Kwantowe zagrożenie dla Bitcoina mierzy się niewłaściwym przyrządem

Standardowy sposób śledzenia kwantowego zagrożenia dla Bitcoina polega na patrzeniu na liczbę qubitów. Każde ogłoszenie nowego układu czyta się jako krok w stronę mety, a domyślne pytanie brzmi zawsze tak samo: ile jeszcze zostało.

Ten przyrząd mierzy niewłaściwą rzecz. Przez ostatnie dziewięć lat wartością, która przesunęła się najdalej, nie jest rozmiar żadnej maszyny. Jest nią szacunek tego, jak duża maszyna musiałaby być, i spadł on o ponad trzy rzędy wielkości. Trzy artykuły opublikowane między marcem a lipcem 2026 roku przesunęły go ponownie, a jeden z nich współtworzyli ludzie, którzy w ogóle nie sprzedają sprzętu kwantowego.

Jeśli meta idzie w stronę biegacza, liczenie kroków biegacza mówi bardzo niewiele.

Trzy artykuły w sześć miesięcy

Weźcie stan opublikowanej wiedzy z początku 2026 roku i porównajcie go ze stanem z sierpnia.

30 marca 2026 roku zespół kierowany przez Ryana Babbusha z Google Quantum AI, w którym pracuje Craig Gidney, a wśród współautorów znaleźli się Dan Boneh i Justin Drake, opublikował szacunki zasobów dotyczące konkretnie krzywej Bitcoina. Ich liczby: 1 200 logical qubits i nie więcej niż 90 milionów Toffoli gates w wariancie oszczędnym pod względem qubitów albo 1 450 logical qubits i nie więcej niż 70 milionów gates w wariancie oszczędnym pod względem gates. Fizycznie mniej niż pół miliona qubitów nadprzewodzących przy fizycznym współczynniku błędu 10^-3.

Tego samego dnia odrębny zespół, w którym znaleźli się John Preskill, Manuel Endres i Dolev Bluvstein, opublikował szacunek dla innej rodziny sprzętu. Na rekonfigurowalnych atomach neutralnych, jak twierdzą, algorytm Shora staje się możliwy przy zaledwie 10 000 fizycznych qubitów, a logarytm dyskretny na P-256 mógłby policzyć się w kilka dni na 26 000.

15 lipca 2026 roku Han Luo i współautorzy opublikowali obwód, który liczy ten sam logarytm dyskretny przy użyciu 835 logical qubits, wymieniając szerokość na głębokość.

Teraz porównanie. W 2017 roku Martin Roetteler, Michael Naehrig, Krysta Svore i Kristin Lauter opublikowali szacunek, który przez większość dekady pozostawał punktem odniesienia: 2 330 logical qubits i 1,26 x 10^11 Toffoli gates dla krzywej 256-bitowej.

Publikacja	Logical qubits	Toffoli gates
Czerwiec 2017, Roetteler et al.	2 330	1,26 x 10^11
Marzec 2026, Babbush et al., mało gates	1 450	7 x 10^7
Marzec 2026, Babbush et al., mało qubitów	1 200	9 x 10^7
Lipiec 2026, Luo et al.	835	około 1,66 x 10^9

Zapotrzebowanie na qubity zmniejszyło się mniej więcej o połowę. Liczba gates spadła o czynnik około 1 400.

Algorytmy staniały, fizyka nie

To ta część, która ginie, kiedy liczby podaje się pojedynczo jako przełomy.

Nic w leżącej u podstaw fizyce nie zmieniło się między 2017 a 2026 rokiem. Żadnej nowej cząstki, żadnego nowego reżimu koherencji, żadnego odkrycia, że qubity łatwiej utrzymać, niż sądziliśmy. Zmieniło się to, że ludzie nauczyli się lepiej pisać obwód. Postęp samego Gidneya jest tu wyjątkowo czytelny, ponieważ poprawiał własną pracę, a nie cudzą. W 2019 roku on i Martin Ekerå szacowali, że rozłożenie na czynniki 2048-bitowej liczby RSA zajmie 20 milionów zaszumionych qubitów i osiem godzin. W maju 2025 roku umieścił to samo zadanie poniżej miliona qubitów i poniżej tygodnia, co jest dwudziestokrotną redukcją, i wskazał źródła: przybliżoną arytmetykę reszt, sprzężone surface codes do bezczynnego przechowywania oraz hodowlę magic states. Wszystkie trzy są inżynierią obliczenia, a nie maszyny.

