Czy komputery kwantowe są zagrożeniem dla Bitcoina?

Co kilka miesięcy jakiś nagłówek ogłasza, że komputery kwantowe zaraz złamią Bitcoina, a kilka miesięcy później inny ogłasza, że nie zrobią tego nigdy. Obydwa nie mogą mieć racji, i żaden z nich nie jest niedbały. Spór jest prawdziwy, przebiega przez poważne zespoły badawcze i w ciągu ostatnich dwóch lat stał się ostrzejszy, a nie łagodniejszy.

To, co w ogóle czyni to pytanie rozstrzygalnym, to fakt, że daje się je rozłożyć. Bitcoin nie ma jednej ekspozycji kryptograficznej na obliczenia kwantowe. Ma dwie, atakują je dwa różne algorytmy, i tylko jedna jest w realnym niebezpieczeństwie. Niemal każde pomieszane twierdzenie na ten temat bierze się z mieszania obu ze sobą.

Dwa różne ataki, nie jeden

Bitcoin opiera się na dwóch rodzajach matematyki. Używa funkcji hashujących, aby sprowadzać dane do odcisków o stałej długości, i to właśnie wśród nich szuka wydobycie oraz z nich zbudowane są adresy. Używa też kryptografii klucza publicznego, aby dowodzić własności, i to robi podpis, kiedy wydajesz monetę.

Te dwie rodziny biorą na cel dwa algorytmy kwantowe, i nie są one jednakowo groźne.

Peter Shor opublikował swój w 1994 roku. Rozwiązuje określoną klasę problemów, w tym ten, od którego zależy kryptografia klucza publicznego, wykładniczo szybciej niż jakakolwiek znana metoda klasyczna. Wobec schematu podpisu Bitcoina algorytm Shora nie jest optymalizacją. Jest rozwiązaniem.

Lov Grover opublikował swój w 1996 roku. Przeszukuje nieustrukturyzowaną przestrzeń i daje przyspieszenie pierwiastkowe. Przeszukiwanie, które komputerowi klasycznemu zajęłoby 2^256 kroków, komputerowi kwantowemu z Groverem zajmuje mniej więcej 2^128 kroków. To ogromna poprawa w kategoriach matematycznych i niemal żadna w kategoriach praktycznych, bo 2^128 wciąż leży daleko poza wszystkim, co da się obliczyć.

Uczciwa krótka odpowiedź brzmi zatem tak: komputery kwantowe zagrażają temu, jak Bitcoin dowodzi własności, i ledwie dotykają tego, jak Bitcoin produkuje bloki.

Dlaczego wydobycie nie jest słabym punktem

Wydobycie jest przeszukiwaniem. Górnicy próbują ogromnych ilości wartości kandydujących, liczą hash każdej z nich i szukają wyniku poniżej celu. To dokładnie ten rodzaj nieustrukturyzowanego przeszukiwania, do którego zbudowany jest algorytm Grovera, i dlatego pomysł kwantowego wydobycia brzmi wiarygodnie.

Zawodzi z dwóch powodów, i oba są praktyczne, a nie teoretyczne.

Pierwszym jest szybkość. Przyspieszenie Grovera dotyczy liczby operacji, a nie czasu, jaki zajmuje każda operacja. Bramki kwantowe działają o wiele rzędów wielkości wolniej niż układy o stałej funkcji wewnątrz chipa wydobywczego. Chaincode Labs podstawiło pod to liczby w 2025 roku i oszacowało, że kwantowy miner zbudowany na optymistycznych założeniach osiągnąłby około 13,8 gigahasha na sekundę, ponad tysiąc razy wolniej niż pojedynczy nowoczesny ASIC przy około 500 terahashach na sekundę.

Drugim jest to, że Grover źle się zrównolegla. Klasyczne wydobycie skaluje się niemal doskonale przez dokładanie maszyn, bo każda maszyna przeszukuje niezależny wycinek przestrzeni. Przewaga Grovera jest sekwencyjna, a rozdzielenie przeszukiwania na wiele komputerów kwantowych zjada większość zysku z pierwiastka.

