量子コンピュータによる暗号解読「Q-Day」は2029年にも、最初の標的はビットコインか

量子コンピュータが現代の暗号技術を破る日は、早ければ2029年にも訪れる可能性があり、その最初の標的はビットコインになると専門家はみている。原因は暗号技術に固有の欠陥ではなく、分散型ネットワークにおける合意形成の難しさだ。2026年3月1日時点で、流通するビットコインの34%以上がすでに公開鍵をオンチェーンに露出しており、耐量子暗号への移行をめぐる議論が急務となっている。

■炭鉱のカナリアとしてのビットコイン

量子コンピュータが現代の暗号技術を破る日がついに訪れたとき、その最初の犠牲者はビットコインになる可能性が高い。専門家は現在、その日が早ければ2029年にも訪れる可能性があるとみている。それはビットコインの暗号技術に固有の欠陥があるからではない。数千万人の仮名参加者に、手遅れになる前に合意してもらうことは、どれほどコードを書いても解決できない問題だからだ。

この見方を示したのは、量子セキュリティ企業Quantum XchangeのCEOであるEddy Zervigon氏だ。同氏は月曜日（2026年7月27日）、CoinDeskに対して厳しい見通しを語った。「暗号資産は炭鉱のカナリアだ。分散型であるため、最初の攻撃対象になる」とZervigon氏は述べた。さらに、そこで攻撃が起きているのを確認すれば、「誰かがどこかで、暗号を現実に解読できる量子コンピュータを保有していることが分かる」と付け加えた。ビットコインは単なる標的ではなく、同じ基盤の暗号技術で動く銀行、政府機関、企業ネットワークにとって、世界規模の早期警戒システムにもなる。

そのリスクの大きさはオンチェーンデータに表れている。BIP-361の提案書に記載された数値によると、2026年3月1日時点で、流通している全ビットコインの34%以上が公開鍵をブロックチェーン上に恒久的に露出させていた。現在の市場評価額では7,000億ドル（約114兆8,000億円、1ドル＝164円換算）を超える保有資産が、十分に強力な量子コンピュータが登場した時点で攻撃を受ける可能性がある。

■脅威の対象はマイニングではなく「署名」

ビットコインがなぜ危険にさらされるのかを理解するには、量子コンピュータが具体的に何を脅かすのかを知る必要がある。脅威の中心はビットコインのマイニングではない。マイニングを保護するSHA-256ハッシュ関数に対し、Groverのアルゴリズムがもたらす高速化は最大でも計算量を平方根程度に減らすもので、そのリスクは限定的で対処可能とされる。脆弱なのは、トランザクションの署名プロセスである。

ビットコイン保有者が資金を送る際、ネットワークは所有権を証明するデジタル署名を要求する。この署名は、secp256k1と呼ばれる数学的構造を用いる楕円曲線デジタル署名アルゴリズム（ECDSA）によって生成される。秘密鍵を明かさずにビットコインの所有を証明できる仕組みは、楕円曲線離散対数問題（ECDLP）を解くことの難しさに依存している。古典コンピュータでこれを破るには、推定で2の128乗回の演算が必要になる。Peter Shor氏が1997年に発表した量子アルゴリズムは、ECDLPを多項式時間で解けるため、理論上はこの途方もない計算を、十分に強力な量子コンピュータなら数分で実行できる規模にまで縮小する。

これまでの重要な条件は「十分に強力な」量子コンピュータが必要だという点だった。しかし2026年3月、その言葉の意味が変わった。

Google Quantum AIがEthereum Foundationおよびスタンフォード大学の研究者と共同執筆した重要なホワイトペーパーによると、ビットコインのECDSA署名を破るために必要な規模は、超伝導量子アーキテクチャで50万未満の物理量子ビットとされた。従来の最良の推定値である約900万量子ビットに比べ、およそ20分の1である。より正確には、研究チームはECDLP-256向けに最適化した2種類の回路を設計した。一方は約1,200論理量子ビットと9,000万個のトフォリゲート、もう一方は約1,450論理量子ビットと7,000万個のトフォリゲートを必要とする。Googleの超伝導プロセッサについて標準的な誤り訂正の前提を置くと、どちらも50万物理量子ビット以内に収まり、数分で処理を完了できる。理論上、攻撃者が承認待ちのビットコイントランザクションを捉えて秘密鍵を計算し、元のトランザクションがネットワークで確定する前に不正なトランザクションを送信できる速さだ。

