Coinbaseは存在するすべてのビットコインの約5%を保管しており、2026年10月13日にビットコインのポスト量子移行計画に最も近いものを公開しました。「BTCのポスト量子準備に向けて協力する」と題されたこの投稿は、ソフトフォーク、期限、新しいアドレスタイプを発表するものではありません。しかし、ビットコインコミュニティが2年間避けてきた数字を提示しています。Coinbase独自の調査では、完全な署名移行には最大7年かかるとされています。現在の最先端量子コンピュータの物理量子ビット数は1,000未満です。両方の事実は同時に真実であり、そのギャップこそが議論のすべてです。
2026年10月中旬は、その議論をするのに合理的な時期でした。ビットコインは約82,000ドルで取引され、現物ETFは2週連続の流出を記録し、市場はFRBの利上げと生産者物価指数に注目しています。誰も量子リスクを織り込んでいません。Coinbaseは、だからこそエンジニアリングを今、退屈なうちに始めるべきだと言っています。
Coinbaseが実際に提案したこと
この投稿は仕様書ではなく優先順位リストです。Coinbaseは明示的に、承認された移行計画や最終的な企業立場ではなく議論文書として位置づけています。ヘッジを除くと6つの具体的な立場が残ります。第一に、「コンテナとロックを分離する」。Coinbaseは資金を保持する出力タイプを、支出を承認する署名アルゴリズムから分離することを望んでいます。そうすれば、出力全体を再設計することなく、署名スキームを追加、置換、または別のものと並行して実行できます。すでにこれを提供する2つの候補として、BIP 360で定義されたPay to Merkle Rootと、P2TRv2と呼ばれる設計を挙げています。第二に、ブリッジとしてのハイブリッドウォレット。Coinbaseは、アクティブなウォレットが1-of-2構成に移行する段階的な設定を支持しています。同じコインに2つの支出パスが与えられ、1つは従来のECDSAまたはSchnorr鍵で承認され、もう1つはポスト量子鍵で承認されます。暗号学的に関連する量子コンピュータが登場すれば、従来のパスはオフになり、資金はすでに保護されています。登場しなければ、何も失われません。
第三に、安全網を備えた署名スキームを選ぶこと。候補としてML DSA、SLH DSA、FN DSA、そしてSHRINCSと呼ばれるコンパクトなスキームが挙げられています。Coinbaseのここでの唯一の厳格なルールは、ステートフルな署名スキームには必ずステートレスなフォールバックを付けることです。ステートフルなスキームで署名状態を再利用するウォレットは、署名を偽造するのに十分な情報を漏らす可能性があるからです。これは、1日に数千の署名操作を実行するカストディアンにとって理論上の懸念ではありません。
第四に、マルチパーティ計算（MPC）と連携する必要があること。機関投資家のカストディはMPCで運用されており、単一のマシンが完全な秘密鍵を保持することはありません。Coinbaseは、MPCとうまく連携するポスト量子オプションを少なくとも1つ求めています。そうでなければ、エコシステム最大の保有者はまったく移行できません。
第五に、ブロックに収まり、通常のフルノードで検証可能でなければならないこと。これについては後述します。ここに本当のコストが潜んでいます。第六に、レガシーコインには独自のトラックが必要です。Coinbaseは、放棄されたコインや失われた鍵のコインに関する議論を、署名エンジニアリングと並行して進め、妨げにならないようにすることを望んでいます。これは、ビットコインで最も難しい政治的課題が技術作業を停滞させるべきではない、という丁寧な言い方です。
実際に露出しているビットコインの量
この計画に緊急性を与える数字は、Coinbase独自の量子諮問委員会によるもので、2026年4月21日に約690万BTCが公開鍵がすでにオンチェーンで可視化されている出力に存在すると推定しました。現在の価格では約5,700億ドルに相当します。Glassnodeの独立した集計では600万以上となり、古い分析では約670万に集中しているため、この数字はCoinbaseの異常値ではありません。
「露出」は「盗まれた」という意味ではありません。大規模にShorのアルゴリズムを実行できるマシンが存在すれば、所有者が取引するのを待たずにそれらのコインが攻撃される可能性があるという意味です。内訳は誰がリスクにさらされているかを示すため重要です。
| 露出タイプ | 鍵が可視化される理由 | おおよそのBTC | 所有者は修正できるか |
