BIP-360とは、ビットコインを量子コンピュータの脅威から守るために提案された、新しいアドレス（出力）タイプの仕様です。2026年2月に名称が「P2MR（Pay-to-Merkle-Root）」へ変更され、公式のBIPリポジトリに掲載されました。
ただし現在のステータスは「Draft（草案）」であり、有効化の時期は決まっていません。この提案ひとつでビットコインが完全な量子耐性を手に入れるわけでもない、という点も見落とされがちです。
この記事では、BIP-360が何を解決して何を解決しないのかを、公式仕様書の記述に沿って整理します。専門用語はできるだけかみ砕いていきますので、技術に明るくない方もそのまま読み進めてみてください。
BIP-360とは？ビットコインの量子耐性を高める改善提案
まずは提案の全体像から押さえておきましょう。BIP-360は「ビットコインの弱点をひとつだけ、確実に潰す」ことを狙った、意外なほど地味で保守的な提案です。
P2MR（Pay-to-Merkle-Root）という新しい出力タイプ
BIP-360が導入しようとしているのは、P2MR（Pay-to-Merkle-Root）と呼ばれる新しい出力タイプです。出力タイプというのは、ざっくり言えば「ビットコインを受け取るときの鍵のかけ方の種類」だと考えてください。
現在よく使われているP2TR（Pay-to-Taproot、いわゆるTaprootアドレス）には、鍵そのものを使って直接送金する「キーパス支払い」という経路があります。この経路が、量子コンピュータに対する弱点になっているのです。
P2MRは、そのキーパス支払いを取り除いたTaprootだと理解するとスッキリします。仕様書でも「P2TR出力とほぼ同じ機能を持つが、量子脆弱なキーパス支払いを削除したもの」と説明されています。
スクリプトツリーやTapscriptといったTaprootの便利な機能はそのまま使えるため、Lightning NetworkやBitVMなど既存の技術との相性も保たれる設計になっています。
提案者とステータスは「Draft（草案）」
BIP-360の著者は、Hunter Beast氏、Ethan Heilman氏、Isabel Foxen Duke氏の3名です。仕様書のヘッダー情報を見ると、次のように整理されています。
- Layer：Consensus（soft fork）＝ソフトフォークによる合意層の変更
- Status：Draft（草案）
- Type：Standards Track
- Created：2024年12月18日
- Requires：BIP 340／341／342（Schnorr署名・Taproot・Tapscript）
注目したいのは「ソフトフォーク」である点でしょう。ハードフォークと違ってチェーンが分岐せず、古いノードとも互換性を保ったまま導入できます。既存の利用者が強制的に何かを迫られる提案ではありません。
一方で、ステータスはまだDraftのままです。ビットコインの仕様変更は議論と検証に何年もかける文化があるため、この段階から実際の有効化までには相応の時間がかかると見ておくのが現実的だと思います。
参考：BIP 360: Pay-to-Merkle-Root (P2MR)（bip360.org）
名称がP2QRH→P2TSH→P2MRと変わってきた経緯
BIP-360を調べていると、記事によって呼び名がバラバラで混乱するかもしれません。これは提案そのものが大きく作り直されてきたためです。公式の変更履歴には、次のような流れが記録されています。
- 2024年12月：BIP番号が割り当てられる（当初はP2QRH＝Pay to Quantum Resistant Hash）
- 2025年7月：ポスト量子署名を含む設計から、Taprootのキーパス支払いを削除する方式へ転換
- 2025年9月：内容を全面的に書き直し、名称をP2TSHへ変更
- 2026年2月10日：名称をP2MR（Pay-to-Merkle-Root）へ変更
