Kiedy komputery kwantowe przełamią Bitcoin ECDSA?

Kiedy komputery kwantowe przełamią Bitcoin ECDSA? Odpowiedź zależy od jednej liczby, a w marcu 2026 roku liczba ta została zmniejszona niemal o połowę: 1200 do 1450 kubitów logicznych. To próg Google Quantum AI, współpracujący z fundacją Ethereum Foundation i Stanford, ustanowiony w celu porównywania algorytmu Shor z krzywą eliptyczną secp256k1 Bitcoin i wyprowadzania kluczy prywatnych z kluczy publicznych w czasie wielomianowym — a te obwody mieszczą się w środku mniej niż 500 000 kubitów fizycznych, uzupełniając protokół. Aktualne branżowe plany działania opracowane przez IBM i Google umieszczają pojawienie się systemów odpornych na awarie na tę skalę w roku 2029 do 2033 okno. Ale zegar ruszył na długo przed tym, jak komputery kwantowe osiągnęły ten próg – ponieważ żniwa już trwają.

Schemat podpisu ECDSA Bitcoin chroni sieć od 3 stycznia 2009. Nigdy nie został złamany przez klasyczne komputery. Ale ECDSA nigdy nie został zaprojektowany tak, aby przetrwać obliczenia kwantowe. Algorytm Shor nie łamie ECDSA przy użyciu brutalnej siły — rozpuszcza podstawy matematyczne, na których zbudowano ECDSA. Problem logarytmu dyskretnego krzywej eliptycznej zmienia się z „niewykonalnego obliczeniowo” na „rozwiązany w ciągu godzin”.

W ramach tej analizy dokładnie sprawdzamy, kiedy to się dzieje, które Bitcoin są bezpośrednio zagrożone, dlaczego aktualizacja jest trudniejsza, niż ktokolwiek przyznaje, oraz w jaki sposób kryptografia postkwantowa — w szczególności SPHINCS+ (NIST FIPS 205) I Kyber-768 (NIST FIPS 203) — zapewnia jedyną matematycznie zweryfikowaną obronę.

Jak algorytm Shor łamie Bitcoin ECDSA

Każda transakcja Bitcoin wymaga podpisu cyfrowego potwierdzającego własność klucza prywatnego kontrolującego niewykorzystane wyjścia. Używa Bitcoin ECDSA (algorytm podpisu cyfrowego o krzywej eliptycznej) nad secp256k1 krzywa — krzywa Koblitza działająca na 256-bitowym polu pierwszym.

Model bezpieczeństwa jest elegancki na klasycznym sprzęcie: ma klucz publiczny Q = kG (Gdzie k jest kluczem prywatnym i G jest punktem generatora), znalezienie k wymaga rozwiązania problemu logarytmu dyskretnego krzywej eliptycznej (ECDLP). Klasyczne komputery potrzebują około 2¹²⁸ operacji — więcej niż atomów w obserwowalnej przestrzeni.

Algorytm Shor zaciera to:

To nie jest spekulacja. Peter Shor opublikował algorytm w 1994 r. Został on udowodniony matematycznie, recenzowany przez trzydzieści lat i zademonstrowany w małych skalach na istniejącym sprzęcie kwantowym. Jedyną barierą jest liczba kubitów i korekta błędów – bariery, które spadają co kwartał.

Oś czasu ataku kwantowego Bitcoin ECDSA

Zrozumienie, kiedy komputery kwantowe psują się Bitcoin ECDSA, wymaga śledzenia czterech zbieżnych trajektorii: liczby fizycznych kubitów, współczynników korekcji błędów, wydajności kubitów logicznych i optymalizacji algorytmu.

Dlaczego drugi koniec okna to zły numer, na którym należy się skupić

Publiczne harmonogramy odwracają uwagę. Trzy czynniki kompresują okno prawdziwego zagrożenia:

