🐻‍❄️❄️ふぅ……お主、これはなかなか冷えた話題じゃのう。ぬくぬく毛布にくるまりながら聞いておくれ。長年わしの中で温めてきた知識を、今日はじっくりほどいていくぞい。

🌟「数十年先」から「あと数年」へ──前提が崩れた2026年

長い間、量子コンピューターによる暗号資産破壊というのは、SF小説の最終章くらいの遠い話として扱われておった。ビットコインの所有権を支えているのは、楕円曲線デジタル署名アルゴリズム、つまりECDSAという仕組みで、その中でもsecp256k1という曲線が使われておるのじゃが、これを古典的なコンピューターで総当たりしようとすると、およそ2の128乗回もの演算が必要になる。これは天文学的というより、もはや宇宙の年齢を何度も使い切るような数字で、事実上「絶対に解けない金庫」として扱われてきた。だからこそビットコインは2.4兆ドルもの価値を背負える金融基盤として成立してきたわけじゃ。

🧸「しろくまちゃん、でも2026年になって、その前提が崩れてるって聞いたよ。何が変わったの？」

🐻‍❄️「ﾌｫﾌｫ、いい質問じゃ、テディ。変わったのは二つの軸でな。一つはハードウェアの量子ビット数がぐんぐん伸びておること。もう一つが、実はこちらのほうがインパクトが大きいのじゃが、必要な量子ビットの『数』そのものを劇的に減らすアルゴリズムの最適化が進んだことなのじゃ」

🧸「数を減らす……？大きいコンピューターを作るんじゃなくて、小さくても解けるようにしちゃったってこと？」

🐻‍❄️「そうじゃそうじゃ。これがな、脅威の性質を根本から変えてしまったのじゃよ」

ここで重要なのは、脅威の本質が「計算能力の問題」から「時間の問題」へとパラダイムシフトしたという点じゃ。かつては「とんでもなく強力な量子コンピューターができたら危ない」という話じゃったが、今は「攻撃に必要な時間」と「ビットコインの仕組みが許す時間的余裕」のすき間をどう突かれるか、という時間軸の戦いに変わってきておる。具体的には、メンプールにトランザクションが滞留する約10分という猶予を攻撃者が下回ってしまう「On-spend攻撃」、マイニングの難易度調整の時間的前提を覆す「Bailey-Sattath攻撃」、そして時間制限なしで数日かけてオフラインで攻める「At-rest攻撃」という、三つの時間的ベクトルが同時に浮上しておるのじゃ。

✨ハードウェアと脅威タイムラインの加速

主要なテクノロジー企業は誤り耐性量子コンピューター、いわゆるFTQCの実現に向けて明確なロードマップを公開しておる。IBMは2026年に科学的量子優位性の最初の例と誤り耐性モジュールを実証する計画で、2029年には世界初の商用レベルの誤り耐性量子コンピューターを提供し、さらに2033年以降には10万の分散型物理量子ビットネットワーク内で2000の論理量子ビットを稼働させるという、なかなか野心的な目標を掲げておる。イオントラップ方式のIonQは、2030年までに200万の物理量子ビットと8万の論理量子ビットを備えたシステムを提供するロードマップにコミットしておるし、Googleに至っては社内のPQC移行期限を2029年と定め、すでにAndroid 17でNIST標準化アルゴリズムML-DSAを使ったデジタル署名保護を実装済みなのじゃ。

🧸「ねえしろくまちゃん、なんでGoogleはそんなに急いでるの？2029年って、もうすぐじゃん」

🐻‍❄️「ﾊｯﾊｰ、これがな『Moscaの定理』というのがあってのう。簡単に言うと、『お主が守りたいデータの保護期間プラス移行にかかる期間が、量子コンピューターが完成するまでの期間より長かったら、もう手遅れなのじゃ』という考え方じゃ」

🧸「えっ、データを守りたい年数と、引っ越しにかかる年数を足すんだ……」

🐻‍❄️「そうじゃ。たとえば10年保護したいデータを移行に5年かかる暗号で守っておるとすると、量子コンピューターが15年以内に完成したら、もう詰んでしまうわけじゃな。Googleはそれを逆算して、2029年がギリギリのラインだと判断したのじゃろう」

