IonQ оценила взлом Bitcoin в 20 000 кубитов: что на самом деле означает расчёт алгоритма Шора

8 сентября 2026 года IonQ представила громкую, но принципиально условную оценку: будущий отказоустойчивый квантовый компьютер на захваченных ионах, построенный по предлагаемой компанией архитектуре, мог бы решить задачу дискретного логарифма для кривой secp256k1 менее чем за 26 дней. Именно эта эллиптическая кривая лежит в основе системы подписей Bitcoin. Формулировка «256-битное шифрование» распространена, однако уязвимость касается прежде всего аутентификации и подписания транзакций, а не расшифровки блокчейна. 19

Что именно подсчитала IonQ

Согласно оценке IonQ, для одной попытки потребуются:

• 19 397 физических кубитов;
• 1 457 логических кубитов;
• около 39 млн вентилей Тоффоли;
• примерно 25,7 дня вычислений.

Это не число «обычных» кубитов без поправок на шум. Логические кубиты — надёжные вычислительные единицы, создаваемые с помощью коррекции ошибок. Физические кубиты — аппаратный ресурс, необходимый для того, чтобы эти логические кубиты работали достаточно стабильно. Поэтому компания округляет итог до системы примерно на 20 000 физических кубитов. 19

Цель вычисления — задача дискретного логарифма на эллиптической кривой secp256k1. Если злоумышленник сможет решить её для открытого ключа, он сможет восстановить соответствующий закрытый ключ и создать действительную подпись. В контексте Bitcoin это потенциально открывает путь к несанкционированной трате средств, для которых раскрыт релевантный открытый ключ. Речь не идёт о «расшифровке» всей цепочки блоков задним числом. 112

Почему это называют расчётом «от начала до конца»

Главный результат работы — не атака на реальный кошелёк и не демонстрация взлома сети. IonQ подготовила привязанную к своей архитектуре оценку ресурсов: оптимизированная реализация алгоритма Шора была доведена до примитивов отказоустойчивой коррекции ошибок и распределена по операциям для ионной архитектуры Walking Cat. 19

Это важное различие. На уровне абстрактного алгоритма требования могут выглядеть намного скромнее, чем на уровне реального компьютера, который должен выполнять вычисления с коррекцией ошибок. Итоговые число физических кубитов и длительность работы зависят от множества допущений: частоты ошибок, скорости операций, связности кубитов, декодирования ошибок и возможности производить и эксплуатировать большую систему в нужном масштабе.

Поэтому цифра 19 397 не является универсальным порогом для взлома любой 256-битной криптографии на эллиптических кривых. Это оценка IonQ для конкретной реализации алгоритма и конкретной аппаратной модели. 19

Это не взлом Bitcoin и не немедленный Q-Day

IonQ прямо подчёркивает: расчёт относится к компьютеру, которого пока не существует. Компания заявила, что в ходе исследования не были затронуты ни работающие криптоактивы, ни криптографические платформы, а предварительные материалы были переданы государственным и отраслевым участникам в рамках практики ответственного раскрытия информации. 12

Одного числа физических кубитов недостаточно, чтобы говорить о способности взламывать криптографию. Машина должна обеспечить устойчивую отказоустойчивость и производительность, заложенную в оценку. В дорожной карте IonQ указан ориентир — отказоустойчивая система на 10 000 физических кубитов в 2027 году, но это план компании, а не уже независимо подтверждённый результат. 1

Термин Q-Day обычно означает момент, когда квантовые компьютеры становятся практически способны ломать широко применяемую криптографию с открытым ключом. Работа IonQ описывает один из возможных инженерных путей, но не устанавливает дату наступления Q-Day.

Какие системы под угрозой

Алгоритм Шора опасен для криптосистем, безопасность которых строится на факторизации целых чисел или задаче дискретного логарифма. К ним относятся RSA, Diffie—Hellman, эллиптический Diffie—Hellman, ECDSA, подписи Шнорра и другие системы аутентификации на эллиптических кривых.

Для пользователей блокчейнов существенна именно угроза подделки подписи: восстановив закрытый ключ по открытому, атакующий сможет подписать перевод. Та же фундаментальная проблема касается не только криптовалют, но и сертификатов, подписи программного кода, VPN, SSH и систем цифровой идентификации.

Постквантовые схемы подписей проектируются так, чтобы не опираться на математические задачи, которые решает алгоритм Шора. Но переход на новую криптографию не отменяет традиционных рисков: ошибок реализации, кражи ключей, атак по побочным каналам и небезопасной миграции.

Что предлагает Bitcoin: BIP-360

Предложение BIP-360 вводит Pay-to-Merkle-Root (P2MR) — тип выходов, призванный убрать уязвимый для квантовой атаки путь траты по ключу в Taproot и заменить его обязательством на дерево скриптов. Предполагается, что это будет новый тип выходов для soft fork через SegWit v2. 17

Это полезный элемент миграции, но не автоматическое решение:

• защита появится только после принятия предложения и перевода средств в новый тип выходов;
• монеты в прежних типах выходов автоматически никуда не перемещаются;
• для активации в основной сети и массовой поддержки нужны технический аудит, реализация в кошельках и сервисах, а также согласие экосистемы. 18

Именно поэтому оценка атаки в несколько недель не превращается в простой обратный отсчёт для Bitcoin. Защита большой криптографической экосистемы требует стандартов, проверенных реализаций, обновлений кошельков, поддержки бирж, миграции пользователей и — для децентрализованной сети — консенсуса по вопросу уже уязвимых старых выходов.

Главное

IonQ не заявляла, что взломала Bitcoin, получила чей-либо закрытый ключ или уже построила квантовый компьютер для такой атаки. Компания заявила, что подготовила подробную инженерную оценку: её предполагаемая отказоустойчивая ионная архитектура в будущем могла бы запустить алгоритм Шора против secp256k1 примерно на 20 000 физических кубитах за около 25,7 дня. 19

Практичный вывод здесь — не паника и не игнорирование. Работа усиливает аргументы в пользу инвентаризации используемой криптографии, криптографической гибкости систем и поэтапного перехода к квантово-устойчивой аутентификации задолго до появления криптографически значимого квантового компьютера.