Qデーはまだない：それでもQRLが先に動いた理由

1. 脅威の本質はブロックチェーン破綻ではなく署名問題にある

本質的な論点は量子がビットコインを壊すかではなく、どの暗号的前提を攻撃するかです。ビットコインはsecp256k1上のECDSAとSchnorr署名を用います。誤り訂正量子コンピュータがShorのアルゴリズムを実行すれば、公開鍵から秘密鍵を導出して不正送金が可能になりますが、過去ブロックやSHA-256の改ざんはできません。^[1][2]

これによりアドレス形式が重要境界となります。従来のP2PKHやP2WPKHは送金時まで公開鍵のハッシュのみを台帳に記録し、単一使用での露出を防ぎます。一方、アドレスを再利用すると公開鍵が未消費残高に結びつき、初期のP2PK出力は生成時から公開鍵をオンチェーンに露出しています。^[2][1]

Taprootは検証効率向上のため、出力に公開鍵を直接含めました。BIP 341著者らは公開鍵のハッシュ化が一時的防壁にすぎないことを明記しています。メモリプール待機中にも鍵は露出し、多くの供給量が既に露出しています。ハッシュ隠蔽は一時的猶予にすぎず、耐量子署名の代替にはなりません。^[2]

したがって「量子脆弱なビットコイン」の推計には精査が必要です。リスクはオンチェーン露出、メモリプール伝播、アドレス再利用、攻撃者の計算速度仮定に依存します。2026年3月のGoogle Quantum AI論文は、長期露出鍵への静的攻撃と未承認取引への送金時攻撃を区別し、現実的リスクを提示しています。^[1]

「公開鍵またはスクリプトのハッシュを出力に格納する一般的な従来構造とは対照的に、公開鍵が出力に直接含まれます。」^[2]

— Pieter Wuille, Jonas Nick, and Anthony Towns, BIP 341

2. 確固たる期日のない時計

量子議論ではリソース試算と確定日程が混同されがちです。Google Quantum AIの2026年3月論文は、secp256k1に最大1,200論理量子ビットと9,000万Toffoliゲート、または1,450ビットと7,000万ゲート、50万個未満の物理量子ビットを試算しました。これは仮想機器の指標であり実機存在の証拠ではありません。^[1]

実行時間も重要です。Googleは、高速クロックと事前計算済みの状態を備えた仮想的な攻撃者なら、公開鍵の露出から約9〜12分で秘密鍵を導出できると試算しました。これはビットコインの10分のブロック間隔と競合し得ますが、高速なゲート動作と大規模なハードウェアなど、モデルの前提を満たす必要があります。論文は、現在想定する初期の低速クロック構成では、長期間露出した鍵への攻撃が、取引の伝播中に行う攻撃より先に可能になると予想しています。将来の技法がこの制約を変える可能性も認めており、試算は設計上の指標であって、確定した攻撃時期や永久的な性能限界ではありません。^[1]

NISTは期間を慎重に評価しています。暗号学的に有意な量子機は「数年から数十年」先としつつ、移行には長い準備が必要だと指摘します。NIST計画は2035年までに脆弱アルゴリズムを廃止する目標を掲げます。2035年は標準運用の目標日であり、予測されたQデーやビットコインの期限ではありません。^[3]

妥当な立場は恐怖と放置の双方を避けることです。運用規模でsecp256k1を解読可能な量子機の実在証拠はありません。しかしノードやウォレット全体で耐量子署名を導入するには数年の合意形成が必要です。ビットコインの時計は研究突破口ではなくネットワーク移行準備期間を指しています。^[3][1]

「これらは今すぐ実用に供することができ、また供されるべきです。」^[3]

