量子コンピュータは本当にビットコインを破れるのか

ビットコインに初めて触れる人が最もよく持ち出す反論の一つが量子コンピュータである。そして返ってくる答えはたいていこうだ。「そんな計算機はまだ存在しない。10～20年はかかる。その頃にはビットコインもアップグレードされている」。

この答えは間違ってはいないが、2026年においてはもう十分ではない。この1年で攻撃に必要な資源の見積もりが2倍ではなく20倍近く縮み、ビットコインのリポジトリには量子対応を扱う提案が二つ上がり、そのうち一つは「動かされないコインをどうするのか」という問いを正面から持ち出した。この主題はもはや技術的な豆知識ではなく、ビットコインとは何かという問いになっている。

正確に見ていこう。

脅威は一つではなく二つある

量子コンピュータがビットコインに与える影響は、まったく異なる二つの筋に分かれる。この二つを混ぜた瞬間に議論はもつれる。

ショアのアルゴリズムは署名を狙う。 ビットコインの所有権証明は楕円曲線離散対数問題の難しさに依存している。秘密鍵から公開鍵を計算するのは容易だが、その逆は事実上不可能だという前提だ。十分に大きな量子コンピュータ上でショアのアルゴリズムはこの前提を崩す。公開鍵がわかれば秘密鍵を復元できる。これが本当の脅威である。

グローバーのアルゴリズムはマイニングとハッシュを狙う。 こちらは事情がまったく違う。グローバーが与える改善は平方根分だけだ。2の256乗が2の128乗になるが、これは依然として宇宙的な規模の数である。加えてプルーフ・オブ・ワークには難易度調整という自動的な吸収装置がある。量子マイナーが現れてもネットワークは単に難易度を上げるだけだ。SHA-256が破られるのではなく、マイニングハードウェアの世代が一つ変わるのに近い。

つまり「量子コンピュータが2,100万枚の上限を無効にする」「ブロックチェーンを書き換える」といった話には根拠が乏しい。危険なのは署名の側だけであり、より正確にはすでに露出した公開鍵である。

破られるのはウォレットではなく露出した公開鍵だ

ここがこの主題の核心であり、多くの記事が飛ばす地点でもある。

ビットコインのアドレスは公開鍵そのものではなく、公開鍵のハッシュである。そして量子コンピュータもハッシュ関数を逆算することはできない。言い換えれば、一度も使われていないアドレスにあるコインは公開鍵がハッシュの背後に隠れており、ショアのアルゴリズムを向ける対象そのものが存在しない。

問題は、公開鍵がチェーン上に現れる経路が複数あることだ。

第一に、P2PK出力である。 ビットコイン初期のマイニング報酬はアドレスではなく公開鍵に直接支払われた。ハッシュがない。公開鍵がスクリプトにそのまま埋まった状態で15年以上放置されている。

第二に、アドレスの再利用である。 どのアドレスであれ一度コインを使えば、署名とともに公開鍵が公開される。そのアドレスを使い続ければ、残高を守っているのはハッシュではなく露出した公開鍵ということになる。これまでプライバシーのために避けるよう言われてきた、まさにその習慣だ。

第三に、タップルートのキーパスである。 P2TR出力はトゥイークされた公開鍵をそのままスクリプトに入れる。設計上そうなっている。プライバシーと効率の面では優れた選択だったが、量子の観点では残高が最初から露出した状態に置かれることを意味する。

どれだけ露出しているのか

推定値は出典によって割れるが、規模の感覚は一致している。

グラスノードが2026年5月に集計した数字は604万BTC、発行量の30.2%だった。この量は性質の異なる二つに分かれる。P2PKのような構造的な露出が192万BTC、アドレス再利用による運用上の露出が412万BTCである。BIP-361の本文は供給量の34%以上が露出しているとし、グーグルの研究者やコインベースの諮問委員会の集計は650万～700万BTCの水準だ。

推定が割れる理由は方法論にある。再利用をどこまで含めるか、焼却が明らかな出力を除くか、紛失分をどう扱うかによって数百万BTCが動く。しかしどの方法論を使っても「総供給の30%前後」という結論は揺るがない。