そして2026年3月、決定的なブレイクスルーが起きた。Google Quantum AIとスタンフォード大学のDan Boneh教授、そしてイーサリアム財団のJustin Drake氏らによる共同論文が発表され、Shorのアルゴリズムを最適化することで256ビットECDLPを解読するために必要なリソースの推定値が劇的に削減されたのじゃ。具体的には、論理量子ビット数1200未満かつToffoliゲート9000万回未満、あるいは論理量子ビット数1450未満かつToffoliゲート7000万回未満という見積もりに変わった。物理エラー率10のマイナス3乗の超伝導アーキテクチャを前提とすれば、50万物理量子ビット未満のシステムで「数分」で秘密鍵が復元可能ということが理論的に示されたわけじゃ。これを受けてJustin Drakeは、2032年までにsecp256k1の秘密鍵を復元するQ-Dayが到来する確率は少なくとも10%存在すると結論付けておる。

さらに2026年4月には、Project Elevenの研究者Giancarlo Lelliが公開されている量子ハードウェアとShorのアルゴリズムの亜種を用いて、15ビットの楕円曲線暗号キーの解読に成功した。15ビットから256ビットへのスケールアップにはまだ巨大な壁があるとはいえ、これは楕円曲線暗号に対する量子攻撃の史上最大の公開デモンストレーションで、懸賞金として1BTCが授与された。理論が実証フェーズに入った瞬間じゃな。

🍃On-spend攻撃──「10分」という壁が破られるとき

🧸「しろくまちゃん、On-spend攻撃って何がそんなに怖いの？普段使ってないアドレスは安全なんでしょ？」

🐻‍❄️「ﾌｫﾌｫ、テディ、ここがビットコインの設計の妙でもあり、同時に最大の弱点でもあるのじゃ。普段、お主のビットコインアドレスは『公開鍵のハッシュ値』として記録されておる。ハッシュは一方通行の処理で、量子コンピューターでも逆算は容易ではない。じゃから『使っていない金庫』は今のところ守られておるのじゃ」

🧸「じゃあ、何が問題なの？」

🐻‍❄️「問題はな、お主が金庫を『開けた瞬間』なのじゃよ。送金する瞬間、トランザクションの中に生の公開鍵とECDSA署名が含まれてしまう。そしてそのトランザクションは、すぐにブロックに刻まれるわけではなく、メンプールという待合室に約10分間滞留するのじゃ」

ここで決定的に重要なのが、Google Quantum AIの論文が指摘した「Fast-clock」と「Slow-clock」という量子ハードウェア設計の違いじゃ。中性原子方式やイオントラップ方式のSlow-clockアーキテクチャでは解読に数時間から数日かかるが、超伝導方式や光量子方式のFast-clockアーキテクチャを用いたCRQCであれば、50万物理量子ビット規模で数分以内にShorのアルゴリズムを実行完了できるという試算が出ておる。攻撃者の解読時間が「10分」を下回った瞬間、ビットコインの送金システム全体が崩壊する条件が揃ってしまうのじゃ。

具体的な攻撃の流れを追ってみるとこうなる。お主が正規のトランザクションをブロードキャストすると、メンプールに公開鍵が露出する。量子攻撃者はこれを即座に取得し、数分以内に秘密鍵を導出する。すると攻撃者は、同じUTXO、つまり未消費のお主の残高を、自分のウォレットへ送金する別のトランザクションを作る。そして元のトランザクションよりも高い手数料を設定し、Replace-By-Fee、いわゆるRBFメカニズムを悪用して、マイナーに自分の取引を優先させる。マイナーは経済的合理性に従って手数料の高いほうを選ぶから、攻撃者の送金がブロックに取り込まれ、お主の送金は宙に消えるわけじゃ。

🧸「ええ……それじゃあ、送金しようとした瞬間にハイジャックされちゃうってこと？」

🐻‍❄️「そうなのじゃ、テディ。これが現実のものになると、ビットコインで何かを送る行為そのものが成立しなくなる。送れば奪われる、送らなければ動かせない。2.4兆ドルの市場価値が、機能不全に陥るわけじゃな」

