量子計算は楕円曲線暗号を解読するにはまだほど遠い

2026.07.16

共有先

TechFlow厳選深潮セレクト

量子計算は楕円曲線暗号を解読するにはまだほど遠い

本稿では、ECC を解読するために実際にどのような条件が必要なのかを分析し、私たちがその日までどれほど遠いのかを解説します。

2026.07.16 - 02:52:16

量子计算

Web3業界の深掘り報道に専念し潮流を洞察

本稿では、ECC を解読するために実際にどのような条件が必要なのかを分析し、私たちがその日までどれほど遠いのかを解説します。

著者：Derrick Cui

翻訳：TechFlow

TechFlow 解説：理論的な進歩により、楕円曲線暗号を解読するために必要な量子ハードウェアの要件は、3.17 億個の物理量子ビット（2022 年）から 50 万個（2026 年）へと削減されました。しかし、現在の量子コンピュータが実際にアルゴリズムを実行できる量子ビット数は約 105 個であり、実用的な攻撃にはまだ数个桁のギャップがあります。本稿では、ECC を解読するために実際に何が必要なのか、そしてその日までどれほど遠いのかを解説します。

核心ポイント

以下の表は、2026 年の論文で理論的に ECC（TLS、ビットコイン、HTTPS に使用される楕円曲線暗号）を解読するために必要な条件と、現在の実際の進捗を比較したものです。結論は、我們はまだほど遠いということです。

最大の進歩は理論层面から来ています。アルゴリズムとエラー訂正設計により、必要な操作回数と量子ビット数が約 3.17 億個の物理量子ビット（2022 年）から 50 万個以下（2026 年）へと削減されました。ハードウェアも改善されています（2 量子ビット忠実度は 2005 年の約 90% から現在の 99.9% 以上へ、コヒーレンス時間は約 1 マイクロ秒から約 1 ミリ秒へ延長）。しかし、最も重要なハードウェア指標である単一マシンで利用可能な量子ビット数はほとんど成長していません。実際のアルゴリズムを実行できるのは約 105 個であり、必要な数は約 50 万個です。

Q デイ（量子計算による暗号解読の日）の予測：

Justin Drake は 2030 年以前を 10%、2032 年以前を 50% と見ている

米国国立標準技術研究所（NIST）/ 国家安全保障局（NSA）は、脆弱な暗号を廃止する目標を 2035 年に設定している

量子計算にはムーアの法則に相当するものはありません。必要な条件は 4 年間で約 600 倍減少しましたが、マシンの規模はこの 10 年で 10 倍成長したに過ぎません。したがって、実際のタイムラインが何になるかは誰にもわかりません。

量子計算進展の現在の最前線

定義：

物理量子ビット：量子コンピュータ内の量子ビットの総数

論理量子ビット/エラー訂正量子ビット：エラー訂正後に実際に利用可能な量子ビット数（古典コンピュータの対応概念は情報ビットと総ビット数の比率）。例えば、量子計算における distance-5 コードは、約 49 個の物理量子ビットを使用して 1 個の量子ビットの情報を保存することを意味します

非クリフォードゲート：量子ビットに対して実行される、古典マシンではシミュレートが困難な計算。T ゲートを含む

T ゲート：単一の量子ビットに 45 度の位相回転を施加する操作。T ゲートの誘導は量子コンピュータのハードウェアに依存します。超伝導量子コンピュータの場合、マイクロ波パルスを使用してこの効果を誘導します

マジックステート：事前に作成された使い捨ての量子ビットで、非クリフォードゲートが事前にベークされています。非クリフォードゲートはエラー訂正量子ビットに直接適用できないため、マジックステートを消費することで間接的にゲートを適用します。エンタングルメント + 測定 + 訂正（「テレポーテーション」と呼ばれるプロセス）を通じて行います

トフォリゲート：3 個の量子ビット（2 個の制御ビット、1 個の目標ビット）に作用し、2 つの制御ビットがどちらも 1 の場合にのみ目標ビットを反転します。これは約 7 個の T ゲート（最適化後は 4 個）とクリフォードゲートで構築されます。エラー訂正量子ビット上でトフォリゲートを適用する唯一の方法は、マジックステートを 1 つ消費することです