その中でも特に厄介な塊がある。サトシ時代のP2PK出力、およそ170万BTCだ。これらのコインは15年間動いたことがない。持ち主が存命なのか、鍵を保持しているのか誰も知らない。誰かが安全なアドレスへ移してやることのできないコインだということであり、以下で見る論争のすべては事実上この塊をめぐって起きている。

短い窓:メンプール

ハッシュの背後に隠れているから安全だとされたコインも、永遠に安全なわけではない。使う瞬間に署名と公開鍵が現れるからだ。

取引をブロードキャストしてからブロックに取り込まれるまで、数分から数十分かかる。理論上は十分に高速な量子コンピュータであれば、その間にメンプールに現れた公開鍵から秘密鍵を復元し、より高い手数料を付けた競合取引で元の取引を追い越すことができる。RBFと手数料市場は攻撃者にも同じ条件で開かれている。

この短い露出区間については、後述するBIP-360でさえ防げないと提案書自身が明言している。ただしこちらの攻撃は長期露出攻撃よりはるかに難しい。数年ではなく数分で終えなければならないからだ。

ではあとどれくらいか

2026年3月31日、グーグルのQuantum AIチームが発表した論文が基準線を大きく動かした。クレイグ・ギドニーらの研究陣は、256ビットの楕円曲線離散対数問題を論理量子ビット1,200個未満、9,000万個未満のトフォリゲートで解けると見積もった。超伝導方式で物理エラー率1e-3を仮定すれば、物理量子ビット50万個未満で数分のうちに実行できるという計算である。それまで通用していた論理量子ビット2,330個以上という推定から、20倍近く縮んだ値だ。

では現在の水準はどこか。2026年1月にネイチャーに掲載されたQuEraの結果が検証済み論理量子ビット96個で現在の記録であり、マイクロソフトとQuantinuumのH2システムが論理量子ビット12個を1e-3程度のエラー率で実証した。必要な値と実際の値の間には、なお2～3桁の隔たりがある。

正直な結論はこうだ。今日ただちに危険ではない。しかし「10～20年」という言い回しはもはや推定ではなく慣用句である。 あの隔たりは物理法則ではなく工学的なロードマップの問題であり、そのロードマップはこの3年間ずっと前倒しされてきた。そして重要なのは正確な予測ではない。移行にかかる期間が、脅威の到着より短くなければならない。それだけが実質的な条件である。

ビットコインの対応①:BIP-360

ハンター・ビースト、イーサン・ハイルマン、イザベル・フォクセン・デュークが起草したBIP-360は2024年12月に提出され、現在Draft状態にある。提案された出力タイプの名はP2MR(Pay-to-Merkle-Root)で、SegWitバージョン2にあたり、アドレスはbc1zで始まる。

構造は単純だ。タップルートからキーパス支出を取り除く。 P2TRとほぼ同じだが内部鍵を持たず、スクリプトツリーのマークルルートだけにコミットする。出力が作られる時点でオンチェーンに現れる公開鍵が一切ないということだ。代償はウィットネスサイズの増加である。協調的な場合でもスクリプトパスを使うため取引が大きくなる。

ここでよくある誤解を一つ正しておく必要がある。BIP-360は量子耐性署名をビットコインに導入する提案ではない。 提案書はこの点を明記している。長期露出攻撃からの保護は量子耐性署名の有効化に依存しない、というのがこの設計の論旨だ。量子耐性署名そのものは今後の別提案に委ねられている。テストネットではML-DSA系の署名オペコードをP2MRのタップスクリプト文脈に入れて試した実装も出ているが、それは実装側の実験であってBIP本文の内容ではない。

ビットコインの対応②:BIP-361、そして財産権の論争

二つ目の提案こそが本当の論点だ。ジェイムソン・ロップを含む6名が2026年2月に提出したBIP-361の題は「Post Quantum Migration and Legacy Signature Sunset」である。既存署名方式の日没(sunset)という表現がすでにすべてを語っている。

構造は二段階だ。

フェーズAは有効化の3年後に始まる。量子脆弱なアドレスへ資金を送ることが禁止される。既存の残高は使えるが新たに受け取ることはできない。移行を強制する圧力である。

フェーズBはそこから2年後だ。脆弱なUTXOからのECDSA・シュノア支出に対する検証要件が厳格化される。

報道はこの段階をおおむね「コインの凍結」と要約した。正確ではない。BIP本文はフェーズBを単なる遮断ではなく量子安全なレスキュープロトコルとともに記述している。BIP-32のハードンド導出パスのように正当な所有者だけが知りうる情報の非対称性を利用し、量子攻撃者にはできず本当の持ち主にはできる形の証明を求めるという構想だ。ただしそのプロトコルがまだ完成していないこと、そしていずれにせよ定められた時点までに動かされなかったコインは従来の方式では使えなくなるという実質は残る。

