How Many Qubits to Break Bitcoin secp256k1? 1,200–1,450 Logical Qubits

Badanie szacunków kubitów, trajektorii sprzętu i tego, co załamanie liczb o rząd wielkości oznacza dla łańcuchów bloków zabezpieczonych ECDSA.

Cały model bezpieczeństwa Bitcoin opiera się na jednym założeniu: na tym łamaniu secp256k1 ECDSA jest obliczeniowo niemożliwe.

To założenie wkrótce umrze.

Udowodnił to Peter Shor w 1994 roku. Wystarczająco mocny komputer kwantowy obsługujący jego algorytm może wyprowadzić klucz prywatny z klucza publicznego w protokół — nie lata, nie dekady, minuty. Pozostaje tylko pytanie, ile kubitów będzie potrzebował ten komputer. Literatura zna odpowiedź, była ona korygowana w dół za każdym razem, gdy ją przeglądano, a teraz jest znacznie bliżej, niż chciałby sądzić jakikolwiek posiadacz Bitcoin.

secp256k1 i problem logarytmu dyskretnego

Każda transakcja Bitcoin jest uwierzytelniana za pomocą ECDSA na krzywej secp256k1, 256-bitowej krzywej eliptycznej określonej w SEK 2 i przyjęty przez Satoshiego Nakamoto w 2009 r. Bezpieczeństwo tego programu opiera się na: Problem logarytmu dyskretnego krzywej eliptycznej (ECDLP): otrzymano klucz publiczny Q = kG, znajdź skalar k.

Klasycznie, najbardziej znany atak (rho Pollarda) wymaga ~2¹²⁸ operacje. Przy bilionie operacji na sekundę zajęłoby to dłużej niż wiek wszechświata. Problem jest naprawdę trudny w przypadku maszyn klasycznych.

Dla maszyn kwantowych nie jest to trudne. W 1994 roku Peter Shor opublikował algorytm kwantowy rozwiązujący problem logarytmu dyskretnego w czas wielomianowy, redukując to, co klasycznym komputerom zajmuje miliardy lat, do obliczeń mierzalnych w minutach. Algorytm wykorzystuje superpozycję kwantową do równoległej oceny wielu kandydatów, a następnie wykorzystuje kwantową transformację Fouriera do wyodrębnienia okresu, co daje klucz prywatny.

ECDSA na secp256k1 wpisuje się w klasę problemów, dla których algorytm Shor został zaprojektowany. To nie jest przypuszczenie. Jest to dowód matematyczny, opublikowany trzydzieści dwa lata temu i nigdy nie obalony.

Kubity logiczne a fizyczne: dlaczego szacunki się różnią

Zamieszanie w popularnych relacjach wynika z połączenia dwóch zasadniczo różnych wskaźników. Kubity logiczne to skorygowane o błędy, matematycznie doskonałe jednostki, których wymaga algorytm Shor. Kubity fizyczne to hałaśliwe, podatne na błędy elementy sprzętowe, które należy pogrupować i skorygować o błędy, aby wygenerować każdy kubit logiczny.

Literatura na temat kosztu kubitu ECDLP, najpierw najnowsza. Obserwuj kierunek jazdy:

Qubit estimates for breaking secp256k1 — SynergyX Research,
https://synxcrypto.com/articles/123-how-many-qubits-to-break-bitcoin-secp256k1.php#estimates

Przeczytaj tabelę od góry do dołu, a historia napisze się sama. Wymóg kubitu logicznego nie utrzymywał się na poziomie 2000–2500. Padło na 1,200–1,450. Fizyczne koszty ogólne nie utrzymały się na poziomie 20 milionów ani 317 milionów. Padło na poniżej 500 tys — i na sprzęcie z atomami neutralnymi, mniej więcej 26,000. Środowisko wykonawcze ataku nie wytrzymało godzin. Padło na protokół.

Tak się dzieje, gdy lepsze obwody zapewniają lepszą korekcję błędów. Każde szacunki publikowane przez branżę były górną granicą, którą sporządzali ludzie, którzy co roku odkrywali, że byli zbyt pesymistyczni. Obrońcy Bitcoin podają liczbę z 2017 roku. Google opublikowało wersję z 2026 roku.

