Cryptopolitan heeft zijn nieuwsbrieflezers ondervraagd over de vraag of quantum computing Bitcoin tegen 2035 zou kunnen breken. Die vraag krijgt extra urgentie nadat een niet-uitgebracht AI-model op 28 juli een fout ontdekte in een post-quantum handtekeningschema — een kwetsbaarheid die twee jaar aan beoordeling door menselijke experts had gemist. Daarbij was geen quantumcomputer betrokken. Dit rapport onderzoekt de onderliggende cryptografische architectuur van Bitcoin, de specifieke dreiging die quantum computing vormt voor BTC, en waarom de door AI gedreven doorbraak in cryptanalyse een nieuwe dimensie toevoegt aan de tijdlijn van het quantumrisico.

Waar lezers staan

Als de respondenten die antwoordden "ja, waarschijnlijk wel" worden samengenomen met de groep "vóór 2030", dan blijkt dat 47% van de lezers een quantumdoorbraak van Bitcoin binnen de komende negen jaar plausibel acht. De grootste elliptische-kromme-sleutel die ooit op echte quantumhardware is gebroken, blijft tot nu toe 15 bits — bereikt in april door een onderzoeker die aanspraak maakt op Project Eleven's Q-Day Prize. Bitcoin-sleutels zijn daarentegen 256 bits. Die kloof overbruggen binnen negen jaar zou een uitzonderlijk tempo van technische vooruitgang vereisen. Ongeveer een derde van het publiek ziet dit momenteel als een reële mogelijkheid.

Wat voor BTC daadwerkelijk op het spel staat

Bitcoin versleutelt geen gegevens. Elke transactie op het netwerk is sinds het begin publiek zichtbaar. Wat Bitcoin wel doet, is ondertekenen en hashen — twee verschillende wiskundige bewerkingen met zeer uiteenlopende quantumdreigingsprofielen.

Het ondertekeningsmechanisme is het blootgestelde onderdeel. Wanneer Bitcoin wordt verzonden, genereert een wallet een handtekening die bewijst dat de coins toebehoren aan de eigenaar, met behulp van elliptische-krommecryptografie die bekendstaat als secp256k1. Bitcoin heeft in de loop der jaren twee ondertekeningsmethoden gebruikt: ECDSA vanaf het begin en Schnorr sinds 2021. Beide berusten op dezelfde fundamentele aanname: dat het afleiden van een privésleutel uit een publieke sleutel computationeel onhaalbaar is.

Daar komt Shor's algoritme in beeld, dat die aanname aanvalt. Met een voldoende grote quantumcomputer kan het de privésleutel terugrekenen uit de bijbehorende publieke sleutel. In maart publiceerden Google-onderzoekers ramingen die de vereiste op minder dan 1.200 logische qubits en minder dan 500.000 fysieke qubits zetten. Een later artikel van Caltech en Oratomic bracht dat terug tot ongeveer 10.000 qubits met een neutrale-atoomarchitectuur. Niemand heeft iets gebouwd dat daar ook maar in de buurt komt. IBM's meest geavanceerde publiek bekendgemaakte quantumprocessor, Condor, werkt met ongeveer 1.121 fysieke qubits — geen daarvan foutgecorrigeerd — en de extra overhead om lawaaierige fysieke qubits om te zetten in stabiele logische qubits blijft een grote technische hindernis. Toch liepen die schattingen eerder op tot miljoenen, en die neerwaartse trend verklaart waarom Bitcoin-ontwikkelaars dit niet langer zien als een probleem voor de jaren 2040.

De hash-kant staat er aanzienlijk beter voor. Bitcoin gebruikt SHA-256 voor mining, adresgeneratie en het koppelen van blokken. De beste bekende quantumaanval, Grover's algoritme, biedt slechts een kwadratische versnelling — waardoor 256-bit beveiliging wordt teruggebracht tot ongeveer 128-bit, wat nog steeds ver buiten bereik ligt van elke machine die momenteel wordt verondersteld. Mining en de ketenstructuur zijn hier niet de zwakke punten.

De juiste framing is daarom smaller dan "quantum breekt Bitcoin". Het gaat om coins waarvan de publieke sleutels al zichtbaar op de blockchain staan. Dat gebeurt wanneer een adres eerder is uitgegeven, of wanneer fondsen in oudere adresformaten staan die de sleutel standaard blootleggen. De huidige schatting ligt tussen 6,5 en 6,9 miljoen BTC — ongeveer een kwart tot een derde van het totale aanbod — inclusief ongeveer 1,7 miljoen coins in vroege adressen die algemeen aan Satoshi Nakamoto worden toegeschreven.

Coins in moderne adressen waarvan nooit is uitgegeven, onthullen helemaal geen publieke sleutel. Voor die coins heeft een quantumaanvaller alleen het korte venster waarin een transactie nog niet is bevestigd en in de mempool wacht. Dat blijft een serieus probleem, maar aanzienlijk kleiner dan de krantenkoppen doen vermoeden.

Bitcoin's antwoord op de quantumdreiging

Op 11 februari 2026 werd BIP-360 samengevoegd in de officiële Bitcoin BIP-repository — het eerste formele quantumresistentievoorstel van het netwerk dat zo ver kwam. Het introduceert een nieuw outputtype genaamd Pay-to-Merkle-Root, of P2MR, geschreven door Hunter Beast, Ethan Heilman en Isabel Foxen Duke.

