Ventana de ataque de 9 minutos, 7,1 millones de BTC expuestos: ¿Cómo puede Bitcoin salvarse ante la amenaza cuántica?

Autor: Bitcoin Security Consortium, una alianza compuesta por líderes de la industria dedicados a la seguridad y estabilidad a largo plazo del protocolo Bitcoin.

Compilado por: Gu Yu, ChainCatcher

Un informe del Bitcoin Security Consortium, realizado en colaboración con Presidio Bitcoin.

Puntos clave (TL;DR)

Los recientes avances en computación cuántica son reales, pero solo son progresos graduales: avances como Willow de Google y las recientes optimizaciones del algoritmo de Shor han suscitado preocupaciones, sin embargo, las computadoras cuánticas relacionadas con la criptografía (CRQC) aún no han sido demostradas.

El riesgo que enfrenta Bitcoin por la computación cuántica se limita a su esquema de firma, manifestándose en dos aspectos: ataques estáticos a tokens vulnerables y ataques en tránsito a transacciones en el pool de memoria.

Las soluciones ya han sido determinadas y están siendo promovidas activamente: (1) mover fondos de direcciones reutilizadas, (2) desarrollar esquemas de firma post-cuántica, (3) abordar el problema de consenso sobre los tokens P2PK que probablemente ya se han perdido.

¿Un renacimiento de la computación cuántica?

Después de años de aparente estancamiento, el campo de la computación cuántica ha visto un aumento en los artículos académicos que demuestran su progreso y los titulares que lo acompañan, lo que ha suscitado preocupaciones sobre la seguridad de Bitcoin entre los inversores. Estos titulares incluyen:

Willow de Google (diciembre de 2024). Primera demostración de que aumentar los qubits cuánticos físicos para proteger un qubit cuántico "lógico" corregido, hace que ese qubit lógico sea más confiable, no menos.

Optimización del algoritmo de Shor por Google Quantum AI, Oratomic/Caltech y ECDSA.fail (2026). Google Quantum AI, en colaboración con la Fundación Ethereum y Stanford, ha comprimido el circuito para romper la curva elíptica de Bitcoin a través del algoritmo de Shor, reduciendo aproximadamente 20 veces respecto a estimaciones anteriores. Oratomic y Caltech creen que su optimización del algoritmo de Shor podría romper una clave privada de Bitcoin en unos pocos días. Finalmente, el proyecto ECDSA.fail, un tablero de Eigen Labs, reunió a investigadores y entidades de IA para reducir aún más el circuito de Google en casi un 70% en los meses siguientes.

Optimización del algoritmo de Shor de IonQ (septiembre de 2026). Un plano completo para ejecutar el algoritmo de Shor, calculando tanto para software como para hardware, teóricamente resolviendo una clave privada en aproximadamente 26 días por intento, con una tasa de éxito del 63.3%.

Cultivo del estado mágico de Google (octubre de 2026). La computación cuántica requiere "estados mágicos", que son recursos costosos que se consumen cada vez que se utilizan. Google demostró en Willow que su protocolo de filtrado reduce los errores en estos estados en aproximadamente 40 veces, logrando una fidelidad lógica del 99.99%.

La fidelidad lógica de "cinco nueves" de Quantinuum (octubre de 2026). La computadora Helios de Quantinuum tiene 5 errores por cada millón de operaciones (99.9995% de fidelidad lógica), aproximadamente 100 veces menos que la demostración de Google. Cada vez que se amplía la escala de codificación, los errores disminuyen 12 veces (λ = 12).

A pesar de que actualmente no existen computadoras cuánticas relacionadas con la criptografía (CRQC) y que esta tecnología aún enfrenta muchos desafíos de ingeniería, como la expansión física de los qubits cuánticos corregidos, ¿por qué estos titulares han llamado la atención de la comunidad de Bitcoin? ¿Cuál es la relación entre Bitcoin y las computadoras cuánticas? Vamos a explorarlo.

Descripción general de la computación cuántica

El núcleo de la computación cuántica son los qubits. A diferencia de los bits clásicos que almacenan valores de 0 o 1, los qubits presentan dos características únicas del mundo de la mecánica cuántica:

Superposición: un qubit puede almacenar simultáneamente un valor mixto de 0 y 1, y la medición colapsará estos valores en uno de ellos con una probabilidad ponderada.

Entrelazamiento: dos o más qubits pueden compartir un estado conjunto, y medir uno determinará el valor del otro, sin importar la distancia entre ellos.

Estas características permiten que las computadoras cuánticas exploren simultáneamente muchas respuestas candidatas, mientras que se contrarrestan las respuestas incorrectas. Sin embargo, los qubits físicos son muy frágiles y propensos a la decoherencia, es decir, la pérdida de información cuántica, que es la razón por la cual muchas hojas de ruta de las empresas hoy en día se centran en el número mínimo de qubits lógicos: los qubits lógicos son qubits corregidos construidos a partir de múltiples qubits físicos redundantes, lo que permite detectar y corregir errores, manteniendo así la fiabilidad del cálculo y la información.

