量子コンピューターはビットコインを破壊するのか？――2100万枚の希少性より先に暗号は寿命を迎えるのか

「ビットコインは発行上限が2100万枚しかない。だから需要が増えれば価格は上がる」

これは、ビットコインの強気論で繰り返し使われる説明だ。

実際、2026年9月に米Riverは、世界の金融資産の一部がビットコインへ流入した場合、今後3〜5年で1BTCが約25万〜84万ドルに達する可能性があるというモデルを公表した。

Riverの考え方は比較的単純である。

注意： 以下の価格帯はRiverが置いた仮定に基づく試算であり、予言や投資助言ではない。

世界には莫大な金融資産が存在する。機関投資家や個人投資家がそのうち数％をビットコインへ配分するようになれば、固定された供給量に対して巨大な需要が流れ込む。Riverは世界の金融資産約333兆ドルを基礎に、20〜40％のポートフォリオが平均2〜4％をビットコインへ割り当てるケースを想定し、1.3〜5.3兆ドルの純流入を試算している。

さらに過去の市場では、1ドルの純流入がビットコインの時価総額を1ドルだけ増やしたわけではなかったとして、今後は1ドルの流入につき約3ドルの時価総額増加を仮定する。

するとビットコインの時価総額は5.5〜17.5兆ドル。

そこから導かれる価格が、およそ25万〜84万ドルというわけだ。

計算の構造自体は理解できる。

しかし、このモデルを眺めていると一つの疑問が残る。

その5年間、ビットコインを守っている暗号は本当に安全なのだろうか。

ビットコインの価格を予測するとき、多くの議論は「何人が買うか」「ETFにいくら流入するか」「半減期で供給がどうなるか」を考える。

しかし、もっと下の層には別の前提がある。

「あなたのビットコインを、他人が勝手に動かすことはできない」

という前提である。

ビットコインの希少性が価値を持つのは、この前提が成立しているからだ。

この記事では価格予想そのものではなく、その土台を物理学と暗号技術の側から掘ってみる。

---

そもそも、なぜ他人のビットコインを盗めないのか

ビットコインには銀行のような管理者がいない。

では、誰がそのビットコインの所有者なのか。

その答えが秘密鍵である。

非常に単純化すると、

秘密鍵
  ↓ 数学的な計算
公開鍵
  ↓
アドレスなど

という関係がある。

送金するときには秘密鍵を使ってデジタル署名を作る。

ネットワークは公開鍵などを使って、

「この署名は確かに、その秘密鍵を持つ人物が作ったものだ」

と確認する。

重要なのは、

公開鍵から秘密鍵を逆算することが、現在のコンピューターでは現実的に不可能

という点である。

ビットコインでは楕円曲線暗号を利用したECDSAやSchnorr署名が使われている。

これは「絶対に逆算できない」魔法ではない。

数学的には逆算できる。

ただし、現在の普通のコンピューターでまともに計算しようとすると、現実的ではないほど膨大な計算が必要になる。

つまりビットコインの安全性とは、

「秘密鍵は絶対に求められない」

ではなく、

「求めることはできるが、現実的な時間では計算できない」

という計算量の壁によって成立している。

ここが重要である。

ビットコインの所有権を守っている最後の壁は、法律でも金庫でもない。

数学と計算能力の差なのである。

---

量子コンピューターは、その「計算量の壁」を変える

ここで量子コンピューターが登場する。

量子コンピューターは単に「ものすごく速いコンピューター」ではない。

通常のコンピューターとは異なる計算原理を利用することで、特定の問題について計算方法そのものを変える可能性を持っている。

暗号の世界で特に重要なのが、1994年にPeter Shorが示したShorのアルゴリズムである。

十分に大規模で誤り訂正された量子コンピューターが実現すれば、整数の素因数分解や楕円曲線上の離散対数問題を、古典コンピューターより劇的に効率よく解ける。

つまり、

現在

秘密鍵 → 公開鍵　　簡単
公開鍵 → 秘密鍵　　現実的にほぼ不可能

だったものが、

十分強力な量子コンピューター

公開鍵
 ↓
Shorのアルゴリズム
 ↓
秘密鍵を現実的時間で導出できる可能性

へ変わる。

これがビットコインにとっての量子リスクの中心である。

---

「SHA-256が破られる」のが本当の問題ではない

量子コンピューターとビットコインの話では、

「量子コンピューターがSHA-256を破る」

という説明を見かけることがある。

しかし、少なくとも最初に深刻になる問題はそこではない。

