La amenaza cuántica para Bitcoin se está midiendo con el instrumento equivocado

La forma habitual de seguir la amenaza cuántica para Bitcoin es mirar el número de qubits. Cada anuncio de un chip se lee como un paso hacia una meta, y la pregunta implícita es siempre la misma: cuánto falta.

Ese instrumento mide lo que no toca. En los últimos nueve años la cifra que más se ha movido no es el tamaño de ninguna máquina. Es la estimación de lo grande que tendría que ser una máquina, y ha caído más de tres órdenes de magnitud. Tres artículos publicados entre marzo y julio de 2026 volvieron a moverla, y uno de ellos está firmado también por personas que no venden hardware cuántico en absoluto.

Si la meta camina hacia el corredor, contar los pasos del corredor dice muy poco.

Tres artículos en seis meses

Tomen el estado del conocimiento publicado a principios de 2026 y compárenlo con el estado en agosto.

El 30 de marzo de 2026, un grupo dirigido por Ryan Babbush en Google Quantum AI, que incluye a Craig Gidney y cuenta con Dan Boneh y Justin Drake entre los coautores, publicó estimaciones de recursos específicas para la curva de Bitcoin. Sus cifras: 1.200 logical qubits y no más de 90 millones de Toffoli gates en la variante ahorradora de qubits, o 1.450 logical qubits y no más de 70 millones de gates en la ahorradora de gates. En lo físico, menos de medio millón de qubits superconductores con una tasa de error físico de 10^-3.

El mismo día, un grupo distinto que incluye a John Preskill, Manuel Endres y Dolev Bluvstein publicó una estimación para una familia de hardware diferente. Sobre átomos neutros reconfigurables, sostienen, el algoritmo de Shor se vuelve posible con apenas 10.000 qubits físicos, y un logaritmo discreto sobre P-256 podría ejecutarse en unos días sobre 26.000.

El 15 de julio de 2026, Han Luo y sus coautores publicaron un circuito que calcula el mismo logaritmo discreto usando 835 logical qubits, intercambiando anchura por profundidad.

Ahora la comparación. En 2017, Martin Roetteler, Michael Naehrig, Krysta Svore y Kristin Lauter publicaron lo que siguió siendo la estimación de referencia durante casi una década: 2.330 logical qubits y 1,26 x 10^11 Toffoli gates para una curva de 256 bits.

Publicación	Logical qubits	Toffoli gates
Junio de 2017, Roetteler et al.	2.330	1,26 x 10^11
Marzo de 2026, Babbush et al., pocos gates	1.450	7 x 10^7
Marzo de 2026, Babbush et al., pocos qubits	1.200	9 x 10^7
Julio de 2026, Luo et al.	835	unos 1,66 x 10^9

El requisito de qubits se redujo aproximadamente a la mitad. El número de gates cayó en un factor de unos 1.400.

Los algoritmos se abarataron, la física no

Esta es la parte que se pierde cuando las cifras se informan de una en una como hitos.

Nada de la física de fondo cambió entre 2017 y 2026. Ninguna partícula nueva, ningún régimen de coherencia nuevo, ningún descubrimiento de que los qubits sean más fáciles de sostener de lo que creíamos. Lo que cambió es que la gente mejoró al escribir el circuito. La progresión del propio Gidney lo hace inusualmente legible, porque revisó su propio trabajo y no el de otro. En 2019, él y Martin Ekerå estimaron que factorizar un número RSA de 2048 bits requeriría 20 millones de qubits ruidosos y ocho horas. En mayo de 2025 situó la misma tarea por debajo del millón de qubits y por debajo de la semana, una reducción de veinte veces, y nombró las razones: aritmética aproximada de residuos, surface codes acoplados para el almacenamiento inactivo y cultivo de magic states. Las tres son ingeniería del cálculo, no de la máquina.

