ビットコインの​セキュリティーモデル — 攻撃面、​信頼前提、​防御層

はじめに

本ページは設計文書シリーズのL2 #11 — セキュリティーモデルである。3つのL2横断的深掘りの2番目。L1ドメインページが各サブシステムの動作を説明するのに対し、本ページは、何がうまくいかなくなりうるか、そしてそれを何が止めるかを問う。

ビットコインのセキュリティーは単一の機構ではなく、暗号技術、経済的インセンティブ、ネットワークアーキテクチャーの相互作用に基づく。フルノードのオペレーターは機関やアイデンティティーではなく、数学とエネルギー消費を信頼する。本ページでは信頼の境界を図示し、既知の攻撃面を分類し、各攻撃に対処する防御層を追跡し、残存するリスクを特定する。

サトシ時代の実装（v0.1、2009年1月）と現行のBitcoin Core（v27以降基準）で挙動が異なる場合は、両方を記す。

1. 信頼モデル

ビットコインはいくつかのカテゴリーの信頼を完全に排除し、他のカテゴリーを検証可能な計算に置き換えている。以下の表はプロトコルが信頼するものとしないものを分離する。

ビットコインが信頼するもの

ビットコインが信頼しないもの

2. 攻撃の分類

以下の攻撃はビットコインプロトコルの既知の脅威面を代表する。各攻撃はコンセンサス、ネットワーク、暗号の異なる層で動作し、異なるコストと影響のプロファイルを持つ。

2.1多数派ハッシュレート攻撃（51% 攻撃）

ネットワーク総ハッシュレートの50% 超を支配する攻撃者は、正直なネットワークより速く秘密のチェーンをマイニングし、それを公開して再編成を引き起こし、以前に確認されたトランザクションを覆すことができる。

コストモデル。攻撃者は攻撃の期間中、ネットワークの50% を超えるハッシュレートを維持しなければならない。2024年時点の難易度レベルでは、ハードウェアだけで数十億ドル規模の資本支出が必要であり、加えて攻撃のあいだそれを動かすエネルギーがかかる。攻撃はまた、ネットワークへの信頼を損なうことで攻撃者自身のマイニング投資の価値も毀損する。

緩和策。高い累積プルーフオブワークが再編成の深さを実質的に制限する。商人と取引所は複数の確認（6回が慣習的; 高額決済ではそれ以上を要求する場合がある）を待つ。大規模マイナーはBTC建てで大量の資産を保有しており、その経済的自己利益がハッシュレートコストを超える抑止力として機能する。

2.2二重支払い攻撃

二重支払いは、受取人が後に覆される支払いを受け入れてしまうあらゆる攻撃である。51% 攻撃が最も強力な形態だが、より低コストの変種が存在する。

緩和策。不可逆な商品に対して未確認（0確認）トランザクションを受け入れない。追加の確認ごとに二重支払い成功の確率は指数関数的に低下する。コンセンサス設計ページのファイナリティー分析で示されている通りである。同じ緩和策を平易な言葉で追ったのが、確認が時間とともに送金を安全にしていく仕組みを説明する初心者ガイドである。

2.3エクリプス攻撃

エクリプス攻撃は、ターゲットノードのすべてのピア接続を攻撃者が制御するノードで独占することで、正直なネットワークからターゲットノードを隔離する。隔離されたノードは攻撃者が見せるブロックチェーンの姿しか見えなくなる。

影響。エクリプス攻撃を受けたノードは低ワークチェーンを送り込まれたり、そのノードに対して特定的に二重支払いに使われたり、新しくマイニングされたブロックを見ることを妨げられて正直なチェーン先端から取り残される可能性がある。

緩和策（v27以降基準）。アウトバウンドピアの多様性（IP範囲をまたぐランダム選択）、再起動間で保持されるアンカー接続、ブロックリレー専用ピア（メモリープール情報を明かさない追加の2つのアウトバウンド接続）、ネットワークグループの多様性を保つインバウンド追い出し、そして通信の識別と傍受を困難にするBIP 324暗号化トランスポート。

2.4シビル攻撃

シビル攻撃は、多数の偽のノードアイデンティティーを作成してネットワークに対する不均衡な影響力を得る。エクリプス攻撃（1ノードをターゲットにする）とは異なり、シビル攻撃はグローバルにネットワークの認識に影響を与えることを目的とする。

