How Many Qubits to Break Bitcoin secp256k1? 1,200–1,450 Logical Qubits

En undersökning av qubit-uppskattningarna, hårdvarubanan och vad en kollaps i storleksordningen betyder för ECDSA-säkrade blockkedjor.

Hela Bitcoin:s säkerhetsmodell vilar på ett antagande: att bryta secp256k1 ECDSA är beräkningsmässigt omöjligt.

Det antagandet håller på att dö.

Peter Shor bevisade det 1994. En tillräckligt kraftfull kvantdator som kör hans algoritm kan härleda en privat nyckel från en offentlig nyckel i minuter — inte år, inte decennier, minuter. Den enda återstående frågan är hur många qubits den datorn kommer att behöva. Litteraturen har ett svar, den har reviderats ned varje gång den besöktes igen, och den är nu mycket närmare än någon Bitcoin-innehavare vill tro.

secp256k1 och problemet med diskret logaritm

Varje Bitcoin-transaktion autentiseras med ECDSA på secp256k1-kurvan, en 256-bitars elliptisk kurva specificerad i SEK 2 och antogs av Satoshi Nakamoto 2009. Säkerheten för detta system vilar på Elliptisk kurva diskret logaritmproblem (ECDLP): ges en offentlig nyckel Q = kG, hitta skalären k.

Klassiskt kräver den mest kända attacken (Pollards rho) ~2¹²⁸ operationer. Med en biljon operationer per sekund skulle det ta längre tid än universums ålder. Problemet är verkligen svårt för klassiska maskiner.

Det är inte svårt för kvantmaskiner. 1994 publicerade Peter Shor en kvantalgoritm som löser det diskreta logaritmproblemet i polynomtid, vilket minskar det som tar klassiska datorer miljarder år till en beräkning som kan mätas på några minuter. Algoritmen utnyttjar kvantöverlagring för att utvärdera exponentiellt många kandidater parallellt, och använder sedan kvant-Fourier-transformer för att extrahera perioden, vilket ger den privata nyckeln.

ECDSA på secp256k1 faller helt och hållet inom problemklassen Shors algoritm var designad för. Detta är ingen gissning. Det är ett matematiskt bevis, publicerat för trettiotvå år sedan, och aldrig vederlagt.

Logiska vs. Fysiska Qubits: Varför uppskattningarna skiljer sig åt

Förvirringen i populär bevakning härrör från att blanda två fundamentalt olika mått. Logiska qubits är de felkorrigerade, matematiskt perfekta enheterna som Shor:s algoritm kräver. Fysiska qubits är de brusiga, felbenägna hårdvaruelementen som måste grupperas och felkorrigeras för att producera varje logisk qubit.

Litteraturen om ECDLP qubit-kostnaden, den senaste först. Se färdriktningen:

Qubit estimates for breaking secp256k1 — SynergyX Research,
https://synxcrypto.com/articles/123-how-many-qubits-to-break-bitcoin-secp256k1.php#estimates

Läs tabell topp till botten och historien skriver sig själv. Det logiska qubit-kravet höll inte på 2 000–2 500. Det föll till 1,200–1,450. Den fysiska omkostnaden höll inte på 20 miljoner, eller på 317 miljoner. Det föll till under 500 000 — och på neutral-atom hårdvara, till ungefär 26,000. Attacktiden höll inte i timmar. Det föll till minuter.

Detta är vad som händer när bättre kretsar möter bättre felkorrigering. Varje uppskattning som branschen publicerade var en övre gräns skriven av människor som varje år upptäckte att de hade varit för pessimistiska. Bitcoin:s försvarare citerar 2017 års nummer. Google publicerade 2026.

Intressekonfliktproblemet

Det är värt att notera vem som tjänar på att rama in dessa siffror i en viss riktning.

Bitcoin-maximalister och stora institutionella innehavare som MicroStrategy och Marathon Digital, med miljarder i BTC-exponering, har ett uppenbart motiv att karakterisera kvanthotet som avlägset eller överdrivet. Detta är inte spekulationer om avsikt; det är en observation om incitamentsstrukturer. Samma dynamik har utspelat sig i andra branscher: tobaksföretag finansierade årtionden av kontrarisk forskning om rökning, och fossilbränsleföretag finansierade tvivel om klimatmodeller. Finansiell exponering ger motiverade resonemang.

Lägg märke till vilka siffror dessa intressen fortsätter att upprepa. De bekväma. De nio år gamla. Roettelers 2 330 logiska qubits, tillsammans med ett generöst felkorrigeringsförhållande på 2 000:1, ger en lugnande rubrik med "miljontals fysiska qubits, decennier bort." Det är aritmetik som utförs på en ersatt ingång.