Problem konfliktu interesów

Warto zauważyć, kto czerpie korzyści z ukierunkowania tych liczb w określonym kierunku.

Maksymaliści Bitcoin i duzi posiadacze instytucjonalni, tacy jak MicroStrategy i Marathon Digital, posiadający miliardową ekspozycję na BTC, mają oczywisty motyw, aby scharakteryzować zagrożenie kwantowe jako odległe lub przesadzone. To nie jest spekulacja na temat intencji; jest to obserwacja dotycząca struktur motywacyjnych. Ta sama dynamika pojawiła się w innych branżach: firmy tytoniowe finansowały dziesięciolecia sprzecznych badań nad paleniem, a firmy zajmujące się paliwami kopalnymi finansowały wątpliwości co do modeli klimatycznych. Ekspozycja finansowa powoduje umotywowane rozumowanie.

Zwróć uwagę, jakie liczby te zainteresowania ciągle się powtarzają. Te wygodne. Te dziewięcioletnie. 2330 kubitów logicznych Roettelera w połączeniu z dużym współczynnikiem korekcji błędów wynoszącym 2000:1 daje uspokajający nagłówek w postaci „milionów kubitów fizycznych w odległości kilkudziesięciu lat”. Jest to arytmetyka wykonywana na zastąpionym wejściu.

Aktualne wejście to 1200–1450 kubitów logicznych w mniej niż 500 000 kubitów fizycznych w ciągu kilku minut (Google Quantum AI, marzec 2026 r.). Opublikowany plan działania IBM zakłada, że ​​Starling ma około 200 kubitów logicznych 2029 i Blue Jay w liczbie ponad 2000 kubitów logicznych 100 000 fizycznych kubitów w 2033 r — bezpośrednio przez wymagania, z wolnym miejscem. Hartmut Neven z Google oświadczył publicznie, że jego zespół oczekuje kryptograficznie odpowiednich obliczeń kwantowych do 2029 roku. Lukę między obecnym sprzętem a progiem zagrożenia mierzy się w latach, a nie w pokoleniach — i jest ona zamykana z obu stron jednocześnie, ponieważ cel przesuwa się w dół, podczas gdy sprzęt przesuwa się w górę.

Obecny sprzęt: Migawka 2026

Żaden istniejący komputer kwantowy nie jest w stanie złamać secp256k1. Najbardziej znane publicznie maszyny siedzą mniej więcej 2500 kubitów fizycznychi żaden z nich nie jest odporny na błędy na dużą skalę. Model zagrożenia ma charakter prospektywny, a nie natychmiastowy. Ale trajektoria ma większe znaczenie niż bieżąca migawka — a linia mety właśnie przesunęła się o kilkaset tysięcy kubitów bliżej.

Na uwagę zasługują dwa punkty danych. Po pierwsze, IBM mniej więcej podwoił liczbę kubitów trzykrotnie w ciągu czterech lat, a jego plan działania jest publiczny. Po drugie, 105-kubitowy procesor Google Willow w grudniu 2024 r. przekroczył granicę granica tolerancji błędów: punkt, w którym dodanie większej liczby kubitów fizycznych zmniejsza całkowity błąd systemu, zamiast go zwiększać. Osiągnął poziom odniesienia w czasie krótszym niż pięć minut, który klasyczny superkomputer zająłby około 10²⁵ lata. Jest to próg jakościowy, a nie stopniowa poprawa. Oznacza to, że zwiększanie skali teraz pomaga, a nie szkodzi, i właśnie dlatego obciążenie związane z korekcją błędów w powyższej tabeli spadło w taki a nie inny sposób.

Opublikowany w 2022 r. poradnik NSA CNSA 2.0 nakazuje, aby wszystkie amerykańskie systemy bezpieczeństwa narodowego zakończyły migrację na kryptografię postkwantową do 2035 r. Agencje wywiadowcze nie publikują terminów migracji w przypadku zagrożeń, które uważają za odległe.

Powierzchnia ekspozycji: 6,04 miliona BTC

Liczba kubitów stanowi połowę równania ryzyka. Drugi jest ile Bitcoin jest już ujawnione kryptograficznie. Ta liczba również się przesunęła — w złym kierunku w przypadku Bitcoin.

