El debate de Bitcoin sobre la computación cuántica no es simplemente una pregunta técnica sobre criptografía. También es una disputa sobre qué principios deben prevalecer si las firmas de curva elíptica ya no pueden autenticar de manera confiable la propiedad: la promesa de que las monedas válidas permanezcan gastables por sus dueños, o la necesidad de proteger a Bitcoin de un atacante con capacidad cuántica que pudiera apoderarse de una parte significativa de su oferta.

Cada opción seria genera un conflicto. No hacer nada preservaría las reglas de consenso actuales, pero podría permitir que futuros atacantes cuánticos tomen monedas cuyos dueños nunca consintieron. Congelar las monedas vulnerables podría prevenir ese robo, pero invalidaría retroactivamente condiciones de gasto establecidas. Una migración forzada a firmas poscuánticas podría ser una ingeniería prudente y, al mismo tiempo, parecer un régimen de confiscación respaldado por un plazo límite.

La pregunta central, por lo tanto, es cómo minimizar el total de violaciones de derechos de propiedad si las firmas de curva elíptica ya no identifican de manera confiable a los dueños legítimos.

La amenaza cuántica

El sistema actual de autorización de Bitcoin depende de la criptografía de curva elíptica. Las firmas legacy con ECDSA y las firmas Schnorr usan la curva secp256k1. Bajo supuestos clásicos de computación, derivar una clave privada a partir de una clave pública es computacionalmente inviable. Una computadora cuántica lo suficientemente capaz y criptográficamente relevante ejecutando el algoritmo de Shor podría cambiar eso: una vez que una clave pública quede expuesta, un atacante podría derivar la clave privada correspondiente y crear una transacción que la red aceptaría como válida.

No todas las salidas de Bitcoin exponen claves públicas al mismo tiempo. Las antiguas salidas pay-to-public-key y las salidas Taproot revelan claves públicas en la cadena y podrían enfrentar ataques de largo alcance. Otras salidas ocultan la clave pública detrás de un hash hasta que el dueño gasta. En esos casos, un atacante de corto alcance podría observar una transacción, derivar rápidamente la clave privada e intentar reemplazar o adelantar el gasto.

La minería cuántica presenta un asunto distinto. El algoritmo de Grover podría en teoría ofrecer una aceleración cuadrática al buscar un hash de bloque válido, mientras que el algoritmo de Shor ofrece una aceleración superpolinomial contra los supuestos detrás de ECDSA y Schnorr. Por lo tanto, la ventaja de usar computación cuántica para minar se considera considerablemente menos práctica que usarla paraar firmas de curva elíptica.

Incertidumbre sobre las computadoras cuánticas

Si alguna vez se construirá una computadora cuántica criptográficamente relevante sigue siendo incierto. Los escépticos cuánticos generalmente no discuten que el algoritmo de Shor podría romper la criptografía de curva elíptica. Su argumento es que no hay una razón clara para creer que los ingenieros producirán las máquinas potentes y tolerantes a fallos necesarias para ejecutarlo a una escala relevante.

Los procesadores cuánticos ruidosos actuales no pueden romper ECC. Semejante ataque requeriría muchos qubits lógicos confiables, tasas de error extremadamente bajas, cálculos coherentes prolongados y corrección de errores cuántica que funcione a gran escala.

Mikhail Dyakonov ha argumentado que el teorema del umbral de tolerancia a fallos cuánticos se basa en supuestos idealizados, incluyendo ruido suficientemente independiente, compuertas precisas, interacciones no deseadas limitadas y la capacidad de mantener los errores por debajo de un umbral en un sistema muy grande. Gil Kalai ha ofrecido una crítica más estructural, argumentando que el ruido correlacionado y la acumulación de ruido podrían impedir que códigos cuánticos de corrección de errores de alta calidad escalen. En su artículo de 2011, Kalai examinó cómo las implementaciones físicas de códigos cuánticos, las correlaciones en sistemas estocásticos y el ruido acumulado podrían impedir computadoras cuánticas escalables.

