Cryptopolitan zapytał swoich czytelników newslettera, czy obliczenia kwantowe mogą złamać Bitcoin do 2035 roku. Pytanie nabrało dodatkowej pilności po tym, jak niewydany model AI odkrył 28 lipca lukę w schemacie podpisu postkwantowego — lukę, której dwa lata eksperckiej analizy człowieka nie wykryły. Nie brał w tym udziału żaden komputer kwantowy. Niniejszy raport analizuje podstawową architekturę kryptograficzną Bitcoina, konkretne zagrożenie, jakie obliczenia kwantowe stwarzają dla BTC, oraz to, dlaczego przełom w kryptanalizie napędzany przez AI wprowadza nowy wymiar do osi czasu ryzyka kwantowego.

Gdzie są czytelnicy

Połączenie odpowiedzi „tak, prawdopodobnie tak” z grupą „przed 2030” daje wynik 47% czytelników, którzy uważają, że złamanie Bitcoina przez komputer kwantowy jest możliwe w ciągu najbliższych dziewięciu lat. Największy jak dotąd klucz krzywej eliptycznej złamany na rzeczywistym sprzęcie kwantowym ma 15 bitów — osiągnięto to w kwietniu przez badacza zgłaszającego udział w Project Eleven’s Q-Day Prize. Dla porównania klucze Bitcoina mają 256 bitów. Pokonanie tej różnicy w ciągu dziewięciu lat wymagałoby wyjątkowego tempa postępu inżynieryjnego. Około jedna trzecia odbiorców uznaje to obecnie za realną możliwość.

Co faktycznie jest zagrożone w BTC

Bitcoin nie szyfruje danych. Każda transakcja w sieci była publicznie widoczna od początku istnienia. Bitcoin wykonuje podpisywanie i haszowanie — dwa odrębne działania matematyczne o bardzo różnych profilach zagrożenia kwantowego.

Najbardziej narażonym elementem jest mechanizm podpisu. Przy wydawaniu Bitcoina portfel tworzy podpis potwierdzający własność przy użyciu kryptografii krzywych eliptycznych znanej jako secp256k1. Bitcoin korzystał z dwóch metod podpisu: ECDSA od początku oraz Schnorr od 2021 roku. Obie opierają się na tym samym założeniu podstawowym — że wyprowadzenie klucza prywatnego z klucza publicznego jest obliczeniowo niewykonalne.

To założenie bezpośrednio kwestionuje algorytm Shora. Przy wystarczająco dużym komputerze kwantowym może on odtworzyć klucz prywatny na podstawie odpowiadającego mu klucza publicznego. W marcu badacze Google opublikowali szacunki wskazujące, że potrzeba mniej niż 1,200 logicznych kubitów i mniej niż 500,000 fizycznych kubitów. Późniejsza praca Caltech i Oratomic obniżyła tę liczbę do około 10,000 kubitów przy użyciu architektury z neutralnymi atomami. Nikt nie zbudował jeszcze niczego nawet zbliżonego do tych parametrów. IBM-owski najnowocześniejszy publicznie ujawniony procesor kwantowy Condor działa na poziomie około 1,121 fizycznych kubitów — bez korekcji błędów — a narzut potrzebny do przekształcenia zaszumionych kubitów fizycznych w stabilne kubity logiczne pozostaje dużą barierą inżynieryjną. Mimo to wcześniejsze szacunki mówiły o milionach, a ten spadkowy trend wyjaśnia, dlaczego deweloperzy Bitcoina przestali traktować to jako problem odległych lat 2040.

Strona haszująca jest znacznie bardziej odporna. Bitcoin używa SHA-256 do kopania, generowania adresów i łączenia bloków. Najlepszy znany atak kwantowy na ten algorytm to algorytm Grovera, który daje jedynie kwadratowe przyspieszenie — sprowadzając bezpieczeństwo 256-bitowe do około 128-bitowego, co nadal pozostaje poza zasięgiem jakiejkolwiek maszyny, jaką ktokolwiek zaprojektował na papierze. Kopanie nie jest tu słabym punktem, podobnie jak struktura łańcucha.

Dokładniejsze ujęcie jest więc węższe niż „kwanty łamią Bitcoin”. Zagrożone są te monety, których klucze publiczne są już widoczne w łańcuchu. Dzieje się tak, gdy z adresu wcześniej już wydawano środki albo gdy środki znajdują się w starszych formatach adresów, które domyślnie ujawniają klucz. Obecny szacunek wynosi od 6,5 do 6,9 miliona BTC, czyli około jednej czwartej do jednej trzeciej podaży całkowitej, a liczba ta obejmuje około 1,7 miliona monet we wczesnych adresach powszechnie uznawanych za należące do Satoshiego.

Monety trzymane w nowoczesnych adresach, z których nigdy nie wydawano środków, nie ujawniają klucza publicznego. W ich przypadku atakujący kwantowy miałby tylko krótkie okno, gdy transakcja znajduje się w mempoolu i czeka na potwierdzenie. To nadal poważny problem, ale znacznie mniejszy niż sugerują nagłówki.

