Коли квантові комп’ютери зламають Bitcoin ECDSA?

Коли квантові комп’ютери зламають Bitcoin ECDSA? Відповідь залежить від одного числа, і в березні 2026 року це число було скорочено майже вдвічі: Від 1200 до 1450 логічних кубітів. Це порогове значення, яке Google Quantum AI, співпрацюючи з Фондом Ethereum і Стенфордським університетом, встановив для запуску алгоритму Shor проти еліптичної кривої secp256k1 Bitcoin і отримання приватних ключів із відкритих ключів за поліноміальний час — і ці схеми вписуються всередину менше 500 000 фізичних кубітів, завершуючи в хвилин. Поточні плани розвитку галузі від IBM і Google передбачають появу відмовостійких систем такого масштабу 2029-2033 вікно. Але годинник почав відлік задовго до того, як квантові комп’ютери досягнуть цього порогу — тому що жнива вже тривають.

Схема підпису ECDSA Bitcoin захищає мережу з 3 січня 2009 року. Класичні комп'ютери її ніколи не зламали. Але ECDSA ніколи не був розроблений, щоб пережити квантові обчислення. Алгоритм Shor не зламує ECDSA за допомогою грубої сили — він руйнує математичну основу, на якій було побудовано ECDSA. Проблема дискретного логарифмування еліптичної кривої переходить від «обчислювально нездійсненної» до «розв’язаної за години».

Цей аналіз досліджує, коли саме це відбувається, які Bitcoin піддаються безпосередньому ризику, чому оновити важче, ніж хтось визнає, і як постквантова криптографія — зокрема SPHINCS+ (NIST FIPS 205) і Kyber-768 (NIST FIPS 203) — забезпечує єдиний математично перевірений захист.

Як алгоритм Shor порушує Bitcoin ECDSA

Кожна транзакція Bitcoin вимагає цифрового підпису, що підтверджує право власності на закритий ключ, що контролює невитрачені виходи. Bitcoin використовує ECDSA (алгоритм цифрового підпису еліптичної кривої) над secp256k1 крива — крива Кобліца, що працює на 256-бітовому простому полі.

Модель безпеки елегантна на класичному обладнанні: надається відкритий ключ Q = кГ (де k є закритим ключем і G є твірною точкою), знаходження k вимагає вирішення проблеми дискретного логарифмування еліптичної кривої (ECDLP). Для класичних комп’ютерів потрібно приблизно 2¹²⁸ операції — більше, ніж атоми у спостережуваному просторі.

Алгоритм Shor стирає це:

Це не спекуляції. Пітер Shor опублікував алгоритм у 1994 році. Він був математично доведений, рецензований протягом трьох десятиліть і продемонстрований у невеликих масштабах на існуючому квантовому обладнанні. Єдиним бар’єром є кількість кубітів і виправлення помилок — бар’єри, які падають щокварталу.

Хронологія Bitcoin ECDSA Quantum Attack

Розуміння того, коли квантові комп’ютери виходять з ладу Bitcoin ECDSA вимагає відстеження чотирьох збіжних траєкторій: кількості фізичних кубітів, частоти виправлення помилок, виходу логічних кубітів та оптимізації алгоритму.

Чому дальній кінець вікна є неправильним номером для фокусування

Публічна шкала часу відволікає увагу. Три фактори стискають вікно реальної загрози:

1. Класифіковані програми: Урядові програми квантового обчислення працюють на роки, випереджаючи опубліковані академічні можливості. АНБ інвестує в квантові обчислення принаймні з 2014 року (документи Сноудена). Чіп Willow від Google був оголошений публічно, але секретні програми не мають жодних вимог до розголошення.
2. Оптимізація алгоритму: Поріг не фіксований — він падає. Roetteler та ін. поставити secp256k1 на ~2330 логічних кубітів у 2017 році; до березня 2026 року Google Quantum AI скоротив їх до 1200-1450. Що стосується RSA, Гідні переглянув RSA-2048 з 20 мільйонів кубітів і 8 годин (2019 рік) до менше ніж 1 мільйона шумних кубітів менш ніж за тиждень (травень 2025 року). З кожним роком апаратне забезпечення зростає, а вимоги до нього падають. Крива Bitcoin є дешевшою метою з двох.
3. Збирайте зараз, розшифруйте пізніше: Це загроза, яка робить часові рамки неактуальними.

Збирайте зараз, розшифровуйте пізніше: ваші підписи ECDSA уже захоплено

Кожного разу, коли транзакція Bitcoin транслюється, відправник відкритий ключ постійно записується в блокчейн. Це не метадані — це математичний вхід, необхідний для перевірки підпису ECDSA. Він існує в кожному повному вузлі, кожному архіві, кожному блокчейн-провіднику, назавжди.

