Quando é que os computadores quânticos vão quebrar o Bitcoin? A linha do tempo de 2029

A janela abre em 2029 e estará totalmente aberta em 2033. A matemática foi resolvida em 1994. Aqui está o cronograma técnico e a razão pela qual a janela para a migração já se fechou.

Há uma data a circular dentro de cada laboratório quântico, briefing de inteligência e documento de investigação criptográfica na Terra. Não é um segredo. Não está classificado. É publicado, revisto por pares e endossado pelas organizações que constroem as máquinas e pelas agências que as irão utilizar.

2029.

Este é o ano em que a divisão quântica da Google – a equipa que construiu o Sycamore de 53 qubits, a equipa que construiu o Willow – declarou publicamente que espera computação quântica criptograficamente relevante. Não "algum dia". Não "eventualmente". Uma data num roteiro apoiado por milhares de milhões em investimentos em hardware e um processador que já ultrapassou o limite de tolerância a falhas.

2029 não é um prazo. É o ano em que janela abre. Fecha em 2033, quando o guião publicado pela IBM entrega o Blue Jay: mais de 2.000 qubits lógicos, confortavelmente além do que é necessário para retirar uma chave privada Bitcoin de uma pública. Tudo o que está entre estas duas datas é a zona da morte. Um guião pode demorar um ano; uma janela de quatro anos com dois fornecedores independentes dentro dela não escorrega nada.

Todo o modelo de segurança do Bitcoin expira algures nesta janela. Não por causa de um bug. Não por causa de um hack. Porque a matemática que protege cada chave privada Bitcoin foi comprovadamente quebrável há trinta e dois anos, e a única coisa que está entre essa prova e a execução é o hardware que está a ser construído agora.

A matemática não está em disputa

Em 1994, Peter Shor publicou um algoritmo quântico que resolve o Problema de logaritmo discreto de curva elíptica (ECDLP) em tempo polinomial. Bitcoin utiliza secp256k1 ECDSA, uma curva elíptica de 256 bits, para assinar cada transação. Dada uma chave pública Q = kg, o algoritmo de Shor deriva o escalar privado k.

Classicamente, o melhor ataque requer ~2¹²⁸ operações. Num computador quântico, o ataque requer aproximadamente 1.200–1.450 qubits lógicos - e termina em minutos. Este é o número de março de 2026 de IA quântica do Google, produzido com a Ethereum Foundation e Stanford, e cabe dentro menos de 500.000 qubits físicos. Uma análise independente da Caltech/Oratomic atinge o mesmo alvo em hardware de átomos neutros com aproximadamente 26.000 qubits físicos durante cerca de dez dias.

Observe o que significa antes de avançar. Cada número neste ataque ficou mais pequeno:

• Roetteler et al. (2017): 2.330 qubits lógicos – o número que a Internet ainda cita, nove anos obsoletos
• Gidney e Ekerå (2021): ~20 milhões de qubits físicos, 8 horas, para RSA-2048
• Gidney (2025): a mesma meta RSA-2048, revista em baixa para menos de 1 milhão qubits ruidosos em menos de uma semana – um corte de 20x em seis anos, pelo mesmo autor
• Google Quantum AI (Março de 2026): ECDSA-256 em 1.200–1.450 lógicos/menos de 500.000 físicos, em minutos

As estimativas não convergiram. Eles entrou em colapso. Cada revisão séria aproximou o limiar, nunca mais, e o secp256k1 acabou por ser o alvo mais barato e mais próximo desde o início – mais barato do que o RSA, mais barato do que qualquer pessoa que cita o documento de 2017 quer admitir. O debate terminou e não terminou onde os defensores do Bitcoin presumiram.

A linha do tempo de 2029: quem disse o quê

Em dezembro de 2024, Hartmut Neven – fundador e responsável da Google Quantum AI – declarou num Tempos Financeiros entrevista que a Google está no bom caminho para construir um “computador quântico útil e de grande escala” até ao final de 2029. Isto não era uma sebe. Foi um compromisso público apoiado por um processador que acabara de ultrapassar a barreira da tolerância a falhas.

