Квантовый компьютер против биткоина: реален ли взлом к 2033 году

Фраза «квантовый компьютер взломает шифрование Bitcoin» звучит эффектно, но она неточная. В Bitcoin не нужно «расшифровывать блокчейн», чтобы украсть монеты. Более реалистичная угроза — цифровые подписи: право потратить средства доказывается подписью на основе публичного ключа, а в Bitcoin используется эллиптическая кривая secp256k1. Алгоритм Шора на достаточно мощном отказоустойчивом квантовом компьютере теоретически может атаковать задачу дискретного логарифмирования на эллиптических кривых, на которой держится безопасность таких подписей.

Вердикт по 2033 году: повод готовиться, но не дата апокалипсиса

Публичные источники не доказывают, что Bitcoin будет «сломлен» к 2033 году. Но и отмахиваться от этой даты как от фантастики уже неразумно: оценки ресурсов, нужных для атаки на эллиптическую криптографию, становятся менее комфортными для нынешних систем.

В работе Google Quantum AI и соавторов оценивается, что задачу дискретного логарифмирования для secp256k1 можно решить примерно с 1 200 логическими кубитами и не более чем 90 млн Toffoli-операций в одном из рассмотренных вариантов; в публикациях о работе также описываются сценарии с менее чем 500 000 физическими кубитами и временем атаки в минуты — если речь идёт о достаточно продвинутой машине.

Это не означает, что Bitcoin можно атаковать сегодня. В тех же материалах подчёркивается, что квантовые атаки пока неосуществимы, а Bitcoin Magazine формулирует текущую ситуацию прямо: такого компьютера сегодня нет.

Практический вывод — середина между самоуспокоением и паникой. Не нужно срочно объявлять Bitcoin обречённым. Но ждать момента, когда угроза станет почти рабочей, тоже опасно: переход на постквантовую криптографию — это многолетняя технологическая миграция, и государственные рекомендации уже описывают её именно так.

Что именно будет атаковать квантовый злоумышленник

Будущему атакующему не нужно переписывать всю историю блокчейна. Самая ценная цель — восстановить приватный ключ по публичному ключу. Если публичный ключ Bitcoin-адреса уже раскрыт, а квантовый компьютер способен достаточно быстро решить соответствующую задачу на эллиптической кривой, злоумышленник сможет получить приватный ключ и создать корректную подпись для перевода средств.

Это не то же самое, что «квантовый компьютер автоматически победит майнинг» или мгновенно изменит все блоки. Bitcoin также использует SHA-256 для майнинга и хеширования адресов, но наиболее серьёзная обсуждаемая угроза в контексте квантовой готовности относится именно к уровню публично-ключевых подписей, а не к SHA-256-майнингу.

Почему раскрытые публичные ключи особенно важны

Не все монеты имеют одинаковый профиль квантового риска. Публичный ключ может стать видимым при трате средств, а повторное использование адресов упрощает поиск и каталогизацию таких случаев.

Отсюда возникают две разные задачи. Первая — заранее понять, какие средства уже связаны с раскрытыми публичными ключами и должны стать приоритетом при будущей миграции. Вторая — учитывать окно между публикацией транзакции и её подтверждением: если в будущем квантовая машина сможет восстановить приватный ключ за это время, атакующий теоретически сможет попытаться отправить конкурирующую транзакцию.

Сегодня оценки не показывают, что такой сценарий уже реализуем. Но они объясняют, почему дизайн кошельков, приватность распространения транзакций, работа mempool и время подтверждения нужно обсуждать заранее, а не после появления реальной атакующей мощности.

Постквантовые стандарты уже появились

Главный аргумент в пользу ранней подготовки — постквантовая криптография перестала быть чисто академической темой. В августе 2024 года NIST, американский Национальный институт стандартов и технологий, утвердил первые три стандарта постквантовой криптографии и рекомендовал администраторам систем начинать переход как можно скорее.

В этот набор входят FIPS 203 для ML-KEM, механизма инкапсуляции ключей; FIPS 204 для цифровых подписей ML-DSA; и FIPS 205 для SLH-DSA, статических хеш-основанных подписей без состояния. NIST также опубликовал материалы по планированию перехода от алгоритмов, уязвимых к квантовым атакам, к постквантовым схемам цифровой подписи и установления ключей.

Британский Национальный центр кибербезопасности, NCSC, описывает миграцию на PQC как массовое технологическое изменение, которое займёт несколько лет. Среди ранних ориентиров — определить цели миграции и провести полную инвентаризацию используемой криптографии к 2028 году.

Для Bitcoin и других блокчейнов выбор алгоритма — только часть работы. Постквантовая подпись должна вписаться в ограничения размера транзакций, стоимость проверки, комиссионный рынок, аппаратные кошельки, кастодиальные сервисы, лёгкие клиенты, биржи, мосты и, главное, социальный консенсус сети.

