Christine Kim氏が示すBitcoin(BTC)量子耐性ロードマップ──4提案の全体像

Bitcoinの量子コンピュータ防御が具体化へ

Bitcoin(BTC)の開発者の間で、これまで断片的に積み上がってきた量子コンピュータ対策の研究が、一つの整合的な設計図へとまとまりつつある。研究者のChristine D. Kim氏は2026年9月14日、Xに投稿した評価レポートの中で、BIP-360、SHRINCS、Lifeboat、DropKickという4つの並行する取り組みを、ネットワークの量子セキュリティ・ロードマップの構成要素として整理した。同氏のX上での評価がその出発点だ。想定される脅威の中心は「暗号学的に関連性を持つ量子コンピュータ(CRQC)」と呼ばれるマシンだ。すでにブロックチェーン上に公開されている公開鍵から秘密鍵を導出し、正当な所有者に先がけて不正な送金を成立させるほどの計算能力を持つ計算機を指す。現時点でその能力を持つマシンは知られていない。だが、長期間動きのないコインの背後にある公開鍵は永久に露見し続けており、まさにこの露出こそが、各提案が狙いを定める対象となっている。

同氏のX上での評価https://x.com/christine_dkim/status/2099596472203284858?s=46

BIP-360は、まだドラフト段階にあるソフトフォーク提案で、Pay-to-Merkle-Root(P2MR)と呼ばれる新しい出力タイプを導入する。資金をP2MR出力へ移したユーザーは、支払いを実行する瞬間まで公開鍵を非公開のまま保てるうえ、複数の支払い経路を保持できる。現行のモデルでは支払い時に公開鍵の開示が避けられず、長期的な露出が構造的に組み込まれているが、その露出を事前に取り除く予防的設計だ。この種の後方互換アップグレードは、Segregated Witness(SegWit)以降、ネットワーク上に前例がある。一方のSHRINCSは、Blockstreamの研究者たちが開発する署名層だ。SHA-256──Bitcoinのプルーフ・オブ・ワークマイニングを支えるのと同じハッシュ関数──に基づくハッシュ型の耐量子署名方式で、新たな数学的仮定を一切追加しない。ドラフトの贡献者によれば、公開鍵は48バイト、最小署名は548バイト、ステートレスの代替方式は5,777バイトで、同種のハッシュ型設計と比べ概ね一桁小さく、検証も速い。ただしSHRINCSは実験的段階にとどまり、仕様はまだ第三者によるセキュリティレビューを通過していない。なお、4つの提案のいずれも今日ネットワーク上で稼働しておらず、すべてドラフトか研究項目のままだ。この点は評価レポート自身が明示している。

LifeboatとDropKickが狙う露出済みコイン

より難しい問題は、移行せずに抱え続ける長期のHODL層だ。CRQCが登場した時点で、保有者がレガシーアドレス形式からコインを移していなければ、露出済みの公開鍵から秘密鍵を導出した攻撃者が引き出しに先行し、資金を奪取できる。この層を狙う復旧プロトコルが2つある。Lightning NetworkとUtreexoの研究で知られるTadge Dryja氏によるLifeboatと、Brink開発ファンドが支援するBitcoin Core贡献者conduition氏によるDropKickだ。両者はいずれもコミット・リビール構成に基づく。ユーザーが、攻撃者より前に特定のアドレス情報を知っていたことをオンチェーンで証明し、救済トランザクションの優先権を確立する仕組みである。

Dryja氏は評価レポートの公表の数週間前、ニューヨークで開かれたBitdevsの開発者ミートアップでLifeboatを発表しており、より深い設計も明示している。CRQCの実在を示すオンチェーン上の証明が成立した時点で、ソフトフォークが自動的に発火するという構造だ。一方conduition氏は、2026年8月下旬──Lifeboatの発表のちょうど1日前──にSHRINCSのBIPドラフトを公開したが、DropKickの活性化メカニズムはあえて未決のままにしている。これは分析の基となった開発者インタビューによる。未解決の課題は積み上がる一方だ。SHRINCSのセキュリティ証明は未完成で、テストベクトルも不足し、第三者による仕様レビューもまだない。署名サイズは現行のSchnorr署名の概ね10倍に達し、鍵の再利用やステートレス代替方式ではさらに膨らむ。conduition氏は、Ethereum開発者の研究にヒントを得て、複数の署名を単一の証明へ圧縮する集約技術を研究中だ。CRQCが現実になったとき、アクセス不能な「失われた」BTCをどう扱うかも未回答のままだ。両救済プロトコルはいずれも提案に分類され、稼働コードではないため、コンセンサスが変わるまでユーザー側に得られるものはない。 市場をリアルタイムで追いたい読者は、Gateで現物・先物価格をライブで確認できる。

ドラフト段階、未展開のコード

9月14日のXへの投稿という一次資料の重みは、その明示的な留保にある。BIP-360、SHRINCS、Lifeboat、DropKickのいずれも現在Bitcoinネットワーク上で有効化されておらず、暗号を破れるCRQCの実在も知られていない、という留保だ。9月15日時点のCOINOTAGの読みでは、このロードマップの意義は即効性よりも構造にある。CRQC到来前の予防と到来後の復旧、それぞれの層を意図的に分離した設計である。律速要因はソフトフォークのコンセンサスであり、大型署名によるブロックスペースのコスト、SHRINCSのセキュリティレビュー、失われたコインの取り扱い──こうした未解決のコスト問題が、このロードマップが理論にとどまるかどうかを決めることになる。