Квантовые компьютеры ещё не взломали Bitcoin, но 7,1 млн монет BTC уже подвергаются потенциальному риску: как защититься?

Автор: Bitcoin Security Consortium

Подготовил: TechFlow

Введение от TechFlow: В последние годы с выходом чипа Google Willow и публикацией ряда исследований по оптимизации алгоритма Шора вопрос о том, угрожают ли квантовые вычисления безопасности биткоина, вновь стал предметом дискуссий. Bitcoin Security Consortium совместно с Presidio Bitcoin опубликовал данный отчет, в котором систематизирует технические достижения и границы рисков.

Отчет указывает, что до создания квантового компьютера, способного на криптографический взлом, все еще существует огромный аппаратный разрыв, однако механизм подписей биткоина действительно сталкивается с двумя основными векторами атак: «статическая экспозиция» и «атака на лету» (in-flight). В статье разбираются распространенные заблуждения относительно переоценки и недооценки угроз, а также предлагаются пути решения через перемещение средств со старых адресов, внедрение постквантовой подписи SHRINCS и обработку устаревших монет с адресов P2PK.

Данная статья представляет собой совместный отчет Bitcoin Security Consortium и Presidio Bitcoin.

Ключевые тезисы (TL;DR)

· Последние достижения квантовых вычислений реальны, но носят постепенный характер: Чип Google Willow и недавние результаты оптимизации алгоритма Шора вызвали обеспокоенность на рынке, однако криптографически значимый квантовый компьютер (CRQC) пока не создан.

· Квантовые риски для биткоина ограничиваются лишь механизмом подписи, который manifests в двух формах атак: статические атаки (at-rest) на уязвимые оставшиеся монеты и атаки на лету (in-flight) на транзакции в мемпуле.

· Механизмы противодействия уже определены, и сообщество активно продвигает их внедрение: это включает вывод средств с повторно используемых адресов, разработку постквантовых схем подписи, а также достижение консенсуса в сети по поводу монет на адресах P2PK, которые, вероятно, утеряны.

Возродились ли квантовые вычисления?

После многолетнего периода, казавшегося застоем, в области квантовых вычислений в последние годы появилось множество научных статей и сообщений в СМИ, утверждающих о технологических прорывах, что породило среди инвесторов опасения относительно безопасности биткоина. К числу таких репрезентативных достижений относятся:

· Чип Google Willow (декабрь 2024 г.): Первые эксперименты доказали, что при увеличении количества физических кубитов (physical qubit) для защиты одного «логического» кубита (logical qubit), прошедшего коррекцию ошибок, надежность этого логического кубита повышается, а не снижается.

· Оптимизация алгоритма Шора командой Google Quantum AI, Oratomic/Caltech и ECDSA.fail (2026 год): Команда Google Quantum AI совместно с Ethereum Foundation и Стэнфордским университетом сократила размер схемы алгоритма Шора для взлома эллиптической кривой биткоина примерно в 20 раз.

Команды Oratomic и Калифорнийского технологического института (Caltech) также заявляют, что их оптимизированный алгоритм Шора способен взломать один закрытый ключ биткоина за несколько дней. В последующие месяцы проект рейтинга ECDSA.fail, запущенный Eigen Labs, объединил исследователей и ИИ-агентов, что позволило дополнительно сократить размер схемы Google почти на 70%.

· Конечная оптимизация алгоритма Шора от IonQ (сентябрь 2026 г.): Опубликован полный компилируемый план выполнения, учитывающий как программное, так и аппаратное обеспечение. Теоретически каждая попытка требует около 26 дней для нахождения одного закрытого ключа, с вероятностью успешного завершения 63,3% за одну попытку.

· Технология выращивания «волшебных состояний» от Google (октябрь 2026 г.): Квантовые вычисления зависят от ресурсного состояния «волшебных состояний» (magic states), которое расходуется при каждом использовании и дорого обходится при подготовке. Google продемонстрировал на Willow, что его протокол фильтрации может снизить уровень ошибок в таких состояниях примерно в 40 раз, достигнув логической верности (fidelity) 99,99%.

· «Пять девяток» логической верности от Quantinuum (октябрь 2026 г.): Его компьютер Helios допускает всего 5 ошибок на миллион операций (логическая верность достигает 99,9995%), что примерно в 100 раз ниже уровня ошибок в демонстрации Google, причем коды коррекции ошибок снижают их на порядок в 12 раз (λ = 12) при каждой следующей масштабировке.

