BIT NEWSビットコインを、やさしく確実に
BTC

学ぶ

量子コンピュータはビットコインの脅威になる？仕組みとリスクをやさしく解説

· 約11分で読めます

研究施設の量子コンピュータ本体(希釈冷凍機)
写真: Anita Fors (Chalmers University of Technology) / CC BY-SA 4.0

結論：今日のビットコインは安全。ただし「公開鍵が晒された」コインには将来のリスクがある

量子コンピュータがビットコインの暗号を破る——という話題は定期的に注目を集めますが、2026年半ば時点で実際にビットコインの秘密鍵を割り出せる量子コンピュータは存在しません。脅威の正体は、「ショアのアルゴリズム」という理論上のアルゴリズムが、電子署名の元になる公開鍵暗号を将来的に破る可能性がある、という設計上の課題です。ビットコイン開発コミュニティはすでに移行策の議論を始めています(まだ提案段階)。この記事では、何が壊れうるのか、どのコインがより大きなリスクを負っているのか、そして現在地を一次情報に基づいて整理します。

この記事のポイント

- 理論上の脅威は「ショアのアルゴリズム」が公開鍵暗号(ECDSA・Schnorr署名)を破る可能性から来る。マイニングを支えるハッシュ関数(SHA-256)への影響はこれとは別物で、はるかに小さい

- リスクが集中するのは「公開鍵がすでに晒されているアドレス」。分析により幅はあるが、流通量のおよそ2〜3割程度がこれに該当すると推定されている

- 2026年半ば時点で、実際にビットコインの鍵を割り出せる量子コンピュータは存在しない。専門家の試算でも「実現するとしても数年〜数十年先」という幅のある予測にとどまる

- ビットコイン開発コミュニティは量子耐性アドレスへの移行案(BIP-360・BIP-361)を議論中だが、いずれも2026年半ば時点で「提案(Draft)」段階で、実装には合意形成とソフトフォークが必要

何が壊れるのか——ショアのアルゴリズムと公開鍵暗号

ビットコインの仕組みを支える電子署名は、楕円曲線暗号(secp256k1というカーブ)を使ったECDSA、そしてTaproot以降はSchnorr署名によって成り立っています。どちらも「秘密鍵から公開鍵を計算するのは一瞬だが、公開鍵から逆算して秘密鍵を割り出すのは通常のコンピュータでは天文学的な時間がかかる」という一方向性の数学的な難しさに支えられています。

1994年に数学者ピーター・ショアが発表した「ショアのアルゴリズム」は、この種の離散対数問題を、十分な性能を持つ量子コンピュータ上であれば理論上は現実的な時間で解けることを示しました。もしそのレベルの量子コンピュータが実現すれば、公開鍵から秘密鍵を導出できてしまう、というのが脅威の核心です。

これはビットコイン固有の弱点ではなく、ECDSAやRSAなど世界中の銀行・政府システムが使う公開鍵暗号方式に共通する課題です。だからこそ米国NIST(国立標準技術研究所)は2024年8月13日、量子コンピュータに耐性を持つ新しい暗号方式(ML-KEM/FIPS 203・ML-DSA/FIPS 204・SLH-DSA/FIPS 205)を正式な標準として発表し、各業界に早めの移行を促しています。

グローバーのアルゴリズムとマイニング——「別の話」を混同しない

量子コンピュータの話題では、マイニング(SHA-256のハッシュ計算)も同じように壊れるのでは、という混同がよく起こります。実際には、ハッシュ関数への量子的な攻撃手段は「グローバーのアルゴリズム」と呼ばれる別のアルゴリズムで、こちらは総当たり探索を二次関数的(平方根オーダー)に速めるだけにとどまります。256ビットのハッシュを「128ビット相当」まで弱める程度の影響で、ショアのアルゴリズムがECDSAに与えるような致命的な破壊力はありません。マイニングの採掘競争や51%攻撃の力学が、量子コンピュータの登場で根本から変わるものではない、というのが現在の共通認識です。

