2020年代初頭、量子コンピューティング（Quantum Computing：QC）はビットコインにとって潜在的な脅威として世間の注目を集めるようになった。ビットコインは「SHA-256」と呼ばれる暗号学的ハッシュ関数に依存しており、これはプルーフ・オブ・ワーク（PoW）によるネットワークの合意形成の仕組みにおいて中核的な役割を担っている。つまり、ビットコインの価値は計算能力に支えられているわけだ。
情報の最小単位を0と1という伝統的な二進法で表現するのではなく、それを超える技術が登場すれば、現在の暗号技術の仕組みそのものが覆される可能性がある。しかし、そんな危険性は誇張されすぎなのだろうか？
QCはいつの日かビットコインを「価値のないただのコードのかたまり」にしてしまうのか？ まずは、なぜビットコインが暗号技術に依存しているのかを理解することから始めよう。
ビットコインにおけるビットとハッシュ
ある画像のサイズが1MB（メガバイト）だというとき、それは100万バイトのデータを含んでいることを意味する。1バイトは8ビットで構成されているため、この画像には合計8,388,608ビット（正確には1MB＝1,048,576バイトとして計算）が存在する。ビット（bit）とは、0か1のいずれかの値をとる情報の最小単位であり、デジタル時代のすべての土台を築く基本構成要素である。
画像の場合、1MBのファイル内のビットは各ピクセルに色を割り当てることで、人間の眼に認識可能な視覚情報として表示される。一方、SHA-256（Secure Hash Algorithm 256-bit）のような暗号学的関数の場合、任意のサイズの入力データから256ビット（32バイト）の固定長ハッシュを生成する。このSHA-256はアメリカ国家安全保障局（NSA）によって開発された。
ハッシュ関数の主な目的は、任意の文字列や数字列を決まった長さの出力に変換することである。この変換処理により、元のデータの内容が見えなくなる（不可視化される）ため、コンパクトな保存や匿名性をもつ署名に適している。そして、ハッシュ化は一方向性をもつ処理であり、基本的にハッシュから元のデータを逆算することはできない。
したがって、「SHA-256が256ビットのセキュリティを提供している」とは、逆算によって元のデータを導き出そうとする際に、2の256乗（約1.16×10の77乗）通りの可能性が存在するという意味である。ビットコインの送金が行なわれる際、各ブロックにはそのブロック固有のトランザクション・ハッシュがSHA-256によって生成される。ブロック内の各取引（トランザクション）は、メルクルルートという構造の中でまとめられ、このルートやタイムスタンプ、ナンス（nonce）値、その他のメタデータをもとに、唯一無二のハッシュがつくられる。
仮にブロックチェーンへの攻撃を企てる者がいた場合、攻撃者は取引を含む該当ブロックだけでなく、それに続くすべてのブロックについてもハッシュを再計算し、必要なデータを抽出しなければならない。言うまでもなく、2の256乗もの組み合わせに対して計算処理を行なうという作業は現実的には不可能に近く、莫大なエネルギーと時間が必要となる。いずれも極めて高コストである。
しかし、QCが登場すれば、それも通用しなくなるのか？
コンピューティングの新たな量子パラダイム
情報単位を0か1のどちらかで表現する従来のビットから一歩進み、QCは「量子ビット（qubit：キュービット）」という新たな単位を導入する。量子ビットは「重ね合わせ（superposition）」と呼ばれる観測上の性質を活用しており、0か1のどちらかではなく、0と1の両方が同時に存在している状態をとることができる。言い換えれば、決定論的（deterministic）なコンピューティングから、非決定論的（indeterministic）なコンピューティングへと移行しつつあるということだ。
量子ビットは、「量子もつれ（entanglement）」と重ね合わせという状態を保ったまま観測されるまで確定しない。これにより、QCでの計算処理は確率的（probabilistic）なものとなる。そして、量子ビットは常に0または1のいずれかではなく、それ以上の状態をとることができるため、量子コンピュータは並列処理が可能になる。つまり、2のn乗（2ⁿ）個の状態を同時に処理できるということだ。
従来のバイナリ（2進法）コンピュータであれば、2のn乗（2ⁿ）通りあるすべての状態について、ひとつずつ順番に関数を実行しなければならない。それに対して、量子コンピュータはすべての状態を同時に評価することができる。1994年、数学者ピーター・ショア（Peter Shor）氏はこの前提に基づき、あるアルゴリズムを開発した。
