Hvornår vil kvantecomputere bryde Bitcoin ECDSA?

Hvornår vil kvantecomputere bryde Bitcoin ECDSA? Svaret afhænger af ét tal, og i marts 2026 blev det tal næsten halveret: 1.200 til 1.450 logiske qubits. Det er tærsklen Google Quantum AI, der arbejder med Ethereum Foundation og Stanford, etableret til at køre Shor's algoritme mod Bitcoin's secp256k1 elliptiske kurve og udlede private nøgler fra offentlige nøgler i polynomisk tid - og disse kredsløb passer ind i færre end 500.000 fysiske qubits, færdiggøres minutter. Nuværende industrikøreplaner fra IBM og Google placerer ankomsten af ​​fejltolerante systemer i denne skala i 2029 til 2033 vindue. Men uret startede længe før kvantecomputere når den tærskel - for høsten er allerede i gang.

Bitcoin's ECDSA signaturskema har beskyttet netværket siden 3. januar 2009. Det er aldrig blevet brudt af klassiske computere. Men ECDSA blev aldrig designet til at overleve kvantecomputere. Shor's algoritme knækker ikke ECDSA gennem brute force - den opløser det matematiske fundament, ECDSA var bygget på. Det elliptiske kurvediskrete logaritmeproblem går fra "beregningsmæssigt umuligt" til "løst på timer."

Denne analyse undersøger præcis, hvornår dette sker, hvilke Bitcoin er i umiddelbar risiko, hvorfor opgradering er sværere end nogen indrømmer, og hvordan post-kvantekryptografi - specifikt SPHINCS+ (NIST FIPS 205) og Kyber-768 (NIST FIPS 203) — giver det eneste matematisk verificerede forsvar.

Sådan bryder Shor's algoritme Bitcoin ECDSA

Hver Bitcoin-transaktion kræver en digital signatur, der beviser ejerskab af den private nøgle, der kontrollerer ubrugte output. Bitcoin bruger ECDSA (Elliptic Curve Digital Signature Algorithm) over secp256k1 kurve — en Koblitz-kurve, der fungerer på et 256-bit primefelt.

Sikkerhedsmodellen er elegant på klassisk hardware: givet en offentlig nøgle Q = kG (hvor k er den private nøgle og G er generatorpunktet), at finde k kræver løsning af det elliptiske kurvediskrete logaritmeproblem (ECDLP). Klassiske computere har brug for cirka 2¹²⁸ operationer - mere end atomerne i det observerbare rum.

Shor's algoritme udsletter dette:

Dette er ikke spekulativt. Peter Shor udgav algoritmen i 1994. Den er blevet matematisk bevist, peer-reviewet i tre årtier og demonstreret i små skalaer på eksisterende kvantehardware. Den eneste barriere er qubit-antal og fejlkorrektion - barrierer, der falder hvert kvartal.

Bitcoin ECDSA Quantum Attack Timeline

Forståelse af, hvornår kvantecomputere bryder Bitcoin ECDSA, kræver sporing af fire konvergerende baner: fysiske qubit-tællinger, fejlkorrektionsrater, logiske qubit-udbytter og algoritmeoptimering.

Hvorfor den fjerne ende af vinduet er det forkerte tal at fokusere på

Den offentlige tidslinje er en distraktion. Tre faktorer komprimerer det reelle trusselvindue:

1. Klassificerede programmer: Regeringens kvantecomputerprogrammer opererer år forud for offentliggjorte akademiske kapaciteter. NSA har investeret i kvanteberegning siden mindst 2014 (Snowden-dokumenter). Googles Willow-chip blev annonceret offentligt, men klassificerede programmer har ingen oplysningskrav.
2. Algoritme optimering: Tærsklen er ikke fast - den falder. Roetteler et al. sætte secp256k1 på ~2.330 logiske qubits i 2017; i marts 2026 havde Google Quantum AI kompileret det til 1.200-1.450. På RSA-siden reviderede Gidney RSA-2048 fra 20 millioner qubits og 8 timer (2019) til færre end 1 million støjende qubits på under en uge (maj 2025). Hvert år hardwaren stiger, falder kravet for at opfylde det. Bitcoin's kurve er det billigere mål af de to.
3. Høst nu, dekrypter senere: Dette er truslen, der gør tidslinjer irrelevante.

Høst nu, dekrypter senere: Dine ECDSA-signaturer er allerede fanget

Hver gang en Bitcoin-transaktion udsendes, er afsenderens offentlig nøgle skrives permanent til blockchain. Dette er ikke metadata - det er et matematisk input, der kræves af ECDSA signaturverifikation. Det eksisterer i hver fuld node, hvert arkiv, hver blockchain explorer, for evigt.