|---|---|---|---|
| レガシーP2PK出力 | サトシ時代のコインベース報酬が生の公開鍵に直接支払われた | 約170万 | コインを移動するしかないが、ほとんどは失われたと推定 |
| 再利用されたアドレス | 一度支出すると鍵が明らかになり、アドレスは資金を受け取り続ける | 残りの500万以上の大部分 | はい、新しいアドレスに移動する |
| Taprootキーパス | 支出により調整された公開鍵が明らかになる | 最近の出力で増加中 | はい、P2MRはキーパスを完全に削除する |
| 未使用で再利用されていないアドレス | 支出までハッシュのみが公開される | その他すべて | ブロードキャストから確認までの間のみ脆弱 |
再利用されたアドレスの行は、すべての取引所やカジノ運営者を不安にさせるはずです。入金を少数の長期間存続するアドレスにスイープするホットウォレットは、露出した鍵の教科書的な事例であり、休眠中のクジラの山ではなく顧客資金を保持しています。
量子コンピュータが1,000量子ビット未満なのに、なぜ7年なのか
ハードウェアのギャップは現実です。GoogleのWillowチップは105物理量子ビットで動作します。QuantinuumのHeliosは98物理量子ビットで48のエラー訂正された論理量子ビットを生成すると報告しており、これが使用可能な量子ビットの現在の最先端です。ビットコインの256ビット楕円曲線を破るには、最新の推定で約1,200から1,450論理量子ビットが必要です。
変わったのは床ではなく天井です。2026年3月、Google Quantum AIは、256ビット楕円曲線暗号を攻撃するための物理量子ビット要件を50万未満とし、2019年の自社の数字より約20倍低いというリソース推定を発表しました。中性原子やトラップイオンアーキテクチャの研究では、それらのプラットフォームでは数万で十分になる可能性が示唆されていますが、ハードウェアで検証されたものはありません。2026年の学術推定では、暗号学的に関連する量子コンピュータの確率は2035年までに約6分の1、2050年までに60%に向かって上昇するとされています。これらはシナリオの数字であり予測ではありません。BlockstreamのAdam Backは依然として実用的な脅威は20〜40年先だと主張しています。
7年はハードウェアに関する予測ではありません。ビットコインのガバナンスに関する予測です。Taprootは提案からアクティベーションまで約4年かかり、ウォレットサポートの展開はその後も長引きました。ポスト量子の変更は、コンセンサスルール、すべてのウォレットライブラリ、すべてのハードウェア署名者、すべてのカストディアンのMPCスタック、すべての取引所の入金システムに影響します。Coinbaseの数字はソフトウェアサポート、カストディアンの計画、ユーザー鍵の移行をカバーしており、すでに存在するコンパニオン提案とぴったり一致します。
BIP 360とBIP 361は計画の両輪
BIP 360は2026年2月11日に公式BIPリポジトリにマージされました。これはPay to Merkle Rootを定義し、スクリプトツリーのみにコミットし、キーパス支出を完全に削除するTaprootスタイルの出力です。すべての支出はスクリプトリーフとMerkleプルーフを明らかにし、次のブロックまで露出したままの生の公開鍵を決して明らかにしません。アドレスはおそらくbc1zで始まります。Tapscriptを通じてマルチシグ、タイムロック、継承設定を保持し、Coinbaseが求めている柔軟なコンテナそのものです。
BIP 360がしないのは、ポスト量子署名を追加することです。ECDSAとSchnorrは残ります。既存のコインは自動的に移行しません。テストネット実装は存在しますが、Bitcoin Coreはまだ何もマージしておらず、アクティベーションスケジュールもありません。
Jameson Loppと他の5人が共同執筆したBIP 361は執行の半分であり、はるかに物議を醸しています。3つのフェーズを提案しています。BIP 360がアクティベートしてから約3年後、レガシーアドレスタイプへの新しい支払いは拒否されます。その約2年後、レガシー署名は無効になり、移動していないコインは凍結されます。第3フェーズはまだ研究アイデアに過ぎませんが、取り残された保有者が所有権のゼロ知識証明を通じて資金を回収できるようにします。Lopp自身、この提案は現在採用できる立場にないと述べており、Backは強制的なサンセットに反対しています。BIP 361の3年プラス2年を現実的なアクティベーション期間に加えると、Coinbaseの7年に到達します。
