// Contingut
62 minuts i 29.588 qubits. Aquest és el preu que la companyia quàntica francesa Alice & Bob posa a desxifrar la clau d’una cartera de bitcoins, segons una estimació de recursos publicada a l’arxiu de preprints dels criptògrafs el 28 d’octubre del 2026. A la primavera, la xifra de Google era de mig milió de qubits. Fa quatre anys, els investigadors parlaven de centenars de milions. Encara ningú no té una màquina capaç de fer-ho.
Però ja és clar quines monedes cauran primer: més de 6 milions de bitcoins són a adreces on la clau que necessita un lladre està exposada a la vista de tothom. Sovint no té res a veure amb el propietari: segons el recompte de Glassnode, Robinhood té les claus exposades per al 100 % dels bitcoins dels seus clients, i Coinbase per al 10 %. Res d’això condemna el bitcoin. Però tampoc no és per prendre-s’ho a la lleugera.
Un sobre que s’obre quan pagues
?Com robaria bitcoins un ordinador quàntic?
Una cartera té una clau privada, un nombre de 256 bits, i una clau pública calculada a partir d’ella. Anar endavant és instantani; anar enrere és inabastable per a qualsevol ordinador corrent. L’algorisme de Shor, un mètode quàntic per a problemes com aquest, fa viable el camí de tornada. Una adreça de bitcoin és l’empremta de la clau pública, i mentre no se’n gasten monedes, la clau mateixa queda amagada, com una carta dins d’un sobre tancat. Pagar esquinça el sobre: la clau pública passa a la transacció, on tothom la pot veure.
?Per què importa això si la clau només és visible durant uns minuts?
Hi ha dues maneres d’atacar. La primera és una cursa: un lladre detecta una transacció nova, calcula la clau privada i difon una transacció rival mentre l’original espera confirmació. Un bloc nou de bitcoin arriba aproximadament cada 10 minuts. Per a aquesta cursa, 62 minuts és massa lent, però els nou minuts de l’estimació de primavera de Google són prou ràpids: CoinDesk va xifrar en aproximadament un 41 % la probabilitat que el lladre guanyi. La segona és més simple i més inquietant. Algunes monedes ja tenen la clau pública escrita a la cadena de blocs, i amb aquestes no hi ha cap pressa.
El gat que no deixa caure la moneda
?Què va calcular exactament Alice & Bob?
Ningú no va desxifrar res. Els deu autors de l’article van agafar l’algorisme de Shor i el van descompondre en operacions individuals per a una màquina que l’empresa espera construir. El resultat és una llista de materials: quants components calen i durant quant de temps. Per a la secp256k1, la corba el·líptica que hi ha darrere de les claus de bitcoin, en van sortir com a màxim 30.000 qubits i una hora aproximadament. Per a RSA-2048, un estàndard de xifratge molt estès, la factura és d’uns 23.000 qubits i 3,14 dies.
?Per què s'anomenen qubits de gat?
Dit de manera senzilla, un qubit corrent és com una moneda que gira. Pot caure del cantó equivocat: un canvi de bit, de 0 a 1. O pot trontollar i perdre el gir, el segon tipus d’error, anomenat pèrdua de fase. Les màquines basades en qubits superconductors corrents s’han de protegir de tots dos alhora, i això surt car: en el model de Google, un qubit «lògic» fiable en requereix uns 400 de físics. Alice & Bob guarda la informació en un camp de microones atrapat dins d’un ressonador minúscul. Els físics anomenen «estat de gat» el seu estat, en referència al pensament de Schrödinger: el camp es troba alhora en dos estats oposats, com el gat és viu i mort a la vegada, i aquests dos estats fan de 0 i d'1. Aquesta moneda gairebé mai no cau del cantó equivocat, de manera que només cal vigilar el gir, i la màquina se’n surt amb molts menys components.
?On és la trampa?
CoinDesk va calcular que això és 17 vegades més barat que l’estimació de Google, però aquesta comparació posa els qubits corrents de Google al costat dels components molt més elaborats d’Alice & Bob. Una trampa més gran s’amaga en els supòsits. El disseny principal de l’article necessita un qubit de gat que canviï de bit pel seu compte només un cop cada segle aproximadament. El millor resultat de l’empresa, anunciat el setembre del 2025, va ser de 33 a 60 minuts, i fins i tot aquest és preliminar. Un segle davant d’una hora: una distància d’aproximadament un milió de vegades. Els autors ofereixen una alternativa amb una capa addicional de protecció contra errors. Amb ella, n’hi ha prou amb un qubit que aguanti una hora més o menys, però la màquina necessita gairebé el doble de components. Aquesta xifra només apareix a l’article per a RSA, 45.000 en lloc de 23.000; per a una clau de bitcoin no hi ha cap número equivalent.
De centenars de milions a trenta mil
El més sorprenent de la història és la rapidesa amb què continuen caient les estimacions. Res d’això no ha vingut d’un maquinari nou. Matemàtics i enginyers han reduït la factura trobant maneres cada cop més eficients de plantejar el mateix problema.
// Cronologia
- El matemàtic Peter Shor descriu un algorisme quàntic que factoritza nombres ràpidament i resol el problema del logaritme discret. RSA i les signatures de corba el·líptica es basen en aquests dos problemes.
- Un equip de la Universitat de Sussex calcula els qubits necessaris per desxifrar una clau de bitcoin en minuts o hores: de 30 a 300 milions.
- El físic Élie Gouzien i els seus coautors, entre ells investigadors d’Alice & Bob, arriben a 126.133 qubits de gat i 9 hores.
