量子コンピュータでビットコインは破られる？今わかっていることと対策の話

「量子コンピュータでビットコインが破られる」。そんな見出しを見て、不安になって調べに来た人に向けた記事です。

先に、この記事が渡すことを1つだけ書きます。

「量子で破られる」は、今起きている話ではありません。先に危なくなるのは、公開鍵がブロックチェーン上に見えたままになっているコインです。対策の提案（BIP-360）はまだ草案です。その文書が利用者に求めているのは、使い回しなどで公開鍵を見せないことです。

根拠にしたのは、ビットコインの改善提案の原文（BIP-360）、2026年に公開された研究論文、ビットコインの技術情報を発信しているBitcoin Optech、米国立標準技術研究所（NIST）の発表です。どれも記事の最後にリンクを置いているので、同じ資料を自分で開けます。

※ 情報提供のみを目的としています。売買や特定のサービスの利用は勧めません。価格の見通しも示しません。

塾長とミサキ

当校の学習スペース。十月の夕方。ミサキが、スマートフォンを塾長の方へ向けた。

ミサキ

「塾長、これ見ました？『量子コンピュータでビットコインが破られる』って。……私、まだ何も買ってないのに。始める前から、もう意味ないじゃないですか」

塾長

「見出しは見た。……破られるのは、何だと思う」

ミサキ

「何って……ビットコインが、ですよね。お金ごと、全部」

塾長

「暗号の話だからな。狙われるのは、鍵のほうだ」

ミサキ

「鍵。……すみません、それ、どの鍵ですか。急に出てきても分からないです」

塾長

「雑だったな。鍵は2つで対になってる。自分のビットコインだって示すための、本人しか知らない番号が秘密鍵。送金のときに外に見せる番号が公開鍵だ。心配されてるのは、見えてる公開鍵から、秘密鍵を割り出されることだ」

ミサキ

「本人しか知らない番号を、外から当てられるかもしれない、ってことですか。……私、見出しだけで、お金ごと全部なくなる話だと思ってました」

塾長

「全部が同じように危ない、とは資料に書いてない。どれが先に危ないかは、書いてある。……そこから見てみよう」

1. 今わかっていること：暗号を破れる量子コンピュータは、「いつ」が分かっていない

ビットコインの暗号を破れるほどの量子コンピュータを、BIP-360はCRQC（Cryptographically Relevant Quantum Computer）と呼んでいます。BIP-360は、ビットコインの改善提案（BIP）の文書の1つで、量子コンピュータへの備えを提案しているものです。その文書は、こう書いています。

While it is unclear when or if CRQCs will become viable in the future

CRQCが将来いつ実用になるのか、そもそも実用になるのかは分からない（当校による訳）

同じ文書は、CRQCを「still in their infancy（まだ初期段階）」と書き、結びでは、量子コンピュータの特定の時期の見通しには立たない、と断っています。

一方、NISTは2024年8月の発表で、今の暗号を破れる装置が「within a decade（10年以内）」に現れうると予測する専門家もいる、と紹介しました。これは一部の専門家の予測の紹介で、NISTが時期を決めたものではありません。

つまり、時期についての決まった見通しはありません。 この記事が調べた資料の中に、「もうすぐ破られる」とも「量子コンピュータは来ない」とも言い切っているものはありませんでした。

新しく出た「どれくらいの規模が要るか」の見積もり

2026年3月には、論文の公開サイトarXivで、Ryan Babbush氏らの論文が公開されました。ビットコインなどが使う楕円曲線暗号を破るのに、どれくらいの量子コンピュータが要るかを新しく見積もったものです。

On superconducting architectures with 1e-3 physical error rates and planar connectivity, those circuits can execute in minutes using fewer than half a million physical qubits.

物理的な誤り率が1000分の1で、平面的につながった超伝導方式なら、その回路は50万個未満の物理量子ビットを使い、数分で実行できる（当校による訳）

ここは条件の付いた試算です。「この条件の機械があれば」という見積もりで、その機械がすでにある、という意味ではありません。 先に見たBIP-360の「まだ初期段階」と合わせて読んでください。なお、この論文とは別の研究（計算の量を減らす公開の課題）を伝えた報道でも、「直ちに解読できる水準ではない」と書かれています（二次情報）。

この論文には、もう2つ大事な所があります。1つは、攻撃の方法そのものは公開せず、ゼロ知識証明という方法で「結果が正しいこと」だけを示したこと（論文は、その理由を「responsible disclosure（責任ある開示）」のためと書いています）。もう1つは、量子に弱い暗号資産の各コミュニティに、耐量子暗号（PQC）への移行に「without delay（遅れずに）」加わるよう求めていることです。

2. 狙われるのは「鍵」：公開鍵から秘密鍵を割り出す

では、「破られる」とは何が起きることなのか。BIP-360は、量子コンピュータの主な脅威を、ビットコインの電子署名を守っている暗号の前提を崩すことだと書き、具体的にこう説明しています。

This allows the derivation of private keys from public keys — a process referred to here as quantum key recovery.