ショアのアルゴリズムは、「量子フーリエ変換（Quantum Fourier Transform：QFT）」と「量子位相推定（Quantum Phase Estimation：QPE）」という手法を組み合わせることで、パターンの発見を高速化し、ビットコインに限らず、あらゆる暗号システムを理論上は突破できるとされている。
しかし、ここにはひとつ重大な問題がある。QCが確率的であるならば、その信頼性は本当に確かなのか？
量子コンピューティングのコヒーレンス安定化
量子ビットが重ね合わせ状態にあるという表現は、コインの表裏を同時にもつ様子を想像するのに似ている。つまり、コインが宙に舞っている間は「表」でも「裏」でもあるとみなせるが、着地した瞬間にどちらか一方の結果に収束する。
量子ビットも同様に、観測されるとその状態は古典的なビットと同じく0か1のいずれかに収束する。問題は、ショアのような画期的なアルゴリズムを動作させるためには、多数の量子ビットが長時間にわたって重ね合わせ状態を保ち、かつ相互に干渉し合える必要があるという点だ。もしそれができなければ、必要な計算処理は途中で崩れてしまい、意味ある結果に至らない。
この問題はQCの分野において「量子デコヒーレンス（Quantum Decoherence：QD）」および「量子誤り訂正（Quantum Error Correction：QEC）」と呼ばれている。この種の問題は、高度な計算を行なうためには多数の量子ビットにわたって同時に解決されなければならない。
2023年6月に発表された論文『Millisecond Coherence in a Superconducting Qubit（超伝導量子ビットにおけるミリ秒コヒーレンス）』によれば、これまでに記録された量子ビットの最長コヒーレンス時間は1.48ミリ秒であり、その際の「ゲート忠実度（Gate Fidelity）」は平均99.991%だった。ゲート忠実度とは、「量子処理ユニット（Quantum Processing Unit：QPU）」の演算の信頼性を示す指標である。
現在、もっとも実用的かつ強力な量子コンピュータはIBMのQuantum System Twoといわれる。このシステムはスケーラビリティ（拡張性）を考慮したモジュール型構成となっており、2024年末までに3基の「ヘロンQPU（Heron QPU）」を用いて、ひとつの回路上で5000回の演算を実行する見込み。さらに、2033年末には1億回の演算にまで増加すると予想されている。
だが、ここで疑問がある。これによってショアのアルゴリズムを本当に実行できるのか？ そして、ビットコインを破壊するに足る計算能力になるのだろうか？
量子コンピューティングによる脅威の現実味
デコヒーレンス（量子状態の崩壊）やフォールトトレランス（耐障害性）の問題により、量子コンピュータは現時点では暗号技術に対して深刻なリスクをもたらしてはいない。非常に高いレベルの環境純度が必要なため、大規模な耐障害性量子システムを実現できるかどうかも不明だ。
これには、電子-フォノン散乱、光子の放出、さらには電子同士の相互作用も含まれる。さらに、ショアのアルゴリズムを実行するために必要な量子ビット（キュービット）の数が増えれば増えるほど、デコヒーレンスが増加する。
しかし、これらがQCに固有の解決困難な問題であるようにみえる一方で、QECメソッドにおいては大きな進展がみられている。例えば、RiverlaneによるDeltaflow 2の手法では、最大250キュービットに対してリアルタイムQECを実施。2026年までに、この手法によって100万回のリアルタイム量子操作（MegaQuOp）を伴う最初の実用的な量子アプリケーションが実現する見込みだ。
2022年1月に発表された「AVS Quantum Science」の記事によると、SHA-256を1日以内に破るためには1300万キュービットが必要らしい。これが実現した場合、ビットコインウォレットに脅威をもたらすが、実際にビットコインのメインネットで51%攻撃を実行するためには、さらに多くの約10億キュービットが必要なのだ。
Groverアルゴリズムは、QCを活用して非構造化データベース（ユニークなハッシュ）を検索するために設計されているが、2018年に発表された研究論文によれば、2028年まではどの量子コンピュータにも実装不可能とされている。
