Cryptopolitan encuestó a sus lectores del boletín sobre si la computación cuántica podría romper Bitcoin antes de 2035. La pregunta adquiere mayor urgencia después de que un modelo de IA no publicado descubriera una falla en un esquema de firma poscuántica el 28 de julio — una vulnerabilidad que dos años de revisión humana experta no habían detectado. No intervino ninguna computadora cuántica en ese hallazgo. Este informe examina la arquitectura criptográfica subyacente de Bitcoin, la amenaza específica que la computación cuántica representa para BTC y por qué el avance en criptoanálisis impulsado por IA introduce una nueva dimensión en la línea temporal del riesgo cuántico.

Dónde se ubican los lectores

Al combinar a los encuestados que respondieron "sí, probablemente lo harán" con el grupo de "antes de 2030", el 47% de los lectores cree que una ruptura cuántica de Bitcoin es plausible dentro de los próximos nueve años. La mayor clave de curva elíptica jamás rota en hardware cuántico real sigue siendo de 15 bits — lograda en abril por un investigador que afirma el Q-Day Prize de Project Eleven. Las claves de Bitcoin, en cambio, son de 256 bits. Cubrir esa diferencia en nueve años exigiría un ritmo extraordinario de progreso de ingeniería. Aproximadamente un tercio de la audiencia considera actualmente esto una posibilidad real.

Qué está realmente en riesgo para BTC

Bitcoin no cifra datos. Todas las transacciones en la red han sido públicamente visibles desde su creación. Lo que Bitcoin hace es firmar y hashear — dos operaciones matemáticas distintas con perfiles de amenaza cuántica muy diferentes.

El mecanismo de firma es el componente expuesto. Cuando se gasta Bitcoin, una billetera genera una firma que demuestra la propiedad usando criptografía de curva elíptica conocida como secp256k1. Bitcoin ha empleado dos métodos de firma: ECDSA desde su lanzamiento y Schnorr desde 2021. Ambos dependen de la misma suposición fundamental: que derivar una clave privada a partir de una clave pública es computacionalmente inviable.

Ahí es donde entra el algoritmo de Shor, que desafía directamente esa suposición. Con una computadora cuántica lo suficientemente grande, puede reconstruir una clave privada a partir de su clave pública correspondiente. En marzo, investigadores de Google publicaron estimaciones que situaban el requisito en menos de 1,200 qubits lógicos y por debajo de 500,000 qubits físicos. Un artículo posterior de Caltech y Oratomic redujo esa cifra a aproximadamente 10,000 qubits usando una arquitectura de átomos neutros. No se ha construido ninguna máquina cercana a esas especificaciones. IBM, su procesador cuántico públicamente divulgado más avanzado, Condor, opera con aproximadamente 1,121 qubits físicos — ninguno con corrección de errores — y la sobrecarga necesaria para convertir qubits físicos ruidosos en qubits lógicos estables sigue siendo una barrera de ingeniería considerable. Sin embargo, esas estimaciones antes llegaban a los millones, y esa trayectoria descendente explica por qué los desarrolladores de Bitcoin ya no tratan esto como una preocupación lejana de la década de 2040.

El lado del hash es considerablemente más resistente. Bitcoin usa SHA-256 para la minería, la generación de direcciones y el enlace de bloques. El ataque cuántico conocido más eficaz, el algoritmo de Grover, solo ofrece una aceleración cuadrática, reduciendo la seguridad de 256 bits a aproximadamente 128 bits, lo que sigue estando muy fuera del alcance de cualquier máquina que hoy se haya teorizado. La minería y la estructura de la cadena no son los puntos vulnerables.

Por tanto, el marco preciso es más estrecho que "la computación cuántica rompe Bitcoin". Las monedas realmente en riesgo son aquellas cuyas claves públicas ya están visibles en la cadena. Esto ocurre cuando una dirección ya ha sido gastada antes, o cuando los fondos residen en formatos de dirección más antiguos que exponen la clave por defecto. Las estimaciones actuales sitúan esta exposición entre 6.5 y 6.9 millones de BTC — aproximadamente entre una cuarta y una tercera parte del suministro total — incluidas cerca de 1.7 millones de monedas en direcciones tempranas ampliamente atribuidas a Satoshi Nakamoto.

Las monedas mantenidas en direcciones modernas que nunca han sido gastadas no exponen una clave pública. Para esas, un atacante cuántico solo tendría la breve ventana en la que una transacción permanece sin confirmar en el mempool. Sigue siendo un problema serio, pero mucho menor de lo que sugieren las cifras principales.