To nie jest nowy wniosek. Aggarwal, Brennen, Lee, Santha i Tomamichel doszli do niego w artykule z 2017 roku opublikowanym w Ledger, a ich ocena brzmiała, że proof of work Bitcoina jest "stosunkowo odporny na istotne przyspieszenie przez komputery kwantowe w ciągu najbliższych 10 lat". To okno w dużej mierze już minęło, a wniosek się utrzymał.

Sama funkcja hashująca jest w tej samej sytuacji. Grover zredukowałby przeszukiwanie przeciwobrazu na SHA-256 z 2^256 do mniej więcej 2^128 kroków, co nie zmienia niczego, na czym ktokolwiek mógłby oprzeć działanie.

Dlaczego podpisy są słabym punktem

Ten sam artykuł z 2017 roku doszedł do przeciwnego wniosku w sprawie drugiej połowy Bitcoina. Schemat podpisu, pisali autorzy, "mógłby zostać całkowicie złamany przez komputer kwantowy już w 2027 roku, według najbardziej optymistycznych szacunków".

Powód jest strukturalny. Kiedy posiadasz bitcoiny, tym, co naprawdę posiadasz, jest klucz prywatny. Z tego klucza prywatnego oprogramowanie wyprowadza klucz publiczny poprzez operację jednokierunkową na krzywej eliptycznej o nazwie secp256k1. Jednokierunkowa oznacza, że ruch w przód jest tani, a powrót jest dla komputera klasycznego niemożliwy w jakimkolwiek użytecznym sensie. Odtworzenie klucza prywatnego z klucza publicznego na tej krzywej to problem zwany problemem logarytmu dyskretnego na krzywej eliptycznej, i nie jest znany żaden klasyczny skrót.

Algorytm Shora jest tym skrótem. Mając klucz publiczny, dostatecznie duży komputer kwantowy mógłby obliczyć pasujący klucz prywatny, a kto ma klucz prywatny, ten może wydać monety, które ten klucz kontroluje. Po drodze nie zostaje złamana żadna reguła konsensusu. Kradzież wyglądałaby jak zwyczajna, całkowicie poprawna transakcja, i właśnie to czyni ją niebezpieczną.

Oba schematy podpisu Bitcoina leżą na tej samej krzywej. ECDSA, używany od 2009 roku, i Schnorr, wprowadzony wraz z Taproot w 2021 roku, różnią się tym, jak budują podpis, a nie matematyką, która chroni klucz. Przejście z jednego na drugi dało Bitcoinowi wiele rzeczy. Odporności kwantowej wśród nich nie było.

Klucz publiczny jest zagrożony dopiero wtedy, gdy jest widoczny

To punkt, który większość relacji pomija, i to on stanowi różnicę między katastrofą a problemem do opanowania.

Algorytm Shora potrzebuje klucza publicznego na wejściu. Nie może pracować na adresie, bo większość typów adresów Bitcoina nie zawiera klucza publicznego. Zawiera jego hash. Klucz publiczny pozostaje prywatny aż do chwili, gdy wydajesz środki, i dopiero wtedy pojawia się w danych witness twojej transakcji, na stałe.

Daje to dwa bardzo różne modele zagrożenia, a BIP-360 nadaje im nazwy.

Atak z długą ekspozycją bierze na cel klucz publiczny, który już leży w łańcuchu na widoku. Atakujący ma nieograniczony czas. Niczego nie trzeba robić w pośpiechu, niczego nie trzeba przechwytywać, a właściciel nie ma jak się dowiedzieć, że to się dzieje.

Atak z krótką ekspozycją bierze na cel krótkie okno, w którym transakcja została rozgłoszona, ale jeszcze nie potwierdzona. Klucz publiczny jest widoczny w mempoolu, a atakujący musi wyprowadzić klucz i doprowadzić do potwierdzenia konkurencyjnej transakcji jako pierwszej, wszystko wewnątrz tego okna. To znacznie trudniejsze i wymaga ataku mierzonego w minutach, a nie w dniach.

