ブラックロックやコインベースなど、ビットコインの量子脅威対策に1500万ドルの基金を設立

ブラックロックやコインベースなど9つの機関投資家・企業が、量子コンピューティングの脅威からビットコインを保護するための「Bitcoin Security Consortium」を設立した。3年間で1500万ドル（約24億6000万円）を拠出し、研究やオープンソース開発を支援する。Googleの最新研究により量子脅威のタイムラインが前倒しされる可能性が示唆される中、業界は対応を急いでいる。

■機関投資家らが結集

2026年7月23日、ビットコインの最も強力な機関投資家・企業9社が「Bitcoin Security Consortium（ビットコイン・セキュリティ・コンソーシアム）」の設立を発表した。量子コンピューティングの脅威の加速からネットワークを保護することを目的とした研究およびオープンソース開発に、3年間で合計1500万ドル（約24億6000万円、1ドル=164円換算）を拠出すると誓約している。この発表はCoinDeskによって最初に報じられ、同日に公開されたStrategyのプレスリリースによって確認された。

設立メンバーは、機関投資家によるビットコイン活動の主要な全カテゴリーにまたがっている。資産運用会社のブラックロック（BlackRock）とフィデリティ・デジタル・アセット（Fidelity Digital Assets）、取引所およびカストディ運営のコインベース（Coinbase）とアンカレッジ・デジタル（Anchorage Digital）、イノベーション企業のARK Investとギャラクシー（Galaxy）、インフラ構築のブロックストリーム（Blockstream）とブロック（Block）、そしてソフトウェア企業から企業向けビットコイン財務部門へと転身し、84万7000BTC以上を保有する世界最大の機関投資家であるStrategyだ。

この発表の前日には、ギャラクシーが独自に500万ドル（約8億2000万円）規模の「Bitcoin Quantum Readiness Initiative（ビットコイン量子対応イニシアチブ）」を発表しており、耐量子署名、ウォレット移行ツール、セキュリティ監査を対象としている。この500万ドルがコンソーシアムの総額1500万ドルに含まれるかどうかは明らかにされていない。

■なぜ4600億ドルがすでに危険にさらされているのか

ビットコインのセキュリティは、特定の数学的関係に依存している。公開鍵から秘密鍵を導出するには、secp256k1曲線上の楕円曲線離散対数問題を解く必要があり、これには古典的コンピュータで2の128乗オーダーの演算が要求されるため、事実上不可能である。リスクが生じるのは、ビットコイン保有者がトランザクションを送信した時だ。送信により、その公開鍵はブロックチェーン全体に永久にブロードキャストされる。

この露出は取り消すことができない。2012年にオンチェーンに記録された公開鍵は今日もそこに残っており、無期限に残り続ける。つまり、ショアのアルゴリズム（Shor's algorithm）を実行できる十分に強力な量子コンピュータを備えた将来の攻撃者が、それを利用できる状態にあるということだ。ショアのアルゴリズムは楕円曲線離散対数問題を多項式時間で解くため、公開鍵から秘密鍵を導出することが可能になる。

BIP-361の提案テキストによると、2026年3月時点で、流通している全ビットコインの34%以上（約650万〜700万BTC）の公開鍵がオンチェーンに永久に記録されていた。1コインあたり約6万6000ドル（約1082万円）の価格で計算すると、リスクにさらされている推定価値は4600億ドル（約75兆4400億円）を超える。

この露出は2つのカテゴリーに分類される。約192万BTCは、設計上公開鍵が露出するPay-to-Public-Key（P2PK）アドレス形式に置かれており、これにはビットコインの偽名の作成者であるサトシ・ナカモトのものと広く信じられているアドレスの約110万BTCが含まれる。さらに412万BTCは、アドレスの再利用や、鍵をブロードキャストした過去のトランザクションを通じて運用上露出している。（この構造的および運用上の内訳は、Glassnodeが報告し、BIP-361提案で引用されたオンチェーン分析に基づいている。）

これは、暗号学者が「今すぐ収集し、後で解読する（harvest now, decrypt later）」リスクと呼ぶものを生み出す。戦略的動機を持つ国民国家や資金豊富な攻撃者が、暗号学的に関連性のある量子コンピュータが将来利用可能になった際の解読攻撃に備えて、今日ブロックチェーンからビットコインの露出した公開鍵を収集している可能性がある。露出した鍵はすでに世に出ている。問題は、それを悪用するためのハードウェアがいつ登場するかということだけだ。

