¿Son los ordenadores cuánticos una amenaza para Bitcoin?

Cada pocos meses un titular anuncia que los ordenadores cuánticos están a punto de romper Bitcoin, y unos meses después otro anuncia que nunca lo harán. No pueden tener razón los dos, y ninguno de ellos es descuidado. El desacuerdo es real, atraviesa grupos de investigación serios y en los últimos dos años se ha vuelto más agudo en lugar de más suave.

Lo que hace que la pregunta tenga respuesta es que se descompone. Bitcoin no tiene una sola exposición criptográfica a la computación cuántica. Tiene dos, las atacan dos algoritmos distintos, y solo una está en peligro real. Casi toda afirmación confusa sobre este tema nace de mezclar ambas.

Dos ataques distintos, no uno

Bitcoin se apoya en dos tipos de matemáticas. Usa funciones hash para comprimir datos en huellas de longitud fija, que es lo que la minería recorre y aquello con lo que se construyen las direcciones. Y usa criptografía de clave pública para demostrar la propiedad, que es lo que hace una firma cuando gastas una moneda.

Dos algoritmos cuánticos apuntan a estas dos familias, y no son igual de peligrosos.

Peter Shor publicó el suyo en 1994. Resuelve una clase concreta de problemas, incluido aquel del que depende la criptografía de clave pública, de forma exponencialmente más rápida que cualquier método clásico conocido. Frente al esquema de firma de Bitcoin, el algoritmo de Shor no es una optimización. Es una solución.

Lov Grover publicó el suyo en 1996. Busca en un espacio no estructurado y ofrece una aceleración de raíz cuadrada. Una búsqueda que a un ordenador clásico le costaría 2^256 pasos le cuesta unos 2^128 pasos a un ordenador cuántico que ejecuta Grover. Es una mejora enorme en términos matemáticos y casi nula en términos prácticos, porque 2^128 sigue estando muy por encima de todo lo que puede calcularse.

Así que la respuesta corta y honesta es que los ordenadores cuánticos amenazan cómo Bitcoin demuestra la propiedad, y apenas rozan cómo Bitcoin produce bloques.

Por qué la minería no es el punto débil

La minería es una búsqueda. Los mineros prueban cantidades enormes de valores candidatos, calculan el hash de cada uno y buscan un resultado por debajo de un objetivo. Es exactamente el tipo de búsqueda no estructurada para la que está construido el algoritmo de Grover, y por eso la idea de la minería cuántica suena plausible.

Falla en dos frentes, y ambos son prácticos y no teóricos.

El primero es la velocidad. La aceleración de Grover se aplica al número de operaciones, no al tiempo que tarda cada operación. Las puertas cuánticas funcionan muchos órdenes de magnitud más despacio que los circuitos de función fija que hay dentro de un chip de minería. Chaincode Labs puso cifras a esto en 2025 y estimó que un minero cuántico construido sobre supuestos optimistas alcanzaría aproximadamente 13,8 gigahashes por segundo, más de mil veces más lento que un solo ASIC moderno a unos 500 terahashes por segundo.

El segundo es que Grover se paraleliza mal. La minería clásica escala casi a la perfección añadiendo máquinas, porque cada máquina busca en una porción independiente del espacio. La ventaja de Grover es secuencial, y repartir la búsqueda entre muchos ordenadores cuánticos se come la mayor parte de la ganancia de la raíz cuadrada.

No es una conclusión nueva. Aggarwal, Brennen, Lee, Santha y Tomamichel llegaron a ella en un artículo de 2017 publicado en Ledger, y su valoración fue que el proof of work de Bitcoin es "relativamente resistente a una aceleración sustancial por parte de los ordenadores cuánticos en los próximos 10 años". Esa ventana ya ha transcurrido en buena medida, y la conclusión se ha mantenido.

La propia función hash está en la misma situación. Grover reduciría una búsqueda de preimagen sobre SHA-256 de 2^256 a unos 2^128 pasos, lo que no cambia nada sobre lo que nadie pueda actuar.