Według Glassnode, stan na maj 2026 r. 6,04 mln BTC – 30,2% całej podaży, około 469 miliardów dolarów — mają już swoje klucze publiczne widoczne w łańcuchu. Podział jest pouczający: 1,92 miliona BTC jest eksponowanych strukturalnie w wynikach pay-to-public-key (P2PK), które nigdy nie ukrywały klucza, oraz Ekspozycji operacyjnej jest 4,12 miliona BTC poprzez ponowne wykorzystanie adresu, gdzie klucz staje się publiczny w momencie, gdy właściciel go spędzi. Mniej więcej 1,7 miliona BTC znajdują się we wczesnych adresach P2PK, w tym około 1,1 miliona przypisywanych Satoshiemu Nakamoto. W sumie ok 2,3 miliona BTC jest nieodwracalnie zagrożonych; pozostałe ~ 3,7 miliona mogłoby nadal migrować, jeśli ich właściciele żyją, zwracają uwagę i chcą.

Te klucze nie są hashowane. Znajdują się w zestawie UTXO jako surowe, skompresowane klucze publiczne, czytelne dla każdego, kto ma pełny węzeł i połączenie internetowe.

CRQC z 1200–1450 kubitami logicznymi może wyprowadzić odpowiedni klucz prywatny z dowolnego z nich przy użyciu algorytmu Shor. Żadnego exploita. Brak wykrycia podatności. Żadnego dnia zerowego. Proste obliczenia na publicznie dostępnych danych — prawie jedna trzecia wszystkich Bitcoin znajduje się na otwartej przestrzeni z kluczem odpowiedzi wydrukowanym z przodu.

Istnieje również okno dynamicznej ekspozycji i w tym miejscu dane dotyczące czasu działania z marca 2026 r. przestają być akademickie. Kiedy ktoś wydaje pieniądze ze standardowego adresu P2PKH, klucz publiczny jest przesyłany do pamięci i pozostaje widoczny średnio przez 10 minut przed potwierdzeniem bloku. Atak trwający wiele godzin nie może wykorzystać tego okna. Atak, który trwa kilka minut, może. Szacunki Google nie tylko przesuwają datę do przodu — przekształcają problem statycznego miodu w problem transakcji na żywo, co oznacza, że ​​nawet całkowicie higieniczny użytkownik Bitcoin, który nigdy nie używa ponownie adresu, jest narażony na ryzyko przy każdym ruchu monetą.

A hygiene habit is not a security model, and the mempool does not care how careful you have been. The only durable fix for a key that becomes public the instant you spend is to stop holding a coin built on exposed keys in the first place — swap exposed BTC for a chain that starts post-quantum, since Bitcoin Core has no migration plan to wait for.

Zbierz teraz, odszyfruj później

Model zagrożeń HNDL nie wymaga obecnie istnienia CRQC. Wymaga tylko tego przeciwnika wierzy taki będzie istniał przez cały okres użytkowania gromadzonych danych.

Cała historia transakcji Bitcoin jest publiczna. Każdy kiedykolwiek ujawniony klucz publiczny — poprzez adresy P2PK, zużyte dane wyjściowe P2PKH lub skrypty multisig — jest trwale rejestrowany i można go bezpłatnie pobrać. Przeciwnik dysponujący długim horyzontem czasowym może zebrać te dane już teraz i odszyfrować je, gdy sprzęt kwantowy dojrzeje. Koszt przechowywania jest banalny w stosunku do wartości kluczy.

To nie jest ćwiczenie teoretyczne. Zarówno zalecenia NSA CNSA 2.0, jak i 8-letnie wysiłki NIST w zakresie standaryzacji PQC istnieją, ponieważ rząd USA uważa HNDL za wiarygodne, aktywne zagrożenie dla klasycznej kryptografii. Dane Blockchain, które z założenia są niezmienne i publiczne, są wyjątkowo podatne na tę klasę ataków.

Problem Migracji

Standardowym zaprzeczeniem jest to, że Bitcoin zaktualizuje się do sygnatur postkwantowych, gdy zagrożenie się zmaterializuje. Trzy ograniczenia strukturalne sprawiają, że jest to znacznie trudniejsze, niż się wydaje.

