Googleは、Willow量子チップにおいて高度な量子計算に必要な特殊な量子状態の準備時のエラーを約40分の1に軽減し、将来的にbitcoinウォレットを解読し得る量子コンピューターの開発におけるハードウェア上のボトルネックの一つを解消したと発表した。
同社によれば、このWillowチップは量子計算で用いる特殊な状態を準備する過程でのエラー率削減に成功し、bitcoinウォレットを解読可能なマシン構築に必要とされる高コストの工程に対する取り組みとなっている。
今週、『Science』誌に掲載されたこの成果は、bitcoinの量子脅威に関する従来の議論であまり焦点の当てられてこなかった計算準備に必要なマシンの規模とエラーについて考察するものである。従来は攻撃者が必要とするマシンの大きさに注目されてきたが、その計算準備がマシンのどれだけを占有するかに関しては十分に検討されていなかった。
最も古いbitcoinが攻撃者に時間的猶予を与える理由
bitcoinウォレットは、秘密鍵とそれに対応した公開鍵を用いて支払いを承認し、承認はネットワークによって検証される。通常、送金時に公開鍵は明らかになるが、支払い形式によってはあらかじめ公開されることもある。
秘密鍵を逆算するには膨大な計算量が必要であり、実用上はリバースエンジニアリングが困難とされている。しかし、十分な大きさの量子コンピューターがShorのアルゴリズムを実行可能ならば、理論上はこの計算が可能となる。秘密鍵を入手した者はトランザクションに正当に署名でき、ネットワークに承認される。Shorのアルゴリズムは1994年に提唱されたが、実用化には至っていない。
物理的に保管されるリカバリーフレーズはこの種の攻撃には防御とならず、攻撃者はブロックチェーン上に存在する情報を用いて行動する。
一部の新しい支払い形式は、所有者が送金するまで公開鍵をハッシュ（デジタル指紋）で秘匿している。これを狙う攻撃者は公開鍵の露出を待ち、送金に間に合う速度で秘密鍵を回復する必要がある可能性がある。
失われたコインの問題もここに関連する。Bitcoinはより堅牢な送金保護を導入できるが、古い保有分を新保護に移すには既存の秘密鍵が必要となり、鍵を紛失した所有者は移転できない。露出済みの公開鍵は将来の攻撃者に利用される危険性が残る。
最も古いbitcoinの一部は、採掘直後から公開鍵が露出したままだ。
量子脅威の議論が高まる中で、古いコインの動きも見られている。2023年10月7日には、2010年7月以来手つかずだった100.02 BTCが約16年ぶりに移動し、約850万ドル相当とされた。8月には2011〜2014年に保有され非稼働だった6ウォレットから合計553.59 BTC（約4,000万ドル相当）も動いた。
しかし、これらの送金だけで量子脅威に対する反応とは断定できず、ウォレットの乗り換えや保有資産の整理、売却準備などの理由も考えられる。
量子計算準備のコストとGoogleの技術
量子コンピューターは量子ビット（qubit）と呼ばれる単位で情報を保持するが、熱や振動、外部ノイズに弱くエラーが発生しやすい。量子ビットを増やすほどエラーの発生確率も上がる。
エンジニアは多数の物理量子ビットを組み合わせてエラー検出・訂正用のグループとし、それを論理量子ビットとして信頼性の高い単位とする。この単位で特定操作を行うには、「magic states」と呼ばれる特別に準備した量子状態が必要となり、各状態は使うごとに消費されるため、計算中は生成を継続しなければならない。
例えるなら、料理に使う使い切りの新しいソースを絶えず準備し続ける厨房のようなもので、magic statesの生成専用ハードウェアは他用途に使えない。
量子攻撃では大半の労力をこの準備に割かれる。
Googleの手法「cultivation」は、粗い状態をまず生成し、検査でエラーを確認。欠陥のある試行を捨てながらよりクリーンな状態を効率的に作る。従来手法より少ないハードウェアでの生成を目指す。
同社は約99.99％の高忠実度を達成。これは完成した状態が研究者の目標にどれだけ近いかの指標である。評価は検査を通過した試行後に適用される。Willowチップは準備・測定段階で8％の試行を残す。つまり100回試行すると約8回が合格する計算だ。
今後の課題はプロセスの大規模化や、長時間の計算に向けて状態を維持すること。リアルタイムでの操作や高精度な誤り訂正へ状態を移す研究も必要としている。
先行研究との接続
今年3月、Googleは特定ハードウェア条件下で50万物理量子ビット未満の超伝導量子コンピューターがbitcoinとEthereumのウォレット暗号を破れると試算している。
9月にはCoinDeskが、攻撃に必要な中核計算の負荷を削減する研究を報じたが、それは攻撃全体や実際の物理ハードウェアコストは含まれていなかった。
これらは攻撃者の計算量を減らす研究。一方でcultivationはその計算を行うマシンに供給するコストの効率化に寄与する。
ただし、両者の効果を単純に掛け合わせることはできない。3月時点の試算は既に効率的なmagic-state生成を前提としていたため、今回のWillow実験はその一部工学的検証にとどまり、攻撃コストを40分の1に減らすものではない。
3月論文によると、公開鍵が利用可能になってから約9分間続く1回の攻撃では、Googleは毎秒約50万個の信頼できるmagic statesが必要と試算している。