Por qué las firmas son el punto débil

El mismo artículo de 2017 llegó a la conclusión contraria sobre la otra mitad de Bitcoin. El esquema de firma, escribieron los autores, "podría quedar completamente roto por un ordenador cuántico ya en 2027, según las estimaciones más optimistas".

La razón es estructural. Cuando posees bitcoin, lo que realmente posees es una clave privada. A partir de esa clave privada, el software deriva una clave pública mediante una operación de un solo sentido sobre una curva elíptica llamada secp256k1. Un solo sentido significa que ir hacia delante es barato y volver hacia atrás es, para un ordenador clásico, imposible en cualquier sentido útil. Recuperar una clave privada a partir de una clave pública en esta curva es un problema llamado problema del logaritmo discreto en curva elíptica, y no se conoce ningún atajo clásico.

El algoritmo de Shor es ese atajo. Dada una clave pública, un ordenador cuántico suficientemente grande podría calcular la clave privada correspondiente, y quien tenga una clave privada puede gastar las monedas que esa clave controla. En el proceso no se rompe ninguna regla de consenso. El robo parecería una transacción ordinaria y perfectamente válida, que es precisamente lo que lo hace peligroso.

Ambos esquemas de firma de Bitcoin se asientan sobre la misma curva. ECDSA, usado desde 2009, y Schnorr, introducido con Taproot en 2021, difieren en cómo construyen una firma y no en las matemáticas que protegen la clave. Pasar de uno a otro le dio muchas cosas a Bitcoin. La resistencia cuántica no estaba entre ellas.

Una clave pública solo está en riesgo cuando es visible

Este es el punto que la mayoría de la cobertura se salta, y es la diferencia entre una catástrofe y un problema manejable.

El algoritmo de Shor necesita una clave pública como entrada. No puede trabajar a partir de una dirección, porque la mayoría de los tipos de dirección de Bitcoin no contienen una clave pública. Contienen un hash de una. La clave pública permanece privada hasta el momento en que gastas, y solo entonces aparece en los datos witness de tu transacción, de forma permanente.

Eso produce dos modelos de amenaza muy distintos, y BIP-360 les da nombre.

Un ataque de exposición larga apunta a una clave pública que ya está en la cadena a la vista de todos. El atacante dispone de tiempo ilimitado. No hay nada que apresurar, nada que interceptar, y el propietario no tiene forma de saber que está ocurriendo.

Un ataque de exposición corta apunta a la breve ventana en la que una transacción se ha difundido pero aún no se ha confirmado. La clave pública es visible en la mempool, y el atacante tiene que derivar la clave y conseguir que se confirme antes una transacción competidora, todo dentro de esa ventana. Es mucho más difícil, y exige un ataque medido en minutos y no en días.

Qué modelo se aplica a una moneda concreta depende por completo del tipo de output. Los outputs Pay-to-Public-Key de los primeros años de Bitcoin contienen la clave pública en bruto. Los outputs Taproot también exponen una clave por diseño. Cualquier dirección usada más de una vez ha publicado su clave en el primer gasto y ha dejado el resto expuesto. Los outputs Pay-to-Public-Key-Hash estándar de un solo uso y los outputs SegWit nativos no publican nada hasta que se mueven.

Cuántos bitcoin están realmente expuestos

Como la exposición depende del tipo de output y del comportamiento del usuario, puede medirse. En mayo de 2026 Glassnode Research publicó la medición pública más cuidadosa hasta la fecha, definiendo una moneda como expuesta si "la clave pública necesaria para gastar una moneda ya es visible on-chain".

Su resultado, a 20 de mayo de 2026:

Dos cosas destacan. La mayor parte del problema es comportamiento y no diseño del protocolo, lo que significa que una gran parte puede resolverla los usuarios sin ningún cambio en Bitcoin. Y casi el setenta por ciento de todos los bitcoin no está expuesto en reposo en absoluto.

Existen otras mediciones y no coinciden, algo que conviene entender en lugar de pasar por alto. El grupo de investigación de Google informó en marzo de 2026 de que "algo más de 1,7 millones de bitcoin (casi el 9% de todos los bitcoin) está protegido por locking scripts P2PK", y situó las tenencias latentes vulnerables a lo cuántico en todos los tipos de script en hasta 2,3 millones. El Coinbase Quantum Advisory Council estimó 6,9 millones en abril de 2026. BIP-361 afirma que "más del 34% de todos los bitcoin ha revelado una clave pública on-chain".

