量子コンピューターは2033年までにビットコインを破るのか

ビットコインの量子コンピューター問題は、よく「暗号が破られる」と語られます。けれども、その言い方は少し大ざっぱです。より現実的な焦点は、所有権を証明する公開鍵署名です。ビットコインはsecp256k1という楕円曲線に基づく署名を使っており、十分に強力で耐障害性のある量子コンピューター上のショアのアルゴリズムは、この署名の土台である楕円曲線離散対数問題を攻撃し得ます。

結論：2033年は「期限」ではなく、準備すべきシナリオ

公開資料だけで見れば、2033年までに必ずビットコインが破られると断定できる証拠はありません。ただし、準備の時間軸としては真剣に扱うべきです。Google Quantum AIなどの最近の研究は、secp256k1の楕円曲線離散対数問題を解くためのリソース見積もりが、現在の暗号システムにとって厳しい方向へ動いていることを示しています。

同研究では、あるモデルで約1,200個の論理量子ビットと9,000万以下のToffoliゲートでsecp256k1を攻撃できる可能性が示されました。関連報道では、十分に進んだ量子マシンなら50万未満の物理量子ビットで、攻撃時間が分単位になるシナリオも説明されています。

一方で、これは「今すぐ攻撃できる」という意味ではありません。同じ報道は量子攻撃が現時点では実行可能ではないとし、Bitcoin Magazineの報道も、そのようなコンピューターは今日存在しないと伝えています。

実務上の答えは、中間です。慌てる必要はない。しかし、待ちすぎてもいけません。英国の国家サイバーセキュリティセンター（NCSC）は、ポスト量子暗号（PQC）への移行を、何年もかかる大規模な技術変更と位置づけています。 ブロックチェーンでも、同じ時間感覚で備える必要があります。

攻撃対象はブロックチェーン全体ではなく「署名」

将来の攻撃者が狙うのは、ブロックチェーン全体を復号することではありません。価値があるのは、公開鍵から秘密鍵を復元することです。ビットコインの公開鍵が露出しており、量子コンピューターが対応する楕円曲線問題を十分に速く解けるなら、攻撃者は秘密鍵を導き出し、正当な支払いに見えるトランザクションを作れる可能性があります。

これは、量子コンピューターがただちにビットコインの履歴を書き換えたり、すべてのマイニング競争に勝ったりするという話ではありません。ビットコインはマイニングやアドレスのハッシュ化にSHA-256も使いますが、引用されている量子耐性研究で最も強いリスクとして扱われているのは、SHA-256マイニングではなく公開鍵署名の層です。

公開鍵が露出した資金ほどリスクは高い

すべてのビットコインが同じ量子リスクを抱えているわけではありません。公開鍵は、コインを使うときなどにチェーン上で明らかになることがあります。また、アドレスの再利用は、露出した公開鍵を一覧化し、優先順位をつけることを容易にします。

ここには2つの問題があります。第一に、すでに公開鍵が露出している資金は、将来の移行で優先的に扱うべき候補になります。第二に、ユーザーがトランザクションをブロードキャストしてから承認されるまでの間、公開鍵と支払い内容が見える時間帯が生じます。将来の量子マシンがその短い時間内に秘密鍵を復元できるなら、攻撃者は競合する支払いを試みるかもしれません。

現時点でこの攻撃が可能だという見積もりではありません。それでも、ウォレット設計、トランザクション中継、メモリプールのプライバシー、承認までの時間は、脅威が現実化する前から議論しておくべき論点です。

ポスト量子暗号は、すでに標準化の段階に入っている

早めに準備すべき最大の理由は、PQCがもはや研究室だけの話ではないことです。米国の標準化機関であるNIST（米国国立標準技術研究所）は2024年8月、最初の3つのポスト量子暗号標準を最終化し、システム管理者にできるだけ早く移行を始めるよう促しました。

これらには、鍵カプセル化のFIPS 203（ML-KEM）、デジタル署名のFIPS 204（ML-DSA）、ステートレスなハッシュベース署名のFIPS 205（SLH-DSA）が含まれます。 NISTはまた、量子に弱いアルゴリズムから、ポスト量子のデジタル署名や鍵確立方式へ移るための移行計画資料も公開しています。

英国NCSCは、PQC移行を数年がかりの大規模な技術変更と説明し、2028年までに移行目標を定め、システム全体の調査を完了することを初期マイルストーンに含めています。

ビットコインや他のブロックチェーンでは、アルゴリズムを選ぶだけでは足りません。ポスト量子署名を導入するには、トランザクションサイズ、検証コスト、手数料市場、ハードウェアウォレット、カストディ、ライトクライアント、取引所、ブリッジ、そして社会的合意まで含めて設計する必要があります。