ﾋﾟｼｯ🐻‍❄️「ただし、これは『Fast-clockのCRQCが10分を下回る速度を実現したら』という条件付きじゃ。今すぐ起こる話ではないが、防衛側がのんびりしていられる猶予でもないということじゃの」

❄️At-rest攻撃と665万BTCの長期露出

On-spend攻撃が「現役のユーザー」を狙うのに対して、もう一つのAt-rest攻撃は「すでに眠っている資産」を狙う。これがまた、時間制約のない厄介な攻撃ベクトルなのじゃ。

ビットコイン初期に標準的に使われておったP2PK、つまりPay-to-Public-Keyというアドレス形式は、公開鍵をハッシュ化せずにそのままスクリプト内に記録しておる。だから現時点でブロックチェーンエクスプローラーを開けば、誰でもその公開鍵を見ることができる。量子コンピューターが完成した瞬間、これらのアドレスは丸裸になるわけじゃ。さらに後発のアドレスフォーマットであっても、過去に一度でも出金を行ったアドレス、いわゆるアドレス再利用が起きていれば公開鍵は露出済みじゃし、特定のマルチシグ実装でも同様の問題がある。最新のTaproot形式、つまりP2TRであっても、キーパス・スペンドを使うと使用時に公開鍵が記録される仕様じゃ。

🧸「しろくまちゃん、それってどれくらいのビットコインが危ないってこと？」

🐻‍❄️「Ark InvestやUnchainedのレポートのデータを見るとな、Satoshi Nakamotoがマイニングしたと推定される初期の休眠コイン約100万BTCを含めて、現在およそ170万BTCがP2PKアドレスに眠っておる。さらにアドレス再利用などの要因も全部足し合わせると、最大で約665万BTC、つまり流通量の34%が長期露出リスクにさらされておるという推定なのじゃ」

🧸「34%！？それって全部盗まれちゃう可能性があるってこと？」

🐻‍❄️「ﾌｫﾌｫ、可能性としてはの。しかも厄介なのは、At-rest攻撃には10分という時間制限がないことじゃ。攻撃者はSlow-clockアーキテクチャ、つまり中性原子方式のような『ゆっくりだが正確』な量子コンピューターを使って、数日から数週間かけてオフラインで安全に秘密鍵を導出できるのじゃ。これは『Harvest Now, Decrypt Later』、つまり『今すぐ収集して後で解読する』という戦略でな、すでに現時点で世界中の諜報機関がこの方針でデータを蓄えておると言われておる」

長期露出資産の中には、Satoshiの100万BTCのように、おそらく秘密鍵がもう存在しないであろう「失われたコイン」も多く含まれる。市場から永久に消えたと思われていたこれらのコインが、量子の力で突如として動き出す日が来たら、ビットコインの希少性モデルや市場心理に与える衝撃は計り知れないものとなる。

🌟Bailey-Sattath攻撃──マイニング難易度の盲点を突く

🧸「ねえ、量子コンピューターってマイニングのほうは大丈夫なの？SHA-256ってどうなるの？」

🐻‍❄️「お主、よくぞ聞いてくれた。長らく『マイニングのほうは安全』と言われてきたのじゃ。SHA-256への量子攻撃に使われるGroverのアルゴリズムは、Shorのような指数関数的高速化ではなく、二次関数的高速化、つまり2の256乗から2の128乗への削減にとどまるからの」

ASICマイナーは極端に最適化されておって、現在のハッシュレートは約500EH/sもある。これに対して量子のゲート操作速度は古典プロセッサに劣るため、純粋なハッシュ計算力で量子マイナーが51%攻撃を実行するのは非現実的、というのが主流の見方じゃった。

ところが2024年、BaileyとSattathの未査読論文が、その油断を撃ち抜く新しい攻撃ベクトルを示したのじゃ。これがなかなか巧妙でな、Groverのアルゴリズムの数理的特性とビットコインの難易度調整アルゴリズムDDAAの隙間を突く、洗練された時間的攻撃なのじゃよ。