— 米国国立標準技術研究所（NIST）、確定した耐量子暗号標準について

3. マークル木を選んだQRLが引き受けたステート管理の代償

QRLは、最初から別の署名方式を選ぶという考え方で出発しました。2016年10月のホワイトペーパーでハッシュに基づく電子署名を提案し、2018年6月にXMSSを採用したメインネットを開始しました。拡張マークル署名方式（XMSS）は、Winternitzの一回限りの署名（WOTS+）をマークル木にまとめます。木の根が公開鍵の役割を果たし、取引ごとに一つの葉に対応する署名と、その葉を根に結び付ける認証パスが公開されます。^[8][9][5]

XMSSは離散対数ではなくハッシュ関数の性質に依存します。RFC 8391はハッシュ署名が量子攻撃に耐性を持つと規定します。NISTはSP 800-208で管理環境向けにXMSSとLMSを承認しましたが、ステート管理の危険から一般用途には不向きと警告しました。これは限定承認でありQRLの保証ではありません。^[5][4]

ハッシュ署名の代償は厳格なステート管理です。各WOTS+秘密鍵は1度しか署名できず再利用は厳禁です。QRL標準の木の高さ10はアドレスあたり1,024回の使い捨て署名枠を提供します。復元時も使用済みリーフを正確に追跡せねばならず、再利用すると安全性が崩壊し容易に偽造されます。^[6][5]

ステートフル署名はサイズと容量の制約も伴います。ハッシュ署名はECDSAやSchnorrより格段に大きく台帳負荷を増やし、署名回数も有限です。QRLはアドレス記述子に予約領域と複数ハッシュ選択肢を設けて暗号アジリティを設計しましたが、移行には厳格な検証とユーザー合意が不可欠です。^[7][6][5]

「秘密鍵のステートが2回使用された場合、暗号学的な安全性の保証は一切残りません。」^[5]

— RFC 8391、XMSSに関するCFRGの注意事項

4. 移行という真の難題

NISTが確定した耐量子標準は、状態を管理するマークル木以外の選択肢も示します。2024年8月に確定したFIPS 203（ML-KEM）は鍵カプセル化、FIPS 204（ML-DSA）は格子ベースのデジタル署名、FIPS 205（SLH-DSA）は状態を保持しないハッシュベースのデジタル署名の標準です。ビットコインで署名方式の候補を評価するには、署名と公開鍵のサイズ、検証速度、帯域幅、ハードウェアウォレットの対応、ソフトフォークによる導入経路を総合的に検討する必要があります。^[3]

暗号方式の移行には保有者の行動が必要です。利用者は新しい耐量子アドレスが用意されればUTXOを移せます。コールドストレージや公開鍵を露出する初期スクリプトの保有者も、有効な秘密鍵を保持していれば移転を承認できますが、鍵を紛失したりアクセスできなくなったりしていれば、それはできません。2026年のGoogle論文が指摘するように、将来の取引に耐量子規則を導入するだけでは、既存の休眠残高は自動的に移転も保護もされません。残された資産に合意規則で介入するかどうかは、所有権とガバナンスに関わる問題です。^[1]

QRLはハッシュ署名が本番チェーンで稼働することを実証し、ステート管理とサイズ増大のコストを示しました。ビットコインはアドレスハッシュ化が一時的緩和にすぎず完全な防御でないことを示し、Taprootもこれを受け入れました。両者は量子対策がパニックではなくエンジニアリング課題であることを示します。^[6][7][2]

現実的な移行手順は秩序ある段階を踏みます。露出出力形式の調査、候補署名の検証、ソフトフォーク設計、ウォレット更新が進められます。アドレス再利用防止はレガシー露出を減らしますがTaproot保護や署名移行の代わりにはなりません。休眠コイン方針の事前公開討論が非常時の混乱を防ぎます。^[2][1][3]

量子技術は遠い暗号可能性を現実の協調課題へ変えました。QRLはハッシュ署名を早期検証し、NISTは標準基盤を確立しました。ビットコインには確定的カウントダウンこそありませんが準備の時間があります。適切な結論はQデーへの恐怖でも放置でもなく、危機前の規律あるエンジニアリングです。^[9][3][1]