ビットコインのセキュリティーモデル — 攻撃面、信頼前提、防御層

はじめに

本ページは設計文書シリーズの L2 #11 — セキュリティーモデル である。3 つの L2 横断的深掘りの 2 番目。L1 ドメインページが各サブシステムの動作を説明するのに対し、本ページは何がうまくいかなくなりうるか — そしてそれを何が止めるかを問う。

ビットコインのセキュリティーは単一の機構ではなく、暗号技術、経済的インセンティブ、ネットワークアーキテクチャーの相互作用に基づく。フルノードのオペレーターは機関やアイデンティティーではなく、数学とエネルギー消費を信頼する。本ページでは信頼の境界を図示し、既知の攻撃面を分類し、各攻撃に対処する防御層を追跡し、残存するリスクを特定する。

サトシ時代の実装（v0.1、2009 年 1 月）と現行の Bitcoin Core（v27 以降基準）で挙動が異なる場合は、両方を記す。

1. 信頼モデル

ビットコインはいくつかのカテゴリーの信頼を完全に排除し、他のカテゴリーを検証可能な計算に置き換えている。以下の表はプロトコルが信頼するものとしないものを分離する。

ビットコインが信頼するもの

ビットコインが信頼しないもの

信頼境界図

2. 攻撃の分類

以下の攻撃はビットコインプロトコルの既知の脅威面を代表する。各攻撃はコンセンサス、ネットワーク、暗号の異なる層で動作し、異なるコストと影響のプロファイルを持つ。

2.1 多数派ハッシュレート攻撃（51% 攻撃）

ネットワーク総ハッシュレートの 50% 超を支配する攻撃者は、正直なネットワークより速く秘密のチェーンをマイニングし、それを公開して再編成を引き起こし、以前に確認されたトランザクションを覆すことができる。

コストモデル。 攻撃者は攻撃の期間中、ネットワークの 50% を超えるハッシュレートを維持しなければならない。2024 年時点の難易度レベルでは、ハードウェアだけで数十億ドル規模の資本支出が必要であり、加えて 1 日あたり数千万ドルのエネルギーコストがかかる。攻撃はまた、ネットワークへの信頼を損なうことで攻撃者自身のマイニング投資の価値も毀損する。

緩和策。 高い累積プルーフオブワークが再編成の深さを実質的に制限する。商人と取引所は複数の確認（6 回が慣習的; 高額決済ではそれ以上を要求する場合がある）を待つ。大規模マイナーの経済的自己利益 — BTC 建てで大量の資産を保有している — がハッシュレートコストを超える抑止力として機能する。

2.2 二重支払い攻撃

二重支払いは、受取人が後に覆される支払いを受け入れてしまうあらゆる攻撃である。51% 攻撃が最も強力な形態だが、より低コストの変種が存在する。

緩和策。 不可逆な商品に対して未確認（0 確認）トランザクションを受け入れない。追加の確認ごとに二重支払い成功の確率は指数関数的に低下する。コンセンサス設計ページのファイナリティー分析で示されている通りである。

2.3 日食攻撃

日食攻撃は、ターゲットノードのすべてのピア接続を攻撃者が制御するノードで独占することで、正直なネットワークからターゲットノードを隔離する。隔離されたノードは攻撃者が見せるブロックチェーンの姿しか見えなくなる。

影響。 日食状態のノードは低ワークチェーンを送り込まれたり、そのノードに対して特定的に二重支払いに使われたり、新しくマイニングされたブロックを見ることを妨げられて正直なチェーン先端から取り残される可能性がある。

緩和策（v27 以降基準）。 アウトバウンドピアの多様性（IP 範囲をまたぐランダム選択）、再起動間で保持されるアンカー接続、ブロックリレー専用ピア（メモリープール情報を明かさない追加の 2 つのアウトバウンド接続）、ネットワークグループの多様性を保つインバウンド追い出し、そして通信の識別と傍受を困難にする BIP 324 暗号化トランスポート。

