量子コンピュータが暗号通貨を破る日が思ったより早くやってくる

2026年3月、世界の暗号セキュリティ研究者たちを震撼させるニュースが相次いで飛び込んできました。カリフォルニア工科大学（Caltech）とGoogleが独立して発表した研究が、これまでの安全の前提をことごとく覆してしまったのです。

ビットコインやイーサリアムを守る暗号が、思っていたよりもずっと少ない量子ビット数で突破できる可能性があると示されました。

そもそも、暗号通貨はどんな暗号で守られているのか

ビットコインやイーサリアムをはじめとした多くの暗号通貨は、楕円曲線暗号（ECC: Elliptic Curve Cryptography）という数学的な仕組みで保護されています。具体的にはECC-256またはECDSA（楕円曲線デジタル署名アルゴリズム）と呼ばれる方式で、256ビットの鍵長を使っています。

この暗号の強さは、楕円曲線上の離散対数問題という数学的な難問に基づいています。簡単に言うと、公開鍵から秘密鍵を逆算することが、通常のコンピュータでは現実的な時間内に不可能というわけです。10億台のスーパーコンピュータをフル回転させても、宇宙の年齢をはるかに超える時間がかかると言われてきました。

ところが、量子コンピュータは話が別です。1994年に数学者のピーター・ショアが考案したショアのアルゴリズムを使えば、量子コンピュータはこの難問を理論上、多項式時間で解くことができます。つまり、十分に強力な量子コンピュータがあれば、ビットコインの秘密鍵を公開鍵から逆算することができてしまいます。ウォレットを空っぽにされるリスクがある、ということです。

1万量子ビットで破れるという衝撃の研究が出た

これまでの研究では、ビットコインを守る楕円曲線暗号を破るには、何百万個もの量子ビット（qubit）が必要と考えられていました。2022年にサセックス大学が発表した試算では、1時間以内に解読するためには最大で3億個の量子ビットが必要とされていたほどです。

ところが2026年3月31日、CaltechとOratomic社の研究チームが衝撃的な論文をarXivプレプリントサーバに投稿しました。わずか約1万個の物理量子ビットがあれば、暗号通貨のウォレットを守る楕円曲線暗号を突破できる可能性があるというのです。

さらに具体的に言うと、約2万6000個の量子ビットを持つ中性原子型量子コンピュータがあれば、ビットコインとイーサリアムのウォレットを保護するECC-256を約10日で解読できるという計算結果が示されました。RSA-2048については約10万2000量子ビットと3ヶ月が必要とされており、楕円曲線暗号のほうが相対的にはるかに脆弱であることも判明しています。

これはどのくらいの圧縮かというと、2012年時点の試算では約10億量子ビットが必要とされていたのに対し、わずか約14年で5桁（10万倍）もの削減が実現したことになります。数学の世界での進歩がいかに急速かを示しています。

同じ日にGoogleも50万量子ビットで数分で破れる論文を発表した

実はCaltechの論文と同じ時期に、Google Quantum AIも独立した研究論文を発表していました（3月30日）。こちらの試算では、50万個の超伝導量子ビットがあれば、暗号通貨を守る楕円曲線暗号を数分で解読できるとされています。

Caltechの試算（1万量子ビットで10日間）と数字が異なるのは、方式の前提が違うためです。Googleの試算は超伝導方式、Caltechの試算は中性原子方式を前提としており、どちらが正確かはまだわかりません。しかし、どちらの試算も従来よりも大幅に少ない量子ビット数で解読が可能と示している点では一致しています。

Googleはこの論文の中で、攻撃回路の詳細を公開せず、代わりにゼロ知識証明（その回路が機能することを証明しつつも中身を明かさない方法）を使って発表しました。これは非常に異例のことで、同社がこの技術の悪用を強く懸念していることを示しています。

さらにGoogleは3月25日、自社インフラ全体を2029年までに耐量子暗号（PQC）に移行するという計画を公式に発表。量子の脅威が想定よりも早く到来する可能性があるとの見解を示し、Android 17にも量子耐性のある署名アルゴリズムML-DSAを搭載する計画も明らかにしました。

でも今すぐ危険ではない、3つの理由

ここまで読むと今すぐビットコインを全部売るべきか！と思うかもしれませんが、少し冷静になりましょう。現時点では、以下の理由から今すぐ危険というわけではありません。

理由1: 現在の量子コンピュータはまだ桁違いに非力
今日時点で実際に動いている最先端の量子コンピュータは、GoogleのWillowが105量子ビット、IBMが数百量子ビット程度です。Caltechが指摘した1万量子ビット、Googleが示した50万量子ビットとは、まだ大きな開きがあります。しかも量子ビット数だけでなく、誤り訂正の品質が非常に重要で、現在の機械はエラー率が高すぎて長時間の計算には使えません。

理由2: 研究はまだ査読前で、前提条件に注意が必要
Caltechの論文を出したチームは、全員がOratomic社の株主または社員です。つまり、中性原子型量子コンピュータを開発する企業が、自社技術の優位性を示す論文を出した、という構図があります。科学的な研究として価値はありますが、利益相反の可能性も踏まえて読む必要があります。また、査読（専門家による審査）もまだ通っておらず、計算の前提条件が変わると結果も変わりえます。

理由3: 即時攻撃は現実的ではなく、時間的猶予がある
Caltechの試算では、ECC-256の解読に10日間かかるとされています。ビットコインのトランザクション（取引）が承認されるまでの平均時間は約10分ですから、取引中の飛んでいる公開鍵をリアルタイムで解読することは、現在の試算条件では不可能です。ただし、すでに公開鍵が露出しているウォレット（アドレスを何度も再利用している場合など）は、長期的に見て危険にさらされます。

