イーサリアムの研究者ジャスティン・ドレイク氏は日本時間 10 月 7 日深夜、X で「バンカーモード」への備えを落ち着いて始めるよう業界に呼びかけ、資産を一度も送金に使っていないアドレスへ移すことを勧めた。AI が数学を急に前へ進め始めたいま、暗号資産を持つ人にとっても、スマホで毎日メッセージを送る人にとっても、いまの暗号がいつまで持つのかは暮らしの問いになっている。
ただし、攻撃が実際に示されたわけではない。ドレイク氏も、翌朝に応じたイーサリアム共同創設者のヴィタリック・ブテリン氏も、急いで動かすなと書いている。そしてスマホやブラウザの暗号は、量子コンピューターに強い方式への切り替えがすでに静かに進んでいる。手元の資産と毎日の通信について、何を確かめ、何を待てばいいのかを順に見ていく。
722 本の数学論文から「バンカーモード」まで
きっかけは、10 月 7 日の朝に OpenAI が公開した社内モデルによる数学論文 722 本だった (中身は「OpenAI、社内モデルが書いた数学論文722本を公開」で整理した)。ドレイク氏は投稿で、この公開によって数学の超知能がもう来ていることがはっきりしたと書き、長く疑われなかった数学上の予想がここ数日で崩れた例を挙げた。
彼が心配するのは、暗号資産の署名に広く使われている楕円曲線暗号 (ECDSA) だ。楕円曲線は数学的な構造が豊かで、人間が見落としてきた抜け道を AI が見つけやすいのではないか、という見立てである。最悪の場合、量子コンピューターの完成を待たずに数か月のうちに破られる可能性にも備えるべきだ、とまで書いている。一方で、722 本の成果のなかに暗号の突破が目立って少ないことにも触れている。
押さえておきたいのは、これが見立てであって、事件ではないことだ。ドレイク氏もブテリン氏も、後で触れるカルダノ創設者のチャールズ・ホスキンソン氏も、実際に鍵が破られた事例は一つも挙げていない。
暗号資産を持っているなら、見せていない鍵に置く
ドレイク氏の提案の中身は、思ったより地味だ。
- 一度も取引に署名していないアドレスへ、資産の大半を移す
- 署名して送金したら、残りの資産も新しいアドレスへ移す (同じシードフレーズから作ったアドレスでよい)
- 新しい暗号も、新しい財布も要らない
- 急がない、慌てない
ドレイク氏の説明では、まだ署名に使っていないアドレスは、公開鍵がハッシュ (一方向に変換した値) の後ろに隠れている。送金に署名すると公開鍵が表に出る。楕円曲線が想定より早く弱くなった場合でも、公開鍵を見せていなければ攻撃の手がかりを先に渡さずに済む、という考え方だ。
ブテリン氏も、難しくなければ未使用のアドレスに資金を置くのはよい考えだと書いた。ただし同じ投稿で、太字にしてまで念を押したのが移行の危うさだった。本人は、これまでハッキングで失った合計より、移行の失敗で失ったお金のほうが多いと明かしている。
実際に動かすなら、手間と失敗の条件を先に数えておきたい。
- 送金のたびに手数料がかかり、送り先を取り違えれば取り消せない
- 使っている財布やアドレスの形式が、公開鍵が隠れている条件に当たるかは、財布の説明で確かめる必要がある
- シードフレーズを扱う作業が増えるほど、紙やファイルから漏れる機会も増える
- 取引所に預けている資産は、自分の操作ではなく取引所の管理の問題になる
ドレイク氏自身、まず動くべきなのは大口で手慣れた保有者だとし、大手取引所にはオフラインで保管している資産の強化を求めている。複数人で承認する財布 (マルチシグ) については、ブテリン氏が、承認のやりとりをチェーンの外で済ませれば署名者の署名が公開されず、楕円曲線が弱くなったときの被害を抑えられると書いた。少額の個人が今日すべてを動かす話にはなっていない。
毎日の暗号は、もう切り替わり始めている
ブテリン氏は、問題はブロックチェーンだけに限らないとも書いている。ウェブサイトへの接続、メッセージ、Tor や VPN も、同じ種類の暗号に頼っているからだ。
ここで出てくるのが「今盗んで後で解く」という攻撃である。暗号化された通信をいま集めて保存しておき、解読できる計算機が手に入った時点でまとめて解く。資産なら危なくなってから置き場所を変えられるが、すでに送った通信の秘密は後から守り直せない。だから通信の側は先に手を打つ必要がある。
その手は、すでに打たれ始めている。
- Apple は 2024 年 2 月、iMessage の新しい暗号方式 PQ3 を発表し、iOS 17.4・macOS 14.4 などに組み込んだ。量子に強い Kyber (標準化後の名前は ML-KEM) を従来の楕円曲線暗号と組み合わせ、両方を破らないと解けない設計にしている
- Signal は 2023 年 9 月、Kyber と従来方式の X25519 を組み合わせた PQXDH を発表した。新しい方式を信じ切らず、既存の暗号に足す形を選んだと説明している
- Google は 2024 年 9 月、Chrome のデスクトップ版すべてで有効にしていた同様の組み合わせ方式を、Chrome 131 から標準化された ML-KEM に切り替えると発表した
ホスキンソン氏も、組み合わせ型の ML-KEM はすでにブラウザやメッセンジャーで使われており、「今盗んで後で解く」攻撃への守りになっていると書いている。
