9分間の攻撃ウィンドウ、710万枚のBTCが暴露：量子脅威の下でビットコインはどのように自救するべきか
著者：Bitcoin Security Consortium、ビットコインプロトコルの長期的な安全性と安定性に取り組む業界のリーダーで構成される連盟
編纂：谷昱、ChainCatcher
Bitcoin Security Consortium の報告書で、Presidio Bitcoin と協力して完成しました。
核心要点（TL;DR）
量子コンピューティングの最近の進展は現実のものである------しかし、それは単なる漸進的なものである：Google の Willow や最近の Shor アルゴリズムの最適化などの進展は懸念を引き起こしているが、暗号学関連の量子コンピュータ（CRQC）はまだ実証されていない。
Bitcoin が量子コンピュータのリスクに直面しているのは、その署名スキームに限られ、具体的には二つの側面に現れる：攻撃を受けやすいトークンに対する静的攻撃と、メモリプール取引に対する途中攻撃である。
解決策はすでに決定されており、積極的に進められている：（1）資金を再利用されるアドレスから移動させること、（2）ポスト量子署名スキームを開発すること、（3）すでに失われた可能性のある P2PK トークンの合意問題を解決すること。
量子コンピューティングの復興？
数年の停滞の後、量子コンピューティング分野ではその進展を証明する学術論文やそれに続くヘッドラインが増え、投資家の間でビットコインの安全性に対する懸念を引き起こしている。これらのヘッドラインには以下が含まれる：
Google の Willow（2024 年 12 月）。物理的な量子ビットを追加することで、誤り訂正された「論理」量子ビットを保護することが、より信頼性を高めることを初めて証明した。
Google Quantum AI、Oratomic/Caltech および ECDSA.fail による Shor アルゴリズムの最適化（2026 年）。Google Quantum AI は Ethereum Foundation および Stanford と協力し、Shor アルゴリズムを用いてビットコインの楕円曲線を解読する回路を圧縮し、以前の推定より約 20 倍削減した。Oratomic と Caltech は、彼らの Shor アルゴリズムの最適化が数日以内に単一のビットコインの秘密鍵を解読できると考えている。最後に、プロジェクト ECDSA.fail------Eigen Labs のスコアボード------は研究者と AI エージェントを集め、数ヶ月のうちに Google の回路をさらに約 70% 縮小した。
IonQ のエンドツーエンド Shor アルゴリズム最適化（2026 年 9 月）。Shor アルゴリズムを実行するための完全なコンパイル設計図であり、ソフトウェアとハードウェアの両方に対して計算を行う------理論的には、各試行で約 26 日以内に単一の秘密鍵を解読し、成功率は 63.3% である。
Google のマジックステート育成（2026 年 10 月）。量子コンピューティングには「マジックステート」が必要であり、これは使用するたびに消費され、製造コストが高いリソース状態である。Google は Willow 上で、そのフィルタリングプロトコルがこれらの状態のエラーを約 40 倍低下させ、99.99% の論理的忠実度を実現したことを証明した。
Quantinuum の「五つの九」論理的忠実度（2026 年 10 月）。Quantinuum の Helios コンピュータは、百万回の操作ごとに 5 回のエラー（99.9995% の論理的忠実度）を発生させ、Google のデモより約 100 倍低い。コーディングスケールが拡大するたびに、エラーは 12 倍低下する（λ = 12）。
現在、暗号学関連の量子コンピュータ（CRQC）は存在しない------そしてこの技術には物理的な誤り訂正量子ビットの拡張など多くの工学的課題が残っている------なぜこれらのヘッドラインがビットコインコミュニティの関心を引くのか？ビットコインと量子コンピュータの関係は何か？探ってみましょう。
量子コンピューティングの概要
量子コンピューティングの核心は量子ビット、すなわち qubit である。0 または 1 の値を保存する古典的なビットとは異なり、qubit は量子力学の世界に特有の二つの特性を示す：
重ね合わせ：一つの qubit は同時に 0 と 1 の混合値を保存でき、測定によりこれらの値が加重確率で一つに収束する。
エンタングルメント：二つ以上の qubit は共同状態を共有でき、一つを測定すると他の値が決定される、距離に関係なく。