Розвідувальні органи, що діють під зібрати зараз, розшифрувати пізніше (HNDL) доктрині сьогодні не потрібен квантовий комп’ютер. Їм потрібен жорсткий диск. Блокчейн є публічним. Кожен підпис ECDSA, коли-небудь транслюваний, уже зібраний — задумом.

Коли криптографічно релевантний квантовий комп’ютер (CRQC) з’являється в мережі — у 2029, 2031 чи 2033 роках — зловмисникові не потрібно перехоплювати нові транзакції. Вони запускають алгоритм Shor проти відкритих ключів, які збирали роками. Вашу транзакцію Bitcoin 2024 атакують у 2032 році. Жнива були в минулому. Розшифровка відбувається в майбутньому.

Скільки Bitcoin одразу вразливі?

Не всі адреси Bitcoin несуть однакову кількість ризиків. Уразливість залежить від того, чи був відкритий ключ:

Результати перепису Glassnode у травні 2026 року 6,04 мільйона BTC — 30,2% усіх Bitcoin, приблизно 469 мільярдів доларів — зберігаються на адресах із відкритими відкритими ключами: 1,92 мільйона структурно відкритих у виходах P2PK, 4,12 мільйонів операційних відкритих через повторне використання адрес. Приблизно 1,7 мільйона BTC зберігаються на ранніх P2PK-адресах, у тому числі приблизно 1,1 мільйона Сатоші Накамото. З усіх 6,04 мільйона близько 2,3 мільйона безповоротно знаходяться під загрозою — власники зникли, а монети неможливо перемістити в безпечне місце — тоді як приблизно 3,7 мільйона все ще можуть мігрувати. Ці монети P2PK впадуть першими.

Категорія «перегонів mempool» є настільки ж руйнівною: будь-яка трансакція Bitcoin, що виконується, коли квантові комп’ютери досягають здатності зламати ECDSA, стає доступною для атаки протягом приблизно 10 хвилин між трансляцією та підтвердженням блокування. Запускаються скомпільовані схеми Google хвилин — комфортно в цьому вікні. Квантовий зловмисник отримує приватний ключ із відкритого ключа та транслює конкуруючу транзакцію з вищою комісією.

Чому Bitcoin не може легко замінити ECDSA

Очевидне запитання: чому Bitcoin просто не оновлюється? Відповідь розкриває фундаментальну архітектурну ваду, яка відокремлює доквантові ланцюги від постквантових.

1. Потрібен хардфорк

ECDSA не є плагіном. Він вбудований у формат транзакцій Bitcoin, мову сценаріїв, визначення адреси та правила консенсусу. Його заміна вимагає a зворотно-несумісний хардфорк — найбільш політично суперечливий тип оновлення в історії Bitcoin. Пройшла активація SegWit 4 роки. Стрижневий корінь взяв 3 роки. Повна заміна схеми підпису? Немає навіть запропонованих часових рамок.

2. Значний вибух розміру

Підписи Bitcoin ECDSA мають 64-72 байти. Постквантові альтернативи:

• SPHINCS+ (SLH-DSA): 7856 байт — у 109 разів більше
• Дилітій (ML-DSA): 2420 байт — у 34 рази більше
• СОКІЛ: 666 байт — у 9 разів більше (але вразливості вибірки)

Кожна опція значно збільшує розмір транзакції, зменшує пропускну здатність і збільшує вимоги до пам’яті для повних вузлів. Обмеження розміру блоку Bitcoin в 1 МБ (4 МБ із даними-очевидцями) означає, що постквантові транзакції зменшать ємність на 80-95%.

3. Проблема спадкової адреси

Навіть після гіпотетичного оновлення, монети в адресах із уже відкритими відкритими ключами не можуть бути захищені заднім числом. Втрачені гаманці, померлі власники, неактивні адреси та монети Сатоші — приблизно 2,3 мільйона BTC із 6,04 мільйона розкритих, безповоротно — стають постійними цілями крадіжки незалежно від оновлення протоколу. Підписи ECDSA залишаються в ланцюжку назавжди.

4. Відсутність механізму управління

Bitcoin не має офіційного процесу керування змінами протоколу надзвичайних ситуацій. Основна розробка працює за грубим консенсусом. Оператори вузлів, майнери, біржі та розробники гаманців повинні самостійно оновлюватись. Порушена координація означає, що старі вузли можуть відхиляти квантово стійкі транзакції, створюючи розриви ланцюга.