Estas cifras no están en conflicto. Miden cosas distintas. Exposición estructural, exposición latente, exposición total en reposo y total de claves reveladas alguna vez son cuatro preguntas distintas con cuatro respuestas distintas. Cualquier artículo que cite una de ellas sin decir qué se está midiendo te está diciendo menos de lo que parece.

Qué es un logical qubit, y por qué la cifra es tan pequeña

Los ordenadores cuánticos suelen venderse por número de qubits físicos, y esa cifra carece casi de sentido para la criptografía.

Los qubits físicos son frágiles. Pierden su estado al interactuar con su entorno, y sus puertas cometen errores a tasas que serían impensables en la computación clásica. Ejecutar un cálculo largo sobre qubits físicos en bruto produce ruido, no respuestas.

La solución es la corrección cuántica de errores, que reparte la información de un logical qubit fiable entre muchos qubits físicos y detecta y corrige errores de forma continua. La proporción es la sobrecarga, y en ella se juega todo. El bivariate bicycle code de IBM mete 12 logical qubits en 288 qubits físicos, unos 24 a uno. Los surface codes, el enfoque que hay detrás de la mayoría de las estimaciones con superconductores, son considerablemente más caros por logical qubit pero se entienden mejor.

Así que la pregunta significativa nunca es cuántos qubits tiene una máquina. Es cuántos logical qubits corregidos de errores puede mantener, entrelazados, durante un cálculo largo.

Medido así, el estado del arte es modesto. El sistema Helios de Quantinuum, lanzado el 5 de noviembre de 2025 con 98 qubits físicos, demostró 48 logical qubits plenamente corregidos de errores con una tasa de codificación de dos a uno. Fue un salto grande respecto a los 12 que la empresa demostró en septiembre de 2024, que a su vez era un salto respecto a los 4 de abril de 2024. La hoja de ruta publicada por IBM apunta a Starling en 2029, una máquina pensada para ejecutar 100 millones de puertas sobre 200 logical qubits.

Cuánto ordenador cuántico exigiría el ataque

Frente a esas cifras, esto es lo que la investigación publicada dice que exigiría un ataque a la curva de Bitcoin. Los números se han movido mucho.

Publicación	Fuente	Logical qubits	Toffoli gates
Junio de 2017	Roetteler, Naehrig, Svore, Lauter	2.330	1,26 x 10^11
Marzo de 2026	Babbush et al., variante de pocas puertas	1.450	7 x 10^7
Marzo de 2026	Babbush et al., variante de pocos qubits	1.200	9 x 10^7
Julio de 2026	Luo et al.	835	aproximadamente 1,66 x 10^9

La última fila merece una advertencia. Luo y sus coautores redujeron la anchura del circuito intercambiándola por número de puertas, usando unas veinte veces más operaciones que los diseños rivales, y su artículo no ofrece ni profundidad de circuito ni compilación física. Menos qubits no significa una máquina más fácil si cada uno de ellos tiene que trabajar mucho más tiempo.

Las estimaciones de recursos físicos se han movido en la misma dirección. Craig Gidney y Martin Ekerå estimaron en 2019 que factorizar un número RSA de 2048 bits exigiría 20 millones de qubits ruidosos y ocho horas. La propia revisión de Gidney de 2025 lo situó por debajo de un millón de qubits y de una semana. En marzo de 2026 el grupo liderado por Google estimó menos de medio millón de qubits físicos superconductores específicamente para la curva de Bitcoin, y un grupo aparte que incluía a John Preskill estimó que 26.000 qubits reconfigurables de átomos neutros podrían calcular un logaritmo discreto P-256 en unos pocos días.

Una cifra del artículo de Google importa más que el resto para Bitcoin. El ataque, una vez preparada la máquina con precomputación, llevaría aproximadamente de nueve a doce minutos. Eso es menos que el tiempo medio entre bloques, lo que significa que un ataque de exposición corta desde la mempool deja de ser teórico.

