オリジナル | Odaily 星球日報（@OdailyChina）
著者｜jk
読む前の注意：まず5つのことを理解しよう
本レポートは、読者が暗号学や量子物理学の知識を持っていることを前提としない。結論だけを知りたい読者は「核心的な発見」まで飛ばして構わない。本文に入る前に、5つの重要な概念を日常的な例えで説明しておく。
一、暗号資産における「鍵」とは何か
あなたのビットコインやイーサは、どこかのファイルに保存されているのではなく、ブロックチェーン上のとあるアドレスの名義に登録されている。この資金を使うには「デジタル署名」を提示し、自分がそのアドレスの持ち主であることをネットワーク全体に証明しなければならない。署名の生成には秘密鍵を使い、秘密鍵は自分だけが知っている。署名の検証には公開鍵を使い、公開鍵は公開されているので誰でも照合できる。
銀行に保管された署名見本のようなものだと考えればよい。銀行はあなたの署名見本（公開鍵）を持っており、誰かが引き出しに来れば見本と筆跡を照合する（署名の検証）。しかし、見本を見たところで、誰もまったく同じ直筆の署名を再現することはできない（秘密鍵の導出）。この仕組みが今日信頼できるのは、公開鍵から秘密鍵を逆算することが数学的に不可能とされているからだ。量子コンピュータの脅威は、まさにこの「不可能なこと」を実行可能にしてしまうかもしれない点にある。
二、量子コンピュータが変えたもの
暗号を破る通常のコンピュータは、人が大きな鍵束を持って1本ずつ試していくようなもので、どれほど速く試しても天文学的な時間がかかる。量子コンピュータは試すのが速いのではなく、解き方そのものを変える。ある種の特定の数学的問題については、1994年に提案されたShorのアルゴリズムが、所要時間を「宇宙の年齢の桁」から「数分から数時間」に短縮できる。
強調したいのは、量子コンピュータが万能ではないという点だ。大半の日常的な計算タスクでは優位性を持たない。しかし不幸なことに、それが得意とする種類の問題は、まさに今日のインターネットとブロックチェーンが依存している公開鍵暗号（RSAや楕円曲線を含む）が立脚する基盤そのものである。これに対してハッシュ関数（あらゆる入力を固定長の指紋に撹拌する一方向のミンチ製造機のようなもの）は量子アルゴリズムによる加速が小幅にとどまるため、ハッシュに依拠して構築された安全機構は相対的に堅牢である。これも、多くの耐量子方式が「ハッシュベース」に傾いている理由である。
三、なぜ「パニックは不要だが、放置もできない」のか
現在の量子コンピュータはビットコインを脅かすにはほど遠い。ビットコインの鍵1本を破るには約50万個の物理量子ビットが必要だが、現在最も進んだ公開チップでも100個程度しかなく、その差は数千倍ある。だから今日、量子コンピュータで誰かがあなたのコインを盗むことはない。
しかしスケジュールには2つの不安要素がある。第一に、移行自体が極めて時間を要する。ブロックチェーン全体を新しい署名体系に替えるには、コードを書き、監査し、テストし、ネットワーク全体のアップグレードを調整し、さらに数億人のユーザーに資産を移してもらう必要があり、業界では一般に5年から10年が必要とされる。第二に、推定値が急速に低下している。1年前は数百万個の量子ビット（量子コンピュータがブロックチェーンを破るのに必要な計算力と単純に理解してよい）が必要とされていたが、今年は50万個未満にまで下がった。これは、橋の建設に10年かかる一方で洪水がいつ来るか予測できない状況に似ている。合理的なのは、水位が上がるのを待つのではなく、今すぐ着工することだ。
四、なぜ一部のコインはより危険なのか
あるアドレス内のコインが危険かどうかは、公開鍵がすでに公開されているかどうかで決まる。封をされた封筒のようなものだと考えればよい。多くのアドレスが保存しているのは公開鍵そのものではなく、公開鍵のハッシュ指紋であり、公開鍵を封筒に封じているのと同じで、その資金を使うときに初めて封筒が開けられる。封筒が開かれていなければ、量子コンピュータは手を出しようがない。
問題は、一部のアドレスの封筒がとっくに開けられていることだ。ビットコイン初期（サトシ・ナカモト時代を含む）の一部のアドレスは公開鍵を直接オンチェーンに記述しており、封筒がない。さらに多くのユーザーが同じアドレスを繰り返し使っており、最初に資金を使った時点で封筒が開けられ、その後の残りのコインも同じアドレスに残るため、公開鍵は公開されたままになる。これらが本レポートで繰り返し言及される「露出」資産であり、ビットコイン総量の約3分の1を占める。さらに、封をされた封筒であっても、送金を開始して取引がまだ確認されていない短い時間窓では公開鍵がブロードキャストされる。これは一瞬で消えるが、決して不可能ではない攻撃機会である。
五、いわゆる「耐量子」は何を解決するのか
解決の方向性は複雑ではない。量子コンピュータでもこじ開けられない新しい錠に交換するのだ。学界はすでにハッシュベースの署名、格子ベースの署名などいくつかの候補を提示しており、米国NISTが2024年にその標準化を完了した。本当に難しいのは次の3点である。新しい錠はより大きく重く、署名サイズは現在の10倍から40倍になり、取引速度を直接鈍らせコストを押し上げる。錠の交換にはネットワーク全体の同意が必要だが、分散化されたネットワークほど意見の統一が最も難しい。そして、持ち主がすでに連絡を絶ち、永遠に錠を交換しに来ないコインを、凍結するのか、焼却するのか、そのまま残すのか——誰もが納得する案は存在しない。
よくあるいくつかの誤解
誤解の1つは「量子コンピュータが一度登場すれば、すべての暗号資産がゼロになる」というものだ。実際に脅威を受けるのは署名という部分であり、ネットワークは署名方式をアップグレードすることで対応できる。各チェーンの進展は異なり、リスクは均等ではない。
