Podpis to nie system

Peter Shor opublikował swój algorytm w 1994 roku. Przez trzydzieści dwa lata, które od tego czasu minęły, największa liczba, jaką ktokolwiek rozłożył za jego pomocą na prawdziwym sprzęcie kwantowym, to 35.

To zdanie warto przeczytać dwa razy, bo nie jest chwytem retorycznym ani danymi dobranymi pod tezę. Przegląd z 2025 roku autorstwa Dennisa Willscha i sześciorga współautorów objął całą opublikowaną literaturę i wykazał, że "tylko bardzo małe liczby całkowite N ≤ 35 zostały z powodzeniem rozłożone na czynniki algorytmem Shora na cyfrowym QC". Autorzy idą dalej. Istnieją doniesienia o większych liczbach, piszą, ale stojące za nimi eksperymenty "często opierają się na pewnym rodzaju nadmiernego uproszczenia, które czyni je równoważnymi rzutowi monetą". A nawet dla 15, 21 i 35 zauważają, że obwodów "mogłoby nie udać się znaleźć bez wcześniejszej wiedzy o odpowiedzi".

Trzydzieści dwa lata. Trzydzieści pięć.

Maszyna, która nigdy nie rozłożyła 36

Chcę zachować ostrożność co do tego, czego ta liczba dowodzi, a czego nie, bo pokusa, by wymachiwać nią jak pałką, jest silna, a wymachiwanie byłoby nieuczciwe.

Nie dowodzi ona, że komputery kwantowe są niemożliwe. Dowodzi, że nikt nie zbudował jeszcze maszyny ogólnego przeznaczenia dość dużej, by była interesująca, co w tej dziedzinie przyznają już wszyscy. Dystans między 35 a RSA-2048 nie jest dystansem ambicji. Jest dystansem w logical qubits z korekcją błędów, a jego pokonanie to zadeklarowany, sfinansowany i dobrze obsadzony program inżynieryjny, za którym stoją wiarygodni ludzie.

Ale ta liczba robi jeszcze coś innego i dlatego ciągle do niej wracam. Kalibruje. Kiedy nagłówek mówi, że komputery kwantowe dzieli pięć lat od złamania Bitcoina, uczciwe pytanie brzmi: pięć lat od jakiego punktu wyjścia? Odpowiedź, mierzona wynikami, a nie mapami drogowymi, brzmi trzydzieści pięć.

Jest drugi punkt danych tego samego rodzaju i jest bardziej bezpośrednio istotny. W kwietniu 2026 roku Project Eleven wypłacił jednego bitcoina za największy atak kwantowy, jaki kiedykolwiek przeprowadzono na kryptografię krzywych eliptycznych. Klucz, który padł, miał 15 bitów. Klucze Bitcoina mają 256 bitów. Project Eleven, co trzeba mu przyznać, podał tę liczbę wprost, zamiast ją ukrywać, i przedstawił pozostały dystans jako problem inżynieryjny, a nie fizyczny.

Być może mają rację, że to inżynieria. Problemy inżynieryjne i tak wymagają czasu, a ten wymaga go od trzech dekad.

Trzydzieści dwa lata rychłego nadejścia

Wzorzec, który uważam za najbardziej pouczający, nie polega na tym, że przewidywania okazały się błędne. Polega na tym, kto je formułował i z jaką starannością.

W 2017 roku pięcioro poważnych badaczy opublikowało w Ledger artykuł badający dokładnie to pytanie. Aggarwal, Brennen, Lee, Santha i Tomamichel doszli do wniosku, że proof of work Bitcoina jest bezpieczny przez dekadę, co się potwierdziło, oraz że schemat podpisu "mógłby zostać całkowicie złamany przez komputer kwantowy już w 2027 roku, według najbardziej optymistycznych szacunków".

Rok 2027 to przyszły rok. Optymistyczny szacunek dotyczył maszyny, która w chwili pisania tego tekstu osiąga 48 logical qubits z korekcją błędów jako publicznie znany stan techniki, wobec zapotrzebowania rzędu od kilkuset do około dwóch tysięcy.

To nie jest wytykanie błędu na siłę. Autorzy powiedzieli optymistyczne, mieli na myśli optymistyczne i raportowali górną granicę podawaną przez samą dziedzinę, zamiast wymyślać własną. I to jest właśnie sedno. Najbardziej agresywny opublikowany szacunek tej dziedziny, pochodzący od ostrożnych ludzi działających w dobrej wierze, pomylił się o szeroki margines, i pomylił się w kierunku, od którego zależy finansowanie tej dziedziny.