つまり「BIP-360はFALCONやCRYSTALS-Dilithiumといったポスト量子署名を採用する」と書かれた記事は、2025年前半までの古い情報にもとづいています。日本語の解説記事にはこの古い説明が残っているケースがあるため、読むときは更新日を確認してみてください。
なぜBIP-360が必要なのか？量子コンピュータと公開鍵の関係
そもそも、なぜビットコインが量子コンピュータを警戒しなければならないのでしょうか。ここを理解すると、BIP-360の設計意図がぐっと腑に落ちます。
Shorのアルゴリズムが楕円曲線暗号を破る仕組み
ビットコインの署名は、secp256k1という楕円曲線暗号（ECC）にもとづいています。秘密鍵から公開鍵を計算するのは簡単でも、公開鍵から秘密鍵を逆算するのは事実上不可能、という一方通行の性質が安全性の土台です。
ところが1994年にPeter Shor氏が発表した「Shorのアルゴリズム」は、十分な性能を持つ量子コンピュータ上で、この逆算（離散対数問題）を古典的な計算より指数関数的に速く解いてしまいます。公開鍵から秘密鍵が導かれる状態を、仕様書では「量子鍵回復」と呼んでいます。
ここで重要なのは、危険にさらされるのは「公開鍵がブロックチェーン上に見えている場合」だけという点です。公開鍵がハッシュの裏に隠れているうちは、Shorのアルゴリズムでも手が出せません。
つまり量子リスクとは「ビットコイン全体が一斉に壊れる」話ではなく、「公開鍵が露出したコインから順に危なくなる」話なのです。
量子コンピュータに脆弱なBTCはどのくらいあるのか
では、公開鍵がすでに露出しているBTCはどれくらいあるのでしょうか。調査主体によって推計に幅があり、おおむね全供給量の25〜30％程度（約400万〜700万BTC）という数字が並んでいます。
幅が出る理由は、集計の線引きが違うからです。2009〜2011年頃のP2PK（公開鍵直書き）形式だけを数えるのか、使い回されたアドレスまで含めるのかで、結果は大きく変わります。
さらに厄介なのが、この中に「動かしたくても動かせないコイン」が含まれている点でしょう。サトシ・ナカモト氏のものとされる約100万BTCをはじめ、秘密鍵が失われたウォレットの資金は、誰も移行させられません。
BIP-360をはじめとする提案が今から議論されているのは、こうした移行の難しさを見越してのことだと言えます。
各国政府の「脱ECDSA」方針という外圧
ビットコインコミュニティの内輪の議論だけで動いているわけではありません。BIP-360の仕様書は、政府機関の方針を導入の背景として明記しています。
- CNSA 2.0：ソフトウェアやネットワーク機器を2030年までにポスト量子方式へ移行。ブラウザとOSは2033年まで
- NIST IR 8547：米国連邦政府において、2035年以降は楕円曲線暗号の使用を認めない方針（ハイブリッド利用を除く）
要するに、量子耐性への移行は暗号業界だけの話題ではなく、社会インフラ全体の期限付き課題になりつつあります。ビットコインだけが従来の暗号方式にとどまり続けるのは、現実的ではないという判断が背景にあるわけです。
仕様書の著者たちも「量子コンピュータが実際に脅威にならなかったとしても、脅威の可能性そのものがビットコインへの信頼に影響しうる」と述べており、備えること自体に価値を置いています。
BIP-360の仕組みをわかりやすく解説
ここからは技術的な中身に踏み込みます。とはいえ暗号の数式は出てきませんので、構造のイメージだけ掴んでいただければ十分です。
Taprootからキーパス支払いを取り除いた設計
Taproot（P2TR）のアドレスは、内部鍵と呼ばれる公開鍵を調整した値そのものが記録される構造になっています。つまりアドレスの中身が公開鍵であるため、一度も送金していなくても公開鍵が露出した状態に置かれてしまうのです。
P2MRは、この内部鍵を最初から持ちません。代わりにスクリプトツリーのMerkleルート（32バイトのハッシュ値）だけをコミットする構造を採用しています。