誤解の2つ目は「量子コンピュータはマイニングを無意味にする」というものだ。マイニングはハッシュ計算に依存しており、量子アルゴリズムは限定的な加速しかもたらさず、プルーフ・オブ・ワークを覆すことはない。
誤解の3つ目は「これはSFであり、自分には関係ない」というものだ。現在の量子コンピュータが確かにビットコインを破れないとしても、規制当局、カストディアン、ETF発行体はすでにこれを正式なリスク一覧に載せており、移行の時間窓も各国の政策に書き込まれている。
核心的な発見
暗号資産業界の量子攻撃への準備水準は1年前より明らかに向上したが、メインネットで実際に使える耐量子保護は依然としてごく少なく、全体としてはまだ準備が整っていない。
ブロックチェーンは秘密鍵による署名で資産の帰属を証明しており、署名の安全性は楕円曲線離散対数という数学的難問の上に成り立っている。古典的コンピュータはこの問題を実行可能な時間内に解けないが、十分な規模と誤り訂正能力を持つ量子コンピュータは、Shorのアルゴリズムによって理論上、公開された公開鍵から秘密鍵を逆算し、他人の資産を移すことができる。耐量子暗号とは、量子コンピュータに直面してもなお安全とされる署名・暗号方式を指す。
「楕円曲線離散対数」は抽象的に聞こえるが、生活に即した比喩で理解できる。特殊な形のグリッド上に公開された出発点があり、決まった規則に従って出発点から連続して何回か「ジャンプ」し、最後にどこかの位置に着地すると想像してほしい。あなたの秘密鍵はジャンプの回数、すなわち極めて巨大な乱数であり、公開鍵は最終的な着地点、つまり公開される位置である。ジャンプの回数が分かっていれば着地点を計算するのは容易で、数百ステップの演算で完了する。逆に、着地点だけを見て、当初何回ジャンプしたのかを知ろうとすると、考えられるすべての回数を1つずつ試す以外に、現在より良い方法はない。ビットコインとイーサリアムが使う曲線では、取り得る回数は約2の256乗通りにものぼる天文学的な数であり、世界中のすべてのコンピュータを動員しても、人類の寿命どころか宇宙の寿命の中でも試し終えることはできない。これが、秘密鍵を公開鍵から他人が導出できない理由そのものである。
量子コンピュータが脅威となるのは、1つずつ試す必要がないからだ。Shorのアルゴリズムは量子重ね合わせの特性を利用して、多数の可能な回数を同時に検討し、そこからジャンプ過程に隠された規則を抽出することで、本来なら天文学的なステップ数を要する探索を、規模の制御できる計算量に圧縮する。言い換えれば、古典的コンピュータは海の中で一滴ずつ針を探すが、量子コンピュータが見つけるのは針がどこにあるかという規則そのものである。
実際の攻撃の流れは、おおよそ3段階に分かれる。第一段階で、攻撃者はブロックチェーン上から、あるアドレスのすでに公開された公開鍵を読み取る。第二段階で、十分に大きな量子コンピュータで対応する秘密鍵を計算する。第三段階で、その秘密鍵を使って合法的な署名を偽造し、当該アドレスのコインを自分の名義に移す。ネットワークはこの署名が本物か偽物かを区別できない。数学的には持ち主が自ら署名したものと完全に同じだからだ。これが、後段で「公開鍵がすでに公開されているかどうか」を繰り返し強調する理由でもある。公開鍵が公開されていなければ、攻撃の第一段階から始めようがない。
脅威はいつ到来するのか？
過去1年の間に、暗号資産を破るのに必要な量子リソースに関する学界の推定は大きく低下した。Google Quantum AIが2026年3月に発表したホワイトペーパー（共著者にスタンフォード大学のDan Bonehとイーサリアム財団のJustin Drakeを含む）は、secp256k1曲線に対する2種類の攻撃回路を示し、それぞれ最大1,200個と1,450個の論理量子ビットを必要とする。論理量子ビットとは誤り訂正を経て信頼性の高い計算ができる量子ビットを指し、実際のハードウェアに換算すると、誤り率が約1,000分の1の超伝導方式では必要な物理量子ビットは50万個未満、完全な実行には約18分から23分を要する。計算の約半分は事前に完了できるため、ある公開鍵が取引のブロードキャスト時に開示されると、攻撃者はわずか約9分で秘密鍵を導き出せる。CoinDeskは報道の中で、これにより攻撃者が元の取引が確認される前に資金を奪える確率は約41%になると述べている。フォーブスは、この結果が従来の数百万物理量子ビット規模の推定に比べて約20分の1に縮小したと評価した。
量子ビットは、量子コンピュータがブロックチェーンを破るのに必要な計算力と単純に理解してよく、それに対応してQ-dayとは、十分に強力な量子コンピュータが出現するその日のことを指す。
Craig Gidneyは2025年5月のプレプリントで、RSA-2048を破るのに必要なノイズあり量子ビットが100万個未満にまで低下したと指摘した。彼がEkeråと共に2019年に示した推定は2,000万個だった。カリフォルニア工科大学、Oratomic、カリフォルニア大学バークレー校がホワイトペーパー公開当日に提出した別のプレプリントは、中性原子方式を使えば1万個から2万6,000個の量子ビットで足りるかもしれないと主張するが、この結論はシミュレーションによるもので、ハードウェアでの検証はまだない。またGoogleは攻撃回路そのものを公開せず、ゼロ知識証明だけを使って回路の有効性を示した。これはこの分野で初めて採用された「責任ある開示」の方式である。
