WebX2026登壇レポート｜量子コンピュータはビットコインの脅威かの議論を振り返る

三倉大司 • 2026年07月24日

WebXというWeb3系のカンファレンスが2026年7月13日・14日の2日間開催され、私はパネルディスカッションのスピーカーとして参加をしてきました。

ディスカッションのテーマは「量子は脅威か、誇大広告か — 暗号資産業界の本音」ということで、来たる量子コンピュータの現実的なリスクとは何かについてビットコイン・イーサリアム・ブロックチェーン企業の観点から討論をしました。

本稿では、WebXの振り返りとして当日のセッションで話したことに加えて説明しきれなかった部分につきましても詳しく解説していこうと思います。

私個人の視点によるビットコインに偏った内容になってしまう可能性があることについてはご了承ください。

量子コンピュータとは何か

セッションの序盤では、「量子コンピュータとは何か」についてを話すことから始まりました。

量子コンピュータとは、ミクロな世界の物理法則、いわゆる量子力学を用いて計算するコンピュータの一種です。普段我々が使用しているコンピュータを量子コンピュータの世界では区別して「古典コンピュータ」と呼んでいます。古典コンピュータは皆さんご存知の通り、0と1の2進数を用いて計算を行っていますが、量子コンピュータでは0と1が同時に保持された状態、いわゆる重ね合わせの状態の量子ビット（qubit）を用いて計算を行っています。

パネルディスカッションの40分という時間の制約上あまり詳しい説明はできていなかったので補足します。

量子力学における量子というものは、「粒子性」と「波動性」の二重性があると言われています。例えるなら光は、光の粒（フォトン）が集まったものと表現されるのと同時に、電磁波という波であるという事です。

量子コンピュータは、量子の波の性質を利用して「干渉」を行うことで確率を操作して計算を行っています。他にも「量子もつれ」や「ノークローン定理」など量子力学特有の現象を用いられていますが長くなってしまうので本稿では割愛します。

以前量子コンピュータの入門として量子コンピュータが並列計算ではない理由という記事を書きましたので合わせてご参照ください。

量子コンピュータによるリスクの範囲

個人的に、今回の登壇で目標の1つとしていたのが、量子コンピュータによるリスクの範囲を正しく説明することでした。皆さんは「量子コンピュータによる暗号解読」や「量子超越性」という言葉を聞いてどんなことを思い浮かべたでしょうか。

ビットコインは量子コンピュータにより解読されて終わる

上記のような話をソーシャルメディアで今でも目にします。しかしこれこそ誇大広告によるFUD（Fear：恐怖、Uncertainty：不確実性、Doubt：疑念）なのではないでしょうか。

余談ですがビットコインにおけるFUDは多々存在するので以下の記事で解消していただければと思います。

まずは量子コンピュータがどのような種類の暗号を解読できるかを整理します。

ショアのアルゴリズムと素因数分解

時は遡ること1994年、アメリカの数学者ピーター・ショアにより「ショアのアルゴリズム」が提唱されました。従来は計算量が爆発的に増加することから古典コンピュータでは効率的な計算方法は存在しないとされた「素因数分解」を理論的には計算時間の増加を緩やかに抑えて計算可能にしたアルゴリズムです。

💡

量子コンピュータを用いることで素因数分解を現実的な時間で解く方法が発表されたということになります。

我々の身の回りには暗号が溢れており、素因数分解の難しさを安全性の根拠にした「RSA暗号」などがWebブラウザやインターネットバンキングなどで使われています。

またビットコインで用いられている楕円曲線離散対数問題を安全性の根拠とする楕円曲線暗号（ECC）もショアのアルゴリズムを応用することで解くことが可能とされます。

さて整理すると量子コンピュータを用いてショアのアルゴリズムを適用すると理論的に解ける問題は大まかに以下の通りです。

素因数分解：RSA暗号
楕円曲線離散対数問題：楕円曲線暗号（ECC）

ここまでの説明が量子コンピュータが脅威と言われる所以です。

ビットコインにおける量子コンピュータリスク

ビットコインにおいては「ECDSA」と呼ばれる楕円曲線暗号（ECC）の理論を応用したデジタル署名を使っています。

平たく説明すると「公開鍵」と呼ばれる公開してもよい鍵に対して「秘密鍵」を提示することで自分のビットコインである証明を行います。（自分の金庫に対して自分専用の鍵を使わないと開けられないイメージ）