To, który model dotyczy danej monety, zależy wyłącznie od typu outputu. Outputy Pay-to-Public-Key z najwcześniejszych lat Bitcoina zawierają surowy klucz publiczny. Outputy Taproot również z założenia odsłaniają klucz. Każdy adres użyty więcej niż raz opublikował swój klucz przy pierwszym wydaniu środków i zostawił resztę odsłoniętą. Standardowe jednorazowe outputy Pay-to-Public-Key-Hash oraz natywne outputy SegWit nie publikują niczego, dopóki się nie poruszą.

Ile bitcoinów jest naprawdę wystawionych na ryzyko

Ponieważ ekspozycja zależy od typu outputu i od zachowań użytkowników, da się ją zmierzyć. W maju 2026 roku Glassnode Research opublikował najstaranniejszy jak dotąd publiczny pomiar, definiując monetę jako wystawioną, jeśli "klucz publiczny potrzebny do wydania monety jest już widoczny on-chain".

Ich wynik na 20 maja 2026 roku:

Dwie rzeczy rzucają się w oczy. Większa część problemu to zachowanie, a nie projekt protokołu, co oznacza, że dużą jego część mogą naprawić sami użytkownicy bez żadnej zmiany w Bitcoinie. I prawie siedemdziesiąt procent wszystkich bitcoinów nie jest w spoczynku wystawionych w ogóle.

Istnieją inne pomiary i nie są ze sobą zgodne, co warto zrozumieć, zamiast przemilczeć. Zespół badawczy Google poinformował w marcu 2026 roku, że "nieco ponad 1,7 miliona bitcoinów (prawie 9% wszystkich bitcoinów) jest zabezpieczone przez locking scripts P2PK", a uśpione zasoby podatne na atak kwantowy we wszystkich typach skryptów oszacował na maksymalnie 2,3 miliona. Coinbase Quantum Advisory Council oszacował w kwietniu 2026 roku 6,9 miliona. BIP-361 stwierdza, że "ponad 34% wszystkich bitcoinów ujawniło klucz publiczny on-chain".

Te liczby nie są ze sobą sprzeczne. Mierzą różne rzeczy. Ekspozycja strukturalna, ekspozycja uśpiona, całkowita ekspozycja w spoczynku i łączna liczba kiedykolwiek ujawnionych kluczy to cztery różne pytania z czterema różnymi odpowiedziami. Każdy artykuł, który cytuje jedną z nich, nie mówiąc, co jest mierzone, mówi ci mniej, niż się wydaje.

Czym jest logical qubit i dlaczego ta liczba jest tak mała

Komputery kwantowe sprzedaje się zwykle według liczby fizycznych qubitów, a ta liczba jest dla kryptografii niemal pozbawiona znaczenia.

Fizyczne qubity są kruche. Tracą swój stan przez oddziaływanie z otoczeniem, a ich bramki popełniają błędy w tempie nie do pomyślenia w informatyce klasycznej. Prowadzenie długich obliczeń na surowych fizycznych qubitach daje szum, a nie odpowiedzi.

Lekarstwem jest kwantowa korekcja błędów, która rozkłada informację jednego niezawodnego logical qubit na wiele fizycznych i nieprzerwanie wykrywa oraz poprawia błędy. Ten stosunek to narzut, i w nim rozgrywa się wszystko. Bivariate bicycle code firmy IBM upycha 12 logical qubits w 288 fizycznych qubitach, mniej więcej 24 do jednego. Surface codes, podejście stojące za większością oszacowań nadprzewodnikowych, są znacznie droższe w przeliczeniu na logical qubit, ale lepiej zbadane.

Sensownym pytaniem nie jest więc nigdy to, ile qubitów ma maszyna. Jest nim to, ile skorygowanych z błędów logical qubits potrafi utrzymać, w splątaniu, przez czas trwania długiego obliczenia.

Mierzony w ten sposób stan techniki jest skromny. System Helios firmy Quantinuum, uruchomiony 5 listopada 2025 roku z 98 fizycznymi qubitami, zademonstrował 48 logical qubits w pełni skorygowanych z błędów przy kodowaniu dwa do jednego. To był duży skok wobec 12, które firma zademonstrowała we wrześniu 2024 roku, a tamto samo było skokiem wobec 4 z kwietnia 2024 roku. Opublikowana mapa drogowa IBM celuje w Starling w 2029 roku, maszynę przewidzianą do wykonania 100 milionów bramek na 200 logical qubits.