しかしパニックが不要なのは、ハードウェアの現状と上記の推定との間にまだ大きな隔たりがあるからだ。GoogleのWillowチップは105量子ビットしかなく、公開デモで破ることに成功した最大の楕円曲線鍵はわずか15ビットで、ビットコインが使うのは256ビットの鍵である。Project Elevenがこれに対して授与したQ-Day賞にも議論があり、ビットコインの開発者たちはその出力がランダムな推測と有意に区別できないと考えている。
実際に破る能力を持つマシンがいつ登場するかについて、専門家の判断はおおむね2030年代初頭から半ばに集中しており、2030年より前にもリスクがあるとされる。Coinbaseの顧問委員会は、NISTが定めた2035年の移行期限までにそうしたマシンが登場しないと確信することはできないと述べた。Charles Hoskinsonは2033年までに商用級の量子コンピュータが登場する確率は2分の1を超えると考え、Nic Carterはビットコインが2035年までに攻撃に脆弱になる確率を70%から80%と見積もる。Googleは自社の耐量子移行スケジュールを2029年に設定している。
リスクの性質と露出規模
公開台帳にとっての主なリスクは署名の偽造、すなわち攻撃者が公開鍵が露出済みであることを前提に秘密鍵を導出して資産を盗むことであり、業界でよく言われる「まず収集し、後で解読する」ではない。公開鍵がすでにチェーン上に現れているアドレスの資産は、大規模な量子コンピュータが出現した日から「静的露出」の状態にある。ハッシュ値だけをアドレスとし、一度も使用したことのない資産は、取引がブロードキャストされてから確認されるまでの短い時間窓でのみ露出する。「まず収集し、後で解読する」という脅威は主にプライバシーコインに及ぶ。今日記録された取引は、将来さかのぼって匿名性を解除される可能性があるからだ。ハッシュ関数自体は弱点ではない。SHA-256とKeccakは量子アルゴリズムに対して平方根レベルの強度しか失わず、プルーフ・オブ・ワークのマイニングやハッシュベースのコミットメントは総じて依然として安全であり、これも多数の耐量子方式がハッシュベースに傾く理由である。
露出した資産の規模は相当に大きい。Coinbaseの顧問委員会は、約690万枚のBTC（総供給量の約32%）の公開鍵がすでにチェーン上に露出していると推計する。うち約170万枚は約2万個の初期のP2PKアドレスにあり、約500万枚はアドレスの再利用に由来し、一部の大手取引所のコールドウォレットも含まれる。BIP-361の著者らが示す割合はやや高く、2026年3月1日時点で34%を超えるという。これに対しRippleは、公開鍵が露出した休眠アカウントに置かれているXRPはわずか0.03%だとしている。それぞれの数値の差は主に、P2PK、アドレス再利用、Taproot出力の統計の取り方の違いに由来する。
各チェーンの進展と分化
実際の進展で見ると、各チェーンはすでに明らかに分化している。QRLは2018年からネイティブな耐量子署名で稼働しており、Algorandは2026年8月にネイティブのFalconアカウントを提供開始、NEARは2026年7月にML-DSAアカウントを提供開始、StarknetのFalconアカウントはメインネットで稼働しているがまだ監査を受けていない。Tezosの関連コードはアップグレードとともにメインネットに入ったが、デフォルトでは無効になっている。イーサリアム（約2029年）、XRPL（2028年）、Sui（2027年第1四半期）、StellarとHedera（2027年前後）は日付入りのロードマップを持ち、SolanaはFalconを選定したがスケジュールを設けていない。Cosmos SDKはサポートを公開したが、各チェーンが自ら有効化する必要がある。ビットコインの関連する2つの提案はまだドラフト段階で有効化の道筋がなく、Cardanoはまだ研究段階、Monero、Avalanche、BNB Chainには正式な計画がない。
アカウント抽象化はその中で最も重要な構造的差異である。アカウントが自ら署名方式を交換でき、チェーン全体の統一フォークを必要としないネットワーク（Starknet、Algorand、NEAR、Sui、Aptos、そしてEIP-8141が実装された後のイーサリアム）では、ユーザーを1人ずつ移行させることができる。ビットコインのアカウントモデルにはこの柔軟性がなく、移行は新しいアドレスタイプと多年にわたる任意の移転に頼るしかない。
難点はガバナンスにある：いかに全員の足並みを揃えるか
暗号方式そのものにはすでに従うべき標準があり、本当に未解決なのはガバナンスとエンジニアリングの問題である。
第一に、ソフトフォークかハードフォークかをいかに調整し、ネットワーク全体を同期してアップグレードさせるか。第二に、まったく移行しない資産をどう扱うか。サトシ・ナカモト時代の約170万枚のBTCを含め、凍結するのか、取り消すのか、それとも現状維持なのか、現時点で明確な姿勢を示したチェーンはごく少数である。第三に、新しい署名は既存の64バイト署名より10倍から40倍大きく、取引のスループットを直接押し下げコストを押し上げる。RippleはDilithium署名が既存署名の約40倍になると指摘し、Coinbaseの顧問委員会は切り替え後にブロックサイズが最大38倍に膨らむ可能性があると警告し、HoskinsonはCardanoが早すぎる切り替えを行うとネットワーク速度が約10分の1に低下しうると注意を促している。
標準と規制
伝統的金融と政府部門はすでに明確な移行スケジュールを示しており、暗号資産業界の各チェーンはまさにこの文脈の中で行動を促されている。中でも最も重要なのが米国NISTの耐量子標準であり、ブロックチェーンが選択できる署名方式を定めると同時に、旧アルゴリズムが退場する期限も規定している。
業界のゴールドスタンダード：NIST標準