Los escépticos también rechazan las extrapolaciones simples a partir del progreso en el número de qubits físicos. Pasar de 50, 100 o 1.000 qubits físicos a millones de qubits físicos o miles de qubits lógicos requeriría controlar el crosstalk, las fugas, los errores correlacionados, la deriva de calibración, los efectos térmicos, los errores de medición, la variación de fabricación y el ruido de control. Las demostraciones actuales, que superan a las simulaciones clásicas solo en tareas de muestreo cuidadosamente seleccionadas, ofrecen evidencia limitada sobre la capacidad de ejecutar un algoritmo largo y estructurado como el de Shor con la suficiente confiabilidad como para recuperar una clave privada ECC de 256 bits.

Por qué importa la migración

Si aparece una computadora cuántica criptográficamente relevante, simplemente dar a los usuarios la opción de adoptar criptografía poscuántica no protegería todos los bitcoins vulnerables. El conjunto expuesto incluye monedas tempranas pay-to-public-key, monedas controladas por claves públicas reutilizadas, salidas Taproot y monedas cuyas claves públicas o claves públicas extendidas han sido divulgadas fuera de la blockchain.

Las antiguas salidas P2PK representan una pequeña parte de los UTXOs por cantidad, pero equivalen aproximadamente a 1,7 millones de BTC. Estimaciones más amplias basadas en tipos de salida, patrones de actividad y propiedad conocida sugieren que al menos 2,6 millones de BTC podrían seguir siendo vulnerables incluso si los usuarios activos de Bitcoin migraran sus wallets a criptografía poscuántica. El artículo estima que aproximadamente 2,6 millones de BTC, o el 13% de la oferta total actual, podrían quedar sin poder migrar a scripts de bloqueo seguros frente a la computación cuántica.

Esas monedas podrían crear riesgos sistémicos más allá de la venta directa. Un atacante cuántico podría usarlas para desestabilizar mercados, minar la confianza, sabotear la red o adquirir suficiente hashrate para intentar un ataque del 51%. Proteger las monedas requeriría, por lo tanto, cambios de consenso que impidan el uso de firmas ECDSA o Schnorr vulnerables.

Términos como “confiscación”, “quema”, “congelamiento”, “robo” y “recuperación” describen mecanismos diferentes. Un congelamiento no transferiría monedas al Estado, a mineros, desarrolladores o un fondo de recuperación. Haría que ciertas salidas no puedan gastarse mediante firmas vulnerables. Losensores a veces usan “quemar” porque las monedas no serían reasignadas; sin embargo, un dueño legítimo que aún posea la clave original podría razonablemente percibir el efecto práctico como confiscatorio.

El BIP-361 divide la migración en fases. Una vez que exista un tipo de dirección resistente a la computación cuántica, las monedas nuevas ya no se enviarían a direcciones cuánticamente vulnerables. Tras un período de varios años, los gastas legacy con ECDSA y Schnorr podrían volverse inválidos. La propuesta también deja abiertos métodos de recuperación para usuarios que puedan demostrar la propiedad sin depender únicamente de una ECC rota, potencialmente mediante una prueba de conocimiento cero derivada de una frase semilla o de una estructura de wallet HD. Su propósito declarado es crear incentivos y plazos para que usuarios, exchanges, custodios, wallets e instituciones migren antes de que ECC sea deprecada.

Argumentos a favor del congelamiento

Los partidarios de un congelamiento argumentan que un atacante que deriva una clave privada mediante computación cuántica no es el dueño legítimo en ningún sentido significativo. Permitir que las monedas vulnerables sean tomadas no sería neutral, sostienen; permitiría que los primeros actores con capacidad cuántica saqueen salidas protegidas por una debilidad conocida.

Un barrido exitoso podría redistribuir riqueza hacia un actor que gastó relativamente pocos recursos para obtenerla, socavando potencialmente el modelo de seguridad de Bitcoin, que supone participantes económicamente racionales incentivados a proteger el valor de sus tenencias. Las monedas perdidas son una preocupación particular. Si los atacantes recuperan monedas que se creían perdidas de manera permanente, la oferta circulante efectiva podría aumentar aunque el límite formal de 21 millones permanecería sin cambios.

