Los fundamentos criptográficos de internet fueron construidos para un mundo que ya no existe —o, más precisamente, para un mundo que silenciosamente se está quedando sin tiempo—. El Q-Day, el punto en el que una computadora cuántica se vuelve lo suficientemente potente como para romper el cifrado de clave pública moderno, ya no es un horizonte teórico. Según muchos veteranos de la criptografía, se trata de un problema de finales de la década de 2020. Eso lo sitúa más cerca de lo que sugieren la mayoría de las hojas de ruta institucionales, y mucho más cerca de lo que se le ha hecho creer al usuario cripto promedio. El mecanismo en juego es el algoritmo de Shor, publicado en 1994: una máquina cuántica suficientemente grande y con corrección de errores podría usarlo para derivar las claves privadas detrás de RSA y la criptografía de curva elíptica, los esquemas que protegen la mayor parte del tráfico de internet y prácticamente todo el ecosistema cripto. Ninguna computadora existente hoy puede ejecutar el algoritmo a esa escala, razón por la cual el debate entre los expertos se centra en la fecha de llegada y no en las matemáticas subyacentes.

Joseph Gabriel Mattia III, COO de Quantus —la compañía que integra la criptografía poscuántica en la infraestructura de billeteras de hardware—, ha estado analizando cómo se ve esa transición a nivel de protocolo, a nivel de custodia y para el tenedor común que aprendió todo lo que necesitaba saber sobre seguridad de la caja de una billetera de hardware. Sus respuestas son menos tranquilizadoras de lo que la postura actual de la industria sugiere que deberían ser. La clave administrativa de una stablecoin le preocupa más que la billetera de Satoshi. El multisig, sostiene, no ofrece una resistencia significativa contra un atacante cuántico: solo más candados del mismo tipo defectuoso. Y cada uno de los principales activos cripto rastreados por migration.fail, un rastreador público de preparación, figura actualmente como vulnerable a nivel de firma.

Lo que sigue es una conversación sobre la amenaza que la industria aún no toma lo suficientemente en serio, por qué esperar una prueba de concepto quizá ya sea demasiado tarde, y cómo debe verse realmente la preparación cuántica: no como una etiqueta de marketing, sino como algo verificable, auditable e integrado por defecto en la infraestructura.

¿Cuándo estima que llegará el «Q-Day», el umbral en el que una computadora cuántica pueda romper la criptografía de clave pública moderna? ¿Qué sistemas, datos, activos, protocolos o infraestructura atacarían primero los adversarios? ¿Por qué?

Lo más probable es que sea en algún momento de finales de la década de 2020. Todavía hay debate sobre el año exacto, pero muchos veteranos de la criptografía creen que sucederá dentro de los próximos cuatro años.

En cuanto a los primeros objetivos, no espero que el Bitcoin de Satoshi sea uno de ellos, aunque es a donde suelen ir las mentes de las personas.

Si un adversario tuviera esta capacidad, atacar algo visible lo anunciaría al mundo entero y destruiría una enorme ventaja estratégica. Probablemente se centrarían en las claves que les brinden el mayor control o valor mientras atraen la menor atención posible.

En el ámbito cripto, algo como la clave administrativa de una stablecoin importante me preocuparía más. Una sola clave comprometida podría afectar a todo el ecosistema, lo que la convierte en un objetivo mucho mayor que cualquier billetera individual.

Fuera del ámbito cripto, miraría las comunicaciones gubernamentales clasificadas, las redes militares y los sistemas de inteligencia, donde romper la criptografía de clave pública podría exponer datos altamente sensibles.

Muchos proyectos hoy afirman tener «resistencia cuántica», pero sin una lista de verificación unificada y auditable, tales afirmaciones son imposibles de verificar. En su opinión, ¿qué constituye el umbral mínimo de preparación cuántica?

Para mí, el umbral mínimo es que un proyecto pueda mostrar exactamente dónde existe todavía criptografía vulnerable a lo cuántico en su infraestructura. Usar un mecanismo de autorización seguro poscuántico es un buen comienzo, pero no hace que toda la red esté preparada para lo cuántico.

La autorización de transacciones debería depender de un mecanismo seguro poscuántico reconocido, y el proyecto debería documentar públicamente qué protege sus conexiones P2P, el consenso, los sistemas de conocimiento cero, la capa de privacidad, los puentes y cualquier otra infraestructura crítica.

También debe haber una distinción clara entre lo que está operativo hoy y lo que solo figura en una hoja de ruta.

Lo más importante es que esas afirmaciones sean auditables. Cualquiera debería poder ver qué algoritmos y conjuntos de parámetros se están usando, inspeccionar la implementación y verificar que la seguridad no se base en un esquema opaco o inverificable ni en una etiqueta de marketing.

Si no se puede señalar la criptografía exacta que protege cada parte crítica del sistema, no creo que «preparado para lo cuántico» signifique gran cosa.

¿Quién debería ser responsable de establecer criterios unificados y verificables de preparación cuántica? ¿Qué debe incluirse en ellos?

