Yellow.com

量子コンピューティングは、もはや暗号資産業界にとって「理論上の懸念」ではない。

IBM、Google、Microsoftによるハードウェア開発の加速、2024年8月に米国標準技術研究所（NIST）がポスト量子暗号の初の最終標準を公表したこと、そして主要ブロックチェーンにおける体系的な移行計画がほぼ皆無であること。この三つが重なり、四半期ベースで拡大し続ける「量子ギャップ（量子由来のセキュリティ空白）」が生じている。

要点整理

NISTは2024年8月に3つのポスト量子暗号標準を最終化し、「古典暗号からの移行は将来課題ではなく喫緊の優先事項」と公式に位置付けた。

Bitcoin、Ethereumを含む大半の主要チェーンは、量子コンピューターで破られ得る楕円曲線暗号に依拠しており、オンチェーン価値の“数兆ドル”規模が潜在的に露出している。

「今は収集し、あとで復号する（Harvest Now, Decrypt Later）」戦略は既に現実味を帯びており、敵対者が将来の量子機に備えて暗号化データを今この瞬間も収集している可能性は排除できない。

暗号資産の「暗号」そのものが既に既知の弱点

ほぼすべての主要暗号資産は、量子計算に直接脅かされる2つの暗号原始に依存している。ひとつは楕円曲線デジタル署名アルゴリズム（ECDSA）で、BitcoinやEthereum（ETH）、数百の派生チェーンでトランザクション署名に使われている。もうひとつは、Bitcoinのプルーフ・オブ・ワークとアドレス生成に用いられるSHA-256ハッシュ関数だ。いずれも査読付き論文で量子攻撃ベクトルが詳細に解析済みである。

英サセックス大学のMark Webber氏らは2022年の論文で、量子コンピューターが約317の「論理キュービット」を備えれば、1件のBitcoinトランザクションを1時間以内に破ることが可能であり、10分のブロック生成時間内に突破するには約1,300万論理キュービットが必要と試算した。

これは現行ハードからはなお距離があるが、キュービット数の伸びを踏まえると「安心できるほど遠い」とも言い切れない。

Webberらの「317論理キュービットで1時間以内にECDSAを突破可能」との推計は、現在のスケーリングロードマップを前提にすると「今世代の10年」で視野に入るハードウェア目標として、脅威を定量化してみせたといえる。

1994年に発表されたShorのアルゴリズムは、今もなおECDSA脅威の理論的エンジンだ。古典計算では指数時間を要する離散対数問題を、量子計算なら多項式時間で解けてしまう。理論的な脆弱性と実用的な攻撃可能性とのギャップは、ベンダー各社のキュービット記録更新のたびに着実に狭まっている。これを「遠い将来の話」と見なす投資家は、監督当局や標準化機関が既に公式に認めた構造的リスクを誤って評価している可能性が高い。

関連記事: BTCが11週ぶり高値の7万9,000ドル突破、出来高急増

NISTのポスト量子標準は「規制の号砲」

2024年8月13日、NISTはポスト量子暗号の最初の最終標準3件──FIPS 203（ML-KEM、旧CRYSTALS-Kyber）、FIPS 204（ML-DSA、旧CRYSTALS-Dilithium）、FIPS 205（SLH-DSA、旧SPHINCS+）を公表した。

併せて発表された声明では、「さらなる標準化を待つのではなく、直ちに移行準備を始めるべきだ」と明言している。

これは規制面で極めて強いシグナルだ。NIST標準は米国の金融インフラ全般で「事実上のコンプライアンス基準」として機能しており、**サイバーセキュリティ・インフラストラクチャ安全保障局（CISA）**を含む複数の政府機関が、重要インフラ事業者に対し自らの暗号資産（cryptographic inventory）の棚卸しと評価を行うよう通達している。

暗号資産関連インフラは広義には各国で「重要な金融インフラ」に該当するにもかかわらず、これに応じて拘束力ある移行ロードマップを示した主要レイヤー1ブロックチェーンは皆無だ。

NISTが2024年8月に打ち出した「直ちに移行せよ」という指示は、ポスト量子暗号がもはや研究テーマではなく、現在進行形のオペレーショナル課題であることを示す最も明確な公式シグナルだ。

