レジャーCTO「解読のハードルが下がり続けている」…ビットコインの暗号警告

ボーフム大学・マックスプランク研究所の研究チームが、楕円曲線暗号を解く新しいアルゴリズムを提案 量子攻撃の回路コスト、グーグルの推定値に比べて70%減少 アリス＆ボブ「キャットキュービット3万個未満で1時間以内に解読」

[ブロックメディア イ・ヘヨン記者] シャルル・ギエメ（Charles Guillemet）レジャー最高技術責任者（CTO）が、ビットコイン（BTC）をはじめとするデジタル資産（仮想資産）のセキュリティ基盤を揺るがす可能性のある暗号学研究の成果2件を挙げて警告を発した。一つはビットコインのセキュリティの根幹である楕円曲線暗号（ECC）の数学的難問をより簡単に解くことができるという研究で、もう一つは量子コンピュータで楕円曲線暗号を攻撃するために必要なリソースが大幅に減少したという研究である。

ギエメCTOは30日（現地時間）にX（旧Twitter）に投稿した文章で「デジタル資産市場にとって厳しい一週間だったと思ったかもしれない。本当のニュースを見逃したかもしれない」と述べた。

新しいアルゴリズム登場…量子攻撃コスト70%減少

最初の研究は、ドイツのボーフムルール大学とマックスプランクセキュリティ・プライバシー研究所の研究チームが公開した「楕円曲線離散対数問題のための準指数時間アルゴリズム（A Subexponential Time Algorithm for Elliptic Curve Discrete Logarithm）」という論文である。

楕円曲線暗号は「楕円曲線離散対数問題」を現実的に解くことができない点にセキュリティを期待している。これまでこの問題を解く最良の一般的な方法はポラードのロ（Pollard's rho）アルゴリズムであり、鍵の長さが長くなるほど計算コストが指数的に増加する構造である。研究チームは、これよりも効率的に問題を解くことができる準指数時間アルゴリズムを理論的に提案した。

ただし、大きな前提が付く。このアルゴリズムは追加の検証が必要なオープンAI研究チームの別の主張を前提としている。ギエメCTOも新しいアルゴリズムが現在使用されている暗号体系を脅かすものではないと強調した。ビットコインのsecp256k1をはじめ、NIST P-256、Ed25519など広く使用されている曲線に対する最良の攻撃は依然としてポラードのロアルゴリズムに基づいており、新しい方法は非常に大きなサイズの仮想曲線でのみより効率的であるという説明である。現在のところ、理論的成果にとどまるという意味である。

二つ目は、量子コンピュータで楕円曲線暗号を攻撃する効率が大幅に向上したという研究である。ギエメCTOは楕円曲線デジタル署名（ECDSA）に対する量子攻撃効率を高めるための公開研究プロジェクト「ECDSA.fail」を言及した。

ECDSA.failはアイゲンラボ（Eigen Labs）が昨年5月から運営している公開ベンチマークで、参加者はショア（Shor）アルゴリズムが秘密鍵を見つける際に繰り返す「点加算」量子回路をより少ないリソースで実装する競争を繰り広げている。今月17日現在、147のアカウントから1589件の回路が提出されており、かなりの数の参加者がAIコーディングエージェントを活用した。実際に秘密鍵を破る攻撃ではなく、回路設計を最適化する競争であるため、この数値がすぐにビットコインのハッキング可能性を意味するわけではない。

ギエメCTOによれば、研究チームは量子回路コストの推定値をグーグルが以前発表した数値より約70%低くした。論理キュービット数にトフォリ（Toffoli）ゲート数を掛けた指標基準で、グーグルの推定値は29億9000万だったが、現在の推定値は約9億1000万まで下がった。

あなたはこれが暗号にとって悪い週だと思っていましたか？ もっと大きなニュースを見逃したかもしれません。

楕円曲線暗号に関する2つの結果が発表されました。どちらも心配です。どちらも今日誰もが使っている鍵を破るものではありません。

1️⃣ ECCの下の問題は、私たちが考えていたよりも難しくない。

ECCは安全です... pic.twitter.com/urLoFGdW2J

--- Charles Guillemet (@P3b7_) 2026年10月30日

「キャットキュービット3万個で1時間」…現実化はまだ

ギエメCTOがさらに重要視したのは、フランスの量子コンピュータ企業アリス＆ボブ（Alice & Bob）の新しい論文である。アリス＆ボブは物理的な「キャットキュービット（cat qubit）」3万個未満で約1時間以内にビットコインのsecp256k1暗号を破ることができるという理論的推定を示した。同じ論文ではRSA-2048暗号を素因数分解するにはキャットキュービット2万2593個と約3.14日が必要だと推定している。

国際暗号学会（IACR）のプレプリントリポジトリに掲載されたこの論文は、攻撃に必要なリソースを最大2万9588個のキュービット、61.8分と示し、これを上限値と見なしている。アリス＆ボブの研究チームは2023年には256ビットの楕円曲線問題にキャットキュービット12万6133個と9時間が必要だと推定しており、3年で必要なリソースが大幅に減少したことになる。キャットキュービットはアリス＆ボブが独自に設計した超伝導キュービットで、誤り訂正に必要な物理キュービット数を減らす方式である。

ただし、この推定は計算中にビット反転エラーが全くないという仮定に基づいている。1時間に1回ビット反転が起こると仮定すると、RSA-2048に必要なキュービットは約4万5000個に増加する。会社側は1時間を超える攻撃時間はビットコインの平均ブロック生成間隔である約10分よりも長く、送信後の確認を待つ取引を狙うのは難しいと説明した。

もちろん、これらの数値はまだ存在しない高度な誤り耐性（fault-tolerant）量子コンピュータを前提としている。ギエメCTOはこのような量子コンピュータが存在しないため、ビットコインに対する即時の危険はないと指摘した。ただし、今回の研究は広く使用されている暗号体系を破るために必要なリソース推定値が継続的に減少していることを再認識させるものである。

アリス＆ボブはハードウェアの進展とリソース推定値の低下が2030年代初頭に重なると予測しており、実際の量子攻撃が出る前に量子耐性暗号への移行を開始する必要があると呼びかけている。ビットコイン業界でも量子脅威に備えた移行の議論が続く見込みである。

本コンテンツは、一般的な情報提供のみを目的としたものであり、金融、投資、法律、または税務に関する助言を構成するものではありません。ここに記載されているイベント、報酬、オンラインキャンペーン、またはそれらに関連する情報は、暗号資産の購入、売却、取引、その他いかなる取引の推奨、勧誘、または招待とみなされるべきではありません。暗号資産は価格変動が非常に大きく、損失が発生する可能性があります。WEEXのサービス、プロダクト、および関連イベントの提供状況は、地域によって異なる場合があります。お客様は、ご自身の参加が適用される現地の法令を遵守していることを自ら確認する責任を負うものとします。