ビットコイン量子耐性ウォッチ

A. 理論上は、十分大規模で誤り訂正済みの量子コンピュータがあれば、Shorのアルゴリズムで公開鍵から秘密鍵を逆算でき、ビットコインの署名（secp256k1）を破れます。

必要なのは論理量子ビットで約2,330（Roetteler 2017）、物理量子ビットでは数百万〜数億（RSA-2048を1日で約1,300万＝Webber 2022、8時間で約2,000万＝Gidney 2019、ビットコインのECCも同オーダー）。

いまの最大級（物理で約1,000〜1,180のノイズあり量子ビット）とは約4桁の開きがあり、これだけの規模を誤り訂正付きで動かす装置・電力・冷却は現行技術の延長線上になく、現時点では実現していません。

A. 確定はできませんが、目安として『今後おおむね15〜30年』を見込む声が多いです。

本ツールでは2通りで示しています。

(1)物理量子ビットが一定ペースで倍増すると仮定した単純外挿：いまの最大が必要物理量子ビット（約1,300万）に達するまで、12ヶ月で倍増なら約13年後、18ヶ月なら約20年後、24ヶ月なら約27年後。

(2)専門家調査：Global Risk Instituteの年次レポートでは、RSA-2048級を破る量子計算機の登場時期の中央値はおおむね2035〜2045年ごろとされ、確度は年々上方修正される傾向です。

ただし実際に効くのは誤り訂正済みの『論理量子ビット』で、ここがボトルネックのため“数”の外挿より遅くなりがちな一方、ブレークスルーがあれば前倒しもありえます。

『Moscaの不等式（移行年数＋秘匿したい年数＞量子までの年数なら今動くべき）』を踏まえると、登場が十数年先でも準備の前倒しが妥当とされます。

A. 核心は、公開鍵が露出している資金がShorで秘密鍵を逆算されて盗まれ、過去のアドレスからお金が動くことです。

具体的には初期のP2PK形式や、一度送金して公開鍵がチェーン上に現れた再利用アドレス、サトシ由来のコインなどが標的になりえます。

一方で、ハッシュレートの過半数掌握（いわゆる51%攻撃）やブロックチェーンの改ざんは現実的な脅威ではありません。

リスクの所在を『鍵（署名）』に絞って捉えるのが正確で、対策は耐量子署名（BIP-360のP2QRHなど）への移行と、公開鍵の露出を避ける運用です。

A. 公開鍵がチェーン上に露出しているコイン（初期のP2PK形式や、一度送金して公開鍵が現れた再利用アドレス）が標的になりやすく、サトシ由来のコインの多くが該当します。

公開鍵がハッシュで隠れている未使用アドレスは、送金して公開鍵が露出するまでは直接の標的になりにくい一方、送金時（mempool滞留中）に狙われる懸念は残ります。

対策として、耐量子署名を使える新形式（BIP-360のP2QRHなど）への移行が議論されています。

A. 結論として、いますぐ暴落する状況ではありません。

ビットコインを破る規模の量子計算機がまだ存在しないからです。

一方で暴落の“きっかけ”は考えられます。

(1)『量子に破られた／破られそう』という報道・思惑だけでも、実害の前に価格が大きく動くことはあります。

(2)実際に露出鍵から盗難が起きれば信認低下で急落しうる。

ただしゲーム理論的には、台帳が透明なビットコインで大きな窃盗は即バレし、暴落で盗んだ資産の価値ごと消えるため、全面攻撃は割に合いにくい面があります。

A. 耐量子署名の“受け皿を足す”対応（BIP-360のP2QRHなど）は、新しい受け取り形式を追加するだけなので後方互換のソフトフォークで導入できます（最有力）。

一方、露出鍵の凍結・無効化のように既存の有効なコインを動かせなくする対応は、非互換のハードフォークになりえます（全ノードのアップグレードが必要で合意のハードルが高く、分裂リスクも）。

合意形成は『マイナー全員の賛成』が条件ではありません。

ルールを強制するのはフルノードで、ルールに反するブロックは無効として拒否されます。

マイナーは取引の順序づけとソフトフォークのシグナリング（BIP-9/BIP-8）を担いますが、ルール自体は一方的に変えられず、51%でも無効ブロックは通りません。

ユーザー主導のUASF（SegWit/BIP-148の前例）で押し切る方法もあります。

最終的には“価値を裏づける経済的ノード（取引所・ウォレット・事業者・保有者）が動かすソフト”が効く、というのがビットコインの合意の実態です。

A. マイニング（PoW・SHA-256）に効くのはGroverですが、加速は二次（√）どまりで、署名を破るShorの指数的加速とは比べものになりません。

Groverは並列化が苦手で、1回の量子演算もASICの1ハッシュより桁違いに遅いため、ASICのハッシュレート優位は当面崩れず、量子でハッシュレートを握る（51%攻撃）筋は現実的ではありません。

SHA-256は比較的『量子に強い』とされます。

『PoWがSHA-256の“量子版”に置き換わるか』も基本ノーで、Grover対策は出力を長くする（例:SHA-512）程度で足り、耐量子化はPoWではなく署名側（BIP-360）の話です。