公表済み3標準はいずれも、古典計算・量子計算の双方に対して困難とされる数学的問題に基づいている。ML-KEMはモジュール誤差学習問題（MLWE）、ML-DSAとSLH-DSAはそれぞれ格子ベース、ハッシュベースだ。その後、4番目の標準としてFALCON（現FN-DSA, FIPS 206）も最終化された。こうした動きに対し、ブロックチェーン業界がほぼ沈黙を貫いている現状は、ガバナンス上の不作為であると同時に、資産保有者にとって看過し得ないリスクと言わざるを得ない。

3. 「今は収集し、あとで復号」が既に動き出している

量子リスクの中で最も過小評価されている攻撃ベクトルのひとつは、現時点で高度な量子ハードウェアを必要としない。「Harvest Now, Decrypt Later（今は収集し、あとで復号する／HNDL）」と呼ばれる戦略で、暗号化データや署名済みトランザクションを今のうちに収集・保管し、量子ハードが成熟した段階で一気に解読するというものだ。公開性と不変性を特徴とするブロックチェーンにおいて、HNDLは決して机上の空論ではない。

BitcoinやEthereumでブロードキャストされたトランザクションは、世界中の何千ものノードに恒久的に保存されている。国家を含むあらゆる主体が、フルヒストリーのアーカイブを低コストで保持し得る。**グローバル・リスク研究所（Global Risk Institute）**は2023年のレポートで、現在の暗号を破れる「暗号的に意味のある」量子マシンが2030年までに存在する確率を17％、2034年までには50％と評価している。

パブリックチェーン上の記録が「基本的に永続」であることを踏まえると、この確率は決して小さくない。

グローバル・リスク研究所の2023年タイムラインは、2034年までに暗号的に有用な量子コンピューターが存在する確率を50％と見積もっており、多くの現行投資家の投資期間と重なる。

ブロックチェーンにおけるHNDLの懸念は、主に過去トランザクションの秘匿性にとどまらない。Bitcoinではトランザクションが確定した時点で公開鍵と送金額が明らかになるためだ。

より深刻なのは、アドレスの再利用、多重署名スキームでの公開鍵露出、および公開鍵を収集しておき、将来それを手掛かりに秘密鍵を導出してウォレットを空にする攻撃が成立する設計だ。多くのウォレットUIがアドレス再利用を前提にしてきた経緯もあり、既に露出済みのアドレスプールは相当な規模に達している。

どれだけのBitcoinアドレスが既に「丸裸」なのか

Bitcoinの量子脆弱性の表面積は、オンチェーン分析で定量化できる。デロイト・オランダの研究者らは2023年、約400万BTC──当時流通していた全コインの約25％──が、Pay-to-Public-Key（P2PK）形式か、公開鍵がオンチェーンで露出した再利用Pay-to-Public-Key-Hash（P2PKH）アドレスに保管されているとする分析結果をarXivに掲載した。

P2PK形式は、サトシ・ナカモトが採掘した初期アウトプットを含め、scriptPubKey内に公開鍵そのものを格納する。これは量子攻撃者にとって、ECDSA鍵に対してShorのアルゴリズムを実行するための「そのままの入力」を与える構造だ。

再利用されたP2PKHアドレスでは、初めて支払いに使われた瞬間に公開鍵が露出する。ユーザーの多くが、ウォレットのユーザビリティ不備もあって長年にわたりアドレス再利用を続けてきた結果、攻撃可能なアドレス群は膨れ上がっている。

デロイトの2023年オンチェーン分析は、公開鍵が直接露出したアドレスに保有される約400万BTCを特定し、Bitcoinネットワーク上で最も即時的に量子攻撃が成立し得る資産プールを可視化した。

Ethereumも同様に広い攻撃面を抱える。少なくとも1回トランザクションを送信したEthereumウォレットは、その時点で公開鍵が露出する仕組みだ。Ethereum Foundationは公式ロードマップ上の「将来への備え（future-proofing）」セクションで量子脆弱性を認め、ポスト量子移行を長期目標に掲げてはいるが、移行の期限やテストネット実装は具体化していない。数千億ドル規模の資産を預かるネットワークとして、「長期目標」との表現は、2034年までに50％という確率曲線に対してあまりにも悠長だ。

