ビットコインの量子耐性、主要提案の全体像を整理　複数提案が連動へ＝レポート

ビットコインの量子耐性ロードマップ

海外向けビットコイン専門ニュースレター「BTC Before Light」を執筆するクリスティーン・D・キム氏（Christine D. Kim）は15日、量子コンピュータに対するビットコイン（BTC）の防御構想を整理した記事をX（旧Twitter）上で無料公開した。同氏は、複数の技術提案が組み合わさることで防御網の輪郭が見え始めていると位置づけている。

一方で、キム氏が取材した開発者らは、量子問題の解決にはなお多くの未解決点が残ると釘を刺しているという。

ここでいう量子コンピュータの脅威とは、将来登場しうる「暗号学的に意味のある量子コンピュータ（CRQC）」が、公開されたビットコインの公開鍵から秘密鍵を導き出し、資金を不正に送金してしまうリスクを指す。

キム氏によると、数週間前にニューヨークで開催された開発者向け勉強会「Bitdevs」で、Lightning NetworkやUtreexoの開発で知られる研究者タッジ・ドライヤ氏（Tadge Dryja）が、量子復旧の仕組み「Lifeboat」を発表した。この発表の前日には、Brinkの支援を受けるBitcoin Core貢献者「conduition」氏が、耐量子署名方式「SHRINCS」のBIP草案を初めて公開したという。

BIP-360とSHRINCSによる事前対策

BIP-360は、ソフトフォークを通じて新しい出力形式「P2MR（Pay-to-Merkle-Root）」を導入する提案。ユーザーが事前にP2MRアドレスへ資金を移すことで、送金時まで公開鍵を隠したまま複数の送金経路を持てるようになる。現在のビットコインは送金時に必ず公開鍵を明かす仕組みのため、この設計はCRQC登場前の予防策として機能する。

SHRINCSはブロックストリーム（Blockstream）の研究者が開発した「縮小版SPHINCS」で、ビットコインのマイニングにも使われるハッシュ関数SHA-256を利用する。新たな数学的前提を追加しない点が特徴で、conduition氏によると公開鍵は48バイトと小さく、通常の署名は最小548バイト、状態を持たない代替方式では5,777バイトになるという。他のハッシュベース耐量子方式と比べても1桁小さく、検証も高速としている。

BIP-360とSHRINCS、それに対応する署名検証用のオペコードが揃えば、CRQCが実在する前の段階で、全ユーザーへの強制なしに耐量子的な資金保護を選べるようになる。いずれもソフトフォークによる後方互換のアップグレードとして実装できる設計だという。

LifeboatとDropkickの退避策

問題はBIP-360やSHRINCSを使わないまま移行期を迎えたユーザーだ。こうしたアドレスは送金時に公開鍵を明かす必要があり、CRQCを持つ攻撃者に秘密鍵を先回りで導出され、送金を横取りされる懸念がある。

この「量子の先延ばし組」を救済するため、ドライヤ氏の「Lifeboat」とconduition氏の「Dropkick」という2つの退避プロトコルが提案されている。両方式とも、攻撃者より先にアドレス情報を知っていたことをオンチェーンで証明する仕組みを土台とする。ドライヤ氏はCRQCの存在をオンチェーンで証明しソフトフォークを自動的に起動する仕組みまで具体化しているのに対し、conduition氏はDropkickの起動方法を未確定のまま残しているという。

未解決の課題

キム氏は、BIP-360とSHRINCS、LifeboatまたはDropkickを組み合わせれば量子問題への包括的な備えになり得るとしつつ、複数の宿題が残ると指摘する。SHRINCSのBIP草案は2026年8月下旬に公開されたばかりで、安全性証明は未完成。十分なテストベクトルと第三者による仕様レビューも今後の課題という。

署名サイズの圧縮も課題だ。SHRINCSの署名は現行のSchnorr署名の約10倍に及び、鍵を繰り返し使う場合や代替方式にフォールバックする場合はさらに大きくなる。conduition氏は複数の署名を1つの証明にまとめる集約技術についても検討を進めており、イーサリアム開発者の研究を参照しているという。所有者がアクセスできなくなった「失われたBTC」をCRQC登場後にどう扱うかも、答えが出ていない論点として残る。