Quando é que o Quantum quebrará a criptografia? Porque é que a sua carteira já está comprometida

O medo: a sua carteira já está comprometida

Está a ler isto porque pesquisou "quando o quantum quebrará a criptografia" e quer que alguém lhe diga que ainda faltam décadas. Eu também queria isso. Não tenho essa resposta.

Em vez disso, eis o que tenho: a IBM planeia 100.000 qubits até 2033, com o Starling com cerca de 200 qubits lógicos em 2029 e o Blue Jay com mais de 2.000 qubits lógicos em 2033. O chip Willow de 105 qubits da Google demonstrou uma correção de erros abaixo do limite em dezembro de 2024 - a adição de qubits fez com que mais estável, uma mudança que o campo espera estar a anos de distância. A PsiQuantum está a construir uma máquina fotónica de um milhão de qubits. E o NIST, o organismo federal de normalização dos Estados Unidos, finalizou as normas de criptografia pós-quântica em agosto de 2024 porque concluiu que a ameaça é suficientemente real para uniformizar as defesas para agora mesmo. Coloque os roteiros em relação aos prazos de migração da NSA CNSA 2.0 de 2030 a 2035 e a janela de chegada chegará a 2029 a 2033.

Depois, há a parte que realmente me tirou o chão debaixo de mim. Em março de 2026, a Google Quantum AI – trabalhando com a Fundação Ethereum e Stanford – publicou um ataque compilado ao ECDSA de 256 bits, necessitando apenas 1.200 a 1.450 qubits lógicos, cabendo dentro menos de 500.000 qubits físicos, e terminando em minutos. Os minutos são suficientemente rápidos, em princípio, para retirar a chave pública de uma transação no mempool e drenar o endereço antes de ser confirmado. O número mais antigo citado por todos, aproximadamente 2.330 qubits lógicos, foi substituído. A exigência não está a crescer. Está a ser revisto para baixo.

O único conforto honesto: o melhor hardware público da atualidade existe 2.500 qubits físicos, e nada disto é tolerante a falhas à escala. Essa lacuna é real. É também a única coisa que tem, e ambas as extremidades estão a mover-se uma em direção à outra.

Mas a questão do horário perde o foco. Quando é que os computadores quânticos vão quebrar a criptomoeda? A resposta honesta é que o compromisso já está em curso. Não porque exista hoje um computador quântico. Porque os seus dados já estão a ser recolhidos no primeiro dia.

Cada subscrição ECDSA que já transmitiu fica numa blockchain pública, permanente e replicada globalmente. Cada transação que assinou expôs a sua chave pública secp256k1 ao mundo. Estes dados não vão a lado nenhum. É imutável por design. E alguém, algures, está a armazená-lo numa fila chamada “decifrar quando estiver pronto”.

A Ciência: Algoritmo Shor e Exposição de Chave Pública

A vulnerabilidade fundamental é elegante e assustadora:

1. Assina uma transação utilizando ECDSA secp256k1.
2. A sua chave pública é publicada no blockchain.
3. O algoritmo do Shor, num computador quântico, calcula a sua chave privada a partir da sua chave pública.
4. O atacante assina uma nova transação enviando os seus fundos para o seu endereço.

Isto não é "poderia acontecer". Este é o resultado matemático comprovado de Algoritmo de Shor aplicado ao problema do logaritmo discreto da curva elíptica. Publicado em 1994. Validado por três décadas. Aguarda hardware.

Agora coloque uma camada colher agora, desencriptar depois. As agências de inteligência e os grupos avançados de ameaças persistentes recolhem tráfego encriptado em grande escala. Não precisam de um computador quântico hoje. Precisam de armazenamento hoje e, eventualmente, de um computador quântico. Os dados Blockchain são o alvo mais fácil porque são públicos, permanentes e auto-documentados.

O ameaça quântica à criptografia não é um evento futuro. É um processo presente com uma data de detonação futura.