El resultado de Luo es el mismo fenómeno llevado a su límite, y viene con una advertencia que la cifra de titular esconde. Su circuito usa unas veinte veces más Toffoli gates que la competencia optimizada en espacio, y el artículo no aporta ni profundidad de circuito ni compilación física. Un circuito más estrecho que tiene que funcionar mucho más tiempo no es obviamente una máquina más fácil de construir. Informar 835 frente a 1.200 como si fueran el mismo tipo de cifra es un error de categoría, y es el mismo que encontramos recorriendo el modelo de precio más citado de Bitcoin, donde el corredor que todo el mundo cita resultó haberse ajustado por separado del modelo al que se le atribuye. Una cifra que viaja bien no es lo mismo que una cifra que significa lo que creen quienes la transportan.

Leído todo junto, el resumen honesto es que el ataque se ha vuelto más barato de describir. Si se ha vuelto más cercano a lo posible es una cuestión aparte, y depende de una curva que se ha movido mucho menos.

Dos curvas, y solo una de ellas es una máquina

Pongan la estimación frente a lo que alguien ha construido de verdad.

Los logical qubits corregidos de errores son la unidad adecuada, porque el recuento bruto de qubits no dice nada sobre si un cálculo largo sobrevive. Medido así, el registro público es corto. Quantinuum demostró 4 logical qubits en abril de 2024, 12 en septiembre de 2024 y 48 en su sistema Helios en noviembre de 2025, con una tasa de codificación de dos a uno sobre 98 qubits físicos. La hoja de ruta de IBM apunta a Starling para 2029, una máquina especificada en 200 logical qubits capaces de ejecutar circuitos de 100 millones de gates. La hoja de ruta de Quantinuum promete "cientos de logical qubits" para 2030.

Ahora sostengan eso frente al requisito. Incluso la estimación publicada más benévola quiere 835 logical qubits. La más detallada quiere 1.200, mantenidos estables a lo largo de 90 millones de Toffoli gates.

De ahí se siguen dos cosas, y tiran en direcciones opuestas.

La primera es que el objetivo de IBM para 2029 tiene la profundidad de gates y alrededor de una sexta parte de la anchura. Una máquina capaz de ejecutar 100 millones de gates sobre 200 logical qubits no es una máquina capaz de ejecutar 90 millones de gates sobre 1.200. Pero está lo bastante cerca como para que el problema restante parezca cuestión de escala y no de invención, que es exactamente lo que afirman sus constructores.

La segunda es que las cifras demostradas siguen siendo lo bastante pequeñas como para que todo el debate descanse sobre hojas de ruta. Cuarenta y ocho es una cifra real, medida, publicada. Mil doscientos es un objetivo al que nadie se ha acercado nunca, y la corrección de errores se ha vuelto históricamente más difícil y no más fácil a medida que los sistemas crecen.

Nuestra lectura, y es una interpretación y no un hallazgo: la pregunta sobre los plazos, tal como suele plantearse, no tiene respuesta, y no porque falten datos. No tiene respuesta porque uno de sus dos términos es un producto de investigación y no una magnitud física. El progreso del hardware puede extrapolarse mal. Una estimación que depende del próximo circuito ingenioso no puede extrapolarse en absoluto.

Nueve minutos son una amenaza distinta de nueve horas

Una cifra del artículo de Google importa más para Bitcoin que cualquiera de los recuentos de qubits, y se ha informado muy poco sobre ella.

Su estimación del tiempo real de ejecución es de 18 a 23 minutos para el ataque completo. Desde un estado preparado, en el que la parte inicial del cálculo se ha precalculado, baja a unos 9 a 12 minutos.

Eso cruza un umbral específico de Bitcoin. Mientras un ataque tarde horas o días, solo son alcanzables las claves públicas expuestas de forma permanente, que Glassnode midió en 1,92 millones de bitcoin de exposición estructural en mayo de 2026, de 6,04 millones expuestos en reposo en total. Son monedas viejas, monedas dormidas, monedas en direcciones reutilizadas. Doloroso, concentrado y en gran medida el saldo activo de nadie.

Por debajo del intervalo de bloque, la exposición se vuelve universal. Cada gasto ordinario publica su clave pública en el mempool y espera. Un atacante capaz de derivar una clave dentro de esa ventana puede competir contra una transacción rival, y el objetivo no es una categoría de moneda sino cualquier moneda en movimiento. Vale la pena entender la mecánica de esa diferencia antes de que las cifras signifiquen algo.