これらの特性により、量子コンピュータは多くの候補解を同時に探索し、誤った解を相殺することができる。しかし、物理的な量子ビットは非常に脆弱で、デコヒーレンス、すなわち量子情報の喪失が起こりやすい。これが、現在多くの企業のロードマップが最小限の論理量子ビット数を目指している理由である------論理量子ビットは複数の冗長な物理量子ビットから構築される誤り訂正量子ビットであり、エラーを検出し修正することで計算と情報を信頼できるものに保つ。
最小の物理量子ビットと論理量子ビットの比率を探すために、量子コンピュータの研究室は最も効率的なハードウェアアーキテクチャを研究しており、以下を含むがこれに限らない：
超伝導回路（Google、IBM）：絶対零度に近い温度に冷却された小さな導線リングで、電流の挙動が一つの qubit のように振る舞う。この技術は比較的速い計算時間を実現するが、その発展は遅い。
中性原子（Oratomic）：「ピンセット」と呼ばれるレーザーアレイで固定された中性の原子で、その電子が qubit として機能する。この技術は急速に拡張するが、理論的には計算時間が遅くなる。
捕獲イオン（Quantinuum、IonQ）：電磁場内でレーザーによって制御される帯電した原子------すなわちイオン；この場合、イオンの基底状態または励起状態が qubit として機能する。計算は比較的遅い；拡張速度は中程度。
フォトニクス（PsiQuantum、Xanadu）：チップや光学デバイスを通過する光子；各光子の属性が qubit として機能する。比較的速い計算時間を実現できるが、発展のタイムラインは遅いように見える。
Bitcoin の量子攻撃面
理論的には、Shor アルゴリズムを実行する暗号学関連の量子コンピュータは、ビットコインの楕円曲線デジタル署名アルゴリズム（ECDSA）を解読することができ、ネットワーク内で所有権と財産権を維持する署名スキームである------これは、取引相手に秘密鍵の所有権を証明し、秘密鍵を明らかにしない。重要なのは、ビットコインの大部分の核心的なゲーム理論と経済原則はこの攻撃面には含まれないことである。例えば、その取引合意、発行スケジュール、供給上限などである。
ビットコインの秘密鍵を攻撃することは、ネットワークに二つの攻撃面を呈示する：
長期露出または静的攻撃。再利用されるアドレスやセキュリティが低い古いアドレス（公開鍵への支払い、P2PK）にあるトークンは、すでに公開鍵を露出しており、量子コンピュータはこれらの公開鍵を利用して対応する秘密鍵を取得できる。現在、ほとんどの現代的な出力タイプに基づくアクティブアドレス------公開鍵は支出前に隠されている------はこの種の攻撃に対して容易にさらされるわけではない。しかし、Project Eleven は、約 710 万 BTC、総量の約 35% が、今日存在する能力のある量子コンピュータによって容易に盗まれる可能性があると推定している。そのうち約四分の三は再利用されるアドレスに保管されており------主に大規模な取引所に------取引所が資金を使い捨てアドレスに移動し、より良い保管実践と基準を採用すれば、リスクは軽減される。しかし、さらに 180 万 BTC が P2PK アドレスにあり、ほとんどがすでに失われたと考えられているため、安全なアドレスに移動することは実行不可能かもしれない。計算時間が速いか遅いかにかかわらず、量子コンピュータはこれらの公開鍵を利用して、一つずつ投資家の資金を保持する秘密鍵を取得することができる。
短期露出または途中攻撃。ビットコインネットワーク内のトークンは、支出されるまで公開鍵を明らかにしないため、約 10 分間の脆弱なウィンドウを形成する（より正確には、取引の提出とブロックに組み込まれる間の時間）。十分に速い量子コンピュータは、このウィンドウを利用して取引中にトークンを盗むことができる。Google は、予熱された高速量子デバイスが最速で 9 分以内に秘密鍵の計算を完了できると推定しており、これにより元々攻撃されにくいアドレスに保管されているトークンでさえ、典型的な取引を経る際に盗まれるリスクにさらされることになる。
脅威を誇張する誤解
「量子ハードウェアはすでに拡張され、準備が整っている。」現在、最も良好なデモ効果を持つシステム------Quantinuum のシステム------は 48 の誤り訂正論理量子ビットを生成している。ビットコインの楕円曲線を解読するには、少なくとも約 1,200 の量子ビットが必要である。