Ile komputera kwantowego wymagałby atak

Na tle tych liczb oto, czego zdaniem opublikowanych badań wymagałby atak na krzywą Bitcoina. Wartości mocno się przesunęły.

Publikacja	Źródło	Logical qubits	Toffoli gates
Czerwiec 2017	Roetteler, Naehrig, Svore, Lauter	2 330	1,26 x 10^11
Marzec 2026	Babbush et al., wariant o małej liczbie bramek	1 450	7 x 10^7
Marzec 2026	Babbush et al., wariant o małej liczbie qubitów	1 200	9 x 10^7
Lipiec 2026	Luo et al.	835	około 1,66 x 10^9

Ostatni wiersz zasługuje na ostrzeżenie. Luo i współautorzy zmniejszyli szerokość układu, wymieniając ją na liczbę bramek, używając około dwudziestu razy więcej operacji niż konkurencyjne projekty, a ich artykuł nie podaje ani głębokości układu, ani kompilacji fizycznej. Mniej qubitów nie oznacza łatwiejszej maszyny, jeśli każdy z nich musi pracować znacznie dłużej.

Oszacowania zasobów fizycznych przesunęły się w tym samym kierunku. Craig Gidney i Martin Ekerå oszacowali w 2019 roku, że rozłożenie na czynniki liczby RSA o długości 2048 bitów wymagałoby 20 milionów zaszumionych qubitów i ośmiu godzin. Własna rewizja Gidneya z 2025 roku zeszła poniżej miliona qubitów i poniżej tygodnia. W marcu 2026 roku zespół kierowany przez Google oszacował mniej niż pół miliona fizycznych qubitów nadprzewodnikowych konkretnie dla krzywej Bitcoina, a osobny zespół z udziałem Johna Preskilla oszacował, że 26 000 rekonfigurowalnych qubitów na atomach neutralnych mogłoby obliczyć logarytm dyskretny P-256 w ciągu kilku dni.

Jedna liczba z artykułu Google znaczy dla Bitcoina więcej niż pozostałe. Atak, gdy maszyna zostanie już przygotowana obliczeniami wstępnymi, zająłby mniej więcej od dziewięciu do dwunastu minut. To mniej niż średni czas między blokami, co oznacza, że atak z krótką ekspozycją z mempoola przestaje być teoretyczny.

Oszacowania spadają szybciej, niż rośnie sprzęt

Zestaw obie serie liczb obok siebie, a pojawi się wzorzec, który łatwo przeoczyć, gdy artykuły czyta się pojedynczo.

Między 2017 a 2026 rokiem liczba logical qubits uznawanych za potrzebne spadła z 2 330 do 1 200, czyli o niecałą połowę. W tym samym czasie liczba bramek spadła z 1,26 x 10^11 do 9 x 10^7, czyli około 1 400 razy. Tymczasem liczba skorygowanych z błędów logical qubits, jaką ktokolwiek faktycznie zademonstrował, wzrosła z praktycznie zera do 48.

Obie krzywe się poruszają. Oszacowanie porusza się szybciej niż maszyna.

To najważniejsza rzecz do zrozumienia w kwestii kalendarza i zarazem powód, dla którego uczciwi badacze odmawiają podania daty. Pozostały dystans nie jest nieruchomym celem, do którego sprzęt zbliża się w mierzalnym tempie. Jest celem, który sam kroczy w stronę sprzętu w miarę ulepszania algorytmów, i nikt nie wie, jak daleko jeszcze może zajść.

Jednocześnie praktyczny dorobek studzi zapał. Przegląd z 2025 roku dotyczący tego, co faktycznie zademonstrowano, wykazał, że "jedynie bardzo małe liczby całkowite N ≤ 35 zostały z powodzeniem rozłożone na czynniki algorytmem Shora na cyfrowym QC", i odrzucił większe deklaracje jako oparte na uproszczeniach, które czynią je "równoważnymi rzutowi monetą". W kwietniu 2026 roku Project Eleven wypłacił jednego bitcoina za największy jak dotąd atak kwantowy na kryptografię krzywych eliptycznych. Złamany klucz miał 15 bitów długości. Klucze Bitcoina mają 256.

