Cryptopolitanは、量子コンピューティングが2035年までにビットコインを破る可能性があるかどうかについて、ニュースレター読者を対象に調査を実施した。この問いは、7月28日に未公開のAIモデルが耐量子署名スキームの欠陥を発見したことで、より緊急性を帯びている。この脆弱性は、2年間にわたる専門家によるレビューでも見逃されていたものである。この発見に量子コンピューターは関与していない。本レポートでは、ビットコインの基盤となる暗号アーキテクチャ、量子コンピューティングがBTCにもたらす具体的な脅威、そしてAI主導の暗号解読の突破口が量子リスクのタイムラインに新たな次元をもたらす理由を考察する。

読者の立ち位置

「おそらく破るだろう」と回答した層と「2030年以前」に破られると回答した層を合わせると、47%の読者が今後9年以内にビットコインに対する量子攻撃の突破は現実的であると見なしている。実際の量子ハードウェアで破られた最大の楕円曲線鍵は現在も15ビットのままであり、これは4月にProject ElevenのQ-Day Prizeを獲得したと主張する研究者によって達成された。対照的に、ビットコインの鍵は256ビットである。9年以内にこのギャップを埋めるには、並外れたペースでのエンジニアリングの進歩が必要となる。読者の約3分の1が現在これを現実的な可能性とみなしている。

BTCにとって実際のリスクとは何か

ビットコインはデータの暗号化を行わない。ネットワーク上のすべてのトランザクションは誕生以来、公開されてきた。ビットコインが行うのは署名とハッシングという、まったく異なる量子脅威プロファイルを持つ2つの数学的処理である。

署名メカニズムが露出しているコンポーネントである。ビットコインを使用する際、ウォレットはsecp256k1と呼ばれる楕円曲線暗号を使用して、所有権を証明する署名を生成する。ビットコインはECDSA（ローンチ時から）とSchnorr（2021年以降）の2つの署名方式を採用してきた。どちらも、公開鍵から秘密鍵を導出することは計算上不可能であるという基礎的な前提に依存している。

Shorのアルゴリズムはこの前提に直接挑戦する。十分な規模の量子コンピューターがあれば、対応する公開鍵から秘密鍵を逆算できる。3月、Googleの研究者らは推定値を発表し、必要な要件を1,200論理量子ビット未満、物理量子ビット50万未満とした。CaltechとOratomicによるその後の論文は、中性原子アーキテクチャを使用してこの数値を約10,000量子ビットにまで引き下げた。これらの仕様に近いマシンはまだ建造されていない。IBMの最先端の公開済み量子プロセッサー「Condor」は約1,121物理量子ビットで動作するが、誤り訂正された量子ビットはなく、ノイズの多い物理量子ビットを安定した論理量子ビットに変換するために必要なオーバーヘッドは依然として大きなエンジニアリング上の障壁である。しかし、これらの推定値はかつては数百万の単位であったことを考えると、その減少傾向は、ビットコイン開発者がこれをもはや遠い2040年代の懸念として扱わなくなった理由を説明している。

ハッシングの側面ははるかに堅牢である。ビットコインはマイニング、アドレス生成、ブロックのリンク付けにSHA-256を使用している。知られている最も効果的な量子攻撃であるGroverのアルゴリズムは、二次的な高速化のみを提供し、256ビットのセキュリティを約128ビットに引き下げる。これは現在理論化されているいかなるマシンでも依然として手の届かない範囲である。マイニングとチェーン構造は脆弱なポイントではない。

したがって、正確な表現は「量子コンピューターがビットコインを破る」よりも限定的である。真にリスクに晒されているのは、公開鍵が既にオンチェーンで公開されているコインである。これは、アドレスから以前に送金が行われた場合や、資金がデフォルトで鍵を露出する古いアドレス形式にある場合に発生する。現在の推定では、この露出は650万〜690万BTC、つまり総供給量の約4分の1から3分の1に相当し、これにはサトシ・ナカモトに帰属すると広く信じられている初期アドレスの約170万コインが含まれる。

一度も送金が行われたことのない現代のアドレスに保持されているコインは、公開鍵を露出しない。これらの場合、量子攻撃者が得られるのは、トランザクションがmempoolで未確認の状態で留まる短時間の窓のみである。これは依然として深刻な問題であるが、見出しの数字が示すよりもはるかに小さい。

量子の脅威に対するビットコインの対応

2026年2月11日、BIP-360が公式のBitcoin BIPリポジトリにマージされた。これはネットワーク初の正式な耐量子提案がこのマイルストーンに到達したものである。Hunter Beast、Ethan Heilman、Isabel Foxen Dukeによって作成された、Pay-to-Merkle-Root（P2MR）と呼ばれる新しい出力タイプを導入する。