NISTは米国国立標準技術研究所であり、米国商務省に属し、技術標準の策定を担う。暗号分野の標準（AES、SHAハッシュなど）は世界中で広く採用されている。2024年8月に最初の耐量子暗号標準を公開したため、多くのブロックチェーンの耐量子方式はこれを基準としている。
NISTは2024年8月13日に3つの耐量子標準を正式に公開し、4つ目はまだ策定中である。FIPS 203（ML-KEM）は鍵カプセル化メカニズムであり、暗号通信に用いられ、署名方式ではない。FIPS 204（ML-DSA、旧Dilithium）は格子ベースの署名で、署名サイズは約2.4から4.6 KBであり、現在最も一般的なデフォルトの選択肢である。FIPS 205（SLH-DSA、旧SPHINCS+）はハッシュベースの署名で、安全性の想定が最も保守的だが、署名サイズは約7.8から50 KBに達する。まだ確定していないFIPS 206（FN-DSA、旧Falcon）も格子ベースで、Falcon-512の署名はわずか約0.7 KBと三者の中で最もコンパクトであり、Hederaは2026年4月の分析で2027年初め前後に完成すると見込んでいる。参照点として、ビットコインのSchnorr署名とSolanaのEd25519署名はいずれも64バイトしかない。
NISTの移行ガイドラインは、量子攻撃に脆弱な公開鍵アルゴリズムを2030年に非推奨とし、2035年に使用禁止とすることを定めている。業界でよく言われる「2035年」の期限はここに由来する。
機関の開示
機関レベルでも量子リスクを正式な文書に書き込む動きが始まっている。ブラックロックは2025年5月9日にiSharesビットコイントラスト（IBIT）の目論見書における量子リスク要因を拡充し、そのイーサリアム商品にも同様の文言があり、量子コンピューティングがビットコインの暗号を無効化しうると警告している。VanEckも2026年のBNB ETF目論見書で、BNB Smart Chainについて同様の警告を示した。こうした開示は標準的なリスク提示であり、将来の予測ではないが、量子への準備状況がカストディアンやETF発行体のデューデリジェンスの一部になったことを示している。
各社の準備
Coinbase：独立顧問委員会で業界全体に「方向性」を示す
Coinbaseは2026年に量子の議題を主流の議論に押し上げた最も重要な機関の一つである。その手法は外部の専門家を招いて独立委員会を組織し、分析を公開し、各チェーンに早期の姿勢表明を求めるというものだ。
Coinbase独立量子コンピューティング・ブロックチェーン顧問委員会は2026年1月に設立され、最初の論文は2026年4月21日に公開され、分量は約50ページである。メンバーにはScott Aaronson、Dan Boneh、Justin Drake、Sreeram Kannan、Yehuda Lindell、Dahlia Malkhiが名を連ねる。うちBonehとDrakeは前述のGoogleホワイトペーパーの共著者でもあり、2つの文書の判断は互いに呼応している。
論文の基本的判断は、誤り耐性を持つ量子コンピュータは最終的に作られるというもので、委員会はこれに高い確信を示す一方、現時点でそうしたマシンは存在しないと強調する。2035年より前に登場するかについては、そうならない保証はできないため、緊迫したシグナルが現れてからではなく、今から準備を始めるべきだと主張する。露出規模について、論文は約690万枚のBTCの公開鍵がすでに露出していると推計し、6月に公表した後続報告ではこの数字を分解して、約170万枚が約2万個の旧式P2PKアドレスにあり、約500万枚がアドレスの再利用に由来し、主にアクティブユーザーに属し、大手取引所のコールドウォレットも含まれるとした。論文はまた、耐量子署名への切り替えによりブロックサイズが最大38倍に膨らむ可能性があると警告している。Googleのホワイトペーパーと異なるのは、委員会が取引確認前の先回り攻撃を比較的それほど懸念していない点であり、Googleが示した9分間の攻撃窓はこの種の攻撃を現実的な関心事にしている。
各チェーンへの核心的な提言は、早期に決定し公に宣言することだ。すなわち、耐量子署名へまったく移行しない資産を、凍結するのか、取り消すのか、現状維持にするのかを明確にすることである。委員会自体はビットコインなどのネットワークの側に立って選択するわけではないが、姿勢表明の遅れそのものがリスクだと考えている。
この文書の意義は、Coinbaseが上場企業かつ最大級のカストディアンの一つとして、これを通じて製品責任を果たすと同時に、業界に引用可能な第三者の分析を提供し、量子への準備を取引所、カストディアン、ETF発行体が必ず答えなければならない問いにした点にある。なお、この委員会はCoinbaseが出資して設置したもので、その意見の重みは大きいが、読者はこれを完全に中立な裁定と見なすべきではない。
Project Eleven：業界の量子安全のリーダー
Project Elevenは現在この分野で最も活発なセキュリティ企業であり、研究とプロトタイプの開発を行うだけでなく、話題を一般の視野に押し出す役割も担っている。その収益と影響力は、量子の脅威が現実になるという判断に大きく依存している。
2026年1月、同社は2,000万ドルのシリーズA資金調達を完了した。同社が設けたQ-Day賞は賞金1 BTCで、量子コンピュータを使って楕円曲線鍵を破った最初の人物に授与される。2026年4月24日、賞金はGiancarlo Lelliに贈られた。彼はIBMのクラウド量子ハードウェア上で15ビットの楕円曲線鍵を破った。この結果については2点を見極める必要がある。第一に、実際のビットコインの鍵は256ビットもあり、15ビットのデモは真の脅威からはまだ遠い。第二に、ビットコインの開発者たちはこの出力がランダムな推測と明確に区別できないと考えており、関連する告知にはコミュニティノートも付されている。
