# BIP-360と、動かせないビットコイン

> ビットコインのポスト量子移行には脆弱な鍵での署名が必要だが、最もリスクにさらされているコインは署名できない所有者のものだ。

- Source: https://www.steadyrain.xyz/ja/articles/bitcoin-post-quantum-migration-bip360/
- Publisher: Steady Rain
- Author: 0xYatha
- Published: 2026-09-18T03:33:26.893Z
- Categories: BTCFi
- Language: ja

## はじめに

ビットコインを量子耐性のあるアウトプットに移すには、量子コンピュータが破ることになる鍵を使って楕円曲線署名を生成する必要がある。これがあらゆる移行計画の中心にある構造的な罠だ。最も深刻なリスクにさらされているコインは、所有者が不在のコインであり、不在の所有者はスイープトランザクションに署名できない。ウォレットツールをどれだけ整備しても、取引所間で調整しても、クライアント側のアップグレード作業を重ねても、この現実は変わらない。こうしたコインをプロトコルレベルで扱うには、ユーザーの行動ではなくコンセンサスによる決定が必要になる。

Project ElevenのCEOであるAlex Pruden氏は、2026年5月初旬のConsensus Miamiでこの調整の難しさを公に指摘しており、彼の整理はこの問題を捉える出発点になる。すなわち、この移行はTaprootより困難になる。Taprootはオプトインであり、部分的な採用でも許容されたのに対し、ポスト量子移行はほぼ全員が参加して初めてセキュリティ上の利益が得られるからだ。彼はTaprootの展開に要した期間を目安としておよそ5年と見積もり、ビットコインはハードウェアの進展が明らかになる前に、ポスト量子署名方式を研究段階から実運用へ移すべきだと主張した。これは確度の高い予測に基づくものではなく、リスクの非対称性に基づく議論である。

このテーマに関する我々の情報源は2026年5月初旬までのものであり、扱っている主題の重さに対して薄いと言わざるを得ない。BIP-360は2025年に、量子耐性を持つTaproot型のアウトプットタイプを追加する提案として出された。ここまでは記録として確認できる。2026年2月にBitcoin Coreへマージされたという主張、付随する移行BIPにおける具体的な段階分けについての主張、secp256k1を破るためのリソース見積もりを引き下げたとされる2026年のGoogle Quantum AIの成果についての主張、そしてEthereumに専任のポスト量子チームが存在するという主張については、一次資料で検証することができなかった。これらは未確認として扱い、代わりにメカニズムから推論を進め、ギャップがある箇所ではその都度明示する。公開鍵の露出、スイープトランザクション、ブロックウェイト、UTXOモデルの仕組みはプロトコル自体から検証可能であり、この移行がどこで破綻するのかを示している。

## リスクは一様ではなく、問題は公開鍵にある

*[Figure: img1]*

1994年に発表されたShorのアルゴリズムこそが、この問題が理論上の抽象論ではなく現実の工学的課題である理由だ。十分な能力を持つ量子コンピュータがこのアルゴリズムを実行すれば、secp256k1のような楕円曲線上で、既知の公開鍵から秘密鍵を導出できる可能性がある。したがって危険にさらされている資産はアドレスではなく公開鍵であり、ビットコインのアウトプットタイプは公開鍵を公開するかどうかで性質が異なる。

重要なのは3つのカテゴリだ。Patoshiのマイニングパターンに紐づくコインベースアウトプットを含む初期のpay-to-public-keyアウトプットは、スクリプト自体に生の公開鍵を含んでいる。これらは2009年からずっと公開状態のまま置かれてきた。pay-to-public-key-hashとそのwitness版は、未使用の間はハッシュのみを公開するが、使用された瞬間に鍵が露出する。したがって、一度でも使用されて再利用されたアドレスは完全に露出していることになる。Taprootアウトプットは32バイトのtweak済み公開鍵をscriptPubKeyに直接コミットするため、未使用のTaprootアウトプットは構造上、公開鍵が露出している。設計上最も新しく、広く使われているアウトプットタイプが、この観点では最も保護が薄いものの一つになっている。

ハッシュによる保護は見た目ほど強くない。永続的な秘匿性を提供するわけではなく、所有者が使用しようとするまでの猶予にすぎない。使用のためのトランザクションは公開鍵と署名を同じメッセージ内で露出し、そのメッセージは確認されるまでの間、一定期間メンプールに滞留する。Pruden氏はここで生じる競争条件について説明している。暗号学的に有効な量子コンピュータが存在するようになれば、メンプールを監視している攻撃者は露出した公開鍵から秘密鍵を導出し、自分宛てに支払う競合トランザクションを組み立て、より高い手数料を付けて、正当な所有者より先にブロックへの取り込みを勝ち取ることができる。防御可能な猶予は1回の確認間隔分しかなく、攻撃者の鍵回復時間が短くなるほどその猶予は縮む。