Opóźnienie zarządzania. Konsensusowy model Bitcoin optymalizuje pod kątem stabilności, a nie szybkości. Aktualizacja SegWit — która modyfikowała serializację transakcji bez zmiany schematu podpisu — wymagała 4 lat debaty, w wyniku czego powstał konkurencyjny fork (Bitcoin Cash) i prawie trwale uszkodził sieć. Migracja postkwantowa wymagałaby wymiany ECDSA w każdym portfelu w sieci i jest o rząd wielkości bardziej inwazyjna. Nie ma takiej propozycji w planie rozwoju Bitcoin Core na marzec 2026 r.

Podpis na górze. Sygnatury SPHINCS+ (NIST FIPS 205) mają 7856 bajtów. Obecne podpisy ECDSA Bitcoin mają 72 bajty, a Stosunek 109:1. Rozmiar bloku podstawowego Bitcoin wynoszący 1 MB już ogranicza przepustowość do około 7 transakcji na sekundę. Uwzględnienie sygnatur postkwantowych bez zasadniczych zmian architektonicznych zredukowałoby tę wartość niemal do zera. Zwiększenie rozmiaru bloku w celu kompensacji ponownie wywołałoby tę samą bitwę o zarządzanie, która doprowadziła do wojen o widełki w 2017 roku.

Klucze, których nie można migrować. Szacuje się, że Satoshi Nakamoto szacuje, że 1,1 miliona BTC nie może zostać przeniesionych, ponieważ przypuszcza się, że klucze zostały utracone. To samo dotyczy kilku milionów dodatkowych BTC w uśpionych portfelach z ujawnionymi kluczami publicznymi. Monety te nie mogą uczestniczyć w żadnej migracji schematów podpisów i pozostaną podatne na ataki przez czas nieokreślony, niezależnie od tego, co zrobią aktywne portfele. Trudno przecenić konsekwencje rynkowe jednoczesnej możliwości kradzieży milionów BTC.

Kryptografia postkwantowa: standardy NIST

W ramach projektu NIST sfinalizowano prace nad pierwszymi standardami kryptografii postkwantowej w sierpniu 2024 r., kończąc 8-letnią ocenę, w której uczestniczyły setki kryptografów i dziesiątki kandydatów na algorytmy. Rezultatem są dwa podstawowe standardy dotyczące bezpieczeństwa blockchain:

• FIPS 203 — ML-KEM (Kyber): Mechanizm enkapsulacji kluczy oparty na siatce. Jego bezpieczeństwo opiera się na trudności problemu uczenia się modułu z błędami, który jest odporny zarówno na algorytmy Shor, jak i Grover.
• FIPS 205 — SLH-DSA (SPHINCS+): Bezstanowy schemat podpisu cyfrowego oparty na skrótach. Jego bezpieczeństwo zależy wyłącznie od odporności na kolizje funkcji skrótu, klasy problemu, dla którego nie jest znane żadne przyspieszenie kwantowe wykraczające poza kwadratową przewagę algorytmu Grover, któremu można łatwo przeciwdziałać poprzez zwiększenie długości wyjściowej skrótu.

Standardy te istnieją, ponieważ społeczność kryptograficzna osiągnęła konsensus co do tego, że zagrożenie kwantowe dla klasycznej kryptografii klucza publicznego nie jest kwestią if Ale Kiedy. Istotnym pytaniem w przypadku każdego systemu opierającego się na ECDSA, RSA lub EdDSA jest to, czy może on migrować do tych standardów, zanim CRQC zacznie działać.

W przypadku blockchainów tworzy to trudne rozróżnienie: łańcuchy, które muszą migrować (obecnie każdy łańcuch korzystający z ECDSA lub EdDSA) i łańcuchy, które wdrożyły PQC od początku i nie są w ogóle narażone na migrację.

Szacunki osi czasu

Opublikowane plany działania skupiają się w jednym oknie: 2029 do 2033.