1. Sklasyfikowane programy: Rządowe programy obliczeń kwantowych działają o wiele lat przed opublikowanymi możliwościami akademickimi. NSA inwestuje w obliczenia kwantowe co najmniej od 2014 roku (dokumenty Snowdena). Chip Willow firmy Google został ogłoszony publicznie, ale w programach tajnych nie obowiązują żadne wymogi dotyczące ujawniania informacji.
2. Optymalizacja algorytmu: Próg nie jest stały – spada. Roetteler i in. umieścić secp256k1 na ~2330 kubitów logicznych w 2017 r.; do marca 2026 r. Google Quantum AI skompilował tę liczbę do 1200–1450. Po stronie RSA Gidney skorygował RSA-2048 z 20 milionów kubitów i 8 godzin (2019) do mniej niż 1 miliona hałaśliwych kubitów w niecały tydzień (maj 2025). Z każdym rokiem wzrastający poziom sprzętu zmniejsza wymagania, aby go spełnić. Krzywa Bitcoin jest tańszym celem z tych dwóch.
3. Zbierz teraz, odszyfruj później: To jest zagrożenie, które sprawia, że ​​terminy stają się nieistotne.

Zbierz teraz, odszyfruj później: Twoje podpisy ECDSA są już przechwycone

Za każdym razem, gdy transmitowana jest transakcja Bitcoin, transakcja nadawcy klucz publiczny jest trwale zapisany w łańcuchu bloków. To nie są metadane — to dane matematyczne wymagane do weryfikacji podpisu ECDSA. Istnieje w każdym pełnym węźle, każdym archiwum, każdym eksploratorze blockchain, na zawsze.

Agencje wywiadowcze działające pod zbierz teraz, odszyfruj później (HNDL) doktryna nie potrzebuje dzisiaj komputera kwantowego. Potrzebują dysku twardego. Blockchain jest publiczny. Każdy kiedykolwiek wyemitowany podpis ECDSA został już zebrany — zgodnie z projektem.

Kiedy komputer kwantowy o znaczeniu kryptograficznym (CRQC) zostanie uruchomiony online — czy to w 2029, 2031, czy 2033 — osoba atakująca nie musi przechwytywać nowych transakcji. Uruchamiają algorytm Shor w oparciu o klucze publiczne, które zbierają od lat. Twoja transakcja Bitcoin 2024 została zaatakowana w 2032 roku. Żniwa miały miejsce w przeszłości. Odszyfrowanie nastąpi w przyszłości.

Ile Bitcoin jest natychmiast zagrożonych?

Nie wszystkie adresy Bitcoin niosą ze sobą takie samo ryzyko kwantowe. Podatność zależy od tego, czy klucz publiczny został ujawniony:

Dane ze spisu ludności Glassnode z maja 2026 r 6,04 miliona BTC – 30,2% wszystkich Bitcoin, około 469 miliardów dolarów – znajdujących się pod adresami z ujawnionymi kluczami publicznymi: 1,92 miliona odsłoniętych strukturalnie w wynikach P2PK, 4,12 miliona odsłoniętych operacyjnie poprzez ponowne wykorzystanie adresów. Około 1,7 miliona BTC znajduje się we wczesnych adresach P2PK, w tym około 1,1 miliona Satoshiego Nakamoto. Spośród wszystkich 6,04 mln około 2,3 mln jest nieodwracalnie zagrożone – posiadacze zniknęli, a monet nie można już przenieść w bezpieczne miejsce – natomiast około 3,7 mln może nadal migrować. Te monety P2PK spadną jako pierwsze.

Kategoria „wyścig pamięci” jest równie niszczycielska: każda transakcja Bitcoin w toku, gdy komputery kwantowe osiągną zdolność do łamania ECDSA, staje się możliwa do ataku w ciągu ~10 minut między transmisją a potwierdzeniem bloku. Włączają się skompilowane obwody Google protokół — wygodnie w tym oknie. Osoba atakująca kwantowo uzyskuje klucz prywatny z ujawnionego klucza publicznego i emituje konkurencyjną transakcję za wyższą opłatą.

Dlaczego Bitcoin nie może łatwo zastąpić ECDSA

Oczywiste pytanie: dlaczego Bitcoin po prostu nie zaktualizuje? Odpowiedź ujawnia fundamentalną wadę architektoniczną oddzielającą łańcuchy przedkwantowe od łańcuchów postkwantowych.

1. Wymagany twardy widelec

ECDSA nie jest wtyczką. Jest osadzony w formacie transakcji Bitcoin, języku skryptowym, wyprowadzaniu adresów i regułach konsensusu. Wymiana wymaga a Hard fork niekompatybilny wstecz — najbardziej kontrowersyjny politycznie typ ulepszenia w historii Bitcoin. Aktywacja SegWit trwała 4 lata. Korzeń palowy wziął 3 lata. Pełna wymiana schematu podpisu? Nie zaproponowano nawet żadnego harmonogramu.

