人間の研究者とAIエージェントの協業プロジェクト「ECDSA.Fail」は、ビットコインの署名暗号解読に必要な量子計算リソースを86.1％削減する最適化回路を公開しました。ビットフライヤーなどの国内暗号資産交換業者が管理する資産の保全や、金融庁のサイバーセキュリティガイドラインに基づく耐量子暗号（PQC）への移行スケジュールに直結する成果です。
楕円曲線暗号解読における推定量子リソースの推移と最新動向
2026年9月、シータ・ラボ（Theta Labs）の共同創業者兼最高技術責任者（CTO）であるジエイ・ロン（Jieyi Long）氏を中心とする研究チームは、楕円曲線暗号（ECDSA）の点加算処理を高速化する量子回路の最適化結果をプレプリントサーバー（arXiv）で公表しました。本プロジェクト「ECDSA.Fail」には、アイゲン・ラボ（Eigen Labs）、イーサリアム財団（Ethereum Foundation）、スタークウェア（StarkWare）、トレイル・オブ・ビッツ（Trail of Bits）などに所属する36名の研究者が連名で参加しています。
暗号資産ビットコイン（Bitcoin）のデジタル署名方式「secp256k1」をショアのアルゴリズムで解析する際、中核となる演算が楕円曲線の点加算です。この処理に要する計算リソースを圧縮するオープンチャレンジが2026年5月末に開始され、100名以上のコントリビューターとAIコーディングエージェントが協業しました。結果として、初期ベースラインから論理量子ビット数とトフォリゲート数を大幅に削ぎ落とす回路が生成されました。
以下の表は、ビットコイン暗号解読回路の推定リソースの推移をまとめたものです。
| 公表時期・主体 | 論理量子ビット数 | トフォリゲート数 | 総合スコア（量子ビット×ゲート） |
|---|---|---|---|
| 2026年3月（Google Quantum AI） | 1,175 | 約270万 | 約30.0億 |
| 2026年5月（ECDSA.Fail 初期値） | 2,715 | 約396万 | 約107.5億 |
| 2026年7月（論文締切時点の最良値） | 1,151 | 約130万（1,299,453） | 約14.96億（86.1％減） |
| 2026年10月（追加改善記録） | 874 | 約240万（2,398,215） | 約21.0億 |
米グーグル（Google Quantum AI）が2026年3月に提示した推計値と比較しても、トフォリゲート数は半分以下に抑え込まれました。さらに論文のデータ締め切り後の2026年10月中旬には、論理量子ビット数を874個まで引き下げる追加の成果が記録されています。
参考記事: 量子コンピュータとは？仕組みからビジネス活用・2030年実用化シナリオまで徹底解説
規制機関のタイムラインと市場の露出資産
本成果が公表された直後の2026年10月27日、米国立標準技術研究所（NIST）は移行ガイダンス「NIST IR 8547」の最終版を発行しました。同文書は、RSAやECDSAなどの従来の非対称鍵暗号について、2030年末をもって連邦政府調達における新規利用を非推奨（deprecated）とし、2035年末以降は使用禁止（disallowed）と定めています。米大統領令14412号（Executive Order 14412）および行政管理予算局の覚書（OMB M-26-15）でも、重要システムにおける電子署名の耐量子化期限を2031年12月31日と定めており、制度面での締め切りは確定しています。
一方で、ブロックチェーン上の実資産における脆弱性露出は拡大しています。オンチェーン分析企業グラスノード（Glassnode）が2026年5月に公表した調査データによると、ビットコインの発行済み供給量の30.2％（約604万BTC）において、公開鍵がすでに台帳上に露出していました。2026年10月の更新データでは、露出資産は626万BTC（流通量の31.2％）に達しています。
露出資産の内訳は、初期のP2PK（Pay-to-Public-Key）形式やタップルート（Taproot）などのプロトコル構造に起因するものが約192万BTC存在します。さらにアドレスの再利用や部分送金などの運用不備による露出が約412万BTCを占めており、そのうち約163万BTC（流通全体の8.1％）は暗号資産交換業者の管理ウォレットに滞留しています。
AIエージェントと人間が達成した回路最適化の技術構造
今回のリソース削減は、物理ハードウェアの進展ではなく、アルゴリズムの論理設計とコンパイル最適化によって達成されました。ショアのアルゴリズムを実行する際、古典的な算術演算回路をいかに少ない補助量子ビットと反転ゲート（トフォリゲート）で実装できるかがボトルネックとなります。
算術論理演算の再設計とキャリー伝播の削減
従来の可逆計算回路では、256ビット長のモジュラ加算や乗算を実行する際、加算器のキャリー（桁上げ）伝播を処理するために大量の補助量子ビット（クリーンアンシラビット）を消費していました。Googleの先行研究では、量子ビット数を絞り込むために直列的なアダー構造を採用した結果、トフォリゲートの実行段数が肥大化していました。
ECDSA.Failプロジェクトでは、secp256k1固有の素数パラメータ（2^256 – 2^32 – 977）に特化した剰余演算の定式化を再構築しました。基数表現の工夫により、乗算過程で生じる中間桁上げの保持領域を再利用可能なダーティアンシラ（計算途中の不確定な状態を持つビット）へ逃がす設計を導入しています。これにより、演算精度を落とすことなく論理量子ビットの総数を1,151個まで削減しました。