量子ハードウェアの飛躍がタイムラインを圧縮

量子計算による脅威自体は、Shorが論文を出した1994年から理論的には知られていた。ここ24カ月で変化したのは、ハードウェア開発のスピードだ。理論上の能力と実運用レベルとのギャップが、スケジュールを見直さざるを得ない水準まで急速に縮まりつつある。

2023年12月、Google DeepMindの量子チームは、70キュービットシステムで初めて「閾値以下のエラー率」を達成したとする成果を公表した。これは、大規模なShorのアルゴリズム実行に必要な論理キュービット数を実現するうえで、不可欠な前提条件である。

2024年11月には、GoogleがWillow量子チップを発表し、特定のベンチマーク計算を5分未満で完了したと主張した。古典的なスーパーコンピューターであれば、計算に「10セプティリオン年」（10の25乗年）を要するレベルの問題だ。

IBMは、量子開発サイトで公表している最新ロードマップにおいて、2033年までに数千の論理キュービットを備えた「ユーティリティスケール」量子コンピューターの実現を掲げている。

2024年11月のGoogleによる「Willow」チップ発表と、IBMが示した「2033年までに数千論理キュービット」というロードマップは、量子計算機が本格的に実用化される具体的なハードウェア・マイルストーンであり、「量子の脅威は数十年先」という従来の見立てを「今後10年以内」へと大きく引き寄せた。

マイクロソフトは、Azure Quantumの研究部門を通じて発表した「トポロジカル・キュービット」路線により、現在主流の超伝導キュービット方式よりも桁違いに低いエラー率を目指している。これが実現すれば、暗号解読に十分な性能を持つ量子マシンへの到達を一段と早める可能性がある。ただし、個々のハードウェア発表だけで「量子の脅威が直ちに切迫している」と断定することはできない。

しかし複数の独立した研究プログラム全体を俯瞰すると、その進捗スピードは、2023年以前に作成された多くのブロックチェーン・ガバナンス文書が前提としてきたベースラインを、明らかに上回るペースになりつつある。

マイグレーションは「技術的にも政治的にも」極めて難しい

仮に今日、暗号資産業界全体が「ポスト量子暗号」への移行を決断したとしても、その技術的・ガバナンス面のハードルは極めて高い。中でも、主要ネットワークの中で最も分散化が進んでいるビットコインは、最も厳しいケースを突きつけられる。

ビットコインの署名方式を変更するには、ソフトフォークかハードフォークが必要であり、そのいずれも、マイナー、ノード運営者、ウォレット開発者、取引所などの間で「圧倒的多数派の合意」を取り付けなければならない。ビットコインでは、これまでのはるかに小規模な仕様変更でさえ、その調整に数年単位の時間を要してきた。

2017年のSegWit（セグウィット）導入は、プロトコル上の構造に手を入れるとはいえ相対的には軽微な変更だったが、それでもマイナーからの95％シグナリングを達成するまでに、激しい対立を伴う2年以上の議論を経なければならなかった。署名スキームの移行は、その比ではない。あらゆるウォレット、取引所のホットウォレット、ハードウェアウォレットのファームウェア、さらにはカスタムのカストディー・ソリューションに至るまで、エコシステムの隅々に影響が及ぶ「桁違いに破壊的」な変更になる。

IETFのCrypto Forum Research Groupによる2021年の論文は、インターネット・インフラ全体におけるECDSAの深い組み込み状況を指摘し、その一斉移行を「暗号の歴史上、最も複雑なトランジションの一つ」と位置付けている。

SegWitの前例は、「ビットコイン・ガバナンスは年単位の時間軸でしか動かない」ことを如実に示した。つまり、ポスト量子対応への移行作業がまだ本格的に始まっていないのであれば、「量子リスクの顕在化前に移行を完了できない」リスクは小さくない。