La amenaza también podría ser política y no puramente financiera. Un atacante podría desestabilizar mercados, minar la confianza o retener grandes cantidades de BTC como palanca de presión. Los comentarios de Pieter Wuille en el debate de la lista de correo subrayan que el peligro podría surgir de la creencia creíble de que pronto existirá una computadora cuántica, incluso antes de un ataque real. Un plan creíble para deshabilitar los gastas vulnerables podría servir, por lo tanto, como un mecanismo de tranquilización.

Los partidarios también argumentan que la migración voluntaria sería lenta. Las hardware wallets, exchanges, custodios, planes sucesorios, coordinadores de multisig y procedimientos de almacenamiento en frío requieren años para cambiar. Matt Corallo ha argumentado que Bitcoin debería añadir una capacidad poscuántica simple mucho antes de que sea necesaria, permitiendo que las wallets comiencen a incorporar o comprometer claves públicas resistentes a la computación cuántica.

Un plazo conocido daría a las empresas públicas, ETFs, custodios, exchanges, departamentos de cumplimiento y comités de riesgo un plan de migración concreto. El BIP-361 argumenta que los exchanges y custodios enfrentarían presión fiduciaria y legal para actuar una vez que exista un plazo. Los defensores señalan además que la misma preparación podría ayudar a responder a otras situaciones en las que ECC se debilite con el tiempo.

Desde esta perspectiva, un soft fork objetivo que deshabilite una ruta de gasto demostrablemente insegura estaría más cerca de reemplazar una cerradura rota que de una confiscación política arbitraria. La regla se aplicaría a tipos de script en lugar de dueños identificados y podría anunciarse años antes con una ruta de migración viable.

Argumentos en contra del congelamiento

Los opositores parten de la expectativa establecida de derechos de propiedad de Bitcoin: una moneda válida permanece gastable por el poseedor de la clave correspondiente las reglas de consenso aceptadas cuando la moneda fue recibida. Invalidar retroactivamente esa ruta de gasto, argumentan, convierte “no son tus llaves, no son tus monedas” en “no son tus llaves actualizadas dentro del plazo, no son tus monedas”.

Los críticos temen que un congelamiento establezca un precedente para elegir ganadores y perdedores entre los dueños de UTXOs. Incluso si la regla fuera técnicamente objetiva, apuntaría a usuarios según sus elecciones de direcciones, diseño de wallet, letargo o incapacidad de actuar. Futuras coaliciones podrían buscar intervenciones similares por sanciones, recuperación de robos, disputas de herencia, presión estatal o monedas presuntamente perdidas.

Un congelamiento no podría distinguir las monedas perdidas de las monedas en letargo, los dueños encarcelados, los dueños fallecidos con herederos, los usuarios en jurisdicciones hostiles, los acuerdos con timelock, el almacenamiento en frío olvidado o el ahorro deliberado a largo plazo. También podría crear un conflicto de incentivos: los tenedores activos podrían beneficiarse de reducir la oferta efectiva, mientras que los dueños legítimos inactivos cargarían con la pérdida.

También existe incertidumbre sobre los plazos y capacidades cuánticas. Una computadora cuántica podría llegar más tarde de lo esperado, adoptar otra forma, permanecer en secreto o ser contrarrestada con medidas menos drásticas. Quemar permanentemente millones de monedas antes de que la amenaza se materialice podría constituir en sí misma una violación irreversible de derechos de propiedad.

El destino técnico también es incierto. NIST ha estandarizado ML-DSA, SLH-DSA y ML-KEM, pero Bitcoin requiere pruebas de propiedad compactas y compatibles con scripts con costos de verificación manejables. La comparación de esquemas candidatos de Chaincode señala que las firmas y claves poscuánticas pueden ser mucho más grandes que Schnorr o ECDSA y difieren significativamente en madurez, tamaño, costo de firma, costo de verificación y supuestos de seguridad. Una mala migración podría reducir el throughput, subir las comisiones, aumentar la carga de UTXOs o datos de witness, introducir nuevos supuestos o requerir otra migración posterior.

Alternativas a un congelamiento permanente

Varias propuestas buscan reducir el riesgo sistémico sin destruir de inmediato antiguos reclamos de propiedad. La Fase A del BIP-361 impediría nuevas salidas vulnerables mientras deja las existentes temporalmente gastables. Boris Nagaev ha sugerido un bloqueo temporal con una altura futura de reactivación, mientras que Conduition ha examinado interacciones con salidas tipo P2QRH o P2MR y ha advertido que prohibir en términos amplios las verificaciones EC podría afectar construcciones híbridas.