Googleは実際の攻撃回路を公開していない。代わりに研究チームはゼロ知識証明を使い、回路そのものを明らかにすることなく、9,000件のランダムなテスト入力に対して回路が主張どおりに機能することを検証した。攻撃者に設計図を渡さずに結果を確認する、責任ある開示の手法である。

この水準と現在のハードウェアとの間には、依然として大きな隔たりがある。現在稼働している最先端の量子プロセッサは、おおむね1,000～2,000物理量子ビット規模で、実用的なフォールトトレランス（耐障害性）を備えていない。MicrosoftとQuantinuumによる誤り訂正の成果は、2026年6月にNature誌で独立した査読を経て、イオントラップ型ハードウェアにおける論理エラー率が従来の800分の1に低下したことを確認した。それでも、これらのシステムが備える高品質な論理量子ビットは100未満で、Googleの論文が必要とする約1,200には遠く及ばない。IBMが公表しているロードマップは、2029年までに約200論理量子ビットを目標としている。Quantinuumは2030年までに数百規模を目指しているが、いずれも必要な水準には達していない。

しかし、「まだ実現できない」ことは、もはや「実現は遠い未来」であることを意味しない。Zervigon氏は、自身の評価を裏付けるものとして、IBMのArvind Krishna氏をはじめ、量子ハードウェアに数十億ドルを投じるIBMやMicrosoftなどの幹部の発言を挙げた。こうした幹部は「2029年ごろには、商業的に意味があり、暗号を現実に解読できる量子コンピュータが登場するとおおむね考えている」という。Googleの論文の共同執筆者であるEthereum FoundationのJustin Drake氏は、2032年までに量子コンピュータがビットコインの秘密鍵を復元する確率を、個人的に10%と見積もっている。TechTimesが7月に報じたところによると、Drake氏は、この確率が論文の公表後に「大幅に上昇した」と述べた。

■Q-Dayは単一の日付ではなく「グラデーション」

市場解説では、量子の脅威を二者択一の出来事として扱うことが多い。つまり、暗号が安全か破られるかのどちらかであり、その境目には特定の日付があるという見方だ。しかし専門家は、数学的な理由からこのモデルを全面的に否定している。

「誰もが、アルゴリズムを破れるようになる瞬間について話す。しかし効果を得るために、必ずしも一瞬で破る必要はない。依然として価値のあるデータを復号するのに3カ月や6カ月かかったとしても、同じ目的を達成したことになる」とZervigon氏は語った。

この考え方に立つと、従来想定されていたリスクの時間軸は成り立たなくなる。署名を数分ではなく数週間で破る程度の部分的な量子能力でも、公開鍵が露出したビットコインウォレットにとっては現実的な脅威になる。ウォレットに関する情報は恒久的に残るからだ。2010年、2015年、あるいは2020年にブロックチェーンへ記録された公開鍵は、攻撃可能な量子コンピュータが登場した後も残っている。公開鍵に有効期限はない。

同じ論理は、「Harvest now, decrypt later（今収集し、後で復号する）」と呼ばれる攻撃にも当てはまる。攻撃者が現在の暗号化データを収集・保存し、量子ハードウェアが成熟した後で復号する手法で、耐量子暗号の文献で広く論じられている脅威モデルだ。機密通信の分野ではすでに行われている可能性が疑われている。ビットコインの場合、ブロックチェーン上で露出したすべての公開鍵が、事実上すでに収集済みであるため、特に懸念が大きい。将来、暗号を現実に解読できる量子コンピュータを手にした攻撃者は、リアルタイムで情報を傍受する必要がない。必要なデータは何年も前から公開台帳上に存在している。

■ガバナンスの壁：ビットコインと他システムの違い

ここで自然に浮かぶ疑問は、「脅威が現実のもので、想定される時期も近づいているなら、なぜ組織は準備していないのか」というものだ。ほとんどの中央集権型システムについていえば、答えは「すでに準備している」である。