一方、アカウントベースのモデルを採用するイーサリアムは、やや柔軟性が高い。イーサリアム財団のポスト量子ロードマップには、「量子耐性を備えたアカウント抽象化」の構想が含まれている。これは、既存アカウント向けにベースレイヤーのハードフォークを行わずとも、ウォレット側が新しい署名方式へ個別に移行できるようにする仕組みだ。

とはいえ、この方式ではユーザー一人ひとりが自発的に自身のウォレットを移行させる必要がある。過去のイーサリアムのアップグレードにおける参加状況データは、分析が示す通り、明示的な「旧仕様の強制停止」メカニズムがない限り、受動的なユーザー層は重要な変更についていけないことを一貫して裏付けている。

「ポスト量子型」ブロックチェーンは既に存在するが、まだニッチ

量子リスクを真正面から捉え、創設時からポスト量子暗号をベースレイヤーに組み込んだブロックチェーンも一部に存在する。現状ではニッチな存在にとどまるが、「量子耐性ブロックチェーンは技術的には十分実現可能である」と示す最も明確な実証例だ。

**QRL（Quantum Resistant Ledger）**は、2018年にメインネットをローンチした、eXtended Merkle Signature Scheme（XMSS）というハッシュベースの署名アルゴリズムを採用した初の本番稼働チェーンだ。XMSSはNISTの標準化プロセスでも評価対象となった方式であり、QRLプロトコルはレイヤーを問わず楕円曲線暗号を一切使用しない。IOTAも、新たなRebasedアーキテクチャの下で、Ed448や格子ベース暗号などのポスト量子署名方式を取り入れる方向に舵を切っている。Algorandは、ポスト量子環境に対応したステート・プルーフに関する研究を発表しているほか、Falconベースの署名オプションを暗号ツールキットに組み込んでいる。

QRLは2018年に「ハッシュベース署名のみで動く本番ブロックチェーン」の実用性を示したが、一方で時価総額が1億ドル未満にとどまっている事実は、「技術的な健全性」と「市場での採用」との間に横たわる大きなギャップを物語る。

これらプロジェクトが直面している最大の課題は、技術的な信頼性ではなく「ネットワーク効果」だ。ビットコインとイーサリアムが支配的なのは、流動性、開発者エコシステム、機関投資家向けカストディー・インフラ、規制当局の理解・慣れなど、多数の要素が重なった結果であり、「量子安全だが流動性に乏しい」新興チェーンがこれらを一から再現するのは容易ではない。

より現実的なシナリオは、既存チェーンにポスト量子署名オプションを「後付け」していくアプローチだろう。NIST FIPS 204（ML-DSA）のようなプロジェクトは、まさにこうした既存インフラへの組み込みを意識して設計されている。問題は、「ハードウェア側の脅威が顕在化する前に、その後付けを実行するだけの政治的意思が生まれるのか」という点だ。

取引所・カストディー基盤は、異なる形で量子リスクにさらされる

量子リスクにさらされているのはリテール投資家だけではない。中央集権型取引所や機関投資家向けカストディアンは、個人ウォレットと同じECDSAインフラの上にセキュリティモデルを構築しながら、桁違いの資産を集中管理しているがゆえに、ある意味でより深刻な量子リスクを抱えている。

ビットコインやイーサリアムのホットウォレットに数十億ドル規模の資産を保有する大手取引所は、オペレーション上の必然として、トランザクション署名を自動処理するシステムから秘密鍵にアクセスできる状態を維持せざるを得ない。これらの秘密鍵は、HSM（ハードウェアセキュリティモジュール）や鍵管理システムに格納されているが、その設計は古典暗号を前提としており、ポスト量子環境では格好のターゲットとなる。Chainalysisのデータによれば、取引所に対するハッキングは2012年以降の累計で100億ドル超の損失を生んでいる。しかも、これらはすべて量子計算を用いない攻撃だ。ここに「量子計算による鍵の逆算」が加われば、カストディー・セキュリティの難度は一段と跳ね上がる。

Chainalysisのデータは、2012年以降に発生した取引所ハッキングによる損失が、古典的な攻撃手法だけで100億ドル超に達していることを示しており、そこに量子コンピューターによる鍵復元が加われば、カストディーの脆弱性がどれほど増幅されるかの目安となる。

