量子コンピューターでビットコインは盗まれる？狙われやすい条件と対策

2026年10月、「量子コンピューターでビットコインが盗まれる」という見出しのニュースが続きました。

自分のビットコインは大丈夫なのか、もう持たないほうがいいのか、と気になった人もいるはずです。

先に、この記事で何度も出てくる2つの言葉を、金庫にたとえて説明します。

ビットコインの残高は、持ち主だけが開けられる金庫に入っているようなものです。

その金庫を開ける鍵が「秘密鍵」で、持ち主だけが持っています。

金庫の鍵穴にあたるのが「公開鍵」で、送金の記録などに載り、誰でも見られることがあります。

いまのコンピューターでは、鍵穴の形から合い鍵を作るのに、現実的でないほど時間がかかります。

量子コンピューターは、その時間を大きく縮めうる機械です。

そのうえで、結論を書きます。

公開されている量子コンピューターで、ビットコインの秘密鍵を実用的に割り出せたという確認はありません。

ただし、将来への備えが要らないという意味ではありません。

十分な性能の量子コンピューターができたとき、特に狙われやすいのは、鍵穴（公開鍵）がすでに記録に出ている残高です。

時間をかけて合い鍵を作れるからです。

その対策は提案の段階で、まだ決まっていません。

この記事は、Googleの研究者らの論文、ビットコインの改善提案（BIP）の原文、データ分析会社Glassnodeの集計をもとに書いています。

いま、量子コンピューターでビットコインは盗まれるのか

いまの時点で、量子コンピューターによってビットコインの秘密鍵が割り出されたという確認はありません。

Googleの研究者らが2026年3月に出した論文でも、攻撃に必要な量子コンピューターはまだ無いという前提で、必要な規模を見積もっています。

何が破られうるのか

ビットコインの持ち主であることは、秘密鍵で作る「署名」で証明されます。

秘密鍵の正体は、持ち主だけが知っている長い数字です。

署名は、その秘密鍵を持っている人にしか作れない、送金の許可のしるしです。

量子コンピューターが崩しうるのは、この署名を支える計算の難しさです。

量子コンピューターとビットコインの話で、いま主に問題にされているのは、この署名の部分です。

秘密鍵・公開鍵・アドレスの関係

冒頭の図のように、秘密鍵・公開鍵・アドレスは、一方向にしか計算しやすくない関係でつながっています。

アドレスは、ビットコインを受け取るときに相手に教える英数字の列です。

秘密鍵から公開鍵を作るのも、公開鍵からアドレスを作るのも、ふつうのコンピューターで一瞬です。

反対に、公開鍵から秘密鍵を割り出すのは、いまのコンピューターでは現実的な時間ではできません。

ビットコインの安全は、この「片方向にしか計算しやすくない」性質に支えられています。

量子コンピューターの「ショアのアルゴリズム」という計算方法は、公開鍵から秘密鍵を割り出す計算を大きく速めうるとされています。

一方、公開鍵をハッシュで隠す形式のアドレスなら、アドレスから公開鍵を割り出すのは、量子コンピューターでも現実的でないとされています。

ただし、Taprootのアドレスは公開鍵そのものから作られているので、アドレスを見れば公開鍵が分かります。

だから、公開鍵がまだ記録に出ていない残高は、出ている残高より狙われにくいのです。

鍵穴に蓋がある金庫、無い金庫

公開鍵をハッシュで隠す形式のアドレスは、鍵穴に蓋をした状態に近く、送金するときに初めて蓋を開けます。

ハッシュは、元のデータから作る短い値で、そこから元のデータに戻すのは難しいものです。

初期の形式やTaprootは、最初から蓋が無い状態です。

蓋が開いたままの金庫（公開鍵が見えている残高）は、時間をかけて狙われやすくなります。

実際の鍵とちがうのは、鍵穴が見えても、合い鍵を作るのは純粋に計算の問題だという点です。

持ち方で何が違うのか

公開鍵が記録に見えているかどうかは、アドレスの形式と使い方で変わります。

下の図のように、残高を狙われうる時間の長さで、大きく3つに分けられます。

公開鍵の出方で3つに分かれる

1つ目は、受け取った時点から公開鍵が見えている持ち方です。

ビットコインの初期に使われた形式（P2PK）と、2021年に始まったTaproot（タップルート）の形式（P2TR）がこれに当たります。

