BitcoinのQ-Dayはどこまで近づいた？――2026年9月、量子攻撃と耐量子防衛の現在地
Bitcoinを破れる量子コンピューターはまだ確認されていない。一方で、IonQが示したsecp256k1攻撃の資源見積もりと、NIST・Bitcoin側の耐量子化の進展から、2026年9月時点の攻撃と防御の距離を整理する。
この記事の結論
- 2026年9月時点で、Bitcoinのsecp256k1を実用的に破る量子コンピューターは確認されていない。
- IonQの数値は実機による攻撃成功ではなく、特定のアーキテクチャを前提とした資源見積もりである。
- 評価には攻撃技術だけでなく、PQCの実装、合意形成、ウォレットや取引所を含む移行速度も必要になる。
最終更新：2026年9月9日
Bitcoinは、今すぐ量子コンピューターに破られるのか。
答えは「まだ破れない」。
2026年9月現在、Bitcoinで使われるsecp256k1の秘密鍵を実用的に導出できる、大規模で誤り訂正された量子コンピューターは確認されていない。
しかし同時に、**「量子攻撃は何十年も先だから今は考えなくてよい」**とも言いにくくなってきた。
2026年9月8日、IonQはsecp256k1をShorのアルゴリズムで解くための、量子誤り訂正まで含めたend-to-end資源見積もりを公表した。試算は次の通りである。
- 19,397物理量子ビット
- 1,457論理量子ビット
- 約3,900万Toffoliゲート
- 1回の試行に約25.7日
さらにIonQは、この装置規模が同社の2028年前後の公開ハードウェアロードマップと重なるとしている。
これは**「2028年にBitcoinが破られる」ことを意味しない。**
また、25.7日は「鍵1個を必ず破れる時間」ではなく、IonQが仮定したアーキテクチャ上の1回の試行時間である。IonQは成功確率について、厳密に証明した下限を40.7％、追加の数学的仮定を置いた推定を約63％としている。さらに「2028年前後のロードマップと同じ規模」という説明は、2028年にこの攻撃に必要な全ての誤り率・稼働時間・誤り訂正性能が実現することを保証するものではない。
しかし、攻撃に必要な装置の輪郭が以前より具体的になったという意味では重要な変化である。
まず現在地を整理する
| 項目 | 2026年9月時点 |
|---|---|
| Bitcoinを破れる量子機 | 確認されていない |
| Shorによるsecp256k1攻撃 | 理論・設計・資源見積もり段階 |
| IonQの最新見積もり | 19,397物理qubit / 1,457論理qubit / 約25.7日 |
| 「2028年Q-Day」 | 確定していない |
| 耐量子暗号そのもの | NIST標準がすでに存在 |
| Bitcoinの耐量子化 | 提案・研究・設計段階 |
| Bitcoin側の動き | BIP 360、BIP 361、SHRINCSなど |
| 最大の問題 | 暗号方式よりも、Bitcoin全体を間に合わせて移行できるか |
つまり、攻撃はまだ成立していないが、攻撃側も防御側も「具体的な工学問題」として動き始めたというのが現在地である。
今回のIonQ研究は何が重要なのか
量子コンピューターのニュースでは「何量子ビット達成した」という数字が注目される。
しかしBitcoinにとって重要な数字は二つある。
- 実際の量子コンピューターがどこまで大きくなったか
- Bitcoinを破るために必要な量子コンピューターがどこまで小さくなったか
例えば、
必要量子資源：1億
実機：1万なら距離は大きい。
ところがアルゴリズム、量子回路、誤り訂正が改善され、
必要量子資源：2万
将来の実機ロードマップ：2万となれば状況は変わる。
ハードウェアが突然100倍進歩しなくても、必要資源側がこちらへ近づいてくるからだ。
今回のIonQ研究は、Shorアルゴリズムだけではなく、量子回路、アーキテクチャ、誤り訂正コード、誤り訂正回路まで落とし込んだ見積もりを提示した点に意味がある。
では2028年にBitcoinは破られるのか
ここは明確に分けなければならない。
現時点では分からない。
19,397個の物理量子ビットを用意すれば自動的にBitcoinを破れるわけではない。
