La firma no es el sistema

Peter Shor publicó su algoritmo en 1994. En los treinta y dos años transcurridos desde entonces, el número más grande que alguien ha factorizado con él en hardware cuántico real es 35.

Vale la pena leer esa frase dos veces, porque no es un truco retórico y no es un dato escogido a conveniencia. Una revisión de 2025 firmada por Dennis Willsch y seis coautores repasó todo el registro publicado y halló que "solo se han factorizado con éxito números enteros muy pequeños N ≤ 35 con el algoritmo de Shor en un QC digital". Los autores van más allá. Existen afirmaciones sobre números mayores, escriben, pero los experimentos que las respaldan "a menudo se apoyan en cierto tipo de simplificación excesiva que los vuelve equivalentes a lanzar una moneda al aire". E incluso para 15, 21 y 35 señalan que los circuitos "podrían no haberse encontrado sin un conocimiento previo de la respuesta".

Treinta y dos años. Treinta y cinco.

La máquina que nunca ha factorizado 36

Quiero ser cuidadoso con lo que ese número demuestra y lo que no, porque la tentación de blandirlo como una porra es fuerte y blandirlo sería deshonesto.

No demuestra que los ordenadores cuánticos sean imposibles. Demuestra que nadie ha construido todavía uno de propósito general lo bastante grande como para resultar interesante, algo que todo el mundo en el campo ya admite. La distancia entre 35 y RSA-2048 no es una distancia de ambición. Es una distancia en logical qubits con corrección de errores, y cerrarla es un programa de ingeniería declarado, financiado, bien dotado de personal y respaldado por gente solvente.

Pero ese número hace además otra cosa, y por eso vuelvo una y otra vez a él. Calibra. Cuando un titular dice que los ordenadores cuánticos están a cinco años de romper Bitcoin, la pregunta honesta es: ¿cinco años a partir de qué punto de partida? La respuesta, medida por resultados y no por hojas de ruta, es treinta y cinco.

Hay un segundo dato del mismo tipo, y es más directamente relevante. En abril de 2026 Project Eleven pagó un bitcoin por el mayor ataque cuántico jamás ejecutado contra criptografía de curva elíptica. La clave que cayó tenía 15 bits de longitud. Las claves de Bitcoin tienen 256 bits. Project Eleven, hay que reconocerlo, comunicó el número con claridad en lugar de esconderlo, y planteó la distancia restante como un problema de ingeniería y no de física.

Puede que tengan razón en que es ingeniería. Los problemas de ingeniería siguen llevando tiempo, y este lleva tres décadas llevándolo.

Treinta y dos años a punto de llegar

El patrón que me parece más instructivo no es que las predicciones hayan sido erróneas. Es quién las hizo y con cuánto cuidado.

En 2017, cinco investigadores serios publicaron en Ledger un artículo que examinaba exactamente esta cuestión. Aggarwal, Brennen, Lee, Santha y Tomamichel concluyeron que la prueba de trabajo de Bitcoin estaba a salvo durante una década, algo que se ha cumplido, y que el esquema de firma "podría quedar completamente roto por un ordenador cuántico ya en 2027, según las estimaciones más optimistas".

2027 es el año que viene. La estimación optimista se refería a una máquina que, en el momento de escribir esto, alcanza 48 logical qubits con corrección de errores como estado del arte público, frente a un requisito que va de varios cientos a un par de miles.

Esto no es un ajuste de cuentas. Los autores dijeron optimistas, querían decir optimistas, y estaban informando del propio límite superior del campo en lugar de inventarse uno. Ese es precisamente el punto. La estimación publicada más agresiva del campo, hecha por gente cuidadosa y de buena fe, erró por un margen amplio, y erró en la dirección de la que depende la financiación del campo.

No creo que eso sea corrupción. Creo que es lo que ocurre cuando una disciplina tiene que justificarse cada año ante quienes manejan los presupuestos, y cuando la respuesta honesta a "cuándo" es "no lo sabemos". Nadie consigue una subvención diciendo eso. Y la misma presión opera a la inversa en el otro bando: una publicación sobre Bitcoin que titula "los ordenadores cuánticos nunca romperán Bitcoin" recibe más atención que otra que titula "la máquina necesaria ha vuelto a encogerse". A ambos públicos se les sirve aquello a lo que vinieron.

Así que la primera mitad de mi posición es simplemente esta. En una cuestión en la que toda parte con micrófono tiene intereses en la respuesta, los resultados son lo único que no está en venta, y los resultados dicen 35 y 15 bits.

El argumento de que quizá nunca llegue

Vayamos ahora a la posibilidad más interesante, la que a mi juicio merece mucha más atención de la que recibe.