■Googleの3月の論文がタイムラインをどう変えたか

コンソーシアムの設立は、Google Quantum AIが2026年3月30日に発表した研究論文と切り離すことはできない。イーサリアム財団のジャスティン・ドレイク（Justin Drake）氏やスタンフォード大学の研究者らと共同で、Googleのチームはビットコインのsecp256k1曲線に対してショアのアルゴリズムを実行するためのハードウェア要件の改訂見積もりを作成した。

以前の最良の見積もり（2023年の研究者ダニエル・リティンスキー氏によるもの）では、約900万個の物理量子ビットが必要とされていた。Googleのチームは、50万個未満の物理量子ビットで同じ結果を達成する回路最適化を特定した。これは、必要なハードウェア規模の約20分の1への削減を意味する。

この影響は2つの側面で重要だ。第一に、必要な量子ビット数が減るということは、エラー率と量子ビット数の改善が重なり合うエンジニアリング曲線上で進むため、有能な量子マシンが以前の見積もりよりも早く実現可能になる可能性があるということだ。第二に、Googleの論文は攻撃の実行時間を数日ではなく数分と見積もり、超伝導量子ビットアーキテクチャであれば、ビットコインネットワークの10分間のブロック時間内に鍵を破る可能性があると指摘した。これにより、理論的な「オンスペンド攻撃（on-spend attack）」のシナリオが開かれる。トランザクションがメンプール（mempool）に入った瞬間にそれを傍受し、トランザクションが承認される前に秘密鍵を導出し、競合する不正なトランザクションをブロードキャストするというものだ。

現在、この攻撃を実行できる量子コンピュータは存在しない。Googleは論文発表後、社内のポスト量子暗号移行目標を2029年に設定した。一方、Project Elevenの2026年の脅威レポートでは、有能なマシンが実際にビットコインの暗号を破る可能性のある日（Q-Day）を、ベースラインで2033年、早期シナリオで2030年、遅延シナリオで2042年と予測している。Googleの論文の共著者であるジャスティン・ドレイク氏は、2032年までに量子コンピュータがビットコインの秘密鍵を復元する確信度が大幅に高まったと述べ、その結果が起こる確率を少なくとも10%と見積もった。

投資運用会社バーンスタイン（Bernstein）の2026年4月のレポートは、ビットコインがポスト量子セキュリティのアップグレードを完了するまでに約3〜5年の猶予があると推定している。

■BIP-360が脆弱性をどう排除するか

量子露出に対する実践的なエンジニアリングの対応は、ビットコインの最新の主要アップグレードであるTaproot（タップルート）がなぜ依然として鍵を露出させたままにしているのかを理解することから始まる。Taprootのトランザクションは、内部公開鍵とスクリプト条件のマークルルート（Merkle root）の両方にコミットする。内部鍵はオンチェーンのコミットメントから導出可能であるため、永久に読み取り可能なままであり、対応する秘密鍵を計算できる量子攻撃に対して永久に脆弱なままである。

2026年2月11日に公開され、ビットコインの公式リポジトリにマージされたBitcoin Improvement Proposal 360（BIP-360）は、bc1zアドレスエンコーディングを使用するSegWitバージョン2の出力として、Pay-to-Merkle-Root（P2MR）と呼ばれる新しい出力タイプを導入する。Taprootとの主な違いは、P2MRがスクリプトツリーのマークルルートにのみコミットすることだ。出力が作成された時点ではオンチェーンに公開鍵は表示されない。つまり、長期的な露出を狙う量子攻撃は、作成時点では標的を持たない。特定のスクリプトパスの支払い（spend）が実行された場合にのみ鍵が明らかになり、その特定の支払いに使用されたリーフキー（leaf key）のみが表示され、ウォレットの完全な鍵構造は表示されない。

これにより、P2MRは完全な暗号の置き換えではなく、構造的な移行のレールとなる。提案の著者であるハンター・ビースト（Hunter Beast）、イーサン・ハイルマン（Ethan Heilman）、イザベル・フォクセン・デューク（Isabel Foxen Duke）の各氏は、これを「第一歩」と明言しており、P2MRフレームワーク内にML-DSA（2024年8月にNISTによってFIPS 204として標準化されたCRYSTALS-Dilithiumとしても知られる）などの耐量子署名スキームを階層化することを意図した付随提案がある。