La propuesta Hourglass V2 limitaría la tasa de gasto de las antiguas monedas P2PK a una entrada P2PK por bloque, con un límite neto de un BTC por bloque. Sus autores dicen que esto evitaría tanto la quema inmediata como una liquidación cuántica sin restricciones. Los críticos responden que seguiría restringiendo el gasto sin permisos y podría crear una carrera de décadas entre dueños legítimos y atacantes.

Los esquemas commit-delay-reveal, a veces asociados con construcciones tipo Guy Fawkes, permitirían a un usuario compromse con un gasto futuro, esperar la confirmación y luego revelar la información necesaria para validarlo. Chaincode describe el enfoque como opcional (opt-in), mientras que el resumen de Optech señala que podría reducir la urgencia de la migración y proteger las monedas de ataques de exposición corta.

Otro posible método de recuperación demostraría el conocimiento de una semilla o ruta de derivación en lugar del control de una clave pública vulnerable. Or Sattath y otros han discutido ideas de “signature lifting”, y Olaoluwa Osuntokun construyó una prueba de concepto usando zk-STARKs para demostrar que una clave de salida Taproot BIP-86 fue derivada de una ruta semilla BIP-32. La última versión optimizada requiere una prueba de 200 KB. Recuperar UTXOs pequeños podría volverse antieconómico porque las comisiones podrían costar varios cientos de dólares y potencialmente alcanzar miles o decenas de miles de dólares con tarifas más altas. Otras preocupaciones incluyen el tamaño de la prueba, la complejidad de la verificación, la fuga de privacidad, los supuestos de derivación de wallets y el riesgo de añadir criptografía novedosa al consenso de Bitcoin.

Marc Johnson y otros han sugerido una migración impulsada por el mercado basada en salidas resistentes a la computación cuántica, firmas duales opcionales e incentivos de comisiones o políticas. Ese enfoque preservaría mejor los derechos de propiedad, pero podría no abordar el riesgo sistémico si grandes cantidades de BTC valioso siguen expuestas.

Compensaciones técnicas y económicas

Los estándares poscuánticos de NIST proporcionan una base: FIPS 204 estandariza ML-DSA, FIPS 205 estandariza SLH-DSA y FIPS 203 cubre ML-KEM para el establecimiento de claves. Sin embargo, Bitcoin necesita firmas digitales y pruebas de propiedad compatibles con scripts, no solo estándares de propósito general.

Las firmas basadas en hash ofrecen supuestos conservadores, pero son grandes. Las firmas tipo Lamport podrían habilitarse mediante actualizaciones de script como OP_CAT, pero una ruta de clave Taproot vulnerable a la computación cuántica seguiría necesitando ser eliminada o deshabilitada. La discusión de OP_CAT en el BIP-347 identifica este problema. Los esquemas basados en retículas como ML-DSA son más compactos que muchas opciones basadas en hash, pero conllevan supuestos y riesgos de implementación diferentes. Las firmas tipo Falcon son compactas pero más difíciles de implementar, mientras que SPHINCS+/SLH-DSA es conservador pero grande.

Chaincode estima que migrar todos los UTXOs podría tomar aproximadamente entre 76 y 142 días si la migración usara todo el espacio de bloques, o entre 305 y 568 días si usara el 25% del espacio de bloques. Esas cifras excluyen actualizaciones de wallets, aprobaciones institucionales, firma air-gapped, reemplazo de hardware, flujos contables y coordinación. Una migración completa, por lo tanto, probablemente tomaría años. La estimación general de Chaincode va de aproximadamente cinco años en el mejor caso a unos 15 años en el peor; una emergencia podría potencialmente comprimir el proceso a dos años, aunque el informe señala que las correcciones de emergencia históricas no son directamente comparables.