ショア算法：1994 年に発明され、量子コンピュータが RSA と ECC を解読する方法（周期発見問題を解決することにより）として提案されました

シンドローム：データ量子ビットでエラーが発生したかどうかを検出するための量子ビット（「チェック量子ビット」）が生成する結果のストリーム

蒸留：多くのノイズのあるマジックステートを組み合わせるプロセス。15 個のノイズ状態を消費して、はるかにクリーンな状態を 1 つ出力します

ショア算法で ECC を解読：

2026 年、ある論文が新しい回路設計とショア算法の「前処理」を導入し、ECC を解読するために必要な計算を削減しました（これによりビットコイン、イーサリアム、SSH、TLS、HTTPS が解読されます）

この論文は、超伝導量子コンピュータ上で ECC を解読することが理論的に可能であると試算しています。約 1,200 個の論理量子ビットが必要で、約 9,000 万個のトフォリゲートをエラーなくリンクする必要があります。現在のエラー訂正レベルでは、これは約 50 万個の物理量子ビットと数分間の実行時間を意味します

計算パイプライン

大まかなフロー：物理量子ビットをチップ上に配置 → 多くの物理量子ビットを束ねてそれぞれエラー訂正論理量子ビットにする → 論理量子ビット上でアルゴリズムのゲートを実行し、困難な（非クリフォード）ゲートのためにマジックステートを消費 → 測定し、古典コンピュータで後処理。

ノイズのある物理量子ビットから開始

課題：十分な数の量子ビットを物理的に 1 台のマシンに配置すること（制御ライン、デコードチップ、レーザービーム、配線など）

進捗：アルゴリズム設計の改善により、要件は約 3.17 億個の量子ビット（2022 年）から約 900 万個（Litinski 2023 年）へ、さらに 50 万個（2026 年）へと削減されました。カリフォルニア工科大学は 2025 年に光ピンセットで 6,100 個の量子ビットを固定しました（計算ではなく固定）。IBM の Condor チップは 1,121 個の量子ビットを収容できますが、ノイズが大きすぎて実際のアルゴリズムを実行できません。実際のアルゴリズムを実行した最大のチップは約 105 個です（Google Willow、2026 年 3 月）

エラー訂正を通じてそれらを信頼性の高い論理量子ビットに束ねる

課題：2026 年の論文では、約 9,000 万個のトフォリゲートを順次リンクし、それぞれが成功する必要があり、各操作の論理エラー率は約 1/90,000,000 未満である必要があります。実際には目標（「ノーススター」）は論理エラー率が約 10⁻⁹またはそれ以下です

進捗：2024 年、Google は 101 個の物理量子ビットで構成された 1 個の論理量子ビット（distance-7）のエラー率が、49 個の物理量子ビット（distance-5）より 2.14 倍低く、后者は 17 個の物理量子ビット（distance-3）より 2.14 倍低いことを示しました。この論文は、物理量子ビットが増加するにつれてエラーが継続的に減少することを証明しました。101 量子ビット（distance-7）のエラー率はサイクルあたり 1.4×10⁻³です。これは約 100 万倍高い値です

エラー訂正を実行してそれらを生存させ続ける

課題：量子ビット数が増加するにつれてデコードがより困難になります。超伝導量子コンピュータは約 1 マイクロ秒ごとにシンドロームデータラウンドを発行し、古典デコーダは各ラウンドを約 1 マイクロ秒未満で完全に処理し、継続的に行う必要があります。デコードはコンピュータに追加される量子ビット数に追従する必要があります

進捗：Riverlane のローカルクラスタリングデコーダ（『Nature Communications』、2025 年 12 月）は、ラウンドあたり 1 マイクロ秒未満を達成し、適応性を持つ最初のハードウェア（FPGA）デコーダです。Google の AlphaQubit 2（2026 年 3 月）は、サイクルあたり 1 マイクロ秒未満で distance 11 までリアルタイムニューラルデコードを行います。シミュレーションでは、1 つの TPU で distance 25 に達できる可能性があります。50 万量子ビット規模にはまだ程遠い