これにより、公開鍵から秘密鍵を割り出すことができる。この文書ではこれを「量子による鍵の復元」と呼ぶ（当校による訳）

署名を作るための秘密鍵が割り出されれば、署名で守っている仕組みが成り立たなくなります。秘密鍵と公開鍵がそれぞれ何かは、記事の最後に置いた当校の別の記事で説明しています。

ここで大事なのは、ビットコインに使われている暗号が、全部同じように弱くなるわけではないことです。Bitcoin Optechは、次のように分けて説明しています。

• 署名に使われている方式（ECDSA、シュノア署名）は、量子コンピュータで安全性が失われうる。
• マイニング（プルーフ・オブ・ワーク）などに使われるSHA256は、理想的な量子コンピュータでも、強さが「平方根」に下がる程度（256ビットの強さが128ビット相当になる）。倍の強さの方式に替えれば補える。

危ないのは、鍵のほうです。

先に予想してください

公開鍵から秘密鍵が割り出されるなら、公開鍵がどこかで見えていることが前提になります。では、次の2人のうち、狙われやすいとBIP-360が書いているのはどちらでしょうか。

A 受け取り用のアドレスを1つに決めて、そこから送金した後も、同じアドレスでまた受け取って置いておく（まとめて管理できる）

B 受け取るたびに新しいアドレスを使い、一度送金に使ったアドレスでは受け取らない（アドレスがどんどん増える）

決めてから、先へ進んでください。

答えはAです。BIP-360の用語集には、こう書かれています。

Poor wallet hygiene (e.g. from address reuse) or use of outputs with exposed public keys (e.g. P2TR outputs) increases vulnerability to long exposure attacks.

ウォレットの使い方がずさんなこと（例：アドレスの使い回し）や、公開鍵が見えている種類の出力（例：P2TR）を使うことは、長期露出攻撃への弱さを大きくする（当校による訳）

理由は、送金のときに起きることにあります。BIP-360は、ビットコインの送金の多くは、送金するときに、そのアドレスの公開鍵を見せる必要がある、と書いています。つまり、一度送金に使ったアドレスは、公開鍵がブロックチェーン上に残ります。 そこにまた受け取って置いておくと、そのコインは「公開鍵が見えたまま」の場所に置かれ続けることになります。まとめて管理できる、という便利さが、ここでは裏目に出ます。

「見えたまま」と「送金中」は、別の攻撃

BIP-360は、量子コンピュータによる攻撃を2つに分けています。

そして、先に来やすいのは長期露出攻撃だ、としています。

These are likely to be the earliest quantum attacks made possible on Bitcoin, because attackers will have ample time

これらは、ビットコインに対して最初に可能になる量子攻撃である可能性が高い。攻撃者に十分な時間があるからだ（当校による訳）

BIP-360の表では、もともと長期露出に弱い種類として、P2PKという形（例として、サトシ・ナカモトのコインや、CPUで採掘していた人たちのコインが挙げられています）、使い回されたアドレス、「bc1p」で始まるTaprootのアドレスが挙げられています。ほかの種類のアドレスも、公開鍵が出た時点で同じように弱くなる、と注が付いています。

3. 対策の今：BIP-360は草案で、移行は社会全体で始まっている

BIP-360は「Draft（草案）」

BIP-360の冒頭には「Status: Draft」とあります。中身は、ソフトフォークと呼ばれるルール変更の方法で、P2MR（Pay-to-Merkle-Root）という新しい種類の出力（受け取り先の形）を足す提案です。用語集にも「If Pay-to-Merkle-Root (P2MR) is activated（もしP2MRが有効化されれば）」とあり、まだ有効化された仕組みではありません。 有効化の時期や予定は、この記事の資料では見つかりませんでした。

そして、BIP-360自身が、これで全部が守られるわけではないと書いています。

P2MR does not, by itself, protect against short exposure quantum attacks, but these attacks can be mitigated by future activation of post-quantum signatures.