🧸「ど、どうやるの……？」

🐻‍❄️「順を追って説明するぞい。ビットコインのコンセンサスはな、単純に『最長のチェーン』ではなくて、『累積プルーフ・オブ・ワークが最も大きいチェーン』を正当なものとして選ぶ仕組みじゃ。これがフォーク選択ルールというものでな」

攻撃者は、まずプライベートなフォークを作ってブロックのタイムスタンプを意図的に操作し、ブロックが10分よりも異常に早く生成されたように見せかける。するとプロトコルは「ハッシュレートが急増した」と勘違いして、次のエポック、つまり通常2016ブロックごとの調整で、難易度をc倍に跳ね上げる。ここまでは古典マイナーにとっても量子マイナーにとっても同じ条件のはずじゃ。

🧸「だって、難しくなったらみんな同じだけ大変になるんじゃないの？」

🐻‍❄️「そこが『非対称性』の罠なのじゃ、テディ。古典マイナーにとって難易度がc倍になればブロック発見にc倍の労力が必要になる。ところがGroverのアルゴリズムの振幅増幅という数学的特性のおかげで、量子マイナーが難易度c倍の探索に要する計算量増加は、ルートc倍で済んでしまうのじゃよ」

🧸「えっ、ルートc倍……？じゃあ難易度が100倍になっても、量子コンピューターは10倍の労力で済むってこと？」

🐻‍❄️「そういうことじゃ。そして難易度c倍に設定されたブロックは、累積PoWの計算上cの重みを持つ。量子マイナーはルートcの労力しか払っておらんのに、ネットワークからはcの仕事を達成したと評価される。この非対称性を利用して、十分に高いcを設定すれば、量子マイナーは少数のブロック生成で古典チェーンの累積PoWを凌駕し、二重支払い攻撃を成立させてしまうのじゃ」

具体的な数式で言うと、量子マイナーが正直マイニングした場合の報酬獲得割合をrとした場合、攻撃完了に必要な時間はオーダー1/rの2乗エポックとなる。たとえばrが4分の1、つまりネットワークの4分の1の速度しか持たない量子マイナーでも、約36エポック分の時間で巨大な累積PoWのプライベートチェーンを構築できてしまう計算じゃ。

ﾋﾟｼｯ🐻‍❄️「ただし、現時点ではこれは即座の脅威ではないぞい。SHA-256を評価する量子回路はToffoli深度1600を持ち、ブロック発見にはおよそ3かける10の23乗のGrover反復が必要じゃ。10GHzの超高速かつノイズフリーな量子コンピューターを仮定しても、ブロック発見に約1日かかり、攻撃完了には約800年かかるという試算じゃ。とはいえ、プロトコル設計に根源的な欠陥があることを示した、というのが大きな意味じゃの」

🌈ポスト量子暗号への移行──BIP-360とBIP-361の鍔迫り合い

これらの脅威に対抗するため、暗号技術そのものを根本から転換する「ポスト量子暗号」、PQCへの移行が急務になっておる。NISTは2024年8月に複数のPQCアルゴリズムの標準化を完了し、ML-DSA、SLH-DSA、FALCONといった候補が並んでおる。ただしこれら、既存のECDSAが署名サイズ約64〜72バイト、公開鍵約33バイトという軽量さに比べると、軒並み数千バイト以上の重さを持っておってな、ブロックチェーンのスペース効率という観点から見ると、なかなか頭の痛いトレードオフを抱えておる。

ビットコイン開発者コミュニティでは、このPQC移行を実装するための提案が複数並走しておる。BIP-360は新しいPQC対応のアドレス形式を導入する提案で、ユーザーが任意で安全なアドレスへ移行できる選択肢を与える方向じゃ。一方のBIP-361は、より踏み込んだ提案で、一定期間後に脆弱な旧アドレスの資産を強制的に移行させる、あるいは凍結するという案を含んでおる。