つまり、秘密鍵が第三者に渡ってしまうとビットコインを自由に動かされてしまいます。

この公開鍵と秘密鍵は不可逆な関係にあり、従来は公開鍵から秘密鍵を導き出すことは暗号学的にほぼ不可能とされてきました。ところが、ショアのアルゴリズムを適用すると、理論上は公開鍵から秘密鍵を逆算できてしまいます。

視点を変えると「公開鍵が露出している部分」が脆弱性になり得るという事がわかります。

ちなみに、一般的なビットコインのアドレスは公開鍵に対して「ハッシュ関数」を2回適用することで作成されます。このハッシュ関数は一方向性（ブラックボックス的な性質）を安全性の根拠にしており、ショアのアルゴリズムを適用することはできません。

長々と書いてきましたが皆さんにお伝えしたいのは、「ショアのアルゴリズム」は何でもかんでも適用することは不可能で、数学的な前提が変わると当たり前ですが問題を解くことはできないという事です。

なので「量子コンピュータが完成したらマイニングも乗っ取られる」と聞くこともありますが、マイニングはハッシュ関数を利用しているため、量子コンピュータでも瞬時に計算結果を導くことはできません。

公開鍵が露出しているビットコインとは

ビットコインで公開鍵が露出している部分は大まかに3つあります。

P2PK：初期のアドレス形式
P2TR：Taprootという仕組みを用いたアドレス
送金に使用したアドレス

P2PKとP2TRというアドレスは古い形式であったり、設計上の理由から公開鍵をそのままアドレスとして利用しているため量子コンピュータのリスクになります。

画像の明るくなっている部分（赤色）はビットコインの全共有量2100万BTCのうちのP2PKとP2TRアドレスの割合を示しています。具体的な数字を読み取ると約194万BTC、およそ9.68%が公開鍵の露出したアドレスにビットコインを保管していることがわかります。

詳しいアドレス形式については以下の過去記事をご参照ください。

またビットコインでは送金を行う際に公開鍵を提示する必要があります。つまり、いくらハッシュ関数を使ったアドレスを使用していたとしてもそのガード（ハッシュ値）は一度送金を行うと意味をなさなくなってしまうため、その送金に使用したアドレスを受け取りに使わないことが重要です。ある種個人でできる量子コンピュータに対する対策だとも言えます。

近年このアドレスの再利用問題はあまり気にされていない傾向にあるので、この機会にあらためてリスクを認識することが重要だと考えています。

まとめるとビットコインの量子コンピュータによるリスクは公開鍵が露出している部分であり、一部のアドレス形式や送金に使用したアドレスに限られます。つまり全てが崩壊するという話を鵜呑みにする必要はありません。

量子コンピュータがずばり5年以内に暗号資産の脅威になると考えているか

暗号が解読できる量子コンピュータ（CRQC）はいつ登場するのかという話題は研究者の間でも意見が割れています。今回のセッションでも意見が割れました。

「5年以内に脅威になるか」という質問に対して断定はできませんが、私は脅威にならないだろうという立場です。（他のスピーカーの方は脅威になる寄りの意見でした）

以下に2つ理由を書きます。

今の量子コンピュータは21を素因数分解することも難しいとされるから

ショアのアルゴリズムを用いると素因数分解を効率的に解くことができるため、RSA暗号を解読することができると解説しましたが、理想と現実には大きなギャップが存在します。