もちろん、ビットコインネットワークのハッシュレートはその後大きく増加しており、QCは依然としてデコヒーレンスという重大な障壁に直面している。しかし、もしQECのロードマップが最終的に実を結び、信頼性の高い量子システムが現実のものとなった場合、ビットコインに対するQCの脅威にどう対抗すべきなのか？
量子コンピューティングへの耐性
量子コンピュータからビットコイン保有者を守るための提案はいくつか存在する。QCによる51%攻撃の可能性は極めて低いため、主な関心はウォレットの強化に向けられている。結局のところ、人々が自分のBTC保有が安全だと信じられなくなれば、ビットコインからの大量離脱が起こるおそれがある。
その結果としてBTC価格は暴落、ネットワークのハッシュレートも劇的に低下し、ビットコインが受けるQCの脅威は、これまでの想定よりもはるかに深刻なものとなる。このようなウォレットの強化策のひとつが、「ランポート署名（Lamport signatures）」の実装だ。
ランポート署名では、秘密鍵から256ビットの出力に基づいて512個のビット列（bitstrings）のペアが生成される。この512個のビット列に暗号関数を適用することで、対応する公開鍵が生成される。各BTC取引には、この一回限りのランポート署名が必要となる。
ビットコインで現在使用されている楕円曲線デジタル署名アルゴリズム（Elliptic Curve Digital Signature Algorithm：ECDSA）は、有限体上の楕円曲線に依存しており、これはショアのアルゴリズムによって解読可能だ。一方、ランポート署名はハッシュ関数のみに基づいており、この点が量子コンピュータに対して有望な耐性のある代替手段となっている。
ただし、ランポート署名の欠点は、署名サイズが16KB以上と大きくなること、そして一度限りしか使えないこと（ワンタイム署名）だ。もっとも、アドレスを頻繁に変更したり、秘密鍵を露出させないかたちでコールドウォレット（オフライン）にBTCを保管するだけでも、QCによる攻撃を無力化できる。
もうひとつのアプローチは、格子暗号（Lattice-Based Cryptography：LBC）の導入だ。ECDSAとは異なり、LBCは有限な数学的パターンを用いず、n次元の格子（グリッド）空間における離散的な点に基づいており、この格子は全方向に無限に広がっている。この特性によって、LBCを破ることのできる量子アルゴリズムは、現在のところ開発されていない。
しかし、新しい種類の暗号技術を導入するには、ビットコインのハードフォーク（ルールの根本的な変更）が必要となる。この場合は、QC（特に量子ビット数やフォールトトレランス）における画期的かつ急激な技術的進展を示すシグナルが揃っている必要があるだろう。
結論
結論からいえば、ビットコインのメインネット自体が近い将来あるいは遠い将来にQCによって脅かされる可能性は低いだろう。しかし、仮にQCがビットコインの暗号を突破しSHA-256やECDSAを無力化するような事態になれば、それは暗号資産に対する信頼に深刻な打撃を与えることになる。
この「信頼」は非常に重要だ。実際のところ、マイクロソフトやPayPalといった大企業がビットコイン決済を導入した背景には、クレジットカード決済に比べて最大80%のコスト削減が可能であること、チャージバック（支払い取消）のリスクがゼロであること、資金への完全なアクセス権を保持できることがある。現在、世界中には3億人超の保有者が存在しており、ビットコインは安全資産として、またコスト効率の高い決済手段としての魅力を保ち続けている。
結局、ビットコインの価値はそれを支える資本と信頼によって成り立っているのだ。これまでのボラティリティをみても、イーロン・マスク氏のツイート、PayPalの対応、ETF（上場投資信託）の承認、FTX破綻などの出来事が市場のセンチメントにいかに影響を与えてきたのかがわかる。仮にビットコインの暗号そのものが根本的に脅かされるようなことがあれば、パニック売り、マイナーの撤退、マイニング難易度の低下といった連鎖が起き、より少ない量子ビットでの51%攻撃が現実味を帯びてくる可能性すらある。
このようなシナリオを防ぐためにも、ビットコイン保有者や開発者はQCの進展に常に注意を払っておくべきである。
本記事はShane Neagleによるゲスト寄稿です。記事内に述べられた意見は、完全に筆者個人のものであり、BTC IncやBitcoin Magazineの見解を必ずしも反映するものではありません。