困難なゲートを実行するためにマジックステートを消費

課題：困難なゲート（トフォリ）ごとに 1 つのマジックステートを消費し、ECC には約 9,000 万個が必要です。マジックステートを十分に速く作成および蒸留することは主要なスループットボトルネックです。蒸留工場は論理量子ビットブロック + ルーティングチャネルであり、計算中はアイドル状態です。スケールアップ時、工場は通常、総物理量子ビットの約 2-10% 以上を占めます

進捗：マジックステート培養（2024 年）により、マジックステートあたりのコストが大幅に削減されました。QuEra は 2024 年にわずか 5 個の論理量子ビットで論理レベルの蒸留を実証しました

測定 → 古典コンピュータが数学演算を完了

ボトルネックではありません。論理量子ビットを測定し、古典的な後処理を実行すること（測定結果 → 周期 → 秘密鍵）は十分に理解されており、コストも低いです。

私が議論しなかったいくつかの研究最前線：

高速クロックと低速クロックアーキテクチャ

モジュール式/マルチチップアーキテクチャ

閾値以下エラー訂正コード

表面コードと qLDPC コード：IBM の qLDPC に関する進捗については議論していません。彼らはこれまでストレージ量子ビット（メモリ）のみを示しており、その上で計算を行ったわけではないためです

マジックステートコスト

マジックステートルーティング/コンパイル

コヒーレンス時間

量子ビット上でストレージと計算を実行

低温制御電子機器

リーケージと関連エラー

ビットコインのリスク

ビットコインが ECC を使用しているため解読されるという恐慌的な言論が多くあります。ECC を解読することはビットコインにとって実際に何を意味するのでしょうか？

ショア算法により、攻撃者はあなたの公開鍵 Q を持っている場合に秘密鍵 k を回復できます。一度それを行えば、彼らはあなたになります。彼らはあなたのコインを自分自身に移す取引に署名でき、それは完全に有効な取引です。

しかし、ビットコインアドレスはあなたの公開鍵ではなく、あなたの公開鍵のハッシュ値です（公開鍵は SHA-256 を経由し、その後 RIPEMD-160 を経由します）。ハッシュは異なる数学演算であり、ショア算法はそれを解読できません。

ただし、取引を承認するには、公開鍵 Q を公開する必要があり、それはチェーン上に永続的に残ります。したがって、別のアドレスにビットコインを送信したことのあるアドレスはすべて侵害される可能性があります。現代のウォレットは、ビットコインを送信するたびに全残高を新しいアドレスに転送することで、ユーザーを保護します。

約 670 万枚の BTC がすでに露出しており、量子計算を通じて盗まれる可能性があります。

Justin Drake はまた、10 分間のビットコインブロック時間内に秘密鍵が盗まれるリスクについても書いています。彼がリストした論文は、これが 9 分以内に完了する可能性があることを示しています。この問題は、すでに露出している 670 万枚の BTC を失うほど深刻ではありません。

この問題を真に解決する唯一の方法は、すべての人が量子安全鍵に切り替えること（技術はすでに存在します）であり、一段时间后に転送されていないビットコインを破棄することです。ビットコインコミュニティにこれに同意させることは困難な任務となるでしょう。

イーサリアムのリスク

イーサリアムはビットコインと同じ曲線（secp256k1）と同じ署名方式（ECDSA）を使用しているため、根本的な解読方法は同じです。公開鍵が与えられれば、ショア算法は秘密鍵を回復し、秘密鍵の保有者がアカウント所有者となります。

イーサリアムには永続的なアカウントがあり、アドレスが再利用されることを意味します。これは、量子計算が今日使用可能であれば、取引を送信したことのあるすべてのウォレットが乗っ取られる可能性があることを意味します。

ECDSA を置き換えるのは簡単です。問題は、量子後耐性署名が ECDSA よりもはるかに大きいため、ノードはより多くのメモリを保存する必要があることです。这也是イーサリアムが署名方式を変更的同时に zk に移行する理由です。