Nie sądzę, żeby to była korupcja. Sądzę, że tak dzieje się wtedy, gdy dyscyplina musi się co roku tłumaczyć przed ludźmi dysponującymi budżetami, a uczciwa odpowiedź na pytanie "kiedy" brzmi "nie wiemy". Za takie zdanie nikt nie dostaje grantu. Ta sama presja działa w drugą stronę po przeciwnej stronie sporu: publikacja o Bitcoinie, która daje tytuł "komputery kwantowe nigdy nie złamią Bitcoina", dostaje więcej uwagi niż taka, która daje tytuł "wymagana maszyna znowu się skurczyła". Obie publiczności dostają to, po co przyszły.

Pierwsza połowa mojego stanowiska brzmi więc po prostu tak. W sprawie, w której każda strona z mikrofonem ma interes w odpowiedzi, wyniki są jedyną rzeczą, która nie jest na sprzedaż, a wyniki mówią 35 i 15 bitów.

Argument, że maszyna może nigdy nie nadejść

Przejdźmy teraz do ciekawszej możliwości, tej, która moim zdaniem zasługuje na znacznie więcej uwagi, niż dostaje.

Każdy powyższy argument dotyczy opóźnienia. Istnieje odrębny argument, opublikowany w tym roku w poważnym miejscu przez kogoś, kto nie ma interesu w wyniku, mówiący, że maszyna może w ogóle nie być możliwa do zbudowania.

Tim Palmer jest fizykiem w Oksfordzie. W marcu 2026 roku PNAS opublikował jego teorię Rational Quantum Mechanics, która zakłada, że przestrzeń stanów fizyki kwantowej jest drobnoziarniście dyskretna, a nie ciągła, i że standardowa mechanika kwantowa jest tym, co otrzymujemy w granicy osobliwej, gdy dyskretność zanika. Wniosek, który z tego wyciąga, jest konkretny: informacja dostępna w N qubitach rośnie liniowo wraz z N, podczas gdy wymiary, które te qubity musiałyby wypełnić, rosną wykładniczo, więc powyżej pewnego progu stanu po prostu nie da się określić. Ten próg umieszcza w okolicach 200 dla qubitów w kropkach kwantowych, 300 dla fotonicznych, 400 dla pułapek jonowych, a jako pułap absolutny podaje około 1 000. Powyżej niego algorytmy zależne od rozłożenia obliczenia na całą przestrzeń stanów przestają mieć przewagę wykładniczą.

Palmer zamyka też oczywistą furtkę. Nie da się z tego wyizolować, bo na mocy zasady równoważności komputer kwantowy "zawsze będzie sprzężony grawitacyjnie z resztą wszechświata". Zbudowanie go po drugiej stronie Księżyca niczego nie zmienia.

Jeśli Palmer ma rację, nie ma żadnego Q-Day. Ani opóźnionego. Ani odległego. Żadnego.

Chcę jasno powiedzieć, co o tym myślę, a potem równie jasno powiedzieć, dlaczego nie zamierzam budować na tym swojego stanowiska.

Co myślę: to najpoważniejszy argument w całej tej debacie i jest jednocześnie nadinterpretowany i zbyt pobieżnie czytany. Nadinterpretowany, bo jego artykuł nigdzie nie wspomina o Bitcoinie, ani razu, i nie wspomina o nim także komunikat jego własnego wydziału. Jego przykładem roboczym jest RSA-2048. Zbyt pobieżnie czytany, bo jest recenzowany naukowo w PNAS, co znaczy znacznie więcej niż to, co można powiedzieć o większości tekstów krążących jako sceptycyzm kwantowy, i dlatego, że Palmer jest fizykiem klimatu bez żadnego interesu komercyjnego w Bitcoinie, w sprzęcie kwantowym ani w kryptografii. Prawie nikt inny w tym sporze nie może tego o sobie powiedzieć.

Dlaczego nie zamierzam na tym budować: bo sam Palmer by tego nie chciał. Przedstawia teorię jako falsyfikowalną w ciągu mniej więcej pięciu lat i przewiduje konkretną obserwowalną sygnaturę w miarę zbliżania się maszyn do progu. Teoria zaproponowana jako zakład przeciwko modelowi standardowemu mechaniki kwantowej to teoria, która może przegrać. Traktowanie jej jako pocieszenia to dokładnie zła reakcja na naukowca, który wręcza ci sprawdzalne twierdzenie.