Para encontrar la proporción mínima de qubits físicos a qubits lógicos, los laboratorios de computación cuántica investigan las arquitecturas de hardware más eficientes, que incluyen, pero no se limitan a:

Circuitos superconductores (Google, IBM): pequeños lazos de alambre enfriados a casi cero absoluto, donde el comportamiento de la corriente actúa como un qubit. Esta tecnología puede lograr tiempos de cálculo más rápidos, pero su desarrollo se expande lentamente.

Átomos neutros (Oratomic): átomos no cargados fijados por una matriz de láseres llamada "pinzas", cuyos electrones actúan como qubits. Esta tecnología se expande rápidamente, pero teóricamente el tiempo de cálculo es más lento.

Iones atrapados (Quantinuum, IonQ): átomos cargados controlados por láser en un campo electromagnético; en este caso, el estado base o excitado de los iones actúa como qubits. El cálculo es relativamente lento; la velocidad de expansión es moderada.

Fotónica (PsiQuantum, Xanadu): partículas de luz (fotones) que atraviesan chips y dispositivos ópticos; cada propiedad de un fotón actúa como un qubit. Puede lograr tiempos de cálculo más rápidos, pero la línea de tiempo de desarrollo parece ser más lenta.

La superficie de ataque cuántico de Bitcoin

Teóricamente, una computadora cuántica relacionada con la criptografía que ejecute el algoritmo de Shor podría romper el algoritmo de firma digital de curva elíptica de Bitcoin (ECDSA), que es el esquema de firma que mantiene la propiedad y los derechos de propiedad en la red, demostrando la propiedad de la clave privada a las contrapartes sin revelar dicha clave privada. Es importante destacar que la mayor parte de la teoría de juegos y principios económicos fundamentales de Bitcoin no pertenecen a esta superficie de ataque, como su consenso de transacciones, cronograma de emisión y límite de suministro.

Atacar la clave privada de Bitcoin presenta dos superficies de ataque para la red:

Exposición prolongada o ataque estático. Los tokens en direcciones reutilizadas o tipos de direcciones antiguas de menor seguridad (pagos a clave pública, P2PK) ya han expuesto la clave pública, y las computadoras cuánticas pueden aprovechar estas claves públicas para obtener la clave privada correspondiente. Hoy en día, la mayoría de las direcciones activas basadas en tipos de salida modernos, donde la clave pública permanece oculta antes del gasto, no son fácilmente vulnerables a este tipo de ataque. Sin embargo, Project Eleven estima que alrededor de 7,1 millones de BTC, aproximadamente el 35% del total, estarían en riesgo de robo si existiera hoy una computadora cuántica capaz. Aproximadamente tres cuartas partes de estos están almacenados en direcciones reutilizadas, la mayoría en grandes intercambios; si los intercambios trasladaran los fondos a direcciones de un solo uso y adoptaran mejores prácticas y estándares de custodia, el riesgo podría reducirse. Sin embargo, otros 1,8 millones de BTC se encuentran en direcciones P2PK y se presume que se han perdido, lo que podría hacer que su migración a direcciones seguras sea inviable. Las computadoras cuánticas, independientemente de su velocidad, podrían aprovechar estas claves públicas ya expuestas, una a una, para obtener las claves privadas que sostienen los fondos de los inversores.

Exposición breve o ataque en tránsito. Los tokens en la red de Bitcoin solo revelan su clave pública cuando se gastan, creando una ventana vulnerable de aproximadamente 10 minutos (o más precisamente, el tiempo entre la presentación de la transacción y su inclusión en un bloque). Una computadora cuántica lo suficientemente rápida podría aprovechar esta ventana para robar tokens en el transcurso de la transacción. Google estima que un dispositivo cuántico de reloj rápido y precalentado podría completar el cálculo para obtener la clave privada en tan solo 9 minutos, lo que significa que incluso los tokens que originalmente se almacenan en direcciones menos vulnerables enfrentarían el riesgo de robo durante una transacción típica.

Malentendidos que pueden exagerar la amenaza

"El hardware cuántico ya ha sido escalado y está listo." Actualmente, el sistema que mejor se ha demostrado, el de Quantinuum, ha producido 48 qubits lógicos corregidos. Se requieren al menos alrededor de 1,200 qubits para romper la curva elíptica de Bitcoin.

"Las demostraciones cuánticas han probado la computación cuántica relacionada con la criptografía." No lo han hecho. Willow demostró almacenamiento corregido, no computación corregida a gran escala. Los documentos de Google, Oratomic e IonQ de 2026 son planos, no máquinas en funcionamiento. La baja operación de error entre muchos qubits lógicos sigue siendo un cuello de botella por resolver.