Todos los argumentos anteriores tratan sobre el retraso. Hay un argumento distinto, publicado este año en un medio serio por alguien sin intereses en el desenlace, según el cual la máquina podría no ser construible en absoluto.

Tim Palmer es físico en Oxford. En marzo de 2026, PNAS publicó su teoría de la Rational Quantum Mechanics, que propone que el espacio de estados de la física cuántica es finamente discreto y no continuo, y que la mecánica cuántica estándar es lo que se obtiene en el límite singular cuando la discretitud se desvanece. La consecuencia que extrae es concreta: la información disponible en N qubits crece linealmente con N, mientras que las dimensiones que esos qubits tendrían que llenar crecen exponencialmente, de modo que por encima de cierto umbral el estado sencillamente no puede especificarse. Sitúa ese umbral en torno a 200 para los qubits de punto cuántico, 300 para los fotónicos, 400 para las trampas de iones, y fija un techo absoluto de unos 1.000. Por encima de él, los algoritmos que dependen de repartir un cálculo por todo el espacio de estados dejan de tener una ventaja exponencial.

Palmer cierra además la salida de emergencia obvia. No se puede escapar aislando el sistema, porque por el principio de equivalencia un ordenador cuántico "siempre estará acoplado gravitatoriamente al resto del universo". Construirlo en la cara oculta de la Luna no cambia nada.

Si Palmer tiene razón, no hay Q-Day. Ni uno aplazado. Ni uno lejano. Ninguno.

Quiero decir con claridad qué pienso de esto, y decir con la misma claridad por qué no voy a construir una posición sobre ello.

Lo que pienso: es el argumento más sustancial de todo este debate, y está siendo a la vez sobreinterpretado e insuficientemente leído. Sobreinterpretado, porque su artículo no menciona Bitcoin en ninguna parte, ni una sola vez, y tampoco lo menciona el anuncio de su propio departamento. Su ejemplo trabajado es RSA-2048. Insuficientemente leído, porque está revisado por pares en PNAS, lo cual es mucho más de lo que puede decirse de la mayor parte de lo que circula como escepticismo cuántico, y porque Palmer es un físico del clima sin interés comercial alguno en Bitcoin, en hardware cuántico ni en criptografía. Casi nadie más en esta discusión puede decir lo mismo.

Por qué no voy a construir sobre ello: porque el propio Palmer no querría que lo hiciera. Presenta la teoría como falsable en unos cinco años y predice una firma observable concreta a medida que las máquinas se acerquen al umbral. Una teoría ofrecida como apuesta contra el modelo estándar de la mecánica cuántica es una teoría que puede perder. Tratarla como un consuelo es exactamente la respuesta equivocada ante un científico que te entrega una afirmación contrastable.

Y hay una lección menor enterrada en la forma en que se repite su argumento. El valor aproximado de 400 de Palmer suele emparejarse con un resultado de 2007 de Paul Davies, que dedujo una cifra similar a partir del contenido informativo del universo, y el emparejamiento se presenta como confirmación independiente. No lo es, no del todo. Davies calificó su propio análisis de "excesivamente simplista" apenas un párrafo después, y señaló el algoritmo de Shor como lo más probable que escaparía a su límite, porque su estado de entrada es "algorítmicamente simple por definición". Palmer maneja esto con honradez y solo sostiene que es improbable que la coincidencia numérica sea casual. Quienes citan a Davies como segundo testigo en su mayoría no han leído más allá del resumen.

Así pues: ¿es posible un techo permanente? Sí, y por primera vez es una posibilidad seria, publicada y falsable, y no una esperanza. ¿Es algo sobre lo que descansar? No. La formulación honesta es que ahora tenemos dos preguntas abiertas en lugar de una. No sabemos cuándo. Y no sabemos si.

El mejor argumento contra todo lo que acabo de decir

Este es el argumento que yo plantearía si estuviera en el otro bando, y creo que es bueno.

Nada de lo anterior aborda la tendencia. Entre 2017 y 2026 la estimación publicada de lo que exige un ataque contra la curva de Bitcoin cayó de 2.330 logical qubits y 1,26 x 10^11 operaciones de puerta a 1.200 logical qubits y 9 x 10^7. El recuento de puertas descendió en un factor de aproximadamente 1.400. Craig Gidney revisó su propia estimación para RSA-2048 de 20 millones de qubits físicos a menos de un millón en seis años. En marzo de 2026 un grupo que incluía a John Preskill sostuvo que 26.000 qubits de átomos neutros harían un trabajo comparable en cuestión de días. No son notas de prensa. Son artículos, con métodos, que otros pueden comprobar.