このメカニズムは移行のタイミングに直接的な意味を持つ。量子コンピュータの存在が明らかになってから慌ててコインを量子耐性アウトプットへスイープしようとする保有者は、まさに攻撃者が必要とする情報を、攻撃者が監視しているその瞬間に発信することになる。スイープは鍵回復が実現不可能なうちに行わなければならず、つまり移行のタイミングは実際の攻撃の証拠によって決めることができない。予測によって決めるほかなく、その予測自体に議論の余地がある。

Pruden氏は、この脅威に対するBitcoin Core開発者の見解を一枚岩ではなく賛否が分かれるものだと表現した。実現可能な量子コンピュータは決して現れないと考える貢献者がいる一方で、大多数の物理学者は実現すると考えており、そのタイムラインは前倒しになりつつある可能性があるという見方も紹介した。この意見の相違は些細な話ではない。ハードウェアの進展に関する確率分布を主な根拠とする移行は、技術的な議論だけで厳密な期限を作り出すことはできない。そしてビットコインには、他の手段で期限を課す仕組みがない。

## オプトインのアウトプットタイプで解決できること、できないこと

*[Figure: img2]*

2025年に提案されたBIP-360の貢献は、SchnorrやECDSAではなくポスト量子署名方式で使用を認証する新しいアウトプットタイプの追加だ。概念的にはこれは問題全体のうち扱いやすい半分にあたる。アウトプットタイプの追加は、おなじみの種類のソフトフォークである。アップグレードしていないノードは、新しいタイプからの使用を旧ルールの下ではだれでも使用できるものとして扱い、実際の条件の強制はアップグレード済みノードに任される。これはSegWitやTaprootを実現したのと同じパターンだ。既存のUTXOには何も変化が起きない。新しいタイプを使いたいウォレットは使い、使いたくないウォレットは使わない。

現行の仕様文書そのものは確認できておらず、具体的な方式の選定、スクリプトのフォーマット、有効化のメカニズムは、我々が伏せているというより、情報源のギャップとして残っている。記録として確認できるのは、暗号方式の選択の輪郭だけだ。NISTはハッシュベースと格子ベースのポスト量子署名ファミリーを標準化しており、ビットコイン開発者の議論はハッシュベースの選択肢に傾いていると伝えられている。その理由自体は情報源にないが、一般的なトレードオフとしては暗号理論の文献でよく知られている。ハッシュベースの構成は、新しい構造化格子問題ではなく、より弱く古いハッシュ関数のセキュリティ前提に依拠する一方、署名サイズが大きくなり、構成によっては状態管理が複雑になるステートフル性という代償を伴う。前提について保守的であることは、失敗が取り返しのつかないプロトコルにとって妥当な優先事項だ。

Blockstreamは既にLiquidネットワークでハッシュベースの署名方式を実運用に投入しており、この議論にこの分野では珍しいものをもたらしている。実際の価値を扱いながら稼働しているポスト量子方式の本番システムと、そこから得られる観測可能な運用実績だ。Liquidは連合型のサイドチェーンであり、信頼モデルもスループットもビットコインのベースレイヤーとは大きく異なるため、メインネットの手数料市場やブロックウェイトに関する疑問には答えられない。答えられるのは、実装の成熟度、署名パフォーマンス、鍵管理モデルがカストディ運用に耐えるかどうかといった、より狭い範囲の疑問だ。

オプトインのアウトプットタイプでは解決できないのがカバレッジの問題だ。量子耐性アウトプットに移されなかったコインはすべて露出したままであり、新しいアウトプットタイプを追加するソフトフォークだけではコインが動くことはない。既存UTXOセットの移行は別の政治経済的問題であり、そこで登場するのが旧アウトプットタイプの段階的な廃止案だ。我々の情報源はこうした提案の段階分けを説明しておらず、その内容を推測で再構築することは控える。ここではっきり述べておくべきメカニズム上の論点は、実質的な廃止とは最終的に、それ以外の点では有効なECDSAやSchnorrの使用を拒否するコンセンサスルールを意味するということだ。それがこのプロトコルが持つ唯一の強制手段であり、取り残されたものの使用可能性を恒久的に破壊する。