Wynik Luo to to samo zjawisko doprowadzone do granicy, i przychodzi z zastrzeżeniem, które nagłówkowa liczba ukrywa. Ich obwód zużywa około dwudziestu razy więcej Toffoli gates niż konkurencja zoptymalizowana pod kątem miejsca, a artykuł nie podaje ani głębokości obwodu, ani kompilacji fizycznej. Węższy obwód, który musi pracować znacznie dłużej, nie jest w oczywisty sposób łatwiejszą maszyną do zbudowania. Podawanie 835 obok 1 200, jakby były tym samym rodzajem liczby, to błąd kategorialny, i jest to ten sam błąd, który znaleźliśmy w najczęściej cytowanym modelu ceny Bitcoina, gdzie korytarz przywoływany przez wszystkich okazał się dopasowany osobno od modelu, któremu się go przypisuje. Liczba, która dobrze podróżuje, to nie to samo co liczba, która znaczy to, co myślą jej podróżni.

Czytając to wszystko razem, uczciwe podsumowanie brzmi tak, że atak stał się tańszy do opisania. Czy stał się bliższy możliwości, to osobne pytanie, i zależy ono od krzywej, która poruszyła się znacznie mniej.

Dwie krzywe, a tylko jedna z nich jest maszyną

Zestawcie szacunek z tym, co ktokolwiek naprawdę zbudował.

Skorygowane z błędów logical qubits są właściwą jednostką, ponieważ surowa liczba qubitów nic nie mówi o tym, czy długie obliczenie przetrwa. Mierzony w ten sposób publiczny dorobek jest krótki. Quantinuum zademonstrowało 4 logical qubits w kwietniu 2024 roku, 12 we wrześniu 2024 roku i 48 na swoim systemie Helios w listopadzie 2025 roku, przy współczynniku kodowania dwa do jednego na 98 fizycznych qubitach. Plan IBM celuje w Starling na 2029 rok, maszynę o specyfikacji 200 logical qubits wykonujących obwody złożone ze 100 milionów gates. Plan Quantinuum obiecuje "setki logical qubits" do 2030 roku.

Teraz zestawcie to z zapotrzebowaniem. Nawet najżyczliwszy opublikowany szacunek chce 835 logical qubits. Najbardziej szczegółowy chce 1 200, utrzymanych stabilnie przez 90 milionów Toffoli gates.

Wynikają z tego dwie rzeczy, i ciągną w przeciwne strony.

Pierwsza jest taka, że cel IBM na 2029 rok ma głębokość w gates i mniej więcej jedną szóstą szerokości. Maszyna zdolna wykonać 100 milionów gates na 200 logical qubits nie jest maszyną zdolną wykonać 90 milionów gates na 1 200. Ale jest na tyle blisko, że pozostały problem wygląda na kwestię skalowania, a nie wynalazku, co jest dokładnie tym, co twierdzą jej budowniczowie.

Druga jest taka, że zademonstrowane liczby są wciąż na tyle małe, że cała debata opiera się na planach. Czterdzieści osiem to liczba prawdziwa, zmierzona, opublikowana. Tysiąc dwieście to cel, do którego nikt się nigdy nie zbliżył, a korekcja błędów historycznie stawała się trudniejsza, a nie łatwiejsza wraz ze wzrostem systemów.

Nasz odczyt, i jest to interpretacja, a nie ustalenie: pytanie o terminy, tak jak zwykle się je stawia, nie ma odpowiedzi, i nie dlatego, że brakuje danych. Nie ma odpowiedzi dlatego, że jeden z jego dwóch członów jest wynikiem badań, a nie wielkością fizyczną. Postęp sprzętu można źle ekstrapolować. Szacunku, który zależy od kolejnego sprytnego obwodu, nie da się ekstrapolować w ogóle.