El argumento en su versión más fuerte continúa: señalar el 35 es como señalar los 37 metros de los hermanos Wright y concluir que el vuelo transatlántico es especulativo. Los primeros resultados en un campo siempre resultan embarazosos, justo hasta que dejan de serlo, y el intervalo entre embarazoso y rutinario ha sido históricamente corto una vez que la corrección de errores cruza su umbral.

Y hay un argumento temporal que resulta de verdad incómodo. La migración lleva años. Glassnode midió 6,04 millones de bitcoin expuestos en reposo en mayo de 2026. Si el trabajo empieza solo cuando la amenaza es visible, empieza demasiado tarde, lo que significa que el momento racional para actuar siempre es anterior al momento en que actuar parece justificado. Esperar a la certeza es una estrategia que garantiza llegar tarde.

Acepto la mayor parte de esto. Creo que el argumento de la tendencia es lo más fuerte que se ha dicho sobre el asunto, y creo que el argumento temporal es sencillamente correcto: la ingeniería debería avanzar ya, al margen de lo que cada cual crea sobre las fechas. Si el desacuerdo fuera solo eso, no habría ensayo que escribir.

Qué tendría que cambiar realmente en Bitcoin

Pero el desacuerdo no es solo eso, porque bajo el argumento de los plazos late una afirmación mucho mayor y mucho más vaga, y es la que de verdad mueve a la gente. La afirmación es que un ordenador cuántico cambiaría Bitcoin.

Así que seamos concretos sobre qué cambiaría.

Bitcoin demuestra la propiedad con una firma sobre una curva elíptica. Si esa curva se vuelve rompible, Bitcoin añade un esquema de firma que no lo es. El candidato principal, la propuesta SHRINCS de Blockstream, se apoya enteramente en funciones hash, que son la parte de la criptografía de Bitcoin que la computación cuántica no amenaza de forma significativa. El NIST estandarizó un esquema de la misma familia en 2024. Las firmas se hacen más grandes. Los monederos se complican. Parte de la gestión del estado resulta de verdad desagradable.

Ese es el cambio. Una manera distinta de demostrar que el titular de una clave autorizó una transacción.

Ahora enumeremos lo que no cambia. La oferta sigue limitada a 21 millones, porque eso es una regla de consenso y ningún esquema de firma la toca. Cualquiera puede seguir ejecutando un nodo y verificar la cadena entera de forma independiente, porque el coste de la verificación está acotado por el tamaño del bloque y no por la curva sobre la que descansan las firmas. Nadie puede inflar la oferta, porque un nuevo formato de firma no concede ese poder a nadie. Los bloques siguen ordenados por la prueba de trabajo, que es física y no matemática y que ningún algoritmo cuántico acelera de forma significativa. La dificultad sigue ajustándose. Los halvings siguen ocurriendo según el calendario previsto.

Todas las propiedades que hacen que valga la pena discutir sobre Bitcoin sobreviven intactas a la transición.

Por qué eso no es un cambio

Hay aquí una distinción que el debate no deja de colapsar, y creo que colapsarla es la fuente de buena parte del miedo.

Un sistema tiene reglas y tiene herramientas. Las reglas son lo que el sistema promete. Las herramientas son el modo en que mantiene esas promesas ahora mismo. Bitcoin ya ha sustituido herramientas sin que nadie sostuviera que había dejado de ser Bitcoin. Pasó de Pay-to-Public-Key a Pay-to-Public-Key-Hash. Añadió SegWit. Añadió las firmas Schnorr con Taproot en 2021, que fue una sustitución del esquema de firma, exactamente la categoría de cambio de la que hablamos, y nadie escribió un ensayo preguntándose si Bitcoin había dejado de existir.

La razón por la que nadie lo hizo es que la promesa nunca mencionó ECDSA. Cuando tienes bitcoin, aquello en lo que confías es en que la oferta sea fija, en que las reglas se apliquen por igual, en que puedas comprobarlas tú mismo, y en que nadie pueda quedarse con tu saldo ni imprimir más. Ninguna de esas frases contiene la palabra firma.

Satoshi lo entendió en 2010, antes de que nada de esto fuese urgente. Preguntado por lo que ocurriría si SHA-256 se rompiera, la respuesta no fue criptográfica. Fue procedimental: "Si el fallo de la función hash llegara de forma gradual, podríamos pasar a una nueva función hash de manera ordenada. El software se programaría para empezar a usar una nueva función hash a partir de cierto número de bloque. Todo el mundo tendría que actualizarse antes de ese momento." Eso es un plan de mantenimiento, escrito con calma visible, sobre el fallo de la primitiva sobre la que descansa el sistema entero. El sistema se diseñó dando por supuesto que sus herramientas acabarían necesitando reemplazo.