どのくらいのビットコインが危険ゾーンにあるのか

具体的な数字を見てみましょう。

リスクの種類	対象となるBTC量	概算額
公開鍵が露出している古いウォレット（サトシ時代の初期アドレス含む）	約690万BTC	数十兆円規模
アドレス再利用などで脆弱な形式になっているBTC（推計）	総供給量の約35%	数百兆円規模

Google Quantum AIのホワイトペーパーによると、公開鍵が露出している早期ウォレットなどに保管されているビットコインは約690万BTCにのぼります。また別の調査では、ビットコインの総供給量の約35%が、将来の量子攻撃に対して脆弱なアドレス形式に該当するという試算もあります。これは何百兆円もの資産が、将来的にリスクにさらされる可能性を示しています。

さらに怖いのがハーベスト・ナウ・ディクリプト・レイター（今収集して後で解読）と呼ばれる攻撃手法です。現在の量子コンピュータでは解読できなくても、暗号化されたデータや公開鍵の情報を今のうちに大量に収集しておき、将来、十分に強力な量子コンピュータが完成した時点で一気に解読するという戦略です。これは現在進行形で起きている可能性があります。

耐量子暗号（PQC）とは何か、世界はどう動いているか

解決策として耐量子暗号（PQC: Post-Quantum Cryptography）と呼ばれる次世代の暗号技術があります。量子コンピュータのショアのアルゴリズムが通用しない、まったく異なる数学的構造（主に格子問題など）に基づいた暗号を使うことで、量子コンピュータ時代にも安全を保とうというアプローチです。

米国立標準技術研究所（NIST）は2024年8月、世界初のPQC標準アルゴリズム3種類を正式に公開しました。

名称	用途	ベースとなる数学的難問
ML-KEM（旧CRYSTALS-Kyber）	鍵交換・鍵カプセル化	格子問題（Module-LWE）
ML-DSA（旧CRYSTALS-Dilithium）	デジタル署名	格子問題（Module-LWE）
SLH-DSA（旧SPHINCS+）	デジタル署名（バックアップ）	ハッシュ関数

これらはIBMの研究者が中心となって開発したアルゴリズムで、7年以上にわたる世界規模の審査を経て正式標準として採択されました。NISTはさらに、2030年までに既存の公開鍵暗号の一部を非推奨化し、2035年までに全廃する方向性を示しています。

Googleは2029年を移行のデッドラインとして設定し、すでにAndroid 17でML-DSAを組み込む計画を進めています。MicrosoftはWindows Server 2025とWindows 11でPQCアルゴリズムの一般提供を開始しており、AWS・Microsoft Azure・Google Cloudの主要クラウド3社もすべてPQC対応を進めています。

ビットコインとイーサリアムは間に合うのか

ここが最大の難問です。GoogleやMicrosoftは、中央集権的な企業なので、経営判断でデッドラインを定めてシステムを一斉に移行できます。しかし、ビットコインは分散型です。プロトコルの変更には開発者、マイナー、ノード運営者、そして数百万人のユーザーの合意が必要です。企業のように来年から全部切り替えますとはいきません。

現在、ビットコインではBIP-360と呼ばれる提案が進んでいます。新しい量子耐性アドレス形式P2QRHを導入することで、段階的に耐量子対応を進めようというものです。しかし、これはまだ提案段階であり、実装から普及まで長いプロセスが必要です。

イーサリアムでも量子耐性への移行研究が進んでいますが、いずれも本格実装には至っていません。分散型ネットワーク特有の合意形成の難しさが、最大のボトルネックになっています。

暗号通貨保有者はどうすべきか

暗号通貨を保有している人も、そうでない人も、これからのデジタル社会を生きるうえで知っておきたい行動指針です。

1. 公開鍵を不必要に露出させない
ビットコインのウォレットアドレスを毎回使い回すと、トランザクション履歴から公開鍵が露出します。量子リスクが現実になる前に、使い捨てアドレスを活用する習慣をつけておくことが重要です。

2. 自分の資産が脆弱なアドレス形式にないか確認する
特にビットコイン黎明期のP2PK形式（公開鍵がそのまま露出している）のアドレスは、量子攻撃に対して最も脆弱です。長期保有者は自分のアドレス形式を確認し、必要であれば移行を検討しておく価値があります。

3. 暗号通貨プロジェクトの耐量子対応への取り組みを注視する
どのブロックチェーンが耐量子暗号への移行を積極的に進めているかは、今後の資産価値に直接影響する可能性があります。プロジェクトの技術的な動向にも目を向けておきましょう。

4. 日常のデジタルサービスはPQC対応が自動的に進む
GoogleやApple、Microsoftなどの大手は自社製品へのPQC統合を着々と進めています。AndroidやiOS、主要なウェブブラウザは順次対応が進むので、ソフトウェアを常に最新版に保つことが基本的な対策になります。

備えるべき現実へ

2026年3月に相次いで発表された研究は、量子コンピュータによる暗号解読の脅威を遠い未来の話から備えるべき現実に引き寄せるものでした。必要な量子ビット数は14年で10億個から1万個へと5桁も削減され、Googleは自ら2029年を移行のデッドラインとして設定しました。

ただし、現時点では量子コンピュータがすぐにビットコインを破れるわけではありません。工学的な課題は山積しており、研究の一部は査読前でもあります。