必要なのは、
- 十分に高品質な物理量子ビット
- 高いゲート忠実度
- 長時間の安定動作
- 実用的な量子誤り訂正
- 1,457個の論理量子ビット
- 約3,900万論理Toffoliゲートの処理
- それらを約26日維持できるシステム
である。
IonQ自身も、現在この攻撃を実行できる量子コンピューターは存在しないとしている。
また、企業の2028年ロードマップは技術的達成を保証するものではない。
したがって、
19,397量子ビット → 2028年ロードマップ → 2028年Bitcoin崩壊
と直結させるのは誤りである。
ただし「必要資源」と「企業ロードマップ」が同じ桁に入り始めたこと自体は、監視すべき変化である。
26日かかるなら安全なのか
これも単純ではない。
Bitcoinには公開鍵が長期間オンチェーンで露出している出力がある。
この場合、攻撃者は10分以内に秘密鍵を求める必要はない。数日、数週間かけて計算できる。
これがLong Exposure Attackである。
一方、普段は公開鍵が直接露出していない場合、送金時に公開鍵が現れてから短時間で秘密鍵を導出する必要がある。
これはShort Exposure Attackで、はるかに高い量子計算性能を要求する。
したがってQ-Dayは、
ある日突然、すべてのBitcoinが同時に盗めるようになる一つの日
とは限らない。
量子性能の向上とともに、攻撃可能なBitcoinの範囲が段階的に広がる可能性がある。
防御方法はすでに存在する
重要なのは、人類が無防備なわけではないことだ。
NISTは2024年に最初の主要な耐量子暗号標準として、
- ML-KEM
- ML-DSA
- SLH-DSA
を正式公開した。
2026年現在、NISTは組織に対してPQCへの移行を今から開始するよう促しており、量子脆弱な方式を2035年までに段階的に廃止する方向で移行計画を進めている。
つまり世界全体では、
Q-Day
↓
それから防御を考えるではなく、
Q-Day以前
↓
PQC標準化
↓
実装
↓
移行がすでに始まっている。
Bitcoin側はどうなっているのか
Bitcoinにも耐量子化を目指す具体的な議論がある。
BIP 360では量子攻撃を意識した新しいoutput設計が提案され、BIP 361ではさらに踏み込んだ移行戦略が議論されている。
2026年9月にはBitcoin Optechでも、
- 量子攻撃を意識したoutput設計
- 量子攻撃時の救済方法
- SHRINCSのdraft BIP案
などが追跡されている。
ただし、BIP 360のP2MRはそれ自体が耐量子署名方式ではなく、主に公開鍵が長時間露出するLong Exposure Attackへの耐性を高める提案である。またSHRINCSは2026年9月時点でBIP番号未割当の草案で、仕様中にも安全性証明の未完部分が残っている。
つまりBitcoin側も、「量子コンピューターが完成してから考えればよい」という段階ではなくなりつつある。
ただし、提案が存在することと、Bitcoin全体が耐量子化されたことはまったく違う。
最大の問題は「新しい暗号を作ること」ではない
NISTにはすでにPQCがある。
ではBitcoinも交換すれば終わりなのか。
Bitcoinの場合、ここからが難しい。
世界中には、
- Bitcoin Core
- ノード
- マイナー
- 取引所
- カストディ
- ソフトウェアウォレット
- ハードウェアウォレット
- Lightning
- 一般ユーザー
が存在する。
さらに、秘密鍵を失って動かせないBTCもある。
したがって本当の問題は、
耐量子暗号を作れるか
ではなく、
Q-DayまでにBitcoinという巨大な分散システムを安全に移行できるか
である。
Q-Dayより前にある「本当の臨界点」
Q-Dayまでの残り時間を TQ、
Bitcoinを安全に耐量子方式へ移行するのに必要な時間を TM とする。
安全余裕があるのは、
の状態である。
例えばQ-Dayまで15年、移行に5年なら余裕がある。
ところが研究の進展で、
Q-Dayまで3年
移行には5年必要となれば、
となる。
この時点ではまだBitcoinは量子コンピューターに破られていない。
それでも時間的には間に合わない可能性が高くなる。