Co Bitcoin buduje przeciwko temu

Prace toczą się na dwóch odrębnych frontach i odpowiadają na różne pytania.

Pierwszym frontem jest podpis zastępczy. Standardy odniesienia już istnieją. NIST opublikował FIPS 203, 204 i 205 w dniu 13 sierpnia 2024 roku, a FIPS 205 standaryzuje SLH-DSA, bezstanowy schemat oparty na hashach, wywodzący się z SPHINCS+. Podpisy oparte na hashach są atrakcyjne dla Bitcoina, ponieważ opierają się wyłącznie na bezpieczeństwie funkcji hashujących, czyli na tej części kryptografii Bitcoina, której obliczenia kwantowe nie zagrażają w istotny sposób.

Problemem jest rozmiar. Podpisy Schnorr w Bitcoinie mają 64 bajty. Podpisy SLH-DSA sięgają kilku tysięcy. Każdy bajt konkuruje o tę samą ograniczoną przestrzeń bloku, więc naiwna zamiana kosztowałaby Bitcoina większość jego przepustowości transakcyjnej.

To właśnie problem, który SHRINCS ma rozwiązać. Mikhail Kudinov i Jonas Nick z Blockstream Research zaproponowali go w grudniu 2025 roku, a 27 sierpnia 2026 roku opublikowali roboczy BIP dla opkodu OP_CHECKSHRINCS. Łączy SPHINCS+ do podpisywania bezstanowego z niezrównoważoną konstrukcją XMSS do podpisywania stanowego, a klucz publiczny jest hashem obu. Ścieżka stanowa produkuje podpisy o długości około 580 bajtów. Jeśli stan zostanie utracony, ten sam klucz cofa się do ścieżki bezstanowej, między około 4 300 a 4 500 bajtów.

Haczyk tkwi w tym, co "stanowy" oznacza w praktyce. Stanowy klucz oparty na hashach może podpisać tylko raz z każdej wewnętrznej pozycji, a portfel musi pamiętać, których pozycji już użył. Przywrócenie starej kopii zapasowej cofa ten licznik do wartości już zużytej, a ponowne podpisanie z tego miejsca może skompromitować klucz. Nick opisuje ten tryb awarii wprost: cofnięty licznik oznacza, że "kolejny podpis ponownie wykorzystuje ten stan, co może narazić środki użytkownika". To rzeczywiste odejście od tego, jak dziś działa odzyskiwanie przez seed phrase, gdzie kopia zapasowa przywraca wszystko, czego potrzebujesz, i nic więcej nie jest wymagane.

Drugim frontem jest migracja, a to w ogóle nie jest problem kryptograficzny. Ujmują go dwie propozycje w wersji roboczej.

BIP-360, napisany przez Huntera Beasta, Ethana Heilmana i Isabel Foxen Duke, jest krokiem zachowawczym. Definiuje nowy typ outputu o nazwie Pay-to-Merkle-Root, który usuwa podatną na atak kwantowy ścieżkę wydania przez key path w Taproot. Celowo nie określa żadnego postkwantowego schematu podpisu, opisuje siebie jako pierwszy krok i odsuwa kwestię podpisu do późniejszej propozycji.

BIP-361, napisany przez Jamesona Loppa i pięciu współautorów i utworzony 11 lutego 2026 roku, jest tym agresywnym. Proponuje etapowe wygaszanie. Około trzy lata po aktywacji wysyłanie na adresy podatne na atak kwantowy byłoby zabronione. Około dwa lata później starsze podpisy przestałyby przechodzić walidację, a wszelkie niezmigrowane bitcoiny zostałyby trwale zamrożone.