賛成側の論理はこうだ。何もしなければその600万BTCは結局、最初に量子コンピュータを手にした者のものになる。盗まれたコインが市場に流れ込む事態は、移しておいた人の財産まで損なう。署名アルゴリズムに有効期限を設けるのは没収ではなく、プロトコルが常に行ってきた規則の更新である。そしてビットコインの合意形成は遅いのだから、期限の切られた明確な経路だけが実際に機能する唯一の防御だという。

反対側の論理も弱くはない。「あなたの鍵、あなたのコイン」に有効期限が付くということだ。オフラインにいる人、収監されている人、すでに亡くなった人、単に動かしたくない人のコインが失われる。何より、特定のUTXOを使えなくする前例が一度できれば、次にその名分を持ち出すのははるかに容易になる。私有財産と検閲耐性がビットコインの核心であるなら、良い理由で作られた例外もやはり例外だ。ブロックサイズ戦争が教えたのはまさにこれだった。

どちらの側も無料ではない。そしてこれは暗号学の問題ではなくガバナンスの問題である。二つの提案はいずれもまだDraftであり、有効化の議論は始まってすらいない。

ウェブはすでに移行しているのに、なぜビットコインは難しいのか

「量子コンピュータがビットコインを破るなら銀行もインターネットも破られる」とよく言われる。正しいが、この比較はビットコインに有利に傾いている。

ウェブと銀行システムの暗号はサーバ設定を変えれば置き換えられる。実際に主要なブラウザとCDNはすでにハイブリッド方式で移行を進めた。中央から一括で差し替えられるからだ。

ビットコインは逆である。過去の残高がチェーン上に永久に残り、それを動かせるのは秘密鍵を持つ個々の所有者だけだ。 開発者が代わりに動かすことはできない。そしてそのうち相当量には、動かしてくれる持ち主がそもそも存在しない。この構造ゆえにビットコインの移行は技術的に容易な部類ではなく、むしろ難しい部類に属する。

今、何をすべきか

すべきこと。

• アドレスを再利用しない。 プライバシーのためにすでに推奨されていた習慣が、そのまま量子への備えでもある。露出した412万BTCの相当部分はこの習慣一つから生まれた。
• 古いアドレスに残高があれば今すぐ点検する。 P2PKや長く再利用したアドレスに資金が残っているなら、未使用の新しいアドレスへ移すだけでリスクの等級が変わる。
• シードフレーズを確実に保管する。 どの移行方式が採用されようと、最終的には署名して動かすことになる。鍵を失ったコインは量子コンピュータ以前にすでに動かせないコインだ。

すべきでないこと。

• 「量子耐性」を掲げるアルトコインに乗り換えない。 署名アルゴリズムを変えれば済む問題ではなく、それらのチェーンもいずれ同じ移行問題に直面する。15年間検証されたネットワーク効果とセキュリティ予算を宣伝文句と引き換えにする取引である。
• 急がない。 標準が確定するまで移る先そのものが存在しない。bc1zはまだDraftだ。

残る問い

結局ビットコインは二度、合意しなければならない。

一つ目は工学の問題だ。どの量子耐性署名を使うか。候補はいずれも署名が大きく、それはそのままブロックスペースと手数料、ノード運用コストの問題につながる。難しいが、答えの出る種類の問題である。

二つ目は違う。動かされないコインをどうするか。 ここに技術的に正しい答えはない。守ろうとしている二つが正面から衝突するからだ。ネットワーク全体の安全と、個々の所有者の絶対的な財産権である。

だからこの主題の本当の重さは量子ビットの数にはない。量子コンピュータがいつかビットコインを倒すとすれば、それはおそらく暗号が破られたからではなく、間に合うように合意に至れなかったからだろう。ビットコインがこれまで難しい決定をどう扱ってきたかを思えば、今回も答えは遅く雑然とした過程の果てに出てくる。ただ今回は締め切りがあるという点が違う。