Según tengo entendido los hashes o fragmentos son de 32 caracteres y 1 caracter es = 1 byte, es decir el hash o fragmento = 32 bytes. Si un byte = 8 bits entonces 32 * 8=256 bits
Tienes un error de concepto en el calculo, la sumatoria de verificación MD5 está representa en sistema de codificación hexadecimal y no en bytes, para poder ser mostrada en pantalla con los caracteres ascii básicos, lo que quiere decir que si convertimos cada fragmento o valor hexadecimal tenemos 16 dígitos y por lo tanto 16*8=128 bits, que es la longitud del algoritmo criptográfico.