Bitcoin bereidt zich voor op een quantumdreiging — maar is nog niet quantumveilig

De voorbereiding op een mogelijke quantumdreiging voor Bitcoin bestaat uit twee sporen: de blootstelling van publieke sleutels beperken met de huidige regels, en voorstellen onderzoeken voor wijzigingen aan het protocol. Geen van beide betekent dat Bitcoin nu al volledig tegen quantumcomputers is beschermd. De uitdaging is niet alleen een technische oplossing vinden, maar ook overeenstemming bereiken over een upgrade en gebruikers tijd geven om hun geld te verplaatsen. 137

Waar zit het risico?

De zorg draait om de elliptische-krommecryptografie waarmee Bitcointransacties worden ondertekend. Een quantumcomputer die krachtig genoeg is, zou in theorie een privésleutel kunnen afleiden uit de bijbehorende publieke sleutel. Hoe lang een sleutel kwetsbaar is, hangt af van wanneer die publieke sleutel zichtbaar wordt. Bij sommige soorten outputs staat de sleutel meteen op de blockchain; bij andere komt die pas in beeld wanneer iemand de bitcoin uitgeeft. Daardoor kan de blootstellingsperiode per munt verschillen. 35

Een schatting uit 2026 kwam voor een snelle aanval op een blootgestelde sleutel uit op ongeveer 1.200 tot 1.450 logische qubits. Volgens de aannames van die studie zouden daarvoor minder dan 500.000 fysieke qubits nodig zijn bij een supergeleidende quantumcomputer. Dat zijn berekende middelen voor een mogelijk scenario, geen voorspelling van wanneer zo’n machine gebouwd zal zijn. In september 2026 werd gemeld dat er geen quantumcomputer bestond die Bitcoinhandtekeningen op cryptografische schaal kon breken. 12

Ook over het aantal betrokken bitcoins lopen de schattingen uiteen. Een analyse kwam uit op ongeveer 6,99 miljoen BTC, een andere op 6,04 miljoen BTC. De methodes en definities verschillen, dus die cijfers geven vooral een indruk van de omvang en zijn geen exacte telling. Dat een publieke sleutel blootgesteld is, betekent bovendien niet dat de bitcoins met de huidige computers kunnen worden gestolen. 45

Wat kunnen beurzen nu al doen?

Zonder protocolupgrade kunnen bewaarders en exchanges vooral proberen onnodige blootstelling van publieke sleutels te beperken. Genoemde maatregelen zijn minder vaak hetzelfde adres gebruiken, nagaan hoe tegoeden worden bewaard en procedures voor bewaring en opnames onder de loep nemen. Waar dat praktisch kan, kan het verplaatsen van tegoeden uit outputs met blootgestelde sleutels de langdurige blootstelling verkleinen. Maar zo’n verhuizing introduceert geen nieuw handtekeningensysteem en beschermt niet elke munt in elke transactiesituatie. 1

Ontwikkelaars bespreken daarnaast specifiekere technieken op transactieniveau, zoals commit-and-reveal-methodes en manieren om hashgebaseerde handtekeningen te gebruiken bij bepaalde herstel- of migratietrajecten. Dat zijn geen algemene vervangers voor de bestaande handtekeningregels van Bitcoin; de toepasbaarheid hangt af van de gekozen methode en de aannames die daarbij horen. 4647

Wat stelt BIP-360 voor?

BIP-360 stelt Pay-to-Merkle-Root (P2MR) voor: een outputtype dat op Taproot lijkt, maar de mogelijkheid weglaat om via het key path uit te geven. In plaats daarvan verwijst het naar een scriptboom. Het doel is langdurige blootstelling te verminderen doordat er niet standaard een publieke sleutel zichtbaar blijft die langdurig kan worden aangevallen. Het voorstel richt zich op zulke langdurige aanvallen, niet op elke mogelijke blootstelling tijdens het uitgeven van bitcoin. 37

Belangrijk: BIP-360 introduceert zelf geen post-quantumhandtekening. Het voorstel gaat over een nieuwe structuur voor outputs; de keuze en invoering van post-quantumhandtekeningen is een afzonderlijk vraagstuk. Voor BIP-360 zou een soft fork nodig zijn: een upgrade die nieuwe regels invoert zonder dat oude software alle bestaande transacties hoeft af te wijzen. Dat het voorstel is gepubliceerd, betekent niet dat de wijziging al actief is op het Bitcoin-netwerk. 71721

BIP-360 kan dus een onderdeel van een overgang zijn, maar is geen volledig plan om Bitcoin quantumveilig te maken. Bestaande tegoeden worden niet automatisch naar een nieuw outputtype verplaatst. Wie zijn munten naar een bestemming met andere bescherming wil overzetten, zal daar zelf een manier voor nodig hebben. 117

Waarom overeenstemming en migratie lastig zijn

De verdediging van Bitcoin is niet alleen een cryptografisch vraagstuk. Deelnemers moeten een voorgestelde wijziging beoordelen, overeenstemming bereiken over de werking ervan en de upgrade invoeren. Zelfs een upgrade die een veiliger bestemming mogelijk maakt, kan slapende of ontoegankelijke bitcoins niet vanzelf verplaatsen. Keuzes over migratie zijn daarom net zo belangrijk als het technische ontwerp. 3721

De nieuwe schattingen maken voorbereiding verstandig, maar geven geen deadline aan. De kern is dat er manieren zijn om bepaalde risico’s nu te beperken en voorstellen voor bredere aanpassingen, maar dat noch de huidige maatregelen noch BIP-360 een volledig ingevoerde, netwerkbrede verdediging tegen quantumcomputers vormen. 123