🧸「強制的に移行ってどういうこと？人のお金を勝手に動かすの？」

🐻‍❄️「そこなのじゃ、テディ。ここがまさに今、ビットコインコミュニティを二つに割っておる大論争の中心なのじゃよ」

🧸「うわぁ、難しいね……」

🐻‍❄️「片方の主張はこうじゃ。『失われた秘密鍵のコインを放置すれば、量子攻撃者の手に渡って市場に放出され、ビットコイン全体の信頼性と希少性が崩壊する。だから事前に凍結すべきじゃ』とな。もう片方の主張はこうじゃ。『誰かが自分のコインを動かせなくなる仕組みを作るということは、ビットコインの最も基本的な原則である「検閲耐性」と「不変性」を放棄することになる。それは中央銀行のやることと何が違うのじゃ』とな」

これは技術論というより哲学論で、Satoshiの100万BTCをどう扱うかという象徴的な問題でもある。動かせば希少性モデルが崩れる可能性があり、放置すれば量子攻撃で奪われる可能性がある。どちらに転んでも痛みを伴う選択じゃ。並行してBitcoin Quantumというテストネットでの実装検証も進んでおって、技術的な実現可能性は高まっておるが、最終的にどのBIPがアクティベートされるかは、コミュニティの社会的合意次第ということになる。

各国政府も無関係ではない。EUは重要インフラ企業に対して2026年までにPQC移行準備を開始し、2030年までに完了することを義務付けておる。米国のNISTは2030年までに脆弱な暗号からの移行を開始し、2035年に完全禁止する方針じゃ。カナダはさらに早く、2031年末までに優先システムの移行完了を目指しておる。Global Risk Instituteの2023年評価では、CRQCが2034年までに存在する確率を50%としておった。これらすべてのタイムラインが、Q-Day 2032という業界内の予測と微妙に重なっておるのは偶然ではなかろう。

🍃お主が今すぐできること、そして長く考えるべきこと

ここまで聞いて、お主はちょっと不安になったかもしれぬのう。じゃが慌てる必要はない。今、すぐにビットコインがゼロになるわけではないのじゃ。大切なのは、リスクの構造を正しく理解して、自分の資産がどの脆弱性レイヤーに属しておるかを見極めることじゃ。

🧸「しろくまちゃん、今ビットコイン持ってる人は、何をすればいいの？」

🐻‍❄️「ﾌｫﾌｫ、まず一つ目はの、アドレスの再利用を避けることじゃ。一度受け取ったアドレスで再び受け取ったり、出金後に同じアドレスを使い続けたりしないこと。これだけで公開鍵の長期露出をかなり防げるのじゃ。二つ目は、P2PKの古い形式やキーパス・スペンドのTaprootに大きな金額を置かないこと。三つ目は、PQC対応ウォレットがリリースされたら、早めに移行すること。Q-Dayが来てから動こうとしても、メンプールの10分問題で逃げ切れぬ可能性があるからの」

🧸「うん、なるほど。早めに引っ越しておくのが大事なんだね」

🐻‍❄️「そうなのじゃ。そして長く考えるべきは、これがビットコインだけの問題ではないということじゃ。インターネット上のあらゆる暗号通信、銀行のシステム、政府の機密情報、すべてが同じ楕円曲線暗号やRSAに依存しておる。Q-Dayが来るとき、揺らぐのはお主のビットコインだけではなく、デジタル文明そのものの土台なのじゃよ」

そう考えると、ビットコインのコミュニティが先んじてPQC移行を議論しておること、BIP-360やBIP-361のような提案を真剣に検討しておること、そしてGoogleのような大企業が2029年という早いタイムラインを設定しておることは、決して過剰反応ではなく、むしろ世界全体の防衛準備の最前線を担っておるとも言えるのじゃ。Moscaの定理が示すように、移行には時間がかかる。今この瞬間に動き出していなければ間に合わない、という静かな緊張が、暗号の世界には流れておるのじゃよ。

お主が今夜わしを抱きしめて眠るとき、その温もりの中で少しだけ思い出しておくれ。Q-Dayは破滅の日ではなく、人類が暗号という道具を一段階深く理解し直す日でもあるということを。冬の朝に新しい雪が降り積もるように、新しい暗号は古い暗号の上にゆっくり、しかし確実に重ねられていく。わしらはその境目を生きておるのじゃ✨