Las estimaciones caen más rápido de lo que crece el hardware

Pon las dos series de números una al lado de la otra y aparece un patrón que es fácil pasar por alto cuando los artículos se leen de uno en uno.

Entre 2017 y 2026, los logical qubits que se creen necesarios cayeron de 2.330 a 1.200, algo menos de la mitad. En el mismo periodo el número de puertas cayó de 1,26 x 10^11 a 9 x 10^7, un factor de aproximadamente 1.400. Mientras tanto, el número de logical qubits corregidos de errores que alguien ha demostrado de verdad pasó de prácticamente cero a 48.

Ambas curvas se mueven. La estimación se mueve más rápido que la máquina.

Esto es lo más importante que hay que entender sobre los plazos, y también la razón por la que los investigadores honestos se niegan a dar una fecha. La distancia restante no es un objetivo fijo al que el hardware se acerca a un ritmo medible. Es un objetivo que se sigue acercando al hardware a medida que mejoran los algoritmos, y nadie sabe cuánto más puede acercarse.

Al mismo tiempo, el historial práctico invita a la prudencia. Una revisión de 2025 de lo que se ha demostrado realmente concluyó que "solo se han factorizado con éxito enteros muy pequeños N ≤ 35 con el algoritmo de Shor en un QC digital", y descartó las afirmaciones mayores por apoyarse en simplificaciones que las hacen "equivalentes a lanzar una moneda". En abril de 2026 Project Eleven pagó un bitcoin por el mayor ataque cuántico a la criptografía de curva elíptica logrado hasta la fecha. La clave que se rompió tenía 15 bits de longitud. Las de Bitcoin tienen 256.

Qué está construyendo Bitcoin frente a esto

El trabajo avanza en dos frentes separados, y responden a preguntas distintas.

El primer frente es la firma de reemplazo. Los estándares de referencia ya existen. El NIST publicó FIPS 203, 204 y 205 el 13 de agosto de 2024, y FIPS 205 estandariza SLH-DSA, un esquema stateless basado en hash derivado de SPHINCS+. Las firmas basadas en hash son atractivas para Bitcoin porque descansan únicamente en la seguridad de las funciones hash, que es la parte de la criptografía de Bitcoin a la que la computación cuántica no amenaza de forma significativa.

El problema es el tamaño. Las firmas Schnorr de Bitcoin ocupan 64 bytes. Las firmas SLH-DSA llegan a varios miles. Cada byte compite por el mismo espacio limitado de bloque, así que un cambio ingenuo le costaría a Bitcoin la mayor parte de su capacidad de transacción.

Ese es el problema que SHRINCS está construido para resolver. Mikhail Kudinov y Jonas Nick, de Blockstream Research, lo propusieron en diciembre de 2025 y publicaron un borrador de BIP para un opcode OP_CHECKSHRINCS el 27 de agosto de 2026. Combina SPHINCS+ para la firma stateless con una construcción XMSS desequilibrada para la firma stateful, y la clave pública es un hash de ambas. La vía stateful produce firmas de unos 580 bytes. Si el estado se pierde, la misma clave recurre a la vía stateless, entre unos 4.300 y 4.500 bytes.

El inconveniente es lo que "stateful" significa en la práctica. Una clave basada en hash con estado solo puede firmar una vez desde cada posición interna, y el monedero debe recordar qué posiciones ha usado. Restaurar una copia de seguridad antigua devuelve ese contador a un valor ya gastado, y volver a firmar desde ahí puede comprometer la clave. Nick describe el modo de fallo sin rodeos: un contador retrocedido significa que "una firma posterior reutiliza ese estado, lo que puede comprometer los fondos del usuario". Esto se aparta de verdad de cómo funciona hoy la recuperación mediante seed phrase, donde una copia de seguridad restaura todo lo que necesitas y no hace falta nada más.

El segundo frente es la migración, y no es en absoluto un problema de criptografía. Lo enmarcan dos propuestas en borrador.

BIP-360, redactado por Hunter Beast, Ethan Heilman e Isabel Foxen Duke, es el paso conservador. Define un nuevo tipo de output llamado Pay-to-Merkle-Root que elimina el gasto por key path de Taproot, vulnerable a lo cuántico. No especifica deliberadamente ningún esquema de firma poscuántico, se describe como un primer paso y aplaza la cuestión de la firma a una propuesta posterior.