Jest też mniejsza lekcja ukryta w tym, jak jego argument bywa powtarzany. Wartość około 400 podawana przez Palmera jest często zestawiana z wynikiem Paula Daviesa z 2007 roku, który wyprowadził podobną liczbę z zawartości informacyjnej wszechświata, a zestawienie przedstawia się jako niezależne potwierdzenie. Nie do końca nim jest. Davies akapit później nazwał własną analizę "nadmiernie uproszczoną" i wskazał algorytm Shora jako to, co najpewniej wymknie się jego ograniczeniu, bo jego stan wejściowy jest "algorytmicznie prosty z definicji". Palmer traktuje to uczciwie i twierdzi jedynie, że zgodność liczbowa raczej nie jest przypadkiem. Ci, którzy powołują się na Daviesa jako drugiego świadka, w większości nie przeczytali nic poza streszczeniem.

A zatem: czy trwały pułap jest możliwy? Tak, i po raz pierwszy jest to poważna, opublikowana i falsyfikowalna możliwość, a nie nadzieja. Czy jest to coś, na czym można spocząć? Nie. Uczciwe sformułowanie brzmi tak, że mamy teraz dwa otwarte pytania zamiast jednego. Nie wiemy kiedy. I nie wiemy czy.

Najmocniejszy argument przeciwko wszystkiemu, co właśnie powiedziałem

Oto argument, który postawiłbym, gdybym był po drugiej stronie, i uważam go za dobry.

Nic z powyższego nie odnosi się do trendu. Między 2017 a 2026 rokiem opublikowany szacunek tego, czego wymaga atak na krzywą Bitcoina, spadł z 2 330 logical qubits i 1,26 x 10^11 operacji bramkowych do 1 200 logical qubits i 9 x 10^7. Liczba bramek zmalała o czynnik rzędu 1 400. Craig Gidney w ciągu sześciu lat zrewidował własny szacunek dla RSA-2048 z 20 milionów qubitów fizycznych do mniej niż miliona. W marcu 2026 roku zespół z udziałem Johna Preskilla dowodził, że 26 000 qubitów z atomów neutralnych wykonałoby porównywalną pracę w kilka dni. To nie są komunikaty prasowe. To artykuły, z metodami, które inni mogą sprawdzić.

Argument w najmocniejszej postaci idzie dalej: wskazywanie na 35 przypomina wskazywanie na 37 metrów braci Wright i wyciąganie wniosku, że lot transatlantycki jest spekulacją. Pierwsze wyniki w każdej dziedzinie są zawsze żenujące, dokładnie do chwili, w której przestają takie być, a odstęp między żenującym a rutynowym bywał historycznie krótki, gdy tylko korekcja błędów przekroczy swój próg.

Jest też argument o czasie, który naprawdę jest niewygodny. Migracja trwa latami. Glassnode zmierzył 6,04 miliona bitcoinów wystawionych w spoczynku w maju 2026 roku. Jeśli praca zaczyna się dopiero wtedy, gdy zagrożenie staje się widoczne, zaczyna się za późno, co oznacza, że racjonalny moment działania jest zawsze wcześniejszy niż moment, w którym działanie wydaje się uzasadnione. Czekanie na pewność to strategia, która gwarantuje spóźnienie.

Zgadzam się z większością tego. Uważam, że argument o trendzie jest najmocniejszą rzeczą, jaką ktokolwiek w tej sprawie powiedział, i uważam, że argument o czasie jest po prostu słuszny: prace inżynieryjne powinny toczyć się już teraz, niezależnie od tego, w co ktokolwiek wierzy na temat dat. Gdyby spór kończył się w tym miejscu, nie byłoby tego eseju.

Co Bitcoin naprawdę musiałby zmienić

Ale spór się tu nie kończy, bo pod argumentem o kalendarzu leży znacznie większe i znacznie bardziej mgliste twierdzenie, i to ono naprawdę porusza ludzi. Twierdzenie brzmi, że komputer kwantowy zmieniłby Bitcoina.

Bądźmy więc konkretni co do tego, co by się zmieniło.

Bitcoin dowodzi własności podpisem na krzywej eliptycznej. Jeśli ta krzywa stanie się łamliwa, Bitcoin dodaje schemat podpisu, który łamliwy nie jest. Główny kandydat, propozycja SHRINCS od Blockstream, opiera się w całości na funkcjach skrótu, czyli tej części kryptografii Bitcoina, której obliczenia kwantowe nie zagrażają w istotny sposób. NIST ustandaryzował schemat z tej samej rodziny w 2024 roku. Podpisy stają się większe. Portfele stają się bardziej skomplikowane. Część zarządzania stanem jest naprawdę nieprzyjemna.

