Bitcoinの量子攻撃コストが1,151 Qubitsに半減 [2026]

Bitcoinの署名を偽造できる量子コンピュータは存在せず、今年登場すると真面目に主張する者もいない。しかし、構築のためのエンジニアリング目標は小さくなった。2026年9月10日にarXivに投稿され、出版前にCoinDeskが入手した論文によると、Ethereum Foundation、Theta Labs、StarkWareおよびその他のいくつかの組織から集まった100人以上の寄稿者チームが、BitcoinとEthereumのウォレットを保護する楕円曲線暗号を破るために必要な推定計算リソースを半分以上に削減した。新しい回路は、公開鍵から秘密鍵を最終的に復元できる量子ルーチンであるショアのアルゴリズム内の1つの算術ステップを実行するために、1,151個の論理量子ビットと約1.3 millionのトフォリゲートを必要とする。

これは狭く、技術的な結果である。また、カストディアン、取引所、プロトコル開発者が注視する種類の数字でもある。なぜなら、広範なcryptocurrency業界が、両方のチェーンがローンチ以来使用してきた暗号化から移行する必要がどれほど緊急であるかに直接関わってくるからだ。この記事では、何が変わったのか、何が変わっていないのか、そして「理論的に弱い」と「実用的に破断可能」の間のギャップが、なぜ数ヶ月ではなく依然として数年に及ぶのかを詳しく解説する。

新しい論文が実際に発見したこと

研究チームは、はるかに大きなパズルの1つの高価なピースに焦点を当てた。それは、BitcoinとEthereumの両方が鍵ペアの生成に使用している正確な曲線であるsecp256k1曲線上の楕円曲線点加算である。1994年に数学者のPeter Shorによって最初に記述されたショアのアルゴリズムは、理論的には、古典的なコンピュータでは公開鍵から秘密鍵を復元することを不可能にしている離散対数問題を解決できる。secp256k1に対してそのアルゴリズムを実行するには、繰り返しの楕円曲線算術が必要であり、点加算は回路内で最もコストのかかる繰り返し操作の1つである。

チームは、完全なエンド・ツー・エンドの攻撃をモデル化しようとするのではなく、その算術ステージだけを再構築し、どれだけ安価に実行できるかを測定した。彼らの回路は、作業メモリの量子版である論理量子ビットを1,151個、そして必要な計算量を大まかに追跡する単位であるトフォリゲートを約1.3 million必要とする。これらを掛け合わせて複合リソーススコアにすると、これら2つの数字は約1.5 billionとなり、Google Quantum AIが2026年3月のホワイトペーパーで発表した、比較可能だが同一ではない計算の約3 billionという数字を50%以上下回っている。

2つのチームが異なる会計規則を使用したため、比較が完全にクリーンではないことを論文自体が指摘している。それでも、コアとなる算術ステップのリソース見積もりが半分になったことは、公開されるほぼすべての数字が10年近く下落傾向にあるこの分野において、意味のあるデータポイントである。