Project ElevenはまたRippleやSolanaと協力して脅威評価とプロトタイプ開発を行っている。例えばRippleのDenis Angellは同社と共に、XRPLのAlphaNetテストネット上でML-DSAのプロトタイプを完成させた。同時に同社は、約710万枚のBTCの公開鍵がすでに露出しているという推計を提供している。
総合すると、Project Elevenは公開討論可能なマイルストーンと、各財団がテストできるプロトタイプコードを提供する一方、商業的利益の観点から緊急性を強調する傾向もある。
各パブリックチェーンの準備と中核チーム
各チェーンの準備度には大きな差がある。イーサリアムはプロジェクトの組織化が最も整っており、ビットコインは議論が最も多く実装が最も少なく、Solanaはアルゴリズムを選定済みだがスケジュールがない。以下ではまず時価総額最大の3つのチェーンを見て、その上で関連する量子準備を持つ他のネットワークを論じる。
ビットコイン：提案はあるが、有効化の道筋がない
ビットコインには財団がなく、いかなる変更も開発者提案（BIP）を通じてマイナーとノードコミュニティのコンセンサスを得る必要がある。現在、量子に関連する主な提案は2つあり、別に1つの緊急対応策がある。
BIP-360（Pay-to-Merkle-Root、略称P2MR）はHunter Beast（MARA）、Ethan Heilman、Isabel Foxen Dukeが執筆し、2026年2月11日にドラフトとして公式の提案庫にマージされた。Taprootに似た新しい出力タイプを追加するが、鍵で直接使用するパスを削除することで、コインが静止している間は公開鍵が露出しないようにするもので、アドレスはbc1zで始まる。この提案は意図的に耐量子署名方式を一切導入しておらず、その部分は後続のソフトフォークに委ねられており、Heilmanはすでにメーリングリストでアルゴリズムの俊敏性に関する議論を開始している。BIP-360も取引確認前の先回り攻撃には防御できない。
BIP-361（耐量子移行と旧署名のサンセット）はJameson Loppら6人が執筆し、2026年4月14日に公開され、旧署名を段階的に廃止することを主張する。有効化から約3年後、脆弱なアドレスタイプへの新規資金の送金を禁止する。約5年後、旧ECDSAとSchnorrによる使用が無効になり、該当資産は凍結される。その後、ゼロ知識証明に基づく復旧経路が提供される可能性がある。批評家はこの案を専制的だとし、Lopp自身も本当に使いたいわけではないと述べ、現時点では採用されうる位置にはないとしている。
平易に言えば、BIP-360は公開鍵を隠すアドレスタイプを1つ追加するだけで、すでに公開鍵が露出した旧アドレスを保護できない。そうしたコインは依然として従来のECDSA/Schnorr署名に頼っており、量子コンピュータが登場すれば同様に署名を偽造されて持ち去られうる。できるのはQ-Dayより前に保有者自身がコインを新しいP2MRアドレスへ移すことだけで、それによって初めて公開鍵が露出しなくなる。持ち主がすでに連絡を絶ち移転できないコイン（サトシ・ナカモト時代のP2PKなど）については、BIP-360は役に立たず、これがBIP-361が凍結を提案する理由でもある。
さらに、StarkWareのAvihu LevyはQuantum-Safe Bitcoin（QSB）を設計し、最初の取引は2026年8月26日にMARA Slipstreamを通じてオンチェーンに記録された。署名のグラインディングによって取引にハッシュベースの錠をかける仕組みで、ソフトフォークを必要としないが、1取引あたりのコストは数百ドルに達し、マイナーに直接提出する必要があり、すでに露出した鍵には打つ手がなく、緊急対応策と見なすほかない。
仮にBIP-360が明日有効化されたとしても、各保有者は依然として自ら資産を新しいアドレスへ移す必要があり、これは多年にわたるブロック空間を消費し、しかもサトシ・ナカモト時代の資産には何の効果もない。つまり、今後5年の間にビットコインにコンセンサスを得た主要な案がなければ、従来のサトシ・ナカモト時代のアドレスが攻撃されるリスクがある。その時点では、ハードフォーク級のコンセンサス分裂によってしか解決できない可能性がある。
イーサリアム：大型チェーンの中で最も組織化が進み、目標は約2029年
イーサリアム財団は耐量子安全を最重要課題に位置づけ、専任チーム、専用サイト、毎週の相互運用テストを用意している。2026年1月、財団はThomas Coratgerが率いる耐量子チームを設立し、それぞれ100万ドルの暗号賞を2つ設けた。pq.ethereum.orgは2026年3月25日に公開され、10以上のクライアントチームが毎週耐量子の相互運用開発テストネットを運用している。
ethereum.orgの整理によれば、アップグレードが必要なのは4つの部分である。BLSコンセンサス署名、KZGデータ可用性コミットメント、ECDSAアカウント署名、そしてレイヤー2が依存するゼロ知識証明システムだ。コンセンサス層では、Lean Ethereum構想がハッシュベースのleanXMSS署名でBLSを置き換え、leanVMと呼ばれる極めて簡素なzkVMを通じて大量の署名をサイズの小さい証明に集約することで、署名が大きすぎる問題を緩和する。アカウント層では、Vitalik Buterinらが2026年1月29日から起草したEIP-8141（Frame Transactions）がアカウントにネイティブなアカウント抽象化能力を与え、各アカウントが署名の検証方法を自ら決められるようにする。耐量子方式への切り替えも含まれ、この提案はすでにHegotáアップグレードの予定済み状態に入っている。CircleのMira Belenkiyはさらにecrecoverの耐量子経路を提案しており、すなわちframe transactionが耐量子署名を携行してコントラクトが読み取れるようにするものだ。