JPMorganは、暗号インフラを更新する前に、数百万人の仮名ステークホルダーを集めて公開討論を開く必要はない。必要なのは取締役会の決議、予算、そしてベンダーだ。ホワイトハウスは、2028年までに強力な量子コンピュータを開発し、2030年までに重要性の高い連邦政府の資産とデータを耐量子暗号へ移行する目標を発表した。鍵確立システムは2030年後半までに、デジタル署名は2031年までに対応することが求められている。トランプ大統領は6月、米国の量子技術開発と連邦政府の移行期限をともに加速させる大統領令により、この日程をさらに推進した。Appleは2024年にiMessageのハイブリッド型耐量子暗号への移行を完了し、Signalは2023年に耐量子鍵交換を実装した。

ビットコインは、同じようには対応できない。ビットコインのコンセンサスルールを更新するには、ネットワークのマイナー、ノード運用者、開発者、経済的ステークホルダーによる圧倒的多数の合意が必要になる。arXivの論文「Downtime Required for Bitcoin Quantum-Safety」によると、ビットコインは歴史的に、その基準をマイナーの90%の合意としてきた。ビットコインが前回、この規模の主要なプロトコル更新に取り組んだのは、2017年のSegWit導入時だった。対立は何年も続き、開発者グループ間の法的措置を示唆する応酬に発展し、最終的にはBitcoin CashやBitcoin Goldを含む複数の競合チェーンへの分裂につながった。

耐量子暗号への移行は、SegWitよりはるかに大きな変更になる。既存のすべてのビットコインアドレスとトランザクションを支える署名方式を廃止し、数億件のUTXO（未使用トランザクション出力）を移行したうえで、自力では移行できないコインをどう扱うかについて明確な合意を形成する必要がある。

Deutsche Digital Assetsは7月23日に公表した文書で、この問題を次のように表現した。「大規模な金融機関は、分散型のパブリックブロックチェーンよりも速く、目立たず、予測可能な形で耐量子標準へ移行できるし、実際に移行するだろう。これはビットコインを否定する議論ではない。ビットコインのガバナンスプロセスを真剣に捉えるべきだという議論である」

学術文献も、具体的なリスク評価の枠組みによってこの見方を補強している。暗号学者Michele Mosca氏にちなんで名付けられた「Moscaの定理」は、X＋Y＞Zとなった場合、移行を急ぐ必要があるとする。Xは移行に必要な年数、Yは保護対象のデータを安全に保つ必要がある年数、Zは暗号を現実に解読できる量子コンピュータが登場するまでの推定年数である。耐量子暗号に関する文書で示されているこの枠組みをビットコインに当てはめると、SegWitの前例からXは5～7年以上になる可能性がある。オンチェーンデータには有効期限がないため、Yは事実上無期限だ。Zは現在、3～6年と推定されている。この定理に従えば、ビットコインの移行可能な期間はすでに尽きている可能性がある。

■進行中の防衛策：BIP-360とBIP-361

ビットコインの開発者コミュニティが何もしてこなかったわけではない。現在、2つの重要な提案が活発に議論されており、そのうち1つはすでに正式にリポジトリへマージされている。

2026年2月11日に公開され、ビットコインの公式改善提案リポジトリにマージされたBIP-360は、ネットワーク初の耐量子アドレスタイプを導入する。Pay-to-Merkle-Root（P2MR）と呼ばれる新しい出力形式で、NISTが承認した格子暗号ベースの署名方式ML-DSAを使用する。重要なのは、トランザクション時にも公開鍵をオンチェーンに露出させない点だ。新たに作成したウォレットでP2MRアドレスを使えば、現在の流通量の34%以上に影響している量子脆弱性を回避できる。

より難しいのは、すでに公開鍵が露出しているコインをどう扱うかという問題だ。開発者のJameson Lopp氏と5人の共同執筆者が2026年4月14日に公開したBIP-361は、正式には「Post Quantum Migration and Legacy Signature Sunset」と題され、この問題への一つの回答を提示している。しかし、その内容は大きな論争を呼んでいる。