影響。シビル攻撃者はピア発見を偏らせたり、トランザクション伝搬を遅延させたり、複数のノードに対するエクリプス攻撃の成功確率を高めたりできる。

緩和策。ビットコインのコンセンサスはノード数ではなくプルーフオブワークで重み付けされる。ハッシュレートゼロの100万のシビルノードは有効なブロックを1つも生成できない。プルーフオブワークはビットコインの根本的なシビル耐性機構であり、サトシがホワイトペーパーの第4節で説明した通り、ノードはIPアドレスではなくCPUパワーで投票する。ネットワーク層では、ピア選択アルゴリズムがIP範囲と自律システムをまたいで多様化し、攻撃者が接続を集中させる能力を制限する。

2.5タイムジャッキング

タイムジャッキング攻撃は、攻撃者のピアが報告するタイムスタンプを操作してターゲットノードのネットワーク時間の認識を歪める。v27より前のビットコインノードは、接続されたピアの報告時間の中央値オフセットから「ネットワーク時間」を計算していた。

影響。成功したタイムジャッキングは、ターゲットノードに有効なブロック（タイムスタンプが未来に見えすぎる）を拒否させたり、無効なブロック（歪んだ時計に対してタイムスタンプが有効に見える）を受け入れさせたりする可能性がある。極端な場合、多数派ハッシュレート攻撃と組み合わせて難易度調整のタイムスタンプベースの計算を悪用できる。

緩和策。v27より前のBitcoin Coreは、補正をノード自身の時計から最大70分に制限していた。v27からは、合意の検査にピアのオフセットではなくノードのシステム時刻を使い、ピアのオフセットの中央値が70分以上なら警告を出すだけになった。ピアの過半数が正直であることへの依存がなくなり、NTPでホストの時刻を正しく保つことが運用者の務めになった。

2.6利己的マイニング

利己的マイナーは発見したブロックを即座にブロードキャストせず保留する。保留ブロックの公開タイミングを戦略的に操ることで、攻撃者は正直なマイナーに陳腐化するブロックに対して作業を浪費させ、ハッシュレートの割合に対して不均衡なブロック報酬シェアを得ることができる。

しきい値。アイアルとシーラー（2014）による理論的分析は、利己的マイニングがネットワークハッシュレートの約25–33% を超えると利益が出ることを示した。しきい値は攻撃者のネットワーク接続性（競合する正直なブロックが伝搬する前に大部分のノードに到達する能力）に依存する。このしきい値以下では、攻撃者は正直なマイニングと比較して収入を失う。貨幣設計ページ §4は、この同じしきい値を、正直なマイニング・二重支払い・検閲と並ぶ、より広いインセンティブ分析表の中に位置づけている。

緩和策。高速なブロック伝搬（コンパクトブロック、BIP 152）が、保留ブロックが正直な作業を陳腐化できるウィンドウを狭めることで攻撃者の優位性を低下させる。コンセンサスレベルの修正は展開されていないが、先着ブロックを優遇するタイブレーキングの提案が存在する。

3. 防御層

ビットコインのセキュリティーは単一の壁ではなく、一連の同心円状の層である。攻撃者は意味のある成果を得るために複数の独立した防御を突破しなければならない。

各層はそれぞれ独立した仕組みで構成される。暗号学的保証(SHA-256dプルーフオブワーク、ECDSA/Schnorr署名、マークルツリーコミットメント)、コンセンサスルール(決定論的ブロック検証、最多ワークチェーン選択、難易度調整)、ネットワークアーキテクチャー(ゴシップ中継、ピア多様性、BIP 324暗号化トランスポート)、経済的インセンティブ(ブロック報酬、ハッシュレートコスト、攻撃者自身のBTCが価値を失うこと)である。

4. 暗号学的仮定

ビットコインのセキュリティーは3つの具体的な計算困難性の仮定に基づいている。いずれも数学的な意味で困難であることは証明されていない。数十年にわたる暗号解析の努力に基づく経験的な仮定である。

防御の深さ。ビットコインのアドレス方式（Hash160: 公開鍵のSHA-256のRIPEMD-160）は未使用出力に第二の障壁を提供する。ECDLPが崩壊しても、未公開の公開鍵ハッシュ背後の資金を奪うには、ハッシュ関数の破壊もあわせて必要になる。これは独立した別の計算問題である。この防御は一度も支払いを行っていないアドレスにのみ適用される。トランザクションがWitnessまたはscriptSigで公開鍵を公開すると、ハッシュの障壁は消滅する。