ハッシュは量子コンピュータに対して比較的強いと考えられており、仕様書でもP2MRの安全性は「256ビットハッシュによる128ビットの衝突耐性と256ビットの原像計算困難性」と説明されています。これはP2WSHと同水準です。
結果として、支払い方法はスクリプトパス支払いの一本に絞られます。Taprootの「速くて安い経路」を捨てる代わりに、公開鍵の露出という弱点を消したかたちですね。
アドレスはbc1zで始まるSegWit version 2
P2MRアドレスの見た目も変わります。SegWit version 2を使うため、Bech32mの規則にしたがってメインネットのアドレスは「bc1z」で始まります。
現在よく見かけるアドレスと並べると違いがはっきりします。
- bc1q：P2WPKH／P2WSH（SegWit v0）
- bc1p：P2TR（Taproot、SegWit v1）
- bc1z：P2MR（BIP-360で提案、SegWit v2）
互換性についても配慮されています。SegWit version 2に未対応の古いノードからは、この出力は「誰でも使用可能」に見えるものの、通常はそうした取引を中継したりマイニングしたりしません。とはいえ受け取り側は、必ず対応済みのウォレットとノードを使う必要があります。
ロングエクスポージャー攻撃とショートエクスポージャー攻撃の違い
BIP-360を正しく理解するうえで、いちばん大切なのがこの区別です。仕様書では量子攻撃を2種類に分けています。
| 攻撃の種類 | 狙われる場面 | 攻撃者に与えられる時間 | BIP-360で防げるか |
|---|---|---|---|
| ロングエクスポージャー攻撃 | チェーン上に公開鍵が露出したまま資金が置かれている状態 | 資金が動かされるまで無制限 | 防げる |
| ショートエクスポージャー攻撃 | 送金トランザクションがmempoolで承認待ちの間 | 数分程度のごく短時間 | 防げない |
ビットコインを送金するときは、どうしても公開鍵を明かす必要があります。そのわずかな時間を突く攻撃がショートエクスポージャー攻撃であり、こちらを防ぐにはポスト量子署名の導入が必要になると仕様書は説明しています。
ただし著者たちは、実現が早いのは時間制限のないロングエクスポージャー攻撃のほうだと見ています。だからこそ「まず先に来る脅威から潰す」という順番を選んだわけです。
アドレス形式別の量子脆弱性を比較
自分の使っているアドレスがどの位置づけなのか、仕様書の一覧をもとに整理しました。ここでいう「脆弱」は、ロングエクスポージャー攻撃に対する脆弱性を指します。
| 出力タイプ | 先頭文字 | ロングエクスポージャー攻撃への脆弱性 | 備考 |
|---|---|---|---|
| P2PK | さまざま | 脆弱 | 初期のマイニング報酬。公開鍵が直接記録されている |
| P2PKH | 1 | 条件付きで安全 | 送金時に公開鍵が露出する |
| P2MS | さまざま | 脆弱 | 公開鍵が露出するマルチシグ形式 |
| P2SH | 3 | 条件付きで安全 | スクリプトが公開鍵を明かすと脆弱になる |
| P2WPKH／P2WSH | bc1q | 条件付きで安全 | 同上 |
| P2TR | bc1p | 脆弱 | 内部鍵が実質的に露出している |
| P2MR | bc1z | 条件付きで安全 | BIP-360で提案中の新形式 |
意外に思われるかもしれませんが、最新のTaproot（bc1p）が脆弱側に分類されています。新しいから安全とは限らない、という点は覚えておいて損はありません。
また「条件付きで安全」と書いた形式も、スクリプトが公開鍵を明かした時点で脆弱になります。拡張公開鍵（xpub）やウォレットディスクリプタの取り扱いにも注意が必要だと仕様書は補足しています。
BIP-360のメリットとデメリット
設計思想がはっきりしている提案なので、長所と短所も明快です。
既存のTaprootコードを流用できる
最大の利点は、ネットワークへの変更が小さくて済むことでしょう。P2MRはP2TRやTapleaf、Tapscriptといった実績あるコードをそのまま活用します。