## オプトインは、未移行のコインが全員の問題になるまでしか機能しない

*[Figure: img3]*

Taprootの部分的な採用が許容されたのは、採用しないことのコストが完全に非採用者自身にとどまり、しかもそのコストが軽微だったからだ。トランザクションがやや大きくなる、スクリプトパスのプライバシーが得られない、鍵の集約ができないといった程度である。採用曲線は他者に外部性を及ぼすことなく何年もかけて緩やかに伸びることができた。

ポスト量子移行はこの力学を逆転させる。露出したアウトプットタイプに留まることによる一次的な損失は保有者本人に帰属するが、二次的な影響はそこにとどまらず、3つの経路で広がっていく。

第一は担保だ。BTCFiは何年もかけて、ビットコインのUTXOが確定した債権であるという前提の上にレンディング市場、ステーキングシステム、ラップされた表象を構築してきた。担保として使われている量子脆弱なUTXOは確率的な失効期限を持つ債権であり、それを保有するプロトコルにはそのリスクを価格づける手段がない。ある貸し手の担保基盤の露出度が、無関係なカウンターパーティが鍵のローテーションを完了したかどうかに左右されるのであれば、移行状況は与信パラメータになるが、現状これを追跡しているレンディングプロトコルは存在しない。

第二はカストディの集中だ。取引所やカストディアンは、頻繁なアクセスを想定しない設計のコールドストレージ構造でコインを保有しており、多くは地理的に分散した鍵シャードと数日規模の署名儀式を伴うマルチシグ構成だ。これらの鍵を新しいアウトプットタイプへローテーションするのは単純なソフトウェアアップグレードではなく、帳簿全体にわたって元の鍵儀式を繰り返し、その後にプルーフオブリザーブの照合を行う必要がある。最大量のコインを保有する機関ほど、移行が運用上最も遅くなるのだ。

第三はマネタリーな要因だ。長期休眠していたコイン、とりわけSatoshi帰属コインの盗難が成功すれば、それは孤立した損失としては受け止められない。ビットコインの発行スケジュールとその財産権保証が条件付きのものであるという証拠として読まれ、市場はその解釈を、移行済みかどうかにかかわらずすべてのコインに対して再評価する。この経路によって、個人のセキュリティ判断が集団的な問題に転化する。だからこそ、自発的な移行は包括的な防御としては機能しない。

Pruden氏の非対称性についての議論はここから導かれる。量子ハードウェアの進展が停滞するなら、待つことのコストは比較的小さい。使われないポスト量子アウトプットタイプは、ほどほどの維持負担で済むからだ。しかしUTXOセットの大半がsecp256k1のままの状態でハードウェアが実現すれば、待つことのコストは非常に大きくなる。攻撃者がメンプールを監視するようになった時点で、移行そのものが安全でなくなるからだ。とはいえ反対意見も公平に述べておくべきだろう。ビットコインの歴史には、緊急だと予測されながら予定通りには実現しなかった脅威が数多くある。コンセンサス変更にはそれ自体テールリスクが伴い、時間的な圧力の中で2026年に選ばれた方式が2040年には誤った選択だったと判明する可能性もある。脅威が遠いと考える開発者たちは、今それにビットコインの限られた調整能力を割かないという判断において不用意なわけではない。どちらのリスクが大きいかについて、別の計算をしているだけだ。

## スイープこそが本体であり、そこにはコストが伴う

移行はソフトウェアアップデートではない。UTXOセットの大部分が使用されて新しいアウトプットへ移されるオンチェーンの出来事であり、そこには特有の順序制約が伴う。

まずウォレットとライブラリのサポートが整わなければならない。ポスト量子鍵を生成し、新しいアウトプットタイプを構築し、署名・検証を行うテスト済み実装がなければ、それより下流の何も動かせないからだ。次にくるのがハードウェア署名デバイスで、ファームウェアの審査サイクルが長く、状態を持つハッシュベース方式の場合は、既存デバイスが想定していなかったストレージや状態追跡の挙動が必要になるかもしれない。その次が取引所のホットウォレットインフラで、鍵が既にオンラインにあるため機関レイヤーとしては最も動かしやすい。続いてコールドストレージとカストディが来るが、これは機関レイヤーとしては最も遅く、最大の残高を保有している。最後に、紙のバックアップや相続されたシードフレーズ、休眠ウォレットに残る自己管理コインのロングテールが移行しなければならない。この順序は技術的な依存構造から推測したものであって、公表された計画から報告しているわけではない。我々が確認した情報源には運用上の順序を示すものはなく、実際のスケジュールはプロトコルルールではなく参加者によって決まることになる。