ECDSA проти постквантових сигнатур: Технічне порівняння

Що відбувається того дня, коли квантові комп’ютери ламаються Bitcoin ECDSA

Про першу успішну квантову атаку на secp256k1 не буде оголошено. Це буде спостерігається. Ось каскад:

1. Фаза 1 — Тиха екстракція: Зловмисник (ймовірно, національна держава) тихо виснажує важливі адреси P2PK. Рух монет Сатоші. Сплячі гаманці китів порожні. Жодних публічних повідомлень — лише свідчення того, що сплячі ключі раптово активні, є докази в мережі.
2. Етап 2 — Визнання на ринку: Аналітики в мережі виявляють закономірність. Соціальні мережі вибухають. Ціна Bitcoin входить у вільне падіння, оскільки усвідомлення «кванту тут» поширюється. Кожен обмін припиняє зняття коштів.
3. Фаза 3 — гоночні атаки: Кілька квантово-спроможних акторів змагаються, щоб вичерпати решту відкритих адрес. Транзакції Mempool стають об’єктами атаки — відкриті ключі, виявлені в непідтверджених транзакціях, отримують свої приватні ключі перед наступним блокуванням.
4. Етап 4 — Екстрені пропозиції розгалуження: Розробники Bitcoin Core поспішають запропонувати квантово стійкі схеми підпису. Але тестування триває роками. На досягнення консенсусу потрібні роки. Ланцюжок розривається між тими, хто оновлює, і тими, хто ні.
5. Фаза 5 — Зараження: Кожну криптовалюту, яка використовує ECDSA, Ed25519 або будь-який алгоритм еліптичної кривої, чекає та сама доля. Ethereum, Litecoin, Bitcoin Cash, Monero — усі мають однакову фундаментальну вразливість. Трильйони цінностей випаровуються.

Єдині активи, які залишаються недоторканими, — це ті, що з самого початку захищені постквантовою криптографією — зокрема, NIST FIPS 203 (Kyber-768) і NIST FIPS 205 (SPHINCS+). Коли квантові комп’ютери ламають Bitcoin ECDSA, SynergyX відчуває вівторок.

Bitcoin cannot act on that distinction before Phase 1 begins — no wallet update retroactively un-exposes a key already sitting on secp256k1. An individual holder can. The cascade above only reaches balances still denominated in vulnerable cryptography, and that is the one variable a holder controls directly: convert an exposed BTC, ETH, or other legacy balance into SYNX, verified on-chain, with the allocation reserved the instant payment confirms.

Єдиний захист: квантова стійкість від Genesis

Постквантова міграція не є квантово стійкою конструкцією. Різниця критична:

• Міграція означає включення квантово-стійкої криптографії в ланцюг, побудований на ECDSA. Це означає хардфорки, уразливості застарілих адрес, роки дискусій про управління та вікно вразливості під час переходу.
• Квантово стійкий від генезису означає, що кожна транзакція, кожен підпис, кожен обмін ключами були квантово безпечними з першого блоку. Без міграції. Немає застарілих адрес. Без впливу HDL. Без вікна.

SynergyX реалізує цю архітектуру:

• Цифрові підписи: SPHINCS+ (NIST FIPS 205 SLH-DSA) — 7856-байтні квантово-стійкі підписи на основі хешу. Безпека базується на стійкості до зіткнень SHA-256/SHAKE-256, а не на будь-якій груповій проблемі, вразливій для алгоритму Shor.
• Інкапсуляція ключа: Kyber-768 (NIST FIPS 203 ML-KEM) — інкапсуляція ключів на основі решітки з захистом IND-CCA2. Основна проблема модуля навчання з помилками не має відомого ефективного класичного або квантового алгоритму.
• Квантово безпечний, оскільки: Блок Genesis 1. Не є пунктом дорожньої карти. Не «заплановано на 3 квартал 2027 року». Працює та перевірено сьогодні.
• Немає проблем зі спадщиною: У SynergyX немає адрес ECDSA. Нуль відкритих доквантових відкритих ключів. Нульова поверхня атаки HNDL.

Це не експериментальні чи запатентовані алгоритми. Вони є ті самі стандартизовані NIST алгоритми, які уряд США вибрав для захисту секретних повідомлень. Вісім років рецензування. Сотні криптографів. Стандартизовано в серпні 2024 року. SynergyX реалізував їх до того, як стандарти були остаточно розроблені — і вони були скомпільовані в перший день.

Чому хронологія Quantum ECDSA прискорюється

Чотири події в 2024-2026 роках скоротили часову шкалу швидше, ніж передбачалося в більшості прогнозів:

Google Willow (грудень 2024 р.)

Чіп Willow від Google — 105 кубітів — досягнутий виправлення помилок нижче порогу, прорив, завдяки якому масштабування квантових комп’ютерів із сотень до тисяч логічних кубітів стає інженерною, а не фізичною проблемою. До Willow додавання кубітів призводило до збільшення кількості помилок гірше. Після Віллоу додавання кубітів збільшує кількість помилок краще. Ця точка перегину змінює все.

