Googleが開発したWillow量子チップは、量子計算に不可欠な特殊な量子状態の準備におけるエラーを従来の約40分の1に削減し、将来的にBitcoinウォレットの解読を目指す際のハードウェアにおけるボトルネックの一つを軽減したと発表した。
同社によれば、Willowは量子コンピューターが動作する際に必要な特別な状態を整える工程の精度向上により、 Bitcoinウォレットを解読し得る量子マシンの構築に伴う高コストな課題に取り組んだ成果だという。
今週『Science』誌で発表されたこの研究は、Bitcoinの量子脅威に関する議論でしばしば見過ごされがちなポイントに着目したものである。それは攻撃者が必要とするマシンの規模に関心が集まる一方、実際にマシンのどの程度の部分が計算状態準備に専有されるかという問題が十分に議論されてこなかった点である。
なぜ最も古いコインほど攻撃リスクが高まるのか
Bitcoinのウォレットは、支払い承認に必要な秘密鍵と、それを検証する公開鍵をそれぞれ用いる。一般に、送金が行われると対応する公開鍵が明らかになるが、一部の支払い形式では最初から公開されている場合もある。
秘密鍵を公開鍵から逆算することは現行の計算技術では事実上不可能とされているが、十分に大規模な量子コンピューターがShorのアルゴリズムを実行すれば理論上は計算可能だ。秘密鍵を取得した者は所有者としてトランザクションに署名でき、その署名はネットワークで正当と認められる。Peter Shorがこのアルゴリズムを公表したのは1994年であるが、実際に実証された例はまだない。
物理媒体で保管されるリカバリーフレーズはこの種の攻撃から保護しない。攻撃者はすでにブロックチェーン上の情報を基に攻撃を仕掛けるためだ。
後発の支払い形式では、所有者が送金するまで公開鍵をデジタル指紋で隠すものもある。その場合、攻撃者は公開鍵の露出を待ちつつ、極めて高速に秘密鍵を復元する必要が生じるかもしれない。
失われたコインの存在も問題となる。Bitcoinは強化された送金保護を実装可能だが、古いコインを新たな仕組みに移すにはいまだ既存の秘密鍵が必要となる。もし鍵の所在が不明な場合、資産は移動できず、公開鍵は攻撃者に引き続き利用される恐れがある。
Bitcoinの最古の保有コインの一部は、採掘時点から公開鍵が露出したままだ。
量子攻撃に関する議論が活発化する中、長期間動きを見せなかった古いコインも動き始めている。10月7日には、2010年7月以来触れられていなかった100.02BTCが16年以上ぶりに移動し、約850万ドルの価値が伴っていた。8月にも2011年から2014年にかけて非稼働だった6つのウォレットが合わせて553.59BTC、約4,000万ドル相当を移動させている。
ただし、これらの動きが量子脅威に対する直接的な反応だと断定することはできない。ウォレットの更新や保有資産の整理、売却準備などの理由も考えられる。
計算準備に要するコストの理解
量子コンピューターは情報単位として量子ビットを用いるが、これらは非常に壊れやすく、熱や振動、外部ノイズの影響でエラーが生じやすい。量子ビット数を増加させるほどミスの可能性も高まる。
エンジニアは、多数の物理的量子ビットをまとめてエラー検出と訂正を行う論理量子ビットとして編成し、単位として扱う。
論理量子ビットで演算を行うには、さらに「magic states」と呼ばれる特別に準備された量子状態が必要だ。これらは使用時に消費されるため、計算全体を通じて継続的に生成され続けなければならない。
例えるなら、新鮮な調味料を使い切っては常に仕込み続ける厨房のようなものだ。量子コンピューターでは、magic statesの生成に使われるハードウェアが他の処理に使えない制約もある。
実際の量子攻撃では、計算の大部分がこの準備工程に割かれる。
Googleはこの生成手法を「cultivation」と呼び、粗い状態をまず生成し、検査でエラーを除いた上で最終的に高精度な状態を作る。従来技術と比べ、より少ないハードウェアでクリーンな状態を得ることを目指している。
同社は約99.99％の高い忠実度を達成しており、この数値は生成された状態が理想にどれだけ近いかを示すものだ。ただしこの値は検査をパスした状態のみに適用され、実験では試行の約8％が合格している。
今後はこのプロセスを大規模化し、長時間の計算中も状態の有用性を保つことが課題である。研究チームはリアルタイム操作や誤り訂正構成への状態転送についてさらなる検討が必要としている。
先行研究との関連
3月にはGoogleが、特定のハードウェア条件下で約50万個未満の物理量子ビットを持つ将来の超伝導量子コンピューターがBitcoinやEthereumのウォレット暗号を破壊可能と試算した。
9月にはCoinDeskが中核計算の負荷を減らす研究を報じたが、この研究は攻撃の一部に対するもので、全体攻撃や物理ハードウェアのコストは含まれていなかった。
これらの研究は必要な計算量を削減する一方、今回のcultivation技術は、その計算を支えるマシンの供給コスト低減に焦点を当てている。
ただし両者の効果を単純に掛け合わせることはできない。Googleの3月の試算はすでに効率的なmagic stateの生成を前提としており、今回検証した工程はその工学的側面の一部にすぎず、Bitcoin攻撃コストをさらに単純に40分の1に減らすものではない。
3月の論文では1回の攻撃で消費されるmagic statesの数が示されており、公開鍵が使える約9分にわたる攻撃を想定した場合、Googleは毎秒約50万個の高忠実度magic statesが必要と試算している。