Den aktuella ingången är 1 200–1 450 logiska qubits i färre än 500 000 fysiska, på några minuter (Google Quantum AI, mars 2026). IBMs publicerade färdplan sätter Starling på ungefär 200 logiska qubits 2029 och Blue Jay på mer än 2 000 logiska qubits på ca 100 000 fysiska qubits 2033 — rakt igenom kravet, med plats över. Googles Hartmut Neven har offentligt sagt att hans team förväntar sig kryptografiskt relevant kvantberäkning till 2029. Gapet mellan nuvarande hårdvara och hottröskeln mäts i år, inte generationer - och det stängs från båda ändarna samtidigt, eftersom målet rör sig ner medan hårdvaran rör sig uppåt.

Aktuell hårdvara: 2026 ögonblicksbild

Ingen kvantdator som finns kan bryta secp256k1. De mest allmänt kända maskinerna sitter på ungefär 2 500 fysiska qubits, och inte en av dem är feltolerant i skala. Hotmodellen är prospektiv, inte omedelbar. Men banan är viktigare än den aktuella ögonblicksbilden - och mållinjen flyttade bara flera hundra tusen qubits närmare.

Två datapunkter förtjänar uppmärksamhet. För det första har IBM ungefär fördubblat sitt antal qubits tre gånger på fyra år, och dess färdplan är offentlig. För det andra korsade Googles 105-qubit Willow-processor i december 2024 feltoleransgräns: punkten där att lägga till fler fysiska qubits minskar det totala systemfelet snarare än att öka det. Det avgjorde ett riktmärke på under fem minuter som skulle ta en klassisk superdator i storleksordningen 10²⁵ år. Detta är en kvalitativ tröskel, inte en inkrementell förbättring. Det betyder att uppskalning nu hjälper snarare än gör ont, vilket är just därför som felkorrigeringsoverheaden i tabellen ovan kollapsade som den gjorde.

NSA:s CNSA 2.0-rådgivning, publicerad 2022, ger mandat att alla amerikanska nationella säkerhetssystem slutför migreringen till post-kvantkryptering senast 2035. Underrättelsebyråer publicerar inte migrationsdeadlines för hot som de anser vara avlägsna.

Exponeringsytan: 6,04 miljoner BTC

Qubit-antalet är hälften av riskekvationen. Den andra är hur mycket Bitcoin som redan är kryptografiskt exponerad. Den siffran har också flyttat — åt fel håll för Bitcoin.

Per Glassnode, från och med maj 2026, 6,04 miljoner BTC — 30,2 % av hela utbudet, ungefär 469 miljarder dollar — har redan sina offentliga nycklar synliga i kedjan. Uppdelningen är lärorik: 1,92 miljoner BTC är strukturellt exponerade i pay-to-public-key (P2PK)-utgångar som aldrig gömde nyckeln i första hand, och 4,12 miljoner BTC är operativt exponerade genom adressåteranvändning, där nyckeln blir offentlig i samma ögonblick som ägaren spenderar. Ungefär 1,7 miljoner BTC sitta i tidiga P2PK-adresser, inklusive de ~1,1 miljoner som tillskrivs Satoshi Nakamoto. Av totalt ca 2,3 miljoner BTC är irreversibelt i riskzonen; de återstående ~3,7 miljonerna skulle fortfarande kunna migrera, om deras ägare är vid liv, uppmärksammar och är villiga.

Dessa nycklar är inte hashade. De sitter i UTXO-uppsättningen som råkomprimerade offentliga nycklar, läsbara av alla med en full nod och en internetanslutning.

En CRQC med 1 200–1 450 logiska qubits kan härleda motsvarande privata nyckel från vilken som helst av dem med hjälp av Shor:s algoritm. Inget utnyttjande. Ingen sårbarhetsupptäckt. Ingen nolldag. Enkel beräkning på allmänt tillgänglig data — nästan en tredjedel av alla Bitcoin sitter i det fria med svarsnyckeln tryckt på framsidan.

Det finns också ett dynamiskt exponeringsfönster, och det är här som körtidssiffran för mars 2026 slutar vara akademisk. När någon spenderar från en vanlig P2PKH-adress sänds den publika nyckeln till mempoolen och förblir synlig i genomsnitt 10 minuter innan blockeringsbekräftelse. En attack som tar timmar kan inte utnyttja det fönstret. En attack som tar minuter kan. Googles uppskattning flyttar inte bara fram datumet – det omvandlar ett problem med statisk honungskruka till ett problem med livetransaktioner, vilket innebär att även en perfekt hygienisk Bitcoin-användare som aldrig återanvänder en adress avslöjas varje gång de flyttar ett mynt.

