Может ли квантовый компьютер уничтожить биткоин?

Алгоритм Шора меняет класс вычислительной сложности задачи дискретного логарифма на эллиптической кривой и теоретически позволяет восстановить приватный ключ k по публичному P = k⋅G. Это затрагивает подписи ECDSA и Шнорра, использующие кривую secp256k1. На практических устройствах требуется корректировка ошибок, поэтому физические и логические требования сильно различаются.

Крупнейшие доступные сегодня процессоры имеют порядка 1 100–1 200 физических шумных кубитов без коррекции ошибок. Консервативные оценки указывают на порядок 2 330 логических кубитов для атаки, что с учётом коррекции ошибок переводится в миллионы физических кубитов: по разным расчётам от 1 до 13 млн физических кубитов потребуются для взлома в течение суток. В 2026 году исследование Google Quantum AI снизило оценку до менее чем 500 тыс. физических кубитов (около 1 200 логических) и порядка 70 млн вычислительных шагов; при таких параметрах восстановление приватного ключа рассчитано максимум на девять минут — быстрее, чем интервал между блоками в сети Биткоин.

Планы производителей и оценки экспертов дают разные горизонты появления «криптографически значимого» квантового компьютера. IBM называет цель создать отказоустойчивую систему на 200 логических кубитов к 2029 году, компания IonQ декларировала намерение выйти на миллионы физических кубитов к 2030 году. В опросе 26 экспертов вероятность появления такого компьютера оценивалась в 28–49% в течение десяти лет и в 51–70% в течение пятнадцати лет. При этом оценка руководства Blockstream — 20–40 лет до появления таких систем.

В зоне прямой угрозы находятся адреса, чьи публичные ключи уже доступны в блокчейне: выходы P2PK эпохи Сатоши, многие выходы Taproot и адреса, использованные повторно. Выходы P2PKH, P2SH и SegWit считаются защищёнными до первой исходящей транзакции, поскольку их публичные ключи скрыты за хешем. По расчётам аналитиков Glassnode, в блокчейне раскрыты ключи, контролирующие 6,04 млн BTC (около 30,2% предложения): из них 1,92 млн BTC связаны с P2PK и 4,12 млн BTC — с повторным использованием адресов.

Стратегия «сбор сейчас — взлом позже» (HNDL) описывает ситуацию, когда злоумышленники сохраняют опубликованные публичные ключи и ожидают появления подходящего квантового компьютера. В исследовании Федеральной резервной системы США отмечено, что переход на постквантовую криптографию может защитить будущие транзакции, но не удаляет и не переводит средства с уже уязвимых выходов.

Нормативные органы ведут работу по стандартам постквантовой криптографии: соответствующие международные организации и государственные службы рассматривают варианты миграции. В сети Биткоин переход потребовал бы изменения через консенсус и, по оценкам специалистов, будет происходить медленнее, чем обновления у коммерческих производителей ПО.

Рыночные реакции зависят от восприятия риска: публикации о снижении требований к кубитам или прогрессе в алгоритмах способны изменить оценку риска инвесторами до появления работоспособных квантовых машин. Практические рекомендации включают проверку типов выходов, избежание повторного использования адресов и перевод средств с кошельков с раскрытыми публичными ключами, когда это возможно. Потерянные и «спящие» кошельки с раскрытыми ключами остаются уязвимыми к будущим квантовым атакам.