自律型コーディングエージェントの役割
本プロジェクトの特異性は、人間がアーキテクチャの基本設計方針を定め、AIエージェントが微小なゲート配置の探索を担当した点にあります。可逆論理ゲートの配置問題は膨大な組み合わせ空間を持つため、人間が手作業で局所的な冗長性を削ぎ落とすには限界がありました。
参加者は大規模言語モデル（LLM）を組み込んだ自律型エージェントを使用し、ゲートの可換性を利用した並べ替えや、中間状態のアンコンピューティング（逆演算による初期化）のタイミングを網羅的に探索させました。数万通りに及ぶ回路バリアントの自動検証とテスト駆動型の回路合成を繰り返すことで、人間だけでは到達できなかったゲート密度の圧縮が実現しました。
参考記事: AIエージェントとは？自律型AIの仕組みから2030年のマシンエコノミー予測まで徹底解説
参考記事: マルチエージェントシステムとは？シングルエージェントとの違い、構築ステップや課題を徹底解説
攻撃成立に向けた残余の技術的ハードル
大幅な最適化が示されたものの、現行の量子マシンで直ちに攻撃が成立する状況ではありません。実用的な脅威となるには、以下の技術的前提をクリアする必要があります。
第一に、提示された1,151論理量子ビットは「誤り訂正が完了した論理量子ビット」です。物理的な超伝導回路やイオントラップ素子で1つの論理ビットを構成するには、数十から数千の物理量子ビットと高いゲート忠実度が要求されます。現状の物理マシンでは物理ビットの総数およびエラー率の両面で乖離が存在します。
第二に、今回の測定範囲は点加算単体のコストです。ショアのアルゴリズム全体を完結させるには、重畳状態の生成から離散対数問題の位数を特定する位相推定処理、古典コンピュータ側での連分数展開までを含めた全体のオーケストレーションが必要です。連続稼働を支えるコヒーレンス時間とデコード遅延の解消が不可欠となります。
日本企業への示唆と暗号資産管理の実務要件
本件の数値的進展は、日本の金融機関、暗号資産交換業者、およびエンタープライズのシステム設計に直接的な影響を及ぼします。量子ハードウェアのロードマップ単体ではなく、ソフトウェア最適化によって危殆化の到達点が前倒しされる構造が証明されたためです。
金融機関および暗号資産交換業者における保有リスク
国内の暗号資産交換業者は、資金決済法および日本暗号資産取引業協会（JVCEA）の自主規制規則に基づき、預かり資産の95％以上をコールドウォレットなどの安全な環境で管理することが義務付けられています。しかし、保管状態であっても公開鍵が一度でも外部へ露出したアドレスは、将来的な署名偽造のリスクに晒されます。
特に以下の管理体制を持つ事業者は、自社の公開鍵露出度を即座に棚卸しする必要があります。
- カストディ業務におけるアドレスの再利用運用
- 出金トランザクションで生じたお釣り（Change Address）の管理プロトコル
- 複数署名（マルチシグ）設定時に公開鍵がオンチェーンへ事前登録されるコントラクト
ハードウェアウォレット内に隔離して保管していても、送金履歴があるアドレスに資産を据え置いている場合、コールド保管の防御効果は無効化されます。未使用の新規アドレスへ定期的に資産を再集約する運用ポリシーの徹底が求められます。
暗号インベントリの策定とPQC移行の障壁
米国NISTの基準に追従する形で、日本の内閣サイバーセキュリティセンター（NISC）およびデジタル庁も暗号移行指針の改定を進めています。企業が直面する構造的な課題は、ハードウェアの調達ではなく「どこにECDSAやRSAが埋め込まれているかの把握」にあります。
レガシーな勘定系システムや認証基盤、データセンター間通信のTLS接続において、古い暗号スイートがハードコードされている事例は少なくありません。耐量子署名アルゴリズムであるML-DSA（旧CRYSTALS-Dilithium）やSLH-DSA（旧SPHINCS+）は、従来のECDSAと比較して署名サイズや公開鍵サイズが数倍から数十倍に肥大化します。
このデータサイズ増加は、ネットワーク帯域の消費だけでなく、ブロックチェーンにおけるブロックサイズ制限の逼迫や、組み込み機器のメモリ枯渇を引き起こします。単なるライブラリの差し替えにとどまらず、プロトコル設計やデータベースのスキーマ変更を伴うため、移行検証には複数年のリードタイムが必要です。
参考記事: 耐量子暗号（PQC）とは？CISOが急ぐべき暗号インベントリと2030年への移行ロードマップ
まとめ
ECDSA.Failが示した成果は、AIエージェントの介在によって暗号解読に必要な量子リソースが急激に縮小し得る現実を実証しました。2030年代半ばと見られていた暗号アルゴリズムの有効期限は、アルゴリズム側の圧縮によって実質的に短縮されています。
最高情報セキュリティ責任者（CISO）およびシステム開発責任者が着手すべき実務対応は明確です。自社が管理する暗号資産ウォレットのアドレス再利用を即座に停止し、公開鍵が露出していない導線へ資産を隔離することです。同時に、社内インフラ全体に点在する非対称鍵暗号の所在を特定する暗号インベントリの作成を開始し、署名サイズ肥大化に耐えうるPQC移行ロードマップを早期に確定させる必要があります。
出典: 日経クロステック（xTECH）
出典: arXiv (arXiv:2609.09582)
出典: The Quantum Insider
出典: NIST CSRC (NIST IR 8547)
出典: Glassnode Insights
