イーサリアム財団の研究者ジャスティン・ドレイク氏は10月7日、暗号資産業界に対し、「バンカーモード（籠城態勢）」の準備を始めるよう呼びかけた。これは、一度も送金に使っていない新しいアドレスへ資産を計画的に移し、鍵への攻撃面を小さくしておく備えだ。
同氏の懸念は、ビットコインやイーサリアムの送金を支える署名方式「ECDSA」が、量子コンピューターより先に、AIによる数学研究の進展で破られる可能性があるというものだ。最悪の場合、破られる時期は「数年ではなく数カ月」単位になり得ると同氏は見る。
ただし、ECDSAに対する実用的な攻撃は現時点で報告されておらず、ドレイク氏自身も「すでに破られた」とは主張していない。イーサリアム共同創設者のヴィタリック・ブテリン氏も、リスクは真剣に受け止めるべきとしつつ、資金を慌てて移す必要はないと応じた。
きっかけはAIの数学研究
ドレイク氏が挙げた直接の引き金は、前日の10月6日にOpenAIが公開したAI生成の数学研究だ。同社は未公開の内部モデルが生み出した数学の成果をGitHubで公開したが、検証の進み具合はまちまちで、形式検証を経ていない成果には誤りが含まれ得ると注記している。
ドレイク氏は、AIが難問を扱う速度が上がることで、従来は安全とされてきた数学的な前提が、想定より早く見直される可能性があると指摘した。5月に長年の数学上の予想が覆されたことを、振り返れば「警告射撃」だったと述べ、「数学的な超知能が到来した」と書いた。
同氏が特に危険視するのが、ECDSAの土台である楕円曲線暗号だ。ビットコインやイーサリアムは、送金時に秘密鍵で署名し、公開鍵でその署名を検証する。この仕組みの中核がECDSAであり、その安全性は「公開鍵から秘密鍵を逆算することが事実上不可能」という前提に支えられている。
狙われるのは「公開鍵が見えているアドレス」
ドレイク氏が言う「破られる」とは、大規模なGPUクラスターのような現実的な設備で、短期間のうちに秘密鍵を復元できる状態を指す。そうなれば、公開鍵を見られる誰もが、そのアドレスの資産を動かせる可能性がある。
ただし、攻撃者は公開鍵を入手しない限り計算を始められない。ビットコインやイーサリアムの一般的なアドレスは公開鍵そのものではなく、それをハッシュ化した値で表される。資金を受け取っただけなら、チェーン上に記録されるのはこのハッシュ値にとどまる。
公開鍵が表に出るのは、主に3つの場面だ。
最も一般的なのは、そのアドレスから送金したときで、署名を検証するために公開鍵がチェーン上に記録される。
次に、受け取った時点で公開鍵が見えるアドレス形式がある。ビットコインのTaproot形式（bc1pで始まるアドレス）はアドレス自体に公開鍵の情報を含み、初期のP2PK形式は受取人の公開鍵をそのまま記録する。こうした形式では、一度も送金していなくても公開鍵が見えている。サトシ・ナカモト氏のものとされる約2万のアドレスは、初期のマイニング報酬をP2PK形式で受け取っており、未送金のまま公開鍵が露出しているとされる。
さらに、チェーンの外で公開鍵が渡る場合もある。ウォレットでのサービスへのログインやトークン利用の許可などで署名した場合や、資産管理ツールに拡張公開鍵（xpub）を登録した場合だ。
「バンカーモード」とは
ドレイク氏の提言は、資産を「公開鍵がハッシュの裏に隠れた新しいアドレス」へ計画的に移すことだ。本人はあくまで「個人的な推奨」としている。
- 誰から：まず大口で知見のある保有者が、資産の大半を一度も署名していないアドレスへ移す。
- 署名した後：送金で署名した場合は、残りの資産も新しいアドレスへ移す。新しいアドレスは同じシードフレーズから生成してよい。
- 急がない：慌てた移行は害のほうが大きいとし、パニックも戒めた。新しい暗号や新しいウォレットは必ずしも要らず、まずは簡単な予防策だと位置づける。
- サトシの盾：50BTC未満のウォレットは部分的に守られているという。攻撃者はまず、露出したサトシ関連の約2万アドレスを狙う可能性があるからだ。ただしこれは攻撃順序に関する同氏の推測である。
- 取引所への要請：Binance、Robinhood、Bitfinex、Tetherと並び、日本のbitbankの名も挙げ、コールドストレージ強化の好機だとした。
- 重要な署名者：価格を供給するオラクルやL2のセキュリティ評議会には、署名ごとの鍵の入れ替えや、ハッシュベース署名（SPHINCSなど）との併用を勧めた。
同氏は、バンカーモードを安全に解除するには「AI後の暗号」が必要だとする。楕円曲線や格子といった複雑な数学構造に頼らず、長い実績があるハッシュ関数に基づく暗号へ移行すべきだという考えだ。ドレイク氏によれば、イーサリアムの開発ロードマップは量子対策としてハッシュベース暗号を全面的に採用しており、同氏はその時間軸を前倒しすべきだと主張した。
ブテリン氏：「慌てるな」
ブテリン氏は翌8日、X投稿で、今すぐ資産を新しいウォレットへ慌てて移すことは勧めないと述べた。一方で、AIによる数学の進展は真剣に受け止めるべきで、ECDSAは予想より早く破られる可能性もあると認めた。取引実績のないアドレスに資産を置いておくのは、手軽にできるなら良い考えだという。
同氏はさらに、量子コンピューターに強いとされてきた格子ベースの暗号も、今後2年のAI数学の進展で大きな打撃を受けうると警告した。ハッシュ関数以外の暗号を安全とは言い切れない、という問題提起だ。
批判的な声も出ている。
イーサリアム研究者のダンクラッド・ファイスト氏は、バンカーモードの効果そのものに疑問を示した。露出した公開鍵が悪用できる状態になれば、大量のコインが盗まれて価格が崩れかねない。そうなれば、自分の鍵だけを守っても資産価値は守れないという指摘だ。同氏は、善意のハッカーが先回りして資産を確保できない限り、バンカーモードは助けにならないとしている。
ソラナ側からは、ジェイコブ・クリーチ氏が、ソラナの利用者にバンカーモードは不要だと主張した。同チェーンの鍵はハッシュ化したシードから導かれ、チェーン上に露出しないためだという。ただし、ソラナのアドレスは公開鍵そのもので、署名方式も楕円曲線に基づいている。この主張には異論も出そうだ。
警告を発したドレイク氏自身も、移行を急ぐ必要はないと強調している。提言と反論の差は「いつ、どこまで備えるか」の温度差にあるといえる。ECDSAが実際に破られたという報告はなく、AIによる数学の進展が暗号の前提をどこまで揺るがすのかは、まだ誰にも分からない。同氏は来月、ロンドンで機関投資家向けの質疑応答に臨む予定で、業界内の議論はしばらく続きそうだ。