2つ目は、同じアドレスから一度送金して、そのアドレスに残高が残っている持ち方です。

送金すると公開鍵が記録に載るので、残った分は、その後ずっと公開鍵が見えた状態になります。

使い切ったアドレスは、残高が無いので盗まれるものがありません。

3つ目は、一度も送金していないアドレスです。

P2PKHやP2WPKHといった形式では、アドレスは公開鍵をもとに作った短い値（ハッシュ）で、公開鍵そのものは送金するまで記録に出ません。

ただし、送金するときには公開鍵が出ます。

送金を出してから承認されるまでの間、その送金は「メモリプール」と呼ばれる承認待ちの列で、誰でも見られる状態になります。

Googleの論文は、十分に速い量子コンピューターなら、この承認待ちの間に秘密鍵を割り出す攻撃もできうると見積もっています。

3つ目も、承認待ちの間まで含めて狙われないわけではありません。

取引所に預けている場合

国内の取引所に預けている人は、自分のビットコインがどの形式のアドレスにあるかを、ふつうは選べません。

取引所は、利用者から預かったビットコインを、取引所が管理するアドレスでまとめて保管していることが多いからです。

どの形式で保管し、いつ新しい形式に移すかは、取引所の設計と判断しだいです。

暗号資産のニュースサイトCoinDeskが報じたGlassnodeの集計では、公開鍵が見えている残高の割合は、取引所や保管業者ごとに大きく違っていました。

ビットコインのアドレスや、自分で管理するウォレットの基本は、ウォレットの選び方の記事にまとめています。

600万BTCという数字の意味

ニュースで出た「600万BTC」は、公開鍵がすでに見えている残高の推計です。

Glassnodeは2026年5月、この状態の残高を約604万BTC（発行済みの30.2%）と集計しました。

内訳は、形式の上で最初から見えている分が約192万BTC、使い回しなどで見えるようになった分が約412万BTCです。

Googleの研究者らの論文は、数え方を変えて約690万BTCとしています。

この数字は、量子コンピューターがあれば盗める額でも、確定した残高でもありません。

集計した時点・数え方で変わり、持ち主が公開鍵の見えていないアドレスに移せば減ります。

サトシ・ナカモトと呼ばれるビットコインの考案者の保有分も、初期の形式に含まれるとみられていますが、どれがその分かは推定です。

いつ頃の話なのか

いつ実現するかは、分かっていません。

ここでは、必要な規模の推計と、Googleの量子チップの規模を、同じ物差し（物理量子ビットの数）で並べます。

量子ビットは、量子コンピューターが計算に使う最小の単位です。

物理量子ビットは、チップの上に実際に作られた量子ビットの数を指します。

必要な規模の推計と、いまの量子コンピューター

Googleの研究者らは2026年3月の論文で、ビットコインの秘密鍵を割り出すのに要る規模を見積もりました。

超伝導方式（Googleなどが採用している、極低温で動かす作り方）などの前提を置くと、物理量子ビットは50万個未満で済みうるとしています。

計算にかかる時間は、数分〜数十分と見積もっています。

論文は、この数がそれまでの推計の約20分の1になったと書いています。

これに対し、Googleが2024年12月に発表した量子チップWillowの量子ビットは105個です。

Willowを並べたのは、推計と同じ超伝導方式で、10月の発表でも使われたチップだからです。

量子ビットの数だけなら、IBMが2023年12月に発表した1,121個のチップなど、もっと多いものもあります。

ただし、推計の前提になっている誤りの少なさなどを満たしているかは、数とは別の問題です。

どちらの数でも50万個には大きく届かず、さらに誤りを十分に少なくする技術も要ります。

量子ビットは誤りが起きやすいため、たくさんの物理量子ビットをまとめて、誤りを打ち消しながら1つの量子ビットとして使う必要があるからです。

ただし、推計そのものは研究が進むたびに下がってきました。

差が大きいことは「ずっと先」を約束するものではなく、時期は誰にも言い切れません。

10月のGoogleの発表は何だったのか

2026年10月15日、GoogleはWillowで「マジックステート」と呼ばれる状態の誤りを約40分の1に減らせたと発表しました。