Esta não é uma previsão marginal. Cada grande instituição com acesso ao hardware real publicou um cronograma e todos eles se sobrepõem.

As agências de informação não impõem prazos de migração para ameaças que consideram remotas. A NSA publicou o CNSA 2.0 em 2022 e deu a todos os sistemas de segurança nacional dos EUA 13 anos para completar a transição. Esse prazo é 2035. Não escolheram esse número arbitrariamente.

O orçamento quântico da China – divulgado publicamente em mais de 15 mil milhões de dólares – não é um projecto de feira de ciência. O PCC fez da computação quântica uma pedra basilar da sua estratégia nacional para dominar o ciberespaço e a tecnologia avançada. Este é o mesmo aparelho estatal que se tornou líder mundial no transporte ferroviário de alta velocidade, nos drones comerciais (a DJI controla mais de 70% do mercado global) e nas infraestruturas 5G numa única década, quando decidiu que estes setores eram prioridades nacionais. A Força de Apoio Estratégico do ELP integrou explicitamente a computação quântica na doutrina militar. Quando a China designa uma tecnologia como prioridade estratégica e a apoia com capital dirigido pelo Estado, o historial mostra que cumprem. Se acredita que os Estados Unidos e a China estão a gastar dezenas de milhares de milhões em hardware que nunca funcionará, tem uma imaginação mais criativa do que a dos engenheiros que constroem as máquinas.

Google Willow: o limite que mudou tudo

No final de 2024, o processador Willow da Google conseguiu algo que a cobertura mais popular não conseguiu apreciar. Atravessou o limite de tolerância a falhas: o ponto onde adicionar mais qubits físicos a um sistema reduz erro total em vez de o aumentar.

Antes deste limite, os computadores quânticos estavam presos numa armadilha: mais qubits significavam mais ruído, o que significava mais erros, o que anulava a vantagem computacional. A expansão foi ativamente contraproducente. Willow provou que a engenharia da correção quântica de erros (QEC) atingiu o ponto em que dimensionar agora ajuda.

Esta não é uma melhoria incremental. É uma transição de fase qualitativa. Antes de Willow, a questão era "pode ​​a correção quântica de erros funcionar à escala?" Depois de Willow, a questão é “quão rápido podemos escalar?”

A resposta, baseada na trajetória da IBM de duplicar aproximadamente a contagem de qubits a cada 18-24 meses e no progresso paralelo da Google, é: suficientemente rápido para atingir o limiar do ECDLP nesta década.

O que acontece ao Bitcoin quando o limite é ultrapassado

Por Glassnode, em maio de 2026, 6,04 milhões de BTC – 30,2% de toda a oferta, cerca de 469 mil milhões de dólares - já têm as suas chaves públicas on-chain. São 1,92 milhões expostos estruturalmente em resultados de pagamento para chave pública (P2PK) que nunca esconderam a chave, além de 4,12 milhões expostos operacionalmente através da reutilização de endereços. Aproximadamente 1,7 milhões estão nos primeiros endereços P2PK, incluindo os 1,1 milhões de BTC estimados de Satoshi. Sobre 2,3 milhões de BTC estão irreversivelmente em risco; os outros cerca de 3,7 milhões ainda poderão migrar, se os seus proprietários estiverem vivos e atentos.

Um CRQC alimenta qualquer uma destas chaves públicas no algoritmo do Shor, gera a chave privada e assina uma transferência. Nenhuma exploração necessária. Matemática pura em dados disponíveis publicamente – quase um terço de todos os Bitcoin, abertamente, à espera.

O ataque dinâmico é pior, e o número de tempo de execução de março de 2026 é o que o torna real: quando qualquer utilizador gasta num endereço P2PKH, a chave pública fica exposta no mempool durante ~10 minutos. Um ataque que demora horas não pode utilizar esta janela. Um ataque que demora minutos vive dentro dele. Isto significa que mesmo o Bitcoiner disciplinado que nunca reutiliza um endereço está exposto a cada gasto. E mesmo que uma fração das moedas de Satoshi se mova, isso sinaliza que o secp256k1 está partido – não uma queda, mas uma espiral mortal.