Несмотря на то, что криптографически значимых квантовых компьютеров (CRQC) пока не существует, и технология все еще сталкивается со многими инженерными проблемами, такими как масштабирование физических исправляющих ошибки кубитов, почему эти сообщения вызывают высокую бдительность в сообществе биткоина? Какова именно связь между биткоином и квантовыми компьютерами? Рассмотрим этот вопрос подробнее.

Краткий обзор принципов квантовых вычислений

В основе квантовых вычислений лежит кубит (qubit). В отличие от классического бита, который может находиться только в одном из двух состояний — 0 или 1, кубит обладает двумя уникальными свойствами квантового мира:

· Суперпозиция (Superposition): Один кубит может одновременно находиться в смешанном состоянии 0 и 1, а при измерении коллапсирует в одно определенное значение согласно взвешенным вероятностям.

· Квантовая запутанность (Entanglement): Два или более кубита могут разделять общее состояние, и независимо от расстояния между ними измерение одного мгновенно определяет значение другого.

Благодаря этим свойствам квантовые компьютеры способны одновременно исследовать множество кандидатов-ответов и взаимно нейтрализовать ошибочные варианты. Однако физические кубиты крайне хрупки и подвержены декогеренции (decoherence), то есть потере квантовой информации.

Именно поэтому многие компании в сфере квантовых вычислений установили целью на своих дорожных картах достижение минимально необходимого порога количества логических кубитов (logical qubits). Такие кубиты создаются из множества избыточных физических кубитов с использованием корректирующих кодов, что позволяет обнаруживать и исправлять ошибки, обеспечивая надежность вычислений и данных.

Чтобы найти оптимальное соотношение физических и логических кубитов, различные квантовые лаборатории изучают наиболее эффективные архитектуры аппаратного обеспечения, которые в первую очередь включают четыре следующих направления:

· Сверхпроводящие цепи (Google, IBM): Микропетли проводников охлаждаются до температур, близких к абсолютному нулю, позволяя току вести себя как единый кубит. Эта технология обеспечивает быструю вычислительную скорость, но ее масштабирование идет относительно медленно.

· Нейтральные атомы (Oratomic): С помощью лазерных массивов, называемых «оптическими пинцетами», захватываются нейтральные атомы, а их электроны используются в качестве кубитов. Данная технология масштабируется быстрее, но теоретически требует больше времени для вычислений.

· Ионные ловушки (Quantinuum, IonQ): Заряженные атомы (ионы) управляются лазерами в электромагнитном поле, а их энергия основного или возбужденного состояния используется в качестве кубита. Это направление отличается относительно низкой скоростью вычислений и средними темпами масштабирования.

· Фотонные системы (PsiQuantum, Xanadu): Фотоны пропускаются через чипы и оптические компоненты, где физические свойства каждого фотона выступают в роли кубита. Хотя это направление отличается высокой скоростью вычислений, текущий цикл разработки и внедрения технологий остается длительным.

Векторы квантовых атак на биткоин

Теоретически, квантовый компьютер криптографического уровня, работающий с алгоритмом Шора, способен взломать алгоритм цифровой подписи на эллиптических кривых (ECDSA) биткоина. Этот механизм подписи регулирует право собственности и имущественные права в сети, позволяя доказать принадлежность закрытого ключа контрагенту без его раскрытия.

Важно подчеркнуть, что подавляющее большинство базовых гейм-теоретических и экономических правил биткоина не попадают в эту поверхность атак. Например, механизмы консенсуса транзакций, график эмиссии и ограничение общей эмиссии остаются неизменными.

Квантовые атаки на закрытые ключи биткоина создают для сети две основные поверхности атак:

· Долговременная экспозиция (статические атаки): Биткоины, хранящиеся на адресах, которые неоднократно использовались, или на адресах с изначально слабой безопасностью (например, адреса платежей P2PK), имеют открытые публичные ключи. Квантовый компьютер может использовать их для вывода соответствующих закрытых ключей.

Большинство активных адресов сегодня используют современные типы выходов, скрывающие публичный ключ до момента траты средств, поэтому они не подвержены данному виду атак. Тем не менее, проект Project Eleven оценивает, что если квантовый компьютер с достаточной вычислительной мощностью появится сегодня, под угрозой кражи окажутся около 7,1 млн BTC (примерно 35% от общего предложения).