P2MRだけでは短期露出の量子攻撃は防げないが、将来、耐量子署名が有効化されれば和らげられる（当校による訳）

BIP-360は、長期露出への備えを「最初の一歩」と位置づけ、耐量子署名は別の提案として出すつもりだ、としています。耐量子署名の例として、NISTが標準にしたML-DSAやSLH-DSAの名前を挙げつつ、使う前に吟味が要る、とも書いています。

開発者の見方は1つではない

Bitcoin Optechは、量子コンピュータに強い署名の方式は知られているものの、鍵や署名のサイズがかなり大きくなるため、多くの開発者は必要になるまで切り替えを待つ方を好んでいるようだ、と説明しています。量子コンピュータの能力が少しずつ上がり、それを外から追えるなら、今の方式を使い続け、必要になりそうな時点で切り替えられる可能性が高い、という見方です。

一方で、1章の論文の著者たちは、移行を「遅れずに」と求めています。急ぐべきだという声と、必要になってからでよいという見方が、両方あります。 この記事は、どちらが正しいかを判断しません。

ビットコインだけの話ではない

NISTは2024年8月、量子コンピュータの攻撃に耐えるよう作られた暗号の標準を3つ確定したと発表しました（FIPS 203・204・205）。発表は、量子コンピュータが「ネットで私たちがすることのほぼすべて」を守っている今の暗号を破りうると書き、システムの管理者に、できるだけ早く新しい標準への移行を始めるよう促しています。量子コンピュータへの備えは、ビットコインだけでなく、ネット全体の暗号の話です。

4. 自分でできること：公開鍵を見せたままにしない

利用者の側について、BIP-360はこう書いています。

Protection from long exposure quantum attacks does not depend on the activation of post-quantum signatures in Bitcoin, but requires that users do not expose their public keys to attackers via public key reuse or other unsafe practices.

長期露出の量子攻撃から守ることは、ビットコインで耐量子署名が有効化されるかどうかには左右されない。ただし、利用者が公開鍵の使い回しなどの安全でないやり方で、攻撃者に公開鍵を見せないことが必要だ（当校による訳）

「公開鍵の使い回しなど」とあるように、使い回しは例の1つです。2章で見たBIP-360の説明から、自分で管理するウォレットを使っているなら、次の3つを確かめられます。

• 一度送金に使ったアドレスで、また受け取っていないか。（使い回されたアドレスは、長期露出に弱い種類に挙げられています）
• 受け取りに使っているアドレスが「bc1p」で始まっていないか。（BIP-360は、bc1pで始まるTaprootの出力を、使い回しとは関係なく、公開鍵が見えている種類に挙げています）
• 拡張公開鍵（xpub）などのウォレットの情報を、どこかに出していないか。（BIP-360は、xpubやウォレットのディスクリプタと呼ばれる情報も、公開鍵の情報を見せるものだと注記しています）

それ以上の対応（別の種類のアドレスへ移すなど）を、この記事は勧めません。BIP-360もまだ草案で、どの形が将来の標準になるかは決まっていないからです。

5. まだ言えないこと

• いつ、暗号を破れる量子コンピュータが実現するか。 BIP-360は「分からない」、NISTは「10年以内と予測する専門家もいる」と紹介。決まった見通しはありません。
• BIP-360が有効化されるか、いつ有効化されるか。 状態は草案で、予定は見つかっていません。
• 送金中を狙う攻撃（短期露出）が、いつ現実になるか。 BIP-360は、初期のCRQCが短期露出攻撃をできるほど速い可能性は低い（unlikely）と書いています。一方、1章の論文は、高速に動く方式の最初のCRQCが、一部の暗号資産で、承認待ちの送金を狙う攻撃を可能にする、と書いています。書き方が違い、当校はどちらとも判断しません。
• 公開鍵が見えているビットコインが、全体でどれくらいあるか。 推計を伝える報道はありますが、元の資料を確かめられていないため、数字は書きません。
• 取引所に預けているビットコインが、どう扱われているか。 取引所が使うアドレスの管理について、この記事の資料には書かれていません。
• 価格への影響。 扱いません。

