サトシ・ナカモトは、2010年7月16日のBitcointalkフォーラム投稿でビットコインのSHA-256ハッシュ関数を擁護し、その後16年経った今も有効なセキュリティ原則を確立しました。Google Quantum AIは2026年に推定を修正し、ビットコインの楕円曲線を破るには約500,000個の物理量子ビット（qubits）が必要だとし、以前の予測から下方修正しました。ビットコイン開発者は2026年にBIP-360を統合し、bc1zで始まる量子耐性のpay-to-Merkle-rootアドレスを導入しました。一方で、古いアドレス形式により推定で7百万BTCが、予測される2029〜2035年のタイムラインまで量子コンピューティングの進歩が到達すると、潜在的に露出のリスクにさらされる可能性があります。
Satoshi Nakamoto Defended SHA-256 on July 16, 2010
2010年7月16日、Bitcointalkユーザーbdonlanは、ビットコインのダブルSHA-256ハッシュがセキュリティを弱めているのではないかと疑問を呈しました。サトシ・ナカモトは直接回答し、SHA-256を「32ビット計算から64ビット計算への移行」と比較しました。サトシは、コンピュータは4ギガバイトで32ビットのアドレス空間が尽きるが、64ビットの空間が当分尽きるとは誰も想定していない、そしてSHA-256は同じ原理で動いていると述べました。
サトシはまた、出口戦略も示しました。仮にSHA-256が将来弱まった場合、開発者は設定したブロック高まで新しいハッシュ関数へソフトフォークを実装でき、古いハッシュと新しいハッシュがすべてのノードがアップグレードするまで並行して動作できるようになる、というものです。そのフォーラム返信1つでサトシが擁護したハッシュ関数に依存し続けている中で、ビットコインの時価総額はその後1兆ドルを超えて成長し、ネットワークは日々数百億ドル規模の価値を決済しています。
Bitcoin Uses Double SHA-256 Hashing to Block Extension Attacks
ビットコインのコードはSHA256(SHA256(data))としてデータを2回ハッシュします。これはSHA256dと呼ばれる方法です。暗号学者のニールス・ファーガソンとブルース・シュナイアーは、SHA-2が用いるメルクル＝ダムガード構造上の脆弱性である長さ拡張攻撃（length extension attacks）を防ぐため、このアプローチを推奨しました。マイナーはネットワークの難易度目標を満たすためにブロックヘッダーを2回ハッシュし、ノードはメルクルツリーを構築するために取引を2回ハッシュします。ウォレットはさらに3層目として、RIPEMD-160をSHA-256の上に適用し、公開鍵をアドレスへ短縮します。
米国の標準技術研究所（NIST）は2001年にSHA-256を、SHA-2ファミリーの一部として公表しました。このアルゴリズムは、衝突（collision）を起こすのにおよそ2^128回の演算が必要で、前像（preimage）を強制するにはおよそ2^256回の演算が必要とされています。ビットコインのローンチから16年後でも、研究者が実用的な衝突攻撃、前像攻撃、または第2前像攻撃を見つけたという報告はありません。NISTやECRYPT-CSAのような独立グループは、引き続きフル関数を安全であると評価しています。
Google Quantum AI Revised Qubit Estimate to 500,000 in 2026
Google Quantum AIは2026年に研究を公表し、ビットコインの楕円曲線を破るのに必要な量子ビット数を約500,000個の物理量子ビットへと引き下げました。現在の量子マシンは、1,000〜1,500量子ビットの範囲で動作しています。研究者は、有効な量子脅威が成立するのは誤り訂正の進捗に応じて2029年〜2035年の間になる可能性があると見積もっています。
ブルートフォース探索を高速化するグローバーのアルゴリズムは、SHA-256に対して実行すると、有効なセキュリティを256ビットから約128ビットにまで低下させます。ショアのアルゴリズムは、ハッシュではなく署名を標的にするため、より大きな問題を提起します。ショアのアルゴリズムを実行する量子コンピュータは、ビットコインの楕円曲線上で公開鍵が露出している場合、その公開鍵から秘密鍵を抽出できる可能性があります。推定で約700万BTC、供給量の約35%に相当するビットコインが、露出した公開鍵を持つアドレスに保管されています。
Developers Merged BIP-360 for Quantum-Resistant Addresses in 2026
ビットコイン開発者は2026年にBIP-360を統合し、bc1zで始まる新しいアドレス形式「pay-to-Merkle-rootアドレス」を導入しました。これは、量子耐性の署名方式を土台に構築されています。関連提案であるBIP-361は、将来的に古くなった露出済みのアドレス種別をネットワークがどのように段階的に廃止できるかを概説していますが、この提案はより大きな議論を呼んでいます。
事後量子（ポスト量子）署名は、ビットコインが現在使っている署名よりもブロックスペースを多く必要とします。研究者たちは、移行を管理するためにハッシュベースの署名方式のテストを進めています。開発者には、所有者が活動していない、または連絡が取れないことを含め、古いアドレスにロックされたコインをどう扱うかという課題があります。これには、サトシ自身の初期ウォレットに紐づくビットコインも含まれます。
Holders with Exposed Public Keys Face Higher Risk
SHA-256は既知の攻撃（古典でも量子でも）によっていまだ影響を受けておらず、保有者に対して直ちに取るべき行動は不要です。最大の懸念は署名の露出です。旧来型のアドレスにコインを保有している人、またはビットコインのアドレスを使い回したことがある人は、支出されるまで公開鍵が隠されたままの現代の出力タイプを利用するユーザーよりも、露出のリスクが高くなります。
サトシは2010年のスレッドを、次の趣旨で締めくくりました。SHA-256を破るのに十分強力な攻撃が存在するなら、SHA-512のようなより強い「類縁アルゴリズム」も同様に傷つける可能性が高く、単独での完全な破局は起こりにくい、というものです。ビットコインの防御は、脅威が実運用可能になる前に移行できるかどうかにかかっています。
FAQ
What did Satoshi Nakamoto say about SHA-256 on July 16, 2010?
サトシ・ナカモトは、2010年7月16日のBitcointalkフォーラム投稿で、ビットコインのSHA-256ハッシュ関数を擁護しました。そこでサトシは、それを「32ビットから64ビットの計算への移行」と比較し、アルゴリズムが十分なセキュリティ余裕（マージン）を提供すると述べています。また、もしSHA-256が弱まるような事態になれば、新しいハッシュ関数へのソフトフォークによる移行経路を説明しました。
How many qubits does Google Quantum AI estimate are needed to break Bitcoin's curve?
Google Quantum AIは2026年に公表した研究で、ビットコインの楕円曲線を破るために必要な推定値を約500,000個の物理量子ビットへと改訂しました。現在の量子マシンは1,000〜1,500量子ビットの範囲で動作しており、研究者は量子脅威が現れる可能性のタイムラインを2029年〜2035年と見込んでいます。
What does BIP-360 do for Bitcoin's quantum resistance?
BIP-360は、2026年にビットコイン開発者によって統合され、bc1zで始まるpay-to-Merkle-rootアドレスを導入します。これは、量子耐性の署名方式を使います。提案の目的は、ショアのアルゴリズムからの攻撃に耐えるアドレス形式を提供することで、将来の量子コンピューティング脅威からビットコインの保有分を守ることです。
