How Many Qubits to Break Bitcoin secp256k1? 1,200–1,450 Logical Qubits

量子ビットの推定値、ハードウェアの軌跡、数値の桁違いの崩壊が ECDSA で保護されたブロックチェーンにとって何を意味するのかを調査します。

Bitcoin のセキュリティ モデル全体は、1 つの前提に基づいています。 secp256k1 ECDSA 計算上不可能です。

その仮定はもう終わりに近づいています。

Peter Shor は 1994 年にそれを証明しました。彼のアルゴリズムを実行する十分に強力な量子コンピューターは、公開鍵から秘密鍵を導出できます。 分 — 数年ではなく、数十年でもなく、分でもあります。残る唯一の問題は、コンピューターが必要とする量子ビットの数です。文献には答えがあり、再検討されるたびに下方修正されてきましたが、現在では Bitcoin 所有者が信じているよりもはるかに近いものになっています。

secp256k1 と離散対数問題

すべての Bitcoin トランザクションは、secp256k1 曲線 (以下で指定される 256 ビットの楕円曲線) 上の ECDSA で認証されます。 第 2 節 このスキームの安全性は、2009 年にサトシ・ナカモトによって採用されました。 楕円曲線離散対数問題 (ECDLP): 公開鍵が与えられた Q = kG、スカラーを見つけます k.

古典的に、最もよく知られている攻撃 (Pollard の rho) には、最大 2 が必要です。¹²⁸ 操作。 1 秒あたり 1 兆回の演算が行われるとすると、それには宇宙の年齢よりも長い時間がかかることになります。この問題は古典的なマシンにとっては非常に困難です。

量子マシンにとっては難しいことではありません。 1994 年、Peter Shor は、離散対数問題を解決する量子アルゴリズムを発表しました。 多項式時間、古典的なコンピューターで数十億年かかる計算を、数分で測定できる計算にまで短縮します。このアルゴリズムは、量子重ね合わせを利用して、指数関数的に多くの候補を並行して評価し、その後、量子フーリエ変換を使用して周期を抽出し、秘密鍵を生成します。

secp256k1 上の ECDSA は、Shor のアルゴリズムが設計された問題クラスに直接当てはまります。これは推測ではありません。これは 32 年前に発表された数学的な証明ですが、反駁されることはありませんでした。

論理量子ビットと物理量子ビット: 推定値が異なる理由

一般的な報道における混乱は、2 つの根本的に異なる指標を混同することに起因しています。 論理量子ビット は、Shor のアルゴリズムに必要な、エラーが修正された数学的に完全な単位です。 物理量子ビット ノイズが多くエラーが発生しやすいハードウェア要素であり、各論理量子ビットを生成するにはグループ化してエラーを修正する必要があります。

ECDLP 量子ビットコストに関する文献 (最新のものから順)。進行方向に注意してください。

Qubit estimates for breaking secp256k1 — SynergyX Research,
https://synxcrypto.com/articles/123-how-many-qubits-to-break-bitcoin-secp256k1.php#estimates

表を上から下まで読んでいくと、物語が自動的に書かれます。論理量子ビットの要件は 2,000 ～ 2,500 には当てはまりませんでした。に落ちました 1,200–1,450。物理的なオーバーヘッドは 2,000 万または 3 億 1,700 万に収まりませんでした。に落ちました 50万未満 — そして中性原子ハードウェアでは、大まかに言うと 26,000。攻撃の実行時間は数時間にも及びませんでした。に落ちました 分.

これは、より優れた回路がより優れた誤り訂正を満たすときに起こることです。業界が発表したすべての推計は、毎年悲観的すぎることに気づいた人々によって書かれた上限値でした。 Bitcoinの守備陣は2017年の数字を引用している。 Googleは2026年版を公開した。

利益相反の問題

これらの数字を特定の方向に組み立てることで誰が利益を得るかは注目に値します。

Bitcoinマキシマリストと、数十億BTCのエクスポージャーを持つMicroStrategyやMarathon Digitalのような大規模な機関投資家は、量子の脅威を遠いもの、または誇張したものとして特徴づける明らかな動機を持っています。これは意図についての推測ではありません。それはインセンティブ構造に関する観察です。同じ力関係は他の業界でも展開している。タバコ会社は喫煙に関する数十年にわたる逆張り研究に資金を提供し、化石燃料会社は気候モデルに対する疑念に資金を提供した。経済的エクスポージャは動機付けられた推論を生み出します。