どのビットコインが本当にリスクにさらされているのか

すべてのビットコインが同じリスクを負っているわけではありません。鍵になるのは「公開鍵がすでにブロックチェーン上に晒されているか」です。

  • 初期のP2PK形式のコイン：アドレスの種類が整理される前、ビットコイン創成期は生の公開鍵をそのままアドレスとして使うP2PK形式が主流でした。これらは最初から公開鍵が丸見えの状態です。
  • 一度でも送金したことがあるアドレス：現代の標準的なアドレス(P2PKH・bech32など)は公開鍵そのものではなく「ハッシュ値」をアドレスとして使うため、受け取っただけの段階では公開鍵は隠れています。しかし、いったんそのアドレスから送金すると、署名の一部として公開鍵がチェーン上に公開されます。
  • 送金中の一時的な露出：公開鍵を一度も晒したことがないアドレスでも、送金をブロードキャストしてからブロックに承認されるまでの数十分の間は、公開鍵が一時的にネットワーク上に見えている状態になります。

Ledgerの分析(2026年2月)では、こうした「公開鍵が晒された」コインは価値ベースで流通量のおよそ25%に上ると推定されています。2026年6月の学術プレプリントも、数百万BTC規模が同様に「量子に露出した」状態にあり、その一部(紛失した鍵などで持ち主が事実上動かせないコイン)は対策のしようがない構造的リスクとして残ると分析しています。推定値は算出方法によって幅がありますが、「無視できない割合が、すでに公開鍵を晒している」という大枠は複数の分析で一致しています。

現在地：2026年半ば、実際に鍵を割り出せる量子コンピュータはまだ存在しない

まだ起きていないリスクです

2026年半ば時点で、実在のビットコインの秘密鍵を量子コンピュータで割り出した事例は確認されていません。「いつ実現するか」も専門家の間で見解が分かれています。

2026年6月に発表されたプレプリント研究は、暗号を実用的に破れる水準の量子コンピュータ(cryptographically relevant quantum computer)が登場する確率を、2035年までに約6分の1、2040年までに約3割、2050年までに約6割、と試算しています。同時にこの研究は、早期に十分な移行が進めば技術的な実現時期より前にリスクを無力化できるとも結論づけており、ボトルネックは「技術」よりも「移行を進める運営体制(ガバナンス)」にある、という見方を示しています。

ビットコイン開発コミュニティの備え——BIP-360とBIP-361(まだ提案段階)

  • BIP-360(Hunter Beast氏ら、2024年12月18日提案)：「Pay-to-Quantum-Resistant-Hash(P2QRH)」または「Pay-to-Merkle-Root(P2MR)」と呼ばれる新しいアドレス形式を提案しています。仕組みはTaprootに似ていますが、量子コンピュータに狙われうる「鍵パス支払い」の楕円曲線署名を取り除き、将来的にNISTが標準化したML-DSAなど量子耐性のある署名方式を組み込める土台を作ることを目指しています。2026年半ば時点でBitcoin CoreのBIPリポジトリに「Draft(検討中)」として登録された段階で、ネットワーク上ではまだ有効化されていません。
  • BIP-361(Jameson Lopp氏ら、2026年2月11日提案)：公開鍵がすでに晒された旧式アドレスから、新しい量子耐性アドレスへ資産を移すよう促す「段階的な移行期限」の枠組み案です。有効化から約3年後に旧式アドレスへの新規送金を制限し(フェーズA)、さらに約2年後(有効化から通算約5年後)には旧式のECDSA/Schnorr署名そのものを無効化し、移行していない資金を実質的に凍結する(フェーズB)、という二段階のスケジュール例が示されています。この「凍結」に踏み込む内容には、コミュニティの一部から「ビットコインの不可侵性・中立性の原則に反する」といった強い異論も出ており、2026年半ば時点でも賛否が分かれています。これも同時点で「Draft」段階で、実装にはノード運用者・マイナー・取引所を含むコミュニティ全体の合意(過去のソフトフォークと同じ手続き)が必要です。

「提案」であって「決定事項」ではない

BIP-360・BIP-361はどちらも2026年半ば時点で議論段階の提案(Draft)です。実際にネットワークへ導入されるかどうか、いつ導入されるかは、開発者・マイナー・ノード運用者を含む幅広い合意形成の結果によって決まります。具体的な移行期限がすでに確定した事実であるかのように受け取らないでください。

個人にできること

過度に心配する必要はありません。今のところ、これは「教育として理解しておく将来的な設計課題」であり、投資判断や急な行動の材料にすべきものではありません。そのうえで、日頃からできる基本的な備えは次のとおりです。