Los autores exponen la implicación con la claridad suficiente para merecer una cita: "es concebible que la existencia de los primeros CRQC se detecte en la blockchain antes de que se anuncie." Una máquina capaz tiene un primer uso obvio que es también su propia revelación.

Lo que el techo de Palmer dice y lo que no dice

Frente a todo eso se alza el contraargumento más interesante de 2026, y merece representarse con exactitud y no en ninguna de sus dos distorsiones populares.

El 16 de marzo de 2026 el físico Tim Palmer, del Departamento de Física de la Universidad de Oxford, publicó en PNAS una teoría llamada Rational Quantum Mechanics. Propone que el espacio de estados de la mecánica cuántica es finamente discreto y no continuo, con la mecánica cuántica estándar recuperada como el límite singular de finura infinita. De esa discretitud se sigue una cantidad finita que Palmer llama Qubit Information Capacity: la información contenida en N qubits crece linealmente con N, mientras que las dimensiones del espacio de estados crecen de forma exponencial, de modo que por encima de cierto umbral no hay información suficiente en el sistema para especificar ni siquiera un bit por dimensión.

Palmer estima ese umbral en torno a 200 para los qubits de punto cuántico, 300 para los qubits fotónicos y 400 para las trampas de iones, con un techo absoluto de alrededor de 1.000 derivado de un fotón en la frecuencia más baja que permite la edad del universo. Su artículo complementario expone la consecuencia de forma directa: "la ventaja exponencial de los algoritmos cuánticos que utilizan la transformada cuántica de Fourier cesará en ordenadores cuánticos que utilicen más de 1.000 qubits perfectos (es decir, logical)."

También cierra una vía de escape obvia. El blindaje no ayuda, porque un ordenador cuántico "siempre estará acoplado gravitatoriamente al resto del universo" por el principio de equivalencia, lo que significa que una máquina en la cara oculta de la Luna está sujeta al mismo límite.

Hay tres cosas que decir, y la cobertura popular tiende a decir solo una de ellas.

El artículo está revisado por pares y publicado en PNAS. Eso es una base más firme que la de casi cualquier otro argumento contrario en este campo, y descartarlo como marginal no es exacto.

También es un apartamiento propuesto de la mecánica cuántica estándar y no un resultado dentro de ella. Palmer lo plantea como falsable, según su propia cuenta en unos cinco años, y predice específicamente que una máquina que se acerque al umbral mostrará un deterioro característico en lugar de una parada limpia. Apostar por ello significa apostar a que la mecánica cuántica está equivocada de un modo que nadie ha detectado aún.

Y el artículo no menciona Bitcoin. Ni una sola vez. Su ejemplo desarrollado es RSA-2048, donde el circuito de Shor necesita 2.049 qubits y supera por tanto cualquier techo plausible por un margen amplio. El propio anuncio del artículo por parte del departamento de física de Oxford no menciona ni Bitcoin ni las criptomonedas. Extender el argumento a secp256k1 es defendible, ya que Shor para logaritmos discretos también se apoya en la transformada cuántica de Fourier, pero esa extensión pertenece a los lectores y no a Palmer.

La extensión también resulta incómodamente ajustada. El techo de Palmer de unos 1.000 se sitúa ahora entre dos estimaciones actuales para la curva de Bitcoin, por encima de los 835 de Luo y por debajo de los 1.200 de Babbush. En 2017, con el requisito en 2.330, el argumento del techo tenía un margen cómodo. Ya no lo tiene.

El argumento de los 400 qubits que se desmonta a sí mismo

El resultado de Palmer suele emparejarse con otro más antiguo como apoyo independiente, y ahí es donde el relato popular se equivoca de una forma comprobable.

En 2007 el físico Paul Davies publicó un artículo que deriva un límite del contenido informativo total del universo observable. Usando el límite de Seth Lloyd de 10^122 bits, señaló que un estado entrelazado genérico de más de unas 400 partículas tendría más componentes que bits tiene el universo, y escribió que esto "señala un límite físico fundamental. Me parece que tiene que serlo."

La cifra es real y el razonamiento es elegante. El problema es lo que viene después en el mismo artículo.

