Bitcoinのセキュリティは、楕円曲線デジタル署名アルゴリズム（ECDSA）という数学的基盤の上に成り立っています。Bitcoinでは、secp256k1という楕円曲線が使用されています。取引を作成してネットワークへ送信する際、ウォレットは秘密鍵（Private Key）を使って取引に署名し、その資金を使用する権限を証明します。

通常の条件では、この仕組みを現在のコンピューター技術だけで破ることは事実上不可能です。しかし、ウォレット開発において長年問題となってきた、重大な弱点が1つ存在します。それがNonceのR値再利用による脆弱性です。

ECDSA署名の仕組み

BitcoinのECDSA署名は、2つの大きな整数 (r, s) で構成されています。

署名の s 成分を生成する際、ウォレットは次の合同式を計算します。

R値の再利用が危険な理由

Nonceパラメータ k は、完全にランダムであり、絶対に再利用されないことが重要です。

しかし、ウォレットソフトウェアの実装に問題があったり、壊れた疑似乱数生成器（PRNG）を使用したりすると、異なる2つの取引で同じ k が誤って再利用される可能性があります。

$R = k \times G$ であるため、$k_1 = k_2$ になると、必然的に $r_1 = r_2 = r$ となります。その結果、公開ブロックチェーン上に同じR値を持つ2つの署名という明確な痕跡が残ることになります。

実際の事例とブロックチェーン監視

これは単なる理論上の数学的問題ではありません。Bitcoinネットワークでは、公開された取引をリアルタイムで監視する自動化されたプログラムが存在し、新しくブロードキャストされた取引を継続的に確認しています。

同じ R が再利用された取引が公開メンプールに現れた場合、理論上は署名情報からNonceや秘密鍵を計算できる可能性があります。そのため、Nonceの再利用は秘密鍵の安全性を損なう重大な問題となります。

業界における対策と最新の標準

このような問題を防ぐため、Bitcoinのエコシステムでは主に次の2つの技術が利用されています。

1. 決定論的Nonce生成（RFC 6979）
   ハードウェアやソフトウェアの乱数生成器だけに依存するのではなく、RFC 6979では秘密鍵と取引ハッシュ（z）をHMAC-SHA256で処理し、Nonce k を決定論的に生成します。
   k = HMAC-SHA256(d, z)
   これにより、同じ署名対象データに対して予測可能な方法でNonceを生成しつつ、実装上の乱数生成の問題によって同じNonceが偶発的に再利用されるリスクを低減できます。
2. Schnorr署名（BIP 340 / Taproot）
   Taprootのソフトフォークによって導入されたSchnorr署名は、Bitcoinの署名方式をより効率的に扱うための仕組みです。また、BitcoinにおけるSchnorr署名ではNonce生成に関する安全対策も組み込まれており、弱い乱数生成器によるリスクを軽減する設計が採用されています。