2. Eksplozja rozmiaru podpisu

Sygnatury Bitcoin ECDSA mają 64-72 bajty. Alternatywy postkwantowe:

• SPHINCS+ (SLH-DSA): 7856 bajtów — 109 razy więcej
• Dilit (ML-DSA): 2420 bajtów — 34 razy więcej
• SOKÓŁ: 666 bajtów — 9 razy więcej (ale występują luki w zabezpieczeniach próbkowania)

Każda opcja radykalnie zwiększa rozmiar transakcji, zmniejsza przepustowość i zwiększa wymagania dotyczące pamięci masowej dla pełnych węzłów. Limit rozmiaru bloku Bitcoin wynoszący 1 MB (4 MB z danymi świadków) oznacza, że ​​transakcje postkwantowe zmniejszyłyby pojemność o 80–95%.

3. Problem ze starszymi adresami

Nawet po hipotetycznym uaktualnieniu, monety w adresach z już ujawnionymi kluczami publicznymi nie mogą być chronione z mocą wsteczną. Zagubione portfele, zmarli posiadacze, nieaktywne adresy i monety Satoshiego — około 2,3 miliona BTC z 6,04 miliona ujawnionych w sposób nieodwracalny — stają się stałymi celami kradzieży niezależnie od aktualizacji protokołów. Podpisy ECDSA pozostaną w łańcuchu na zawsze.

4. Brak mechanizmu zarządzania

Bitcoin nie ma formalnego procesu zarządzania zmianami protokołu awaryjnego. Rozwój rdzenia opiera się na przybliżonym konsensusie. Operatorzy węzłów, górnicy, giełdy i twórcy portfeli muszą dokonać niezależnej aktualizacji. Zaburzona koordynacja oznacza, że ​​starsze węzły mogą odrzucać transakcje odporne na kwanty, powodując podział łańcucha.

ECDSA a podpisy postkwantowe: porównanie techniczne

Co się dzieje w dniu awarii komputerów kwantowych Bitcoin ECDSA

Pierwszy udany atak kwantowy na secp256k1 nie zostanie ogłoszony. To będzie zauważony. Oto kaskada:

1. Faza 1 — Cicha ekstrakcja: Osoba atakująca (prawdopodobnie państwo narodowe) po cichu wysysa adresy P2PK o dużej wartości. Monety Satoshiego poruszają się. Portfele uśpionych wielorybów są puste. Żadnego publicznego ogłoszenia — tylko dowód w łańcuchu, że uśpione klucze nagle stają się aktywne.
2. Faza 2 – Rozpoznanie rynku: Analitycy w łańcuchu wykrywają wzorzec. W mediach społecznościowych wybucha. Cena Bitcoin spada w miarę rozprzestrzeniania się realizacji „kwant jest tutaj”. Każda giełda wstrzymuje wypłaty.
3. Faza 3 — Ataki wyścigowe: Wiele podmiotów dysponujących zdolnościami kwantowymi rywalizuje o drenaż pozostałych odsłoniętych adresów. Transakcje Mempool stają się celami ataków — klucze publiczne ujawnione w niepotwierdzonych transakcjach uzyskują klucze prywatne przed następnym blokiem.
4. Faza 4 — Propozycje widełek awaryjnych: Twórcy Bitcoin Core spieszą się z zaproponowaniem schematów podpisów odpornych na kwanty. Ale testowanie zajmuje lata. Konsensus zajmuje lata. Łańcuch pęka między tymi, którzy dokonują aktualizacji, a tymi, którzy tego nie robią.
5. Faza 5 — Zarażenie: Każdą kryptowalutę korzystającą z ECDSA, Ed25519 lub dowolnego algorytmu krzywej eliptycznej czeka ten sam los. Ethereum, Litecoin, Bitcoin Cash, Monero – wszystkie mają tę samą podstawową lukę. Biliony wartości wyparowują.

Jedyne aktywa, które pozostają nietknięte, to te zabezpieczone od początku kryptografią postkwantową – w szczególności NIST FIPS 203 (Kyber-768) I NIST FIPS 205 (SPHINCS+). Kiedy komputery kwantowe psują Bitcoin ECDSA, SynergyX doświadcza we wtorek.

