IonQがBitcoinの鍵を「26日」で破る量子計算を設計、成功確率と公開鍵の露出が分ける脅威

IonQは2026年9月8日、Bitcoinの電子署名を支える数学的問題を、約2万個の物理量子ビットを持つ将来の量子コンピューターで1回25.7日かけて解く設計を公表した。計算に必要な回路を、誤り訂正やイオンの移動まで含めて具体化した研究であり、実際にBitcoinを解読したわけではない。それでも、量子攻撃の議論を「何個の量子ビットが要るか」から、どの精度の装置をどれだけ長く動かせば、どの資金が危険になるかへ進める材料になる。「26日」を評価するには、成功確率と、公開鍵が攻撃者に見えている時間を一緒に考える必要がある。

「26日」は1回の試行時間

IonQのThomas Häner氏らが公開した技術論文は、Bitcoinが採用する楕円曲線「secp256k1」を対象にしている。公開鍵から秘密鍵を求める難しさの根拠となる、楕円曲線離散対数問題をショアのアルゴリズムで解くという研究だ。論文の日付は9月3日で、IonQが自社サイトで公開したものである。査読誌への掲載は確認できていない。

試算の中心値は19,397物理量子ビットと25.7日だが、後者は成功するまでの確定時間ではなく、1回の試行に要する時間である。論文は全体の成功確率について、40.7%と63.3%という異なる推定を示す。

40.7%は、アルゴリズムの成功確率について厳密な数学的下限から出発し、近似計算による影響や、装置側の論理誤りの推定を組み合わせた値だ。63.3%は、数学部分に追加の仮定を置く推定から出発している。したがって、40.7%という数字にも物理装置のモデルが入っており、現実の機械でこの確率が無条件に保証されたと解釈してはいけない。

反復が必要な場合の規模感は、同じ論文の数字から計算できる。1回25.7日の試行を同じ成功確率で独立に繰り返すと仮定すると、累積成功確率が95%を超えるのは、40.7%の場合で6回・154.2日、63.3%の場合で3回・77.1日となる。

1回の成功確率に置く値	累積成功確率が95%を超える最小試行回数	直列に実行した計算時間
40.7%	6回	154.2日
63.3%	3回	77.1日

これは論文7ページの成功確率推定と25.7日を使い、累積確率を「1−(1−p)のn乗」、時間を「25.7日×n」で求めた条件付き計算である。装置の停止・復旧や再初期化などの追加時間は含めていない。実機の解読予報ではないが、「26日後には必ず成功する」という読み方がどれほど違うかは分かる。

約2万量子ビットに収めた設計の中身

計算そのものには1,457論理量子ビットと約3,900万回のトフォリゲートを使う。論理量子ビットは、複数の物理量子ビットに情報を分散させ、誤り訂正で保護した計算単位だ。物理量子ビットの個数がそのまま、信頼して計算に使える個数になるわけではない。

IonQは4月に公表した「Walking Cat」設計を、この計算に合わせて組み直した。イオンを平面上で移動させて離れた場所の量子ビットを結び、量子低密度パリティ検査符号（qLDPC符号）で情報を保護する。採用したQ102符号は102個のデータ用量子ビットに22個の論理量子ビットを格納できるが、誤りを検出する補助量子ビットなどは別途必要になる。その補助資源も数えた結果が19,397個である。

演算回路も短くした。論文は先行研究の回路を改良し、約5,800万回だったトフォリゲートを約3,900万回へ減らしたとしている。さらに、トフォリ演算に使う特殊な量子状態を供給する回路を設け、CCZという関連する演算を効率よく実行できるようにした。単純に小さな操作へ分解する実装と比べ、この演算に要する時間を31分の1に抑えている。

ただし、31倍という高速化は該当する演算の比較であり、Bitcoinの解読全体がそのまま31倍速くなったという意味ではない。計算には情報の移動や測定も必要だ。論文では各部分を装置上で実行できる測定の順序へ落とし込み、全体で75,251,329層の測定を見積もった。1層当たりの平均時間を約29.5ミリ秒として、約25.7日という所要時間を導いている。

この具体性が今回の研究の価値だ。量子ビットを少なく使う案自体には先行研究があり、方式が異なる装置の数字を並べても性能順位は決まらない。IonQの設計では、移動中に別の計算を進められるか、必要な補助状態を間に合わせられるかまで、検討の対象になった。

また、secp256k1には計算を簡略化しやすい素数の形という特徴がある。今回の量子ビット数や日数を、別の楕円曲線やRSAの解読へそのまま流用することはできない。

誤り率と長期稼働に残る実機の課題

論文が想定する二量子ビットゲートの誤り率は0.01%、単一量子ビット操作では0.001%である。小規模なイオン装置での実験や到達可能な性能を根拠にした設定だが、約2万量子ビットの装置を約26日動かし続けた測定結果ではない。

計算中には、量子ビットを担うイオンが失われることも想定している。論文のモデルでは、イオンの損失が他のイオンへ連鎖的に広がらないという条件を置き、予備のイオンを補充しながら計算を続ける。装置全体の個数には34個の共通予備イオンも含まれ、必要な平均補充速度は毎秒約9.7個と見積もられた。

この補充速度を実現することと、補充しながら計算情報を長期間守ることは別の課題になる。論文はメモリの誤り、演算用の量子状態の誤り、予備イオンの枯渇などを合成し、論理的な失敗の確率を約26%と見積もる。その合成にも、各失敗機構が統計的に独立という仮定がある。成功確率の数字を支えるのは、こうした個別条件の積み重ねだ。