Dziewięć minut to inne zagrożenie niż dziewięć godzin

Jedna liczba z artykułu Google znaczy dla Bitcoina więcej niż którykolwiek z rachunków qubitów, a była szeroko pomijana.

Ich szacunek rzeczywistego czasu wykonania to od 18 do 23 minut dla pełnego ataku. Ze stanu przygotowanego, w którym początek obliczenia został policzony wcześniej, spada on do około 9 do 12 minut.

To przekracza próg właściwy dla Bitcoina. Dopóki atak zajmuje godziny albo dni, osiągalne są tylko trwale wystawione klucze publiczne, które Glassnode zmierzył w maju 2026 roku na 1,92 miliona bitcoinów ekspozycji strukturalnej z 6,04 miliona wystawionych w spoczynku łącznie. To stare monety, uśpione monety, monety na ponownie użytych adresach. Bolesne, skoncentrowane i w dużej mierze niczyje aktywne saldo.

Poniżej odstępu między blokami ekspozycja staje się powszechna. Każde zwykłe wydanie publikuje swój klucz publiczny w mempool i czeka. Atakujący, który potrafi wyprowadzić klucz wewnątrz tego okna, może ścigać się z konkurencyjną transakcją, a celem nie jest kategoria monet, lecz każda moneta w ruchu. Warto zrozumieć mechanikę tej różnicy, zanim liczby zaczną cokolwiek znaczyć.

Autorzy stawiają wniosek na tyle wyraźnie, że zasługuje on na cytat: "da się wyobrazić, że istnienie pierwszych CRQC zostanie najpierw wykryte na blockchainie, a nie ogłoszone." Zdolna maszyna ma oczywiste pierwsze zastosowanie, które jest zarazem jej własnym ujawnieniem.

Co pułap Palmera mówi, a czego nie mówi

Przeciw temu wszystkiemu stoi najciekawszy kontrargument 2026 roku, i zasługuje on na to, by przedstawić go rzetelnie, a nie w jednym z dwóch popularnych zniekształceń.

16 marca 2026 roku fizyk Tim Palmer z Wydziału Fizyki Uniwersytetu Oksfordzkiego opublikował w PNAS teorię nazwaną Rational Quantum Mechanics. Proponuje ona, że przestrzeń stanów mechaniki kwantowej jest drobno dyskretna, a nie ciągła, przy czym standardowa mechanika kwantowa jest odzyskiwana jako granica osobliwa nieskończonego rozdrobnienia. Z tej dyskretności wynika skończona wielkość, którą Palmer nazywa Qubit Information Capacity: informacja zawarta w N qubitach rośnie liniowo z N, podczas gdy wymiary przestrzeni stanów rosną wykładniczo, więc powyżej pewnego progu w układzie nie ma dość informacji, by określić choćby jeden bit na wymiar.

Palmer szacuje ten próg na około 200 dla qubitów w kropkach kwantowych, 300 dla qubitów fotonicznych i 400 dla pułapek jonowych, z bezwzględnym pułapem około 1 000 wyprowadzonym z fotonu o najniższej częstotliwości, na jaką pozwala wiek wszechświata. Jego artykuł towarzyszący formułuje konsekwencję wprost: "wykładnicza przewaga algorytmów kwantowych wykorzystujących kwantową transformatę Fouriera ustanie w komputerach kwantowych wykorzystujących więcej niż 1 000 doskonałych (czyli logical) qubitów."

Zamyka też oczywistą drogę ucieczki. Ekranowanie nie pomaga, ponieważ komputer kwantowy "zawsze będzie sprzężony grawitacyjnie z resztą wszechświata" na mocy zasady równoważności, co oznacza, że maszyna po drugiej stronie Księżyca podlega temu samemu ograniczeniu.

Trzeba powiedzieć trzy rzeczy, a popularne relacje mówią zwykle tylko jedną z nich.

Artykuł przeszedł recenzję naukową i został opublikowany w PNAS. To mocniejszy fundament niż niemal każdy inny argument przeciwny w tej dziedzinie, a odrzucanie go jako marginalnego jest nieścisłe.