P2MRは本質的にTaprootからキーパス支払いを取り除いたものである。Taprootは内部公開鍵とスクリプトのMerkleルートの両方にコミットするため、鍵は常にオンチェーンデータから導出可能である。P2MRはMerkleルートのみにコミットする。実際の支払いが行われるまで公開鍵は表示されず、その場合でも使用された特定のリーフのみが明らかになる。これにより、長期間の露出の脆弱性が閉じられる。

付随する提案であるBIP-361は4月14日に続き、ECDSAとSchnorrによる支払いを完全に段階的に廃止する3段階の計画を発表した。この提案は議論を呼んでいる。第3段階では移行されないコインを事実上凍結することになるからである。

Heilman自身の推定では、コンセンサスの形成から完全な耐量子性の実現まで7年を要するとされ、彼はこれを楽観的と呼んでいる。内訳は、レビューとテストに2年半、アクティベーションに半年、その後ウォレット、カストディアン、Lightningノード、トレザリーソフトウェアの約90%が完全にアップグレードするまでさらに5年である。注目すべきは、BIP-360には耐量子署名が含まれていないことである。これらは2025年7月に削除され、将来の提案に先送りされた。ビットコインが最終的に採用するアルゴリズムは、最も可能性が高いのはML-DSAまたはSLH-DSAであり、どちらもNISTによって2024年8月にFIPS 204およびFIPS 205としてすでに最終化されている。これは世界中の暗号学者からの投稿を集めた8年間の標準化努力の集大成である。ビットコインが直面するのと同じ楕円曲線の脆弱性は、インターネットトラフィックを保護するTLS接続から銀行間のSWIFTメッセージングに至るまで、実質的にすべてのデジタルインフラに及ぶ。これがNISTのプロセスが単一の暗号通貨をはるかに超える意味を持つ理由である。

耐量子スキームが破られた — 量子コンピューターなしで

7月28日、AnthropicのFrontier Red Teamが調査結果を発表した。これは一般には公開されていないモデル「Claude Mythos Preview」によるものである。エージェント構成で半自律的に動作し、NISTの追加耐量子署名コンペティションの9つのファイナリストの1つであり、5月に第3ラウンドに進出した唯一の格子ベースのスキームであるHAWKに対する未知の攻撃を特定した。

この攻撃は、これまでレビュアーが誰も利用していなかったHAWKの格子構造の対称性を悪用した。HAWK-256のパラメータセットにおいて、鍵復元に必要な推定計算量を約2^64オペレーションから約2^38に削減した。これは「地球上のいかなる攻撃者も実行不可能」から「資金力のあるチームなら現実的に試行可能」への変化を意味する。

詳細は不安を煽るものである。HAWKは2年間にわたり2ラウンドの専門家による人間のレビューに耐えていた。AIモデルは約60時間で、約10万ドルのAPI費用でこの欠陥を発見した。プロジェクトを監督した研究者は理論計算機科学のバックグラウンドを持っていたが、格子暗号の専門家ではなかった。

Googleの耐量子暗号学者であるSophie Schmiegは、その意味を簡潔に要約した。「基本的にこの論文により、HAWKは終わった。」HAWKチームは翌日、NISTの審査からスキームを撤回した。明らかな修正策、つまりパラメータの倍増や高階モジュールへの移行は、代替案に対して競争力を失わせることを指摘した。

いかなる段階でも量子コンピューターは関与していなかった。破られたのは耐量子暗号そのものであり、従来型のAIモデルがそれを長い週末の間に破ったのである。

調査が実際に明らかにしたこと

すべての調査オプションは同じ根本的な問いに答えるものであった。量子ハードウェアはいつ到来するのか。読者はこの問いについて妥当に分裂し、47%が9年以内とするのは、今年の量子ビット推定値の急速な変化を考慮すれば擁護可能な解釈である。

しかし、HAWKの結果は、ハードウェアのタイムラインが制約条件ではない可能性を示唆している。「それほど早くはない」または「2050年以降のみ」と投票した33%は、量子エンジニアリングに賭けていた。そして彼らはその点について正しいかもしれない。しかし、その賭けは、最終的に選ばれる代替アルゴリズムに対する古典的攻撃からは保護しない。

「わからない」と回答した20%は評価に値する。この動向を注意深く追っているオーディエンスにおいて、5人に1人が予測を控えることは無関心ではない。それはむしろ、ハードウェアの進展、アルゴリズムの選択、コンセンサスのタイムライン、そして現在ではそのような弱点を検出するために構築されたレビュープロセスよりも速く進むAI支援の暗号解読といった、重なり合う不確実性の正確な評価を反映していると読み取れる。