ウォレット事業者や取引所、ライブラリ開発者にとっては、すでに持っているTaproot対応の仕組みを流用できるため、実装の負担とバグの混入リスクを抑えられます。
さらに、将来ポスト量子署名を導入する際の土台にもなります。Tapscriptに対応したスクリプトツリー型の出力でなければ、ポスト量子版のOP_CHECKSIGを組み込む道筋が作れないためです。P2WSHでは代用できない、という指摘が仕様書でなされています。
手数料とプライバシーのトレードオフ
もちろん代償もあります。まず手数料の面では、Taprootのキーパス支払いと比べてWitnessサイズが大きくなります。
| 支払い方式 | Witnessサイズ（深さ0の場合） | P2MRとの差 |
|---|---|---|
| P2TR キーパス支払い | 66バイト | P2MRのほうが37バイト大きい |
| P2MR | 103バイト | — |
| P2TR スクリプトパス支払い | P2MR＋32バイト | P2MRのほうが32バイト小さい |
Merkleツリーの深さが増えると、control blockにMerkleパスが加わるぶんさらに大きくなります。スクリプトパス支払い同士で比べればP2MRのほうが小さいので、一概に不利とも言い切れません。
プライバシー面では、P2MRを使うと「スクリプトツリーを使って支払っている」ことが必ず相手に伝わります。Taprootのキーパス支払いのように、スクリプト経路の有無を隠す芸当はできなくなるわけです。
BIP-360で解決しないこと
ここが誤解の集まりやすいポイントです。過度な期待も過度な不安も、事実の線引きを知れば整理できます。
ポスト量子署名の導入はまだ含まれない
BIP-360は、ECDSAやSchnorr署名をポスト量子署名に置き換える提案ではありません。あくまで公開鍵の露出を減らすことに焦点を絞っています。
著者たちは公式サイトで、これを「量子耐性を進めるための最初の一歩」と位置づけました。ML-DSAやSLH-DSAといったポスト量子署名については、研究を続けたうえで別途提案する意向を示しています。
したがって「BIP-360が入ればビットコインは量子安全になる」という説明は、残念ながら正確ではありません。防げるのはロングエクスポージャー攻撃までです。
「BIPリポジトリにマージ＝実装決定」ではない
2026年に入り、BIP-360が公式のBIPリポジトリにマージされたというニュースが流れました。ここも読み違えやすいところでしょう。
BIPリポジトリへのマージは「提案として正式に受理され、番号付きで公開された」ことを意味するにすぎません。Bitcoin Coreへの実装が決まったわけでも、有効化のスケジュールが引かれたわけでもないのです。
実際、2026年3月にBTQ Technologies社が独自のテストネット上でBIP-360の実装を稼働させた際も、それはメインネットへの展開ではなく、あくまで検証環境での動作確認という位置づけでした。
BIP-360とBIP-361の関係
量子対策の議論を追うなら、セットで語られるBIP-361にも触れておく価値があります。こちらは技術というより、社会的な合意が問われる提案です。
レガシー署名を段階的に無効化する三段階計画
BIP-361は「Post Quantum Migration and Legacy Signature Sunset（ポスト量子移行とレガシー署名の終了）」という表題の草案で、2026年2月11日に番号が割り当てられました。著者にはCasa共同創業者のJameson Lopp氏らが名を連ねています。
| 段階 | 時期の目安 | 内容 |
|---|---|---|
| Phase A | 有効化から約3年後 | 量子脆弱なアドレスへの新規送金を禁止する |
| Phase B | 有効化から5年後のフラグデー | ECDSA／Schnorr署名による支払いを無効にする |
| Phase C | Phase B以降 | ゼロ知識証明などで所有を証明し、資金を回収できる道を用意する |
