// 目次
62分、2万9588量子ビット。フランスの量子企業Alice & Bobが、ビットコインのウォレット鍵を破るのに必要な規模として弾き出した数字だ。2026年10月28日、暗号研究者向けのプレプリントサーバーにリソース推定が公開された。春にGoogleが示した数字は50万量子ビット。4年前には、数億という見積もりが語られていた。いまのところ、これを実行できる機械を持つ者はいない。
それでも、どのコインが真っ先に狙われるかははっきりしている。泥棒が必要とする鍵が丸見えのアドレスに、600万BTC以上が置かれているのだ。持ち主の落ち度とは限らない。Glassnodeの集計では、Robinhoodは顧客のビットコインの100%、Coinbaseは10%で鍵が露出している。ビットコインがこれで終わるわけではない。かといって、聞き流していい話でもない。
支払うと開く封筒
?量子コンピューターはどうやってビットコインを盗むのか?
ウォレットには256ビットの数である秘密鍵と、そこから計算される公開鍵がある。順方向の計算は一瞬だが、逆方向は普通のコンピューターではまず不可能だ。この逆算を現実的にするのが、この種の問題向けの量子アルゴリズム、ショアのアルゴリズムである。ビットコインのアドレスは公開鍵の指紋にあたり、そのアドレスからコインを使うまで、鍵そのものは封をした手紙のように隠れたままだ。ところが支払いをすると封筒が破れる。公開鍵が取引に載り、誰の目にも見えるようになる。
?鍵が見えているのが数分間だけなら、問題ないのでは?
攻撃には二通りある。ひとつは時間との競争だ。泥棒が新しい取引を見つけて秘密鍵を計算し、元の取引が承認を待つ間に、競合する取引を流す。ビットコインの新しいブロックは約10分ごとにできる。この競争に62分は遅すぎるが、春のGoogleの推定にある9分なら間に合う。CoinDeskは泥棒の勝率を約41%と見積もった。もうひとつはもっと単純で、もっと怖い。すでに公開鍵がブロックチェーン上にさらされているコインなら、急ぐ必要がまったくない。
落とさない「猫」
?Alice & Bobは具体的に何を計算したのか?
誰も何も破っていない。論文の著者10人は、ショアのアルゴリズムを個々の演算に分解し、同社が作りたいと考えている機械に当てはめた。出てきたのは部品表、つまり部品がいくつ必要で、どれだけ動かすかという見積もりだ。ビットコインの鍵に使われる楕円曲線secp256k1では、最大3万量子ビットで約1時間。広く使われる暗号方式RSA-2048なら、およそ2万3000量子ビットで3.14日になる。
?なぜ「猫」量子ビットと呼ぶのか?
ざっくり言えば、普通の量子ビットは回転するコインのようなものだ。裏表を間違えて着地すること、つまり0から1へのビット反転が起こる。あるいは回転がぶれる。これが位相の喪失と呼ばれる二つ目の誤りだ。普通の超伝導量子ビットで作った機械は、この両方を同時に防がなければならず、費用がかさむ。Googleのモデルでは、信頼できる「論理」量子ビット1個に約400個の物理量子ビットが要る。Alice & Bobは、小さな共振器に閉じ込めたマイクロ波の場に情報を蓄える。物理学者はこの状態を、シュレーディンガーの思考実験にちなんで「猫状態」と呼ぶ。場が正反対の二つの状態に同時にあり、猫が生きていて同時に死んでいるのと同じで、その二つを0と1に使う。このコインは裏表を間違えることがほとんどないので、見張るのは回転だけでよく、部品の数をぐっと減らせる。
?落とし穴はどこにあるのか?
CoinDeskの計算では、Googleの推定より17分の1だという。ただ、この比較はGoogleの普通の量子ビットと、Alice & Bobのはるかに手の込んだ部品を並べたものだ。もっと大きな落とし穴は前提条件にある。論文の主設計が求めるのは、自然に反転するのが約100年に1回という猫量子ビットだ。同社の最高記録は2025年9月に発表された33〜60分で、これも暫定値にすぎない。100年と1時間では、およそ100万倍の開きがある。著者らは誤り保護の層を一枚足した代替案も示している。そちらは約1時間もつ量子ビットで足りるが、部品はほぼ2倍必要になる。ただしこの数字が論文に出てくるのはRSAだけで、2万3000が4万5000になる。ビットコインの鍵については、同じ数字は示されていない。
数億から3万へ
この話で最も驚くのは、見積もりが下がり続ける速さだ。新しいハードウェアのおかげではない。数学者とエンジニアが、同じ問題をより無駄なく並べる方法を見つけて、請求額を削ってきた。
// 年表
- 数学者ピーター・ショアが、数の因数分解と離散対数問題を高速に解く量子アルゴリズムを発表する。RSAと楕円曲線署名は、この二つの問題の難しさに支えられている。
- サセックス大学のチームが、ビットコインの鍵を数分から数時間で破るのに必要な量子ビット数を推定。3000万〜3億。
- 物理学者エリー・グジアンらが、Alice & Bobの研究者を含む共著で、猫量子ビット12万6133個と9時間という数字にたどり着く。
- Google Quantum AIが、Ethereum財団とスタンフォード大学の研究者とともに、普通の量子ビット50万個未満、所要は数分と発表。
- Alice & Bob:猫量子ビット最大3万個、約1時間。