Bitcoinにとって本当に重要な臨界点は、技術的Q-Dayより前にあるのかもしれない。
さらに前に「経済的Q-Day」がある
金融市場は、最初のBitcoinが盗まれるまで待つ必要がない。
例えば研究上、
「5年以内にsecp256k1攻撃が現実的になる可能性が高い」
と評価される一方、Bitcoinの移行には5年以上必要だと判断されたらどうなるだろう。
機関投資家は、
保有期間中に暗号基盤が危険になる可能性
を価格へ織り込み始める。
したがって時間軸は、
現在
↓
市場が危険を織り込む
↓
Q-Dayまでの時間 ＜ 移行時間
↓
技術的Q-Dayとなる可能性がある。
本サイトでは最初の段階を説明上、**「経済的Q-Day」**と呼ぶ。
これは正式な暗号学用語ではない。
しかしBitcoinを資産として考えるうえでは重要な概念である。
AIもすでに暗号研究へ入っている
2026年には象徴的な出来事も起きた。
NISTが追加の耐量子署名候補として評価していたHAWKについて、AnthropicのAIモデルが数学的な脆弱性を発見し、HAWK開発チームは候補を撤回した。
これはBitcoinがAIに破られたという話ではない。
NISTがすでに正式標準化しているML-DSAやSLH-DSAが破られたわけでもない。
しかし、
AIが暗号方式を攻撃して安全性を検証する研究工程へ実際に入り始めた
という意味では重要である。
AIは量子回路、誤り訂正、アルゴリズム探索を通じて攻撃側を加速する可能性がある。
同時に、PQCの暗号解析、BIP設計、実装、テストを通じて防御側も加速できる。
AIは第三の攻撃者というより、攻撃と防御の両方の時計を速める加速器と考えた方がよい。
2026年9月現在の評価
現在、Bitcoinを実用的に破れる量子コンピューターは確認されていない。
したがって、
「Bitcoinは量子攻撃によってすでに危険な状態にある」
とは言えない。
一方で、IonQの研究によってsecp256k1攻撃に必要な装置規模が具体化し、その規模が企業の数年先のハードウェアロードマップと同じ桁へ入り始めた。
防御側でもNIST標準は完成しており、Bitcoin側ではBIPや具体的な耐量子署名方式の議論が進んでいる。
したがって現在は、
「警戒しながら攻撃と防御の速度を比較する段階」
と考えるのが妥当だろう。
見るべきなのは「何qubitになったか」だけではない。
今後、本当に注目すべき6項目
- secp256k1攻撃に必要な論理量子ビット数
- 必要物理量子ビット数と誤り訂正オーバーヘッド
- Shor実行に必要なゲート数と時間
- fault-tolerantな論理量子ビットの実機進展
- Bitcoin側のPQC/BIP/Core実装状況
- 取引所・ウォレット・ユーザーを含めた現実の移行速度
この六つを同時に見る必要がある。
最後に
Bitcoinの量子問題を、
「量子コンピューターはBitcoinを破れるのか？」
だけで考えると本質を見失う。
より正確な問いは、
量子コンピューターがBitcoinを破れるようになる速度と、Bitcoinが暗号基盤を交換する速度のどちらが速いのか。
である。
2026年9月9日現在、その勝敗はまだ決まっていない。
ただし、攻撃側では実用攻撃に必要な資源が具体化し、防御側では実際の移行方式が議論され始めた。
競争はすでに始まっている。
関連記事
更新履歴
- 2026/9/9：IonQ、NIST、BIP、Bitcoin Optechの公開情報を確認し、初版公開
次に読む記事
量子コンピューターはビットコインを破壊するのか？――2100万枚の希少性より先に暗号は寿命を迎えるのか
ビットコインは2100万枚しかないから価値が上がる――その議論の前提である「所有権を守る暗号は将来も破られない」は本当に保証されているのか。量子コンピューター、Shorのアルゴリズム、耐量子暗号への移行問題から、ビットコインの価値の土台を考える。
AIはBitcoinのQ-Dayを早めるのか？――量子コンピューターとAIが変える「暗号の寿命」
Bitcoinを破れる量子コンピューターはまだ存在しない。しかし科学研究を自律化するAIが量子回路、誤り訂正、デバイス設計、アルゴリズム研究を加速したら、Q-Dayまでの時間は縮み得るのか。攻撃、防御、市場の時間軸から考える。