Que moedas já estão condenadas

Se a cadeia utilizar criptografia de curva elíptica para assinatura de transação, está condenado:

• Bitcoin (BTC): ECDSA secp256k1. Chaves públicas expostas em cada despesa. 6,04 milhões de BTC – 30,2% da oferta, cerca de 469 mil milhões de dólares — permanecer em endereços com chaves públicas expostas (Glassnode, maio de 2026): 1,92 milhões expostos estruturalmente no formato de pagamento para chave pública, 4,12 milhões expostos operacionalmente através da reutilização de endereços. Cerca de 2,3 milhões deste estão irreversivelmente em risco, incluindo cerca de 1,1 milhões atribuídos a Satoshi.
• Ethereum (ETH): ECDSA secp256k1. As interações frequentes de contratos inteligentes amplificam a exposição principal. Os utilizadores DeFi são os mais expostos.
• Solana (SOL): Ed25519. Curva diferente, vulnerabilidade quântica idêntica. O algoritmo do Shor é independente da curva.
• Ondulação (XRP): ECDSA secp256k1. Mesma sentença de morte que Bitcoin.
• Monero (XMR): Assinaturas de anéis Ed25519. As características de privacidade ocultam o remetente dos observadores clássicos. Não escondem a chave pública do algoritmo Shor.

Nenhuma destas cadeias funciona criptografia pós-quântica em produção. Nenhum se comprometeu com uma data de migração da mainnet. O risco de criptografia de computação quântica não é hipotético. É um fosso de engenharia entre a ameaça e a resposta.

O que realmente sobrevive aos computadores quânticos

NIST passou oito anos a avaliar candidatos pós-quânticos. Em agosto de 2024, uniformizaram duas famílias:

Kyber-768 (NIST FIPS 203, ML-KEM-768): Encapsulamento de chaves baseado em rede. Gera segredos partilhados utilizando o problema Módulo Aprendizagem com Erros. Os computadores quânticos não oferecem um ataque eficiente contra problemas de rede.

SPHINCS+ (NIST FIPS 205, SLH-DSA): baseado em hash assinatura de transação. A segurança depende de funções hash criptográficas sem estrutura algébrica para exploração pelo algoritmo do Shor. SPHINCS+ utiliza sal criptográfico para evitar ataques de pré-computação, aleatorizando a árvore hash para que nenhum atacante possa construir tabelas arco-íris com base no esquema de assinatura.

Não são experiências de laboratório. São padrões federais NIST. Pronto para produção. Testado em batalha ao longo de anos de criptoanálise pública por investigadores de mais de 25 países.

SynergyX já lá está

Deixem-me contar-vos o que interrompeu a minha espiral de pânico às 3 da manhã: SynergyX.

Não porque prometa prontidão pós-quântica em alguma atualização futura. Porque corre Kyber-768 + SPHINCS+ em produção agora. Desde a génese. Cada bloco. Cada transação. Sem migração. Nenhum endereço herdado do ECDSA permanece na cadeia como munições não detonadas.

• Encapsulamento de chave Kyber-768 protege todas as trocas de chaves e handshakes entre pares. Sem ECDH. Sem acordo de chave secp256k1. Baseado em treliça desde o fio para cima.
• Assinatura de transação sem estado SPHINCS+ authenticates every send. Each signature carries its own randomiser. No ECDSA. No exposed elliptic curve public keys.
• Optional private sends, encrypted under Kyber-768. Ordinary sends are transparent, and either way there is no elliptic-curve key exposed for a later attack.
• Sem risco de migração. Bitcoin users would need to move coins to new address types if draft proposals such as BIP 360 and BIP 361 activate. SynergyX users need to do nothing because the chain was quantum-safe from block zero.

A questão "quando o quantum quebrará a criptografia" has a different answer depending on which crypto you hold. If you hold ECDSA chains, the answer is "soon and retroactively." If you hold SynergyX, there is no elliptic-curve key for Shor’s algorithm to attack.