過去数か月のあいだに、ビットコインで長年語られてきた「量子耐性」の懸念は、学術的な好奇心の対象から、実務的なリスク管理の課題へと移行している。ジェフリーズのクリストファー・ウッドは、量子リスクを理由に長期モデルポートフォリオからビットコインを外した。
Coinbase は「量子コンピューティングとブロックチェーンに関する独立諮問委員会」を立ち上げた。技術コミュニティ内部では、量子耐性を持つアウトプット型である BIP 360 がドラフトとして公式 BIP リポジトリにマージされ、Blockstream は本番稼働中のサイドチェーン上で、初のポスト量子署名トランザクションをブロードキャストした。
その後もタイムラインの圧縮は加速するばかりだ。2026 年 3 月 25 日、Google は 2029 年までにすべてのシステムをポスト量子暗号へ移行させる必要があると発表した。2025 年 5 月から 2026 年 3 月のあいだに公表された 3 本の論文は、公開鍵暗号を破るために必要と見積もられていた量子ビット数を、およそ 3 桁も引き下げた。約 2,000 万物理量子ビットから、場合によっては 10 万未満にまでである。
2026 年 3 月の Google Quantum AI の論文は、楕円曲線暗号が 50 万物理量子ビット未満で数分のうちに破られうると見積もった。Google は攻撃回路自体は公開せず、その結果に対するゼロ知識証明のみを公表した。Caltech と Oratomic のチームは、約 26,000 個の再構成可能な原子量子ビットで ECC-256 を 10 日程度で破れると示唆した。「研究室での好奇心」と「暗号への脅威」のギャップは、アルゴリズムの圧縮とハードウェアのスケーリングという両方向から、同時に縮まりつつある。
脅威を理解するには、量子コンピュータが「できること」と「できないこと」を見るのが有用だ。量子コンピュータは「すべての鍵を並列に試す」わけではない。ショアのアルゴリズムは、楕円曲線暗号や RSA 暗号が依拠する離散対数問題と因数分解問題に対して指数関数的な高速化を与える。一方、共通鍵暗号やハッシュ関数が受けるのはグローバーのアルゴリズムによる平方根程度の高速化にとどまり、パラメータを大きくすることで補償可能だ。
「量子は暗号を破る」という言い方は、正しくもあり誤解を招きもする。量子計算が狙うのは群構造に還元される問題を安全性の根拠とするプリミティブであって、手当たり次第に総当たり攻撃を実現する魔法ではない。ポスト量子暗号自体はすでに存在し、今日すぐにでもデプロイ可能だ。NIST は ECC/RSA からの移行を明示的に支援するため、ML-KEM、ML-DSA、SLH-DSA といった標準を策定済みである。
ビットコインに特有の危険は署名にある。攻撃者があなたの公開鍵を観測できれば、ショアのアルゴリズムによって秘密鍵を復元されてしまう。公開鍵ハッシュアドレス（P2PKH/P2WPKH）では、公開鍵は支出時に初めて露出するため、主なリスクはアドレスの再利用だ。しかし Taproot 出力（P2TR）や古いペイ・トゥ・パブリックキー出力では、支出の有無にかかわらず作成時点で公開鍵が露出する。BIP 360 の Pay-to-Merkle-Root（P2MR）はこれを直接的に解決する。公開鍵をチェーン上に載せない、Taproot に似たアウトプット型である。
優先すべきは、ビットコインのポスト量子対応の「物語」を紙の上で完璧に仕上げることではない。ユーザーの移行を今すぐ開始することだ。ユーザーが既存の楕円曲線鍵に加えて、ポスト量子の支出パスを付け足せるようにすべきである。平時には Schnorr/ECDSA を使い続け、ポスト量子鍵は未使用のまま待機させる。「明白かつ差し迫った危険」が現れたなら、ネットワークは楕円曲線署名を何年も待つことなく廃止できる。これが最終的な方式である必要はない。今は保守的な方式を選び、あとで改良すればいい。移行の時計はエンジニアリングの難易度ではなく、採用の進み具合で刻まれている。
私の見解では、この「非常口」としてビットコインが選ぶべきなのはハッシュベース署名だ。格子ベース（ML-DSA）が悪いからではなく、ハッシュベースこそが暗号における「これ以上ないほど安全」に最も近いからだ。構造は最小限、魔法は最小限、トラップドアの余地も最小限である。また驚くほど監査と理解がしやすく、ビットコインの思想にも合致している。
標準的な選択肢は SPHINCS+（SLH-DSA）だが、「ステートレス性」を得るためにおよそ 8 kB というかなり大きな署名サイズを必要とする。ビットコインは厳密な意味でその性質を必要としてはいない。UTXO モデルは本質的に「使い捨て」であり、体系的なアドレス再利用は設計思想に含まれておらず、インフラもその前提でよく機能している。XMSS のようなステートフルな方式なら署名サイズを劇的に小さくでき（約 2.5 KB）、ビットコインの支出モデルはその制約に自然にマップできる。
Blockstream Research の SHRINCS 構成は、その両方を提供する。ステートフルなプライマリーモードに、状態を失った場合のステートレスな SLH-DSA フォールバックを備える。Jonas Nick による SHRIMPS の拡張はマルチデバイス署名の問題を解決する。いずれも純粋なハッシュベースであり、すでに Liquid 上で稼働している。
「ショアが現実になった」と言えるしきい値を信頼できる形で超えたとき、最初の仕事は、あらゆるレガシー出力を救うことではなく、取り返しのつかない盗難を止めることだ。最も安全なデフォルトはキルスイッチである。コンセンサスレベルで楕円曲線署名を支出不可能にすることだ。一時的なロックなら元に戻せるが、量子窃盗は元に戻せない。公開鍵が一度も露出していない出力については、ZK 証明（たとえば STARK）により、鍵そのものを明かさずに解除ウィットネスの知識を正当な所有者が証明できるだろう。すでに公開鍵が露出してしまっている場合、唯一ありうる救済策は HD ウォレットシードのような追加の秘密に依拠する。どちらの経路も持たないコイン――休眠コイン、初期のコイン、サトシのコイン――はロックされたまま残る。「依然として失われたまま」のほうが、「いま盗まれた」よりまだましだ。
2026 年 4 月に StarkWare から出た論文は、現在のコンセンサスルールのもとでも量子安全なビットコイントランザクションが可能であることを示している。これは本当に巧妙な構成だが、残念なことに、それに対する反応はビットコインコミュニティの本質的な問題を露呈させている。このトリックは広く見て実用的とは言えず、ソフトフォークの代わりにはならない。それにもかかわらず、「何もしない」という姿勢があまりにも染みついているため、「簡単にすべてを直せるスイッチを入れない理由」としてすでに引用されているのだ。
まず全員にライフジャケットを配ろう。考えすぎてはいけない。難しいのは暗号ではなく、何百万人ものユーザーと、あらゆるウォレット、カストディアン、取引所、署名デバイスに移行してもらうことだ。Tezos が取っているアプローチはまさにこれである。ポスト量子対応を、ユーザー鍵の移行とプロトコル暗号の 2 トラックとして扱い、ユーザーに今からバックアップ用のポスト量子鍵を付け足してもらい、脅威が顕在化したときに楕円曲線署名を廃止する。切迫感のないうちに社会的な移行を始めるべきだ。緊急時こそエコシステムが誤りを犯すからである。まずライフジャケットを着け、ボートの設計はそのあとで議論すればいい。