マジックステートは、量子コンピューターで幅広い計算をするのに要る材料のようなものです。

この成果は、誤りに強い量子コンピューターへ向けた工程の1つです。

秘密鍵を割り出したわけではなく、攻撃に要る規模の推計が40分の1になったわけでもありません。

Google自身も、より大きな規模での実証がまだ必要だとしています。

持っている人が、いま確かめておくこと

ここに書くのは、売る・買うの判断ではなく、確認しておくとよいことです。

いま「量子対策として、すぐに移し替えるべき」という段階ではありません。

移し替えには、送り先の間違いや詐欺といった別の危険もあります。

取引所に預けている人

保管の形式や、新しい形式への移行は、ふつう取引所の側が決めることです。

いまの時点で、量子コンピューターに備えて利用者が自分でしておくことは、特にありません。

対応するかどうか、いつ案内を出すかも、取引所しだいです。

将来、移行に伴って入出金が一時止まるといった案内が出ることもありえます。

自分のウォレットで持っている人

同じアドレスで何度も受け取ったり、送金したあとのアドレスに残高を置き続けたりするのは避けます。

多くのウォレットは、受け取るたびに新しいアドレスを出す仕組みになっています。

「拡張公開鍵（xpub）」と呼ばれる情報を、むやみに人やサービスに渡さないことも大切です。

xpubからは、そのウォレットの公開鍵の情報が分かります。

将来、新しい形式への移行が決まったら、ウォレットの公式サイトなど公式の経路で手順を確かめます。

「量子対策」をうたう連絡に注意

「量子コンピューター対策のため、この新しいアドレスに移してください」といった連絡には注意が必要です。

秘密鍵や復元フレーズ（ウォレットを復元するための単語の並び）を入力させるのは、詐欺の典型的な手口です。

正規のサービスが、メールやSNSで秘密鍵や復元フレーズを聞いてくることはまずありません。

暗号資産が盗まれるよくある手口は、暗号資産はなぜ盗まれるかの記事で解説しています。

ビットコイン側の対策案と、決まっていないこと

ビットコインの仕組みを変えるには、開発者・マイニング（新しい取引をまとめて記録に加える作業）をする事業者・利用者などの合意が要ります。

量子コンピューターへの対策もいくつか提案されていますが、どれも決まってはいません。

BIP-360：公開鍵を長くさらさない新しい形式

BIP-360は、2024年12月に番号が付いた改善提案で、2026年10月時点の状態は「Draft（草案）」です。

Taprootの形式から、公開鍵が最初から見える部分を外した新しいアドレスの形式（P2MR）を加える内容です。

受け取った残高の公開鍵を、長い間チェーンにさらさないようにするのが狙いです。

ただし、送金の間に秘密鍵を割り出す攻撃は、この提案だけでは防げないと、提案自身が書いています。

そのためには、量子コンピューターでも破られにくいとされる新しい署名（耐量子署名）が要り、それは別の提案に回されています。

BIP-360が入れば量子コンピューターへの対策が終わる、というものではありません。

古いコインをどうするか

いちばん意見が割れているのが、持ち主が動かさない古いコインの扱いです。

秘密鍵を失った人のコインや、初期の形式のまま眠っているコインは、新しい形式に移されることがありません。

これを将来どう扱うかについて、いくつかの考えが出ています。

※表は横にスクロールできます

どれを選ぶかは、ビットコインの「記録された持ち主の権利には誰も手を付けない」という考え方と、ネットワーク全体の安定のどちらを重く見るかの問題です。

2026年10月時点で、ビットコインの仕組みとして採用された案はありません。

もっと詳しく知りたい人へ（技術的な補足）

ここからは、本文で省いた細部をまとめます。

ショアのアルゴリズムとグローバーのアルゴリズム

量子コンピューターの話でよく出る計算方法は2つあり、ビットコインへの影響の性質が違います。

ショアのアルゴリズムは、公開鍵から秘密鍵を割り出す計算（楕円曲線の離散対数問題）を大きく速めるとされます。

本文で扱った署名への影響は、こちらの話です。