量子計算にはGroverのアルゴリズムがあり、ハッシュ探索を高速化できる。

しかしその効果は、Shorのアルゴリズムによる公開鍵暗号への影響とは性質が違う。

より直接的な危険は、

公開鍵から秘密鍵を復元され、正規の署名を作られてしまうこと

である。

攻撃者が秘密鍵を知れば、ネットワークから見ればその人物も「正しい鍵を持っている所有者」になってしまう。

ブロックチェーンを書き換える必要すらない。

正規のルールに従って、他人のBTCを自分のアドレスへ送ればよい。

---

すべてのビットコインが同じように危険なわけではない

ここは少し複雑である。

ビットコインでは、アドレス形式や使用状況によって公開鍵がブロックチェーン上に露出している場合と、まだ直接露出していない場合がある。

BIP 360では量子攻撃を大きく二つに分けて考えている。

Long Exposure Attack

公開鍵がすでに長期間公開されているBTCを狙う。

攻撃者には十分な計算時間がある。

古いP2PK出力や、公開鍵を再利用した出力、Taproot（P2TR）などが重要な対象になる。

特に初期のビットコインでは公開鍵が直接記録されるP2PKが使われていた。

いわゆる「サトシのコイン」の一部もここに含まれる。

Short Exposure Attack

公開鍵が普段は隠れているBTCでも、送金するときには公開鍵が公開される場合がある。

すると、

所有者が送金
 ↓
公開鍵がmempool上に現れる
 ↓
量子コンピューターが秘密鍵を計算
 ↓
攻撃者が別の送金を作る
 ↓
所有者より先に確定させる

という攻撃が理論上考えられる。

こちらは非常に短時間で秘密鍵を計算する必要があるため、Long Exposure Attackより高性能な量子コンピューターが必要になる。

つまり量子リスクは、

ある日突然すべてのBTCが同時に盗まれる

という単純な話ではない。

量子コンピューターの能力向上に伴って、攻撃可能な範囲が段階的に広がる可能性がある。

---

すでに公開鍵を露出したBTCは無視できる量ではない

2026年2月に割り当てられたBIP 361は、この問題をかなり強い言葉で扱っている。

同提案では2026年3月1日時点で、全ビットコインの34％超がオンチェーンで公開鍵を明らかにしていると記載している。

ただし、この34％はBIP 361草案の著者らが示している推計値であり、Bitcoinプロトコルが保証する固定値ではない。UTXOの分類方法や時点で変わり得るため、ここでは「公開鍵露出が無視できない規模にあることを示す草案上の推計」として扱う。

この数字は「明日34％が盗まれる」という意味ではない。

暗号学的に関連する規模の量子コンピューター、いわゆるCRQC（Cryptographically Relevant Quantum Computer）はまだ実現していない。

しかし重要なのは、

量子コンピューターが完成してから移動すればよいBTCと、完成した瞬間に攻撃対象になり得るBTCは同じではない

ということだ。

防衛には時間が必要なのである。

---

では、耐量子暗号に変えればいいのでは？

その通りである。

そして世界はすでに動いている。

NIST（米国国立標準技術研究所）は2024年、最初の主要な耐量子暗号標準として、

• ML-KEM
• ML-DSA
• SLH-DSA

を正式に標準化した。

2026年現在、NISTは「量子コンピューターが完成してからではなく、今から移行を始めるべき」と明確に呼びかけている。

米国では量子脆弱な暗号方式を2035年までに段階的に廃止していく方向が示されている。

つまり、

「量子コンピューターによる現在の公開鍵暗号への攻撃は荒唐無稽だから無視してよい」

という段階は、少なくとも世界の暗号標準化政策ではすでに終わっている。

---

Bitcoin側も何もしていないわけではない

Bitcoinにも耐量子化を目指す提案が存在する。

代表例がBIP 360である。

BIP 360はPay-to-Merkle-Root（P2MR）という新しい出力方式を提案し、特に公開鍵が長期間露出することによる量子攻撃への耐性を持たせようとしている。

ただしBIP 360自身も、これだけで完全な量子耐性が得られるとはしていない。

送金時の短時間に公開鍵から秘密鍵を求めるShort Exposure Attackまで防ぐには、将来的に耐量子デジタル署名そのものをBitcoinへ導入する必要があると考えられている。

