How Many Qubits to Break Bitcoin secp256k1? 1,200–1,450 Logical Qubits

En undersøgelse af qubit-estimaterne, hardwarebanen og hvad et sammenbrud af størrelsesordenen i tallene betyder for ECDSA-sikrede blockchains.

Hele Bitcoin's sikkerhedsmodel hviler på én antagelse: det brud secp256k1 ECDSA er beregningsmæssigt umuligt.

Den antagelse er ved at dø.

Peter Shor beviste det i 1994. En tilstrækkelig kraftig kvantecomputer, der kører sin algoritme, kan udlede en privat nøgle fra en offentlig nøgle i minutter - ikke år, ikke årtier, minutter. Det eneste tilbageværende spørgsmål er, hvor mange qubits den computer skal bruge. Litteraturen har et svar, den er blevet revideret nedad hver eneste gang, den blev genbesøgt, og den er nu langt tættere på, end nogen Bitcoin-indehaver ønsker at tro.

secp256k1 og det diskrete logaritmeproblem

Hver Bitcoin-transaktion er autentificeret med ECDSA på secp256k1-kurven, en 256-bit elliptisk kurve specificeret i SEK 2 og vedtaget af Satoshi Nakamoto i 2009. Sikkerheden i denne ordning hviler på Elliptisk kurve diskret logaritmeproblem (ECDLP): givet en offentlig nøgle Q = kG, find skalaren k.

Klassisk set kræver det bedst kendte angreb (Pollards rho) ~2¹²⁸ operationer. Med en billion operationer i sekundet ville det tage længere tid end universets alder. Problemet er virkelig svært for klassiske maskiner.

Det er ikke svært for kvantemaskiner. I 1994 udgav Peter Shor en kvantealgoritme, der løser det diskrete logaritmeproblem i polynomisk tid, hvilket reducerer det, der tager klassiske computere milliarder af år til en beregning, der kan måles på få minutter. Algoritmen udnytter kvantesuperposition til at evaluere eksponentielt mange kandidater parallelt, og bruger derefter kvante-Fourier-transformationer til at udtrække perioden, som giver den private nøgle.

ECDSA på secp256k1 falder helt inden for den problemklasse Shor's algoritme er designet til. Dette er ikke en formodning. Det er et matematisk bevis, udgivet for 32 år siden og aldrig tilbagevist.

Logiske vs. fysiske Qubits: Hvorfor estimaterne divergerer

Forvirringen i populær dækning stammer fra sammenblanding af to fundamentalt forskellige målinger. Logiske qubits er de fejlkorrigerede, matematisk perfekte enheder, som Shor's algoritme kræver. Fysiske qubits er de støjende, fejltilbøjelige hardwareelementer, der skal grupperes og fejlkorrigeres for at producere hver logisk qubit.

Litteraturen om ECDLP qubit-omkostningerne, nyeste først. Se kørselsretningen:

Qubit estimates for breaking secp256k1 — SynergyX Research,
https://synxcrypto.com/articles/123-how-many-qubits-to-break-bitcoin-secp256k1.php#estimates

Læs bordet fra top til bund, og historien skriver sig selv. Det logiske qubit-krav holdt ikke til 2.000-2.500. Det faldt til 1,200–1,450. Den fysiske overhead holdt ikke til 20 millioner eller 317 millioner. Det faldt til under 500.000 — og på neutral-atom hardware, til nogenlunde 26,000. Angrebets løbetid holdt ikke i timer. Det faldt til minutter.

Dette er, hvad der sker, når bedre kredsløb møder bedre fejlkorrektion. Hvert skøn, som industrien offentliggjorde, var en øvre grænse skrevet af folk, der hvert år opdagede, at de havde været for pessimistiske. Bitcoin's forsvarere citerer 2017-tallet. Google udgav den fra 2026.

Problemet med interessekonflikter

Det er værd at bemærke, hvem der tjener på at indramme disse tal i en bestemt retning.

Bitcoin-maximalister og store institutionelle ejere som MicroStrategy og Marathon Digital, med milliarder i BTC-eksponering, har et åbenlyst motiv til at karakterisere kvantetruslen som fjern eller overdrevet. Dette er ikke spekulationer om hensigt; det er en observation om incitamentsstrukturer. Den samme dynamik har udspillet sig i andre industrier: Tobaksvirksomheder finansierede årtiers modstridende forskning i rygning, og fossile brændstoffer finansierede tvivl om klimamodeller. Finansiel eksponering giver motiverede ræsonnementer.