Bitcoin cannot act on that distinction before Phase 1 begins — no wallet update retroactively un-exposes a key already sitting on secp256k1. An individual holder can. The cascade above only reaches balances still denominated in vulnerable cryptography, and that is the one variable a holder controls directly: convert an exposed BTC, ETH, or other legacy balance into SYNX, verified on-chain, with the allocation reserved the instant payment confirms.

Jedyna obrona: odporność kwantowa od Genesis

Migracja postkwantowa nie jest projektem odpornym na kwanty. Rozróżnienie jest krytyczne:

• Emigracja oznacza połączenie kryptografii odpornej na kwanty z łańcuchem zbudowanym na ECDSA. Oznacza to hard forki, luki w zabezpieczeniach związane ze starszymi rozwiązaniami, lata debaty na temat zarządzania oraz okres występowania luk w zabezpieczeniach w okresie przejściowym.
• Kwantowo-odporny od genezy oznacza, że ​​każda transakcja, każdy podpis, każda wymiana kluczy jest bezpieczna kwantowo od pierwszego bloku. Żadnej migracji. Brak starszych adresów. Brak ekspozycji na HDL. Brak okna.

SynergyX implementuje tę architekturę:

• Podpisy cyfrowe: SPHINCS+ (NIST FIPS 205 SLH-DSA) — oparte na skrótach, 7856-bajtowe podpisy kwantowo odporne. Bezpieczeństwo opiera się na odporności na kolizje SHA-256/SHAKE-256, a nie na jakimkolwiek problemie teorii grup podatnym na działanie algorytmu Shor.
• Hermetyzacja klucza: Kyber-768 (NIST FIPS 203 ML-KEM) — enkapsulacja kluczy oparta na siatce z zabezpieczeniem IND-CCA2. Podstawowy problem uczenia się modułu z błędami nie ma znanego wydajnego algorytmu klasycznego ani kwantowego.
• Kwantowo bezpieczne od: Blok Genesis 1. Nie jest to element planu działania. Nie „planowano na trzeci kwartał 2027 r.” Dzisiaj sprawny i zweryfikowany.
• Nie ma problemu ze starszymi: W SynergyX nie ma adresów ECDSA. Zero odsłoniętych przedkwantowych kluczy publicznych. Zerowa powierzchnia ataku HNDL.

Nie są to algorytmy eksperymentalne ani zastrzeżone. Są te same algorytmy standaryzowane przez NIST, które rząd USA wybrał do ochrony tajnych informacji. Osiem lat wzajemnej oceny. Setki kryptografów. Standaryzacja w sierpniu 2024 r. SynergyX wdrożył je przed sfinalizowaniem standardów i skompilował je pierwszego dnia.

Dlaczego oś czasu Quantum ECDSA przyspiesza

Cztery wydarzenia w latach 2024–2026 skróciły harmonogram szybciej, niż przewidywała większość prognoz:

Wierzba Google (grudzień 2024 r.)

Osiągnięto chip Willow firmy Google — 105 kubitów korekcja błędów poniżej progu, przełom, który sprawia, że ​​skalowanie komputerów kwantowych od setek do tysięcy kubitów logicznych jest problemem inżynieryjnym, a nie fizycznym. Przed Willow dodanie większej liczby kubitów powodowało wzrost liczby błędów gorzej. W przypadku Willow dodanie większej liczby kubitów powoduje wzrost liczby błędów lepsza. Ten punkt przegięcia zmienia wszystko.

Załamanie szacunków zasobów secp256k1 (marzec 2026 r.)

Google Quantum AI, współpracując z fundacją Ethereum i Stanford, skompilował algorytm Shor przeciwko secp256k1 w dwa konkretne obwody: 1200 kubitów logicznych przy 90 milionach bramek Toffoli lub 1450 kubitów logicznych przy 70 milionach bramek Toffoli — i pokazał, że całość mieści się w środku mniej niż 500 000 kubitów fizycznych, biegnie za kilka minut. Nie jest to tysiąckrotny narzut związany z korekcją błędów zastosowany do ręcznie machanego licznika logicznego; jest to obwód skompilowany z dołączonym budżetem fizycznym. Porównaj to z liczbą Roettelera z 2017 r., wynoszącą ~2330 kubitów logicznych, a zapotrzebowanie zmniejszyło się prawie o połowę w ciągu niecałej dekady. Niezależna analiza Caltech/Oratomic poszła dalej i w przybliżeniu przedstawiła ten sam atak 26 000 kubitów fizycznych na sprzęcie z atomami neutralnymi przez około dziesięć dni.