そして2026年には、さらに踏み込んだBIP 361が登場した。

その発想はかなり大胆だ。

「耐量子アドレスを用意するだけ」ではなく、最終的には従来のECDSA/Schnorr署名からの移行期限を設ける。

概念的には、

現在のBitcoin
   ↓
耐量子方式を実装
   ↓
新規BTCは量子脆弱アドレスへ送れなくする
   ↓
既存BTCを耐量子方式へ移行
   ↓
一定期間後
   ↓
従来型署名の利用を大幅に制限

という移行である。

BIP 361は2026年9月現在、**Draft（草案）**であり、Bitcoinに採用された仕様ではない。

しかし、その存在そのものが重要だ。

Bitcoin開発者の一部は、

「量子リスクが顕在化してから考えるのでは遅い」

と考え始めている。

---

最大の問題は「暗号技術」ではなく「移行」かもしれない

ここで非常にBitcoinらしい問題が出てくる。

耐量子暗号そのものはすでに存在する。

では明日Bitcoinを全部それに交換すればよいのか。

そう簡単ではない。

Bitcoinには中央管理者が存在しない。

銀行システムなら、

2030年までに全システムを新暗号へ更新する

という命令を出せる。

Bitcoinでは世界中の、

• ノード
• マイナー
• 取引所
• カストディ事業者
• ハードウェアウォレット
• ソフトウェアウォレット
• Lightningなどの周辺技術
• 一般ユーザー

が対応しなければならない。

しかもBitcoinでは、

「何を正しいBitcoinとするのか」そのものをコミュニティが合意しなければならない。

技術的に耐量子方式が完成したことと、

Bitcoin全体が安全に移行できることは、

まったく別の問題なのである。

---

さらに厄介なのが「失われたビットコイン」

秘密鍵を紛失したBTCは動かせない。

それこそがBitcoinの特徴でもある。

しかし量子時代には奇妙な問題になる。

所有者が秘密鍵を失ったBTCでも、公開鍵が露出していれば、量子コンピューターを持つ第三者が秘密鍵を計算できる可能性がある。

つまり、

現在

秘密鍵紛失
 ↓
誰にも動かせない
 ↓
事実上永久凍結

だったものが、

量子時代

公開鍵が存在
 ↓
量子計算
 ↓
秘密鍵復元
 ↓
第三者が動かせる

へ変わる可能性がある。

これは単なるセキュリティ問題ではない。

所有権とは何か

という問題になる。

サトシ・ナカモトのものと推定される古いBTCを量子コンピューターで動かした人物は、そのBTCの所有者なのか。

Bitcoinのルールだけを見れば、有効な署名を持つ者の取引は正しい。

しかし社会的には盗難と見なされるだろう。

ではBitcoin側で、そのBTCを永久に凍結するのか。

そうすれば今度は、

「誰が凍結対象を決めるのか」

というBitcoinの思想そのものに関わる問題が発生する。

BIP 361が量子リスクを単なる暗号更新ではなく、Bitcoin史上でも特殊な問題として扱っている理由の一つがここにある。

---

「2100万枚しかない」は本当に永遠の前提なのか

Bitcoin強気論の中心には希少性がある。

金は新しい鉱山が見つかれば供給量が増える。

法定通貨は中央銀行が増やせる。

しかしBitcoinは2100万枚しか発行されない。

だから価値保存手段になり得る。

これはBitcoinの非常に強い特徴である。

しかし経済的な希少性にはもう一つ条件がある。

その資産の所有権が守られていること。

たとえば世界に一個しかない宝石でも、誰でも自由に盗めるなら価値保存手段としては機能しにくい。

Bitcoinも同じである。

2100万枚という供給制限
        ＋
秘密鍵による所有権保護
        ＋
ネットワークへの信頼
        ↓
       希少性
        ↓
    経済的価値