Оцінку ресурсів secp256k1 згорнуто (березень 2026 р.)

Google Quantum AI, працюючи з Ethereum Foundation і Stanford, скомпільував алгоритм Shor проти secp256k1 у дві конкретні схеми: 1200 логічних кубітів на 90 мільйонах воріт Тоффолі або 1450 логічних кубітів на 70 мільйонах воріт Тоффолі — і показав, що все вміщається всередині менше 500 000 фізичних кубітів, виконується за лічені хвилини. Це не тисячократні накладні витрати на виправлення помилок, застосовані до логічного підрахунку рукою; це скомпільована схема з доданим фізичним бюджетом. Порівняйте це з показником Roetteler 2017 року, який становив ~2330 логічних кубітів, і менш ніж за десять років потреба зменшилася майже вдвічі. Незалежний аналіз Caltech/Oratomic пішов далі, приблизно оцінивши ту саму атаку 26 000 фізичних кубітів на апаратному забезпеченні з нейтральним атомом протягом приблизно десяти днів.

Топологічні кубіти Microsoft (2025)

Топологічний підхід Microsoft до кубітів створює кубіти із за своєю суттю нижчою частотою помилок, ще більше скорочуючи накладні витрати від фізичних до логічних. Кожне скорочення знижує бюджет менше 500 000 фізичних кубітів для secp256k1 до низьких десятків тисяч — режиму, який вже займає оцінка нейтрального атома, і значно в межах того, що передбачено дорожніми картами на 2029-2033 роки.

Фотонна архітектура PsiQuantum

Фотонний квантовий обчислювальний підхід PsiQuantum націлений на 1 мільйон фізичних кубітів з використанням існуючих потужностей для виготовлення напівпровідників. На відміну від надпровідних підходів, які вимагають температури мілікельвінів, фотонні кубіти працюють при кімнатній температурі на оптичних частотах, що забезпечує швидше масштабування.

Ці одночасні досягнення — виправлення помилок, руйнівна оцінка ресурсів, природна стабільність і масштаб виробництва — сходяться до одного висновку: криптографічно релевантний квантовий комп’ютер з’являється у вікні 2029-2033 років, і чесне припущення щодо планування – це найближчий, а не далекий кінець.

Що ви повинні зробити, перш ніж квантові комп’ютери зламаються Bitcoin ECDSA

Оптимальна реакція залежить від того, наскільки ви піддані впливу та якою є ваша толерантність до ризику. Але одне є універсальним: не чекайте підтвердження того, що квантові комп’ютери можуть зламати ECDSA. На момент публічного підтвердження збір урожаю вже завершено.

1. Оцініть свій вплив ECDSA: Перевірте, чи ваші адреси Bitcoin мають відкриті ключі. Будь-яка ваша адреса надіслано від має відкритий ключ на ланцюжку. Повторне використання адреси збільшує ризик.
2. Розуміння вікна HNDL: Ваші минулі операції вже зареєстровано. Майбутній захист потребує переходу на квантово стійку криптографію раніше ваша наступна транзакція.
3. Оцініть квантово стійкі альтернативи: Шукайте ланцюги, що використовують постквантові алгоритми, стандартизовані NIST (FIPS 203, FIPS 205) — а не запатентовані чи непереглянуті схеми. Переконайтеся, що квантовий опір є походженням, а не запланованою міграцією.
4. Шахта з призначенням: Алгоритм майнінгу SerendipityX від SynergyX (Argon2id, 2 ГБ жорсткої пам’яті) працює лише з процесором — будь-який ноутбук може майніти. Нульова плата за газ. Ні KYC. Квантово стійкий з першого дня. Перешкодою для входу є вмикання комп’ютера.

Математика не є неоднозначною

Питання "коли квантові комп'ютери зламають Bitcoin ECDSA?" має математичну відповідь. Алгоритм Shor вирішує ECDLP за поліноміальний час. Єдина змінна – це коли апаратне забезпечення встигає за алгоритмом. Апаратне забезпечення наздоганяє. Google перевірив шкали виправлення помилок. Microsoft створює за своєю суттю стабільні кубіти. PsiQuantum виробляє в масштабі напівпровідників.

Питання не в тому if. Це так коли. І відповідь така швидше, ніж говорять консервативні оцінки.

Коли цей день настане, активи в ланцюжках ECDSA зіткнуться з ретроактивною, незворотною небезпекою. Активи в ланцюжках, побудовані за допомогою постквантової криптографії NIST від Genesis, не мають нічого. Математика не погоджується. Блокчейн не бреше. А жнива вже закінчені.

Єдине питання, яке залишилося, полягає в тому, на якому боці шкали часу ви стоїте, коли поріг перетнеться.