A hygiene habit is not a security model, and the mempool does not care how careful you have been. The only durable fix for a key that becomes public the instant you spend is to stop holding a coin built on exposed keys in the first place — swap exposed BTC for a chain that starts post-quantum, since Bitcoin Core has no migration plan to wait for.

Skörda nu, dekryptera senare

HNDL-hotmodellen kräver ingen CRQC för att existera idag. Det kräver bara att en motståndare tror en kommer att finnas inom den användbara livslängden för de data som samlas in.

Bitcoin:s hela transaktionshistorik är offentlig. Varje offentlig nyckel som någonsin exponerats – genom P2PK-adresser, förbrukade P2PKH-utdata eller multisig-skript – är permanent inspelade och fritt nedladdningsbara. En motståndare med en lång tidshorisont kan skörda denna data nu och dekryptera den när kvanthårdvaran mognar. Kostnaden för lagring är trivial i förhållande till nycklarnas värde.

Detta är inte en teoretisk övning. NSA:s CNSA 2.0-rådgivning och NIST:s 8-åriga PQC-standardiseringsansträngning existerar båda eftersom den amerikanska regeringen anser att HNDL är ett trovärdigt, aktivt hot mot klassisk kryptografi. Blockchain-data, som är oföränderlig och offentlig till sin design, är unikt sårbar för denna attackklass.

Migrationsproblemet

Standard motbevisning är att Bitcoin kommer att uppgradera till post-kvantsignaturer när hotet materialiseras. Tre strukturella begränsningar gör detta betydligt svårare än det verkar.

Latens för styrning. Bitcoin:s konsensusmodell optimerar för stabilitet, inte hastighet. SegWit-uppgraderingen – som modifierade transaktionsserialisering utan att ändra signaturschemat – krävde 4 års debatt, producerade en konkurrerande gaffel (Bitcoin Cash), och nästan splittrade nätverket permanent. En post-kvantmigrering skulle kräva att ECDSA ersätts för varje plånbok i nätverket och är storleksordningar mer invasiv. Inget sådant förslag finns på Bitcoin Cores utvecklingsfärdplan från och med mars 2026.

Signatur overhead. SPHINCS+-signaturer (NIST FIPS 205) är 7 856 byte. Bitcoin:s nuvarande ECDSA-signaturer är 72 byte, en 109:1 förhållande. Bitcoin:s 1 MB basblockstorlek begränsar redan genomströmningen till cirka 7 transaktioner per sekund. Att tillgodose postkvantiga signaturer utan grundläggande arkitektoniska förändringar skulle minska det till nästan noll. Att öka blockstorleken för att kompensera skulle återuppta samma styrelsestrid som ledde till 2017 års gaffelkrig.

Unmigreerbara nycklar. Satoshi Nakamotos uppskattade 1,1 miljoner BTC kan inte flyttas eftersom nycklarna antas förlorade. Detsamma gäller flera miljoner extra BTC i vilande plånböcker med synliga publika nycklar. Dessa mynt kan inte delta i någon migration av signaturscheman och skulle förbli sårbara på obestämd tid, oavsett vad aktiva plånböcker gör. Marknadskonsekvenserna av att miljontals BTC samtidigt blir stjälbara är svåra att överskatta.

Post-kvantkryptering: NIST-standarderna

NIST slutförde de första post-kvantkrypteringsstandarderna i augusti 2024, och avslutade en 8-årig utvärdering som involverade hundratals kryptografer och dussintals kandidatalgoritmer. Resultatet är två primära standarder som är relevanta för blockchain-säkerhet:

• FIPS 203 — ML-KEM (Kyber): En gitterbaserad nyckelinkapslingsmekanism. Dess säkerhet vilar på hårdheten hos Module Learning With Errors-problemet, som är resistent mot både Shor:s och Grover:s algoritmer.
• FIPS 205 — SLH-DSA (SPHINCS+): Ett statslöst hash-baserat digitalt signatursystem. Dess säkerhet beror enbart på kollisionsmotståndet för hashfunktioner, en problemklass utan känd kvanthastighet utöver den kvadratiska fördelen med Grover:s algoritm, som lätt motverkas genom att öka hashutgångslängden.