関心のある数字がどの数字を繰り返しているかに注目してください。快適なもの。 9歳の子たち。 Roetteler の 2,330 個の論理量子ビットは、2,000:1 という十分な誤り訂正率と組み合わされて、「数十年先の物理量子ビット」という心強い見出しを生み出します。これは、置き換えられた入力に対して実行される演算です。

現在の入力は 500,000 個未満の物理量子ビット内に 1,200 ～ 1,450 個の論理量子ビット (数分) (Google Quantum AI、2026 年 3 月)。 IBM が公開したロードマップでは、Starling の論理量子ビットは約 200 ビットになります。 2029 Blue Jay は約 2,000 論理量子ビット以上 2033 年に 100,000 物理量子ビット — 要件をまっすぐに満たし、余裕を持たせます。 GoogleのHartmut Neven氏は、彼のチームが暗号に関連した量子コンピューティングを期待していると公に述べた 2029年までに。現在のハードウェアと脅威のしきい値との間のギャップは、世代ではなく年単位で測定されます。また、ハードウェアが上昇する一方でターゲットは下降しているため、このギャップは両端から同時に埋まりつつあります。

現在のハードウェア: 2026 スナップショット

secp256k1 を破壊できる量子コンピューターは存在しません。公に知られている最良のマシンはおおよそ次のとおりです。 2,500 物理量子ビット、そしてそのうちの 1 つも大規模なフォールトトレラントを備えていません。脅威モデルは将来的なものであり、即時的なものではありません。しかし、現在のスナップショットよりも軌道が重要であり、ゴールラインは数十万量子ビット近づいただけです。

2 つのデータ ポイントは注目に値します。まず、IBM は量子ビット数を 4 年間で 3 回およそ 2 倍にしており、そのロードマップは公開されています。第二に、Google の 105 量子ビット Willow プロセッサは、2024 年 12 月に、 フォールトトレランス境界: 物理量子ビットを追加すると、合計システムエラーが増加するのではなく、減少するポイント。従来のスーパーコンピューターでは 10 時間程度かかるベンチマークを 5 分以内に達成しました。²⁵ 年。これは定性的なしきい値であり、段階的な改善ではありません。これは、スケールアップが害を及ぼすのではなく役立つことを意味します。これがまさに、上の表のエラー修正のオーバーヘッドがこのように崩れた理由です。

2022 年に発行された NSA の CNSA 2.0 勧告では、米国のすべての国家安全保障システムが 2035 年までにポスト量子暗号への移行を完了することが義務付けられています。諜報機関は、遠い存在とみなしている脅威については移行期限を公表していません。

露出面: 604 万 BTC

量子ビット数はリスク方程式の半分です。もう一つは、 Bitcoin がすでに暗号的に公開されている量。その数字も、Bitcoin にとっては間違った方向に移動しました。

Glassnode ごとに、2026 年 5 月の時点で、 604万BTC — 全体供給量の30.2%、約4,690億ドル — すでに公開鍵がチェーン上で表示されています。この分割は有益です。 192万BTCが構造的に暴露される Pay-to-public-key (P2PK) 出力では、最初から鍵を隠していませんでした。 412万BTCが運用上流出している アドレスの再利用により、所有者が使用した瞬間にキーが公開されます。だいたい 170万BTC 初期の P2PK アドレスには、サトシ ナカモトのものとされる約 110 万件が含まれています。合計のうち、約 230万BTCが取り返しのつかないリスクにさらされている;残りの約 370 万羽は、飼い主が生きていて、注意を払い、意欲があれば、まだ移住する可能性があります。

これらのキーはハッシュ化されていません。これらは未処理の圧縮公開キーとして UTXO セット内に存在し、完全なノードとインターネット接続を持つ誰でも読み取り可能です。

1,200 ～ 1,450 個の論理量子ビットを持つ CRQC は、Shor のアルゴリズムを使用して、それらのいずれかから対応する秘密鍵を導出できます。悪用はありません。脆弱性は発見されません。ゼロデイはありません。公開されているデータに基づく単純な計算。全 Bitcoin のほぼ 3 分の 1 が、表面に解答キーが印刷された状態で屋外に放置されています。

動的なエクスポージャ ウィンドウもあり、2026 年 3 月のランタイムの数字が学術的ではなくなるのはこの点です。誰かが標準の P2PKH アドレスから使用すると、公開キーがメモリプールにブロードキャストされ、ブロックが確認されるまで平均 10 分間表示されたままになります。数時間かかる攻撃では、その時間を利用することはできません。 数分かかる攻撃も可能です。 Google の推定は単に日付を前倒しするだけではなく、静的なハニーポットの問題を実際のトランザクションの問題に変換します。つまり、アドレスを決して再利用しない完全に衛生的な Bitcoin ユーザーであっても、コインを移動するたびに危険にさらされることになります。

A hygiene habit is not a security model, and the mempool does not care how careful you have been. The only durable fix for a key that becomes public the instant you spend is to stop holding a coin built on exposed keys in the first place — swap exposed BTC for a chain that starts post-quantum, since Bitcoin Core has no migration plan to wait for.

