Справді не можна бути занадто оптимістичним? Два документи з квантових обчислень в один день знизили бар'єр беззбитковості біткоїна на два порядки величини

Вдень 31 березня, btc-42">Біткоїн змінив свій ранковий тренд на зростання, прискорившись нижче позначки $67,000, а індекс страху та жадібності на ринку знизився до 28. Широко розповсюджене зображення в соціальних мережах показало, що фізична квантова бітова вимога для зламу приватного ключа біткоїна приватного ключа за допомогою квантового комп'ютера знизилася з мільйонного рівня до тисячного. Дослідник з Google Quantum AI випустив попередження, що квантова атака може перехопити трансакцію біткоїна, що транслюється, за 9 хвилин, з приблизно 41% шансом завершити крадіжку до підтвердження. Приблизно 6.9 мільйонів біткоїнів з відкритими публічними ключами в даний час тихо лежать на ланцюгу, чекаючи, поки обчислювальна потужність наздожене теорію.

Причиною цієї паніки стали два документи, опубліковані майже одночасно напередодні. Один з них надійшов від команди Google Quantum AI, а інший - від компанії з квантових обчислень на основі нейтральних атомів Oratomic. Кожен з них був значним досягненням у своїй відповідній галузі. Однак, коли їх розглядати разом, вони націлювалися на різні рівні квантового обчислювального стеку, що призвело до прямого множинного ефекту.

Основний дослідник Ethereum Джастін Дрейк назвав це "днем віхи для квантових обчислень та криптографії" у твітті. Він був залучений до документа команди Google, який покращив алгоритм Шора, найвідоміший алгоритм квантової атаки у світі криптографії, спеціально розроблений для зламу RSA та шифрування на основі еліптичних кривих. Алгоритм підпису secp256k1, що використовується біткоїном та Ethereum, належить до криптографії на основі еліптичних кривих.

Чому це було справді лякаюче, коли два документи були об'єднані? Тому що загальна фізична квантова бітова вимога для зламу підпису на основі еліптичних кривих = кількість логічних квантових бітів (скільки "чистих" обчислювальних одиниць потрібно на алгоритмічному рівні) × кількість фізичних бітів, необхідних на логічний біт (скільки "надмірного" обладнання потрібно на рівні корекції помилок для підтримки чистої одиниці). Документ Google стиснув перше, тоді як документ Oratomic стиснув друге. Оскільки як чисельник, так і знаменник зменшуються, добуток різко падає.

Згідно з документом, включеним до EUROCRYPT 2026, кількість логічних квантових бітів, необхідних для зламу 256-бітної еліптичної кривої, знизилася з 2,330 у 2017 році (згідно з базовим документом Реттелера та ін.) до 2,124 у 2020 році (згідно з покращенням Ханера та ін.), і далі до 1,098 у березні 2026 року. Протягом дев'яти років алгоритмічні вимоги були зменшені більш ніж на половину. Стаття команди Google пішла далі, оптимізуючи для кривої secp256k1, що використовується Bitcoin та Ethereum, зменшуючи необхідні логічні біти до приблизно 1,000, з глибиною схеми лише близько 100 мільйонів воріт Тоффолі (як описано Джастіном Дрейком, посилаючись на CryptoBriefing), що означає близько 1,000 секунд часу виконання алгоритму Шора на надпровідниковій платформі.

Тим часом, згідно з даними статті Oratomic, на якій посилаються в твіті, підхід з нейтральними атомами зменшує кількість фізичних кубітів, необхідних на логічний кубіт, з приблизно 400 у традиційних поверхневих кодах до близько 10. Принцип цього прориву абсолютно відрізняється від принципу Google. Google оптимізував ефективність самого алгоритму, тоді як Oratomic оптимізував накладні витрати на виправлення помилок базового апаратного забезпечення. Обидва покращення можуть бути об'єднані.

Добуток цих двох чисел: оцінка в 2017 році становила близько 7 мільйонів фізичних квантових біт, а оцінка дорожньої карти нейтрального атома дорожня карта у березні 2026 року становить близько 10,000. Загальний попит зменшився з мільйонів до тисяч, зменшення більш ніж на два порядки величини.

Цей ефект множення спровокував два абсолютно різні шляхи атаки.

Згідно з оцінками, зібраними в статті, дорожня карта надпровідників (дослідження Google) вимагає близько 500,000 фізичних квантових біт, працюючи близько 9 хвилин для зламу приватного ключа, достатньо швидко, щоб перехопити транзакції в реальному часі. Дорожня карта нейтрального атома (дослідження Oratomic) потребує лише близько 10,000 фізичних квантових біт, але час виконання розширюється до близько 10 днів. Це не є проблемою, оскільки його цільова атака спрямована на сплячі гаманці з відкритими публічними ключами, а не на чутливі до часу.

Як зрозуміти цю різницю? Нинішній найпотужніший процесор Willow від Google має 105 надпровідникових квантових біт (згідно зі специфікаціями Google Quantum AI), все ще приблизно в 4,762 рази далі від порогу в 500,000. Однак система обчислень з виправленням помилок у сфері нейтральних атомів вже досягла близько 500 кубітів, лише приблизно в 20 разів далі від порогу в 10,000. Якщо ми подивимося на фізичний масштаб масиву, а не на здатність до виправлення помилок, лабораторія вже затримала понад 6,100 атомів, ще більше звузивши розрив до менш ніж 2 разів.

