Cryptopolitan レポート：読者のほぼ半数が、量子コンピューティングが2035年までに Bitcoin を破ると考えている

私たちは ニュースレターの を破ることができるかどうか Bitcoin を尋ねました。先週7月28日、まだ一般に公開されていないAIモデルが、2年間の人間の検証でも見落とされていたポスト量子署名方式の欠陥を発見しました。この件には量子コンピューターは関与していません。本レポートでは Bitcoin 実際に何に依存しているのか、BTCに対する実際の脅威、そして先週の出来事が量子タイムラインと全く新しい次元を加える理由について解説します。 

読者がたどり着いた場所

「2030年までに」と回答した人たちを「はい、おそらくそうなるでしょう」という回答者に加えると、読者の47%が今後9年以内に Bitcoin の量子解読の可能性を見出していることになります。現在までに、実際の量子ハードウェアで解読された最大の楕円曲線鍵は15ビットで、これは今年4月にプロジェクトイレブンのQ-Day賞を獲得した研究者によって達成されました。参考までに、 Bitcoinの鍵は256ビットであり、9年以内に1から1に到達するには、並外れた技術革新が必要になります。この読者の約3分の1は、現在これを現実的な可能性として捉えています。. 

ビットコインにとって実際に何がリスクとなるのか

世論調査の結果を詳しく議論する前に、 Bitcoin 何も暗号化しないということを明確にしておくことが重要です。秘密のメッセージが暗号化されることはなく、ネットワーク上のすべての取引は開始以来常に公開されています。 Bitcoin 行っているのは署名とハッシュ化です。これらは2つの異なる役割、2つの異なる数学的手法、2つの全く異なる量子的な時間軸です。. 

署名部分は公開されている部分であり、脆弱性が存在する部分です。 Bitcoinを使うと、ウォレットはコインの所有権を証明する署名を生成します。これはsecp256k1と呼ばれる楕円曲線暗号で行われます。 Bitcoin 長年にわたり2つの署名方法を使用してきました。当初はECDSA、2021年からはSchnorrです。どちらの方法のセキュリティも、公開鍵から秘密鍵を導き出すことは不可能であるという1つの前提に基づいています。. 

ここでショアのアルゴリズムが登場し、その前提を覆そうとします。十分な大きさの量子コンピュータがあれば、公開鍵からそれを生成した秘密鍵を逆算することができます。今年3月、 Googleの研究者たちは 、必要な量子ビット数を論理量子ビット1,200個未満、物理量子ビット50万個未満と推定する論文を発表しました。その後、CaltechとOratomicによる論文では、中性原子アーキテクチャを使用して、量子ビット数を1万個まで減らすことに成功しました。これに近いものはまだ誰も作っていません。しかし、以前はこれらの数字は数百万個にも達しており、この方向性こそが、 Bitcoin 開発者たちがこれを2040年代の問題として扱うのをやめた理由です。 

ハッシュ関数に関しては、はるかに優れた状態にある。 Bitcoin マイニング、アドレス生成、ブロックの連結にSHA-256を使用している。これに対する最良の量子攻撃はグローバーのアルゴリズムだが、速度向上は2乗に過ぎない。実際には、これにより256ビットのセキュリティは128ビット程度に低下するが、これはこれまで誰かが設計したどのコンピュータでも到底到達できないレベルである。マイニングは弱点ではなく、チェーン構造も弱点ではない。.

つまり、正確な表現は「量子コンピューティングが Bitcoinを破壊する」よりも狭い範囲にとどまる。リスクにさらされているのは、公開鍵が既にブロックチェーン上に公開されているコインだ。これは、以前にアドレスが使用されたことがある場合や、資金がデフォルトで鍵を公開する古いアドレス形式にある場合に発生する。現在の推定では、650万～690万BTC、つまり総供給量の約4分の1～3分の1に相当し、この数字には、サトシ・ナカモトのものと広く信じられている初期のアドレスにある約170万コインが含まれている。. 

最新のアドレスに保管され、一度も使われていないコインは、公開鍵を一切公開しません。そのようなコインの場合、量子攻撃者は、トランザクションが承認待ちでmempoolに留まる数分間しか攻撃の機会を得られません。それでも解決すべき問題ではありますが、見出しの数字が示唆するほど深刻な問題ではありません。.