  • アドレスの使い回しを避け、受け取るたびに新しいアドレスを生成する(公開鍵をむやみに晒さない習慣)。
  • 資金を取引所に置きっぱなしにせず、自分で安全に保管する。
  • BIP-360・BIP-361のような提案の進捗は、公式リポジトリなど一次情報で追い、扇情的な見出しだけで判断しない。

よくある質問

Q. 量子コンピュータで今すぐビットコインが盗まれる可能性はある？ A. いいえ。2026年半ば時点で、実際にビットコインの秘密鍵を量子コンピュータで割り出した事例は確認されていません。これは教育的な観点で理解しておくべき将来的な設計課題であり、投資判断の材料にすべきではありません。

Q. どのビットコインがより大きなリスクを負っている？ A. 公開鍵がすでにチェーン上に晒されているコイン(初期のP2PK形式、または一度でも送金したことがあるアドレス)です。受け取ったまま一度も送金していない現代的なアドレス(bech32/Taprootなど)は、公開鍵がハッシュの内側に隠れているぶん相対的に安全です。

Q. マイニングも量子コンピュータで壊れる？ A. マイニングが使うハッシュ関数(SHA-256)への量子的な影響は「グローバーのアルゴリズム」による二次関数的な高速化にとどまり、ショアのアルゴリズムがECDSAに与えるような致命的な破壊力はない、というのが現在の共通認識です。

Q. 対策はいつまでに必要？ A. 明確な期限はまだ決まっていません。BIP-360・BIP-361のような提案はコミュニティの合意形成とソフトフォークを経て初めて実装されるもので、2026年半ば時点ではどちらも議論段階(Draft)です。

参考・出典

投資にあたっての注意

本記事は情報提供を目的としたものであり、投資助言ではありません。ビットコインは価格変動やハッキング、紛失等のリスクがあります。投資判断はご自身の責任で、余裕資金の範囲で行ってください。本記事は公開時点の公開情報に基づきます。最新の数値・制度は一次情報をご確認ください。

Sources

  1. NIST — NIST Releases First 3 Finalized Post-Quantum Encryption Standards
  2. Bitcoin Improvement Proposals — BIP-360: Pay to Quantum Resistant Hash
  3. Bitcoin Improvement Proposals — BIP-361: Post Quantum Migration and Legacy Signature Sunset
  4. Ledger — Quantum Computing's Threat to Blockchain
  5. arXiv — Quantum Horizon: An evaluation of quantum computing as a threat to Bitcoin and Ethereum (Gershteyn & Alber)
  6. River Financial — Will Quantum Computing Break Bitcoin?

FAQ

量子コンピュータで今すぐビットコインが盗まれる可能性はある？
いいえ。2026年半ば時点で、実際にビットコインの秘密鍵を量子コンピュータで割り出した事例は確認されていません。これは教育的な観点で理解しておくべき将来的な設計課題であり、投資判断の材料にすべきではありません。
どのビットコインがより大きなリスクを負っている？
公開鍵がすでにチェーン上に晒されているコイン(初期のP2PK形式、または一度でも送金したことがあるアドレス)です。受け取ったまま一度も送金していない現代的なアドレス(bech32/Taprootなど)は、公開鍵がハッシュの内側に隠れているぶん相対的に安全です。
マイニングも量子コンピュータで壊れる？
マイニングが使うハッシュ関数(SHA-256)への量子的な影響は「グローバーのアルゴリズム」による二次関数的な高速化にとどまり、ショアのアルゴリズムがECDSAに与えるような致命的な破壊力はない、というのが現在の共通認識です。
対策はいつまでに必要？
明確な期限はまだ決まっていません。BIP-360・BIP-361のような提案はコミュニティの合意形成とソフトフォークを経て初めて実装されるもので、2026年半ば時点ではどちらも議論段階(Draft)です。
佐藤 健一
  • 暗号資産アナリスト
  • ビットコイン取材歴9年
  • 元金融メディア記者

2016年からビットコインを取材・解説。半減期、マイニング、各国規制、自己管理(セルフカストディ)に明るく、初心者にわかる説明を重視。

本記事は情報提供のみを目的とし、投資・金融・取引の助言ではありません。価格は参考値で古い場合があります。投資判断はご自身の責任で。

関連記事