また、すべてのユーザーが古い鍵から新しい鍵に積極的に移行する必要があります。人々が転送していないアカウントは破棄する必要があります。そうしないとハッカーがそれらを制御できてしまいます。

技術的な解説

公開鍵暗号により、2 人の人が信頼できないネットワーク（公共インターネットなど）上で、事前に秘密を共有せずに安全に通信できます。

多くの異なるプロトコルがあります（特定のユースケースに適した最終用途ツールと考えることができます）。例えば Diffie-Hellman 鍵交換、ECDSA 署名、RSA 暗号化。它们的根本的な難題はそれぞれ離散対数、EC 離散対数、因数分解です。古典コンピュータが解決するのが困難な核心的な数学的ボトルネックは周期性です。

量子コンピュータが実際に実行できる数学演算は周期を見つけることです。

ECC とは

ECC（TLS、ビットコイン、HTTPS に使用）は一方通行の通りに基づいています。曲線上の公共点 G から始め、「ジャンプ」k 回して新しい点 Q に到達します。前方へのジャンプは高速です。しかし、誰かが起点（G）と終点（Q）を示した場合、何回ジャンプしたかを見つけることは実際には不可能です。

ジャンプ回数 k があなたの秘密鍵です。終点 Q があなたの公開鍵です。誰もがあなたの起点と終点を見ることができますが、それらの間のステップ数を知っているのはあなただけです。

数学的な解説は以下の通りです：

楕円曲線とは、方程式 y² = x³ + ax + b を満たす有限体上の点の集合です

G は基点（公開されており、標準によって固定されています）。秘密鍵 k に対して、公開鍵は点 Q = kG です

倍加法を通じて k から Q を計算するには O（log k）回の群演算が必要です

（G，Q）から k を回復することは ECDLP（楕円曲線離散対数問題）であり、古典的な方法は試行錯誤であるため非常に遅いです

ショア算法は多項式時間で ECDLP を解決し、G によって生成された群上で周期を見つけることに帰着します

これは楕円曲線です。

y² ≡ x³ + 7（mod 17）上の EC 点乗算を示すチャート。曲線と基点 G は公開されており、終点 Q も公開されています。秘密は k = 6 で、G から Q へのジャンプ回数です。前方計算（Q = kG の計算）は高速です。G と Q から k を回復するための既知の古典的な近道はありません。この例は mod 17 を使用しており、ジャンプ回数を数えることができます。実際の ECC は約 2²⁵⁶の模空間を使用します

ショア算法がどのように ECC を解読するか

ECC を解読することは、一見単純な関数に帰着します。f（x，y） = xG + yQ。ここで G は公共生成器、Q は攻撃対象の公開鍵です。Q = kG であるため、これは実際には f（x，y） =（x + ky）G となります。

これには結果が生じます。入力（k，−1）をステップしても出力は決して変化しません。（x + k）+ k（y − 1）= x + ky となるためです。したがって、f は（x，y）グリッドを通る平行な対角線に沿って繰り返し、これらの対角線の方向は k（秘密鍵）をエンコードしています。

この方向を見つけるには、同じ出力を生成する 2 つの異なる（x，y）ペアが必要です。古典的な方法では、このような衝突を総当たり検索する必要があります。

量子コンピュータにより可能になること：

重ね合わせ状態で一度にすべての（x，y）ペアの f を評価できるため、ストライプグリッド全体が同時にマシン内に存在します

しかし、それでも観察することはできません。測定するとランダムな点に崩壊し、何も telling しません

フーリエ変換により、繰り返し方向以外のすべてのものが互いに相殺され、頻率ピークを生成します。これはいくつかの古典的な数学演算を通じて k を得ることができます

各金色セルは入力ペア（x，y）で、同じ出力点を生成します。それらは固定ステップで繰り返されます。右に k、下に 1。したがって秘密鍵は対角線の方向にエンコードされています。（おもちゃの例：k = 2，n = 13。実際の規模では、グリッドには 2²⁵⁶列があり、一度に 1 つのセルしかチェックできません。これが古典的な場合においてこのパターンが見えない理由です。)