Davies lo matiza de inmediato: "A primera vista, el límite de 400 partículas es lo bastante estricto como para plantear un desafío a la industria de la computación cuántica. El análisis anterior, sin embargo, es excesivamente simplista." Da dos razones. La dimensionalidad de un espacio de Hilbert no es un invariante, de modo que un cambio de base puede reducirla. Y la medida más pertinente es el número de parámetros independientes, no el recuento bruto de dimensiones.

Después nombra la excepción, y la excepción es el objeto entero de este artículo. La computación cuántica, escribe, no aspira a controlar estados entrelazados arbitrarios sino un subconjunto de medida nula asociado a problemas específicos, y estos pueden ser especificables mediante un algoritmo corto incluso cuando su número de amplitudes es astronómico. Su ejemplo es explícito: "el algoritmo de Shor para la factorización, que es algorítmicamente simple por definición, ya que su estado de entrada puede especificarse y existe una asociación simple entre los datos de entrada y el estado cuántico inicial."

Davies planteó el límite de los 400 qubits y, en el mismo artículo, identificó el algoritmo de Shor como lo más probable que se le escapara. Citarlo como confirmación independiente de que el algoritmo de Shor fallará por encima de 400 qubits invierte lo que escribió.

Palmer maneja esto correctamente. Señala la semejanza numérica entre su cifra de unos 400 y la de unos 400 de Davies y se pregunta si es una coincidencia, respondiendo que cree que no. Reivindica coincidencia en magnitud, no respaldo. La distorsión entra más abajo.

Todos los que miden esto tienen algo que vender

Escribir esto resulta incómodo y vale en las dos direcciones, y por eso mismo vale la pena escribirlo.

Las empresas de hardware cuántico se benefician de que la amenaza sea creíble y cercana. Google Quantum AI publica las estimaciones que hacen que el ataque parezca más barato, y Google construye las máquinas. Project Eleven pagó un bitcoin en abril de 2026 por el mayor ataque cuántico a la criptografía de curva elíptica hasta la fecha, que fue una clave de 15 bits, y Project Eleven también construye infraestructura Bitcoin resistente a lo cuántico. Blockstream emplea a los autores de la principal propuesta de firma poscuántica para Bitcoin y vende infraestructura Bitcoin.

Los medios de Bitcoin y las empresas de Bitcoin se benefician de la lectura tranquilizadora, y ahí el incentivo es al menos igual de fuerte. Un titular que dice que los ordenadores cuánticos nunca romperán Bitcoin viaja más lejos en este sector que uno que dice que la máquina necesaria volvió a encogerse.

Nada de esto hace deshonesto a nadie. El artículo de Google es cuidadoso, comprobable, y sus métodos están publicados. El premio de Project Eleven produjo un resultado real e informó de la longitud de la clave con honestidad. El punto es más estrecho: las dos curvas de este artículo las trazan casi por entero partes que se benefician de dónde se trazan, y no hay ningún árbitro desinteresado que produzca ninguna de las dos cifras.

Vale la pena nombrar la única excepción. Palmer es un físico del clima en Oxford sin ningún interés comercial evidente en Bitcoin, en el hardware cuántico o en la criptografía. Esa es una razón para leerlo con atención. No es una razón para creer la física, que se sostiene o cae por sí sola.

La pelea no es sobre criptografía

Las respuestas técnicas existen en buena medida. Lo que no existe es acuerdo sobre a quién se aplican.

La firma de reemplazo está diseñada. NIST estandarizó un esquema stateless basado en hash en agosto de 2024, y la propuesta SHRINCS de Blockstream, publicada como borrador de BIP el 27 de agosto de 2026, lleva una vía stateful hasta unos 580 bytes con un respaldo stateless en unos 4.300 a 4.500. Eso es viable. La propuesta también dice, en su propio texto, que una prueba de seguridad sigue pendiente.

El desacuerdo es sobre las monedas que nadie migrará. BIP-361, redactado por Jameson Lopp y cinco coautores en febrero de 2026, propone una retirada por fases: nada de envíos a direcciones vulnerables unos tres años después de la activación, y las firmas legacy dejan de validar unos dos años después de eso. Su propia motivación afirma que "más del 34% de todos los bitcoin han revelado una clave pública on-chain". Bajo esa propuesta, lo que no se haya movido para la fecha límite queda congelado de forma permanente.