Precedentes históricos y gobernanza

El Incidente del Desbordamiento de Valor ilustra que las reglas de consenso de Bitcoin ya han cambiado para eliminar monedas creadas bajo reglas que se siguieron válidamente en su momento. El 15 de agosto de 2010, se descubrió que el bloque 74.638 contenía una transacción que creó 184.467.440.737,09551616 BTC para tres direcciones. Dos direcciones recibieron 92.200 millones de BTC cada una, mientras que el minero recibió 0,01 BTC adicionales. El error resultó de un desbordamiento de enteros en la validación de transacciones.

En un plazo de cinco horas, se publicó un nuevo cliente que rechazaba dichas transacciones mediante un cambio de consenso por soft fork. La blockchain se dividió, y la cadena “buena” superó a la otra en la altura de bloque 74.691. La transacción inválida y las monedas que creó ya no existen en la cadena con la mayor prueba de trabajo acumulada.

El incidente de The DAO en Ethereum ofrece otra comparación. En 2016, la comunidad tuvo alrededor de un mes para responder a un atacante que controlaba el 5% de ETH porque el contrato de The DAO incluía un retraso antes de que los fondos pudieran retirarse. Ethereum finalmente hizo un hard fork para devolver los fondos, mientras que la cadena original se convirtió en Ethereum Classic. Ethereum Classic luchó por alcanzar el 10% del valor de mercado de Ethereum, aunque las dos redes tienen historias y estructuras diferentes.

Un cambio de Bitcoin al estilo del BIP-361 sería un soft fork en lugar de un hard fork. Los usuarios que se opusieron al fork de The DAO podían simplemente permanecer en las reglas originales, mientras que oponerse a un soft fork de migración cuántica con una supermayoría de hashrate requeriría coordinar un User Rejected Soft Fork, algo que nunca se ha hecho antes.

Bitcoin no tiene autoridad central capaz de imponer semejante cambio. Cualquier deprecación de ECC requeriría un amplio acuerdo entre operadores de nodos, mineros, exchanges, wallets, custodios, comerciantes y usuarios. Actuar solo tras la prueba de una computadora cuántica criptográficamente relevante podría significar decidir en medio del pánico y el estrés de mercado. Actuar demasiado pronto podría imponer costos irreversibles antes de que la amenaza sea lo suficientemente creíble.

Un posible camino a seguir

Matt Corallo ha argumentado que el debate debe enmarcarse como la protección de los derechos de propiedad en la mayor medida posible, en lugar de simplemente negarse a congelar monedas. Bajo ese encuadre, deprecar ECC podría ser defendible solo si existe un destino resistente a la computación cuántica ampliamente revisado, la ventana de migración es suficientemente larga, las reglas son objetivas y acotadas, y existen opciones de recuperación.

Se ha propuesto un período de migración de cinco años para el BIP-361 porque migrar demasiado pronto podría imponer costos innecesarios o dejar a Bitcoin atrapada en un esquema inmaduro, mientras que migrar demasiado tarde podría dejar al sistema expuesto a una amenaza sistémica. El artículo señala que la activación no debería considerarse seriamente a menos que parezca probable que una computadora cuántica criptográficamente relevante esté a menos de 10 años.

Los próximos pasos no incluyen activar el BIP-361. Incluyen reducir la reutilización de direcciones, investigar pruebas de recuperación, reducir la dependencia del uso compartido de xpubs, desarrollar esquemas poscuánticos más eficientes, activar scripts de bloqueo cuánticamente seguros opcionales y preparar múltiples planes de contingencia.

El problema cuántico de Bitcoin no es urgente en el sentido de que los usuarios deban entrar en pánico hoy. Es urgente porque los sistemas descentralizados deben resolver problemas difíciles de coordinación antes de que se conviertan en emergencias. El debate no es simplemente entre respetar y violar los derechos de propiedad; es entre formas en competencia de falla de derechos de propiedad. El artículo concluye que Bitcoin debería tratar la computación cuántica como un riesgo sistémico realista pero incuantificable, evitando cambios prematuros y controvertidos basados únicamente en la incertidumbre.

Este artículo aparece en la última edición impresa de Bitcoin Magazine, The Quantum Issue, y se comparte como un adelanto de las ideas exploradas a lo largo del número. Fue escrito por Shinobi y apareció primero en Bitcoin Magazine.