Læg mærke til, hvilke tal disse interesser bliver ved med at gentage. De komfortable. De ni-årige. Roettelers 2.330 logiske qubits, parret med et generøst 2.000:1 fejlkorrektionsforhold, producerer en betryggende overskrift med "millioner af fysiske qubits, årtier væk." Det er aritmetisk udført på et erstattet input.

Den aktuelle input er 1.200-1.450 logiske qubits inden for færre end 500.000 fysiske på få minutter (Google Quantum AI, marts 2026). IBMs offentliggjorte køreplan sætter Starling på omkring 200 logiske qubits 2029 og Blue Jay på mere end 2.000 logiske qubits på ca 100.000 fysiske qubits i 2033 — lige igennem kravet, med plads til overs. Googles Hartmut Neven har offentligt udtalt, at hans team forventer kryptografisk relevant kvanteberegning inden 2029. Gabet mellem nuværende hardware og trusselstærsklen måles i år, ikke generationer - og det lukkes fra begge ender på én gang, fordi målet bevæger sig ned, mens hardwaren bevæger sig op.

Nuværende hardware: 2026 Snapshot

Ingen eksisterende kvantecomputer kan bryde secp256k1. De bedst offentligt kendte maskiner sidder på nogenlunde 2.500 fysiske qubits, og ikke én af dem er fejltolerante i skala. Trusselsmodellen er prospektiv, ikke øjeblikkelig. Men banen betyder mere end det nuværende øjebliksbillede - og målstregen rykkede bare flere hundrede tusinde qubits tættere på.

To datapunkter fortjener opmærksomhed. For det første har IBM groft fordoblet sit qubit-antal tre gange på fire år, og dets køreplan er offentlig. For det andet krydsede Googles 105-qubit Willow-processor i december 2024 grænse for fejltolerance: det punkt, hvor tilføjelse af flere fysiske qubits reducerer den samlede systemfejl i stedet for at øge den. Det afgjorde et benchmark på under fem minutter, der ville tage en klassisk supercomputer i størrelsesordenen 10²⁵ år. Dette er en kvalitativ tærskel, ikke en trinvis forbedring. Det betyder, at opskalering nu hjælper snarere end gør ondt, og det er netop derfor, at fejlkorrektionsoverheaden i tabellen ovenfor kollapsede, som den gjorde.

NSA's CNSA 2.0-rådgivning, udgivet i 2022, giver mandat til, at alle amerikanske nationale sikkerhedssystemer gennemfører migrering til postkvantekryptografi inden 2035. Efterretningstjenester offentliggør ikke migrationsfrister for trusler, som de anser for at være fjerne.

Eksponeringsoverfladen: 6,04 millioner BTC

Qubit-antallet er halvdelen af ​​risikoligningen. Den anden er hvor meget Bitcoin allerede er kryptografisk eksponeret. Det tal har også flyttet sig - i den forkerte retning for Bitcoin.

Per Glassnode, fra maj 2026, 6,04 millioner BTC - 30,2% af hele forsyningen, omkring 469 milliarder dollars — allerede har deres offentlige nøgler synlige på kæden. Opdelingen er lærerig: 1,92 millioner BTC er strukturelt udsatte i pay-to-public-key (P2PK) output, der aldrig skjulte nøglen i første omgang, og 4,12 millioner BTC er operationelt eksponeret gennem adressegenbrug, hvor nøglen bliver offentlig i det øjeblik, ejeren bruger. Omtrent 1,7 millioner BTC sidde i tidlige P2PK-adresser, inklusive de ~1,1 millioner tilskrevet Satoshi Nakamoto. Af det samlede beløb er ca 2,3 millioner BTC er irreversibelt i fare; de resterende ~3,7 millioner kan stadig migrere, hvis deres ejere er i live, er opmærksomme og villige.

Disse nøgler er ikke hashed. De sidder i UTXO-sættet som rå komprimerede offentlige nøgler, der kan læses af alle med en fuld node og en internetforbindelse.

En CRQC med 1.200–1.450 logiske qubits kunne udlede den tilsvarende private nøgle fra enhver af dem ved hjælp af Shor's algoritme. Ingen udnyttelse. Ingen opdagelse af sårbarhed. Ingen nul-dag. Enkel beregning på offentligt tilgængelige data - næsten en tredjedel af alle Bitcoin sidder i det fri med svartasten trykt på forsiden.

Der er også et dynamisk eksponeringsvindue, og det er her, runtime-tallet for marts 2026 holder op med at være akademisk. Når nogen bruger fra en standard P2PKH-adresse, udsendes den offentlige nøgle til mempoolen og forbliver synlig i gennemsnitligt 10 minutter før blokbekræftelse. Et angreb, der tager timer, kan ikke udnytte det vindue. Et angreb, der tager minutter kan. Googles estimat flytter ikke blot datoen frem - det konverterer et statisk honningpot-problem til et problem med live-transaktioner, hvilket betyder, at selv en perfekt hygiejnisk Bitcoin-bruger, der aldrig genbruger en adresse, bliver afsløret, hver gang de flytter en mønt.