塾長とミサキ（続き）

しばらくして、ミサキがメモを開いた。

ミサキ

「……書き直しました。『破られる』じゃなくて、『鍵を割り出されるかもしれない。いつかは分からない』」

塾長

「どれが先、は書いたか」

ミサキ

「『鍵が見えたままのもの』。送金に使ったアドレスに、また受け取って置いておく、とか。……私なら、1つのアドレスにまとめてました。その方が管理しやすいと思って」

塾長

「まとめたくなるのは分かる。楽だからな」

ミサキ

「始める前から意味ない、って思ったの、見出しだけで決めてました。買うかどうかは、これとは別の話ですよね」

塾長

「別の話だ。今日分かったのは、見出しと資料のあいだに、どれだけ距離があるか、だな」

ミサキ

「……でも、取引所に預けたままの人って、アドレスとか、どうなってるんですか」

塾長

「それは今日の資料には書いてない。この前の、置き場所の話の続きだな。次はそこを確かめよう」

今日できること

見出しで「破られる」を見たら、3つだけ分けて読んでください。

• 何が破られるのか（公開鍵から秘密鍵を割り出すこと）
• いつなのか（分かっていない）
• どれが先なのか（公開鍵が見えたままのコイン）

自分で管理するウォレットを使っているなら、一度送金に使ったアドレスでまた受け取っていないか、受け取りのアドレスが「bc1p」で始まっていないか、xpubなどのウォレットの情報を出していないかを見てください。

この記事の一次情報と確認日

下の資料は、本文を取得して保存した写しと引用を照合しています（確認日：2026年10月19日）。英語の資料の訳は当校によるものです。

一次情報

• BIP-360: Pay-to-Merkle-Root (P2MR)（bitcoin/bips 公式リポジトリ）：xpubやウォレットのディスクリプタも公開鍵の情報を見せるという注記、状態が草案（Status: Draft）であること、ソフトフォークでP2MRを足す提案であること、CRQCの実現時期は分からず「まだ初期段階」とし特定の時期の見通しに立たないこと、脅威の中身（公開鍵から秘密鍵を割り出す）、長期露出と短期露出の定義と、長期露出が先に来やすいこと、送金の多くで公開鍵を見せる必要があること、アドレスの使い回しが弱さを大きくすること、長期露出に弱い種類（P2PK・使い回されたアドレス・bc1pのTaproot）、P2MRだけでは短期露出を防げないこと、耐量子署名は別の提案とすること、耐量子署名の例（ML-DSA・SLH-DSA）、利用者が公開鍵を使い回さないことが必要なこと、初期のCRQCが短期露出攻撃をできるほど速い可能性は低いとしていること。
• Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations（arXiv:2603.28846、2026年3月30日公開・4月15日改訂）：必要な規模の新しい見積もり（条件付きで50万個未満の物理量子ビット・数分）、攻撃方法を公開せずゼロ知識証明で結果を示したこと、高速に動く方式の最初のCRQCが一部の暗号資産で承認待ちの送金を狙う攻撃を可能にするとしていること、耐量子暗号への移行を遅れずに進めるよう求めていること。
• Quantum resistance（Bitcoin Optech）：署名の方式（ECDSA・シュノア署名）とSHA256の弱まり方の違い、多くの開発者が必要になるまで切り替えを待つ方を好んでいるようだという説明、能力の向上を追えるなら必要な時点で切り替えられる可能性が高いという見方。
• NIST Releases First 3 Finalized Post-Quantum Encryption Standards（米国立標準技術研究所、2024年8月13日）：耐量子暗号の標準3つ（FIPS 203・204・205）の確定、量子コンピュータがネット全体の暗号を破りうること、10年以内と予測する専門家もいるという紹介、できるだけ早く移行を始めるよう促していること。

二次情報

• ビットコイン・イーサリアム向け量子攻撃コスト、2カ月で半減以下に（Digital Today 日本語版、2026年9月11日）：計算の量を減らす公開の課題についての報道で、「直ちに解読できる水準ではない」という書き方、公開鍵が見えているアドレスにあるビットコインの量の推計が報じられていること（数字は元の資料を確かめていないため本文では使っていません）。

この記事が確認していないこと

• 暗号を破れる量子コンピュータがいつ実現するかの公式な見通し
• BIP-360がビットコインで有効化される時期・予定
• 公開鍵が見えているアドレスにあるビットコインの量の、元の資料（報道で伝えられている推計の出どころ）
• 報道で伝えられている、量子回路を効率化した研究の数字の元の資料
• 取引所に預けたビットコインのアドレスの管理のされ方
• NISTの別の文書（NIST IR 8547）にあるとされる、楕円曲線暗号の扱いの予定の年

当校の関連記事

• 秘密鍵と公開鍵の解説記事：この記事で何度も出てきた「秘密鍵」「公開鍵」が何かを説明しています。
• ミサキの0からクリプト 第8話｜ミサキ、置き場所を考える：会社（取引所）に預けることと、自分で管理することの違い。最後にミサキが持ち帰った疑問の入口です。

この記事は情報提供のみを目的としており、特定の暗号資産の売買や、特定のサービスへの登録を勧めるものではありません。価格の見通しは示していません。