- Google Quantum AI, amb investigadors de la Fundació Ethereum i de Stanford: menys de 500.000 qubits corrents i qüestió de minuts.
- Alice & Bob: com a màxim 30.000 qubits de gat i aproximadament una hora.
Gouzien també és autor del nou article. En tres anys, l’equip ha reduït la seva pròpia estimació a una quarta part en qubits i a una novena part en temps.
El maquinari explica una història més modesta. Willow, el xip que Google va presentar el desembre del 2024, té 105 qubits. Segons el model de la mateixa Google, un atac en necessita fins a 500.000 d’aquests mateixos qubits, gairebé cinc mil vegades més. La pròpia fulla de ruta d’Alice & Bob aspira a un xip de 100 qubits lògics l’any 2030, i això continua sent un objectiu, no un producte. Dahmun Goudarzi, criptoanalista sènior de l’empresa, espera que les dues corbes, la del maquinari que creix i la dels requisits que baixen, es creuïn a principis de la dècada del 2030. Al seu parer, traslladar el bitcoin a una protecció nova no pot esperar: «esdevé de màxima importància que la migració comenci ara», va dir Goudarzi a CoinDesk.
Congelar les monedes d’un altre o lliurar-les a un lladre
No falten monedes amb claus exposades. Els analistes de Glassnode en van comptar més de 6 milions de bitcoins l’octubre del 2026, és a dir, el 31,2 % de l’oferta en circulació. Algunes són en tipus d’adreça que revelen la clau des del principi: les primeres adreces de la xarxa, del 2009 i el 2010, funcionen així, i també el format modern Taproot. Però l’informe de maig de Glassnode va trobar que aproximadament dos terços de les claus exposades s’havien filtrat pel maneig de les adreces, no pel disseny de la xarxa. Gran part d’això ve de les borses i els serveis que custodien monedes dels seus clients.
Si tens bitcoins en una aplicació, probablement no saps en quines adreces guarda el servei les teves monedes. Segons el recompte de Glassnode, Robinhood té les claus exposades per al 100 % d’aquestes monedes, Revolut per al 99 %, Binance per al 83 %, Coinbase per al 10 % i Fidelity per a un 2 % aproximadament. Les reserves dels governs dels Estats Units, el Regne Unit i El Salvador no en mostren cap. Com subratlla CoinDesk, les xifres descriuen com s’usen les adreces, no com de prop és un robatori.
?Què significa això per a qui té bitcoins?
Dos hàbits exposen una clau: reutilitzar la mateixa adreça i gastar-ne a trossos. Un tipus d’adreça nou tampoc no salvarà res per si sol: les monedes antigues s’hauran de moure cap a ell.
Aquest tipus d’adreça ja és sobre el paper. L’esborrany BIP-360, una proposta de millora de Bitcoin que va rebre el número el desembre del 2024, proposa Pay-to-Merkle-Root (P2MR), un tipus de sortida que elimina la via de pagament que revela la clau. Els seus autors admeten que només protegeix monedes que estan quietes durant molt de temps, no una transacció nova atrapada en una cursa. Passar-hi vol dir moure les teves monedes. Qui ha perdut les claus, o ha mort, no mourà mai res.
Això porta a la discussió més lletja. El programador Jameson Lopp i els seus coautors van exposar un calendari estricte en un esborrany anomenat BIP-361. Aproximadament tres anys després que la regla s’activi, la xarxa deixa d’acceptar pagaments a adreces vulnerables. Dos anys després, les signatures velles només funcionen mitjançant un protocol de rescat especial pensat per distingir el propietari real d’un lladre quàntic. Les monedes que mai no es traslladin a adreces noves queden bloquejades per sempre, i l’oferta en circulació es redueix. Els autors expliquen el motiu sense embuts: «Potser no sabrem que l’atac està en marxa».
Les més famoses d’aquestes monedes estan vinculades al creador pseudònim del bitcoin. Glassnode considera que les monedes de l’època de Satoshi Nakamoto, aparcades a les primeres adreces, són la part més tossuda de l’oferta exposada. Els autors del BIP-361 reconeixen que, per a aquestes adreces, ara per ara ningú no creu que un protocol de rescat sigui possible, i es remeten a una proposta independent anomenada Hourglass. Així, fins i tot el seu propi pla deixa les monedes de Satoshi en un llimb. Per justificar el pla, citen el mateix Satoshi: «Les monedes perdudes només fan que les monedes de tots els altres valguin una mica més. Pensa-hi com una donació a tothom». Després li donen la volta a la cita: «Les monedes recuperades per la via quàntica només fan que les monedes de tots els altres valguin menys. Pensa-hi com un robatori a tothom».
Per al bitcoin, això s’acosta a l’heretgia. Des del 2009 la xarxa promet que les monedes només responen davant de qui té la clau. L’alternativa no és més bonica: un dia, milions de monedes dorments passen a qui construeixi primer la màquina adequada. Els autors de l’article de Google en suggereixen una tercera via que anomenen «salvament digital»: normes per tornar a posar en circulació o destruir els actius abandonats, en lloc de deixar que se’ls quedi qui els agafi primer. Ningú no sap encara qui escriuria aquestes normes per a una xarxa que no té propietari.
La cursa per a les transaccions noves, on l’estimació d’Alice & Bob encara va endarrerida, tampoc no està decidida. L’equip encara no ha calculat si més qubits podrien comprimir l’atac per sota dels deu minuts, tot i que Goudarzi admet que treballs posteriors podrien acostar les estimacions als nou minuts de Google. I va afegir que no hi ha cap límit evident a com de baixes poden arribar aquestes xifres: «No hi ha cap terra arquitectònic».