例を見てみましょう。整数 mod 17 上の曲線 y² = x³ + 2x + 2 を取ります。（この問題は mod17 下であるため簡単です。通常は mod 2²⁵⁶下です）これは偶然にも n = 19 個の点を持ち、G =（5，1）がすべての点を生成します。私の公開鍵が Q =（0，6）であると仮定します。あなたのタスク：Q = kG となる k を見つけることです。（答えは k = 7 です。G，2G，3G，... が順に（5，1），（6，3），（10，6），（3，1），（9，16），（16，13）を通り、7 ステップ目で（0，6）に到達するためです。)

設定。2 つのカウントレジスタ。1 つは x 用、1 つは y 用。それぞれ 0 から 18 の値を保存します。1 つの作業レジスタが曲線点を保存します。因数分解との重要な違い。RSA の場合、周期 r は未知数であるため、レジスタは大きすぎる必要があります（2n 量子ビット）。ピークは近似値です。ここでは n = 19 が公開されているため、mod-19 算術上で正確に QFT を実行でき、ピークは毎回完全に鋭くなります。

段階 1——初期化。すべてをリセットします。作業レジスタを単位点 O（曲線の「ゼロ」）に設定します。

段階 2——重ね合わせ。2 つのカウントレジスタに Hadamard 式重ね合わせを適用します。これらは現在、一度にすべての 19 × 19 = 361 ペアの（x，y）を保存しています。

段階 3——点加算（エンタングルメントステップ）。事前に、古典的に各ビット位置 j に対する定数 2ʲG と 2ʲQ を計算します。次に、各カウント量子ビットの制御に基づいて、対応する定数を作業レジスタに追加します。完全なシーケンス後、作業レジスタは xG + yQ を保存し、各（x，y）ペアとエンタングルします。

完全な状態は大きなエンタングル和です。361 ペアすべてに対する和 Σ |x⟩|y⟩|xG + yQ⟩。Q = 7G であるため、作業レジスタは実際には（x + 7y mod 19）G を保存します。わずか 19 個の異なる値です。作業レジスタ値で和をグループ化します：

すべての x + 7y ≡ 0（mod 19）の（x，y）⊗ |O⟩

すべての x + 7y ≡ 1（mod 19）の（x，y）⊗ |（5，1）⟩

すべての x + 7y ≡ 2（mod 19）の（x，y）⊗ |（6，3）⟩

... 19 グループ、各グループ 19 ペア

秘密 k = 7 は現在、各グループの傾きにエンコードされています。各グループは（x，y）グリッドを通る対角線です。しかし、測定するとランダムなペアに崩壊し、傾きに関する何も tell しないため、直接読み取ることはできません。

段階 4——逆 QFT + 測定。2 つのカウントレジスタに逆 QFT を適用します。振幅は正確に v ≡ k·u（mod 19）を満たす 19 ペアの（u，v）に集中します。フーリエ変換は線の傾きを頻率空間の傾きに変換します。測定はこの 19 ペアのうちの 1 つをランダムに生成します。

左側のグリッドは段階 3 後の状態です。すべての 361 ペア（x，y）が重ね合わせ状態で存在し、それぞれ異なる作業レジスタ値がそれらの対角線ファミリーを収集します。緑と橙は 2 つのグループです。右側のグリッドは逆 QFT 後の状態です。すべての振幅は単一の線 v ≡ k·u（mod 19）上に崩壊します。

チップ外後処理：

測定（u，v）=（3，2）:k = 2 · 3⁻¹ mod 19 = 2 · 13 = 26 ≡ 7 ✓（チェック：7G =（0，6）= Q ✓）

測定（u，v）=（5，16）:k = 16 · 5⁻¹ mod 19 = 16 · 4 = 64 ≡ 7 ✓

測定（u，v）=（0，0）:情報なし。u ≠ 0 の結果が有効であれば再実行します（18/19 回の実行）。

私たちが k を見つけることを気にするのは、k が秘密鍵だからです。你现在メッセージを送信でき、あなたと解読された鍵を持つ人との間に違いはありません。