Jest to zarazem proponowane odstępstwo od standardowej mechaniki kwantowej, a nie wynik osiągnięty w jej ramach. Palmer przedstawia je jako falsyfikowalne, według własnej deklaracji w ciągu około pięciu lat, i przewiduje konkretnie, że maszyna zbliżająca się do progu pokaże charakterystyczne załamanie, a nie czyste zatrzymanie. Postawienie na to oznacza postawienie na tezę, że mechanika kwantowa jest błędna w sposób, którego nikt jeszcze nie wykrył.

A artykuł nie wspomina o Bitcoinie. Ani razu. Jego rozpracowanym przykładem jest RSA-2048, gdzie obwód Shora potrzebuje 2 049 qubitów i przekracza tym samym każdy prawdopodobny pułap z dużym zapasem. Własne ogłoszenie tego artykułu przez oksfordzki wydział fizyki nie wspomina ani o Bitcoinie, ani o kryptowalutach. Rozciągnięcie argumentu na secp256k1 da się obronić, skoro Shor dla logarytmów dyskretnych również opiera się na kwantowej transformacie Fouriera, ale to rozciągnięcie należy do czytelników, a nie do Palmera.

Rozciągnięcie jest też niewygodnie ciasne. Pułap Palmera wynoszący około 1 000 leży teraz między dwoma bieżącymi szacunkami dla krzywej Bitcoina, powyżej 835 u Luo i poniżej 1 200 u Babbusha. W 2017 roku, przy zapotrzebowaniu 2 330, argument o pułapie miał wygodny margines. Już go nie ma.

Argument o 400 qubitach, który sam się rozbraja

Wynik Palmera bywa zestawiany ze starszym jako niezależne wsparcie, i właśnie tutaj popularna relacja myli się w sposób sprawdzalny.

W 2007 roku fizyk Paul Davies opublikował pracę wyprowadzającą ograniczenie z całkowitej zawartości informacyjnej obserwowalnego wszechświata. Korzystając z granicy Setha Lloyda wynoszącej 10^122 bitów, zauważył, że ogólny stan splątany złożony z więcej niż mniej więcej 400 cząstek miałby więcej składowych, niż wszechświat ma bitów, i napisał, że to "wskazuje na fundamentalne ograniczenie fizyczne. Wydaje mi się, że tak być musi."

Liczba jest prawdziwa, a rozumowanie eleganckie. Problemem jest to, co następuje dalej w tej samej pracy.

Davies natychmiast to zastrzega: "Na pierwszy rzut oka ograniczenie 400 cząstek jest dość rygorystyczne, by stanowić wyzwanie dla przemysłu obliczeń kwantowych. Powyższa analiza jest jednak nadmiernie uproszczona." Podaje dwa powody. Wymiarowość przestrzeni Hilberta nie jest niezmiennikiem, więc zmiana bazy może ją zmniejszyć. A bardziej istotną miarą jest liczba niezależnych parametrów, a nie surowy rachunek wymiarów.

Następnie nazywa wyjątek, a wyjątek jest całym tematem tego artykułu. Obliczenia kwantowe, pisze, nie mają na celu kontrolowania dowolnych stanów splątanych, lecz podzbiór miary zero związany z konkretnymi problemami, a te mogą dawać się określić krótkim algorytmem nawet wtedy, gdy liczba ich amplitud jest astronomiczna. Jego przykład jest wyraźny: "algorytm Shora do faktoryzacji, który jest z definicji prosty algorytmicznie, ponieważ jego stan wejściowy da się określić i istnieje proste powiązanie między danymi wejściowymi a początkowym stanem kwantowym."

Davies podniósł ograniczenie 400 qubitów i w tej samej pracy wskazał algorytm Shora jako rzecz, która najprawdopodobniej mu się wymknie. Powoływanie się na niego jako na niezależne potwierdzenie, że algorytm Shora zawiedzie powyżej 400 qubitów, odwraca to, co napisał.