BIP-361は、ビットコインの既存の署名方式を2段階で廃止する案を示している。発効から約3年後に始まるフェーズAでは、量子攻撃に脆弱なアドレスタイプを宛先とする新たな出力を、ネットワークが受け付けなくなる。フェーズBでは、従来のECDSA署名とSchnorr署名の検証をコンセンサス層で完全に無効化する。期限までに移行されなかったビットコインは、事実上使用不能になる。

対象には、初期のPay-to-Public-Key（P2PK）出力にロックされている約170万BTCも含まれる。これらは設計上、公開鍵を露出するビットコイン創成期のコインで、サトシ・ナカモトのものと広く推定される約110万BTCも含まれている。現在の評価額では約700億ドル（約11兆4,800億円、1ドル＝164円換算）に相当する。これらのコインは、保有者が不明、所在不明、または死亡しているため、ほぼ確実に永久にアクセスできないとみられる。BIP-361の考え方では、量子攻撃者に奪われる前に凍結されることになる。これに対し批判者は、まだ誰にも盗まれていないコインを凍結することもプロトコルによる没収であり、秘密鍵の保有が無条件の所有権を意味するというビットコインの基本原則に反すると主張している。

Lopp氏自身も、この問題の難しさを認めている。同氏はXへの投稿で、KuCoinの報道でも確認された発言として、「この提案が好まれていないことは分かっている。私も好きではない。それでも書いたのは、代わりに起こり得ることがさらに嫌だからだ」と述べた。市場はBIP-361を緊急事態というよりガバナンス上の議論として受け止めているようだ。Polymarketでは、サトシが2026年中に資金を移動する確率が約9%に上昇しており、平常時より高いものの、切迫した警戒を示すほどではない。

2026年時点で、耐量子暗号への全面的な移行を完了した主要な分散型台帳技術プラットフォームは存在しない。

■集団行動に向けたGalaxy Digitalの500万ドル

2026年7月21日、Galaxy Digitalは「Bitcoin Quantum Readiness Initiative」を発表した。開発者向け助成金、研究資金、暗号技術および量子コンピューティングの専門家で構成する諮問委員会に、最大500万ドル（約8億2,000万円、1ドル＝164円換算）を投じるプログラムだ。この取り組みは量子コンピュータへの備えを、単一の開発チームや企業では解決できない集団的な問題として明確に位置づけている。機関投資家の資金が、ガバナンス上の課題を受動的に見守るのではなく、積極的な投資を必要とする問題として扱い始めたことも示している。

Galaxyの諮問委員会メンバーであるBarry Sanders氏は、政府や主要産業がすでに対応へ動き始めていると指摘した。その発言は、ビットコインのエコシステムには、他者の対応ペースに追随するだけの余裕はないことを示唆している。

この問題を覆う皮肉は、ビットコインの構造そのものにある。中央集権的な権力に抵抗し、変更にほぼ全体の合意を求めるビットコインの設計上の最大の成果が、予告なく動ける攻撃者が1人いれば成立する暗号上の脅威に対し、ビットコインを最初の犠牲者にする可能性を高めている。量子攻撃者には取締役会の決議も、規制当局への通知も必要ない。公開鍵を露出するトランザクションを待ち、攻撃を実行するだけでよい。

■自身のビットコインが露出しているか確認する方法

すべてのビットコインが同じ程度のリスクにさらされているわけではない。特定のウォレットが脆弱かどうかは、アドレスや出力の形式とトランザクション履歴によって異なる。

Pay-to-Public-Key（P2PK）出力は、65バイトまたは33バイトの圧縮形式の公開鍵を含み、送信トランザクションがなくても完全な公開鍵を設計上露出させる。ビットコインの最初の2年間に採掘されたコインの多くがこれに該当し、最も直接的に脆弱なカテゴリーである。

Pay-to-Public-Key-Hash（P2PKH）およびSegWitアドレスは、資金が使用されるまで公開鍵をハッシュ値の背後に隠している。しかし、そのようなアドレスからビットコインを送信すると、公開鍵はブロックチェーン上に恒久的に露出する。あるウォレットアドレスを送金元として使用したことがあれば、そのアドレスの公開鍵はすでに公開されている。

