著者：Bitcoin Security Consortium、ビットコイン・プロトコルの長期的な安全性と安定性に取り組む業界リーダーで構成される連合
翻訳・編集：谷昱、ChainCatcher
本稿はBitcoin Security Consortiumの報告書であり、Presidio Bitcoinとの協力で完成したものだ。
主なポイント（TL;DR）
量子コンピューティングの最近の進展は現実のものだ——ただしあくまで漸進的である。GoogleのWillowや最近のShorアルゴリズムの最適化といった進展は懸念を引き起こしているが、暗号学的に関連する量子コンピュータ（CRQC）はいまだ実演されていない。
ビットコインが量子コンピューティングから受けるリスクはその署名方式に限定され、具体的には2つの側面に現れる。脆弱なトークンに対する静止攻撃と、メンプール内のトランザクションに対する転送中の攻撃である。
解決策はすでに特定されており、積極的に進められている。（1）資金を再利用されたアドレスから移す、（2）ポスト量子署名方式を開発する、（3）ほぼ失われたと考えられるP2PKトークンについてコンセンサスを形成する。
量子コンピューティングの復興？
長年の停滞のように見えた後、量子コンピューティング分野では進展を実証する学術論文と、それに伴う見出しが増え、投資家の間でビットコインの安全性への懸念を引き起こしている。その見出しには以下が含まれる：
GoogleのWillow（2024年12月）。物理量子ビットを増やして誤り訂正された「論理」量子ビットを保護すると、その論理量子ビットがより信頼性が低くなるのではなく、より信頼できるようになることを初めて証明した。
Google Quantum AI、Oratomic/Caltech、そしてECDSA.failによるShorアルゴリズムの最適化（2026年）。Google Quantum AIはEthereum FoundationおよびStanfordと協力し、Shorアルゴリズムでビットコインの楕円曲線を破る回路を圧縮し、従来の推定に比べて約20分の1に削減した。OratomicとCaltechは、彼らのShorアルゴリズム最適化によって単一のビットコイン秘密鍵を数日で破れると主張する。最後に、プロジェクトECDSA.fail——Eigen Labsのスコアボード——は研究者とAIエージェントを集め、その後数か月でGoogleの回路をさらにほぼ70%縮小した。
IonQのエンドツーエンドのShorアルゴリズム最適化（2026年9月）。Shorアルゴリズムを実行するための完全なコンパイル設計図で、ソフトウェアとハードウェアの両方について計算されており、理論上は試行あたり約26日で単一の秘密鍵を解き、成功率は63.3%となる。
Googleのマジックステート育成（2026年10月）。量子コンピューティングには「マジックステート」が必要である。すなわち、使用するたびに消費され、生成コストが高いリソース状態だ。GoogleはWillow上で、そのフィルタリングプロトコルがこれらの状態の誤りを約40分の1に減らし、99.99%の論理忠実度を達成することを証明した。
Quantinuumの「ファイブナイン」論理忠実度（2026年10月）。QuantinuumのHeliosコンピュータは100万回の操作あたり5回の誤り（99.9995%の論理忠実度）を出し、Googleの実演より約100分の1低い。符号化の規模を拡大するたびに誤りは12分の1に低下する（λ = 12）。
今日、暗号学的に関連する量子コンピュータ（CRQC）は存在しない——しかもこの技術には、誤り訂正量子ビットを物理的に拡張するなど、多くのエンジニアリング上の課題が残っている。それでも、なぜこれらの見出しがビットコインコミュニティの関心を引くのか。ビットコインと量子コンピュータの関係とは何か。見ていこう。
量子コンピューティングの簡単な説明
量子コンピューティングの中核は量子ビット、すなわちqubitだ。0または1の値を保存する古典ビットと異なり、qubitは量子力学の世界に特有の2つの性質を示す：
重ね合わせ：1つのqubitは0と1の混合値を同時に保持でき、測定するとこれらの値は重み付き確率でいずれかに収縮する。
もつれ：2つ以上のqubitは1つの結合状態を共有でき、どれほど離れていても、一方を測定すれば他方の値が確定する。