Около трех четвертей этих монет находятся на повторно используемых адресах, преимущественно принадлежащих крупным биржам; перевод средств на одноразовые адреса и внедрение более строгих стандартов кастодиального обслуживания могут значительно снизить риски. Еще около 1,8 млн BTC спят на адресах P2PK, которые, скорее всего, потеряны, и их активный перевод на безопасные адреса практически невозможен.

Как быстрые, так и медленные квантовые компьютеры могут использовать эти раскрытые публичные ключи для пошагового восстановления закрытых ключей, контролирующих средства инвесторов.

· Кратковременная экспозиция (атаки на лету): Средства в сети биткоина обычно раскрывают свой публичный ключ только в момент траты, создавая уязвимое окно продолжительностью около 10 минут (точнее — временной интервал от подачи транзакции до включения ее в блок).

Квантовый компьютер с достаточной скоростью может воспользоваться этим окном для перехвата средств в процессе транзакции. По оценкам Google, подготовленное квантовое устройство с высокой тактовой частотой способно вычислить один закрытый ключ за 9 минут. Это означает, что даже биткоины, первоначально хранящиеся на безопасных адресах, могут быть украдены путем опережающей транзакции (front-running) при инициировании обычного перевода.

Распространенные заблуждения о переоценке угрозы

· «Квантовое оборудование уже прошло процесс масштабирования и готово к использованию.» Наиболее мощная система, демонстрировавшаяся публично, принадлежит Quantinuum и производит лишь 48 логических кубитов с коррекцией ошибок; для взлома эллиптической кривой биткоина требуется не менее 1 200 таких кубитов.

· «Последние квантовые демонстрации уже доказали наличие способности к криптографически значимым квантовым вычислениям.» Это не соответствует действительности. Чип Willow подтверждает наличие квантовой памяти с возможностью коррекции ошибок, а не крупномасштабные вычисления с коррекцией ошибок.

Статьи, опубликованные Google, Oratomic и IonQ в 2026 году, представляют собой исключительно теоретические проектные чертежи, а не действующие физические устройства. Достижение низкого уровня ошибок при вычислениях с участием множества логических кубитов по-прежнему остается нерешенной задачей.

· «Все биткоины будут немедленно украдены.» Большинство биткоинов, хранящихся в состоянии покоя, не являются уязвимыми, поскольку публичный ключ находится под защитой хэш-значения до момента траты. Главный источник риска — «повторное использование адресов» — сегодня решается простым переходом на неиспользованные новые адреса.

Даже если атака произойдет сегодня, злоумышленник сможет атаковать только один закрытый ключ за каждую попытку, и невозможно единовременное опустошение всей уязвимой части обращения.

Распространенные заблуждения о недооценке угрозы

· «Оптимизация алгоритма Шора — это лишь незначительный шум в медиа.» В марте этого года Google сократила теоретическое количество логических кубитов, необходимых для взлома ECDSA биткоина, примерно в 20 раз, отметив, что алгоритмам на эллиптических кривых ранее уделялось значительно меньше внимания в плане оптимизации, чем криптосистеме RSA (Rivest–Shamir–Adleman). Это означает, что потенциал дальнейшего сокращения остается весьма значительным.

Реальность подтверждает это: проект ECDSA.fail впоследствии оптимизировал схему Google, дополнительно сократив ее размер почти на 70%.

· «Угроза квантовых вычислений наступит лишь через десятилетия, зачем сейчас беспокоиться?» Согласно недавнему опросу экспертов, вероятность появления квантовых машин, способных на взлом, в период с 2030 по 2035 год составляет около 50%. Правительства различных стран устанавливают целевые сроки перехода после квантовой миграции в начале – середине 2030-х годов, тогда как Google и Cloudflare устанавливают внутренние дедлайны до 2029 года.

Следует отметить, что государства и предприятия устанавливают эти графики в основном для предотвращения атак «собери сейчас, расшифруй позже» (harvest now, decrypt later), направленных на защиту конфиденциальных данных, которые сохранят свою чувствительную ценность в будущем.

Поскольку участники сети биткоина могут защитить себя путем перевода средств на новые адреса со скрытым публичным ключом, подобные сроки следует воспринимать скорее как рекомендации по «лучшей практике» для сети, а не как неизбежные триггеры кризиса.