Sam Palmer obchodzi się z tym poprawnie. Zauważa liczbowe podobieństwo między swoim około 400 a około 400 Daviesa i pyta, czy to zbieg okoliczności, odpowiadając, że jego zdaniem nie. Twierdzi, że zgadza się rząd wielkości, a nie że ma poparcie. Zniekształcenie wchodzi dalej w dół strumienia.

Każdy, kto to mierzy, ma coś do sprzedania

Pisze się to niewygodnie i działa to w obie strony, i właśnie dlatego warto to napisać.

Firmy produkujące sprzęt kwantowy korzystają na tym, że zagrożenie jest wiarygodne i bliskie. Google Quantum AI publikuje szacunki, które sprawiają, że atak wygląda najtaniej, a Google buduje maszyny. Project Eleven zapłacił w kwietniu 2026 roku jednego bitcoina za największy dotychczasowy atak kwantowy na kryptografię krzywych eliptycznych, który dotyczył klucza 15-bitowego, a Project Eleven buduje też infrastrukturę Bitcoina odporną na kwanty. Blockstream zatrudnia autorów wiodącej propozycji podpisu postkwantowego dla Bitcoina i sprzedaje infrastrukturę Bitcoina.

Media bitcoinowe i firmy bitcoinowe korzystają na uspokajającym odczycie, a zachęta jest tam co najmniej równie silna. Nagłówek mówiący, że komputery kwantowe nigdy nie złamią Bitcoina, podróżuje w tej branży dalej niż taki, który mówi, że potrzebna maszyna znowu się zmniejszyła.

Nic z tego nie czyni nikogo nieuczciwym. Praca Google jest staranna, sprawdzalna, a jej metody są opublikowane. Nagroda Project Eleven dała prawdziwy wynik, a długość klucza podano uczciwie. Chodzi o coś węższego: obie krzywe w tym artykule rysują niemal wyłącznie strony, które korzystają na tym, gdzie zostały narysowane, i nie ma bezstronnego arbitra, który wytwarzałby którąkolwiek z tych liczb.

Warto nazwać jedyny wyjątek. Palmer jest fizykiem klimatu w Oksfordzie bez widocznego interesu komercyjnego w Bitcoinie, sprzęcie kwantowym czy kryptografii. To powód, by czytać go uważnie. Nie jest to powód, by wierzyć w tę fizykę, która broni się albo upada sama.

Ten spór nie dotyczy kryptografii

Odpowiedzi techniczne w większości istnieją. Nie istnieje natomiast zgoda co do tego, kogo one obejmują.

Podpis zastępczy jest zaprojektowany. NIST ustandaryzował bezstanowy schemat oparty na funkcjach skrótu w sierpniu 2024 roku, a propozycja SHRINCS od Blockstream, opublikowana jako projekt BIP 27 sierpnia 2026 roku, sprowadza ścieżkę stanową do około 580 bajtów z bezstanowym wariantem awaryjnym w okolicach 4 300 do 4 500. To jest wykonalne. Propozycja mówi też, we własnym tekście, że dowód bezpieczeństwa wciąż pozostaje do przedstawienia.

Spór dotyczy monet, których nikt nie przeniesie. BIP-361, sporządzony przez Jamesona Loppa i pięciu współautorów w lutym 2026 roku, proponuje wygaszanie etapami: żadnych wysyłek na podatne adresy około trzy lata po aktywacji, a podpisy legacy przestają być uznawane około dwa lata później. Jego własne uzasadnienie stwierdza, że "ponad 34% wszystkich bitcoinów ujawniło klucz publiczny on-chain". Zgodnie z tą propozycją wszystko, co nie ruszy się do terminu, zostaje zamrożone na stałe.

Adam Back argumentował odwrotnie, że opcjonalne aktualizacje plus mniej więcej dekada dobrowolnej migracji są bezpieczniejsze niż wyznaczony termin, na tej podstawie, że deweloperzy Bitcoina wielokrotnie koordynowali się szybko, gdy coś stawało się pilne. BIP-360, propozycja bardziej zachowawcza, omija to pytanie w całości, usuwając podatną ścieżkę wydatkowania bez określania jakiegokolwiek schematu postkwantowego ani jakiegokolwiek terminu.