トレードオフは現実的なものだ。ML-DSA署名は約3,293バイトであり、シュノア（Schnorr）署名の64バイトと比較して、トランザクションの重みが50倍以上に増加し、ブロックスペースと手数料に直接的な影響を与える。BTQ Technologiesは2026年3月にテストネット実装（Bitcoin Quantum testnet v0.3.0）をリリースし、50以上のマイナーを集め、10万以上のブロックを処理した。これにより、メインネットでのアクティベーションの議論が始まる前に、設計の機能的検証が提供された。

■BIP-361の提案内容と、それが物議を醸す理由

付随する提案であるBIP-361（正式名称「Post Quantum Migration and Legacy Signature Sunset（ポスト量子移行とレガシー署名のサンセット）」）は、2026年4月14日にGitHubで公開された。共同著者は、ジェイムソン・ロップ（Jameson Lopp、Casa CTO）、クリスチャン・パパタナシウ（Christian Papathanasiou）、イアン・スミス（Ian Smith）、ジョー・ロス（Joe Ross）、スティーブ・ベイル（Steve Vaile）、ピエール＝リュック・ダレール＝ドゥメール（Pierre-Luc Dallaire-Demers）の各氏である。

BIP-361は、BIP-360が意図的に避けたより困難なステップを踏み出している。レガシーで量子に対して脆弱なアドレスにあるコインの保有者が、量子安全なフォーマットに移行しなければならない5年間の段階的なタイムラインを提案しているのだ。提案の最終段階では、移行に失敗したコインは永久に凍結され、量子攻撃者による盗難を防ぐために使用不可能にされる可能性がある。ロップ氏は、560万の休眠BTCが量子攻撃の犠牲になるのを見るくらいなら、凍結されるのを見たいと述べている。

この提案は、コミュニティから即座に激しい反発を招いた。批判者たちは、これを権威主義的な没収であり、ビットコインの財産権の原則に対する違反だとレッテルを貼った。議論は休眠コイン、特にサトシ・ナカモトのものと広く考えられている約110万BTC（現在約740億ドル＝約12兆1360億円相当）を含む、古いPay-to-Public-Keyアドレスにある推定170万BTCをめぐって激化した。これらのコインは、秘密鍵を持つ者が生きていないか、送金を開始するために連絡を取ることができないため、移行することができない。

ブロックストリームのCEOであり、ビットコインの発明以前から活動していたサイファーパンクであるアダム・バック（Adam Back）氏は、この緊急性の枠組みに反発した。2026年4月にBloombergの取材に対し、現在の量子ハードウェアは「極めて初歩的」であると述べ（これまでに実行された最も複雑な計算は21を7と3に因数分解することだと説明）、ビットコインに対する現実的な量子脅威は20年から40年先であると主張した。バック氏は準備に反対したわけではない。プロトコルレベルでの強制的な凍結ではなく、約10年かけた任意かつ段階的な移行が適切な対応であると主張したのだ。約20名からなるブロックストリーム自身の研究チームは、すでにビットコインのサイドチェーンであるLiquid Networkにポスト量子署名を展開し、実験場としている。

議論はロップ氏とバック氏を超えて拡大している。バイナンス（Binance）の創業者であるチャンポン・ジャオ（Changpeng Zhao）氏は、2026年6月18日のGalaxy Brainsポッドキャストで、6〜12ヶ月の移行猶予期間を設け、その後サトシのコインやその他の休眠ビットコインをプロトコルフォークによって凍結することを提案した。ただし、そのような行動はコミュニティによって承認されたフォークを必要とし、いかなる企業による一方的な決定でもないことを強調した。BitwiseのCIOであるマット・ホーガン（Matt Hougan）氏は、凍結と「なるようになる」というアプローチの両方を拒否し、代わりにCastle Island Venturesのパートナーであるニック・カーター（Nic Carter）氏の提案への支持を表明した。これは、歴史的な電子記録を通じて所有権が証明されるまで、サトシのビットコインを法的な信託に置くというものだ。

コンセンサスは存在しない。明らかなのは、BIP-361がビットコインがこれまで直面したことのない問題を突きつけているということだ。ネットワークは、伝統的な財産権の保証と、所有者が永久に不在のコインに対する量子セキュリティの保証を同時に果たすことはできない。

■共同基金ではなく、協調的な対応

Bitcoin Security Consortiumは、ビットコインのガバナンスにおける政治的な地雷を避けるように意図的に構成されている。1500万ドルを共有の財務部門にプールするのではなく、各メンバーが支援したいと選択した開発者、研究者、または非営利団体に独自の拠出を独立して向ける。このグループは、ビットコインのガバナンスやプロトコルの決定におけるいかなる役割も明確に排除しており、BIP-360、BIP-361、またはいかなるプロトコル変更の提案に対しても立場をとらない。