Что криптоиндустрии стоит делать уже сейчас

1. Составить карту криптографической экспозиции

Биржам, кастодианам, разработчикам кошельков, мостам, эмитентам стейблкоинов, L2-командам и крупным казначействам нужно понимать, где именно они зависят от публично-ключевой криптографии, уязвимой к квантовым атакам.

Такая инвентаризация должна охватывать процессы подписи, аппаратное хранение ключей, резервные копии, процедуры восстановления, политики multisig, смарт-контракты, валидаторов мостов и долгоживущие публичные ключи. Это соответствует логике ранних шагов, которые рекомендует NCSC: сначала определить цели и провести discovery, а не начинать миграцию в пожарном режиме.

Для Bitcoin в приоритете должны быть повторно использованные адреса, уже раскрытые публичные ключи, крупные cold wallet-адреса и hot wallet-процессы, где публичные ключи раскрываются часто.

2. Не увеличивать ненужное раскрытие ключей

Кошелькам и биржам стоит делать повторное использование адресов менее удобным, а создание свежих адресов — более простым и привычным. Уже раскрытые или повторно используемые публичные ключи — одна из очевидных зон будущей квантовой подготовки.

Инфраструктурным командам также нужно изучать приватность распространения транзакций. Если будущая модель атаки станет гонкой между легитимной и поддельной тратой, важными окажутся и видимость транзакции, и длина окна до подтверждения.

3. Готовить постквантовые форматы транзакций до кризиса

Командам блокчейнов нужны реалистичные предложения по поддержке постквантовых подписей, включая путь внедрения через изменения протокола. Google в своём раскрытии подчёркивает, что криптовалютным сообществам стоит повышать безопасность и устойчивость до того, как квантовые атаки станут возможными, в том числе через переход к постквантовой криптографии.

Стандарты NIST — хорошая отправная точка, но не готовое обновление Bitcoin «под ключ». FIPS 204 и FIPS 205 действительно относятся к цифровым подписям, однако блокчейнам нужно отдельно оценивать размер подписи, стоимость проверки, нагрузку на сеть, влияние на комиссии, удобство кошельков, поддержку аппаратных устройств и долгосрочную криптостойкость.

4. Тестировать поэтапные и гибридные переходы

На практике миграция может потребовать периода, когда классические и постквантовые механизмы работают рядом. Такой гибридный подход снижает риск немедленной зависимости от новой схемы и даёт время кошелькам, нодам, биржам, кастодианам и пользователям освоить новую операционную модель.

Цена такого подхода — сложность. Подписи могут стать крупнее, транзакции тяжелее, комиссии выше, а пользовательские сценарии менее привычными. Именно поэтому эти компромиссы лучше измерять в пилотных проектах, а не обнаруживать во время реального кризиса.

5. Рано обновлять кастодиальную инфраструктуру

Операционный риск будет особенно велик у тех, кто хранит и перемещает средства за других: бирж, институциональных кастодианов, провайдеров инфраструктуры для ETF, эмитентов стейблкоинов, мостов и крупных корпоративных казначейств.

Им нужно заранее проверять, смогут ли модули подписи, HSM, аппаратные кошельки, политики доступа, журналы аудита и процедуры аварийного восстановления поддержать постквантовую или поэтапную миграцию. Поскольку публичные рекомендации описывают PQC-переход как многолетнее изменение, такие системы лучше тестировать, пока угроза ещё теоретическая.

6. Договориться о правилах до «квантового дня»

Криптографическая миграция — это не только математика, но и управление. Децентрализованным сетям нужны заранее понятные нормы: как предупреждать пользователей, как помогать с переносом средств, что делать с потерянными ключами и как относиться к давно раскрытым монетам, которые никто не перемещает.

Google указывает, что цель раскрытия исследований — помочь криптовалютному сообществу повысить безопасность и стабильность до того, как угроза станет практической. Худшее время для споров о правилах миграции — момент, когда рынок уже считает, что окно реальной квантовой атаки открылось.

За чем следить до 2033 года

Не стоит смотреть только на громкие числа физических кубитов. Гораздо важнее логические кубиты, уровень ошибок, накладные расходы на коррекцию ошибок, глубина схем, стоимость Toffoli-операций и реальные демонстрации масштабных отказоустойчивых вычислений.

Не менее важны стандарты и внедрение. Первые постквантовые стандарты NIST уже финализированы, планирование перехода продолжается, а рекомендации NCSC задают поэтапные ориентиры миграции. Криптосетям не стоит рассчитывать, что работу над консенсусом, кошельками и инфраструктурой можно бесконечно откладывать.

Главное

Bitcoin не обречён к 2033 году, и приведённые источники не показывают, что квантовый компьютер, способный сегодня взломать Bitcoin-подписи, уже существует. Но риск достаточно правдоподобен, чтобы серьёзные команды начали подготовку сейчас.

Узкое место — не только квантовое железо. Это выбор стандартов, обновление кошельков, готовность кастодианов и бирж, экономическая модель комиссий и социальный консенсус. Если ждать момента, когда квантовая машина почти сможет атаковать secp256k1, у индустрии может просто не остаться времени на безопасную миграцию.