Adam Back ha defendido lo contrario, que las actualizaciones opcionales más alrededor de una década de migración voluntaria son más seguras que una fecha límite programada, sobre la base de que los desarrolladores de Bitcoin se han coordinado rápido una y otra vez cuando algo se volvió urgente. BIP-360, la propuesta más conservadora, esquiva la cuestión por completo eliminando la vía de gasto vulnerable sin especificar ningún esquema poscuántico ni ninguna fecha límite.

Ambas posiciones son coherentes, y ninguna es una afirmación criptográfica. Una dice que dejar millones de bitcoin como recompensa permanente es un riesgo sistémico para todos. La otra dice que un protocolo que puede decidir dejar de honrar firmas válidas ha renunciado a algo más importante que las monedas. Es la misma discusión que Bitcoin ya ha tenido sobre quién puede cambiar las reglas, con mucho más en juego y un reloj en marcha.

Hay un precedente útil en la dirección contraria. Cuando las herramientas asistidas por IA destaparon una oleada de fallos en la periferia de software de Bitcoin, la capa base no quedó implicada, porque la proof of work descansa sobre la física y no sobre un supuesto matemático. La computación cuántica es la imagen especular. Amenaza el supuesto matemático y deja en paz la física.

Merece la pena tener a la vista un precedente más, porque es lo más parecido a un ensayo general que Bitcoin tiene. Una clave que ha sido derivada no es un fallo que una nueva versión pueda corregir. Bitcoin se encontró con una versión pequeña de ese problema cuando un fallo de firmware produjo semillas que ninguna actualización posterior podía reforzar de forma retroactiva. La escala era diminuta y el mecanismo era distinto. La forma era idéntica: una vez que el secreto es alcanzable, parchear el software que lo generó no hace nada por las monedas que ya están detrás. Sea cual sea la vía de migración que elija Bitcoin, tiene que estar terminada antes de que exista la capacidad, no después, y eso es una restricción de calendario y no criptográfica.

Qué mostraría que esta lectura es errónea

La tesis de este texto es que el plazo cuántico es incognoscible por principio y no meramente desconocido, porque uno de sus dos términos es un producto de investigación. Cuatro cosas la socavarían, y merece la pena enunciarlas por adelantado.

Si el número de logical qubits sigue subiendo según lo previsto. Si los qubits corregidos de errores demostrados pasan de 48 a los cientos para 2029, como prometen IBM y Quantinuum, entonces el hardware es después de todo la curva vinculante y es extrapolable. La historia de las estimaciones sería una distracción.

Si las estimaciones dejan de caer. Tres revisiones en una década son un patrón, no una ley. Si el requisito de recursos se asienta durante varios años, el objetivo ha dejado de moverse y la distancia restante se convierte en una distancia real.

Si una estimación por debajo de 500 qubits resiste un escrutinio completo. Los 835 de Luo no tienen análisis de profundidad. Si alguien publica un circuito igual de estrecho con una compilación física completa y aguanta, la distancia que se defiende aquí es menor de lo descrito.

Si la predicción de Palmer se pone a prueba y falla. Dice que debería aparecer un deterioro a medida que las máquinas se acerquen a los mil logical qubits entrelazados, dentro de unos cinco años. Si la mecánica cuántica aguanta limpiamente más allá de ese punto, el argumento del techo está acabado y esta lectura pierde una de sus patas.

Y un solo acontecimiento lo dejaría todo obsoleto de golpe. Si un output bien dotado y vulnerable a lo cuántico se mueve sin su propietario, el argumento deja de ser sobre estimaciones. Hasta entonces, la posición más defendible es la que casi nadie encuentra satisfactoria: la exposición es real y medible, la defensa está diseñada y sin desplegar, la máquina no existe, y nadie puede decirles cuándo existirá, incluidas las personas que la están construyendo.

Esa es también, en un sentido distinto, la pregunta menos interesante de todo el asunto.