To właśnie w tej drugiej fazie pytanie techniczne staje się polityczne, bo oznacza rozstrzygnięcie, co dzieje się z kilkoma milionami bitcoinów, których właściciele niemal na pewno już nie wrócą. Adam Back bronił tezy przeciwnej, że opcjonalne aktualizacje i mniej więcej dekada dobrowolnej migracji są bezpieczniejsze niż wyznaczony termin, na tej podstawie, że deweloperzy Bitcoina potrafią szybko się skoordynować, jeśli zagrożenie przyspieszy. Żadne z tych stanowisk nie ma konsensusu, a rozstrzygnie to pytanie o to, jak Bitcoin się zmienia.

Czego jeszcze nikt nie wie

Pozostają trzy uczciwe niepewności i wskazują w różnych kierunkach.

Pierwsza to, czy sprzęt się pojawi. Każde powyższe oszacowanie zakłada, że skorygowane z błędów logical qubits da się przeskalować z 48 do ponad tysiąca, utrzymując splątanie przez całe obliczenie o dziesiątkach milionów bramek. Nikt nie wykazał, że jest to możliwe. Mapy drogowe mówią, że tak, a mapy drogowe w tej dziedzinie mają długą historię poślizgów.

Druga to, czy istnieje sufit. W marcu 2026 roku oksfordzki fizyk Tim Palmer opublikował w PNAS teorię głoszącą, że przestrzeń stanów mechaniki kwantowej jest drobnoziarniście dyskretna, a nie ciągła, co ograniczyłoby liczbę użytecznie splątanych qubitów do około 200 dla kropek kwantowych, 300 dla qubitów fotonicznych, 400 dla pułapek jonowych i około tysiąca jako bezwzględnej granicy górnej. Powyżej tego sufitu, twierdzi, algorytmy zależne od rozprowadzenia obliczenia po całej przestrzeni stanów tracą swoją przewagę. Jeśli teoria jest słuszna, faktoryzacja dużych liczb nigdy nie nastąpi.

Trzy rzeczy na jej temat zasługują na jasne postawienie. Artykuł przeszedł recenzję naukową, czego nie może o sobie powiedzieć większość twierdzeń idących pod prąd w tym obszarze. Proponuje też odejście od standardowej mechaniki kwantowej, jest więc stanowiskiem mniejszościowym, a nie ustalonym poglądem, i Palmer przedstawia ją jako falsyfikowalną w ciągu mniej więcej pięciu lat. A artykuł nigdzie nie wspomina o Bitcoinie. Jego przedmiotem jest RSA-2048.

Obok niej często przywoływany jest starszy argument. W 2007 roku fizyk Paul Davies wyprowadził granicę około 400 splątanych cząstek z całkowitej zawartości informacyjnej obserwowalnego wszechświata. Zwykle pomija się to, że Davies natychmiast nazwał własną analizę "nadmiernie uproszczoną" i wskazał algorytm Shora jako prawdopodobny wyjątek, ponieważ jego stan wejściowy jest "algorytmicznie prosty z definicji". Przeczytany w całości argument wspiera twardy sufit znacznie słabiej, niż sugeruje jego zwyczajowe streszczenie.

Trzecia niepewność to, czy Bitcoin zdąży się poruszyć na czas. Migracja mierzona jest w latach nawet przy optymistycznych założeniach i wymaga działania portfeli, giełd, powierników oraz pojedynczych użytkowników. Regulatorzy uruchomili własny zegar. Wytyczne przejściowe NIST uznają ECDSA za wycofywany po 2030 roku i niedozwolony po 2035 roku, co wyznacza datę ruchu szerszego świata niezależnie od tego, co zdecyduje Bitcoin.

Nic z tego nie sprowadza się do tak lub nie. Sprowadza się do pewnego kształtu: konkretna, dobrze rozumiana ekspozycja w jednej części systemu, mierzalna populacja zagrożonych monet, obrona zaprojektowana, ale niewdrożona, oraz maszyna, która nie istnieje i którą może da się zbudować, a może nie. Dłuższa analiza tego, jak poruszają się te liczby przechodzi przez to, co linie trendu faktycznie uzasadniają, a osobny esej stawia pytanie leżące pod tym wszystkim, czyli czy wymiana schematu podpisu w ogóle zmieniłaby Bitcoina.