狙いは「移行しないと自分の資金が使えなくなる」という個人的な動機を作り出すことにあります。ステータスはDraftで、詳細は今後も変わりうる点にご注意ください。
「凍結」をめぐる賛否
Phase Bまで進むと、移行しなかった資金は事実上凍結されます。ここが激しい論争になっているところです。
賛成派は、量子コンピュータに大量のBTCが奪われて市場に流れ込む事態のほうが危険だと主張します。反対派は、他人の資金を使えなくする変更はビットコインの財産権や中立性を損なうと批判しています。
興味深いことに、BIP-360の仕様書自体は「コインを焼却する議論は本提案の範囲外」と明確に線を引いています。技術的な選択肢を用意する提案と、移行を強制する提案は、別物として扱われているわけです。
参考：BIP 361: Post Quantum Migration and Legacy Signature Sunset（bitcoin/bips）
個人投資家が今からできる量子対策
BIP-360の有効化を待つあいだ、手をこまねいている必要はありません。費用ゼロで効果のある対策が存在します。
アドレスの使い回しをやめる
もっとも効果的で、しかも今日から実行できるのがこれです。P2PKHやP2WPKHのアドレスは、初めて送金した瞬間に公開鍵がチェーン上へ記録されます。
一度使ったアドレスに再び資金を受け取ると、その資金は公開鍵が露出した状態で置かれることになります。受け取りのたびに新しいアドレスを発行する運用に切り替えれば、この露出は避けられるでしょう。
まともなウォレットであれば、受取アドレスは自動で更新されます。手動で同じアドレスを貼り付け直す習慣がある方は、そこを見直してみてください。
自分のBTCが露出していないか確認する
次に、保有中のコインがどの形式で保管されているかを把握しておきましょう。ブロックエクスプローラーで自分のアドレスを検索すれば、形式と送金履歴を確認できます。
- 1から始まるアドレスで、過去に送金したことがある：公開鍵が露出済み
- bc1qから始まり、受け取りのみで一度も送金していない：現時点では露出していない
- bc1pから始まるTaproot：内部鍵が露出しているため注意が必要
ここで慌てて資金を動かす必要はありません。むしろ焦った送金は、手数料の無駄や送金ミスといった、量子コンピュータよりはるかに現実的なリスクを招きます。まずは現状を知るところから始めてください。
BIP-360に関するよくある質問
ビットコインは量子コンピュータで壊れてしまうのですか
現時点の量子コンピュータは、ビットコインの鍵を破れる水準には遠く及びません。破るには非常に多くの安定した量子ビットが必要とされ、既存の機械とは桁が違う性能が求められます。仕様書も特定の時期を予測しない立場を明確にしています。
今すぐアドレスを変更する必要はありますか
急いで移行する必要はありません。そもそもP2MRアドレスはまだ有効化されておらず、移行先が存在しない状況です。今できるのは、アドレスの使い回しをやめて公開鍵の露出を増やさないことに尽きます。
BIP-360はいつ有効化されますか
時期は決まっていません。ステータスはDraftのままで、Bitcoin Coreへの実装や有効化の合意形成もこれからです。Taprootが提案から有効化まで数年を要した経緯を踏まえると、気長に見ておくのが妥当でしょう。
まとめ
BIP-360は、Taprootからキーパス支払いを取り除いた新しい出力タイプ「P2MR」を導入するソフトフォーク提案です。狙いは、公開鍵の露出を減らしてロングエクスポージャー攻撃を防ぐことにあります。
一方で、mempoolを狙うショートエクスポージャー攻撃は防げず、ポスト量子署名の導入も含まれていません。BIPリポジトリへのマージも実装決定を意味するものではない、という点は押さえておきたいところです。
過度に恐れる必要はありませんし、楽観しすぎるのも禁物でしょう。まずはアドレスの使い回しをやめるという、費用ゼロで今日から実行できる対策から手をつけてみてください。それが結果的に、量子時代への一番堅実な備えになります。
コメント