Efterretningstjenester, der opererer under høst nu, dekrypter senere (HNDL) doktrin behøver ikke en kvantecomputer i dag. De har brug for en harddisk. Blockchain er offentlig. Hver eneste ECDSA-signatur, der nogensinde er udsendt, er allerede høstet — efter design.

Når en kryptografisk relevant kvantecomputer (CRQC) kommer online - hvad enten det er i 2029, 2031 eller 2033 - behøver angriberen ikke at opsnappe nye transaktioner. De kører Shor's algoritme mod de offentlige nøgler, de har indsamlet i årevis. Din 2024 Bitcoin-transaktion er angrebet i 2032. Høsten skete i fortiden. Dekrypteringen sker i fremtiden.

Hvor mange Bitcoin er umiddelbart sårbare?

Ikke alle Bitcoin-adresser har samme kvanterisiko. Sårbarheden afhænger af, om den offentlige nøgle er blevet afsløret:

Glassnodes folketælling for maj 2026 6,04 millioner BTC - 30,2% af alle Bitcoin, omkring 469 milliarder dollars - sidder på adresser med synlige offentlige nøgler: 1,92 millioner strukturelt eksponeret i P2PK-output, 4,12 millioner operationelt eksponeret gennem adressegenbrug. Omtrent 1,7 millioner BTC sidder i tidlige P2PK-adresser, inklusive Satoshi Nakamotos anslåede 1,1 millioner. Af de fulde 6,04 millioner er omkring 2,3 millioner irreversibelt i fare - indehaverne er væk, og mønterne kan aldrig flyttes i sikkerhed - mens omkring 3,7 millioner stadig kan migrere. Disse P2PK-mønter vil være de første, der falder.

"Mempool race"-kategorien er lige så ødelæggende: Enhver Bitcoin-transaktion, der er i gang, når kvantecomputere når ECDSA-breaking-evnen, bliver angrebbar i løbet af ~10 minutter mellem udsendelse og blokbekræftelse. Googles kompilerede kredsløb kører ind minutter — behageligt inde i det vindue. En kvanteangriber udleder den private nøgle fra den synlige offentlige nøgle og udsender en konkurrerende transaktion med et højere gebyr.

Hvorfor Bitcoin ikke nemt kan erstatte ECDSA

Det åbenlyse spørgsmål: hvorfor opgraderer Bitcoin ikke bare? Svaret afslører den grundlæggende arkitektoniske fejl, der adskiller prækvantekæder fra postkvantekæder.

1. Hård gaffel påkrævet

ECDSA er ikke et plugin. Det er indlejret i Bitcoin's transaktionsformat, scriptsprog, adresseafledning og konsensusregler. Udskiftning af den kræver en bagud-inkompatibel hård gaffel — den mest politisk omstridte opgraderingstype i Bitcoin's historie. SegWit aktivering tog 4 år. Pælerod tog 3 år. En erstatning for fuld signaturordning? Der er ikke engang blevet foreslået nogen tidslinje.

2. Signaturstørrelseseksplosion

Bitcoin ECDSA signaturer er 64-72 bytes. Post-kvante alternativer:

• SPHINCS+ (SLH-DSA): 7.856 bytes - 109x større
• Dilithium (ML-DSA): 2.420 bytes - 34x større
• FALK: 666 bytes — 9 gange større (men prøveudtagningssårbarheder)

Hver mulighed øger transaktionsstørrelsen dramatisk, reducerer gennemløbet og øger lagerkravene til fulde noder. Bitcoin's grænse på 1 MB blokstørrelse (4 MB med vidnedata) betyder, at postkvantetransaktioner vil reducere kapaciteten med 80-95 %.

3. Legacy-adresseproblemet

Selv efter en hypotetisk opgradering, mønter på adresser med allerede synlige offentlige nøgler kan ikke beskyttes med tilbagevirkende kraft. Tabte tegnebøger, afdøde indehavere, inaktive adresser og Satoshis mønter - cirka 2,3 millioner BTC af de 6,04 millioner afslørede, irreversibelt - bliver permanente tyverimål uanset protokolopgraderinger. ECDSA-signaturerne er på kæden for evigt.

4. Ingen styringsmekanisme

Bitcoin har ingen formel styringsproces for nødprotokolændringer. Kerneudvikling foregår ved grov konsensus. Nodeoperatører, minearbejdere, børser og tegnebogsudviklere skal alle uafhængigt opgradere. Brudt koordination betyder, at ældre noder kan afvise kvanteresistente transaktioner, hvilket skaber kædeopdelinger.