現状ショアのアルゴリズムを用いて真面目に素因数分解を行ったと言えるのは2001年の15の分解、2012年の21の分解、2019年の35の分解（失敗）などです。一方で、これらは事前に答えを知っている「コンパイル版」の回路を使ったトリックを含んでいると指摘されます。

💡

2025年には答えを利用したトリックによる計算を風刺して犬に素因数分解を解かせる方法という論文まで掲載されました。

21を素因数分解できない理由につきましては詳しくはこちらのYoutubeをご覧ください。

動画を見ていない方のために内容を簡単にまとめると21を素因数分解できない理由は以下の3つが挙げられます。

コンパイル版では使用していない複雑な回路を実装する必要がある
回路が深い（計算量が多い）上にノイズやデコヒーレンス（重ね合わせの状態が失われること）により正しい計算結果を得ることができない
実機の量子ビットの配置により、より複雑な回路しか作ることができないという制約が存在する

そのためショアのアルゴリズムは理論的には計算結果を得ることができるとしても、現実的にはノイズの影響やハードの制約により汎用的に用いることは難しく、5年以内に量子コンピュータが脅威になるというのはやや時期尚早だという考えです。

一方で対策する必要がないと主張しているわけではないのであしからず。

IBMの量子コンピュータの開発ロードマップと解読理論値の時間軸では5年はまだ早いから

量子コンピュータにおいて量子ビットは2種類存在し、通常の「物理量子ビット」と誤りを訂正することが可能な「論理量子ビット」があります。物理量子ビットを束ねることで論理量子ビットを構築するという関係です。

こちらの論文によるとRSA-2048を解読するのに必要な論理量子ビット数は約1,400個です。トレードオフとして計算に必要なToffoliゲート（古典コンピュータのおけるNANDゲート）は約65億個必要で、計算時間も約5日ほどかかるとされます。

ここでIBMが公開する量子コンピュータのロードマップを確認してみます。

図は見にくいので詳しくはリンクしたpdfをご覧ください。

概要としては2つの誤り訂正のある量子コンピュータ「Starling」と「Blue Jay」のロードマップが示されており、具体的な数字は以下の通りです。

マシン名	目標時期	論理量子ビット数	ゲート数の目安
IBM Quantum Starling	2029年	200量子ビット	1億ゲート（1億回の演算を実行できる回路）
IBM Quantum Blue Jay	2033年	2,000量子ビット	10億ゲート（10億回の演算を実行できる回路）

RSA-2048の解読に必要な論理量子ビットが約1,400個、Toffoliゲートは約65億個必要であるのに対し圧倒的にゲート数が足りないことが読み取れます。（通常のゲートを1回実行するのに対して、Toffoliゲートの実行はコストが高いので単純な比較はできない）

💡

ECC（ビットコインが使用しているsecp256k1）の解読に必要な論理量子ビットは約1200個、Toffoliゲートは約9000万、実行時間は9~23分だそうです。（あくまで理想的な環境で計算を実行した場合であり、「誇大広告」的ですね）

また、2029年のStarlingでは論理量子ビットが足りないのに対して、2033年のBlue Jayでは論理量子ビットがようやく理論上の必要数に近づく規模感であることがわかります。

量子コンピュータの研究は一朝一夕で「ブレイクスルー」により進むという事はないので、5年後の2031年に量子コンピュータの脅威が迫るかというとまだ脅威にならないだろうという意見です。

他の方式の量子コンピュータや研究手法の違いにより一概には言えないことをご容赦ください。

ビットコインにおける最悪のシナリオ

ビットコインにおいて最悪のシナリオとはなんでしょうか。意外に思われる方もいると思いますが量子コンピュータによりビットコインが盗まれることが最悪のシナリオとは筆者は考えていません。

自由主義が根本に存在するビットコインにおいて、コインの自己管理が基本です。つまり、コインをGOXしてしまうことが自己責任であると言われるように、量子耐性のあるアドレスに移行できていないコインに関して盗まれても文句は言えないのではないかと考えています。