Mantendría a NIST como punto de referencia para la criptografía en sí. Su proceso poscuántico reunió a investigadores de todo el mundo e hizo difícil que un solo gobierno o compañía dirigiera el resultado. Ese proceso —una competencia abierta de varios años lanzada en 2016— produjo sus primeras normas finalizadas en agosto de 2024: ML-KEM para el establecimiento de claves, junto con los esquemas de firma ML-DSA y SLH-DSA.

Para las blockchains, la siguiente capa debe ser construida por equipos de protocolo que operen de manera abierta, con espacio para que investigadores y auditores desafíen rigurosamente el diseño y sus resultados.

Los criterios deben reflejar luego cómo opera la red hoy. Eso comienza con la criptografía usada para autorizar transacciones y con si la protección poscuántica es la opción por defecto. Cualquier dependencia restante de firmas vulnerables debe divulgarse claramente.

La migración también tiene que formar parte de ese panorama, porque una red puede admitir claves poscuánticas mientras la mayoría de sus usuarios siguen usando las antiguas.

Las billeteras de hardware protegen las claves contra el robo físico, pero no contra los ataques cuánticos a las claves públicas. ¿Cómo evalúa la conciencia actual de los usuarios sobre esta distinción? ¿Existe hoy un modelo de almacenamiento seguro disponible para el usuario promedio, o la industria requiere un nuevo paradigma de billeteras?

Todavía existe un gran malentendido sobre de qué lo protege una billetera de hardware. Mantiene la clave privada aislada de su computadora portátil o su teléfono, lo cual es extremadamente útil. Pero un atacante cuántico no necesitaría tocar el dispositivo. Una vez que una clave pública vulnerable queda expuesta, un atacante cuántico puede atacar directamente la criptografía sin tocar jamás la billetera de hardware.

Eso no vuelve obsoletas a las billeteras de hardware. Ya hemos integrado soporte poscuántico en Keystone para Quantus, por lo que el modelo de hardware puede evolucionar. La limitación es que una billetera no puede hacer que Bitcoin o Ethereum sean poscuánticos por sí sola: la red subyacente también tiene que admitir nuevas firmas.

Un mejor modelo integra la protección poscuántica tanto en la billetera como en la red por defecto. Los usuarios no deberían tener que saber cuándo la criptografía que está debajo de ellos se ha vuelto obsoleta.

Los esquemas de firmas múltiples aumentan la complejidad del ataque solo de forma lineal, no exponencial. ¿Significa esto que las arquitecturas de custodia institucional construidas sobre multisig generan una falsa sensación de seguridad?

El multisig sigue siendo extremadamente útil, y no querría que las instituciones lo abandonaran. Protege contra las amenazas con las que lidian hoy los sistemas de custodia, como una clave robada o un firmante comprometido.

Donde se vuelve peligroso es cuando las personas empiezan a tratar más claves como protección contra ataques cuánticos. Una configuración de 3 de 5 construida enteramente sobre el mismo esquema de firma vulnerable sigue teniendo la misma debilidad subyacente. Un atacante cuántico quizá necesite recuperar varias claves, pero está resolviendo el mismo tipo de problema cada vez. Cinco candados no ayudan mucho si todos comparten el mismo mecanismo vulnerable.

Así que sí, el multisig puede generar una falsa sensación de seguridad si las instituciones asumen que la redundancia equivale a resistencia cuántica. El mejor camino es mantener la custodia distribuida, pero reemplazar la autorización vulnerable que está debajo por algo que pueda resistir a un atacante cuántico.

¿Están los principales exchanges y custodios preparados para un escenario en el que una computadora cuántica pueda derivar una clave privada a partir de una clave pública en minutos? ¿Y los usuarios comunes?

La mayoría de los grandes exchanges son buenos defendiéndose de los ataques que conocemos hoy. No he visto muchas evidencias de que estén listos para un ataque en el que una clave privada pueda reconstruirse sin tocar en absoluto su infraestructura.

Rastreamos esto a través de migration.fail, un rastreador público de preparación que evalúa si las principales redes blockchain siguen dependiendo de criptografía vulnerable a lo cuántico. En este momento, los 20 principales activos cripto que cubre figuran como vulnerables a nivel de firma.

Un plan de respuesta serio debe considerar qué claves operativas están expuestas y con qué rapidez podrían moverse los fondos una vez que una se vuelva sospechosa. Una transacción maliciosa puede seguir pareciendo perfectamente válida en la cadena, lo que dificulta una respuesta temprana.

Los usuarios comunes están más rezagados. La mayoría solo sabrá que necesita migrar cuando una billetera o un exchange se lo indique, por lo que cualquier plan realista tiene que hacer ese movimiento lo suficientemente simple como para completarlo de forma segura.

¿Por qué es relevante hoy la amenaza de «cosechar ahora, descifrar después», mucho antes de la llegada de las computadoras cuánticas a gran escala?

Primero, separaría esto de la amenaza cuántica a las firmas de blockchain, porque a menudo se agrupan. Una transacción de Bitcoin ya es pública. No hay nada que un atacante necesite grabar hoy y descifrar dentro de diez años.