Kubity topologiczne firmy Microsoft (2025)

Topologiczne podejście firmy Microsoft do kubitów pozwala uzyskać kubity o naturalnie niższym wskaźniku błędów, co jeszcze bardziej zmniejsza obciążenie fizyczne do logicznego. Każda redukcja zmniejsza budżet secp256k1 wynoszący mniej niż 500 000 fizycznych kubitów do dziesiątek tysięcy – poziomu, jaki już obejmuje szacunki dotyczące atomu neutralnego, i który znacznie mieści się w planach działania na lata 2029–2033.

Architektura fotoniczna PsiQuantum

Podejście PsiQuantum oparte na fotonicznych obliczeniach kwantowych skupia się na 1 milionie fizycznych kubitów przy wykorzystaniu istniejących zakładów produkujących półprzewodniki. W przeciwieństwie do metod nadprzewodnictwa, które wymagają temperatur milikelwinów, kubity fotoniczne działają w temperaturze pokojowej przy częstotliwościach optycznych, umożliwiając szybsze skalowanie.

Te jednoczesne postępy – korekta błędów, załamanie szacunków zasobów, wrodzona stabilność i skala produkcji – zbiegają się w jednym wniosku: kryptograficznie istotny komputer kwantowy pojawi się w oknie 2029–2033, a uczciwe założenie planistyczne dotyczy bliskiego końca tego okresu, a nie odległego końca.

Co należy zrobić, zanim komputery kwantowe zepsują się Bitcoin ECDSA

Optymalna reakcja zależy od stopnia ekspozycji i tolerancji ryzyka. Ale jedno jest uniwersalne: nie czekaj na potwierdzenie, że komputery kwantowe mogą złamać ECDSA. Zanim zostanie to potwierdzone publicznie, żniwa już się zakończyły.

1. Oceń swoją ekspozycję na ECDSA: Sprawdź, czy Twoje adresy Bitcoin nie ujawniły kluczy publicznych. Dowolny adres, jaki kiedykolwiek miałeś wysłano from ma odsłonięty klucz w łańcuchu. Ponowne wykorzystanie adresu zwiększa ryzyko.
2. Zrozumienie okna HNDL: Twoje poprzednie transakcje są już zarejestrowane. Przyszła ochrona wymaga przejścia na kryptografię kwantową zanim następną transakcję.
3. Oceń alternatywy odporne na działanie kwantowe: Poszukaj łańcuchów wykorzystujących standaryzowane przez NIST algorytmy postkwantowe (FIPS 203, FIPS 205) — a nie zastrzeżone lub niesprawdzone schematy. Sprawdź, czy opór kwantowy wynika z genezy, a nie z planowanej migracji.
4. Mój z przeznaczeniem: Algorytm wydobywania SerendipityX SynergyX (Argon2id, 2 GB pamięci twardej) wykorzystuje wyłącznie procesor — każdy laptop może kopać. Zerowe opłaty za gaz. Nie KYC. Odporność kwantowa od pierwszego dnia. Barierą wejścia jest włączenie komputera.

Matematyka nie jest dwuznaczna

Pytanie „kiedy komputery kwantowe przełamią Bitcoin ECDSA?” ma matematyczną odpowiedź. Algorytm Shor rozwiązuje ECDLP w czasie wielomianowym. Jedyną zmienną jest to, kiedy sprzęt dogoni algorytm. Sprzęt nadrabia zaległości. Google udowodniło skale korekcji błędów. Microsoft buduje z natury stabilne kubity. PsiQuantum produkuje na skalę półprzewodników.

Pytanie nie if. To jest Kiedy. Odpowiedź brzmi wcześniej, niż mówią konserwatywne szacunki.

Kiedy nadejdzie ten dzień, aktywa w łańcuchach ECDSA staną w obliczu nieodwracalnego kompromisu z mocą wsteczną. Aktywa w łańcuchach zbudowanych przy użyciu kryptografii postkwantowej NIST od firmy Genesis nie mają żadnego znaczenia. Matematyka nie negocjuje. Blockchain nie kłamie. A żniwa są już zakończone.

Pozostaje tylko pytanie, po której stronie osi czasu stoisz, gdy próg zostanie przekroczony.