なのである。

つまりBitcoinの価値は「2100万」という数字だけから生まれているわけではない。

その2100万枚を誰が所有しているかを数学的に確定できることまで含めて、初めて希少資産になる。

量子コンピューターが攻撃するのは、2100万枚という発行上限ではない。

その下にある、

「誰の2100万枚なのか」

という層なのである。

---

ではRiverの「84万ドル」は間違っているのか

そうとも言えない。

Riverのモデルは、

資金がどれだけBitcoinへ流入したら価格がどうなるか

を計算したモデルである。

世界の金融資産約333兆ドルの一部がBitcoinへ流れ、供給がほぼ固定されているなら、大幅な価格上昇が起こる可能性は当然ある。

問題は別にある。

このモデルでは暗黙のうちに、

Bitcoinで重大な暗号学的・運用上の破綻が起きず、市場が今後3〜5年間も同程度の信用を置き続ける

という前提が置かれている。

これは金融モデルとしては普通のことでもある。

しかし量子コンピューターの進歩を考えるなら、その前提自体を別に検討する必要がある。

三つの時計を同時に見る

価格を決める時計と、暗号を破る時計は同時に進んでいる。

【経済の時計】

ETF普及
 ↓
機関投資家参入
 ↓
資金流入
 ↓
BTC価格上昇


【技術の時計】

量子ビット増加
 ↓
誤り訂正改善
 ↓
必要計算資源低下
 ↓
CRQC
 ↓
ECDSA / Schnorrへの脅威

そして第三の時計もある。

【防衛の時計】

PQC研究
 ↓
Bitcoin仕様策定
 ↓
BIP合意
 ↓
実装
 ↓
取引所・ウォレット対応
 ↓
ユーザー資産移行

Bitcoinの将来を考えるなら、本当はこの三つを同時に見なければならない。

---

問題は「Q-Dayがいつか」だけではない

量子コンピューターの議論では、

「Bitcoinを破れる量子コンピューターは2030年にできるのか、2040年なのか」

という予想に注目しがちである。

しかし投資資産として考えるなら、もっと早い段階で価格へ影響する可能性がある。

仮に実際の暗号突破が2035年だったとしよう。

2029年に量子コンピューターの研究で大きなブレークスルーが起き、

「あと数年で現実的にsecp256k1を攻撃できる」

と市場が判断したらどうなるだろう。

機関投資家は、

「まだ盗まれていないから大丈夫」

とは考えない。

保有期間中に暗号移行が完了するのかを評価する。

つまりBitcoin価格にとって重要なのは、

Q-Dayそのものより、市場がQ-Dayを現実的な投資期間内のリスクとして認識する日

なのかもしれない。

---

Bitcoinが量子コンピューターに勝つ可能性も十分ある

ここまで読むとBitcoinが極めて危険に見えるかもしれない。

しかし逆の可能性もある。

量子コンピューターがBitcoinの暗号を実用的に破れるまで10年、20年かかるなら、その間にBitcoin側が耐量子署名へ移行できる可能性は十分にある。

そもそも世界中の銀行、政府、通信、クラウド、認証基盤も同じ問題を抱えている。

Bitcoinだけが量子コンピューターに狙われるわけではない。

NISTがすでにPQCを標準化していることからも分かるように、人類側も防御を進めている。

したがって本質的な問いは、

量子コンピューターはBitcoinを破れるか？

だけではない。

もっと正確には、

量子コンピューターが現在のBitcoin暗号を破れるようになる速度と、Bitcoinが耐量子暗号へ移行する速度のどちらが速いのか？

である。

---

攻撃と防御、二つの指数関数

量子コンピューター側では、

• 物理量子ビット数
• エラー率
• 量子誤り訂正
• 論理量子ビット
• アルゴリズム改善
• 必要量子ゲート数

が進歩する。

一方、防御側では、

• PQC標準化
• 暗号方式選定
• Bitcoin Improvement Proposal
• ノード実装
• ウォレット対応
• 取引所対応
• ユーザー移行

が進む。

これは競争である。

量子攻撃能力
       ↑
       │            ╱
       │          ╱
       │        ╱
       │      ╱
       │    ╱
       │  ╱
       └────────────→ 時間

耐量子移行
       ↑
       │       ╱────
       │     ╱
       │   ╱
       │ ╱
       └────────────→ 時間