Bitcoinが量子問題に答える

2026年2月11日、 に統合されました Bitcoin BIPリポジトリ。これは、ネットワーク上で初めて正式な量子耐性に関する提案として承認されたものです。BIP-360では、Hunter Beast、Ethan Heilman、Isabel Foxen Dukeによって考案された、Pay-to-Merkle-Root（P2MR）と呼ばれる新しい出力タイプが導入されています。

P2MRは基本的に、キーパスの支出機能を除いたTaprootです。Taprootは内部公開鍵とスクリプトのマークルルートの両方にコミットするため、鍵は常にチェーン上の情報から導出可能です。一方、P2MRはマークルルートにのみコミットします。実際に支出するまで公開鍵は表示されず、支出後も使用したリーフのみが表示されます。これにより、長期暴露による脆弱性が解消されます。.

4月14日には、ECDSAとSchnorrの決済手段を完全に廃止する3段階計画を盛り込んだ関連提案BIP-361が提出された。議論を呼んでいるのはこの提案で、第3段階では移行されないコインが事実上凍結されることになる。.

じっくり考える価値があるのはここです。ヘイルマン氏自身の見積も​​りでは、合意形成から完全な量子耐性まで7年かかるとされていますが、彼はそれを楽観的だと述べています。レビューとテストに2年半。有効化に半年。その後、ウォレット、カストディアン、ライトニングノード、財務ソフトウェアの約90%が実際にアップグレードされるまでさらに5年かかります。注目すべきは、BIP-360にはポスト量子署名が全く含まれていないことです。これらは2025年7月に削除され、将来の提案に延期されました。 Bitcoin 最終的に採用するスキームは、NISTがすでに最終決定したアルゴリズムであるML-DSAまたはSLH-DSAになる可能性が最も高いです。.

そして、それが先週の話につながります。.

ポスト量子方式は失敗に終わり、量子コンピュータは関与していなかった。

7月28日、Anthropic社のFrontier Red Teamは、一般には公開されていないモデルであるClaude Mythos Previewによる調査結果を発表した。エージェント環境下で半自律的に動作した同チームは、NISTが主催するポスト量子署名コンテストの最終候補9件のうちの1つであり、5月に第3ラウンドに進出した唯一の格子ベースのスキームであるHAWKに対する、これまで知られていなかった攻撃を発見した。

この攻撃は、これまで誰も利用したことのないHAWKの格子構造の対称性を悪用した。HAWK-256パラメータセットの場合、鍵復元に必要な作業量を約2^64演算から約2^38演算にまで削減した。簡単に言えば、これは「地球上のどの攻撃者もこの攻撃は行っていない」というレベルから「資金力のあるチームなら試みる可能性がある」というレベルまでのギャップに相当する。

さて、ここからが本題で気になる点です。HAWKは既に2年間にわたる専門家による2回のレビューを通過していました。このモデルは約60時間で欠陥を発見し、API費用は約10万ドルでした。プロジェクトを監督していた研究者は理論計算機科学のバックグラウンドを持ち、格子暗号の専門家ではありませんでした。.

Googleのポスト量子暗号研究者であるソフィー・シュミーグ氏は、この状況を「基本的にこの論文によってHAWKは終わった」と5語で要約した。HAWKチームは翌日、NISTの検討対象からこの方式を取り下げ、パラメータを倍増したり、より高ランクのモジュールに移行したりといった明らかな修正策では、代替案に対して競争力を失ってしまうと指摘した。.

量子コンピュータは一切関与していません。破られたのはポスト量子暗号であり、 classicAIモデルが長い週末をかけてそれを破ったのです。.

世論調査が実際に明らかにしたこと 

今回のアンケートでは、すべての選択肢で同じ根本的な質問を投げかけました。それは、「量子ハードウェアはいつ登場するのか」というものです。読者の意見はそれについてかなり分かれましたが、47%が9年以内に登場と回答したという結果は、今年の量子ビット予測の推移を考慮すると妥当なものです。.

しかし、HAWKの実験結果は、ハードウェアのタイムラインが必ずしも制約要因ではないことを示唆している。「すぐには実現しない」または「2050年以降」と投票した33%の人々は、量子工学について賭けをしていたのであり、彼らの判断は正しいかもしれない。しかし、その賭けは、置換アルゴリズムに対する classicAI攻撃から彼らを守るものではない。.

「わからない」と答えた20％の人々にも、一定の評価を与えるべきだろう。これほど熱心な視聴者層において、5人に1人が推測を拒否するということは、無関心というわけではない。むしろ、ハードウェアの進歩、アルゴリズムの選択、合意形成のタイムライン、そして今やAIを活用した暗号解読が、それを検知するために構築された審査プロセスよりも速いスピードで進んでいることなど、どれだけの未知の要素が積み重なっているかを正確に評価しているように思える。.