スイープ段階には検討すべき経済的特徴が2つある。第一に、移行が実際に占める期間に集中してブロックスペースへの需要ショックが生じる。移行するUTXOはそれぞれインプットを必要とし、統合によってこのフットプリントは一部しか相殺されない。廃止の期限が存在する場合、合理的な保有者は締め切り間際まで待つため需要がさらに圧縮され、最も知識の浅い保有者が動こうとするまさにそのタイミングで手数料が急騰する。第二に、スイープトランザクションは旧公開鍵を露出させるため、移行が遅い保有者ほど、攻撃者の能力が存在する可能性が最も高い期間に露出することになる。移行が遅くなるほどコストは高く、安全性は低くなるという二重の罰則が、期限を逃した者に重くのしかかる。

## 署名サイズは固定されたブロックウェイトとぶつかる

*[Figure: img4]*

ビットコインのブロックウェイト上限は、より重い署名方式に合わせて調整されない。TaprootにおけるSchnorr署名は64バイトであり、単一インプット・単一アウトプットのキーパス使用は、プロトコルがサポートするトランザクションの中で最小級のものだ。NISTが標準化したハッシュベースと格子ベースの両方のポスト量子署名方式は、署名がかなり大きくなり、場合によっては公開鍵も大きくなる。ビットコインで検討されている具体的なパラメータセットについて検証済みの数値は持ち合わせておらず、未確定の方式についてサイズを引用することは無責任だろう。方向性としての結論は、正確な数値がなくても成り立つ。

ここには2つの異なる影響がある。移行そのものは一時的なコストだ。旧アウトプットを使用する大量のトランザクションは、それぞれ依然としてコンパクトなECDSAまたはSchnorr署名によって認証されるため、スイープ段階のコストが高くなる主因は署名サイズではなくトランザクション数だ。恒久的なコストはその後にやってくる。量子耐性アウトプットからの使用がすべて、より大きな署名をwitnessに含むようになったときだ。1ブロックあたりの実効トランザクション数は新しいwitnessデータが課す比率に応じて低下し、ブロックスペースの一定割合を占めるために必要な手数料はそれに応じて上昇する。SegWitで導入されたwitness割引がこれを和らげる。witnessデータは非witnessデータに対して4分の1の重みで扱われるためだが、それでもオーバーヘッドが消えるわけではない。

この影響はベースレイヤーの手数料水準にとどまらない。ライトニングチャネルの操作、コインジョインの構成、多くのインプットを伴うバッチ処理はすべて、署名1つあたりのサイズに応じてオンチェーンのフットプリントがスケールする。マルチシグは最も急激な増加を経験する。閾値構造は署名数を掛け算的に増やすからだ。ポスト量子署名が十分に大きければ、現在は経済的にごく普通に使われているマルチシグ構成の一部が、コスト面で成り立たなくなるほど高くなり、カストディの構造を作り替える圧力が生じる。機関の保有者は、より少数で大規模な署名クォーラムへ、あるいは選定された暗号プリミティブにはまだ存在していないかもしれない集約方式へと押しやられる可能性がある。これを適切にモデル化するには実際のパラメータセットと、移行後のUTXOの構成に関する仮定が必要だ。どちらも入手できておらず、ポスト量子ビットコインのスループットコストは公開研究において依然として定量化されていない。

## 誰も動かせない500万枚のコイン

*[Figure: img5]*

CoinDeskによるPruden氏の発言の記述には、Patoshiパターンのコインを含め、休眠コインが500万枚を超えるという数字が登場し、Harperという名でのみ特定される人物に帰属するとされている。この数字の算出方法は不明であり、独立した確認も取れていない。休眠の定義自体、どの遡及期間を採用するかによって大きく変わるため、これを正確な測定値ではなく大まかな規模感の指標として扱う。定性的な主張自体は、それでも十分に成り立つ。公開鍵を公開しているアウトプットタイプに、マネタリーに見て重要な意味を持つ大きなコインの塊が存在し、10年以上動いていないということだ。

定義上、これらのコインは移行できない。移行には署名が必要で、署名には鍵が必要で、鍵が失われたために休眠しているコインは休眠したままになる。したがって、あらゆる自発的な移行が終わった後にも量子脆弱なまま残るコインの集合は、所有者がいなくなったコインの集合とほぼ一致する。あらゆる政策上の選択肢は、これらをどう扱うかについての判断ということになる。