グジアンは今回の論文の著者にも名を連ねている。チームは3年で、自らの見積もりを量子ビット数で4分の1、時間で9分の1に削ったことになる。
ハードウェアの現状はずっと控えめだ。Googleが2024年12月に発表したチップ「Willow」は105量子ビット。Google自身のモデルでは、攻撃に最大50万個の同じ量子ビットが必要で、5000倍近い差がある。Alice & Bobのロードマップは2030年までに論理量子ビット100個のチップを目指すが、それもまだ製品ではなく目標だ。同社の上級暗号解析者ダームン・グーダルジは、成長するハードウェアと縮む必要量という二本の曲線が、2030年代前半に交わると見ている。彼の考えでは、ビットコインを新しい防御へ移す作業は待てない。「移行を今すぐ始めることが、きわめて重要になる」と、グーダルジはCoinDeskに語った。
他人のコインを凍結するか、泥棒に差し出すか
鍵が露出したコインはいくらでもある。Glassnodeのアナリストは2026年10月、600万BTC以上を数えた。流通量の31.2%にあたる。最初から鍵が見えてしまうアドレス形式に置かれたものもある。2009〜2010年のネットワーク最初期のアドレスがそうで、現代のTaproot形式もそうだ。だがGlassnodeの5月のレポートによると、露出した鍵の約3分の2は、ネットワークの設計ではなくアドレスの扱い方から漏れていた。その多くは、顧客のコインを預かる取引所やサービスに由来する。
アプリでビットコインを持っている人は、サービスが自分のコインをどのアドレスに置いているか、おそらく知らないだろう。Glassnodeの集計では、鍵が露出しているコインの割合はRobinhoodが100%、Revolutが99%、Binanceが83%、Coinbaseが10%、Fidelityが約2%。米国、英国、エルサルバドルの政府保有分には露出がない。CoinDeskが強調するように、この数字はアドレスの使い方を示すもので、盗難がどれだけ近いかを示すものではない。
?ビットコインを持つ人にとって、これは何を意味するのか?
鍵を露出させる習慣は二つある。同じアドレスを使い回すことと、そこから少しずつ支払うことだ。新しいアドレス形式も、それだけでは何も救えない。古いコインをそこへ移す必要がある。
その新しいアドレス形式は、すでに紙の上にある。ビットコイン改善提案の草案BIP-360(番号が割り当てられたのは2024年12月)は、鍵を明かす支払い経路を省いた出力タイプ、Pay-to-Merkle-Root(P2MR)を提案している。作者たちも認めているとおり、守れるのは長く動かないコインだけで、競争の最中にある新しい取引は守れない。これに切り替えるには、コインを移す必要がある。鍵をなくした人や、亡くなった人は、何も動かさない。
そこから、最も不愉快な議論が始まる。プログラマーのジェームソン・ロップらは、BIP-361という草案に厳しい日程を書き込んだ。規則の有効化から約3年後、ネットワークは脆弱なアドレスへの支払いを受け付けなくなる。そのさらに2年後には、古い署名は特別な救済プロトコルを通したときだけ有効になる。本当の持ち主と量子泥棒を見分けるための仕組みだ。新しいアドレスに移されなかったコインは永久に動かせず、流通量は減る。作者たちは理由を率直に述べている。「攻撃が進行中かどうか、私たちには知りようがないかもしれない」。
こうしたコインのうち最も有名なものは、ビットコインの匿名の創始者と結びついている。Glassnodeは、最初期のアドレスに眠るサトシ・ナカモト時代のコインを、露出供給分の中で最も手ごわい部分と呼ぶ。BIP-361の作者たちも、これらのアドレスには救済プロトコルが可能だと考える人は今のところいないと認め、Hourglassという別の提案に委ねている。つまり彼らの計画でさえ、サトシのコインは宙に浮いたままだ。計画の正当化のために、作者たちはサトシ本人の言葉を引く。「失われたコインは、ほかの全員のコインの価値をわずかに高めるだけだ。全員への寄付だと思えばいい」。そのうえで、この言葉をひっくり返す。「量子で回収されたコインは、ほかの全員のコインの価値を下げるだけだ。全員からの窃盗だと思えばいい」。
ビットコインにとって、これは異端に近い。2009年以来、このネットワークは、コインは鍵を持つ者にだけ従うと約束してきた。もうひとつの道も、見栄えがいいとは言えない。ある日、眠っていた数百万枚のコインが、最初に適切な機械を作った者のものになる。Googleの論文の著者らは、第三の道を提案している。「デジタル・サルベージ」と呼ぶもので、放棄された資産を、最初に掴んだ者の手に残すのではなく、流通に戻すか破棄するためのルールだ。持ち主のいないネットワークで、誰がそんなルールを書くのか。まだ誰にもわからない。
新しい取引をめぐる競争、つまりAlice & Bobの推定がまだ及ばない部分も、決着していない。チームは、量子ビットを増やせば攻撃を10分未満に収められるかどうかをまだ計算していない。ただしグーダルジは、今後の研究でGoogleの9分に近づく可能性はあるとみる。さらに、この数字がどこまで下がるかに明らかな限界はない、と付け加えた。「アーキテクチャ上の下限はない」。
