量子コンピュータはビットコインを壊すのか — 量子ビット・誤り訂正・暗号移行

結論は「無害」でも「明日壊れる」でもありません。暗号移行には長い準備が要る一方、実用攻撃の時期を裏付ける合意された時計はありません。

古典コンピュータはbitを0または1として命令を実行します。量子コンピュータはqubitの状態へ量子gateを適用し、干渉によって望む答えの確率を高め、最後に測定します。あらゆる候補を読み出せる「無限並列計算」ではなく、答えへ至る干渉を設計できる問題だけが対象です。

ブラウザ、database、OS、branchの多いbusiness logicが量子化すれば一律に速くなるわけではありません。入力準備、error correction、測定、結果の検証には古典計算も必要です。実用的な量子systemが成立しても、CPUやGPUの代替ではなく、限定されたsubroutineを呼び出すco-processorとして組み込まれる見方が自然です。

qubitは測定前に0と1の振幅を持てますが、測定すると一つの古典的な結果だけが得られます。algorithmの仕事は、正解に対応する振幅を強め、誤答を打ち消すようにgateを並べることです。「両方を同時に試す」だけでは有用な答えを取り出せません。

量子状態は環境との相互作用で崩れやすく、gate、読み出し、待機のすべてにerrorが入ります。そのためqubitの総数だけで実用能力を比べられません。接続方式、gate fidelity、測定、error correction、algorithmの深さを一緒に見る必要があります。

physical qubitはhardware上の素子です。logical qubitは、多数のphysical qubitと繰り返し測定を使ってerrorを検出・訂正し、algorithmが扱える安定した情報単位にしたものです。暗号解読の議論で必要なのは、rawな素子数ではなく、十分な精度で長い回路を走らせられるlogical qubitとgateです。

2024年のGoogle Quantum AI主導Nature論文は、surface codeの規模を増やすほどlogical errorが下がるbelow-threshold動作を示しました。これは重要な進展ですが、暗号鍵を回復する大規模algorithmの実行実証ではありません。実験、資源推定、製品roadmap、攻撃可能なsystemを同じ段階として数えないことが重要です。

Shorのalgorithmは、十分に大規模なfault-tolerant量子計算機があれば整数の素因数分解と離散対数を多項式時間で解けます。Bitcoinが使うsecp256k1の公開鍵署名では、露出した公開鍵から秘密鍵を回復する経路になります。ECDSAだけでなく、BIP 340のSchnorr署名にも関係します。

Groverのalgorithmは、構造のない探索を理想化したquery modelで平方根に短縮します。SHA-256の探索へ影響しますが、現実のProof of Workでは可逆回路、error correction、clock、並列化、電力、古典ASICとの競争を含める必要があります。「256-bitが128-bit相当になる」と「量子minerが即座に過半数を得る」は別の主張です。

秘密鍵が回復されれば攻撃者は所有者のような有効署名を作れるため、nodeの通常検証だけでは見分けられません。一方、hash探索の優位はnetwork全体の難易度調整や競争と相互作用します。量子リスクを「暗号が破れる」の一語でまとめると、対策の対象も優先順位も見えなくなります。

したがって「一度も送金していないaddressなら安全」は一般則ではありません。出力型と、on-chain外のwallet情報を含む露出経路を確認する必要があります。hashの背後にある鍵も、支出時には通常mempoolへ現れます。

long-exposure attackは、outputに長期間見えている公開鍵を対象に、確認を急ぐ必要なく鍵回復を試みる攻撃です。P2PK・P2TR、address再利用、xpub漏えいなどが関係します。

short-exposure attackは、通常の支出がmempoolへ公開鍵と署名を出してからconfirmationされるまでに鍵を回復し、競合する支出を作る想定です。必要な計算時間が短いためより強い機械が要りますが、wallet hygieneだけでは消せません。両者を分けないと、hashで鍵を隠す対策を完全な耐量子署名と誤解します。

NISTは2024年にFIPS 203（ML-KEM）、FIPS 204（ML-DSA）、FIPS 205（SLH-DSA）を確定しました。ML-KEMは共有鍵を確立するkey-encapsulation mechanismで、Bitcoin transaction署名の直接候補ではありません。ML-DSAとSLH-DSAはdigital signature規格です。

標準が存在することとBitcoin consensusに採用済みであることは別です。署名・公開鍵の大きさ、検証cost、block weight、hardware wallet、backup、address、既存UTXOの移行を評価し、互換性とactivation方法に合意する必要があります。post-quantumは「数学上の前提が既知の量子algorithmに耐える設計」という意味で、永遠に破られない保証ではありません。

2026年8月23日時点のBIP 360はDraftです。Pay-to-Merkle-Root（P2MR）はTaprootに似たscript treeを使いながら、量子脆弱なkey-path spendを除く新しいoutput型をsoft forkで導入する案です。公開鍵を長期間outputへ置かず、long-exposure attackを緩和することが狙いです。

P2MR自体はpost-quantum signatureではなく、mempoolで露出する短時間攻撃を解決しません。BIP 360本文も、short exposureには将来のpost-quantum署名が必要になり得ると明記しています。BIP 361も移行と旧署名の扱いを論じるDraftであり、activation日や採用方式が決まったものではありません。

新しい署名を実装できても、誰がいつ移るか、古いoutputをいつまで認めるか、動かせる所有者へどう知らせるかが残ります。さらに、鍵を失ったcoin、所有者が不明なcoin、公開鍵が長く露出したcoinを、将来の攻撃者が動かせるままにするのか、旧方式を無効化して凍結するのかは、正当な所有権と供給量に触れる難しいgovernance判断です。

移行を遅らせるほど露出期間は長くなりますが、早すぎる強制移行もwallet・custody・利用者を取り残します。必要なのは単一の恐怖日付ではなく、研究の監視、crypto agility、test、段階的なwallet対応、公開されたactivation手続です。本サイトは実用攻撃が可能になる年を予測しません。

ここからは事実の要約ではなく、本サイトの見立てです。実用的なQPUが成立しても、CPU・GPU・storageを置き換える万能機ではなく、古典systemが問題を準備し、QPUが限定されたalgorithmを処理し、古典側が結果を検証するco-processorになる可能性が高いと考えます。

Bitcoinにとって重要なのは「量子の完成年」を当てることより、危険が迫ってからでは間に合わない暗号移行を、Draft・実装・wallet・合意の順に検証可能な形で進められるかです。これは現在のerror-correction研究と暗号移行の構造から導いたscenarioであり、BIP採用や実現時期の予測ではありません。