比較的新しいTaprootアドレスには、支出時に公開鍵を露出するキーパスがある一方、特定の構成で使われる内部キーパスによる支出では公開鍵を見えにくくできる。個々のTaproot出力が量子攻撃に対して脆弱かどうかは、どのように構成され、使用されたかによって決まる。

最も単純で実践的な目安は、あるアドレスからビットコインを送信したことがあれば、そのアドレスの公開鍵はオンチェーンに存在し、暗号を現実に解読できる量子コンピュータが登場した後には、理論上のリスクにさらされるということだ。BIP-360が有効化され、ウォレットソフトウェアが対応した後に資金をP2MRアドレスへ移行すれば、それ以降の公開鍵の露出を回避できる。

■注目ポイントQ&A

●量子コンピュータは今すぐビットコインを破ることができるのか？

いいえ。現在の量子ハードウェアは、おおむね1,000～2,000物理量子ビットが上限で、実用的なフォールトトレランスを備えていません。ビットコインの楕円曲線暗号を破るには、最も楽観的な工学上の前提でも推定50万物理量子ビットが必要です。現在の規模を少なくとも1～2桁上回ります。Google、IBM、Ethereum Foundationの専門家による見積もりに基づくと、意味のあるリスクが生じる時期は2029～2032年です。リスクはゼロではありませんが、明日起こるというものでもありません。

●なぜビットコインは銀行の暗号システムよりも脆弱なのか？

どちらも楕円曲線暗号という同じ基礎数学に依存し、同じ量子攻撃の脅威に直面しています。違いは対応に必要な時間です。銀行はIT部門に指示し、次の四半期に新しい標準を導入できます。ビットコインに必要なのは、憲法改正に近いプロセスです。取締役会もCEOも停止スイッチも存在しないネットワークで、コミュニティによる議論、開発者からの提案、歴史的に90%の合意を必要としてきたマイナー間の調整を、数年かけて進めなければなりません。2017年のSegWitアップグレードではコミュニティが分裂し、複数の競合チェーンが生まれました。それでも、既存のすべての署名方式を廃止する変更に比べれば、影響ははるかに小さいものでした。

●BIP-360とは何か、ビットコイン保有者は今何をすべきか？

BIP-360は、Pay-to-Merkle-Root（P2MR）と呼ばれる新しい耐量子ビットコインアドレスタイプを導入する提案です。NISTが承認した格子暗号ベースの署名を使用し、公開鍵をオンチェーンに露出させない仕組みです。2026年2月にビットコインの提案リポジトリへマージされましたが、ネットワーク上ではまだ有効化されていません。保有者は現時点では、一般的なウォレットでBIP-360アドレスを作成できません。当面取れる実践的な対応は、アドレスの再利用を避け、今後、支出によって公開鍵を露出させるアドレスの数を抑え、ウォレットソフトウェアによる対応が始まるのに合わせてBIP-360の有効化状況を確認することです。Moscaの定理が示すより重要な意味は、耐量子アドレスを有効化し、普及させるためのガバナンスプロセスを直ちに本格化させる必要があるということです。ビットコインの過去のプロトコル変更を踏まえると、コミュニティが合意した後でさえ、実施には数年かかる可能性があります。

●ビットコインが「カナリア」なら、それが倒れたとき他のシステムはどうなるのか？

ビットコインウォレットに対する量子攻撃が確認されれば、誰かがどこかで、暗号を現実に解読できる量子コンピュータを構築した決定的な証拠になります。そのシグナルは、世界の金融システム全体に緊急対応を促すでしょう。銀行の通信、TLSで暗号化されたインターネット通信、政府の認証システム、企業のセキュリティインフラは、いずれも同じ楕円曲線暗号やRSAを基盤としています。違いは、中央集権型の組織なら、シグナルを受けてから数カ月で移行できる可能性があることです。ビットコインのガバナンスプロセスは、それほど速く対応できません。カナリアの役割は警告を発することです。他のシステムが同じ脅威にさらされる前に、その警告を受けて行動できるかどうかは別の問題であり、各組織は現在、そのための準備を進めています。

元記事: Bitcoin Faces Quantum Countdown: Q-Day Governance May Fail Before Cryptography Does