20 разів і 4,762 рази - це два абсолютно різні порядки величини. Дорожня карта нейтрального атома ближча, ніж більшість людей уявляє.

Що стосується Bitcoin, ситуація далека від готовності до цієї зміни.

Згідно з спільним звітом Ark Invest та Unchained, близько 7 мільйонів Bitcoin (приблизно 33% від загального постачання) підлягають квантовому ризику, вартість яких становить близько 440 до 480 мільярдів доларів. Ці вразливі адреси поділяються на три категорії. Приблизно 1,7 мільйона знаходяться в ранніх P2PK адресах, з публічними ключами, безпосередньо відкритими в ланцюгу, і більшість з них були втрачені, і ніхто не може здійснити міграцію. Приблизно 1,1 мільйона належать Сатоші Накамото, розподілені серед близько 22 000 адрес, особи власників невідомі. Залишкові приблизно 4,2 мільйона знаходяться в повторному використанні адрес або P2TR адресах, де публічні ключі також були відкриті, але теоретично власники можуть проактивно перемістити їх до безпечних адрес.

Іншими словами, близько 2,8 мільйона біткоїнів (40% крихкого загального обсягу) не підлягають збереженню. Їхні приватні ключі або втрачені, або власники ніколи не з'являться. Це не проблема, яку можна вирішити технологією, а питання управління, чи повинна спільнота заморозити ці неминуче скомпрометовані адреси. Згідно з лютневим звітом CoinDesk, спільнота біткоїнів активно обговорює, чи слід заморожувати 1,1 мільйона BTC Сатоші, але до цього часу консенсусу не досягнуто.

Навіть для теоретично рухомих 4,2 мільйона біткоїнів, міграція не є автоматичною. Власники повинні проактивно перемістити активи з старих адрес на адреси, що використовують нову схему підпису, і історичний досвід показує, що велика кількість власників не вживає заходів до терміну.

Стикаючись з тією ж загрозою, стратегії реагування трьох основних блокчейнів значно розійшлися.

Згідно з pq.ethereum.org, запущеним Фондом Ethereum 25 березня 2026 року, Ethereum готувався протягом 8 років, маючи повну багатоступеневу дорожню карту: заміна поточної схеми підпису BLS на підписи leanXMSS, з метою завершення оновлення L1 протоколу до 2029 року. Більше 10 команд клієнтів проводять щотижневі тести на сумісність пост-квантової розробки, і користувачі можуть поступово мігрувати через абстракцію облікових записів без необхідності в жорсткому форку. Сам Google встановив термін 2029 року для завершення своєї внутрішньої пост-квантової міграції (згідно з Google Security Blog), що збігається з графіком Ethereum.

Solana має експериментальний підхід. Сховище Winternitz, запропоноване Діном Літлом, головним науковцем Zeus Network, на GitHub у грудні 2025 року, використовує механізм страхового сховища на основі хешу. Однак це є необов'язковим рішенням, що вимагає від користувачів проактивно приєднуватися, і немає офіційного графіка.

Біткоїн стикається з найсерйознішою ситуацією. Немає координованого плану, немає фінансування на рівні фонду і немає графіка. Модель управління біткоїном вимагає децентралізованого консенсусу спільноти для впровадження змін у протоколі, і ця спільнота історично відома своєю повільністю. Згідно з доповіддю Глобального інституту ризиків про Хронологію квантових загроз 2026 року, квантові обчислення, що стосуються криптографії, "досить ймовірно" з'являться протягом 10 років і "дуже ймовірно" протягом 15 років. Якщо ціль Ethereum на 2029 рік просуватиметься за планом, міграція буде завершена до закриття вікна. Біткойн все ще перебуває на ранніх стадіях обговорення.

Два документи, опубліковані в один день, надали конкретні цифри до давно теоретичної загрози: 10,000 фізичних квантових бітів, 10 днів, приватний ключ сплячого гаманця.

Однак слід підкреслити, що це все ще значне зниження теоретичного порогу, а не неминуча одноразова атака. Сучасні системи нейтральних атомів все ще приблизно на порядок величини від 10,000 стійких до помилок кубітів, а надпровідниковий шлях відстає на кілька порядків величини. Вікно часу від 10 до 15 років все ще існує, надаючи спільноті Біткойн шанс на боротьбу. Біткойн витримав минулі тести управління, такі як війна розміру блоку та активація SegWit, які були дуже спірними, зрештою конвергуючи під тиском. Природа квантної загрози відрізняється від суперечки щодо управління; вона не пов'язана з конфліктуючими інтересами, а є спільним ризиком, що стоїть перед усією мережею. Це, насправді, може слугувати зовнішньою силою, що спонукає до прискорених дій у спільноті Біткойн.

Справжнє питання полягає не в тому, чи можуть квантові обчислення зламати Біткойн, а в тому, чи може спільнота Біткойн підготуватися вчасно, перш ніж вікно закриється.