¿Es un problema difícil lo mismo que un problema existencial? No, y confundirlos es el modo en que un proyecto de ingeniería de cinco años acaba discutiéndose como un evento de extinción.

La única parte que debería darte miedo

He sostenido que cambiar el esquema de firma es un cambio de herramienta y no un cambio real. Te debo el caso en el que ese argumento falla, porque falla de verdad, y falla en el lugar en el que casi nadie está mirando.

La BIP-361, redactada en febrero de 2026 por Jameson Lopp y cinco coautores, propone una fecha límite. Unos tres años después de la activación, no más envíos a direcciones vulnerables a lo cuántico. Unos dos años más tarde, las firmas heredadas dejan de validarse y todo lo que no se haya movido queda congelado. De forma permanente.

El razonamiento no es estúpido y no voy a fingir que lo sea. Varios millones de bitcoin sentados en claves públicamente expuestas son una recompensa permanente, y el día en que exista una máquina capaz de cobrarla, el robo resultante será visible para todos y causará un daño que ningún "siempre fue técnicamente posible" repara. Congelar monedas cuyos propietarios están casi con certeza muertos o perdidos es, desde esa óptica, lo responsable.

Pero fíjate en lo que exige. Exige que la red acuerde dejar de honrar firmas que por lo demás son perfectamente válidas, sobre saldos que pertenecen a personas que no hicieron nada malo salvo no actuar. Eso no es un cambio de herramienta. Es la red estableciendo que un saldo puede revocarse mediante un acuerdo social suficiente, dada una razón suficientemente buena. Y una vez establecido eso, la pregunta interesante no es si la razón era buena. Es qué contará como razón suficientemente buena la próxima vez.

Adam Back ha defendido la alternativa, que las actualizaciones opcionales y alrededor de una década de migración voluntaria son más seguras que una caducidad programada, sobre la base de que los desarrolladores de Bitcoin ya se han coordinado deprisa antes cuando algo se volvió urgente. La BIP-360 toma el camino conservador: elimina la ruta de gasto vulnerable y no fija fecha límite alguna.

Encuentro la propuesta de congelación mucho más trascendente que cualquier recuento de qubits, y observo que recibe una fracción mínima de la atención. Un ordenador cuántico quitaría monedas a personas que expusieron sus claves. Una caducidad quita monedas a personas que expusieron sus claves, y lo hace por consenso, de antemano, deliberadamente. Solo una de las dos es Bitcoin cambiando.

Qué tendría que ser cierto para que yo esté equivocado

Tres cosas, y prefiero nombrarlas ahora a que me las recuerden después.

Si una máquina sostiene mil logical qubits a lo largo de un circuito profundo. Palmer dice que eso no puede ocurrir y que el fallo debería verse por el camino. Si ocurre limpiamente, el argumento del techo está muerto, la rama del "nunca" se cierra, y la cuestión vuelve a reducirse a una fecha. Tendría que decirlo.

Si la congelación ocurre y no se sigue nada malo. Mi argumento trata una caducidad impuesta por consenso como un error de categoría con consecuencias duraderas. Si la BIP-361 o algo parecido se activa, la red lo supera, y ninguna propuesta comparable aparece en una década, entonces el precedente que me preocupa no era un precedente y le di demasiado peso.

Si un robo cuántico aparece antes en la cadena. El grupo de Google señaló que una capacidad temprana podría ser "detectada en la blockchain en lugar de anunciada". Si una salida latente y expuesta se mueve sin su propietario antes de que llegue nada del trabajo de migración, entonces la lectura tranquila de los plazos, la mía incluida, estaba equivocada del único modo que importa.

Hasta que ocurra una de esas cosas, mi posición es esta. La amenaza es real, concreta, medible y está confinada a un solo componente. Ese componente es sustituible, el sustituto está diseñado, y el trabajo debería avanzar según el calendario previsto y sin dramatismo. La máquina lleva treinta y dos años a punto de llegar y puede que no llegue nunca, y Bitcoin debería construir como si ninguno de esos dos hechos fuera conocido, porque ninguno lo es.

La cerradura se puede cambiar. Lo que importa es que nadie pueda reescribir la escritura mientras el cerrajero trabaja. Los números detrás de todo esto merecen leerse enteros, y la mecánica de lo que está realmente expuesto es más simple de lo que sugiere la cobertura. Pero el argumento que decidirá cómo acaba esto no va de física en absoluto. Es el que Bitcoin ha tenido siempre, sobre quién está autorizado a cambiar las reglas, y sobre la diferencia entre una regla que prohíbe y un sistema que pone precio a su propio abuso, que es la distinción que Bitcoin suele acertar.