マスクの投稿で「ビットコインは量子耐性」と広がった誤解、その根拠と限界

マスクの投稿はビットコインについてではなかった

暗号資産市場で広がったのは、複数の仮説を一直線につないだ結論だった。マスクが基礎物理学に関する主張を支持した。そこから、量子もつれには拡張できる規模の上限があるかもしれない。ならば、量子コンピューターによるビットコインの電子署名攻撃は不可能だ――という推論である。

しかし、2026年8月29日にマスクがXへ投稿したのは、「The universe is integer in units of Planck cubes（宇宙はプランク立方体の整数単位で成り立っている）」という趣旨の短いコメントだけだった。投稿にビットコイン、暗号資産、秘密鍵、ショアのアルゴリズム、あるいはビットコインの安全性への言及はない。68

「835論理量子ビット」に結び付けられた推論

この投稿を受け、投資家のフレッド・クルーガー氏は、ビットコインは「すでに量子耐性を持っているかもしれない」と主張した。背景にあるのが、オックスフォード大学の物理学者ティム・パーマー氏による、量子計算の規模に物理的な上限が存在する可能性を示す議論だ。

パーマー氏の見方では、現在のハードウェアで実用的なコヒーレント量子もつれを維持できる規模は、およそ200〜400量子ビットにとどまる可能性があり、どのような条件でも1,000量子ビットを超えないとされる。これが正しければ、ビットコインの署名をショアのアルゴリズムで破るために少なくとも約835論理量子ビットが必要だという推計と、数字の上ではつじつまが合う。攻撃に必要な規模へ到達できないため、ビットコインは安全だというわけだ。104

ただし、これは「もしパーマー氏の理論が正しければ」という条件付きの議論にすぎない。現時点でビットコインの安全性を実証したものではない。

主流の量子理論に400量子ビットの壁はない

パーマー氏が提案する上限説は議論のある仮説であり、主流の量子力学が予測する確立した上限ではない。標準的な理論には、量子もつれが400量子ビット、あるいは1,000量子ビットを超えられないとする既知の根本的な制約はない。6

さらに、量子ビットの数を比較する際には注意が必要だ。研究者が攻撃に必要だと見積もる「論理量子ビット」は、誤り訂正によって安定した計算に使える単位を指す。一方、現在の量子コンピューターで公表される「物理量子ビット」は、ノイズやエラーの影響を受けやすい。両者は単純に同じ数として比較できない。

835という数字も固定された安全境界ではない

約835論理量子ビットという数字は、ビットコインなどが利用する256ビット級の楕円曲線暗号に対する、ある攻撃回路の推計値だ。2026年7月に公開されたプレプリントは、より空間効率の高い楕円曲線離散対数問題の量子回路を示し、必要な論理量子ビット数を従来よく引用されていた1,098または1,175から約835へ引き下げた。213

ただし、この削減は計算に必要なゲート数との大きなトレードオフを伴う。つまり、835は永続的な「ビットコインの安全限界」ではなく、特定のアルゴリズムと設計条件に基づく現時点の推計である。攻撃回路の改良によって必要な量子ビット数が下がる可能性も、実装上のコストが増える可能性も残されている。

IBMの2029年計画が示すこと

IBMは2029年の量子コンピューター「Starling」について、200論理量子ビットで1億個の量子ゲートを含む回路を実行する計画を示している。1

200論理量子ビットは、835論理量子ビットという攻撃推計を大きく下回る。そのため、Starlingの計画だけでビットコインの署名を破れるわけではない。一方で、フォールトトレラントなシステムが数百量子ビット規模で長時間の有用な計算を実行できるようになれば、パーマー氏が示す「数百量子ビット付近の上限」には、実験面からの検証が始まることになる。1

これは、パーマー氏の理論が正しいと証明する計画でも、ビットコインへの攻撃能力を示すベンチマークでもない。あくまで、量子コンピューターの実用化がどこまで進むかを見る初期の節目だ。

ビットコインに必要なのは物理学への賭けではない

ビットコインは、まだ確認されていない物理法則上の上限に安全性を委ねることはできない。量子耐性のある新たな署名方式への移行、アドレスや支出ルールの変更、コンセンサスのアップグレードなど、ポスト量子移行に向けた議論が続いているのはそのためだ。

量子コンピューターに必要な計算資源、誤り訂正のコスト、攻撃アルゴリズムはいずれも将来変わり得る。特に、公開鍵が明らかになっているビットコインのアドレスを、暗号学的に意味のある量子コンピューターが攻撃できるようになる前に、ネットワークが量子耐性署名を採用・展開できるかが、実際の防御を左右する。

パーマー氏の物理学が本当に量子計算の上限を定めるのか、そしてビットコインが十分早く暗号方式を移行できるのか。その答えが見えてくるのは、数百論理量子ビットを超え、最終的に1,000量子ビット規模へ近づくフォールトトレラントな計算機が登場する、2020年代末に入ってからになる可能性がある。12