• 2026–2028: Maszyny o niewielkiej liczbie tysięcy fizycznych kubitów, żadne z nich nie są odporne na błędy na dużą skalę. Niewystarczające dla secp256k1 — ale jest to faza zbierania danych, a zbierana historia łańcucha jest już publiczna i trwała.
• 2029 — otwiera się okno: IBM dostarcza Starling, około 200 kubitów logicznych. W tym samym roku Google publicznie obrał za cel użyteczną maszynę z poprawionymi błędami. Żadne z nich samo w sobie nie wystarczy. W obu przypadkach ustalono, że kubity logiczne z korekcją błędów stały się produktem inżynieryjnym z datą dostawy, a nie kwestią badawczą.
• 2033 — okno zamyka się: Blue Jay firmy IBM: ponad 2000 kubitów logicznych na około 100 000 kubitów fizycznych. To więcej niż wymagana kwota 1200–1450, z zapasem marginesu. Gdzieś pomiędzy tymi dwiema datami ECDSA-256 przestaje być kryptografią i staje się formalnością.

Ustalone przez NSA terminy CNSA 2.0 – rok 2030 dla przeglądarek i oprogramowania sprzętowego, rok 2033 dla sprzętu sieciowego i systemów operacyjnych, rok 2035 dla wszystkich pozostałych – celowo mieszczą się poza tym oknem. Nikt nie pisze tak kosztownego harmonogramu zgodności w przypadku zagrożenia, które spodziewa się przeoczyć.

Nie są to prognozy poboczne. Są to plany działania dostawców i mandaty rządowe wydane przez IBM, Google, NIST i NSA – organizacje, które nie mają komercyjnego interesu w wyolbrzymianiu zagrożenia, a każdy interes komercyjny ma w jego niedocenianiu.

Referencje

• Google Quantum AI, fundacja Ethereum i Stanford (marzec 2026 r.) — szacunkowe zasoby potrzebne do złamania ECDSA-256: 1200–1450 kubitów logicznych, mniej niż 500 000 kubitów fizycznych, czas działania w minutach. Aktualny punkt odniesienia; zastępuje wszystko poniżej.
• Caltech / Oratomic (2026) — niezależna analiza atomów neutralnych: ~26 000 kubitów fizycznych w porównaniu z secp256k1 w ciągu około 10 dni.
• Roetteler, M., Naehrig, M., Svore, KM i Lauter, K. (2017) — „Oszacowania zasobów kwantowych do obliczania logarytmów dyskretnych krzywej eliptycznej”. Informacje i obliczenia kwantowe, 17(15-16). Historyczny; liczba logiczna ~2330 została zastąpiona.
• Gidney, C. i Ekerå, M. (2021) — „Jak rozłożyć na czynniki 2048-bitowe liczby całkowite RSA w 8 godzin przy użyciu 20 milionów hałaśliwych kubitów”. Kwant, 5, 433.
• Webber, M. i in. (2022) — „Wpływ specyfikacji sprzętu na osiągnięcie przewagi kwantowej w systemie odpornym na awarie”. Nauka kwantowa AVS, 4(1).
• NIST Standaryzacja kryptografii postkwantowej — FIPS 203 (ML-KEM) i FIPS 205 (SLH-DSA), ukończono w sierpniu 2024 r.
• Doradztwo NSA dotyczące cyberbezpieczeństwa: CNSA 2.0 — Wymagania dotyczące migracji pakietu Commercial National Security Algorithm Suite 2.0.
• SEC 2: Zalecane parametry dziedziny krzywej eliptycznej — Specyfikacja secp256k1 używana przez Bitcoin.

Obecny punkt odniesienia jest jasny i nie jest to ten, który Internet ciągle powtarza: pomiędzy 1200 i 1450 kubitów logicznych — w mniej niż 500 000 fizycznych w ciągu kilku minut — wystarczą do złamania secp256k1 (Google Quantum AI, marzec 2026). Każdy większy rząd i laboratorium technologiczne na Ziemi pędzi w stronę tego progu, a próg cofa się, by im sprostać. Jedyne dwa typy łańcuchów bloków, które będą istnieć po pojawieniu się komputerów kwantowych o znaczeniu kryptograficznym, to te, które zostały zbudowane od pierwszego dnia w procesie postkwantowym – i te, które tak nie były.

Nie będzie okna migracji. Miękkiego lądowania nie będzie. Będą tylko łańcuchy, które się przygotowały i łańcuchy, które tego nie zrobiły.