これらの性質により、量子コンピュータは誤った答えを打ち消しながら、多くの候補となる答えを同時に探索できる。しかし物理量子ビットは非常に脆く、量子情報の喪失であるデコヒーレンスが起こりやすい。だからこそ今日の多くの企業のロードマップは、最小数の論理量子ビットを目標としている——論理量子ビットとは複数の冗長な物理量子ビットから構築された誤り訂正量子ビットであり、誤りを検出して修復できるようにすることで、計算と情報を信頼できる状態に保つ。
物理量子ビットと論理量子ビットの比を最小にするため、量子コンピュータの研究所は最も効率的なハードウェアアーキテクチャを研究している。以下に限定されないが：
超伝導回路（Google、IBM）：絶対零度近くまで冷却された小さな配線ループで、そこを流れる電流が1つのqubitのように振る舞う。この技術は高速な計算時間を実現できるが、発展の拡張は遅い。
中性原子（Oratomic）：「ピンセット」と呼ばれるレーザー配列で固定された帯電していない原子で、その電子がqubitとして機能する。この技術は急速に拡張できるが、理論上計算時間はより遅くなる。
捕捉イオン（Quantinuum、IonQ）：電磁場中にあり、レーザーで操作される帯電した原子、すなわちイオン。この場合、イオンの基底状態または励起エネルギー状態がqubitとして機能する。計算は比較的遅く、拡張速度は中程度だ。
フォトニクス（PsiQuantum、Xanadu）：チップや光学デバイスを通る光の粒子（光子）。各光子の属性がqubitとして機能する。高速な計算時間を実現できるが、発展のタイムラインもより遅いようだ。
ビットコインの量子的攻撃面
理論上、Shorアルゴリズムを実行する暗号学的に関連する量子コンピュータは、ビットコインの楕円曲線デジタル署名アルゴリズム（ECDSA）を破ることができる。すなわち、ネットワーク内で所有権と財産権を維持する署名方式であり、秘密鍵を明かすことなく取引相手にその秘密鍵の所有を証明する。重要なのは、ビットコインの中核的なゲーム理論と経済原則の大部分はこの攻撃面に含まれないことだ。たとえばトランザクションのコンセンサス、発行スケジュール、供給上限などである。
ビットコインの秘密鍵を攻撃することは、このネットワークに2つの攻撃面をもたらす：
長期間の露出、すなわち静止攻撃。再利用されたアドレス、または安全性の低い古いタイプのアドレス（pay-to-public-key、P2PK）にあるトークンはすでに公開鍵を露出しており、量子コンピュータはこれらの公開鍵を利用して対応する秘密鍵を取得できる。今日の現代的な出力タイプに基づくアクティブアドレスの大半は——公開鍵が使用されるまで隠されている——この種の攻撃に対して脆弱ではない。しかしProject Elevenは、約710万BTC、総量の約35%が、今日有能な量子コンピュータが存在すれば盗難の被害に遭いやすいと推定している。そのうち約4分の3は再利用されたアドレスに保管されており——多くは大手取引所に——取引所が資金を単一使用アドレスに移し、より良いカストディ慣行と標準を採用すれば、リスクは低減できる。しかし、別に180万BTCはP2PKアドレスにあり、その大半はすでに失われたと想定されているため、安全なアドレスに移すことは実行不可能かもしれない。計算時間が速いか遅いかを問わず、量子コンピュータはこれらの露出した公開鍵を1つずつ利用し、投資家の資金を保有する秘密鍵を取得できる。
短時間の露出、すなわち転送中の攻撃。ビットコインネットワークのトークンは使用される時にのみ公開鍵を明かすため、約10分の脆弱なウィンドウが生じる（より正確には、トランザクションの提出からブロックへの取り込みまでの時間）。十分に高速な量子コンピュータはこのウィンドウを利用して、トランザクションの実行中にトークンを盗むことができる。Googleは、あらかじめウォームアップされた高速クロックの量子デバイスが最短9分で秘密鍵取得の計算を完了できると推定しており、もともと脆弱でないアドレスに保管されていたトークンでも、典型的なトランザクションを経る際に盗難リスクに直面することになる。
脅威を誇張している可能性のある誤解
「量子ハードウェアはすでに拡張を終え、準備ができている」現在、最も良い実演結果を示すシステム——Quantinuumのシステム——は48個の誤り訂正済み論理量子ビットを生成した。ビットコインの楕円曲線を破るには少なくとも約1,200個が必要である。
「量子の実演はすでに暗号学的に関連する量子コンピューティングを証明している」そうではない。Willowが証明したのは誤り訂正メモリであり、大規模な誤り訂正計算ではない。Google、Oratomic、IonQの2026年の論文は設計図であり、稼働中のマシンではない。多数の論理量子ビット間での低誤り操作は、依然として克服すべきボトルネックである。
