7 mld USD na migrację kryptografii dla kryptowalut

Rządy i duże instytucje zaplanowały budżety na poziomie około 7 mld USD na przejście systemów kryptograficznych na algorytmy postkwantowe. Środki mają być wydane na inwentaryzację używanej kryptografii, wymianę nieaktualizowalnego sprzętu oraz wdrożenie nowych standardów.

W marcu zespół badawczy powiązany z Google oszacował, że wystarczająco zaawansowany komputer kwantowy mógłby w ciągu kilku minut złamać powszechnie stosowaną kryptografię na krzywych eliptycznych 256-bit. Mimo że takie urządzenia mogą pojawić się dopiero za kilka lat, rządy rozpoczęły planowanie migracji. W Stanach Zjednoczonych federalne budżety przewidują miliardy dolarów na przejście do algorytmów postkwantowych, a NIST ustalił termin usunięcia podatnych algorytmów do 2035 roku.

Eksperci wskazują, że pierwszym zadaniem każdej organizacji jest szczegółowa inwentaryzacja kryptografii: gdzie stosowane są algorytmy, jak zarządzane są klucze i które systemy będą wymagały aktualizacji. Nigel Smart: „Standardy postkwantowe już istnieją, podobnie jak wiele gotowych do wdrożenia implementacji. Większości organizacji brakuje jasnej inwentaryzacji, czyli czegoś, co nazywamy kryptograficzną listą materiałów. Trzeba wiedzieć, gdzie w firmie używa się krypto, jak zarządza się kluczami oraz jakich algorytmów się używa.” NIST wymienia identyfikację i priorytetyzację jako pierwszy etap migracji.

Dla powierników i instytucji finansowych problem ma wymiar techniczny i operacyjny. Akshaya Thakur z firmy zajmującej się opieką powierniczą podkreśla, że podpisy progowe, używane w instytucjonalnym przechowywaniu, nie były głównym celem standardów postkwantowych. W praktyce wiele schematów postkwantowych nie oferuje dziś wydajnych konstrukcji progowych. W styczniu 2026 roku NIST ogłosił nabór na schematy podpisów progowych dla wielu stron; warsztaty badawcze wykazały utratę wydajności przy implementacjach progowych.

Problematyczne jest też stosowanie technik rozproszonego zaufania. Nitin Gaur: „MPC rozdziela obliczenia, ale nie zmienia algorytmu: progowe ECDSA wśród pięciu stron to wciąż ECDSA. Komputer kwantowy wywodzi klucz prywatny tylko z klucza publicznego, więc nie musi łamać żadnej strony i nie obchodzi go ich liczba. Każdy dolar wydany na rozproszenie zaufania między sygnatariuszy daje dokładnie zero odporności kwantowej.” Inwentaryzacja stosowania RSA, ECC i Diffie-Hellmana w całym środowisku — w TLS, JWT, podpisach kodu i firmware — stanowi istotną część pracy i kosztów.

Przejście na algorytmy postkwantowe wiąże się z wyższymi kosztami operacyjnymi. Standaryzowane podpisy postkwantowe mają znacznie większe rozmiary: przykładowo ML-DSA-65 używa podpisu około 3309 bajtów i klucza publicznego 1952 bajtów, podczas gdy obecne podpisy na krzywych eliptycznych liczą kilkadziesiąt bajtów. Niektóre warianty mogą osiągać dziesiątki kilobajtów. Większe podpisy oznaczają większe zużycie transferu, więcej miejsca na dysku i wyższe opłaty transakcyjne w sieciach blockchain.

Dla sieci proof-of-stake dodatkową trudnością jest brak prostych metod agregacji podpisów postkwantowych, co wpływa na skalowanie i weryfikację bloków. Okresy, w których systemy klasyczne i postkwantowe będą działać równolegle, mogą powodować opóźnienia i dodatkowe koszty operacyjne.

Firmy powiernicze muszą przeprowadzić ponowną walidację procedur kontrolnych, wymienić sprzęt, który nie da się zaktualizować, oraz przeprowadzić audyty i recertyfikacje. Raport z czerwca 2026 roku szacuje, że około 1,7 mln bitcoinów znajduje się na adresach, gdzie klucze publiczne są ujawnione i pozostają podatne, jeśli sprzęt kwantowy stanie się wystarczająco silny przed zakończeniem migracji.

Kwestią otwartą pozostaje finansowanie migracji. Nigel Smart ocenia, że koszty prawdopodobnie rozłożą się między twórców protokołów, powierników, dostawców usług i właścicieli aktywów. Nitin Gaur proponuje model z centralnym budżetem zarządzanym przez zespół bezpieczeństwa i zatwierdzanym przez finanse, porównując wieloletnie finansowanie do programów typu Y2K lub LIBOR. Publiczne blockchainy, bez centralnego podmiotu decyzyjnego, będą trudniejsze do skoordynowania.

Harmonogramy są długie: migracja liczona jest w latach. Ethereum planuje wprowadzić podstawowe zabezpieczenia postkwantowe około 2029 roku, a NIST wyznaczył termin usunięcia podatnych algorytmów do 2035 roku. Do kwietnia 2026 roku jeden z dużych dostawców infrastruktury TLS raportował, że ponad dwie trzecie ruchu TLS obsługiwanego przez jego sieć korzystało z ochrony postkwantowej. Niepewność co do momentu pojawienia się kwantowego sprzętu zdolnego złamać aktualne algorytmy utrzymuje potrzebę długoterminowego planowania i wydatków.