの資源見積もりを1桁分改善しました。Justin Drakeの長文がそれを界隈に広めました。資源見積もりの改善は、機械が実際にできることとは別です。前者はタイムラインを少し前倒しにしただけです。#Bitcoin は現在79,891で、今週も全体的に上向きですが、量子の線とはほぼ関係ありません。$BTC の価格もマクロとETFのリズムに追随しているだけです。
この数日、自分のためにできることがあるとしたら、よく使うあのアドレスがオンチェーンで支払い済みかどうかを確認してみてください。使っていれば、公鍵はすでに公開されています。将来ビットコインがどのルートを選ぼうと、能動的に移すことになるのはこういうアドレスです。その日まではまだ遠いですが、自分がどちら側に立っているのかを知っておくのは役に立ちます。今週誰がどんな案を出したかを覚えるより、ずっと。
この取引は第 964,199 番目のブロックに入りました。案を設計したのはStarkWareのAvihu Levyで、同僚のTomer GiladiがMARAのSlipstreamチャネルに投入しました。私はオンチェーンでそれを掘り起こして一度照合しました。量子耐性で守られている入力は1万サトで、現在の価格に換算しても8ドル未満です。Levyは仕組みを説明していて、ウォレットは最初に計算できた「有効な署名」をそのまま受け付けず、形がぴったり合うものに当たるまで候補を作り直し続けます。この処理には数時間分の計算リソースが必要になります。
8ドル、数時間。この比較は嘲笑のためではなく、今回の証明が何を示したのかをちょうど説明しているからです。ビットコインの今日のコンセンサスルールのもとでは、公鍵を最後まで漏らさない「全行程非開示」の支払いでも、実際にメインネットへ取り込める、ということです。方案の境界については、転送した側よりStarkWare自身のほうが正直です。会社としては、QSBはビットコインを量子耐性にしたわけではないと言い切っています。守っているのは特定の取引だけで、すでにオンチェーンで公鍵が露出しているアドレスは救えません。CEOのEli Ben-Sassonも、さらに率直でした。彼は、ビットコインにはソフトフォークを一度やってほしいし、最終的にはそうなると考えている、とのことです。
問題はここです。ビットコインの量子リスクは、すべてのコインに均等にではなく、公鍵がすでにブロックに書き込まれているアドレス群のみに押しつけられています。お金を一度でも使ったアドレスはこのカテゴリに入ります。今年3月1日までに、ネットワーク全体の3分の1を超えるビットコインがオンチェーンで公鍵を露出済みです。このコインは、新しい支払い手法が増えたからといって自動的に安全になりません。持ち主が自発的に移すか、ずっとそこに寝かせておくかのどちらかです。QSBは、まだ露出していない残りの部分のためのツールで、最も助けが必要なその層には届きません。
2つ目のルートは、このギャップを狙っています。同じ週に、BlockstreamのJonas NickがSHRINCSのBIPを正式に出しました。これはビットコインの台帳構造に合わせて裁断された、最初の量子耐性署名方式です。土台はやはりSHA-256で、新しい数学的仮定には依存しません。代償は表に書かれており、今日のSchnorr署名が64バイトなら、SHRINCSの最小は548バイト、最悪で4,619バイトまで膨らみ得ます。さらに状態管理も必要で、同じ秘密鍵を1回署名するたびに長くなっていきます。端末を紛失した場合は、5千バイト以上の「保険用の支払い取引」で資金を救い出す必要があります。BIPドキュメントには、削除されなかった一行もあります。安全性の証明はまだ完成していない、というものです。
3つ目のルートはさらに遠い話です。Blockstreamは同じ週に格子署名の評価も出しており、その枠ではFalcon-1024が最も軽く、公開鍵と署名を合わせて3,073バイトでした。ただ、研究チーム自身は「今すぐ導入を推奨する」形ではありません。NISTの標準文書はまだ最終稿になっていないからです。彼らが示した順序は、まずハッシュ系を使い、格子系の標準が確定したら混合を考える、という流れでした。
ルートが出揃ったところで、共通点も隠せません。QSBを除き、他の2つはコンセンサス層を動かす必要があります。QSBがコンセンサスを動かさないのは、まさにP2Pネットワーク全体を迂回しているからです。ノードはそういう取引を認識しないので、マイナーが別途受け取って取り込むしかありません。技術面では、ビットコインの答えが足りないわけではない。足りないのは、その三分の一のコインについて決定権を誰が持つのか、という点です。
この矛盾は今年、表に出てきました。2月にBIP-360が公式リポジトリに取り込まれ、ビットコインに最初の量子耐性アドレス種別が定義されました。4月には、Jameson Loppと他5名の開発者がBIP-361を出し、古い署名種別に5年の「日没」を設定しました。期限までに移さないコインは、その支払いがネットワークに認められなくなります。これには、一般に中本聡のものだと見なされているコイン群も含まれます。Adam Backは、強制的な凍結に明確に反対し、今すぐ量子耐性機能をオプションとしてプロトコルに追加し、各自が移せるようにすべきだと主張しました。ポスト量子安全のMarin Ivezicが最も的確にまとめていて、彼は「ビットコインの量子移行の本当の制約は暗号ではなく、ガバナンスだ」と言っています。
私はその判断に同意します。今週のニュースが、その添え書きになっています。暗号研究者たちは選択肢を出し終えました。いま使えるものはQSB、プロトコルに入れられるものはSHRINCS、さらに省スペースなのはFalcon。残る争点は技術選定ではなく、一部の人のコインに期限を設けるかどうかです。ビットコインのこのガバナンス構造で「追加」は処理できます。Taprootがそうです。一方で「権利の削減」は成功したことがない。そもそもの設計が、その手の事態を防ぐためだったからです。
この判断は反証可能です。これから数か月で、BIP-360やSHRINCSが実質的なアクティベーション議論に入って、当年のTaprootのようなシグナル期間のタイムテーブルを除外できれば、ガバナンスのこの部分は想像しているほど詰まっていない可能性があります。もう1つのシグナルはチェーン上でより直接的で、10年以上動かされていない大口アドレスで、公鍵がすでに露出しているものがまとまって移され始めれば、凍結するかどうかの議論は自然に格下げされます。これら2つはいまのところまだ起きていません。
そして、今週の騒ぎにビビる必要もありません。市場のこの量子不安の出発点は、3月末と6月です。Google Quantum AIチームが、楕円曲線に対するShorアルゴリズムの資源見積もりを1桁分改善しました。Justin Drakeの長文がそれを界隈に広めました。資源見積もりの改善は、機械が実際にできることとは別です。前者はタイムラインを少し前倒しにしただけです。#Bitcoin は現在79,891で、今週も全体的に上向きですが、量子の線とはほぼ関係ありません。$BTC の価格もマクロとETFのリズムに追随しているだけです。
この数日、自分のためにできることがあるとしたら、よく使うあのアドレスがオンチェーンで支払い済みかどうかを確認してみてください。使っていれば、公鍵はすでに公開されています。将来ビットコインがどのルートを選ぼうと、能動的に移すことになるのはこういうアドレスです。その日まではまだ遠いですが、自分がどちら側に立っているのかを知っておくのは役に立ちます。今週誰がどんな案を出したかを覚えるより、ずっと。