"Todo Bitcoin enfrentará el robo de inmediato." La mayoría de los Bitcoin en estado estático no son vulnerables, ya que la clave pública permanece oculta detrás de un hash antes de ser gastada. La mayor causa de exposición única, la reutilización de direcciones, ahora puede resolverse rotando a nuevas direcciones no gastadas. Incluso si un ataque ocurriera hoy, sería cada intento dirigido a una sola clave privada, no un ataque a todo el suministro vulnerable de una vez.

Malentendidos que pueden subestimar la amenaza

"Las optimizaciones del algoritmo de Shor son irrelevantes." En marzo, Google comprimió teóricamente la cantidad de qubits lógicos necesarios para romper el ECDSA de Bitcoin en aproximadamente 20 veces, y señaló que la atención de optimización sobre la curva elíptica es mucho menor que la del sistema de criptografía RSA (Rivest-Shamir-Adleman), lo que significa que aún hay más espacio para optimizaciones. Un ejemplo es que el proyecto ECDSA.fail ha optimizado aún más el circuito de Google en casi un 70%.

"Eso es algo que sucederá en décadas, ¿por qué preocuparse?" Encuestas recientes entre expertos estiman que hay aproximadamente un 50% de probabilidad de que una máquina capaz aparezca entre 2030 y 2035, y los gobiernos tienen como objetivo completar la migración post-cuántica a principios o mediados de la década de 2030. Google y Cloudflare han establecido plazos internos para 2029. Cabe señalar que estos plazos son más urgentes para que los gobiernos o empresas prevengan ataques de "cosecha primero, descifrado después", que implican información privada que aún puede ser relevante en el futuro. Dado que Bitcoin puede defenderse mediante la migración de participantes a direcciones ocultas de clave pública, estos plazos pueden considerarse mejores prácticas para la red, en lugar de plazos inevitables.

"Lo veremos llegar antes." Las rupturas pueden mantenerse en secreto o ser consideradas confidenciales por naciones, y los robos tempranos pueden parecer ocurrencias aisladas, difíciles de distinguir de los giros de custodia normales o transacciones de pago.

Lo que se está haciendo hoy

Los actuales poseedores de Bitcoin, incluidos intercambios, instituciones e inversores, ya están discutiendo activamente soluciones para prevenir amenazas cuánticas, con prioridades que pueden ser las siguientes:

Mover el suministro vulnerable de direcciones reutilizadas a direcciones no gastadas. Este es el asunto más fácil de implementar, que no requiere consenso de red ni bifurcaciones suaves; depende completamente de los grandes intercambios y custodios, así como de los inversores que utilizan la auto-custodia, adoptando mejores prácticas de seguridad, como rotar las salidas de cambio y evitar a toda costa la reutilización de direcciones.

Diseñar esquemas de firma post-cuántica. Hasta ahora, la propuesta líder capaz de implementar gastos resistentes a cuánticos en Bitcoin es SHRINCS de Blockstream (abreviatura de "Shrunken SPHINCS"). Se basa en SHA-256 y puede procesar hasta 3 transacciones por segundo, mientras que el estándar SPHINCS+ del Instituto Nacional de Estándares y Tecnología (NIST) solo puede procesar 0.36 transacciones. Blockstream probó este esquema en la Liquid Network en marzo de 2026 y publicó una propuesta de mejora de Bitcoin (BIP) en agosto con otros colaboradores. La prueba formal de seguridad aún está pendiente, y el despliegue en toda la red requerirá una bifurcación suave.

Llegar a un consenso sobre cómo manejar los tokens P2PK vulnerables, pero que probablemente ya se han perdido en Bitcoin. Este podría ser el tema más controvertido a medida que Bitcoin enfrente amenazas cuánticas en los próximos años. Aproximadamente 1.7 millones de BTC están almacenados en alrededor de 20,000 direcciones P2PK, que incluyen aproximadamente 1.1 millones que se estima pertenecen a Satoshi Nakamoto. Según Presidio Bitcoin, las opciones más destacadas en discusión actualmente son: mantener los gastos antiguos válidos (permitiendo que los atacantes cuánticos "roben"); ralentizar los gastos antiguos (limitando la velocidad de movimiento de los tokens vulnerables, o "limitando"); y congelar los tokens y proporcionar una ruta de recuperación (deshabilitando todos los gastos antiguos de Bitcoin, pero permitiendo que los propietarios recuperen los tokens a través de pruebas de conocimiento cero de su frase semilla, es decir, "congelación suave"). Para una lectura más amplia sobre este importante tema, Presidio Bitcoin lo explica y actualiza aquí.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.