サトシのコインが盗まれる可能性は大いにあります。それに対して問題は感じていません。一度は不安感から価格が下落することもあるでしょう。しかし、ビットコインのデータが世界中のコンピュータから消えない限りは再度ビットコインは問題なくブロックを紡いでいき、不安はそのうち解消されていくと思います。

一方で懸念すべき最悪のシナリオは「自分が生きている間にビットコインの信頼が常に下がったまま使われない事」だと思います。2010年頃のようなマニアの所有物に戻り、50年くらいその状態が続いてしまうことがある意味最悪のシナリオだと思いました。

ビットコインでは量子耐性獲得に向けてどのような対応策が考えられているか

量子耐性を獲得するとは何を意味しているのでしょうか。一般的に量子コンピュータを用いた何か特別なデバイスや暗号を開発するのではと思われている方が多い印象ですが、簡単に説明すると以下の通りです。

量子コンピュータに対して脆弱性があると言われる暗号（RSAやECC）が使われているシステムの棚卸しを行い、量子コンピュータを用いても数学的に問題を解くことが困難な暗号に置き換えること。

世間の動向としては、既存の暗号を2035年までに禁止にし、アメリカの政府機関であるNIST（アメリカ国立標準技術研究所）が推奨する耐量子の暗号方式に移行するという動きが見られます。

一方でビットコインにおいてはNISTが推奨する暗号をそのまま適用しようとすると署名サイズが約100倍以上増大したり、既存のウォレットやマルチシグを実装できないといった問題が発生します。

💡

ここで面白いのがビットコインは必ずしもNIST標準の暗号を採用しようという考えはないことです。実際に楕円曲線暗号（ECC）で使っている楕円曲線は「secp256k1」ですがNISTが推奨している楕円曲線ではありません。

コミュニティでは、いくつか存在する暗号方式の中でビットコインにとって親和性のある暗号を慎重に議論しているのが現状です。詳しい提案につきましてはいくつか過去記事で取り上げているのでご参照ください。

量子コンピュータが最も影響を受けるのはビットコインと言われているがそれは本当か

暗号資産という文脈ではビットコインが一番影響を受けやすいと言われていますが本当なのでしょうか。以下WebXのセッションで話したことも含めて3つの論点から考察してみようと思います。

チェーンの歴史の長さと古いコイン

ビットコインは2009年1月3日から一度も止まらずに稼働し続けている最初のブロックチェーンです。そのチェーンの歴史の長さゆえ古くからブロックチェーンに刻まれ一度も動かされていないコインや、失われたいわゆる死蔵コインは多々存在します。

具体的には草創期に使用されたアドレス（P2PK）のうち現在も動かされずに記録されているコインはおよそ171万5000BTC存在すると言われており、これらのアドレスが量子耐性のアドレスに移行できなかった場合に盗まれる被害額に直結してしまいます。

アルトコインと比べたときの被害額の大きさは否めませんが、これらのコインは動かしていないだけで量子コンピュータの危機が迫ったら移行する可能性は十分にあります。

参考：7年間休眠のビットコインクジラが約310億円を移動——6万ドルサポート目前で示唆するもの

また、総供給量2100万BTCの内の171万5000BTCとなるとおよそ8%ですがこれらが量子攻撃者により再分配されると捉えることもでき、デメリットだけでもないように思えます。

分散性とガバナンス問題

ビットコインとイーサリアムでは耐量子移行の面でアプローチが大きく異なります。

ビットコインは集権性の排除を重視する設計のため、プロトコルの変更には「合意形成」に時間がかかると言われています。

それに対しイーサリアムは2029年までの耐量子移行のロードマップを公開していることで、計画的に量子耐性獲得に向けたアップデートをできる点が強みです。裏を返すと「イーサリアム財団（Ethereum Foundation）」の権力が色濃く出ている面だとも言えるでしょう。

集権性が存在することで過去の「The DAO」で行われた強制的なアップデートも可能なため、イーサリアムはビットコインより量子コンピュータの影響を受けづらいと言われる理由がこのガバナンス問題ではないでしょうか。