La respuesta de Bitcoin a la amenaza cuántica

El 11 de febrero de 2026, BIP-360 se fusionó en el repositorio oficial de BIP de Bitcoin — la primera propuesta formal de resistencia cuántica de la red en alcanzar ese hito. Introduce un nuevo tipo de salida llamado Pay-to-Merkle-Root (P2MR), creado por Hunter Beast, Ethan Heilman e Isabel Foxen Duke.

P2MR es esencialmente Taproot con el gasto por la ruta de clave eliminado. Taproot compromete tanto una clave pública interna como una raíz de Merkle de scripts, lo que significa que la clave siempre puede derivarse de los datos en cadena. P2MR se compromete solo con la raíz de Merkle. Ninguna clave pública aparece hasta que realmente se gasta, e incluso entonces solo se revela la hoja específica utilizada. Esto cierra la vulnerabilidad de exposición prolongada.

Una propuesta complementaria, BIP-361, llegó el 14 de abril con un plan de tres fases para retirar por completo los gastos ECDSA y Schnorr. Esa es la propuesta que genera debate, porque su tercera fase congelaría efectivamente las monedas que nunca se migran.

Aquí está la parte que vale la pena considerar. La propia estimación de Heilman proyecta siete años desde que se forme consenso hasta una resiliencia cuántica completa, una línea temporal que él califica como optimista. El desglose: dos años y medio para revisión y pruebas, medio año para activación y luego cinco años más antes de que aproximadamente el 90% de las billeteras, custodios, nodos de Lightning y software de tesorería se haya actualizado realmente. Cabe destacar que BIP-360 no incluye firmas poscuánticas. Estas fueron eliminadas en julio de 2025 y aplazadas a una propuesta futura. El esquema que finalmente adopte Bitcoin probablemente será ML-DSA o SLH-DSA, los algoritmos que NIST ya finalizó.

Lo que nos lleva a la semana pasada.

Falló un esquema poscuántico y no intervino ninguna computadora cuántica

El 28 de julio, el Frontier Red Team de Anthropic publicó un hallazgo de Claude Mythos Preview, un modelo que no está disponible públicamente. Operando de forma semiautónoma en una configuración agentic, encontró un ataque previamente desconocido contra HAWK, uno de los nueve finalistas en la competencia adicional de firmas poscuánticas de NIST y el único esquema basado en redes que avanzó a la tercera ronda en mayo.

El ataque explotó una simetría en la estructura de red de HAWK que nadie había utilizado antes. Para el conjunto de parámetros HAWK-256, redujo el trabajo estimado para recuperar la clave de aproximadamente 2^64 operaciones a cerca de 2^38. En términos simples, esa es la diferencia entre "ningún atacante en la Tierra puede intentar esto" y "un equipo bien financiado podría intentarlo plausiblemente".

Ahora vienen los detalles que hacen esto incómodo. HAWK ya había superado dos rondas de revisión humana experta durante dos años. El modelo encontró la falla en unas 60 horas, con un costo de aproximadamente $100,000 en gasto de API. El investigador que supervisó el proyecto tenía formación en ciencias de la computación teórica y no era un especialista en criptografía de redes.

Sophie Schmieg, criptógrafa poscuántica de Google, lo resumió en cinco palabras: "Basically with this paper, HAWK is dead." El equipo de HAWK retiró el esquema de la consideración de NIST al día siguiente, señalando que las correcciones obvias — duplicar parámetros o pasar a módulos de mayor rango — lo dejarían en desventaja frente a las alternativas.

No intervino ninguna computadora cuántica en ningún momento. Lo que falló fue la criptografía poscuántica, y una IA clásica la rompió durante un fin de semana largo.

Lo que realmente reveló la encuesta

Cada opción de la encuesta planteaba la misma pregunta subyacente: cuándo llegará el hardware cuántico. Los lectores se dividieron de forma razonable en esa cuestión, y que el 47% sitúe el riesgo dentro de nueve años es una interpretación defendible dado cómo han cambiado las estimaciones de qubits este año.

Sin embargo, el resultado de HAWK sugiere que los plazos del hardware quizá no sean la restricción principal. El 33% que votó "no tan pronto" o "solo después de 2050" apostaba por la ingeniería cuántica, y bien podría estar en lo correcto. Esa apuesta no protege, sin embargo, contra un ataque clásico sobre el algoritmo de reemplazo que finalmente se elija.

El 20% que respondió "no tengo idea" merece reconocimiento. En una audiencia que sigue de cerca estos desarrollos, que uno de cada cinco se abstenga de predecir no es apatía. Más bien refleja una evaluación precisa de las incertidumbres acumuladas: progreso del hardware, selección del algoritmo, plazos de consenso y, ahora, criptoanálisis asistido por IA avanzando más rápido que los procesos de revisión diseñados para detectar esas debilidades.