手を付けずに放置すれば、暗号学的に有効な量子コンピュータを最初に構築した者がそれを使えることになる。我々が確認した情報源にはこの見解は登場しないが、開かれた理論的立場として提示しておくと、これはビットコインの許可不要な設計と整合的だという議論がありうる。プルーフオブワークのマイニングのように、コインは歴史的に該当する計算問題を解いた者に渡ってきたという理屈だ。これに対する反論は明快だ。マイニングはあらかじめ定められたルールの下で新規発行されたコインを配分するものだが、量子攻撃は既に所有されているコインを、誰も合意していないルールの下で再配分するものであり、能力のある機器を最初に手にする主体は個人ユーザーよりも国家か大企業である可能性がはるかに高い。それは許可不要な結果とは呼べない。

凍結するには、指定したブロック高以降、量子脆弱なアウトプットタイプからの使用を受け付けないコンセンサスルールが必要になる。これにより休眠している供給を盗難から守り、恒久的に使用不能にする。コインは新たに生成されないため、供給上限の物語自体は無傷のまま残るが、プロトコルのルール変更が特定のアウトプットから使用権を恒久的に剥奪することになる。後になって正当に秘密鍵が回収されたとしても、そのコインはロックされたままだ。

Pruden氏自身が好むのは第三の選択肢だ。彼は休眠コインを供給曲線の末尾に再投入し、サブシディがゼロに近づいた後もマイナーへのインセンティブを延長するべきだと主張しており、これは明確に没収にあたると認めた上で、市場とコミュニティが決めるべき問題だと強調した。この工学的な魅力は明らかだ。ビットコインの長期的なセキュリティ予算は、ブロックサブシディに代わって手数料収入が担う構造への移行にかかっているが、この移行が成功するという確証はまだない。休眠コインの再投入は、量子脆弱性をハッシュレートを支える数十年分の追加発行に変換することになる。

そのコストは、説得力のある理由さえあればプロトコルが特定の残高の所有権を再割り当てできるという前例を作ってしまうことだ。ビットコインの通貨としての信頼性は2100万枚の上限だけに支えられているわけではなく、コンセンサスルールが残高を再割り当てしないという保証にも支えられている。休眠と脆弱性が組み合わされば再配分が正当化されるという前例は、将来別の理由による議論を招く。どちらの選択肢が通貨としての信頼性への損傷がより小さいかという点では、凍結の方が再投入よりも前例として狭いと言える。凍結は誰にも価値を移転することなく使用可能性を除去するだけであり、理論上は後のルール変更によって凍結を解除することもできるが、再発行されたコインを回収することはできない。とはいえ凍結にも、誰のコインを凍結するかを決める必要があり、アドレスタイプや保有期間によって線引きをすれば、単に活動していなかっただけの生存中の保有者を巻き込むリスクがある。

この力学は、Pruden氏が意図した方向でTaprootとの比較を特にはっきりさせる。Taprootは複雑な工学的課題ではあったが、社会的な合意は単純だった。ポスト量子移行は複雑な工学的課題であると同時に、ビットコインがこれまで解決したことのない社会的な問いに結びついており、その決定を無期限に先送りすることはできない。手を付けないままにすることは、結局のところ攻撃者にその決定を委ねることになるからだ。

## UTXOモデルがアカウントモデルより難しい理由

*[Figure: img6]*

ビットコインとアカウントベースのチェーンの間にある構造的な違いは、同じ暗号学的脅威が根本的に異なる移行課題を生む理由を説明する。証拠の範囲をはっきりさせておくと、Ethereumに専任のポスト量子チームがあるという主張や、具体的なアカウント抽象化による移行ロードマップについての主張は情報源で確認できておらず、我々は特定のプロジェクトのタイムラインを報告するのではなく、根底にあるデータモデルから厳密に推論している。

ビットコインでは、認証条件はアウトプットそのものの一部である。UTXOはスクリプトと金額を組み合わせたものであり、その価値がどう認証されるかを変える唯一の手段は、それを使用して異なるスクリプトを持つ新しいアウトプットを構築することだ。UTXOをそのままにしてコインの使用条件を変更するプロトコル操作は存在しない。使用には既存の秘密鍵による署名が必要であり、これが中核的な脆弱性の罠を形成しており、なおかつ能動的な所有者を必要とする。