To jest cała zmiana. Inny sposób udowodnienia, że posiadacz klucza autoryzował transakcję.

Wypiszmy teraz to, co się nie zmienia. Podaż nadal jest ograniczona do 21 milionów, bo to jest reguła konsensusu i żaden schemat podpisu jej nie dotyka. Każdy nadal może uruchomić węzeł i niezależnie zweryfikować cały łańcuch, bo koszt weryfikacji jest ograniczony rozmiarem bloku, a nie tym, na jakiej krzywej opierają się podpisy. Nikt nie może zwiększyć podaży, bo nowy format podpisu nie daje takiej mocy nikomu. Bloki nadal są porządkowane przez proof of work, który jest fizyczny, a nie matematyczny i którego żaden algorytm kwantowy istotnie nie przyspiesza. Trudność nadal się dostosowuje. Halvingi nadal następują zgodnie z harmonogramem.

Każda właściwość, dla której o Bitcoinie w ogóle warto się spierać, przechodzi przez tę zmianę nietknięta.

Dlaczego to nie jest zmiana

Jest tu rozróżnienie, które debata wciąż zaciera, i sądzę, że właśnie to zacieranie jest źródłem większości strachu.

System ma reguły i ma narzędzia. Reguły są tym, co system obiecuje. Narzędzia są tym, w jaki sposób obecnie tych obietnic dotrzymuje. Bitcoin już wcześniej wymieniał narzędzia i nikt nie twierdził, że przestał być Bitcoinem. Przeszedł z Pay-to-Public-Key na Pay-to-Public-Key-Hash. Dodał SegWit. Dodał podpisy Schnorra wraz z Taprootem w 2021 roku, co było wymianą schematu podpisu, dokładnie tą kategorią zmiany, o której tu mowa, i nikt nie napisał eseju z pytaniem, czy Bitcoin przestał istnieć.

Nikt tego nie zrobił dlatego, że obietnica nigdy nie wspominała o ECDSA. Kiedy trzymasz bitcoiny, polegasz na tym, że podaż jest stała, że reguły stosuje się jednakowo, że możesz je sam sprawdzić i że nikt nie może zabrać twojego salda ani dodrukować więcej. Żadne z tych zdań nie zawiera słowa podpis.

Satoshi rozumiał to już w 2010 roku, zanim cokolwiek z tego stało się pilne. Zapytany, co by się stało, gdyby SHA-256 padł, nie odpowiedział kryptograficznie. Odpowiedział proceduralnie: "Gdyby załamanie funkcji skrótu nadchodziło stopniowo, moglibyśmy przejść na nową funkcję skrótu w uporządkowany sposób. Oprogramowanie zostałoby zaprogramowane tak, by zacząć używać nowej funkcji skrótu po określonym numerze bloku. Wszyscy musieliby się do tego czasu zaktualizować." To jest plan utrzymania, spisany z widocznym spokojem, dotyczący awarii prymitywu, na którym opiera się cały system. System zaprojektowano przy założeniu, że jego narzędzia kiedyś będą wymagały wymiany.

Czy trudny problem to to samo co problem egzystencjalny? Nie, a mylenie jednego z drugim jest sposobem, w jaki pięcioletni projekt inżynieryjny zaczyna być omawiany jak wydarzenie wymierania.

Ta jedna część, która powinna cię przerazić

Twierdziłem, że wymiana schematu podpisu jest zmianą narzędzia, a nie prawdziwą zmianą. Jestem ci winien przypadek, w którym ten argument zawodzi, bo zawodzi naprawdę, i zawodzi w miejscu, w które prawie nikt nie patrzy.

BIP-361, napisany w lutym 2026 roku przez Jamesona Loppa i pięcioro współautorów, proponuje termin graniczny. Mniej więcej trzy lata po aktywacji koniec z wysyłkami na adresy podatne na atak kwantowy. Mniej więcej dwa lata później stare podpisy przestają być walidowane, a wszystko, co nie zostało przeniesione, zostaje zamrożone. Na stałe.

Uzasadnienie nie jest głupie i nie będę udawał, że jest. Kilka milionów bitcoinów leżących na publicznie odsłoniętych kluczach to stała nagroda do zgarnięcia, a w dniu, w którym pojawi się maszyna zdolna ją zebrać, powstała kradzież będzie widoczna dla wszystkich i wyrządzi szkodę, której żadne "przecież to zawsze było technicznie możliwe" nie naprawi. Zamrożenie monet, których właściciele są niemal na pewno martwi albo utracili dostęp, jest w tym ujęciu rzeczą odpowiedzialną.