どちらが先に臨界点へ到達するかは、現時点では分からない。

だから「Bitcoinは量子コンピューターで必ず終わる」も、

「量子コンピューターなんてまだ先だから問題ない」も、

どちらも言い切りすぎである。

---

そしてこれはBitcoinだけの話ではない

ここまでBitcoinを題材にしてきたが、この問題はもっと大きい。

インターネット上の本人確認、電子署名、金融取引、政府システム、企業秘密、暗号通信。

現代社会は、

「ある数学問題は計算するのに途方もない時間がかかる」

という性質の上に巨大な社会インフラを作っている。

量子コンピューターは、その物理的な計算可能性の境界を動かそうとしている。

これは非常に奇妙なことである。

法律は変わっていない。

Bitcoinのプログラムも変わっていない。

数学そのものも変わっていない。

変わったのは、

宇宙の物理法則をどこまで計算装置として利用できるか

という人間側の能力である。

その結果、

「安全だった数学」が「安全ではない数学」になる可能性がある。

---

お金の価値の底には、物理学がある

普段、お金について考えるとき、

• 金利
• インフレ
• 国債
• 中央銀行
• 税金
• 株式
• 需要と供給

などを考える。

しかしBitcoinを突き詰めると、そのさらに下に物理学が現れる。

Bitcoin価格
   ↓
需要と供給
   ↓
希少性
   ↓
所有権
   ↓
デジタル署名
   ↓
公開鍵暗号
   ↓
計算量理論
   ↓
計算機
   ↓
物理法則

つまり、

「Bitcoinはいくらになるのか？」

という金融の問いを深く掘っていくと、

「この宇宙では、何をどこまで計算できるのか？」

という物理学の問いへ到達する。

これこそBitcoinと量子コンピューターの話が、「お金の話」であると同時に「物理限界の話」でもある理由である。

---

最後に残る問い

Bitcoinは、国家が発行しなくても成立するお金を作ろうとした。

そのために「信用」の代わりとして数学を使った。

人を信用しない。

銀行を信用しない。

国家を信用しない。

代わりに暗号とネットワークを信用する。

これは人類史上かなり大胆な実験である。

しかし量子コンピューターは、その実験に新しい問いを突きつけている。

数学を信用するとは、何を信用することなのか。

数学的問題の難しさは変わらなくても、人類が利用できる計算能力が変われば、安全性は変わる。

Bitcoinが量子時代を乗り越えれば、それは単なるソフトウェアアップデートではない。

「中央管理者を持たない世界的な資産が、自らの暗号学的基盤を交換できる」

という前例になる。

逆に移行が間に合わなければ、

2100万枚という完璧な希少性を設計しても、その所有権を守る技術が永遠ではないことを示すことになる。

だからBitcoinの未来を見るとき、

「何ドルになるか」だけを見ていては足りない。

見るべきなのは、

量子コンピューターが暗号を破る速度と、人類が暗号を作り直す速度。

その競争の結果が、将来のBitcoinの価値を決める要素の一つになる。

そしてこれは、まだ答えの出ていない問いである。

---

知識図書館で次に読む

この記事は「お金」と「物理限界」が交差する橋渡し記事として扱う。

お金側への派生

• ビットコインはなぜ価値を持つのか
• 「2100万枚しかない」は本当に価値を保証するのか
• 国家のない通貨は成立するのか
• 金・法定通貨・Bitcoin――「信用」の正体は何か

物理限界側への派生

• 量子コンピューターとは何を計算しているのか
• Shorのアルゴリズムはなぜ暗号を破れるのか
• 量子誤り訂正は何が難しいのか
• 量子コンピューターはどこまで大きくできるのか
• 計算には物理的な限界があるのか

情報技術側への派生

• 公開鍵暗号とは何か
• 秘密鍵はなぜ逆算できないのか
• 耐量子暗号（PQC）は何が違うのか
• 暗号は「破られてから交換」では遅いのはなぜか

---

参考資料

1. River, “Bitcoin’s price could reach $840,000 within five years. Here’s how.”, 2 Sep. 2026. https://river.com/content/btc-840k-within-five-years

2. Bitcoin Improvement Proposal 360, “Pay-to-Merkle-Root (P2MR)”, Draft. https://github.com/bitcoin/bips/blob/master/bip-0360.mediawiki

3. Bitcoin Improvement Proposal 361, “Post Quantum Migration and Legacy Signature Sunset”, Draft, assigned 11 Feb. 2026. https://github.com/bitcoin/bips/blob/master/bip-0361.mediawiki

4. NIST, “Post-Quantum Cryptography”. https://www.nist.gov/pqc

5. NIST, FIPS 203: Module-Lattice-Based Key-Encapsulation Mechanism Standard (ML-KEM), 2024.

6. NIST, FIPS 204: Module-Lattice-Based Digital Signature Standard (ML-DSA), 2024.

7. NIST, FIPS 205: Stateless Hash-Based Digital Signature Standard (SLH-DSA), 2024.

8. NIST IR 8547, “Transition to Post-Quantum Cryptography Standards”.

---