A estimativa da IonQ de 20 mil qubits para o Bitcoin, explicada

A divulgação da IonQ, em 8 de setembro de 2026, chamou atenção por uma afirmação forte — mas condicional: um computador quântico futuro de íons aprisionados, tolerante a falhas e construído conforme a arquitetura proposta pela empresa, poderia resolver em pouco menos de 26 dias o problema matemático por trás da curva secp256k1. Essa é a curva usada nas assinaturas do Bitcoin. 19

Isso não quer dizer que o Bitcoin foi quebrado, nem que exista hoje uma máquina capaz de roubar fundos dessa forma.

Os números da estimativa

O cálculo da IonQ prevê, para cada tentativa de ataque:

• 19.397 qubits físicos;
• 1.457 qubits lógicos;
• cerca de 39 milhões de portas Toffoli;
• aproximadamente 25,7 dias de execução.

Quibits lógicos são unidades de computação já protegidas por correção de erros. Para criá-los de forma confiável, são necessários muitos qubits físicos — os componentes reais do hardware. A empresa arredonda o resultado para uma máquina de 20 mil qubits físicos. 19

O alvo é o problema do logaritmo discreto em curvas elípticas na secp256k1. Se um atacante resolvesse esse problema a partir de uma chave pública, poderia obter a chave privada correspondente e produzir uma assinatura válida.

No caso do Bitcoin, a consequência potencial seria gastar sem autorização moedas associadas a uma chave pública exposta. Não se trata de “descriptografar a blockchain” nem de revelar retroativamente todas as transações. O risco está na autenticação e na capacidade de assinar transações. 112

Por que o estudo é chamado de estimativa “de ponta a ponta”

A contribuição da IonQ não é uma demonstração de ataque a uma carteira real. Trata-se de uma estimativa de recursos vinculada a uma arquitetura específica: a empresa pegou uma implementação otimizada do algoritmo de Shor, aplicou os mecanismos de correção de erros e a organizou para sua arquitetura de íons aprisionados chamada Walking Cat. 19

Esse detalhamento faz diferença. Um algoritmo quântico pode parecer relativamente econômico quando descrito apenas em termos abstratos, mas executá-lo em hardware tolerante a falhas exige muito mais: taxas de erro adequadas, operações rápidas, conectividade entre qubits, decodificação de erros e capacidade de fabricar e operar o sistema em grande escala.

Por isso, os 19.397 qubits não devem ser tratados como um limite universal para quebrar qualquer sistema de curva elíptica de 256 bits. É a estimativa da IonQ para uma implementação e um modelo de hardware determinados. 19

Não é uma quebra do Bitcoin — nem um Q-Day imediato

A própria IonQ apresenta o trabalho como uma projeção para um computador que ainda não foi construído. A empresa afirmou que nenhum ativo digital ou plataforma criptográfica em operação foi afetado pela pesquisa e que compartilhou cópias antecipadas do estudo com interlocutores do governo e da indústria, em um processo de divulgação responsável. 12

A distinção é essencial: ter uma contagem de qubits físicos no papel não equivale a possuir capacidade criptográfica prática. A máquina precisaria sustentar a tolerância a falhas e o desempenho pressupostos na projeção.

A IonQ diz ter como meta, em seu roteiro, um sistema tolerante a falhas de 10 mil qubits físicos em 2027. É um plano da companhia, e não uma capacidade já demonstrada de forma independente. 1

O termo Q-Day descreve o momento em que computadores quânticos se tornam capazes de derrotar, na prática, a criptografia de chave pública amplamente usada. O estudo reduz a incerteza sobre um possível caminho de engenharia, mas não determina uma data para esse marco.

Que tipos de criptografia ficariam expostos

O algoritmo de Shor ameaça sistemas de chave pública cuja segurança depende da fatoração de inteiros ou de logaritmos discretos. Isso inclui RSA, Diffie–Hellman, Diffie–Hellman em curvas elípticas, ECDSA, assinaturas Schnorr e sistemas relacionados de autenticação por curvas elípticas.

Para usuários de blockchains, o ponto mais importante são as assinaturas: o ataque hipotético recuperaria a chave privada a partir de uma chave pública e permitiria forjar uma assinatura. A preocupação se estende a certificados digitais, assinatura de código, VPNs, SSH e infraestrutura de identidade que dependam desses sistemas.

Assinaturas pós-quânticas foram projetadas para não depender dos problemas matemáticos atacados por Shor. Ainda assim, trocar o algoritmo não elimina riscos convencionais, como falhas de implementação, roubo de chaves, canais laterais ou erros no processo de migração.

A rota de migração proposta para o Bitcoin: BIP-360

A proposta BIP-360 introduz o Pay-to-Merkle-Root (P2MR), um modelo de saída que busca remover o caminho de gasto por chave do Taproot, considerado vulnerável em um cenário quântico, e substituí-lo por um compromisso com uma árvore de scripts. A proposta foi desenhada como um novo tipo de saída SegWit v2, ativável por soft fork. 17

Ela é uma peça para a migração, não uma correção automática:

• protegeria fundos apenas depois de sua adoção e da transferência voluntária para o novo tipo de saída;
• não movimenta nem protege automaticamente bitcoins em saídas legadas;
• a ativação na rede principal e o suporte amplo por carteiras ainda dependem de revisão técnica, implementação e consenso no ecossistema. 18

É por isso que uma estimativa de ataque em semanas não se transforma em uma simples contagem regressiva para o Bitcoin. Proteger um ecossistema criptográfico grande exige padrões, software auditado, atualização de carteiras, apoio de corretoras, migração dos usuários e, em redes descentralizadas, acordo sobre como lidar com fundos antigos cujas chaves públicas estão expostas.

O que fica para o leitor

A IonQ não disse ter quebrado o Bitcoin, roubado uma chave ou construído um computador quântico capaz de executar esse ataque. A empresa apresentou uma estimativa detalhada de engenharia segundo a qual sua arquitetura proposta poderia, no futuro, rodar o algoritmo de Shor contra a secp256k1 com cerca de 20 mil qubits físicos em aproximadamente 25,7 dias. 19

A conclusão razoável não é pânico nem descaso. O estudo reforça a necessidade de mapear onde a criptografia vulnerável é usada, projetar sistemas que possam trocar de algoritmos com agilidade e planejar uma migração gradual para autenticação resistente a ataques quânticos — antes que exista um computador quântico criptograficamente relevante.