スケジュールについては、中核の耐量子インフラの目標は2029年前後で、一部の報道では2029年12月とされている。各情報源はHegotáアップグレード自体の時期について見方が分かれており、初期の資料は2026年下半期とし、ethereum.orgは2026年7月の時点で2027年に改めている。
総じて、これは大型ネットワークの中で最も先行するプロジェクトである。ただしEIP-8141が実装され、ウォレットが耐量子署名をサポートするまでは、ETH保有者にプロトコルネイティブな耐量子の選択肢はない。公開鍵が露出した旧アカウントはビットコインと同じ困難に直面するが、総じていえば、ブラックスワン的な量子攻撃リスクが生じなければ、アップグレード後のイーサリアムネットワークは量子攻撃の影響を受けないはずだ。
Solana：アルゴリズムは選定済み、スケジュールはなし
Solanaの保護は現在主にアプリケーション層にとどまっている。BlueshiftのWinternitz Vaultはハッシュベースのワンタイム署名保管庫で、2025年1月前後からユーザーが任意で利用でき、プロトコルのアップグレードではなくアプリケーションに属する。
プロトコル層では、Solana財団が2026年4月27日に準備計画を公開し、AnzaとFiredancerの2つのクライアントチームがそれぞれ独立にFalconを選んだと明らかにした。理由はFalcon-512がNISTの方式の中で署名が最も小さいことで、両チームともすでに初期実装を持っている。計画は3段階に分かれる。研究を継続すること、脅威が信頼できるものになった場合にまず新規ウォレット向けに耐量子署名を提供すること、その後既存ウォレットを移行することだ。2026年10月8日、技術担当副社長のJacob Creechはさらに、現時点ではいわゆるバンカーモードを有効にせず、大規模な移行も行わないと述べた。
この立場のリスクは、Solanaのアドレス自体が生のEd25519公開鍵であり、資金のあるすべてのアカウントが静止状態で露出している点にある。脅威が信頼できるものになってから行動するというやり方は、実際には十分な事前警告の時間を確保できることに賭けていることになる。
同時に、Solanaは2025年12月にProject Elevenとの提携を発表し、Project ElevenがSolanaに対して完全な量子脅威評価を1回実施した。範囲は中核インフラ、ユーザーウォレット、バリデータの安全性、長期的な暗号上の想定に及び、緩和経路と移行の選択肢も整理した。評価報告に加え、Project ElevenはSolanaのテストネット上に動作する耐量子署名システムを配備し、エンドツーエンドの耐量子取引が技術的に可能であることを示した。Solana財団の技術担当副社長Matt Sorgは、目標はネットワークを今後数十年にわたって安全に保つことだと述べている。
Algorand：チェーンは低調だが、主要パブリックチェーンの中で耐量子の実装が最も成熟
Algorandは2022年からFalcon署名でState Proofs（クロスチェーン検証に用いる状態証明）を保護している。2025年11月3日、メインネットに最初のFalcon-1024取引が現れた。2026年8月にはv5.0.0アップグレードを通じてネイティブのFalcon-1024アカウントがメインネットに登場し、Pera Wallet、SDK、AlgoKitがいずれもサポートを提供している。2026年6月時点で、ネットワークは14万件を超える耐量子取引を処理した。
2026年6月に公表されたロードマップによれば、Algorandは2026年末までにFalcon-512、耐量子マルチシグとステーキングを実現し、2027年末までに広範な量子耐性を実現する計画である。現在の主な欠落はコンセンサス中核のVRF（検証可能ランダム関数）が依然として古典的アルゴリズムであることで、Algorand自身もその置き換えが最も困難な一歩だと述べている。暗号チームにはChris Peikertと、Falconの設計に関わったZhenfei Zhangがいる。
XRP Ledger（Ripple）：日付入りの4段階ロードマップ、目標は2028年
RippleXのAyo Akinyeleは2026年4月20日に4段階からなるロードマップを公開した。第1段階はQ-Dayの緊急復旧計画、第2段階（2026年上半期）はML-DSAのテストで、Denis AngellはすでにProject ElevenとAlphaNet上でプロトタイプを完成させている。第3段階（2026年下半期）は開発ネットでのテストで、ハイブリッド署名を含む。第4段階は2028年までにネイティブの修正案を導入することである。XLS-295（ML-DSA-44）は現在もドラフトで、メインネットに変更はない。
XRPLの構造的優位はネイティブな鍵ローテーションにあり、アクティブユーザーはアドレスを変えずに鍵を交換できる。休眠中で公開鍵が露出しているXRPも0.03%にとどまる。
Cardano：まだ研究段階