「量子デモは暗号学関連の量子計算を証明した。」それらはそうではない。Willow が証明したのは誤り訂正メモリであり、大規模な誤り訂正計算ではない。Google、Oratomic、IonQ の 2026 年の論文は設計図であり、稼働中のマシンではない。多くの論理量子ビット間の低エラー操作は、依然として克服すべきボトルネックである。
「すべてのビットコインは直ちに盗まれる。」ほとんどのビットコインは静的状態では攻撃されにくく、公開鍵は支出される前にハッシュの後ろに隠されている。最大の単一露出の原因------アドレスの再利用------は、現在新しい未使用アドレスに切り替えることで解決可能である。たとえ攻撃が今日来たとしても、それは単一の秘密鍵に対する試行であり、すべての攻撃されやすい供給に対するものではない。
脅威を過小評価する誤解
「Shor アルゴリズムの最適化は重要ではない。」3 月、Google は理論的にビットコイン ECDSA を解読するために必要な論理量子ビットの要求を約 20 倍圧縮し、楕円曲線に対する最適化の関心が RSA（Rivest-Shamir-Adleman）暗号システムよりもはるかに少ないことを指摘した。これは、まだ多くの最適化の余地があることを意味する。例として、ECDSA.fail プロジェクトは Google の回路をさらに約 70% 最適化した。
「それは数十年後のことだから、心配する必要はない。」最近の専門家調査によると、能力のあるマシンが 2030 年から 2035 年の間に出現する確率は約 50% であり、各国政府の目標は 2030 年代の早期から中期にかけてポスト量子移行を完了することである。Google と Cloudflare は内部の締切を 2029 年に設定している。これらの締切は、政府や企業が「先に収穫し、後に解読する」攻撃に対して防御するためにより緊急であることに注意が必要である------これは主に将来も関連する可能性のある個人情報に関わる。ビットコインは参加者が公開鍵が隠されたアドレスに移動することで自己防衛できるため、これらの締切はネットワークのベストプラクティスと見なすことができ、必然的な期限ではない。
「私たちはそれが来るのを前もって見ることができる。」突破は秘密のままである可能性があり、国家はそれを機密として扱うかもしれない。初期の盗難は散発的に見えるかもしれず、通常の保管回転や支払い取引と区別するのが難しい。
現在行われていること
現在のビットコイン保有者------取引所、機関、投資家を含む------は、量子脅威に対抗するために解決策を積極的に議論しており、優先順位は次のようになるかもしれない：
攻撃を受けやすい供給を再利用されるアドレスから未使用のアドレスに移行します。これは最も実現しやすい事項であり、ネットワークの合意やソフトフォークを必要とせず、大規模な取引所やホスティングサービス、自己管理の投資家が、より良いセキュリティプラクティスを採用することに完全に依存しています。例えば、釣り銭の出力のローテーションや、アドレスの再利用をあらゆる手段で避けることです。
ポスト量子署名スキームを設計します。これまでにBitcoin上で量子耐性を実現するための主要な提案は、BlockstreamのSHRINCS（"Shrunken SPHINCS"の略）です。これはSHA-256に基づいて構築されており、毎秒最大3件の取引を処理でき、アメリカ国立標準技術研究所（NIST）の標準SPHINCS+は0.36件に過ぎません。Blockstreamは2026年3月にLiquid Network上でこのスキームをテストし、他の貢献者と共に8月にBitcoin改善提案（BIP）を発表しました。正式なセキュリティ証明はまだ完了しておらず、全ネットワークの展開にはソフトフォークが必要です。
Bitcoinにおける攻撃を受けやすいが、おそらくすでに失われているP2PKアドレスのトークンの取り扱いについて合意を得ること。Bitcoinが今後数年で量子の脅威に直面する中で、これは最も議論の余地がある問題かもしれません。約170万BTCが約20,000のP2PKアドレスに保管されており、その中にはSatoshi Nakamotoに帰属すると推定される110万枚が含まれています。Presidio Bitcoinによれば、現在議論されている目立った選択肢は：旧式の支出を有効に保つ（量子攻撃者が"盗む"ことを許す）；旧式の支出を遅くする（攻撃を受けやすいトークンの移動速度を制限する、いわゆる"スロットリング"）；トークンを凍結し、回復の道を提供する（すべての旧式Bitcoinの支出を無効にするが、所有者がそのシードフレーズのゼロ知識証明を通じてトークンを回収できる、いわゆる"ソフトフリーズ"）。この重要なテーマについてより広範な読書を希望する場合、Presidio Bitcoinはこちらで基礎知識を説明し、更新しています。