· «Мы обязательно своевременно заметим надвигающийся квантовый прорыв.» Технологические достижения могут находиться в секрете или быть засекречены суверенными государствами. Ранние акты квантового хищения могут происходить точечно, и внешне их крайне сложно отличить от стандартных процессов реорганизации фондов кустодиальными организациями или обычных платежных переводов.

Какие действия предпринимает индустрия в настоящее время?

Сегодня участники экосистемы биткоина, включая биржи, институциональных инвесторов и частных лиц, начали заранее противостоять квантовым угрозам и активно обсуждают и продвигают решения примерно в следующем порядке приоритетов:

· Перевод уязвимых средств с повторно используемых адресов на неиспользованные: Это самый простой шаг («низко висящие фрукты»), не требующий достижения консенсуса по всей сети или внедрения программного форка (soft fork).

Данная мера полностью зависит от применения крупными биржами, кустодиальными организациями и инвесторами с самосторождением современных практик безопасности, таких как ротация изменений (change outputs) и стремление избежать повторного использования одного и того же адреса.

· Разработка постквантовых схем подписи: Наиболее представительной схемой постквантовых платежей биткоина является предложенная Blockstream схема SHRINCS (сокращение от «Shrunken SPHINCS»), созданная на базе SHA-256.

SHRINCS способен обрабатывать до 3 транзакций в секунду, тогда как стандарт SPHINCS+ Национального института стандартов и технологий США (NIST) рассчитан лишь на 0,36 транзакции в секунду. Компания Blockstream уже тестировала эту схему в сети Liquid в марте 2026 года, а в августе вместе с участниками сообщества опубликовала предложение по улучшению биткоина (BIP).

На данный момент официальное доказательство безопасности данной схемы продолжает работу, а ее развертывание в масштабах всей сети потребует проведения программного форка (soft fork).

· Достижение консенсуса по вопросу обработки биткоинов на адресах P2PK, которые уязвимы и, вероятно, утрачены: Возможно, это самая спорная тема при реагировании биткоина на квантовые угрозы в ближайшие годы. В настоящее время около 20 тысяч адресов P2PK содержат примерно 1,7 млн BTC, из которых, по оценкам, 1,1 млн принадлежат Сатоши Накамото.

Согласно анализу Presidio Bitcoin, на сегодняшний день в дискуссионном поле выделяют три основных подхода: первый — сохранение валидности расходов по старым транзакциям (фактически разрешение «кражи» квантовым злоумышленникам); второй — ограничение скорости вывода средств со старых адресов (принудительное «замедление движения» уязвимых средств).

Третий подход — замораживание с возможным возвратом, то есть полная блокировка всех расходов по старому стандарту, но разрешением первоначальным владельцам reclaimнуть средства посредством доказательства с нулевым разглашением на основе мнемонической фразы («мягкая блокировка»).`

Если вы хотите глубже изучить данную критически важную тему, ознакомьтесь с постоянно обновляемым базовым руководством от Presidio Bitcoin (перейти к исходным материалам).

Отказ от ответственности: Данный материал предназначен исключительно для информационных и образовательных целей и не должен служить основой для каких-либо инвестиционных решений. Упоминания компаний, ценных бумаг или криптовалют в тексте отражают личные взгляды авторов и не являются рекомендациями к одобрению, покупке или продаже активов.

Часть информации в данном материале может представлять собой прогнозы или заявления будущего характера, основанные на текущих мнениях и допущениях авторов. Из-за известных и неизвестных рисков и неопределенностей фактические результаты могут существенно отличаться от представленных данных.

Некоторые сведения взяты из источников, которые считаются надежными, однако мы не гарантируем точность или полноту информации, полученной от третьих сторон.

Помимо упомянутых в статье рисков, биткоин подвержен резким колебаниям цены, манипуляциям на рынке, потенциальной потере средств в результате киберпреступлений и ограничению ликвидности во время рыночных стрессов.

Несмотря на то, что рост институционального участия и совершенствование регулирования стимулируют развитие рынка биткоина, его стоимость все равно зависит от рыночной конъюнктуры, изменения спроса и предложения, а также регуляторной динамики, что исключает гарантию сохранения стоимости в долгосрочной перспективе.