グローバーのアルゴリズムは、ハッシュの計算の総当たりを速めうるもので、マイニングやアドレスからの逆算に関わります。

Googleの研究者らの論文は、誤り訂正の手間と並列に分けにくい性質から、グローバーによるマイニングの高速化は今後数十年は現実的でないと論じています。

一方で同じ論文は、量子コンピューターによる盗難で価格が急に動くと、マイニングの難しさの調整が追いつかなくなるおそれにも触れています。

マイニングへの影響の程度は、置く前提によって評価が変わります。

送金の間を狙う攻撃と、置いてある残高を狙う攻撃

Googleの論文は、攻撃を2つに分けています。

1つは、送金が記録されるまでの間に公開鍵を読み、秘密鍵を割り出して先に別の送金を通す攻撃（on-spend）です。

もう1つは、チェーンに長く見えている公開鍵を、時間をかけて狙う攻撃（at-rest）です。

BIP-360では、前者を short exposure、後者を long exposure と呼んでいます。

論文の推計では、計算の前半を先に済ませておけば、公開鍵が見えてから約9分で秘密鍵を割り出せうるとしています。

ビットコインのブロックはおよそ10分に1つなので、超伝導のような速い方式の量子コンピューターなら、両方の攻撃がほぼ同じ時期にできるようになると論文は見ています。

中性原子やイオンのような遅い方式なら、置いてある残高を狙う攻撃が先になる、としています。

アドレスの形式ごとの違い

BIP-360の原文には、形式ごとの「長く見えている公開鍵を狙う攻撃」への弱さの一覧があります。

初期のP2PKと多重署名のP2MS、TaprootのP2TRは、受け取った時点から公開鍵が出ています。

P2PKH・P2SH・P2WPKH・P2WSHは、送金などで公開鍵を明かした場合に弱くなりえます。

Taprootの出力には、仕様（BIP-341）の上で32バイトの公開鍵がそのまま載ります。

アドレスの先頭の文字（1、3、bc1q、bc1p）はおおよその目安にはなりますが、同じ先頭でも形式が違うことがあり、使い回しの有無も先頭からは判定できません。

Glassnodeの集計は、形式で決まる露出を「構造的」、使い方で生まれる露出を「運用上」と分けて数えています。

拡張公開鍵（xpub）

xpubは、1つのウォレットが作るたくさんのアドレスの公開鍵をまとめて導ける情報です。

残高の確認や会計のツールに登録することがありますが、渡した相手には、そのウォレットの公開鍵が分かります。

BIP-360の原文も、xpubやウォレットの設定の情報（ディスクリプタ）が公開鍵の情報を出すと注意しています。

ほかのチェーン

公開鍵から秘密鍵を割り出す問題は、イーサリアムなど同じ種類の署名を使うほかのチェーンにも共通します。

Googleの研究者らの論文は、スマートコントラクトやプルーフ・オブ・ステークといった仕組みに特有の弱点も検討しています。

この記事の数字の出典

秘密鍵を割り出すのに要る規模は、Googleの研究者らの論文（arXiv 2603.28846・2026年4月の第2版）によります。

論文は、論理量子ビット1,200個未満と1,450個未満の2通りの回路を示し、物理量子ビットは50万個未満、時間は約9分と見積もっています。

物理量子ビットの推計は、超伝導方式・物理誤り率0.1%・表面符号という誤り訂正の方式を前提にしています。

初期の形式（P2PK）にある約170万BTC、すべての形式で約690万BTCという数字も同じ論文によります。

公開鍵が見えている残高の約604万BTC（2026年5月）はGlassnodeの集計によります。

IBMの1,121量子ビットのチップ（Condor）はIBMの2023年12月4日の発表で確かめました。

Willowの105量子ビットはGoogleの2024年12月の発表、マジックステートの成果は2026年10月15日の発表で確かめました。

BIP-360とBIP-361の状態は、2026年10月19日にビットコインの改善提案の公式リポジトリで確かめました。

まとめ

量子コンピューターの話は「すぐ盗まれる」と「心配いらない」のどちらかで語られがちです。

実際には、何が見えているかで狙われやすさが違い、対策はまだ話し合いの途中です。

ビットコインの基本の仕組みは、ビットコインとは何かの記事で解説しています。