日常的な調整は、ビットコインのオープンソース開発者に資金を提供する非営利団体Brinkのエグゼクティブディレクターであるマイク・シュミット（Mike Schmidt）氏が担当し、ボランティアとして務めることに同意した。

「Bitcoin Coreの開発者は信じられないほど重要な仕事をしており、当社やこのグループの他の企業が、ビットコインの長期的なセキュリティニーズをサポートするために多額の追加資金を提供できるようになったことを嬉しく思います」と、ブラックロックのデジタルアセット担当グローバルヘッドであるロバート・ミッチニック（Robert Mitchnick）氏は述べた。

コンソーシアムが発するシグナルは、その金額の合計よりも間違いなく重要である。その金額は、数千億ドル規模のビットコイン関連資産を管理または保有する9社全体で年間500万ドルに相当する。ブラックロックはすでに、iShares Bitcoin Trust ETFの提出書類において、量子コンピューティングを正式なリスク要因として挙げていた。コインベースは2026年1月に独立した量子コンピューティング諮問委員会を設立し（テキサス大学の量子コンピューティングのパイオニアであるスコット・アーロンソン（Scott Aaronson）氏を招き入れた）、2026年4月に51ページのレポートを発表して、攻撃は差し迫っていないものの、ポスト量子暗号への移行は直ちに開始すべきだと結論づけた。

コンソーシアムの2日前に独自の500万ドルのイニシアチブを立ち上げた企業の創業者であり、ギャラクシーのCEOであるマイク・ノボグラッツ（Mike Novogratz）氏は、このイニシアチブを実践における機関としての説明責任であると位置づけた。「デジタル資産分野のリーダーとして、量子コンピューティングがビットコインにもたらす潜在的な脅威に対する解決策の一部を支援することが重要だと考えています」と同氏は述べた。

Capriole Investmentsの創業者であるチャールズ・エドワーズ（Charles Edwards）氏は、市場向けのデータポイントを追加した。ビットコインに対する彼の独自の「量子割引要因（quantum discount factor）」は30%に達しており、量子コンピューティングをネットワークの単一の最大の長期的技術的脅威であると説明した。

■米国政府の期限がビットコイン保有者に意味するもの

コンソーシアムに関するほとんどの報道に欠けている側面の1つは、規制の文脈である。2026年6月22日、トランプ大統領は「高度な暗号攻撃に対する国家の保護（Securing the Nation Against Advanced Cryptographic Attacks）」という大統領令14412号に署名し、すべての連邦機関に対し、鍵確立については2030年12月31日までに、デジタル署名については2031年12月31日までに、価値の高いシステムをポスト量子暗号に移行するよう指示した。以前の政府全体の期限は2035年であったが、この命令はそれを4〜5年前倒しした。これは、敵対者が将来の解読のためにすでに暗号化されたデータを収集している可能性があるという米国政府自身の評価を反映している。

この命令はまた、連邦政府の請負業者に対し、2030年末までにNISTのポスト量子連邦情報処理標準（Federal Information Processing Standards）に準拠することを求めている。アナリストは、これがビットコインのカストディアンや取引所運営者を含むより広範な金融セクターに波及すると予想しており、そのうちの数社はコンソーシアムの9社の設立メンバーに含まれている。

ビットコイン保有者にとっての実践的な意味合いは、彼らの資金が直ちに危険にさらされているということではない。現在、暗号学的に関連性のある量子コンピュータは存在しない。しかし、大統領令の2030年の期限は、バーンスタインのレポートによる3〜5年の移行期間の見積もりや、Project Elevenの2030年の早期シナリオQ-Dayと相まって、圧縮されたタイムラインを生み出している。ハードウェアの脅威が確認されるまで行動を起こすのを待つビットコイン保有者は、いざ必要になった時に、業界の移行インフラ（更新されたウォレット、取引所のサポート、明確なBIPのアクティベーション）がまだ構築中であることに気づくかもしれない。

■ビットコインは実際に移行を成功させられるか

ポスト量子移行の核心的なエンジニアリングの課題は暗号学的なものではない。NISTは2024年8月に3つのポスト量子署名標準（ML-DSA/CRYSTALS-Dilithium、ML-KEM/CRYSTALS-Kyber、SLH-DSA/SPHINCS+）を最終決定しており、ビットコインの開発者コミュニティにはBIP-360とBIP-361という候補提案がある。課題は調整である。ビットコインの署名スキームへのいかなる変更も、マイナー、ノード運営者、ウォレット開発者、取引所、カストディアン、そしてユーザーからの合意を必要とする。これは、技術的な要求がより低いアップグレードでさえ、歴史的に何年もかかってきた調整プロセスである。