ECDSA vs Post-Quantum Signaturer: Teknisk sammenligning

Hvad sker der den dag, kvantecomputere går i stykker Bitcoin ECDSA

Det første vellykkede kvanteangreb på secp256k1 vil ikke blive annonceret. Det bliver det observeret. Her er kaskaden:

1. Fase 1 — Lydløs ekstraktion: Angriberen (sandsynligvis en nationalstat) dræner stille og roligt værdifulde P2PK-adresser. Satoshis mønter bevæger sig. Sovende hvalpunge tomme. Ingen offentlig meddelelse - blot beviser på kæden for, at sovende nøgler pludselig er aktive.
2. Fase 2 — Markedsgenkendelse: On-chain analytikere opdager mønsteret. Sociale medier bryder ud. Bitcoin-prisen går i frit fald, efterhånden som "kvante er her"-realiseringen spreder sig. Hver udveksling stopper udbetalinger.
3. Fase 3 — Racing angreb: Flere kvantekompatible aktører konkurrerer om at dræne resterende udsatte adresser. Mempool-transaktioner bliver angrebsmål - offentlige nøgler, der er afsløret i ubekræftede transaktioner, får deres private nøgler udledt før næste blokering.
4. Fase 4 — Forslag til nødgaffel: Bitcoin Core-udviklere skynder sig at foreslå kvanteresistente signaturordninger. Men test tager år. Konsensus tager år. Kæden brister mellem dem, der opgraderer, og dem, der ikke gør.
5. Fase 5 - Smitte: Hver kryptovaluta, der bruger ECDSA, Ed25519 eller en hvilken som helst elliptisk kurvealgoritme, står over for samme skæbne. Ethereum, Litecoin, Bitcoin Cash, Monero - alle deler den samme grundlæggende sårbarhed. Billioner i værdi fordamper.

De eneste aktiver, der forbliver uberørte, er dem, der er sikret ved post-kvantekryptografi fra starten - specifikt, NIST FIPS 203 (Kyber-768) og NIST FIPS 205 (SPHINCS+). Når kvantecomputere knækker Bitcoin ECDSA, oplever SynergyX tirsdag.

Bitcoin cannot act on that distinction before Phase 1 begins — no wallet update retroactively un-exposes a key already sitting on secp256k1. An individual holder can. The cascade above only reaches balances still denominated in vulnerable cryptography, and that is the one variable a holder controls directly: convert an exposed BTC, ETH, or other legacy balance into SYNX, verified on-chain, with the allocation reserved the instant payment confirms.

Det eneste forsvar: Kvanteresistent fra Genesis

Postkvantemigrering er ikke kvanteresistent design. Sondringen er kritisk:

• Migration betyder boltning af kvantebestandig kryptografi på en kæde, der er bygget på ECDSA. Det betyder hårde gafler, ældre sårbarheder, mange års debat om forvaltning og et vindue af sårbarhed under overgangen.
• Kvanteresistent fra genesis betyder, at hver transaktion, hver signatur, hver nøgleudveksling har været kvantesikker siden den første blok. Ingen migration. Ingen ældre adresser. Ingen HNDL eksponering. Intet vindue.

SynergyX implementerer denne arkitektur:

• Digitale signaturer: SPHINCS+ (NIST FIPS 205 SLH-DSA) — hash-baserede, 7.856-byte kvantesikre signaturer. Sikkerheden hviler på kollisionsmodstanden i SHA-256/SHAKE-256, ikke på noget gruppeteoretisk problem, der er sårbart over for Shor's algoritme.
• Nøgleindkapsling: Kyber-768 (NIST FIPS 203 ML-KEM) — gitterbaseret nøgleindkapsling med IND-CCA2-sikkerhed. Det underliggende Modul Learning With Errors-problem har ingen kendt effektiv klassisk eller kvantealgoritme.
• Kvantesikker siden: Genesis blok 1. Ikke en køreplan. Ikke "planlagt til 3. kvartal 2027." Operationel og verificeret i dag.
• Intet ældre problem: Der er ingen ECDSA-adresser i SynergyX. Nul eksponerede prækvante offentlige nøgler. Nul HNDL angreb overflade.

Disse er ikke eksperimentelle eller proprietære algoritmer. Det er de de samme NIST-standardiserede algoritmer, som den amerikanske regering valgte til at beskytte klassificeret kommunikation. Otte års peer review. Hundredvis af kryptografer. Standardiseret august 2024. SynergyX implementerede dem, før standarderne blev færdiggjort - og de kompilerede på dag ét.