「すべてのビットコインが直ちに盗難のリスクにさらされる」ほとんどのビットコインは静止状態では脆弱ではない。公開鍵は使用されるまでハッシュの後ろに隠れているからだ。最大の単一の露出原因——アドレスの再利用——は、今日、新しい未使用アドレスへローテーションすることで解決できる。たとえ攻撃が今日到来しても、それは試行ごとに単一の秘密鍵を対象とするものであり、脆弱な供給全体を一度に対象とするものではない。
脅威を過小評価している可能性のある誤解
「Shorアルゴリズムの最適化は重要ではない」3月、Googleは理論上ビットコインECDSAを破るのに必要な論理量子ビット要件を約20分の1に圧縮し、楕円曲線はRSA（Rivest-Shamir-Adleman）暗号システムよりはるかに最適化の注目が少ないと指摘した。これはさらなる最適化の余地が残っていることを意味する。その例として、ECDSA.failプロジェクトはGoogleの回路をさらにほぼ70%最適化した。
「それは数十年後の話だ、なぜ気にするのか」最近の専門家調査では、有能なマシンが2030年から2035年の間に出現する確率は約50%とされ、各国政府は2030年代の早期から中期にポスト量子移行を完了することを目標とし、GoogleとCloudflareは内部の期限を2029年に設定している。注意すべきは、これらの期限が政府や企業にとって「先に収穫し、後で解読」する攻撃——主に将来も関連し続ける可能性のある私的情報に関するもの——を防ぐためにより緊急に当てはまるということだ。ビットコインは参加者が公開鍵の隠されたアドレスへ移行することで自衛できるため、これらの期限はこのネットワークにとってのベストプラクティスと見なすことができ、必然的な期限ではない。
「我々は事前にそれを見るだろう」突破は非公開のままにされるか、国民国家によって機密とされる可能性があり、初期の盗難は散発的に見えて、通常のカストディの回転や支払いトランザクションと区別しにくいかもしれない。
現在行われていること
現在のビットコイン保有者——取引所、機関、投資家を含む——はすでに解決策を積極的に議論することで量子の脅威に備えており、優先順位はおそらく以下のとおりだ：
脆弱な供給を再利用されたアドレスから未使用アドレスへ移す。これは最も実現しやすい事項であり、ネットワークのコンセンサスやソフトフォークを必要としない——完全に大手取引所やカストディアン、そしてセルフカストディを利用する投資家が、おつり出力のローテーションや、何よりもアドレスの再利用を避けるといったより良いセキュリティ慣行を採用することに依存する。
ポスト量子署名方式を設計する。これまでにビットコイン上で量子耐性のある支払いを実現できる主要な提案は、BlockstreamのSHRINCS（「Shrunken SPHINCS」の略）である。SHA-256に基づいて構築され、毎秒最大3トランザクションを処理でき、米国国立標準技術研究所（NIST）の標準SPHINCS+がわずか0.36トランザクションであるのと対照的だ。Blockstreamは2026年3月にLiquid Network上でこの方式をテストし、他の貢献者とともに8月にビットコイン改善提案（BIP）を発表した。正式な安全性の証明はまだ完了しておらず、ネットワーク全体への展開にはソフトフォークが必要となる。
ビットコインの中で脆弱だが、ほぼ失われたと考えられるP2PKアドレスのトークンをどう扱うかについてコンセンサスを得る。今後数年間ビットコインが量子の脅威に直面する中で、これはおそらく最も論争の多い問題である。約170万BTCが約20,000のP2PKアドレスに保管されており、その中にはSatoshi Nakamotoに帰属すると推定される110万BTCが含まれる。Presidio Bitcoinによれば、現在議論の中で比較的注目されている選択肢は次のとおりである：旧式の支払いを有効なままにしておく（量子攻撃者に「盗ませる」）；旧式の支払いを減速させる（脆弱なトークンの移動速度を制限し、すなわち「レート制限」する）；そしてトークンを凍結しつつ復旧経路を提供する（すべての旧式ビットコイン支払いを無効化するが、所有者がシードフレーズのゼロ知識証明によってトークンを取り戻すことを許可する、すなわち「ソフトフリーズ」）。この重要なテーマについてより広く読むには、Presidio Bitcoinがここで基礎知識を説明し更新している。