機関投資家向けカストディーで主流となっているHSMベンダー、例えばThales、AWS CloudHSM、Entrustなどは、ポスト量子暗号への移行ニーズをすでに認識している。NISTの移行ガイダンスでも、HSMのリプレースに関するタイムラインが明示されている。ただし、世界各地に展開する大規模取引所が、数百万単位の顧客ウォレットを支える鍵管理インフラを総入れ替えするのは、オペレーション面で巨大なプロジェクトとなる。この点について、移行計画やスケジュールを公表した大手取引所は現時点で存在しない。

さらに、量子対応に関する情報開示を金融当局が義務付けていないため、投資家は公開資料から「自らが利用する取引所の量子リスク」を評価する手段を持たないのが実情だ。

国家レベルの量子開発と「地政学的な暗号攻撃リスク」

暗号資産に対する量子リスクは、単なる技術課題にとどまらない。そこには、これまで投資家や政策アナリストが十分に議論してこなかった「地政学的」な側面がある。中国、米国、さらにはロシアやEUといった主要国・地域の国家プロジェクトとしての量子開発プログラムは、民間の研究開発をはるかに上回る規模の予算で推進されており、その詳細な能力は機密扱いだ。

中国の国家量子計算プロジェクトは、第14次五カ年計画（2021～2025年）およびその後継計画に明記されている。ジョージタウン大学の**Center for Security and Emerging Technology（CSET）**による分析では、量子研究に対する中国の国家投資は、同計画期間だけで150億ドル超に達すると報告されている。中国人民銀行（PBoC）の研究部門も、金融暗号に対する量子攻撃のタイムラインに関する論文を公表している。仮に、こうした機密扱いの国家プロジェクトが、公開されている学術研究よりも先に暗号解読可能な量子性能に到達した場合、「最初の兆候」は、量子攻撃であることを伏せたまま、晒されたビットコインアドレスが静かに“空にされていく”という形で現れるかもしれない。それは、一見すると高度な古典的ハッキングと見分けがつかず、フォレンジック分析によって初めて攻撃ベクトルが特定される可能性がある。

CSETは、中国の量子関連国家投資が単一の五カ年計画期間だけで150億ドルを上回ると記録しており、この規模の資金投入は、公知の学術ロードマップを先行する機密能力の獲得につながりかねない。

米国政府機関は、このリスクに対して暗号資産業界よりも早く動き始めている。**行政管理予算局（OMB）**は2022年11月に、全連邦機関に対し、2023年中に保有する暗号資産のインベントリを完了し、ポスト量子暗号への移行計画の策定を開始するよう求める覚書M-23-02を発出した。**国家安全保障局（NSA）**も、国家安全保障システム向けのポスト量子移行に関する独自のガイダンスを公表している。

政府セクターが示すこの「危機感」と、依然として量子リスクへの対応を先送りしがちな暗号資産インフラとの間には、看過しがたい温度差が広がっている。そして、いまのうちに業界として「腹落ち」させておくべき論点でもある。

Also Read: カルシが暗号資産デリバティブに参入、永久先物でコインベースに挑む

信頼に足る業界対応とは何か──その理想像と、現状とのギャップ

ブロックチェーン業界が量子コンピューター時代に向けて、どのような「責任ある移行計画」を描くべきかを具体的に整理すると、現在地と十分な備えとの距離がはっきりしてくる。
NISTのガイダンス、学術研究、そしてインフラ更改の過去のタイムラインを踏まえると、説得力のある対応には、おおむね8〜10年をかけた5つのフェーズが必要になる。

第1フェーズは暗号資産エコシステム全体の「暗号監査」だ。あらゆるプロトコルチーム、取引所、カストディアンが、自らのシステムで用いている暗号プリミティブ、鍵長、公開鍵の露出状況、そして変更が必要となるシステム間依存関係を網羅的に棚卸ししなければならない。

第2フェーズは「ポスト量子暗号アルゴリズムの選定」である。ユースケースごとの性能・セキュリティのトレードオフを踏まえ、ML-DSA、SLH-DSA、FN-DSAのいずれを採用するかを決めるプロセスだ。
NIST最終候補アルゴリズムを比較した分かりやすい学術的レビューは、IACR Cryptology ePrint Archiveの研究者らにより2022年に公開されており、各方式のベンチマークが整理されている。