A hygiene habit is not a security model, and the mempool does not care how careful you have been. The only durable fix for a key that becomes public the instant you spend is to stop holding a coin built on exposed keys in the first place — swap exposed BTC for a chain that starts post-quantum, since Bitcoin Core has no migration plan to wait for.

Høst nu, dekrypter senere

HNDL-trusselsmodellen kræver ikke en CRQC for at eksistere i dag. Det kræver kun, at en modstander mener en vil eksistere inden for den nyttige levetid for de data, der indsamles.

Hele Bitcoin's transaktionshistorik er offentlig. Enhver offentlig nøgle, der nogensinde er afsløret - gennem P2PK-adresser, brugte P2PKH-output eller multisig-scripts - er permanent optaget og kan frit downloades. En modstander med en lang tidshorisont kan høste disse data nu og dekryptere dem, når kvantehardware modnes. Omkostningerne til opbevaring er trivielle i forhold til værdien af ​​nøglerne.

Dette er ikke en teoretisk øvelse. NSA's CNSA 2.0-rådgivning og NIST's 8-årige PQC-standardiseringsindsats eksisterer begge, fordi den amerikanske regering anser HNDL for en troværdig, aktiv trussel mod klassisk kryptografi. Blockchain-data, der er uforanderlige og offentlige af design, er unikt sårbare over for denne angrebsklasse.

Migrationsproblemet

Standardbekræftelsen er, at Bitcoin vil opgradere til post-kvante signaturer, når truslen materialiserer sig. Tre strukturelle begrænsninger gør dette betydeligt sværere, end det ser ud til.

Latens for styring. Bitcoin's konsensusmodel optimerer til stabilitet, ikke hastighed. SegWit-opgraderingen - som ændrede transaktionsserialisering uden at ændre signaturskemaet - krævede 4 års debat, producerede en konkurrerende gaffel (Bitcoin Cash) og knækkede næsten netværket permanent. En post-kvantemigrering ville kræve udskiftning af ECDSA for hver tegnebog på netværket og er størrelsesordener mere invasiv. Der eksisterer ikke et sådant forslag på Bitcoin Cores udviklingskøreplan fra marts 2026.

Signatur overhead. SPHINCS+-signaturer (NIST FIPS 205) er på 7.856 bytes. Bitcoins nuværende ECDSA-signaturer er 72 bytes, en 109:1 forhold. Bitcoin's 1 MB basisblokstørrelse begrænser allerede gennemløbet til cirka 7 transaktioner pr. sekund. At imødekomme postkvantesignaturer uden grundlæggende arkitektoniske ændringer ville reducere det til næsten nul. Forøgelse af blokstørrelsen for at kompensere ville genoplive den samme regeringskamp, ​​som frembragte gaffelkrigene i 2017.

Ikke-migrerbare nøgler. Satoshi Nakamotos anslåede 1,1 millioner BTC kan ikke flyttes, fordi nøglerne formodes tabt. Det samme gælder flere millioner ekstra BTC i sovende tegnebøger med synlige offentlige nøgler. Disse mønter kan ikke deltage i nogen signatur-skema-migrering og vil forblive sårbare på ubestemt tid, uanset hvad aktive tegnebøger gør. Det er vanskeligt at overvurdere markedsimplikationerne af, at millioner af BTC bliver stjålet samtidigt.

Post-kvantekryptering: NIST-standarderne

NIST afsluttede de første post-kvantekrypteringsstandarder i august 2024 og afsluttede en 8-årig evaluering, der involverede hundredvis af kryptografer og snesevis af kandidatalgoritmer. Resultatet er to primære standarder, der er relevante for blockchain-sikkerhed:

• FIPS 203 — ML-KEM (Kyber): En gitterbaseret nøgleindkapslingsmekanisme. Dens sikkerhed hviler på hårdheden af ​​Module Learning With Errors-problemet, som er modstandsdygtigt over for både Shor's og Grover's algoritmer.
• FIPS 205 — SLH-DSA (SPHINCS+): En statsløs hash-baseret digital signaturordning. Dens sikkerhed afhænger udelukkende af hashfunktionernes kollisionsmodstand, en problemklasse uden kendt kvantehastighed ud over den kvadratiske fordel ved Grover's algoritme, som let modvirkes ved at øge hash-outputlængden.