2.4 シビル攻撃

シビル攻撃は、多数の偽のノードアイデンティティーを作成してネットワークに対する不均衡な影響力を得る。日食攻撃（1 ノードをターゲットにする）とは異なり、シビル攻撃はグローバルにネットワークの認識に影響を与えることを目的とする。

影響。 シビル攻撃者はピア発見を偏らせたり、トランザクション伝搬を遅延させたり、複数のノードに対する日食攻撃の成功確率を高めたりできる。

緩和策。 ビットコインのコンセンサスはノード数ではなくプルーフオブワークで重み付けされる。ハッシュレートゼロの 100 万のシビルノードは有効なブロックを 1 つも生成できない。プルーフオブワークはビットコインの根本的なシビル耐性機構であり、サトシがホワイトペーパーの第 5 節で説明した通り、ノードは IP アドレスではなく CPU パワーで投票する。ネットワーク層では、ピア選択アルゴリズムが IP 範囲と自律システムをまたいで多様化し、攻撃者が接続を集中させる能力を制限する。

2.5 タイムジャッキング

タイムジャッキング攻撃は、攻撃者のピアが報告するタイムスタンプを操作してターゲットノードのネットワーク時間の認識を歪める。ビットコインノードは接続されたピアの報告時間の中央値オフセットとして「ネットワーク時間」を計算する。

影響。 成功したタイムジャッキングは、ターゲットノードに有効なブロック（タイムスタンプが未来に見えすぎる）を拒否させたり、無効なブロック（歪んだ時計に対してタイムスタンプが有効に見える）を受け入れさせたりする可能性がある。極端な場合、多数派ハッシュレート攻撃と組み合わせて難易度調整のタイムスタンプベースの計算を悪用できる。

緩和策。 Bitcoin Core はネットワーク時間のオフセットをノードのローカルシステム時計から最大 70 分に制限する。中央値のピアオフセットがこのしきい値を超えると、ノードは自身の時計にフォールバックする。ホストシステムの正確な NTP 同期がさらに露出を制限する。

2.6 利己的マイニング

利己的マイナーは発見したブロックを即座にブロードキャストせず保留する。保留ブロックの公開タイミングを戦略的に操ることで、攻撃者は正直なマイナーに陳腐化するブロックに対して作業を浪費させ、ハッシュレートの割合に対して不均衡なブロック報酬シェアを得ることができる。

しきい値。 アイアルとシーラー（2014）による理論的分析は、利己的マイニングがネットワークハッシュレートの約 25–33% を超えると利益が出ることを示した。しきい値は攻撃者のネットワーク接続性（競合する正直なブロックが伝搬する前に大部分のノードに到達する能力）に依存する。このしきい値以下では、攻撃者は正直なマイニングと比較して収入を失う。

緩和策。 高速なブロック伝搬（コンパクトブロック、BIP 152）が、保留ブロックが正直な作業を陳腐化できるウィンドウを狭めることで攻撃者の優位性を低下させる。コンセンサスレベルの修正は展開されていないが、先着ブロックを優遇するタイブレーキングの提案が存在する。

3. 防御層

ビットコインのセキュリティーは単一の壁ではなく、一連の同心円状の層である。攻撃者は意味のある成果を得るために複数の独立した防御を突破しなければならない。

4. 暗号学的仮定

ビットコインのセキュリティーは 3 つの具体的な計算困難性の仮定に基づいている。いずれも数学的な意味で困難であることが証明されていない — 数十年にわたる暗号解析の努力に基づく経験的な仮定である。

防御の深さ。 ビットコインのアドレス方式（Hash160: 公開鍵の SHA-256 の RIPEMD-160）は未使用出力に第二の障壁を提供する。ECDLP が崩壊しても、未公開の公開鍵ハッシュ背後の資金はハッシュ関数の破壊も必要とする — 独立した別の計算問題である。この防御は一度も支払いを行っていないアドレスにのみ適用される。トランザクションが Witness または scriptSig で公開鍵を公開すると、ハッシュの障壁は消滅する。