Dessa standarder existerar eftersom det kryptografiska samhället nådde konsensus om att kvanthotet mot klassisk kryptografi med offentliga nyckel inte är en fråga om if men när. Den relevanta frågan för alla system som förlitar sig på ECDSA, RSA eller EdDSA är om det kan migrera till dessa standarder innan en CRQC är i drift.

För blockkedjor skapar detta en hård åtskillnad: kedjor som måste migrera (varje kedja använder ECDSA eller EdDSA idag) och kedjor som distribuerade PQC från genesis och inte står inför någon migration alls.

Tidslinjeuppskattningar

De publicerade färdplanerna konvergerar i ett enda fönster: 2029 till 2033.

• 2026–2028: Maskiner i de låga tusentals fysiska qubits, ingen feltolerant i skala. Otillräckligt för secp256k1 — men detta är skördefasen, och kedjehistoriken som skördas är redan offentlig och permanent.
• 2029 — fönstret öppnas: IBM skickar Starling, ungefär 200 logiska qubits. Google har offentligt riktat in sig på en användbar, felkorrigerad maskin samma år. Ingendera räcker i sig. Båda fastställer att felkorrigerade logiska qubits har blivit en teknisk leverans med ett leveransdatum snarare än en forskningsfråga.
• 2033 — fönstret stängs: IBMs Blue Jay: mer än 2 000 logiska qubits på ungefär 100 000 fysiska. Det är förbi kravet på 1 200–1 450 med marginal över. Någonstans mellan dessa två datum slutar ECDSA-256 att vara kryptografi och blir en formalitet.

NSA:s CNSA 2.0-deadlines – 2030 för webbläsare och firmware, 2033 för nätverksutrustning och operativsystem, 2035 för allt annat – sitter medvetet över och bortom det fönstret. Ingen skriver ett efterlevnadsschema som är så dyrt för ett hot de förväntar sig att missa.

Det här är inte randförutsägelser. De är leverantörsfärdplaner och regeringsmandat från IBM, Google, NIST och NSA – organisationer som inte har något kommersiellt intresse av att överskatta hotet och alla kommersiella intressen av att underskatta det.

Referenser

• Google Quantum AI, med Ethereum Foundation och Stanford (mars 2026) — resursuppskattning för att bryta ECDSA-256: 1 200–1 450 logiska qubits, färre än 500 000 fysiska qubits, körtid i minuter. Det nuvarande riktmärket; ersätter allt nedan.
• Caltech / Oratomic (2026) — oberoende neutral-atomanalys: ~26 000 fysikaliska qubits mot secp256k1 under ungefär 10 dagar.
• Roetteler, M., Naehrig, M., Svore, K.M., & Lauter, K. (2017) — "Kvantumresursuppskattningar för beräkning av diskreta logaritmer för elliptiska kurvor." Kvantinformation och beräkningar, 17(15-16). Historisk; den logiska siffran ~2 330 ersätts.
• Gidney, C. & Ekerå, M. (2021) — "Hur faktorisera 2048 bitars RSA-heltal på 8 timmar med 20 miljoner brusiga qubits." Kvant, 5, 433.
• Webber, M. et al. (2022) — "Hårdvaruspecifikationernas inverkan på att uppnå kvantfördelar i den feltoleranta regimen." AVS Quantum Science, 4(1).
• NIST Post-Quantum Cryptography Standardization — FIPS 203 (ML-KEM) och FIPS 205 (SLH-DSA), färdigställd augusti 2024.
• NSA Cybersecurity Advisory: CNSA 2.0 — Kommersiell National Security Algorithm Suite 2.0 migreringskrav.
• SEK 2: Rekommenderade domänparametrar för elliptisk kurva — secp256k1-specifikation som används av Bitcoin.

Det nuvarande riktmärket är tydligt, och det är inte det som internet fortsätter att upprepa: mellan 1 200 och 1 450 logiska qubits — inuti färre än 500 000 fysiska, på minuter — är tillräckliga för att bryta secp256k1 (Google Quantum AI, mars 2026). Alla stora regeringar och tekniklabb på jorden skyndar sig mot den tröskeln, och tröskeln fortsätter att gå tillbaka för att möta dem. De enda två typerna av blockkedjor som kommer att existera efter ankomsten av kryptografiskt relevanta kvantdatorer är de som byggdes post-quantum från dag ett - och de som inte var det.

Det kommer inte att finnas något migreringsfönster. Det blir ingen mjuklandning. Det kommer bara att finnas kedjor som förberedde sig, och kedjor som inte gjorde det.