IonQの「2万量子ビット・26日」試算は、ビットコインへの差し迫った攻撃を意味するのか

IonQが2026年9月8日に公表したのは、「Bitcoinを今すぐ破れる」という実演結果ではありません。同社が提案するアーキテクチャを備えた将来の誤り耐性トラップトイオン量子計算機を仮定した場合、Bitcoinの署名で用いられる楕円曲線secp256k1の離散対数問題を、1回の試行当たり約25.7日で解けるという資源見積もりです。19

「256ビット暗号を破る」という表現が使われることもありますが、Bitcoinで中心となるリスクは、ブロックチェーン上のデータを過去にさかのぼって復号することではありません。公開鍵から秘密鍵を導き、有効な署名を偽造して送金を不正に承認できるようになる、という認証と署名の問題です。112

試算の数字を読み替えると

IonQの見積もりは、次の資源を必要とします。

• 物理量子ビット：1万9,397個
• 論理量子ビット：1,457個
• Toffoliゲート：約3,900万回
• 実行時間：1試行当たり約25.7日

論理量子ビットは、計算に必要な量子状態を誤り訂正によって安定して扱えるようにした単位です。その論理量子ビットを実現するため、より多数の実機上の量子ビット、すなわち物理量子ビットが必要になります。IonQはこの規模を「約2万物理量子ビット」と表現しています。19

狙いはsecp256k1上の楕円曲線離散対数問題です。攻撃者が公開鍵に対応する秘密鍵を導出できれば、有効な電子署名を作成できる可能性があります。Bitcoinでは、関連する公開鍵が露出している資金について不正支出につながり得ます。ただし、これはブロックチェーン全体を「復号」する話ではありません。112

「エンドツーエンド」の価値は、攻撃の実証ではなく設計の具体性

今回の主眼は、稼働中のウォレットへの新たな攻撃手法を実演したことではありません。IonQは最適化したShorアルゴリズムを、フォールトトレラントな誤り訂正の基本操作まで落とし込み、同社のトラップトイオン向けWalking Catアーキテクチャ上で実行計画にしたと説明しています。19

この「最後までコンパイルした」点は重要です。高水準のアルゴリズム上の必要量と、実際にそれを動かせる誤り耐性ハードウェアの必要量には大きな隔たりがあるためです。最終的な物理量子ビット数や所要時間は、エラー率、誤り訂正方式、操作速度、接続性、復号処理、そして大規模製造・運用の実現性といった仮定に左右されます。

したがって、1万9,397という数字を「あらゆる256ビット楕円曲線暗号を破るための普遍的な閾値」と受け取るべきではありません。これは、特定のアルゴリズム実装とIonQのハードウェアモデルに対する同社の試算です。19

Bitcoinは破られていない。「Q-Day」が確定したわけでもない

IonQ自身、この結果を未完成の将来機を対象とした資源見積もりとして位置付けています。同社によれば、この研究によって影響を受けた稼働中のデジタル資産や暗号プラットフォームはなく、米政府および業界関係者に事前共有するなど、責任ある開示手続きを取ったとしています。12

物理量子ビットの数だけでは、暗号解読能力は証明されません。試算どおりの性能で、長時間にわたり誤り耐性を維持しなければならないためです。IonQは、完全な誤り耐性を備える1万物理量子ビット級システムを2027年のロードマップ目標に掲げていますが、これは独立して実証された達成結果ではなく、あくまで同社の計画です。1

一般にQ-Dayとは、広く使われている公開鍵暗号を量子計算機で実用的に破れる時点を指します。今回の研究は、そのための工学的な経路の一つを具体化したものですが、Q-Dayがいつ訪れるかを確定するものではありません。

影響を受けるのは何か

Shorアルゴリズムは、素因数分解や離散対数問題の難しさに安全性を依存する公開鍵暗号を脅かします。対象にはRSA、Diffie-Hellman、楕円曲線Diffie-Hellman、ECDSA、Schnorr署名などが含まれます。

ブロックチェーン利用者にとっての要点は電子署名です。公開鍵から秘密鍵を回復され、その鍵で署名を偽造されることが想定されます。同じ懸念は暗号資産に限らず、証明書、コード署名、VPN、SSH、ID基盤など、公開鍵認証に依存する仕組みにも及びます。

耐量子署名方式は、Shorアルゴリズムが標的にする数学問題に依存しないよう設計されています。ただし、耐量子方式へ移行しても、実装不備、鍵の窃取、サイドチャネル攻撃、拙速な移行作業といった通常のセキュリティリスクまで消えるわけではありません。

Bitcoinの移行案「BIP-360」は何をするのか

Bitcoin Improvement Proposal 360（BIP-360）は、Taprootにある量子計算機に対して脆弱になり得るキーパス支出をなくし、スクリプトツリーへのコミットメントを使う**Pay-to-Merkle-Root（P2MR）**という出力形式を提案しています。SegWit v2のソフトフォーク出力タイプとして設計されています。17

ただし、これは移行の土台となる提案であり、自動的な解決策ではありません。

• 採用後に利用者が新しい出力形式へ資金を移した場合に限り、その資金に関係する保護策となります。
• 従来形式のアドレスにあるコインを自動的に移転するものではありません。
• メインネットでの有効化、ウォレットの広範な対応には、技術レビュー、実装、エコシステム内の合意がなお必要です。18

このため、「26日」という攻撃時間の試算を、そのままBitcoinの危機までの単純なカウントダウンには置き換えられません。大規模な暗号基盤の防御には、標準化、監査済み実装、ウォレットと取引所の対応、利用者の資金移行、そして分散型ネットワークでは既存資金をどう扱うかについての合意形成が必要になるからです。

結論：必要なのはパニックではなく、移行可能な設計

IonQは、Bitcoinを破ったとも、鍵を盗んだとも、その攻撃を実行できる量子計算機を完成させたとも主張していません。主張しているのは、同社の想定するトラップトイオン・アーキテクチャなら、将来的に約2万物理量子ビットと約25.7日でsecp256k1に対するShorアルゴリズムを動かせる可能性がある、という詳細な誤り耐性の工学的見積もりです。19

過小評価も過剰反応も適切ではありません。この研究が強めたのは、暗号利用状況の棚卸し、方式を将来変更できる暗号アジリティ、そして量子計算機が暗号解読に実用的になる前から段階的に耐量子認証へ移行する必要性です。