P2MR is in wezen Taproot zonder de key-path spend. Taproot verbindt zich zowel aan een interne publieke sleutel als aan een Merkle-root van scripts, wat betekent dat de sleutel altijd afleidbaar is uit gegevens op de keten. P2MR verbindt zich alleen aan de Merkle-root. Er verschijnt geen publieke sleutel totdat er daadwerkelijk wordt uitgegeven, en zelfs dan alleen het specifieke gebruikte blad. Daarmee wordt de kwetsbaarheid door langdurige blootstelling gesloten.

Een aanvullend voorstel, BIP-361, volgde op 14 april met een driefasenplan om ECDSA- en Schnorr-uitgaven volledig uit te faseren. Dat voorstel zorgt voor discussie, omdat de derde fase munten die nooit migreren feitelijk zou bevriezen.

Heilmans eigen inschatting is zeven jaar vanaf het moment dat er consensus ontstaat tot volledige quantumresistentie — een tijdlijn die hij zelf als optimistisch beschouwt. De opbouw: tweeënhalf jaar voor beoordeling en testen, een halfjaar voor activatie, en daarna nog vijf jaar voordat ongeveer 90% van de wallets, bewaarders, Lightning-nodes en treasurysoftware daadwerkelijk is geüpdatet. Opvallend is dat BIP-360 helemaal geen post-quantum handtekeningen bevat. Die werden in juli 2025 verwijderd en doorgeschoven naar een toekomstig voorstel. De algoritmen die Bitcoin uiteindelijk zal aannemen, zullen waarschijnlijk ML-DSA of SLH-DSA zijn, beide al door NIST vastgesteld als FIPS 204 en FIPS 205 in augustus 2024, waarmee een standaardisatieproces van acht jaar werd afgerond waaraan inzendingen van cryptografen wereldwijd deelnamen. Dezelfde elliptische-krommekwetsbaarheid waarmee Bitcoin te maken heeft, strekt zich uit over vrijwel de hele digitale infrastructuur — van TLS-verbindingen die internetverkeer beveiligen tot SWIFT-berichten tussen banken — en daarom reikt NIST's proces veel verder dan één enkele cryptocurrency.

Een post-quantum schema faalde — zonder quantumcomputer

Op 28 juli publiceerde Anthropic's Frontier Red Team bevindingen van Claude Mythos Preview, een model dat niet publiek beschikbaar is. In een semi-autonome, agentische opzet identificeerde het een voorheen onbekende aanval op HAWK — een van de negen finalisten in NIST's aanvullende post-quantum handtekeningenwedstrijd en het enige op lattices gebaseerde schema dat in mei naar ronde drie doorging.

De aanval maakte gebruik van een symmetrie in de lattice-structuur van HAWK die geen enkele beoordelaar eerder had benut. Voor de parameterinstelling HAWK-256 verlaagde dit de geschatte rekeninspanning voor sleutelherstel van ongeveer 2^64 operaties naar ongeveer 2^38 — het verschil tussen "geen enkele tegenstander op aarde kan dit proberen" en "een goed gefinancierd team zou hier plausibel een poging toe kunnen wagen".

De details zijn ongemakkelijk. HAWK had al twee rondes van menselijke expertbeoordeling over twee jaar doorstaan. Het AI-model vond de fout in ongeveer 60 uur, tegen een kostprijs van rond de $100.000 aan API-uitgaven. De onderzoeker die het project superviseerde had een achtergrond in theoretische informatica, maar was geen specialist in latticecryptografie.

Sophie Schmieg, een post-quantum cryptograaf bij Google, vatte het in vijf woorden samen: "Basically with this paper, HAWK is dead." Het HAWK-team trok het schema de volgende dag terug uit NIST-overweging, met de opmerking dat de voor de hand liggende oplossingen — parameters verdubbelen of overstappen op modules met een hogere rang — het oncompetitief zouden maken ten opzichte van de alternatieven.

Er kwam op geen enkel moment een quantumcomputer aan te pas. De technologie die faalde was post-quantum cryptografie zelf, gebroken door een klassiek AI-model gedurende een lang weekend.

Wat de enquête daadwerkelijk liet zien

Elke antwoordoptie in onze poll stelde in wezen dezelfde vraag: wanneer komt de quantumhardware eraan. Lezers waren daar redelijk verdeeld over, en 47% die de dreiging binnen negen jaar plaatst is een verdedigbare interpretatie gezien hoe snel de qubitramingen dit jaar zijn verschoven.

De HAWK-uitkomst suggereert echter dat de tijdlijn van hardware misschien niet de beperkende factor is. De 33% die koos voor "niet zo snel" of "pas na 2050" zette in op quantumengineering — en dat zou best juist kunnen zijn. Die inzet beschermt echter niet tegen een klassieke aanval op welk vervangend algoritme uiteindelijk ook wordt gekozen.

De 20% die "geen idee" antwoordde, verdient erkenning. In een publiek dat deze ontwikkelingen nauw volgt, is één op de vijf die weigert te voorspellen geen apathie. Het weerspiegelt waarschijnlijk een nuchtere beoordeling van de opstapeling van onzekerheden: vooruitgang in hardware, keuze van algoritmen, consensus-tijdlijnen en nu AI-ondersteunde cryptanalyse die sneller vordert dan de beoordelingsprocessen die juist zijn ontworpen om zulke zwakheden te ontdekken.