Ale spójrz, czego to wymaga. Wymaga, żeby sieć zgodziła się przestać honorować podpisy skądinąd zupełnie poprawne, na saldach należących do ludzi, którzy nie zrobili nic złego poza tym, że nie zadziałali. To nie jest zmiana narzędzia. To sieć ustanawiająca, że saldo można odwołać wystarczająco szerokim porozumieniem społecznym, o ile powód jest wystarczająco dobry. A skoro raz się to ustanowi, ciekawym pytaniem nie jest to, czy powód był dobry. Ciekawe jest to, co następnym razem policzy się jako powód wystarczająco dobry.

Adam Back argumentował za alternatywą, że opcjonalne aktualizacje i mniej więcej dekada dobrowolnej migracji są bezpieczniejsze niż zaplanowane wygaśnięcie, na tej podstawie, że deweloperzy Bitcoina już wcześniej potrafili koordynować się szybko, gdy coś stawało się pilne. BIP-360 obiera drogę zachowawczą: usuwa podatną ścieżkę wydania środków i nie wyznacza żadnego terminu.

Uważam propozycję zamrożenia za znacznie brzemienniejszą w skutki niż jakikolwiek licznik qubitów i zauważam, że dostaje ona ułamek uwagi. Komputer kwantowy zabrałby monety ludziom, którzy odsłonili swoje klucze. Wygaśnięcie zabiera monety ludziom, którzy odsłonili swoje klucze, i robi to przez konsensus, z wyprzedzeniem, celowo. Tylko jedno z tych dwóch jest zmianą Bitcoina.

Co musiałoby być prawdą, żebym się mylił

Trzy rzeczy, i wolę nazwać je teraz, niż dać sobie o nich przypomnieć później.

Jeśli maszyna utrzyma tysiąc logical qubits przez głęboki obwód. Palmer mówi, że to nie może się zdarzyć i że awaria powinna być widoczna po drodze. Jeśli zdarzy się to czysto, argument o pułapie jest martwy, gałąź "nigdy" się zamyka, a pytanie sprowadza się z powrotem do daty. Musiałbym to powiedzieć.

Jeśli zamrożenie nastąpi i nic złego z tego nie wyniknie. Mój argument traktuje wygaśnięcie wymuszone konsensusem jako błąd kategorialny o długich konsekwencjach. Jeśli BIP-361 albo coś podobnego zostanie aktywowane, sieć to przetrwa, a przez dekadę nie pojawi się żadna porównywalna propozycja, to precedens, którego się obawiam, nie był precedensem, a ja przeceniłem jego wagę.

Jeśli kwantowa kradzież pojawi się najpierw w łańcuchu. Zespół Google zauważył, że wczesna zdolność może zostać "wykryta na blockchainie, a nie ogłoszona". Jeśli uśpione, odsłonięte wyjście ruszy się bez swojego właściciela, zanim jakakolwiek część prac migracyjnych zostanie wdrożona, to spokojne odczytanie kalendarza, w tym moje, było błędne w jedyny sposób, który ma znaczenie.

Dopóki żadna z tych rzeczy się nie wydarzy, moje stanowisko jest takie. Zagrożenie jest realne, konkretne, mierzalne i ograniczone do jednego komponentu. Ten komponent da się wymienić, zamiennik jest zaprojektowany, a praca powinna posuwać się zgodnie z harmonogramem i bez dramatu. Maszyna nadchodzi od trzydziestu dwóch lat i może nigdy nie nadejść, a Bitcoin powinien budować tak, jakby żaden z tych dwóch faktów nie był znany, bo żaden z nich znany nie jest.

Zamek da się wymienić. Liczy się to, żeby nikt nie przepisał aktu własności, kiedy ślusarz pracuje. Liczby stojące za tym wszystkim warto przeczytać w całości, a mechanika tego, co jest naprawdę odsłonięte, jest prostsza, niż sugerują relacje medialne. Ale argument, który zdecyduje o tym, jak to się potoczy, w ogóle nie dotyczy fizyki. To ten, który Bitcoin miał zawsze, o tym, kto ma prawo zmieniać reguły, i o różnicy między regułą, która zakazuje, a systemem, który wycenia własne nadużycie, czyli o rozróżnieniu, które Bitcoin zwykle trafia.