Porque é que o Bitcoin não consegue migrar a tempo

"Bitcoin apenas irá atualizar." Três restrições estruturais tornam esta fantasia:

1.º Latência de governação. A atualização do SegWit – muito mais reduzida em âmbito – necessária 4 anos de debate, produziu Bitcoin Cash e quase fraturou a rede. Substituir o ECDSA em cada carteira, nó e subscritor de hardware é muito mais difícil. Não existe tal proposta no guião do Bitcoin Core.

2.º Assinatura suspensa. As assinaturas SPHINCS+ são 7.856 bytes contra 72 de ECDSA, um Proporção de 109:1. Os ~7 TPS do Bitcoin caem para quase zero sem um aumento no tamanho do bloco, o que reacende a mesma guerra que produziu o fork de 2017.

3.º Chaves não migráveis. Os ~1,1 milhões de BTC de Satoshi não podem ser movidos. Aproximadamente 2,3 milhões de BTC no total estão irreversivelmente expostos – chaves perdidas, proprietários mortos, carteiras abandonadas – e nenhum soft fork, hard fork ou voto de governação pode alcançar um único satoshi disto. Estas moedas permanecem vulneráveis ​​para sempre. O impacto no mercado de milhões de BTC roubáveis ​​está num nível de extinção para a avaliação da Bitcoin.

O relógio está a correr

Em março de 2026, o cronograma era assim:

A janela entre “devemos começar a migrar” e “é tarde demais para migrar” é mais curta do que o modelo de governação do Bitcoin consegue processar uma mudança de consenso. Esta é a condição fundamental de morte. Não os qubits. Não os algoritmos. A latência da governação.

Como é realmente a resistência quântica

O NIST finalizou os padrões de encriptação pós-quântica em agosto de 2024: FIPS 203 (ML-KEM / Kyber) para encapsulamento de chaves e FIPS 205 (SLH-DSA / SPHINCS+) para assinaturas digitais. Estes são os algoritmos que o governo dos EUA utilizará para proteger dados sensíveis de ataques quânticos.

Qualquer blockchain que implemente estes padrões desde a génese não tem problema de migração. Sem chave legada exposta. Sem batalha de governança. Sem endereço não migrável. Quando chega o Q-Day, as redes construídas no NIST PQC enfrentam um dia como qualquer outro.

A questão já não é “será que os computadores quânticos vão quebrar o Bitcoin?” A questão é se terá transferido a sua riqueza para infraestruturas resistentes ao quantum antes do anúncio. Porque quando o intervalo for público, as chaves privadas já estarão extraídas. O dinheiro inteligente move-se antes o obituário está escrito.

Referências

• Google Quantum AI, com a Fundação Ethereum e Stanford (Março de 2026) — Estimativa de recursos ECDSA-256: 1.200–1.450 qubits lógicos, menos de 500.000 físicos, tempo de execução em minutos. A referência atual.
• Caltech/Oratomic (2026) — análise independente de átomos neutros: aproximadamente 26.000 qubits físicos em aproximadamente 10 dias.
• Gidney (maio de 2025) — RSA-2048 revisto para menos de 1 milhão de qubits ruidosos em menos de uma semana, abaixo dos 20 milhões de qubits e 8 horas em 2019.
• Roetteler et al. (2017) — Estimativas de recursos quânticos para ECDLP de 256 bits. Informação e computação quântica. Histórico; o número lógico de ~2.330 é substituído.
• Gidney e Ekerå (2021) — Como factorizar RSA de 2048 bits em 8 horas utilizando 20 milhões de qubits ruidosos. Quântico, 5, 433. Substituído pela revisão de 2025 do próprio autor.
• Webber et al. (2022) — Impacto das especificações de hardware na obtenção de vantagem quântica. AVS Ciência Quântica.
• NSA CNSA 2.0 (2022) — Requisitos de migração do Commercial National Security Algorithm Suite 2.0.
• Normalização NIST PQC — FIPS 203 (ML-KEM) e FIPS 205 (SLH-DSA), finalizado em agosto de 2024.