フランスのスタートアップ、Alice & Bobの専門家らは、仮想的な量子コンピューターが公開鍵からビットコインの秘密鍵を復元するには、物理量子ビット29,588個と約62分で足りる可能性があると算出しました。
$この数値は、Googleの研究者らが3月に示した50万個未満という目安より、約17分の1です。ただし、単純な比較はできません。両研究の著者らは異なるハードウェアアーキテクチャを想定し、異なる技術的前提を用いています。
Alice & Bobのアプローチはショアのアルゴリズムに基づいている。このアルゴリズムを使えば、十分に強力な量子コンピューターで、現代の暗号システムの安全性を支える数学的問題を解くことができる。
著者らは、ビットコインがデジタル署名に使用する楕円曲線 secp256k1 への攻撃の可能性を調査した。これを破れば、既知の公開鍵から秘密鍵を復元し、対応する資産を掌握できる。
必要なリソースをどう削減したのか
Alice & Bobは、特殊なタイプの超伝導量子ビット、いわゆるキャット量子ビット（cat qubits）を用いた量子コンピューターを開発している。このアーキテクチャでは、量子エラーの一種を抑制でき、その他のエラーを訂正するために必要なリソースも削減できる。
Alice & Bobの量子コンピューターのアーキテクチャを示す2層構成の模式図。上層のLDPCは、指数部、メモリー、演算の各領域に分かれている。下層には、アクセス領域、ルーティング、加算器バッファー、マジック状態ファクトリーが配置されている。
「キャット量子ビット」を用いた量子チップの簡略図。出典：Alice & Bob、Cryptology ePrint Archive（CC BY 4.0）。
想定された構成では、29,588個の物理量子ビットから構成される1,462個の論理量子ビットを使用する。アルゴリズムを再実行する可能性を考慮すると、計算には61.8分かかる。
ただし、このモデルは、一定のエラー訂正速度と、エラーの発生頻度が極めて低いことを前提としている。
著者らはRSA-2048の解読について基本構成を詳しく計算し、secp256k1の数値は同じ計算処理に基づいて算出した。そのため、研究ではビットコインに関する推定値を上限としている。
対数目盛のグラフ。横軸は物理量子ビット数（1万〜10億個）、縦軸は計算時間（0.03〜100日）。Alice & Bobの推定値は、Googleによる2019年と2025年の研究を含む先行研究より左側に位置しており、必要な量子ビット数が少ないことを示している。
各年の研究における、RSA-2048の解読に必要な物理量子ビット数と時間の推定値。出典：Alice & Bob、Cryptology ePrint Archive（CC BY 4.0）。
どのビットコインが脅威にさらされているのか
Alice & Bobの計算によると、鍵の復元には、ビットコインのブロック間の平均時間である10分を大幅に超える時間がかかる。そのため、資金の送金時に初めて公開鍵が明らかになるトランザクションへの攻撃は制限される。
一方、公開鍵がすでにブロックチェーン上で公開されているコインは事情が異なる。攻撃者は、送金が承認されるまでの短い時間内に攻撃を完了させる必要がない。
著者らは、わずか28,183個の量子ビットを使う小規模な構成でも、こうしたコインが脅威にさらされると指摘した。この構成で必要な時間は146分だという。例として、P2PK形式のアウトプットと、再利用されたアドレスを挙げている。
10月初旬、Glassnodeの共同創業者ラファエル・シュルツェ＝クラフトは、公開鍵が明らかになっているアドレスにあるビットコインの量を626万BTC、供給量の31.2%と推定した。同社のアナリストは5月時点で604万BTCと数えていた。
約433万BTCは、アドレスの再利用によって脆弱になっていた。さらに194万BTCは、その構造上、鍵が公開されるアドレスにあった。
研究者らによると、今回の結果を受け、ポスト量子暗号への移行を直ちに開始する必要がある。移行までの暫定措置として、従来のアルゴリズムとポスト量子アルゴリズムを組み合わせたハイブリッド方式の利用を提案している。
なお、9月にはIonQの専門家が、secp256k1への攻撃に必要なリソースを、物理量子ビット19,397個、計算時間25.7日と推定した。