創業者のHoskinsonが2026年2月に示した計画は3段階である。まず研究アジェンダを完成させ（2025年から2026年）、次に独立した耐量子証明チェーンを構築し、Mithril証明書と耐量子署名で履歴状態にチェックポイントを打ち、ハードウェア加速が成熟した後にメインチェーンへ統合する。彼は同時に、早すぎる移行はネットワーク速度を約10分の1に低下させうると警告している。2026年5月には、格子ベースの方式とFIPS 203から206がロードマップに含まれたと述べ、量子計画に関するガバナンス投票が進行中であることにも触れ、Google、Microsoft Research、Linux関連の研究者とのNightstreamプロジェクトについて言及した。現時点で公に確認されたテストネットでの署名作業はない。
SuiとAptos：任意参加の耐量子アカウントの仕組み
Suiは2026年8月、日常的なアカウントにはML-DSA-65を採用し、高価値の保管庫にはMoveコントラクト内でSLH-DSA-SHA2-128sを使うと発表した。いずれもユーザーが任意で有効化でき、既存のニーモニックから導出可能で、メインネットでの認証の目標は2027年第1四半期である。
Suiの考え方は「2つの錠、2つのリスク」である。この2つの方式は異なる数学的ファミリーに由来する。ML-DSA-65は格子ベースのFIPS 204標準で安全強度はNISTレベル3、日常的なアカウントに用いる。SLH-DSA-SHA2-128sはハッシュベースのFIPS 205標準で安全強度はレベル1、高価値の保管庫に用いる。後者をプロトコルの中核ではなくMoveコントラクトに置くことで、Suiは中核プロトコルをアップグレードせずに業界が最終的に採用する標準に追随でき、さらに万一格子暗号が破られた場合でもハッシュベースの経路は巻き添えにならない。
AptosのAIP-137は暗号責任者のAlin Tomescuが2025年12月18日に公開したもので、SLH-DSA-SHA2-128sを任意のアカウントタイプとして追加する。評価したのはハッシュのみに依存する保守的な安全性の想定である。この提案は有効化にガバナンスの承認を必要とし、ユーザーへの移行強制もしない。
NEAR：耐量子アカウントはすでにメインネットで稼働
NEARは2026年7月20日に公開したProtocol 2.13で、ML-DSA署名を正式にメインネットへ追加した。報道された具体的なレベルはML-DSA-65である。これによりNEARは、QRL、Algorandに続いて、一般ユーザーがメインネット上で耐量子アカウントを持てるパブリックチェーンとなり、本レポートが扱う大型ネットワークの中でも、耐量子機能を少数ながらすでにユーザーの手に届けている一つとなった。
仕組みとしては、ユーザーはオンチェーン取引を1件送るだけで、アカウントの鍵を耐量子鍵に切り替えられる。新しいアカウントを作る必要も、資産を新しいアドレスへ移す必要もない。アカウントは複数の署名方式を同時に保持することもでき、すなわち新旧の鍵が併存する。一般ユーザーにとってこの設計の利点は移行コストの低さである。ネットワーク全体が同時にフォークする必要もなく、ビットコインのように新しいアドレスタイプと多年にわたる資産移転を待つ必要もなく、各ユーザーが自分のペースで1つずつ切り替えられる。これこそが前述の「アカウント抽象化」がもたらす構造的優位がNEAR上で具体的に現れたものである。
推進の進め方では、Near OneがLedgerと提携しており、耐量子鍵がハードウェアデバイスで保管される見通しがある。Meteor Walletはすでにサポートを提供している。
この方式にはなおいくつかの限界がある。まず任意参加であることだ。まだ切り替えていないアカウントは従来のEd25519署名を使い続けており、その公開鍵はすでにチェーン上に公開されているため、大規模な量子コンピュータが登場した際には依然として露出している。次にサイズのコストである。ML-DSAの署名は約2.4から4.6 KBであるのに対しEd25519は64バイトしかなく、取引は明らかに大きくなる。ネットワークのスループットと手数料への具体的な影響について、今回の調査ではNEARの公開データを見つけられなかった。最後に、そして最も重要な点として、バリデータ間のコンセンサスに使われる署名は依然として古典的アルゴリズムであり、耐量子コンセンサスの目標は2027年下半期（一部の情報源は遅くとも2027年12月31日と記す）である。それまでは、ネットワーク層の防御は完全ではない。
総合すると、ユーザー層での可用性という点ではNEARは大多数の大型ネットワークより先行している。しかし全体の安全性は最終的に2つの変数に依存する。どれだけのユーザーが実際に切り替えを完了したか、そしてバリデータのコンセンサスがいつアップグレードされるかである。
Hedera：公式ロードマップはあるが、耐量子署名はまだない
Hederaのハッシュ（SHA-384）と暗号化（AES-256）はすでに耐量子の要件を満たしており、欠けているのは署名である。Leemon Baird、Rohit Sinha、Ed Marquezは2026年4月の公式ブログで、FIPS 206の確定後にFN-DSA（Falcon）を採用すること、まずノード間の耐量子TLSを実現してからクライアントへ拡張すること、コンセンサスイベントにはEd25519とFalconのハイブリッド署名を用いること、2027年前後に耐量子のユーザー鍵タイプを導入することを提案した。対応するHIP番号はまだ公開されていない。
ロードマップは易しい順に4段階に分かれる。まずノード間のTLSを耐量子またはハイブリッド方式へアップグレードし、次にクライアント接続のTLSをアップグレードし、その後コンセンサスイベントにEd25519とFN-DSAのハイブリッド署名を使い、最後に新しいユーザー鍵タイプを導入する。TLSを最初に置くのは、主にソフトウェアライブラリの更新で完了できるからであり、Chromeは2024年4月からX25519とML-KEM-768のハイブリッド鍵交換をデフォルトで有効にしている。同時にHederaは、自社のネットワーク安全性はTLSに依存せず、ハッシュグラフのコンセンサス自体がトランスポート層から独立した完全性の保証を提供すると説明している。
