IonQ і «20 000 кубітів для Bitcoin»: що насправді означає оцінка алгоритму Шора

8 вересня 2026 року IonQ оприлюднила резонансну, але суто умовну оцінку: майбутній відмовостійкий квантовий комп’ютер на захоплених іонах, побудований за запропонованою архітектурою компанії, потенційно зміг би розв’язати задачу дискретного логарифмування на еліптичній кривій secp256k1 трохи менш ніж за 26 днів. Саме цю криву використовує система цифрових підписів Bitcoin. Вислів «256-бітне шифрування» тут радше спрощення: безпосередній ризик стосується автентифікації та підписання транзакцій, а не розшифрування всього блокчейна. 19

Що саме оцінила IonQ

За розрахунком IonQ, для однієї спроби знадобилися б:

• 19 397 фізичних кубітів;
• 1 457 логічних кубітів;
• приблизно 39 млн вентилів Тоффолі;
• близько 25,7 дня виконання.

Ці цифри вже враховують квантову корекцію помилок. Логічний кубіт — це надійна обчислювальна одиниця, потрібна алгоритму; фізичних кубітів необхідно значно більше, щоб реалізувати її за наявності шуму та помилок. Тому IonQ округлює підсумкову потребу до системи на 20 000 фізичних кубітів. 19

Ціллю є задача дискретного логарифмування на еліптичній кривій secp256k1. Якби зловмисник зміг розв’язати її для відкритого ключа, він міг би вивести відповідний приватний ключ і створити коректний цифровий підпис. У випадку Bitcoin це потенційно дало б змогу витрачати кошти, для яких відкритий ключ уже розкритий, без дозволу власника. Це не означає «розшифрувати блокчейн заднім числом». 112

Чому це називають наскрізним планом

Головний результат роботи — не нова атака, продемонстрована на реальному гаманці. Це оцінка ресурсів для конкретної архітектури: оптимізовану реалізацію алгоритму Шора провели через примітиви відмовостійкої корекції помилок і спланували для іонної архітектури IonQ Walking Cat. 19

Цей рівень деталізації важливий, адже абстрактний опис квантового алгоритму може виглядати значно простішим за реальне відмовостійке обладнання, необхідне для його запуску. Підсумкові кількість фізичних кубітів і час роботи залежать від припущень щодо частоти помилок, швидкості операцій, зв’язності між кубітами, декодування помилок і можливості масштабно виготовити та стабільно експлуатувати таку систему.

Отже, число 19 397 не є універсальним порогом для злому будь-якої 256-бітної криптосистеми на еліптичних кривих. Це розрахунок IonQ для певної реалізації алгоритму та власної моделі апаратної платформи. 19

Це не злам Bitcoin і не «Q-Day» уже сьогодні

IonQ прямо наголошує: йдеться про оцінку ресурсів для комп’ютера, якого ще не існує. Компанія заявила, що під час дослідження жоден запущений цифровий актив або криптографічна платформа не постраждали, а також повідомила про відповідальне розкриття інформації — зокрема, про завчасне надання матеріалів державним та галузевим стейкхолдерам. 12

Сама лише кількість фізичних кубітів не доводить здатність ламати криптографію. Машина мусить ще підтримувати тривалу відмовостійку роботу з параметрами, закладеними в оцінку. У дорожній карті IonQ фігурує ціль створити відмовостійку систему на 10 000 фізичних кубітів у 2027 році, але це корпоративний план, а не незалежно продемонстрований результат. 1

Термін Q-Day означає момент, коли квантові комп’ютери практично зможуть долати широко застосовувану криптографію з відкритим ключем. Дослідження IonQ звужує один із можливих інженерних шляхів до такого рівня, але не визначає дату настання Q-Day.

Яка криптографія під загрозою

Алгоритм Шора загрожує криптосистемам, чия безпека спирається на факторизацію цілих чисел або дискретні логарифми. До них належать RSA, Diffie–Hellman, еліптично-кривий Diffie–Hellman, ECDSA, підписи Шнорра та споріднені системи автентифікації на еліптичних кривих.

Для користувачів блокчейнів ключовий сценарій — відновлення приватного ключа з відкритого, а потім підробка підпису. Та сама фундаментальна проблема стосується не лише криптовалют, а й сертифікатів, підписування програмного коду, VPN, SSH та інфраструктури цифрової ідентифікації.

Постквантові схеми підпису створюють так, щоб вони не спиралися на математичні задачі, на які націлений алгоритм Шора. Водночас перехід на постквантовий алгоритм не скасовує звичайних ризиків: помилок реалізації, викрадення ключів, побічних каналів або небезпечної міграції.

Що пропонує Bitcoin: BIP-360

Пропозиція Bitcoin BIP-360 вводить Pay-to-Merkle-Root (P2MR) — тип виходу, покликаний прибрати вразливий до квантової атаки шлях витрачання за ключем у Taproot і замінити його прив’язкою до дерева скриптів. Запропонований механізм задуманий як тип виходу soft fork для SegWit v2. 17

Це важлива складова майбутньої міграції, але не автоматичне вирішення проблеми:

• захист поширюватиметься лише на кошти після ухвалення пропозиції та добровільного переведення користувачами в новий тип виходу;
• монети в застарілих виходах автоматично нікуди не переміщуються;
• активація в основній мережі та широка підтримка гаманців усе ще потребують технічного перегляду, реалізації й згоди екосистеми. 18

Тому оцінку атаки тривалістю в кілька тижнів не можна перетворити на простий «відлік часу до краху Bitcoin». Захист великої криптографічної екосистеми потребує стандартів, аудованих реалізацій, оновлення гаманців, підтримки бірж, переміщення активів і — для децентралізованої мережі — консенсусу щодо поводження зі старими адресами з розкритими ключами.

Висновок

IonQ не заявляла, що зламала Bitcoin, викрала ключ або вже створила квантовий комп’ютер, здатний виконати таку атаку. Компанія заявила про детальну інженерну оцінку: за її моделлю, запропонована відмовостійка іонна архітектура колись могла б запустити алгоритм Шора проти secp256k1, використавши близько 20 000 фізичних кубітів і приблизно 25,7 дня на одну спробу. 19

Найраціональніша реакція тут — не паніка і не знецінення результату. Робота підсилює аргумент на користь інвентаризації криптографії, систем із можливістю оперативної заміни алгоритмів і поетапної міграції до квантово-стійких засобів автентифікації — задовго до появи криптографічно значущого квантового комп’ютера.