アカウントモデルでは、残高は永続的な識別子上に存在し、認証ロジックはその識別子に紐づく状態である。このロジックがハードコードされたプロトコルルールではなくスマートコントラクトのコードとして実行される場合、残高を動かすことなく検証方法を更新できる。スマートコントラクトアカウントは既にこの能力を利用して、基礎となる資産を動かすことなく署名者をローテーションしたり検証ロジックを変更したりしている。こうしたアカウントにとってポスト量子アップグレードは資金移転ではなくロジックの移行であり、大量スイープによる手数料圧力を回避し、露出した旧公開鍵をブロードキャストする必要もなくなる。

これが完全な解決策にならない理由が3つある。認証ルールがプロトコルレベルでECDSAに固定されているexternally owned accountsは、ビットコインと同じ根本的な課題に直面しており、アカウントベースのネットワーク上でも依然として価値の相当な割合を占めている。アップグレード可能な認証ロジックはそれ自体新たな攻撃対象領域を生み、量子攻撃者が操作しうるアップグレードメカニズムは深刻なリスクをもたらす。最後に、どちらのアーキテクチャでも、鍵を失った所有者はアップグレードを開始できないため、休眠コインのジレンマは両方のパラダイムを通じて残り続ける。アカウントモデルは能動的な保有者にとっての移行経路を単純化するが、放棄された資産をめぐるガバナンス上のジレンマを解決するわけではない。

## 実際に進展を示すことになるもの

注目すべき具体的な指標は、それを取り巻く一般的な議論よりも狭い。

第一に、ポスト量子アウトプットタイプが草案の仕様のままにとどまらず、具体的な有効化の道筋を得るかどうかだ。マージされたBIPと稼働中のコンセンサスルールは別の節目であり、検証済みの報道が確認しているのはBIP-360が2025年に提案されたという事実だけだ。Bitcoin Coreにおける現在の位置づけと、段階的移行案の具体的な内容の確認が、公開情報の追跡における最大のギャップとして残っている。

第二に、選定された署名方式が正式なパラメータセットと実測されたwitnessサイズとともに公表されるかどうかだ。これらのベンチマークが得られるまで、ポスト量子ビットコインのスループット能力に関する主張は憶測の域を出ない。Liquidの稼働中のハッシュベース実装は最も近い実証的な参照点であり、そこから得られる署名パフォーマンスや鍵状態追跡についての検証可能なデータは、さらなるタイムライン予測よりも技術的な議論に資するだろう。

第三に、主要なカストディアンが明確な日付を伴う正式な移行スケジュールを公表するかどうかだ。深い機関準備金にわたるコールドストレージの鍵ローテーションはクリティカルパスであり、最大の残高を管理する機関ほど運用手続きが最も遅くなる一方で、早く着手すべき最も強い動機を持つ。2026年半ばの時点でこれらが公の議論に登場していないことは、非公式な開発者の意識調査よりも、目先の緊急性についてはるかに明確なシグナルを与える。

第四に、休眠コインの問題が議論のための制度的な場を得るかどうかだ。現時点でそうした場は存在しない。Pruden氏はコイン再投入の提案を個人的な立場として提示し、市場が決めることになると述べたが、これは実際にそのような決定を下す正式なメカニズムが存在しないことを正確に反映している。500万枚のコインの使用可能性を変えるコンセンサス変更は、通常のソフトフォーク有効化サイクルでは解決できず、その議論のための場が存在しないことが、根底にある暗号学的な課題そのものよりも、移行に対するより直接的な制約となっている。

分析上、未解決の食い違いが一つ残っている。Pruden氏によるリスクにさらされているデジタル資産のおよそ2.3兆ドルという見積もりは、明確な方法論を伴わない大まかな枠組みであり、量子リスクにさらされているビットコインに特化してよく引用されるおよそ7000億ドルという見積もりと対照をなしている。この2つの数字は評価対象とする資産の範囲が異なっており、どちらの数字にも、どのアウトプットタイプをいつの時点で評価したのかを示す公開の台帳集計は付いていない。エクスポージャーのリスクを評価しようとする機関は、まずこの集計の基準を必要とする。正確なパラメータが測定されないままの移行は、予算を組むのが難しく、信頼できるスケジュールを立てることも不可能だからだ。

## 参考文献

- [Bitcoin's post-quantum migration will be harder than Taproot and needs to start now, Project Eleven CEO says](https://www.coindesk.com/tech/2026/05/06/bitcoin-s-post-quantum-migration-will-be-harder-than-taproot-and-needs-to-start-now-project-eleven-ceo-says), CoinDesk, May 6, 2026.