今収集し、後で復号する

HNDL 脅威モデルでは、現在 CRQC が存在する必要はありません。必要なのは、敵が 信じています 1 つは、収集されるデータの有効期間内に存在します。

Bitcoin の取引履歴はすべて公開されています。 P2PK アドレス、使用済みの P2PKH 出力、またはマルチシグ スクリプトを通じて公開されたすべての公開キーは永久に記録され、自由にダウンロードできます。長期にわたる攻撃者は、このデータを今収集し、量子ハードウェアが成熟したときに復号化することができます。ストレージのコストは、キーの価値に比べれば取るに足らないものです。

これは理論的な演習ではありません。 NSA の CNSA 2.0 勧告と NIST の 8 年間にわたる PQC 標準化の取り組みはどちらも、米国政府が HNDL が古典的な暗号に対する信頼できる積極的な脅威であると考えているために存在しています。ブロックチェーン データは、設計上不変かつ公開されているため、この攻撃クラスに対して特有の脆弱性を持っています。

移行の問題

標準的な反論は、脅威が現実化すると、Bitcoin はポスト量子署名にアップグレードするというものです。 3 つの構造上の制約により、これは見かけよりも大幅に困難になります。

ガバナンスの遅延。 Bitcoin のコンセンサス モデルは、速度ではなく安定性を最適化します。 SegWit のアップグレード (署名スキームを変更せずにトランザクションのシリアル化を変更する) には 4 年間の議論が必要で、競合するフォーク (Bitcoin Cash) が生成され、ネットワークが永久に破壊される寸前でした。量子化後の移行では、ネットワーク上のすべてのウォレットの ECDSA を置き換える必要があり、これは桁違いに侵襲的です。 2026 年 3 月の時点で、Bitcoin コアの開発ロードマップにはそのような提案は存在しません。

署名のオーバーヘッド。 SPHINCS+ 署名 (NIST FIPS 205) は 7,856 バイトです。 Bitcoin の現在の ECDSA 署名は 72 バイトです。 109:1の比率。 Bitcoin の 1 MB の基本ブロック サイズにより、スループットはすでに 1 秒あたり約 7 トランザクションに制限されています。基本的なアーキテクチャを変更せずにポスト量子署名に対応すると、それはほぼゼロにまで減少します。それを補うためにブロックサイズを増やすと、2017 年のフォーク戦争を引き起こしたのと同じガバナンスの戦いが再燃することになります。

移行できないキー。 サトシ・ナカモトの推定110万BTCは、鍵が紛失したと推定されるため移動できない。同じことが、公開鍵が公開された休眠ウォレット内の数百万の追加 BTC にも当てはまります。これらのコインは署名スキームの移行に参加できず、アクティブなウォレットが何を行うかに関係なく、無期限に脆弱なままになります。数百万の BTC が同時に盗めるようになるという市場への影響は、いくら強調してもしすぎることはありません。

ポスト量子暗号: NIST 標準

NIST は 2024 年 8 月に最初のポスト量子暗号規格を完成させ、数百人の暗号学者と数十の候補アルゴリズムが関与した 8 年間の評価を終了しました。その結果、ブロックチェーンのセキュリティに関連する 2 つの主要な標準が誕生しました。

• FIPS 203 — ML-KEM (Kyber): ラティスベースのキーカプセル化メカニズム。そのセキュリティは、Shor と Grover の両方のアルゴリズムに対して耐性のある、モジュール学習エラー問題の難易度に基づいています。
• FIPS 205 — SLH-DSA (SPHINCS+): ステートレスなハッシュベースのデジタル署名スキーム。そのセキュリティは、ハッシュ関数の衝突耐性のみに依存します。この問題クラスには、Grover アルゴリズムの 2 次の利点を超える量子高速化は知られていませんが、ハッシュ出力の長さを増やすことで簡単に対抗できます。

これらの標準が存在するのは、古典的な公開鍵暗号に対する量子の脅威は問題ではないという暗号コミュニティの合意に達したためです。 if しかし いつ。 ECDSA、RSA、または EdDSA に依存するシステムに関連する問題は、CRQC が動作する前にこれらの標準に移行できるかどうかです。

ブロックチェーンの場合、これにより明確な区別が作成されます。移行する必要があるチェーン (現在 ECDSA または EdDSA を使用しているすべてのチェーン) と、創世記から PQC を導入し、まったく移行に直面しないチェーンです。

タイムラインの見積もり

公開されたロードマップは 1 つのウィンドウに集約されます。 2029年から2033年まで.