BIP-361, redactado por Jameson Lopp y cinco coautores y creado el 11 de febrero de 2026, es el agresivo. Propone un apagado por fases. Unos tres años después de la activación, se prohibiría enviar a direcciones vulnerables a lo cuántico. Unos dos años después de eso, las firmas heredadas dejarían de validarse, y cualquier bitcoin no migrado quedaría congelado de forma permanente.

Esa segunda fase es donde la cuestión técnica se convierte en política, porque implica decidir qué pasa con varios millones de bitcoin cuyos propietarios casi con toda seguridad no van a volver. Adam Back ha defendido lo contrario, que las actualizaciones opcionales y alrededor de una década de migración voluntaria son más seguras que un plazo fijado, sobre la base de que los desarrolladores de Bitcoin pueden coordinarse rápido si la amenaza se acelera. Ninguna de las dos posiciones tiene consenso, y será la cuestión de cómo cambia Bitcoin la que lo resuelva.

Lo que todavía nadie sabe

Quedan tres incertidumbres honestas, y apuntan en direcciones distintas.

La primera es si el hardware llega. Todas las estimaciones anteriores suponen que los logical qubits corregidos de errores pueden escalarse de 48 a más de mil manteniéndose entrelazados a lo largo de un cálculo de decenas de millones de puertas. Nadie ha demostrado que eso sea posible. Las hojas de ruta dicen que sí, y las hojas de ruta en este campo tienen un largo historial de retrasos.

La segunda es si hay un techo. En marzo de 2026 el físico de Oxford Tim Palmer publicó en PNAS una teoría que propone que el espacio de estados de la mecánica cuántica es finamente discreto y no continuo, lo que limitaría el número de qubits útilmente entrelazados a unos 200 para los puntos cuánticos, 300 para los qubits fotónicos, 400 para las trampas de iones, y en torno al millar como cota superior absoluta. Por encima de ese techo, sostiene, los algoritmos que dependen de repartir un cálculo por todo el espacio de estados pierden su ventaja. Si la teoría es correcta, la factorización de números grandes no ocurre nunca.

Tres cosas al respecto merecen decirse con claridad. El artículo está revisado por pares, que es más de lo que pueden decir la mayoría de las afirmaciones a contracorriente en este terreno. También propone un alejamiento de la mecánica cuántica estándar, así que es una posición minoritaria y no la visión asentada, y Palmer la presenta como falsable en unos cinco años. Y el artículo no menciona Bitcoin en ninguna parte. Su objeto es RSA-2048.

Junto a ella se cita a menudo un argumento más antiguo. En 2007 el físico Paul Davies dedujo un límite de unas 400 partículas entrelazadas a partir del contenido total de información del universo observable. Lo que suele omitirse es que Davies calificó de inmediato su propio análisis de "excesivamente simplista", y señaló el algoritmo de Shor como la excepción probable, porque su estado de entrada es "algorítmicamente simple por definición". Leído entero, el argumento respalda un techo rígido bastante menos de lo que sugiere su resumen habitual.

La tercera incertidumbre es si Bitcoin puede moverse a tiempo. La migración se mide en años incluso bajo supuestos optimistas, y exige que actúen monederos, exchanges, custodios y usuarios individuales. Los reguladores han puesto su propio reloj en marcha. La guía de transición del NIST declara ECDSA obsoleto después de 2030 y no admitido después de 2035, lo que pone fecha al movimiento del resto del mundo al margen de lo que decida Bitcoin.

Nada de esto se resuelve en un sí o un no. Se resuelve en una forma: una exposición concreta y bien entendida en una parte del sistema, una población medible de monedas en riesgo, una defensa que está diseñada pero no desplegada, y una máquina que no existe y que puede ser construible o no. El análisis más extenso de cómo se mueven esos números recorre qué respaldan realmente las líneas de tendencia, y un ensayo aparte plantea la pregunta que hay debajo de todo, que es si sustituir un esquema de firma cambiaría Bitcoin en algo.