同日のSuperion 256発表では、SkyWaterでの256量子ビットQPU製造と、試作機での最初のイオン捕捉をIonQが報告した。顧客への納入は2027年の計画である。Walking Catを動かす最初の世代として開発しているSuperion 10Kについても、CMOS統合による完全な誤り耐性を2027年に研究室で、2028年に商用で実現するという会社の見通しを示した。

製造・捕捉の実績、将来の製品計画、暗号計算用の設計は、達成した内容が異なる。 IonQ自身も、今回の計算を実行できる量子コンピューターは現時点で存在せず、実際の財布やネットワークには触れていないと説明している。2028年というロードマップを、Bitcoinが破られる確定年へ読み替える根拠はない。

長期間見えている公開鍵が先に問題になる

Bitcoinで危険になるのは、資金を使う権限を証明する電子署名だ。公開鍵から秘密鍵を回復できれば、その鍵で認められる支出について、本人になりすました署名を作れる。今回の研究は、採掘に使うSHA-256の突破や、ブロックチェーンの全履歴の書き換えを実証したものではない。対象は1件の公開鍵に対応する離散対数問題であり、26日で全財布を一括解読する計算でもない。

従来のECDSA署名に加え、Taprootで使うSchnorr署名もsecp256k1を採用する。同じ数学的問題に依存しているため、Schnorrという署名方式の名称だけで量子攻撃を避けられるわけではない。

さらに、攻撃に使える時間は資金の保管形式によって変わる。Bitcoinの改善提案BIP 360は、公開鍵が長期間露出する攻撃と、送金の承認待ち時間内に行う攻撃を分けている。

資金の状態・形式	公開鍵の見え方	今回の試算との関係
P2PK形式	公開鍵が最初から記録される	資金が残る間、時間をかけた鍵の回復を試せる
TaprootのP2TR形式	出力の公開鍵が記録される	鍵で支出できる経路が、長期露出の攻撃対象になる
公開鍵がまだ露出していないP2PKH・P2WPKH形式	公開鍵のハッシュを記録する	この公開鍵からの回復計算を、記録だけで直ちに始められるとは限らない
公開鍵が送金で明かされた後の再利用資金	同じ鍵が既知になる	同じ鍵に残る資金などが長期露出の対象になり得る

分類はBIP 360の「Long Exposure vs Short Exposure Attacks」に基づく。ただし、拡張公開鍵など別経路からの露出もあり、アドレスの形式だけで安全性を断定する表ではない。

公開鍵をハッシュで隠していても、支出時には署名を検証するために公開する。この短い時間内に秘密鍵を回復して送金へ割り込むには、一般に週単位の計算よりはるかに速い装置が要る。一方、すでに公開された鍵に資金が長く残っていれば、攻撃者には計算を進める時間がある。

したがって、25.7日という試算が現実に近づいたとき、送金が瞬時に奪われる事態より先に、長期間動いていない露出済みの鍵が問題化し得る。「承認までに間に合わないから脅威ではない」という判断は、この資金を見落とす。

公開鍵を隠す提案と耐量子署名は役割が違う

BIP 360は「Pay-to-Merkle-Root（P2MR）」という新しい出力形式を提案している。Taprootにある、公開鍵に対応する有効な署名で支出できる経路を取り除き、支出条件をまとめた木構造のハッシュを使う設計だ。公開鍵を不用意に露出しなければ、長期間かける鍵の回復への抵抗力を持たせられる。

ただし、2026年9月9日に確認したBIP 360の状態はDraftであり、採用済みの機能ではない。また、この提案自体に耐量子署名の導入は含まれず、送金時の短い露出への対策は将来の署名方式の追加に委ねている。保管中に鍵を隠すことと、鍵を公開しても署名を偽造されないことは、防御として異なる。

耐量子署名そのものには標準がある。米国立標準技術研究所（NIST）は2024年8月13日、ML-DSAとSLH-DSAをそれぞれ標準化した。これらは送信内容を隠すための方式ではなく、署名者の真正性やデータの改変を検証するための方式であり、今回の認証の問題に対応する種類の技術である。

もっとも、標準が完成してもBitcoinの署名が自動で入れ替わることはない。新しい検証規則をネットワークへ導入し、ウォレットが新形式を扱い、既存の資金を移す必要がある。研究側の量子ビット数が縮む一方で、防御側には実装と移行を進める時間が要る。

既存資金をどう移すかは技術と合意の問題

移行期限を設けようとする案もある。BIP 361は耐量子出力の導入を前提に、発動から約3年後に量子攻撃へ弱い宛先への送金を禁止し、その2年後には旧ECDSA・Schnorr署名による支出へ、量子攻撃者と正当な保有者を区別する救済条件を課す案を示す。

これもDraftであり、Bitcoinで決まった期限ではない。起点は将来の発動なので、現時点で特定の暦年を移行期限として計算することもできない。

難所は、移行できなかった資金の扱いだ。公開鍵から得た秘密鍵だけで支出を認めれば、将来は量子攻撃者もその条件を満たせる。反対に古い支出を制限すれば、正当な保有者のアクセスを損ねかねない。BIP 361は、財布の鍵生成に使った情報など、量子攻撃者が秘密鍵を求めただけでは得られない知識で保有者を救済する仕組みを検討しているが、どこまで既存資金を覆えるかは未確定としている。

IonQの論文を受けて、この移行問題に一つの期限が決まったわけではない。それでも、装置の成立条件が詳しくなるほど、Bitcoin側は自らの移行に要する時間と比較しやすくなる。量子計算側で必要なのは、想定した誤り率と補充を保ちながら大規模な論理演算を続ける実証だ。Bitcoin側では、その実証を待ってから議論を始めるのでは間に合うのか、既存資金の救済まで含む実行可能な移行手順が判断材料になる。