暗号資産業界が今やるべき6つの準備

1. 暗号資産の「露出棚卸し」を作る

取引所、カストディアン、ウォレット開発者、ブリッジ、ステーブルコイン発行体、L2チーム、大口保有者は、自分たちのどこが量子に弱い公開鍵暗号に依存しているのかを洗い出すべきです。署名フロー、鍵保管ハードウェア、バックアップ形式、復旧手順、マルチシグ方針、スマートコントラクト、ブリッジ検証者、長期利用される公開鍵まで含める必要があります。

これは、NCSCが早期移行作業として示す「目標設定」と「全体調査」に近い考え方です。 ビットコインでは特に、再利用アドレス、すでに公開鍵が露出したUTXO、古い出力形式、高額なコールドウォレット、頻繁に公開鍵を見せるホットウォレット運用を優先して調べるべきです。

2. 不要な公開鍵露出を増やさない

ウォレットや取引所は、アドレス再利用をしにくくし、新しいアドレスを自然に使える設計を徹底すべきです。再利用されたアドレスや、すでに露出した公開鍵は、将来の量子対策で最も分かりやすい優先対象になります。

インフラチームは、トランザクションのブロードキャスト時のプライバシーも検討すべきです。将来の攻撃モデルが「正当な支払い」と「偽造された支払い」の競争になるなら、可視性を下げ、公開鍵が狙われる時間を短くすることが重要になります。

3. 危機が来る前に、量子耐性の取引形式を設計する

ブロックチェーン開発者は、ポスト量子署名を安全に導入するための提案を、合意形成やデプロイ手順まで含めて準備する必要があります。Googleの開示は、量子攻撃が可能になる前に、暗号資産コミュニティがPQCへの移行を含めて安全性と安定性を高めるべきだとしています。

ただし、NIST標準はそのままビットコインのアップグレードになるわけではありません。FIPS 204とFIPS 205はデジタル署名の標準ですが、ブロックチェーンでは署名サイズ、検証コスト、帯域幅、手数料への影響、ウォレットの使いやすさ、ハードウェアウォレット対応、長期的な暗号解析への信頼性を別途評価する必要があります。

4. 段階的・ハイブリッド移行を試す

実際の移行では、既存の署名とポスト量子の仕組みを一定期間並行して動かす段階的な方法が必要になるかもしれません。これにより、新しいPQC方式だけに突然依存するリスクを抑えながら、ウォレット、ノード、取引所、カストディアン、ユーザーが新しい運用に慣れる時間を確保できます。

代償は、コストと複雑さです。署名が大きくなればトランザクションの重さが増え、ウォレット操作は複雑になり、低手数料ユーザーにも影響が出る可能性があります。こうしたトレードオフは、本番の緊急時ではなく、パイロットやテスト環境で測るべきです。

5. カストディとウォレット基盤を早めに更新する

運用リスクが集中しやすいのはカストディ領域です。取引所、機関投資家向けカストディアン、ETF関連サービス事業者、ステーブルコイン発行体、ブリッジ、大口トレジャリーは、署名モジュール、HSM、ハードウェアウォレット、ポリシーエンジン、監査ログ、災害復旧手順がPQCまたは段階的移行に対応できるかを検証すべきです。

公的ガイダンスがPQC移行を数年単位の変更と見ている以上、こうしたシステムは、脅威がまだ理論上の段階にあるうちに試験導入する方が安全です。

6. 社会的合意のルールを先に考える

暗号の移行は、技術だけでなくガバナンスの問題でもあります。分散型ネットワークでは、ユーザーへの警告、移行支援、失われた鍵の扱い、長く公開鍵が露出したまま動かない資金をどう扱うかについて、あらかじめ規範を作る必要があります。

Googleは、今回の研究開示の目的を、脅威が可能になる前に暗号資産コミュニティの安全性と安定性を高めることだと説明しています。 本当に量子攻撃の窓が開いたと市場が感じてから、移行ルールを議論し始めるのは遅すぎます。

2033年までに見るべき指標

注目すべきなのは、ニュース見出しに出やすい物理量子ビット数だけではありません。より重要なのは、論理量子ビット数、エラー率、誤り訂正のオーバーヘッド、ゲート深さ、Toffoliゲートのコスト、そして大規模な耐障害性計算が実証されているかです。

標準採用の進み具合も重要です。NISTは初期のPQC標準を最終化し、移行計画も進んでいます。NCSCも段階的な移行マイルストーンを示しています。 暗号資産ネットワークは、合意形成やウォレット対応をいつまでも先送りできると考えるべきではありません。

要するに

ビットコインが2033年までに必ず終わる、という話ではありません。引用した資料は、ビットコインを今すぐ破れる量子コンピューターが存在することを示していません。

しかし、リスクは計画に入れるだけの現実味を帯びています。ボトルネックは量子ハードウェアだけではありません。標準の選定、ウォレット配布、カストディの更新、取引所対応、手数料設計、そして社会的合意です。secp256k1を攻撃できる量子コンピューターが目前に見えてから動き出すのでは、安全な移行に必要な時間が足りなくなる可能性があります。