5. ネットワーク層の防御

P2P ネットワーク設計ページがネットワーク層を詳述する。本節ではセキュリティーに関連する機構を要約する。

6. 経済的セキュリティー

セキュリティー予算は、攻撃者がネットワークを侵害するために負担しなければならない総経済コストである。ハッシュレート取得の資本コストとその運用にかかる継続的エネルギーコストの 2 つの構成要素を持つ。

ハッシュレートコストモデル

半減問題。 新規発行分が 210,000 ブロックごとに半減するにつれて、セキュリティー予算はトランザクション手数料への依存を増す。手数料収入が低下する新規発行分を補うだけ成長しなければ、51% 攻撃の経済コストは低下する — プロトコルルールは変わらなくても、購買力ベースではネットワークのセキュリティーが低下する可能性がある。この移行はマイニング報酬枯渇分析で詳細に分析されている。

経済的抑止と物理的セキュリティー。 上記のコストモデルは期待利得と期待コストを比較衡量する合理的攻撃者を仮定している。非経済的な動機（検閲、破壊）を持つ国家レベルの敵対者は、直接的な金銭的リターンを超えるコストを負担する意思がありうる。この種の攻撃者に対するビットコインの防御は経済的ではなく構造的である。ネットワークは地理的に分散し、マイニングハードウェアは物理的に分散しており、プロトコルは正直な参加者の一部が接続を維持する限り動作し続ける。

7. 量子脅威

量子コンピューティングはビットコインの暗号層に対する将来の潜在的脅威を表す。完全な分析は量子脅威分析にある。本節ではセキュリティーモデルへの影響を要約する。

露出ウィンドウ。 資金が量子 ECDLP 攻撃に対して脆弱になるのは公開鍵がオンチェーンに露出しているときのみである。一度も公開鍵が公開されていない公開鍵ハッシュ背後の未使用出力（受け取ったが送金したことのないアドレス）は、署名方式ではなくハッシュ関数によって保護される。送金済みアドレス — およびサトシ時代初期の Pay-to-Public-Key (P2PK) 出力 — は公開鍵がオンチェーンに恒久的に可視であり、最初のターゲットとなる。

移行パス。 BIP 360（P2MR / QuBit）は耐量子アドレスタイプを提案している。いかなる移行もネットワーク全体のソフトフォークと、ユーザーが量子脆弱なアドレスから量子耐性アドレスへ資金を移す移行期間を必要とする。タイムラインは量子ハードウェアの進歩に依存する — 暗号学的に意味のある量子コンピューターの推定は 20 年から 40 年（アダム・バック、2025 年 11 月） — が、プロトコルは脅威が顕在化するかなり前に移行機構を設計しなければならない。

8. 攻撃と防御の比較

9. 本ページの範囲

本ページではセキュリティーモデルを横断的分析として解説した。以下のトピックは設計文書シリーズ内のそれぞれのドメインページで扱う:

• トランザクション展性 — SegWit 以前の展性ベクトルと BIP 141 による解決。トランザクション設計ページで解説。
• プルーフオブワークの仕組み — SHA-256d ハッシュパズル、難易度調整アルゴリズム、オフバイワン / タイムワープのバグ。コンセンサス設計ページで解説。
• 暗号プリミティブの詳細 — 鍵生成、署名方式、ハッシュ構成、HD 導出。暗号設計ページで解説。
• ネットワークアーキテクチャー — ピア発見、接続管理、メッセージプロトコル、トランスポート暗号化。P2P ネットワーク設計ページで解説。
• 手数料のみのセキュリティー予算 — 新規発行分主体からの手数料主体のマイナー収入への長期的移行とチェーンセキュリティーへの影響。マイニング報酬枯渇分析で解説。
• 量子脅威の深掘り — タイムライン推定、脆弱な UTXO の全数調査、BIP 360 の仕組み、他システムの耐量子移行との比較。量子脅威分析で解説。