誰も価格を付けたがらないブロックスペース問題
これはすべてのユーザーが支払うものに直接影響する計画の部分です。ポスト量子署名は、ビットコインが現在使用している64バイトのSchnorr署名と比較して巨大であり、Tapscriptの重量モデルはまさにその64バイトサイズに合わせて調整されています。CryptoCasino.Vegasは、問題の規模を示すためにCoinbaseが挙げた各候補スキームの公開パラメータをまとめました。| 署名スキーム | タイプ | 署名サイズ | Schnorrの倍数 | トレードオフ |
|---|---|---|---|---|
| Schnorr（現在） | 楕円曲線 | 64バイト | 1x | 量子脆弱性 |
| FN DSA 512（Falcon） | 格子 | 666バイト | 約10x | 最小のオプション、安全な実装が最も難しい |
| ML DSA 44（Dilithium） | 格子 | 2,420バイト | 約38x | NIST標準、成熟、大規模 |
| ML DSA 65 | 格子 | 約3,309バイト | 約52x | あるドラフトBIPで好まれるより高いセキュリティレベル |
| SLH DSA（SPHINCS+） | ハッシュベース | 7,856〜49,856バイト | 120x〜780x | 最も保守的なセキュリティ、最悪のフットプリント |
手数料はプレイヤーが直面する結果です。すべてのトランザクションが10〜50倍重いビットコインネットワークでは、オンチェーン出金のコストが高くなり、確認が遅くなります。そしてそれは、カジノの決済量をさらにライトニングや他のチェーン全体に押しやります。
ビットコインとイーサリアム、ソラナの比較
ビットコインは最も遅れているわけではありませんが、最も難しい調整問題を抱えています。イーサリアム財団は2029年末までに完全なポスト量子保護を目標にしており、EIP 8141アカウント抽象化はHegotáアップグレードで必ず出荷するとされています。アカウント抽象化により、ウォレットはハードフォークなしでハッシュベースまたは格子ベースの署名を交換できます。これはビットコインにはない構造的優位性です。ソラナのこれまでの答えはWinternitz Vaultで、2025年1月のオプトインのワンタイム署名ウォレットであり、ユーザーが積極的に選択する必要があり、それ以降ネットワーク全体の計画は発表されていません。
NISTは2024年8月にML DSAとSLH DSAを最終化し、2035年までに連邦標準から量子脆弱性アルゴリズムを削除する予定です。その日付はすべてのチェーンのロードマップで静かに大きな役割を果たしています。イーサリアムの2029年目標はその6年前です。今日から始まるCoinbaseの7年間の窓は2033年に終わります。ビットコインの問題は、誰も一方的に時計をスタートできないことです。
ビットコインを保有またはギャンブルする場合の意味
Coinbaseの投稿は、今年や来年のあなたのコインについて何も変えません。アクティベーション投票も期限もダウンロードするソフトウェアもありません。実用的なポイントはより小さく、より即時的です。
アドレスの再利用をやめましょう。これは常に良い習慣でしたが、今では露出した690万BTCを他のすべてから分ける最大の要素です。入金ごとに新しいアドレスを使用することで、支出する瞬間まで公開鍵を隠せます。カストディアンがどこに立っているかに注意してください。Coinbaseは自社システムを準備していると述べています。長期間存続するホットウォレットにスイープする小規模取引所やギャンブル運営者は弱いリンクです。ポスト量子ウォレットサポートが出荷されるとき、彼らが最初にそして最速で移行しなければなりません。自動決済に基づくプラットフォーム（CryptoCasino.Vegasを含む）は、ウォレットライブラリが公開した瞬間にポスト量子出力サポートを追加する必要があります。再利用された鍵を持つホットウォレットは、まさにこの計画が書かれた標的だからです。
レガシーコインの戦いはさらに大きくなるでしょう。ビットコインのポスト量子政策で唯一の生きた問題は、移行されていないコインが凍結されるか、レート制限されるか、最初に量子マシンを構築した者に任されるかです。Coinbaseは意図的にどちらかの側に立っていません。他の誰もが立場を取るでしょう。そしてその議論こそが、ハードウェアではなく、7年が楽観的かどうかを決めるのです。