BIP-360はマージされたドラフトである。リポジトリへの含まれ方は、それが正式な議論のための文書基準を満たしていることを示すものであり、アクティベーションが差し迫っている、あるいは支持されていることを示すものではない。BIP-361は全く受け入れられておらず、コミュニティからの実質的な反対に直面している。どちらの提案にもアクティベーションのタイムラインはない。

コンソーシアムの資金提供戦略（プロトコルの結果を規定するのではなく、個々の開発者や研究者を支援すること）は、将来のアクティベーションプロセスが必要とする技術インフラ（実用的な実装、セキュリティ監査、ウォレット移行ツール、保有者が資金を移動するためのテストされた経路）を構築するように設計されている。2026年に大幅に圧縮されたタイムラインに対して、このアプローチが十分に早く結果を出せるかどうか、それが3年間で1500万ドルが使われる目的である。

■注目ポイントQ&A

●量子コンピュータは今日ビットコインを破ることができますか？

ビットコインの暗号を破ることができる量子コンピュータは現在存在しません。最も楽観的で信頼できる見積もり（Project Elevenの2026年の脅威レポート）では、Q-Dayを早期シナリオで2030年、ベースラインで2033年、遅延シナリオで2042年まで延長しています。変化したのはリソースの見積もりです。Googleの2026年3月の研究論文は、必要な物理量子ビット数を以前の2023年の見積もりと比較して約20分の1に減らし、有能なマシンをエンジニアリングの観点からより身近なものにしました。ビットコインの開発者コミュニティと機関投資家は、このタイムラインの圧縮を行動を起こす十分な理由として扱っています。

●私のビットコインに対する「今すぐ収集し、後で解読する」リスクとは何ですか？

ウォレットからビットコインを送信したことがある場合、あなたの公開鍵はブロックチェーンに永久にブロードキャストされています。その公開鍵を削除することはできません。国民国家を含む洗練された攻撃者は、今日これらの公開鍵を収集して保存し、将来の量子コンピュータが対応する秘密鍵を導出するのを待っている可能性があります。これは、移行の緊急性がQ-Dayの到来時期だけでなく、暗号の露出がすでに発生しているという事実によって決定されることを意味します。アドレスからトランザクションをブロードキャストしたことがない（そこから支払いをしたことがないため）保有者は、まだ鍵を露出していません。アドレスから支払いをしたことがある保有者は、その鍵が将来の量子攻撃者に対して潜在的に脆弱であると見なすべきです。

●量子リスクを減らすために、ビットコイン保有者は今すぐ何ができますか？

短期的には、最も実践的なステップは以下の通りです。これまで公開鍵が露出したことのないアドレス（つまり、まだ支払いが行われていない新しいアドレス）に資金を移動すること、アドレスの再利用を避けること、そしてBIP-360のサポートが進展するにつれてウォレットプロバイダーのガイダンスに従うことです。P2MRアドレスは、利用可能になりウォレットに採用されれば、スクリプトパスの支払いが発生するまでオンチェーンに公開鍵が存在しないため、作成時から長期的な露出保護を提供します。より困難な問題は、永久に露出したレガシーアドレスから資金を移動することであり、BIP-361の移行タイムラインはこれを奨励するように設計されています。これらの提案がアクティベーションに進むまで、保有者は自身の資金をより露出の少ないアドレス形式に移動する責任を負います。

●Bitcoin Security Consortiumは、ビットコインのプロトコルがどのように進化するかを制御しますか？

いいえ。コンソーシアムは設立時に、ビットコインのガバナンスやプロトコルの決定におけるいかなる役割も明確に放棄しました。BIP-360、BIP-361、またはその他の提案されたプロトコル変更について立場をとることはありません。その機能は、ビットコインのセキュリティ、特にポスト量子暗号に焦点を当てている開発者、研究者、およびオープンソースプロジェクトに資金を提供することです。コンソーシアムの設立発表で確認されたように、プロトコルの決定は、BIPプロセスに従って、マイナー、ノード運営者、開発者、およびユーザーからなるビットコインの分散型コミュニティに委ねられています。

元記事: BlackRock, Coinbase Launch $15M Fund to Harden Bitcoin Against Quantum Threat