Hvorfor Quantum ECDSA-tidslinjen accelererer

Fire udviklinger i 2024-2026 komprimerede tidslinjen hurtigere end de fleste fremskrivninger forventede:

Google Willow (december 2024)

Googles Willow-chip - 105 qubits - opnået fejlkorrektion under tærskelværdien, det gennembrud, der gør skalering af kvantecomputere fra hundredvis til tusindvis af logiske qubits til et teknisk problem frem for et fysikproblem. Før Willow gav tilføjelse af flere qubits fejlfrekvenser værre. Efter Willow giver tilføjelse af flere qubits fejlfrekvenser bedre. Det bøjningspunkt ændrer alt.

secp256k1-ressourceestimatet er kollapset (marts 2026)

Google Quantum AI, i samarbejde med Ethereum Foundation og Stanford, kompilerede Shor's algoritme mod secp256k1 i to konkrete kredsløb: 1.200 logiske qubits ved 90 millioner Toffoli-gates eller 1.450 logiske qubits ved 70 millioner Toffoli-gates - og viste, at det hele passer ind færre end 500.000 fysiske qubits, kører på få minutter. Det er ikke en tusindfold fejlkorrektionsomkostninger, der anvendes på en håndviftet logisk optælling; det er et kompileret kredsløb med et fysisk budget tilknyttet. Sammenlign det med 2017 Roetteler-tallet på ~2.330 logiske qubits, og kravet er næsten halveret på under et årti. En uafhængig Caltech/Oratomic-analyse gik videre og satte det samme angreb på nogenlunde 26.000 fysiske qubits på neutral-atom hardware over omkring ti dage.

Microsoft Topologiske Qubits (2025)

Microsofts topologiske qubit-tilgang producerer qubits med iboende lavere fejlfrekvenser, hvilket skærer den fysisk-til-logiske overhead yderligere ned. Hver reduktion trækker budgettet med mindre end 500.000 fysiske qubit for secp256k1 ned mod de lave titusinder - det regime, som neutralatom-estimatet allerede besætter, og godt inden for, hvad køreplanerne for 2029-2033 projekterer.

PsiQuantum fotonisk arkitektur

PsiQuantums fotoniske kvanteberegningstilgang er målrettet mod 1 million fysiske qubits ved hjælp af eksisterende halvlederfabrikationsfaciliteter. I modsætning til superledende tilgange, der kræver millikelvin-temperaturer, fungerer fotoniske qubits ved stuetemperatur ved optiske frekvenser, hvilket muliggør hurtigere skalering.

Disse samtidige fremskridt - fejlkorrektion, et kollapsende ressourceestimat, iboende stabilitet og produktionsskala - konvergerer på en enkelt konklusion: en kryptografisk relevant kvantecomputer ankommer inden for 2029-2033-vinduet, og den ærlige planlægningsantagelse er den nære ende af den, ikke den fjerne ende.

Hvad du skal gøre, før kvantecomputere går i stykker Bitcoin ECDSA

Den optimale respons afhænger af, hvor meget eksponering du har, og hvad din risikotolerance er. Men én ting er universel: vent ikke på bekræftelse af, at kvantecomputere kan bryde ECDSA. På det tidspunkt, hvor det er bekræftet offentligt, er høsten allerede blevet udført.

1. Vurder din ECDSA eksponering: Kontroller, om dine Bitcoin-adresser har synlige offentlige nøgler. Enhver adresse du nogensinde har sendt fra har en synlig nøgle på kæden. Genbrug af adresser forstærker risikoen.
2. Forstå HNDL-vinduet: Dine tidligere transaktioner er allerede registreret. Fremtidig beskyttelse kræver overgang til kvanteresistent kryptografi før din næste transaktion.
3. Vurder kvanteresistente alternativer: Se efter kæder, der bruger NIST-standardiserede post-kvantealgoritmer (FIPS 203, FIPS 205) - ikke proprietære eller ikke-gennemgåede skemaer. Bekræft, at kvanteresistens er fra genese, ikke en planlagt migration.
4. Min med formål: SynergyX's SerendipityX-minealgoritme (Argon2id, 2 GB hukommelseshard) er kun CPU - enhver bærbar computer kan mine. Nul gas gebyrer. Ingen KYC. Kvantebestandig fra dag ét. Adgangsbarrieren er at tænde en computer.

Matematikken er ikke tvetydig

Spørgsmålet "hvornår vil kvantecomputere bryde Bitcoin ECDSA?" har et matematisk svar. Shor's algoritme løser ECDLP i polynomiel tid. Den eneste variabel er, hvornår hardware indhenter algoritmen. Hardware er ved at indhente det. Google beviste fejlkorrektionsskalaer. Microsoft bygger iboende stabile qubits. PsiQuantum fremstiller i halvlederskala.

Spørgsmålet er ikke if. Det er det når. Og svaret er hurtigere end de konservative skøn siger.

Når den dag kommer, står aktiver på ECDSA-kæder over for tilbagevirkende, irreversibelt kompromis. Aktiver på kæder bygget med NIST post-kvantekryptografi fra genesis står ikke over for noget. Matematikken forhandler ikke. Blockchain lyver ikke. Og høsten er allerede færdig.

Det eneste tilbageværende spørgsmål er, hvilken side af tidslinjen du står på, når tærsklen er overskredet.