第3フェーズはテストネットおよびステージング環境での実装・検証。
第4フェーズは複数プレーヤーが足並みを揃える「メインネットでの協調的アクティベーション」。
第5フェーズは利用者側の移行という「ロングテール」への対応であり、とりわけ公開鍵がアドレス形式として露出しているチェーンでは、最も時間がかかる工程になる。

2022年に公表されたIACRのベンチマーク研究は、ポスト量子暗号最終候補アルゴリズム間の具体的な性能比較を提示しており、プロトコル開発者は標準化の追加進展を待たずとも、いまこの時点でアルゴリズム選定に踏み切るだけのデータをすでに手にしている。

ビットコインのコア開発コミュニティは、量子対応に関して2本の関連BIP（Bitcoin Improvement Proposal）を提示している。
その一つであるBIP-360は、ハンター・ビースト氏らにより2024年末に提案されたもので、CRYSTALS-Dilithiumをデフォルト署名スキームとする「Pay to Quantum Resistant Hash（P2QRH）」アドレス形式の導入を構想している。

しかし2026年4月時点でも、BIP-360は依然ドラフトのままで、具体的なアクティベーションメカニズムは示されていない。
イーサリアムについても、Ethereum Foundationのロードマップページで示されているポスト量子対応ロードマップは、長期的な解としてWinternitz一次署名やSTARKsベースの認証が必要だと認めつつも、これらを現行フレームワークの中で最も優先度の低い「splurge（おまけ的改善）」カテゴリに位置づけている。

第5章で整理したハードウェア開発のタイムラインを踏まえれば、こうした優先順位付けは、今後強く問い直されるべきだろう。

結論

量子コンピューターが暗号資産にもたらす脅威は現実であり、文書化されており、そして業界が十分に織り込めていないスケジュールで前進している。

NISTは2024年8月にポスト量子暗号の標準を確定し、即時の移行開始を勧告した。
各国政府の量子プロジェクトには、公開されている学術的ベンチマークを先行する「秘匿能力」を生みうる水準の予算が投じられている。
流通しているビットコインの25〜40％が、公開鍵がすでにオンチェーンで露出しているアドレスに滞留しており、量子攻撃の「収穫対象」として並んでいる、という推計もある。

これらはいずれも憶測ではない。一次情報として引用可能で、定量化され、プロトコル開発者、取引所のコンプライアンス部門、機関投資家向けカストディアンが十分に目を通す時間のあった資料に明示されている事実だ。

欠けているのは情報ではなく「危機感」である。
この構図は、過去の「ゆっくり進行するセキュリティ危機」と同じだ。

組織は、壊滅的なインシデントに直面するか、あるいは規制当局による期限付きの強制力が働かない限り、脆弱なシステムからの移行に踏み切らない。

量子の場合、「壊滅的インシデント」とは、国家レベルのアクターが秘匿された量子マシンで、公開鍵が露出しているビットコインアドレスを静かに吸い上げていく、という形で訪れるだろう。そのとき、それが量子攻撃であると即座に断定し、被害が拡大する前に業界全体の協調した対応を引き出せるほどの「法医学的な明瞭さ」は、おそらく得られない。

ビットコインやイーサリアムのガバナンス構造は、「危機モード」での瞬発的なコンセンサス形成には向いていない。つまり、ハードウェア面の脅威がまだ顕在化していないとしても、「秩序立った移行」に使える時間の余白はすでに狭まりつつある。

裏を返せば、量子移行は、本質的な研究開発の機会でもある。
ポスト量子署名の統合で先行するプロトコル、量子耐性に関する透明なロードマップを公表する取引所、規制要件が迫る前にHSMインフラをアップグレードするカストディアンは、脅威が「誰の目にも明らか」になった局面で、競争上もはるかに有利なポジションを占めることになる。

研究は終わっている。標準も公表されている。
残されているのはガバナンスの課題であり、その着手は「いま」求められている。

量子コンピューティングと暗号資産セキュリティ── 投資家が2026年までに押さえるべき10の重大リスクと防御策