Pero eso no se puede decir de los bancos, los gobiernos y otras instituciones cuyos datos cifrados pueden seguir siendo sensibles —y probablemente lo serán— dentro de años. Alguien puede recolectar ese tráfico hoy y conservarlo hasta que la tecnología lo alcance.

Signal, iMessage y Cloudflare ya han trasladado partes de sus sistemas a la protección poscuántica —Signal activó el acuerdo de claves poscuántico para los chats nuevos en 2023, Apple implementó su protocolo PQ3 en todo iMessage en 2024, y Cloudflare ha habilitado el acuerdo de claves híbrido poscuántico en toda su red— y la mayoría de los usuarios apenas lo notó. Probablemente así es como debería verse esta transición.

Los datos sensibles no deberían permanecer en un cifrado vulnerable a lo cuántico hasta que alguien demuestre que una computadora cuántica puede romperlo. Para entonces, años de tráfico podrían ya estar guardados en el archivo de otra persona.

Los datos de blockchain son inmutables y públicos. ¿Se puede hacer algo con respecto a las transacciones ya registradas, o esos datos están comprometidos para siempre?

Los datos registrados en blockchain son permanentes, pero la permanencia no significa que cada transacción antigua se vuelva repentinamente peligrosa después del Q-Day. La mayoría de ellas ya era pública en una cadena transparente de todos modos.

Las claves públicas son la excepción, porque Bitcoin ya registra de forma permanente las que quedan expuestas. Las direcciones estándar de Bitcoin publican solo un hash de la clave pública hasta que se gastan las monedas desde ellas, pero las salidas de pago a clave pública (pay-to-public-key) más antiguas de la red —y cada dirección reutilizada o ya gastada— muestran la clave pública abiertamente. Un atacante no necesita construir hoy un archivo privado ni interceptar nada por adelantado. Dentro de años, puede volver al mismo libro contable público y atacar cualquier clave expuesta que todavía controle algo valioso.

Mover los fondos a claves poscuánticas puede eliminar el valor de esa exposición antigua, pero no puede limpiar el registro histórico.

Para las transacciones privadas, el problema es un poco diferente. Los datos siguen en la cadena años después, de modo que si la criptografía que los protege finalmente se rompe, información que estaba oculta en su momento podría volverse visible después de los hechos.

¿Qué normas medibles y exigibles de preparación cuántica debería establecer la industria dentro de los próximos 12 a 24 meses?

Un punto de referencia útil es lo que está haciendo ahora el gobierno de EE. UU., con la exigencia de que las agencias federales mapeen su exposición criptográfica y designen a personas específicas a cargo de la migración. Esos requisitos se remontan al Memorando de Seguridad Nacional 10 y a las directrices posteriores de la oficina de presupuesto, y el borrador del plan de transición de NIST propone deprecar RSA-2048 y la criptografía de curva elíptica para 2030 y prohibirlas por completo para 2035. Los sistemas de alto valor tienen plazos firmes para migrar a la criptografía poscuántica, y hay trabajo en curso en una lista de materiales criptográficos para facilitar el seguimiento de esas dependencias.

El sector cripto necesita su propia versión de esa disciplina en los próximos 12 a 24 meses. Los principales protocolos deberían publicar dónde se sigue usando criptografía vulnerable y adjuntar fechas para completar la transición lejos de ella. Los exchanges y custodios deberían divulgar cuánto valor está custodiado detrás de claves heredadas.

Una vez que esos números sean públicos, las revisiones de listados y las auditorías de seguridad también pueden comenzar a usarlos. Eso le da a la industria algo concreto que medir.

¿Cuál es el mayor obstáculo para implementar esas normas a escala? ¿Cómo debería abordarlo la industria en el corto plazo?

La parte más difícil es lograr que millones de tenedores independientes se muevan cuando no existe un interruptor central que alguien pueda accionar. Un protocolo puede añadir soporte poscuántico, pero las monedas guardadas en almacenamiento en frío durante años todavía tienen que ser movidas por sus dueños.

El trabajo inmediato debe centrarse en hacer la migración lo más simple posible. Las billeteras necesitan flujos que guíen a los usuarios hacia claves más seguras con la mínima fricción, mientras que los exchanges y custodios necesitan procedimientos que ya hayan probado bajo carga. A nivel de protocolo, también tenemos que evitar simplemente reemplazar un sistema vulnerable por algo que genere costos inaceptables de ancho de banda, almacenamiento o privacidad. Esa restricción no es abstracta: las firmas ML-DSA de NIST alcanzan unos pocos kilobytes, decenas de veces el tamaño de las firmas de curva elíptica de 64 a 72 bytes comunes en las blockchains actuales, y las alternativas basadas en hash conllevan sus propias compensaciones de tamaño de firma y manejo de estado. Esperar a diseñar esos sistemas hasta que la amenaza se sienta urgente dejaría poco margen para errores.

Los activos inactivos hacen el problema aún más difícil. Algunos dueños nunca aparecerán para migrar, por lo que las redes también necesitan decidir cómo manejan las monedas vulnerables que quedan atrás.