両者にはトレードオフが存在し、ビットコインは合意形成が遅いですがイーサリアムは集権的な部分が単一障害点として挙げられ、検閲や圧力に弱い部分だと考えられます。おそらく思想の違いが根本に存在するためどちらが優れているといった議論は不毛ですが今回の量子コンピュータ関連の話題では、アプローチの違いとしてわかりやすい気がしたので取り上げてみました。

本研究所はビットコインに関するメディアであるためビットコインで心配される「合意形成」に関して反論する意見も書いておきます。

ビットコインコミュニティでは最先端の暗号の研究・議論が日々行われています。確かにSegwitやTaprootの導入時のように、合意形成には時間を要した実績があります。しかし、それはコミュニティ内で利害や優先順位が分かれていたためであり、利害が一致する変更については、比較的スムーズに合意が進む傾向があると思います。

量子コンピュータによる脅威は、ビットコインの安全性そのものに関わる問題であり、コミュニティ全体の利害が一致しやすいテーマです。したがって、脅威が現実味を帯びた段階では、通常のプロトコル変更よりも合意形成が迅速に進む可能性が高いと考えられます。

以上を踏まえると、ビットコインは耐量子アルゴリズムへの移行を焦る必要はなく、脆弱性のない、より保守的な暗号方式の研究を継続するというスタンスが合理的だと言えるでしょう。

耐量子の対応範囲の違い

ここからは主にイーサリアムに対しての問題提起です。反対意見や間違ったことを書いていた場合はご教授ください。

ビットコインにおいて耐量子の対応範囲は大まかにビットコイン自体のプロトコルとそれに応じたLightning Networkの実装の変更だと思います。他にも対応する取引所やウォレットなどインフラの対応も必要ですがこれは全てに言えることなので度外視します。

それに対しイーサリアム財団が提示したロードマップはイーサリアムのL1を対象にしていると認識しています。つまり、イーサリアムのL2で発行されるトークンは各実装ごとにおのおの量子コンピュータへの対応が必要です。イーサリアムのL2は現在100種類以上存在し、その対応範囲はとてつもなく広いと言えるでしょう。

まとめると一概にビットコインが一番量子コンピュータに対して影響を受けやすいとは言えないだろうという意見です。

おまけ：マイナンバーカードのリスクとは

2016年にマイナンバーカードを取得した方は、今年でちょうど発行から10年目を迎え、更新の時期にさしかかっています。この節目に合わせて、政府が機能を拡充した「次期マイナンバーカード」の導入を検討していることをご存知でしょうか。

政府は2028年度を目途に次期マイナンバーカードの導入を目指していますが、注目すべきはその暗号方式です。現行カードでは「RSA-2048」が使われているのに対し、次期カードでは「ECDSA 384」（楕円曲線暗号）への移行が検討されています。

ただし、この移行はあくまで現行の計算機に対する暗号強度を高めるためのものとなっている様です。量子コンピュータへのリスクについて今後この論点がどう扱われていくのか、注目する必要があるでしょう。

まとめ

本稿ではWebXで行ったセッションをもとに筆者の意見をまとめてみました。量子コンピュータにおける脅威とはなにか。現在どのような議論が行われているのかなどをこの機会に知って頂けると幸いです。

今後もビットコイン研究所では量子耐性に関する記事を更新していきますのでぜひともご覧ください。

三倉大司

大学では量子コンピュータのゲート方式を中心に、QAOAを用いた問題解決手法の研究を行っていました。また、GPT をはじめとする Transformer アーキテクチャにも関心を持ち、機械学習モデルの構造理解や応用に取り組んできました。現在は日本ビットコイン産業株式会社の R&D 部門に所属し、主に Lightning Network（LN）関連技術の調査・研究開発を担当しています。特に、LN におけるネットワーク中心性の向上やルーティング効率改善に関するテーマに興味を持ち研究しています。