Het EU-rechtshandhavingsbureau Europol publiceerde woensdag twee rapporten waarin organisaties, beleidsmakers en de crypto-industrie worden opgeroepen zich nu voor te bereiden op kwantumcomputers die veelgebruikte versleuteling kunnen kraken.

Het eerste rapport, Quantum Computing and Cryptocurrencies, opgesteld door het Europees Cybercrimecentrum van Europol, wijst crypto-wallets aan als "het belangrijkste kwetsbare punt voor kwantumdreigingen." Wallets zijn afhankelijk van een paar sleutels: een privésleutel die transacties autoriseert en een publieke sleutel die het netwerk gebruikt om ze te verifiëren.

Een voldoende krachtige kwantumcomputer zou een privésleutel kunnen afleiden uit een blootgestelde publieke sleutel, waardoor een aanvaller zonder autorisatie geld kan uitgeven, aldus het rapport — een gebeurtenis die vaak wordt aangeduid als Q-Day. Er bestaat vandaag nog geen computer met die mogelijkheid; het argument van het bureau is dat de komende migratie te groot is om uit te stellen tot het zover is.

De hashfuncties die blokken met elkaar verbinden en de basis vormen van mining zijn grotendeels kwantumbestendig, aangezien het kraken van een 256-bits hash nog steeds een aantal bewerkingen zou vergen dat het rapport "astronomisch hoog met voorzienbare technologie" noemt.

"Cryptocurrencies zullen niet ineenstorten door kwantumcomputing", concludeert het rapport, terwijl het "proactieve verdediging" aanbeveelt om hun langetermijnveiligheid te waarborgen. Het beveelt een gefaseerde overgang naar kwantumbestendige cryptografie aan — algoritmes die ontworpen om aanvallen van zowel kwantum- als klassieke computers te weerstaan — naast verbeteringen aan walletbeveiliging en sleutelbeheer.

Wallets waarvan de publieke sleutels al zichtbaar zijn op de blockchain kunnen niet achteraf worden beveiligd. Daarvoor is "de enige oplossing een preventieve migratie", aldus het rapport, waarbij eigenaren hun geld vóór een eventuele aanval naar nieuwe wallets verplaatsen. Blockchain-analysebedrijf Glassnode schatte in mei dat 6,04 miljoen BTC, ofwel 30,2% van het uitgegeven aanbod, al een blootgestelde publieke sleutel heeft. Bij Bitcoin wordt een publieke sleutel doorgaans onthuld zodra een adres voor het eerst geld verstuurt, en sommige van de vroegste outputs van het netwerk legden sleutels in platte tekst vast.

Een upgrade van Bitcoin brengt zijn eigen kosten met zich mee. Door NIST gestandaardiseerde post-kwantumhandtekeningen zijn 10 tot 120 keer groter dan de ECDSA-handtekeningen (Elliptic Curve Digital Signature Algorithm) die Bitcoin vandaag gebruikt, wat volgens het rapport de blokruimte kan overbelasten, fees kan verhogen en bevestigingen kan vertragen. Het verwijst naar een studie uit 2024 die schat dat het migreren van elke ongebruikte transactieoutput minstens 76 dagen cumulatieve netwerk-downtime zou vergen, of roughly 300 dagen als het werk 25% van elke blok in beslag neemt.

Wat de timing betreft, verwijst het rapport naar de roadmap van IBM, die tegen 2029 een fouttolerante kwantumcomputer — een die stabiel genoeg is om lange, foutgecorrigeerde algoritmes uit te voeren — als doel stelt, en naar een enquête uit 2025 waarin 32 experten de kans dat een machine binnen 24 uur RSA-2048-versleuteling kraakt binnen het komende decennium op 28% tot 49% schatten. Microsoft verwacht eveneens schaalbare kwantumcomputing tegen 2029, terwijl Google-onderzoek in maart en een AI-ondersteunde wedstrijd in september de resourceschattingen voor het aanvallen van de elliptische-curvecryptografie die Bitcoin gebruikt, verlaagden.

Ook lopen er parallelle initiatieven in de industrie. De kwantumadviesraad van Coinbase riep ontwikkelaars in juni op nu te beginnen met post-kwantummigratie, terwijl Ripple en de Stellar Development Foundation migratieroadmaps hebben gepubliceerd. In juli beloofden negen bedrijven, waaronder BlackRock, Coinbase en Strategy, gezamenlijk 15 miljoen dollar over drie jaar voor onderzoek naar Bitcoin-beveiliging, waaronder kwantumverdediging.

"Harvest now, decrypt later"

Het tweede rapport, Harvest Now, Decrypt Later, ontwikkeld met de Spaanse Universidad Carlos III de Madrid, onderzoekt aanvallers die vandaag versleutelde data verzamelen om die later te ontsleutelen. Het stelde dat veelgebruikte protocollen zoals TLS, SSH en OpenPGP vatbaar zijn, waarbij het risico varieert afhankelijk van configuratie en sleutelbeheer.

Er is "momenteel geen duidelijk bewijs" dat deze techniek op grote schaal systematisch wordt uitgebuit, aldus het rapport. De benodigde middelen maken overheidscommunicatie en vertrouwelijke bedrijfsgegevens tot de meest plausibelete doelwitten.

De drie financiële toezichthouders van de Europese Unie wezen in september op dezelfde tactiek en waarschuwden dat een kwantumcomputer die versleuteling kan kraken zou kunnen arriveren voordat de technologie enig levensvatbaar commercieel gebruik heeft. De NIS Cooperation Group van de EU heeft aanbevolen dat lidstaten uiterlijk eind 2026 een post-kwantummigratiestrategie aannemen.

Voor betalingen stelt het crypto-rapport dat realtime onderschepping een directere kwantumrisico vormt dan achteraf ontsleutelen. Het beschrijft een "just-in-time"-aanval, waarbij een kwantumcomputer een privésleutel afleidt tijdens het korte venster tussen het moment waarop een transactie zijn publieke sleutel blootstelt en het moment waarop die transactie wordt bevestigd.

Europol beveelt een werkgroep onder leiding van de Europese Commissie aan, waaronder Europol, het EU-cyberveiligheidsagentschap ENISA en het EU-Anti-Witwasbureau, die beleidsmakers regelmatig moet informeren. Het Amerikaanse National Institute of Standards and Technology heeft voorgesteld de meest gebruikelijke configuraties van publieke sleutels tegen 2030 af te schaffen en klassieke cryptografie met publieke sleutels tegen 2035 uit te faseren, aldus het tweede rapport.