コストも同様にサイズである。Hederaのロードマップに対する第三者の解釈によれば、FN-DSAの署名は約1,280バイトでEd25519の約20倍、ML-DSA-87を採用すると署名は4,627バイトで70倍を超える。Bairdは2022年に、Hederaの取引は通常100から200バイトしかないが、Falconに替えると署名が約1,300バイトに達すると述べ、これを負担すべきコストと呼んだ。
Stellar：段階的な計画、プロトコル投票は未定
Stellar開発財団は2026年6月9日に量子準備計画を公開した。2026年はまずSorobanホスト関数の形でML-DSA-44/65の検証を提供し、2027年末までにプロトコルレベルの耐量子署名者タイプを導入する。報道によれば、Protocol 30（Bell）アップグレードにはCAP-87（Stellar CoreにおけるML-DSA）が含まれ、バリデータ投票は2026年11月23日に予定されている。
Stellarの構造的優位は、アカウントの身元と署名鍵が分離していることだ。ユーザーはアカウントに耐量子署名者を追加し、その後で旧Ed25519鍵を削除でき、残高を移す必要も、関連するすべてのシステムを更新する必要もない。ただし、すべてのStellarアドレス（一度も署名したことのない休眠アカウントを含む）の公開鍵はすでに露出しており、休眠アカウントが最も難しい部分であるため、財団はこれについてコミュニティ議論を公開する予定だ。
段階ごとの内容は次のとおりである。第1段階（2026年）はSorobanにネイティブなホスト関数を追加し、ML-DSA-44とML-DSA-65の検証をサポートする。これによりコントラクトアカウントはSorobanのアカウント抽象化を借りて耐量子認証を実現でき、古典的アカウントはプロトコル層の変更を必要とせず、企業向けウォレットは2026年に移行できる。その後、標準の確定状況に応じてFN-DSAやHSMサポートも追加する。第2段階（2027年）はプロトコル層での固定と任意移行で、既存のset_options操作を通じて一般アカウントも耐量子署名者を追加できるようにする。ウォレット、SDK、アンカー事業者はいずれも更新が必要で、目標は2027年末までにすべてのアカウントがこの能力を持てるようにすることである。計画は全部で3段階に分かれるが、第3段階について検証可能な詳細は見つけられなかった。また、ペアリングなどの技術に依存するゼロ知識アプリケーションにも欠落があり、財団はStellar上でゼロ知識アプリを手がけるチームを招集して共同で対応する計画だ。財団はさらに、Stellarが使用するSHA-256ハッシュはすでに耐量子安全と見なされており、XLM保有者は現時点で何の行動も必要ないと述べ、計画の中で米国CNSA 2.0とEUのDORAを規制上の背景として引用している。
Starknet：重心はまさに耐量子、一部はすでに納品済み
Starknetのアーキテクチャには天然の優位がある。STARK証明自体がハッシュ関数に依存しており、さらに各アカウントがスマートコントラクトであるため、自ら署名方式を切り替えられる。Falconベースの耐量子アカウントはすでにメインネットで稼働している（S2morrowがCairoで実装したFalcon-512）が、この実装はまだ監査を受けていない。
2026年6月に公表されたロードマップは3段階に分かれる。第1段階は状態コミットメント、アドレス導出、設定の中で依然として楕円曲線に依存するハッシュを置き換えるもので、現在までに一部が納品済みである。第2段階はこの保護を既存のコントラクトへ広げる。第3段階はイーサリアムに追随することであり、ブリッジとデータ可用性が依然としてイーサリアムL1の楕円曲線暗号を継承しているためである。
同時に、Starknetコミュニティは2026年10月15日から22日にかけて拘束力のないSnapshot投票を実施し、独立した耐量子L1への研究移行の提案を93.52%の支持率で可決した。参加票数は約3,236で、約4億8,900万枚のSTRKを代表する。CEOのEli Ben-Sassonは2027年に完全な量子耐性を実現することを目標とし、ホワイトペーパーは11月に公開予定である。批判的な意見は、イーサリアムから離れることはイーサリアムの経済的安全性を放棄し、代わりにまだ未成熟なStarknet自身のステーキング機構に依存することを意味すると指摘する。後者はまだ4段階中の第2段階にあり、バリデータはまだブロック生成を始めていない。
Zcash：まず「回復可能」を確保し、その後にアップグレード
Zcashの主なリスクは盗難ではなく、プライバシーが遡及的に破られることである。将来の量子コンピュータは、今日チェーン上にある匿名取引を再び関連付けられるかもしれない。
ZIP 2005はノートの構成方法を変更し、万一Orchardプールを凍結せざるを得なくなった場合でも、資金が後に耐量子STARKを用いて耐量子プロトコルの中へ回復できるようにする。NU7投票では、この提案はZCAPの90.5%、コイン保有者の94.6%の支持を得た（2026年2月）。リリース候補版は2026年5月22日にテストネットに登場した。今後のステップは、まずTachyonとともにML-KEM鍵交換を導入し、その後完全な耐量子プールを構築することであり、ZODLのCEOは2026年5月から12か月から18か月という目標を示している。