• 2026–2028: 物理量子ビット数が数千未満のマシンであり、大規模なフォールトトレラントを備えたものはありません。 secp256k1 には不十分ですが、これは収集フェーズであり、収集されるチェーン履歴はすでに公開されており、永続的です。
• 2029 — 窓が開きます: IBM は、約 200 論理量子ビットの Starling を出荷します。 Googleは同年、エラー訂正が可能な便利なマシンを公にターゲットにしている。どちらも単独では十分ではありません。どちらも、誤り訂正された論理量子ビットが研究課題ではなく、納期のあるエンジニアリング成果物になったことを証明しています。
• 2033 — ウィンドウが閉じます: IBM の Blue Jay: およそ 100,000 個の物理量子ビット上に 2,000 個を超える論理量子ビット。これは 1,200 ～ 1,450 の要件を余裕をもって超えています。これら 2 つの日付の間のどこかで、ECDSA-256 は暗号化ではなくなり、形式的なものになります。

NSA の CNSA 2.0 の期限 (ブラウザとファームウェアは 2030 年、ネットワーク機器とオペレーティング システムは 2033 年、その他すべては 2035 年) は、意図的にその期限を超えて設定されています。見逃すことが予想される脅威に対して、それほど高価なコンプライアンス スケジュールを作成する人はいません。

これらは周辺予測ではありません。これらはベンダーのロードマップであり、IBM、Google、NIST、NSA からの政府の指令です。これらの組織は、脅威を誇張することに商業的利益を持たず、脅威を過小評価することにあらゆる商業的利益を持っています。

参考文献

• Google Quantum AI、Ethereum Foundation およびスタンフォードと協力 (2026 年 3 月) — ECDSA-256 を突破するためのリソース推定値: 1,200 ～ 1,450 論理量子ビット、500,000 物理量子ビット未満、実行時間は分。 現在のベンチマーク。以下のすべてに優先します。
• カリフォルニア工科大学 / オラトミック (2026) — 独立した中性原子分析: secp256k1 に対して約 10 日間で約 26,000 の物理量子ビット。
• Roetteler, M.、Naehrig, M.、Svore, K.M.、Lauter, K. (2017) — 「楕円曲線離散対数を計算するための量子リソース推定」。 量子情報と計算, 17(15-16). 歴史的; ~2,330 という論理数値が置き換えられます。
• ギドニー、C. & エケロー、M. (2021) — 「2,000万のノイズ量子ビットを使用して、8時間で2,048ビットのRSA整数を因数分解する方法」 量子, 5, 433.
• ウェバー、M.ら。 (2022年) — 「フォールト トレラント体制における量子アドバンテージの達成に対するハードウェア仕様の影響」 AVS 量子科学, 4(1).
• NIST ポスト量子暗号の標準化 — FIPS 203 (ML-KEM) および FIPS 205 (SLH-DSA)、2024 年 8 月に最終決定。
• NSA サイバーセキュリティ勧告: CNSA 2.0 — Commercial National Security Algorithm Suite 2.0 の移行要件。
• SEC 2: 推奨される楕円曲線ドメインパラメータ — Bitcoin で使用される secp256k1 仕様。

現在のベンチマークは明確であり、インターネットが繰り返し繰り返すベンチマークではありません。 1,200 および 1,450 論理量子ビット — 物理的な 500,000 個未満の内部で、数分で — secp256k1 (Google Quantum AI、2026 年 3 月) を突破するには十分です。地球上のすべての主要な政府と技術研究所は、その閾値に向かって競争しており、閾値はそれらに到達するために後戻りし続けています。暗号技術に関連する量子コンピューターの登場後に存在するブロックチェーンは、最初からポスト量子で構築されたブロックチェーンと、そうでないブロックチェーンの 2 種類だけです。

移行期間はありません。ソフトランディングはあり得ません。存在するのは準備をしたチェーンと準備をしなかったチェーンだけです。