A. 現実的にはできません。

過去のブロックを書き換えるには、それ以降の全ブロックのPoWをネットワーク全体より速くやり直す必要があります。

マイニングに効くGroverは二次加速どまりで、これだけのやり直しには到底足りません。

つまり量子の脅威は『これから動かす鍵・すでに露出している公開鍵』に対するもので、確定済みの取引履歴（過去のブロック）を書き換えるものではありません。

A. リスクはビットコインに限りません。

量子が脅かすのは公開鍵暗号（RSA・楕円曲線）全般で、ネットバンキングやカード決済を守るTLS/HTTPS、VPN、メール、電子署名・SSL証明書（PKI）、政府・軍事の機密通信、Ethereumなど他の暗号資産まで、社会インフラ全体が同じ構図のリスクを共有します。

『銀行の暗号も破れるの？』の答えは、原理的には対象だが、(1)その規模の量子計算機はまだ存在せず、(2)金融機関・政府はすでに耐量子暗号（NISTが2024年に標準化したML-DSA・SLH-DSA・ML-KEM等）への移行を進めている、です。

とくに長期秘匿が必要な国家機密は『今集めて後で復号(harvest-now, decrypt-later)』の最優先標的とされます。

なお対称暗号（AES）やハッシュ（SHA-256）はGroverで√加速どまりで、鍵長・出力長を保てば比較的安全です。

A. 物理量子ビットはハードウェア上の素子そのもので、ノイズ（エラー）を含みます。

論理量子ビットは多数の物理量子ビットを束ねて誤りを訂正し、計算に使える安定した1単位にしたものです。

目安として1論理量子ビットの実装に約1,000の物理量子ビットが要るとされ、ビットコインを破る論理2,330でも物理では数百万規模になります。

ニュースで話題になる『◯◯量子ビット』はほぼ物理量子ビットの数なので、そのまま暗号解読の近さとはつながりません。

A. 公表ベースでは、2016年の5量子ビットから、2019年のGoogle Sycamore（53）、2021年のIBM Eagle（127）、2022年のOsprey（433）、2023年のCondor（1,121）や中性原子方式（1,180）と、物理量子ビット数は伸びています。

一方で2024年前後は数を増やすより誤り訂正の質を上げる方向（Google Willowが『しきい値以下』を実証）も進んでいます。

これらはいずれもノイズのある物理量子ビットで、暗号解読に必要な『論理量子ビット』とは別物です。

A. 単純に数を増やせば破れる、とは言えません。

本質的なボトルネックは“数”ではなく“質（誤り訂正済みの論理量子ビット）”で、デコヒーレンス（エラー率）・誤り訂正の約1,000倍オーバーヘッド・配線/制御・極低温・歩留まりが壁です。

物理量子ビットを増やしても、論理量子ビットを安定して増やせなければ解読能力は上がりません。

『Nevenの法則』のように急に伸びるという主張もあり、ブレークスルーで前倒しの芽は完全には否定できませんが、『物理数の指数増加＝即解読』ではなく、数百万物理量子ビット級は現状の延長では遠い、というのが要点です。

A. いいえ。

量子コンピュータは“なんでも速くする万能機”ではなく、特定の構造を持つ問題に効く専用加速器です。

指数的に速くなるのは素因数分解・離散対数（Shor＝暗号解読）や量子シミュレーション（化学・材料・創薬）など。

非構造の総当たり探索（Grover）は二次（√）だけの加速にとどまります。

一方で、NP困難・NP完全問題（巡回セールスマン等）を一般に多項式時間で解く装置ではなく、あらゆる計算が速くなるわけでも、P=NPを解決するわけでもありません。

『万能』というイメージは誤解で、得意分野がはっきりした道具だと捉えるのが正確です。

A. 技術的に可能かとは別に、『やる意味があるか』も重要です。

結論として全面攻撃のメリットは乏しいと考えられます。

(1)ゲーム理論：台帳が全公開なので大きな窃盗は即バレし、『量子に破られた』という信認崩壊で価格が暴落、盗んだ資産の価値ごと消える自己矛盾があります。

(2)コスト：攻撃には数百万物理量子ビット級・巨額の設備が必要なのに報酬は不確実。

(3)標的の優先度：国家・諜報機関の主目的は機密解読で、銀行・政府通信の方が高価値。

『オープンソースだから狙われやすい』点は半分正しく、露出した公開鍵は誰からも見えて“探しやすい”一方、同じ透明性ゆえ攻撃が即バレて割に合いません。

合理的な攻撃者はむしろ、目立つ巨大コインを避け中規模アドレスから静かに抜くと考えられ、だからこそ『大きな移動が無いから安全』とも過信はできません。

A. あります。

量子は『破る』だけでなく『守る』技術にもなります。

QKD（量子鍵配送）は、BB84などの方式で盗聴があると物理法則上かならず痕跡が残る鍵共有を可能にします。

QRNG（量子乱数）は“真の乱数”を生成でき、予測されにくい鍵で暗号の土台を強くします。

さらに、量子の脅威そのものが、古い暗号運用や鍵管理を見直し耐量子暗号（PQC）へ更新する契機になり、社会全体の暗号衛生を底上げします。

A. bitcoin/bitcoin と bitcoin/bips の『quantum』を含む Issue/PR の件数と直近の項目を、月次の目安として表示しています（キーワード一致の概数で、関連度の精査まではしていません）。

耐量子対応の議論が活発化しているかの大まかな目安としてご覧ください。