Odpowiedź Bitcoina na problem kwantowy

11 lutego 2026 roku BIP-360 został scalony z oficjalnym repozytorium BIP Bitcoina — to pierwszy formalny projekt odporności na komputery kwantowe, który dotarł tak daleko. Wprowadza on nowy typ wyjścia o nazwie Pay-to-Merkle-Root, czyli P2MR, którego autorami są Hunter Beast, Ethan Heilman i Isabel Foxen Duke.

P2MR jest zasadniczo Taprootem z usuniętym wydatkowaniem ścieżką klucza. Taproot wiąże zarówno wewnętrzny klucz publiczny, jak i korzeń Merkle’a skryptów, co oznacza, że klucz zawsze można wyprowadzić z danych zapisanych w łańcuchu. P2MR wiąże wyłącznie korzeń Merkle’a. Klucz publiczny nie pojawia się aż do rzeczywistego wydania środków, a wtedy ujawniany jest tylko użyty liść. To zamyka lukę długiej ekspozycji.

Towarzysząca propozycja, BIP-361, pojawiła się 14 kwietnia i zakłada trójfazowy plan całkowitego wygaszenia wydatków ECDSA i Schnorr. To właśnie ta propozycja budzi spory, ponieważ trzecia faza de facto zamraża monety, które nigdy nie zostaną przeniesione.

Warto zatrzymać się przy tej części. Sam Heilman szacuje, że od momentu osiągnięcia konsensusu do pełnej odporności kwantowej minie siedem lat, i nazywa ten harmonogram optymistycznym. Dwa i pół roku na przegląd i testy. Pół roku na aktywację. Potem jeszcze pięć lat, zanim około 90% portfeli, depozytariuszy, węzłów Lightning i oprogramowania skarbcowego rzeczywiście zostanie zaktualizowanych. Co istotne, BIP-360 w ogóle nie zawiera podpisów postkwantowych. Zostały one usunięte w lipcu 2025 roku i odłożone do przyszłej propozycji. Schemat, który Bitcoin ostatecznie przyjmie, najprawdopodobniej będzie ML-DSA lub SLH-DSA, czyli algorytmami, które NIST już sfinalizował.

To prowadzi nas do ubiegłego tygodnia.

Schemat postkwantowy zawiódł, a żaden komputer kwantowy nie był w to zaangażowany

28 lipca Frontier Red Team firmy Anthropic opublikował wyniki pochodzące z Claude Mythos Preview, modelu niedostępnego publicznie. Działając półautonomicznie w środowisku agentowym, model znalazł wcześniej nieznany atak na HAWK — jednego z dziewięciu finalistów dodatkowego konkursu NIST na podpisy postkwantowe i jedyny schemat oparty na kratownicach, który w maju przeszedł do trzeciej rundy.

Atak wykorzystał symetrię w strukturze kratowej HAWK, której wcześniej nikt nie użył. Dla zestawu parametrów HAWK-256 oszacowany koszt odzyskania klucza spadł z około 2^64 operacji do mniej więcej 2^38. Mówiąc prościej, to różnica między „żaden atakujący na Ziemi nie jest w stanie tego zrobić” a „dobrze finansowany zespół mógłby realnie spróbować”.

Szczegóły są niepokojące. HAWK przetrwał już dwie rundy eksperckiej, ludzkiej analizy przez dwa lata. Model znalazł lukę w około 60 godzin, przy koszcie około $100,000 wydanych na API. Badacz nadzorujący projekt miał zaplecze z teorii informatyki, ale nie był specjalistą od kryptografii kratowej.

Sophie Schmieg, kryptografka postkwantowa z Google, podsumowała to w pięciu słowach: „Basically with this paper, HAWK is dead.” Zespół HAWK wycofał schemat z rozpatrywania przez NIST następnego dnia, zauważając, że oczywiste poprawki — podwojenie parametrów albo przejście na moduły wyższego rzędu — uczyniłyby go niekonkurencyjnym wobec alternatyw.

Na żadnym etapie nie użyto komputera kwantowego. Zawiodła sama kryptografia postkwantowa, a złamał ją klasyczny model AI podczas długiego weekendu.

Co naprawdę pokazała ankieta

Każda odpowiedź w ankiecie dotyczyła tego samego podstawowego pytania: kiedy pojawi się sprzęt kwantowy. Czytelnicy podzielili się w tej kwestii dość racjonalnie, a 47% wskazujących horyzont do dziewięciu lat to obronna interpretacja, biorąc pod uwagę, jak szybko w tym roku zmieniały się szacunki dotyczące kubitów.

Jednak wynik HAWK sugeruje, że terminy dotyczące sprzętu mogą nie być ograniczeniem wiążącym. 33% głosujących „nie tak szybko” lub „dopiero po 2050” stawiało zakład na inżynierię kwantową — i bardzo możliwe, że mają rację. Ten zakład nie chroni jednak przed klasycznym atakiem na algorytm zastępczy, który ostatecznie zostanie wybrany.

20% osób, które odpowiedziały „nie mam pojęcia”, zasługuje tutaj na uznanie. Wśród odbiorców, którzy śledzą ten temat bardzo uważnie, jedna piąta odmawiająca prognozy nie oznacza obojętności. To raczej trafna ocena nagromadzonych niewiadomych: postęp sprzętu, wybór algorytmu, harmonogramy konsensusu, a teraz także kryptanaliza wspierana przez AI, która postępuje szybciej niż procesy przeglądu stworzone do wykrywania takich słabości.