読者の側でできることは単純で、OS・ブラウザ・メッセージアプリを最新に保つことだ。新しい方式は更新とともに届く。iMessage の PQ3 は iOS 17.4 からで、Signal の発表でも、新しい方式が使われるのはやりとりする双方が更新した後に始めた会話だった。古い版のまま止まった端末は、この切り替えから取り残される。
次の暗号も絶対ではない
では、切り替え先の ML-KEM なら安心なのか。ここで見立てが割れた。
ブテリン氏は、ML-KEM などが土台にする格子という数学の問題こそ、AI 時代の新しい危険地帯だと書く。素因数分解が数十年の工夫で大きく効率化されたように、格子にも人間がまだ見つけていない抜け道があり、今後 2 年の AI の数学で見つかるかもしれない。だから格子を使う暗号は鍵の大きさにもっと慎重であるべきで、長く安全にしたいなら鍵を 10 倍にするのが一つの目安だという。イーサリアムの将来設計で、構造の少ないハッシュだけで組む方向を取ってきたのもそのためだと説明している。
ホスキンソン氏は 10 月 9 日にこれへ反論した。格子への攻撃は 40 年にわたって研究され、知られた手法はすでにパラメーターの設計に織り込まれている。米国立標準技術研究所 (NIST) も 2025 年、格子とは別の数学に基づく HQC を ML-KEM の予備として選び、暗号化を格子だけに頼らない備えを置いた。そのうえでホスキンソン氏は、攻撃が見つかってもいないのに最も研究された方式を捨てるのは慌てすぎだとし、疑いを広めれば古い暗号のままの通信が長引くと警告している。
どちらが正しいかを、いま個人が判定する必要はない。両者とも攻撃の実例は示しておらず、議論はどこまで慎重であるべきかの幅をめぐるものだ。暮らしの側から効いてくるのは、Apple や Signal が選んだ組み合わせ型の設計だろう。新しい方式に弱点が見つかっても従来の暗号が残り、従来の暗号が量子に破られても新しい方式が残る。どちらか一方に賭けずに済む作りになっている。
自分はどうする?
ここまでを手元でできることに戻すと、三つになる。
- 更新する: スマホ、パソコン、ブラウザ、メッセージアプリを最新に保つ。通信の側の備えは、ほぼこれで届く
- 使い回さない: 暗号資産を自分で管理しているなら、送金に使ったアドレスに大きな残高を置き続けない。自分の財布が条件に当たるかは、財布の説明で確かめる
- 慌てない: ドレイク氏とブテリン氏は、急いだ移行のほうが危ないという点で一致している。動かすなら少額で試し、手順を確かめてから
待っていてよいこともある。新しい財布や新しい暗号方式への乗り換えを、いま個人が選ぶ必要はない。どの方式を次の土台にするかは、標準化団体と開発者の側で議論が続いている。
確認できる次の一点は二つある。ドレイク氏は来月 (11 月) ロンドンで機関向けのライブ質疑に臨むと予告しており、移行の進め方がそこでどこまで具体化するかが見えてくる。もう一つは NIST の HQC で、NIST は 2027 年に標準を確定させる予定としている。格子以外の予備がいつ使える形になるかは、そこで決まる。
ことば
- ML-KEM — 2024 年に NIST が標準 (FIPS 203) にした、量子コンピューターに強いとされる鍵共有の方式。格子の数学に基づき、原型の Kyber を含めて iMessage や Signal、Chrome が従来方式と組み合わせて使っている。
- 今盗んで後で解く — 暗号化された通信をいま集めて保存し、将来解読できる計算機が手に入った時点で解く攻撃の考え方。英語では Harvest Now, Decrypt Later。通信の方式を先に切り替える理由になっている。
- 格子暗号 — 多次元に規則正しく並んだ点 (格子) の中で近い点を探す問題の難しさを、安全性の土台にする暗号。ML-KEM もこの仲間で、今回はその余裕がどれだけあるかが議論になった。
手元の資産と毎日の通信、あなたが今週確かめておきたいのはどちらだろうか？
参照
- ジャスティン・ドレイク氏の X 投稿（バンカーモードの提案・未署名アドレスへの移行・急がない）
- ヴィタリック・ブテリン氏の X 投稿（急いで移さない・移行失敗の損失・格子暗号への慎重論）
- チャールズ・ホスキンソン氏の X 投稿（格子暗号への反論・組み合わせ型 ML-KEM の普及）
Apple Security Research「iMessage with PQ3」（2024年2月・iOS 17.4 から）iMessage with PQ3: The new state of the art in quantum-secure messaging at scale
Signal 公式ブログ「PQXDH」（2023年9月・Kyber と X25519 の組み合わせ）Signal Messenger
Google Online Security Blog（Chrome 131 で ML-KEM へ切り替え・2024年9月）Google Online Security Blog
NIST 発表（HQC を ML-KEM の予備に選定・2027年に標準確定予定）NIST