Obie pozycje są spójne i żadna z nich nie jest twierdzeniem kryptograficznym. Jedna mówi, że pozostawienie milionów bitcoinów jako stałej nagrody jest ryzykiem systemowym dla wszystkich. Druga mówi, że protokół, który może zdecydować o zaprzestaniu honorowania ważnych podpisów, oddał coś ważniejszego niż monety. To ten sam spór, który Bitcoin toczył już wcześniej o to, kto ma prawo zmieniać reguły, przy znacznie wyższej stawce i z doczepionym zegarem.

Istnieje użyteczny precedens w drugą stronę. Kiedy narzędzia wspomagane przez SI odsłoniły falę usterek w programowej peryferii Bitcoina, warstwa bazowa nie została naruszona, ponieważ proof of work opiera się na fizyce, a nie na założeniu matematycznym. Obliczenia kwantowe są lustrzanym odbiciem. Zagrażają założeniu matematycznemu i zostawiają fizykę w spokoju.

Warto mieć na oku jeszcze jeden precedens, bo jest najbliższy próbie generalnej, jaką Bitcoin ma. Klucz, który został wyprowadzony, nie jest błędem, który da się naprawić wydaniem. Bitcoin spotkał małą wersję tego problemu, gdy usterka firmware wyprodukowała ziarna, których żadna późniejsza aktualizacja nie mogła wstecznie wzmocnić. Skala była znikoma, a mechanizm inny. Kształt był identyczny: gdy sekret jest osiągalny, łatanie oprogramowania, które go wytworzyło, nie robi nic dla monet już za nim stojących. Jakąkolwiek ścieżkę migracji Bitcoin wybierze, musi być ona skończona, zanim zdolność zaistnieje, a nie po tym, i jest to ograniczenie harmonogramu, a nie kryptografii.

Co pokazałoby, że ten odczyt jest błędny

Teza tego tekstu brzmi, że kwantowy harmonogram jest niepoznawalny z zasady, a nie po prostu nieznany, ponieważ jeden z jego dwóch członów jest wynikiem badań. Cztery rzeczy by ją podważyły, i warto je wypowiedzieć z góry.

Jeśli liczba logical qubits będzie dalej rosła zgodnie z planem. Jeśli zademonstrowane skorygowane z błędów qubity przejdą z 48 w setki do 2029 roku, tak jak obiecują IBM i Quantinuum, to sprzęt jednak jest krzywą wiążącą i daje się ekstrapolować. Historia o szacunkach byłaby odwróceniem uwagi.

Jeśli szacunki przestaną spadać. Trzy rewizje w dekadę to wzorzec, a nie prawo. Jeśli zapotrzebowanie na zasoby ustabilizuje się na kilka lat, cel przestał się poruszać, a pozostały dystans staje się dystansem rzeczywistym.

Jeśli szacunek poniżej 500 qubitów przetrwa pełną analizę. 835 u Luo nie ma analizy głębokości. Jeśli ktoś opublikuje równie wąski obwód z pełną kompilacją fizyczną i to się obroni, dystans broniony tutaj jest mniejszy, niż tu opisano.

Jeśli przepowiednia Palmera zostanie sprawdzona i zawiedzie. Mówi on, że załamanie powinno pojawić się, gdy maszyny zbliżą się do tysiąca splątanych logical qubits, w ciągu około pięciu lat. Jeśli mechanika kwantowa przetrwa czysto poza tym punktem, argument o pułapie jest skończony, a ten odczyt traci jedną ze swoich nóg.

I jedno wydarzenie uczyniłoby to wszystko przestarzałym naraz. Jeśli dobrze zaopatrzony, podatny na kwanty output ruszy się bez swojego właściciela, spór przestanie dotyczyć szacunków. Do tego czasu najbardziej obronną pozycją jest ta, której prawie nikt nie uważa za satysfakcjonującą: ekspozycja jest realna i mierzalna, obrona jest zaprojektowana i niewdrożona, maszyna nie istnieje, a nikt nie powie wam, kiedy zaistnieje, łącznie z ludźmi, którzy ją budują.

To jest także, w innym sensie, najmniej interesujące pytanie w całej tej sprawie.