5. ネットワーク層の防御

P2Pネットワーク設計ページがネットワーク層を詳述する。本節ではセキュリティーに関連する機構を要約する。

6. 経済的セキュリティー

セキュリティー予算は、攻撃者がネットワークを侵害するために負担しなければならない総経済コストである。ハッシュレート取得の資本コストとその運用にかかる継続的エネルギーコストの2つの構成要素を持つ。

ハッシュレートコストモデル

半減問題。新規発行分が210,000ブロックごとに半減するにつれて、セキュリティー予算はトランザクション手数料への依存を増す。手数料収入が低下する新規発行分を補うだけ成長しなければ、51% 攻撃の経済コストは低下する。プロトコルルールは変わらなくても、購買力ベースではネットワークのセキュリティーが低下する可能性がある。この移行はマイニング報酬枯渇分析で詳細に分析されている。プルーフ・オブ・ワークで過半数を取るコストと、プルーフ・オブ・ステークで過半数のステークを取るコストを日付つきの数字で並べた比較は、プルーフ・オブ・ワークとプルーフ・オブ・ステークの比較にある。

経済的抑止と物理的セキュリティー。上記のコストモデルは期待利得と期待コストを比較衡量する合理的攻撃者を仮定している。非経済的な動機（検閲、破壊）を持つ国家レベルの敵対者は、直接的な金銭的リターンを超えるコストを負担する意思がありうる。この種の攻撃者に対するビットコインの防御は経済的ではなく構造的である。ネットワークは地理的に分散し、マイニングハードウェアは物理的に分散しており、プロトコルは正直な参加者の一部が接続を維持する限り動作し続ける。

7. 量子脅威

量子コンピューティングはビットコインの暗号層に対する将来の潜在的脅威を表す。完全な分析は量子脅威分析にある。本節ではセキュリティーモデルへの影響を要約する。

露出ウィンドウ。資金が量子ECDLP攻撃に対して脆弱になるのは公開鍵がオンチェーンに露出しているときのみである。一度も公開鍵が公開されていない公開鍵ハッシュ背後の未使用出力（受け取ったが送金したことのないアドレス）は、署名方式ではなくハッシュ関数によって保護される。送金済みアドレスと、サトシ時代初期のPay-to-Public-Key (P2PK) 出力は、公開鍵がオンチェーンに恒久的に可視であり、最初のターゲットとなる。

移行パス。BIP 360（P2MR / QuBit）は耐量子アドレスタイプを提案している。いかなる移行もネットワーク全体のソフトフォークと、ユーザーが量子脆弱なアドレスから量子耐性アドレスへ資金を移す移行期間を必要とする。タイムラインは量子ハードウェアの進歩に依存し、暗号学的に意味のある量子コンピューターの実現には20年から40年かかると推定されている（アダム・バック、2025年11月）。ただし、プロトコルは脅威が顕在化するかなり前に移行機構を設計しておかなければならない。この推定の詳しい文脈はアダム・バックの量子脅威タイムライン発言を参照。

8. 攻撃と防御の比較

9. 本ページの範囲

本ページではセキュリティーモデルを横断的分析として解説した。以下のトピックは設計文書シリーズ内のそれぞれのドメインページで扱う:

• トランザクション展性: SegWit以前の展性ベクトルとBIP 141による解決。トランザクション設計ページで解説。
• プルーフオブワークの仕組み: SHA-256dハッシュパズル、難易度調整アルゴリズム、オフバイワン / タイムワープのバグ。コンセンサス設計ページで解説。
• 暗号プリミティブの詳細: 鍵生成、署名方式、ハッシュ構成、HD導出。暗号設計ページで解説。
• ネットワークアーキテクチャー: ピア発見、接続管理、メッセージプロトコル、トランスポート暗号化。P2Pネットワーク設計ページで解説。
• 手数料のみのセキュリティー予算: 新規発行分主体からの手数料主体のマイナー収入への長期的移行とチェーンセキュリティーへの影響。マイニング報酬枯渇分析で解説。
• 量子脅威の深掘り: タイムライン推定、脆弱なUTXOの全数調査、BIP 360の仕組み、他システムの耐量子移行との比較。量子脅威分析で解説。

プルーフ・オブ・ワークの仕組みそのものはコンセンサス設計にある。ここにあるのは同じ機構の攻撃側である。具体的には、51% 攻撃の経済、利己的マイニングのゲーム理論、そして脅威モデル全体を指す。