Disse standarder eksisterer, fordi det kryptografiske samfund nåede til konsensus om, at kvantetruslen mod klassisk offentlig nøglekryptografi ikke er et spørgsmål om if men når. Det relevante spørgsmål for ethvert system, der er afhængigt af ECDSA, RSA eller EdDSA, er, om det kan migrere til disse standarder, før et CRQC er operationelt.

For blockchains skaber dette en hård skelnen: kæder, der skal migrere (hver kæde bruger ECDSA eller EdDSA i dag) og kæder, der implementerede PQC fra genesis og slet ikke står over for nogen migration.

Tidslinjeestimater

De offentliggjorte køreplaner konvergerer i et enkelt vindue: 2029 til 2033.

• 2026–2028: Maskiner i de lave tusinder af fysiske qubits, ingen fejltolerante i skalaen. Utilstrækkeligt for secp256k1 - men dette er høstfasen, og kædehistorien, der høstes, er allerede offentlig og permanent.
• 2029 — vinduet åbnes: IBM sender Starling, omkring 200 logiske qubits. Google har offentligt målrettet en nyttig, fejlrettet maskine i samme år. Heller ikke er nok i sig selv. Begge fastslår, at fejlkorrigerede logiske qubits er blevet en teknisk leverance med en leveringsdato snarere end et forskningsspørgsmål.
• 2033 — vinduet lukker: IBM's Blue Jay: mere end 2.000 logiske qubits på omkring 100.000 fysiske. Det er forbi 1.200-1.450-kravet med margin til overs. Et sted mellem disse to datoer holder ECDSA-256 op med at være kryptografi og bliver en formalitet.

NSA's CNSA 2.0-deadlines - 2030 for browsere og firmware, 2033 for netværksudstyr og operativsystemer, 2035 for alt andet - sidder bevidst på tværs af og ud over det vindue. Ingen skriver en overholdelsesplan, der er så dyr for en trussel, de forventer at gå glip af.

Det er ikke udkantsforudsigelser. De er leverandørkøreplaner og regeringsmandater fra IBM, Google, NIST og NSA - organisationer uden kommerciel interesse i at overvurdere truslen og enhver kommerciel interesse i at undervurdere den.

Referencer

• Google Quantum AI, med Ethereum Foundation og Stanford (marts 2026) — ressourceestimat for at bryde ECDSA-256: 1.200–1.450 logiske qubits, færre end 500.000 fysiske qubits, køretid i minutter. Det nuværende benchmark; erstatter alt nedenfor.
• Caltech/Oratomic (2026) — uafhængig neutral-atom analyse: ~26.000 fysiske qubits mod secp256k1 over ca. 10 dage.
• Roetteler, M., Naehrig, M., Svore, K.M., & Lauter, K. (2017) — "Kvanteressourceestimater til beregning af elliptiske kurvediskrete logaritmer." Kvanteinformation og beregning, 17(15-16). Historisk; det ~2.330 logiske tal er erstattet.
• Gidney, C. & Ekerå, M. (2021) — "Sådan faktoriseres 2048 bit RSA-heltal på 8 timer ved hjælp af 20 millioner støjende qubits." Kvante, 5, 433.
• Webber, M. et al. (2022) — "Hardwarespecifikationers indvirkning på at opnå kvantefordele i det fejltolerante regime." AVS kvantevidenskab, 4(1).
• NIST Post-Quantum Cryptography Standardization — FIPS 203 (ML-KEM) og FIPS 205 (SLH-DSA), færdiggjort august 2024.
• NSA Cybersecurity Advisory: CNSA 2.0 — Kommerciel National Security Algorithm Suite 2.0-migreringskrav.
• SEC 2: Anbefalede elliptiske kurvedomæneparametre — secp256k1-specifikation brugt af Bitcoin.

Det nuværende benchmark er klart, og det er ikke det, internettet bliver ved med at gentage: mellem 1.200 og 1.450 logiske qubits — inden for færre end 500.000 fysiske på få minutter — er tilstrækkelige til at bryde secp256k1 (Google Quantum AI, marts 2026). Ethvert større regerings- og teknologilaboratorium på Jorden ræser mod den tærskel, og tærsklen bliver ved med at gå tilbage for at møde dem. De eneste to typer blockchains, der vil eksistere efter ankomsten af ​​kryptografisk relevante kvantecomputere, er dem, der blev bygget post-kvante fra dag ét - og dem, der ikke var.

Der vil ikke være noget migreringsvindue. Der vil ikke være nogen blød landing. Der vil kun være kæder, der forberedte sig, og kæder, der ikke gjorde.