// Obsah
62 minut a 29 588 qubitů. Za takovou cenu odhadla francouzská firma Alice & Bob prolomení klíče k bitcoinové peněžence: její výpočet se objevil v archivu kryptografů 28. října 2026. Na jaře Google mluvil o půl milionu qubitů a před čtyřmi lety šlo o stovky milionů. Stroj, který by to dokázal, zatím nemá nikdo.
Už teď ale vidíme, čí mince budou na řadě první: více než 6 milionů bitcoinů leží na adresách, kde klíč, který zloděj potřebuje, už dávno vidí každý. A často to nezávisí na majiteli: u Robinhoodu mají podle Glassnode odhalené klíče 100 % bitcoinů klientů, u Coinbase 10 %. Není to rozsudek smrti pro bitcoin, ale není to ani důvod mávnout rukou.
Obálka, kterou otevřete při platbě
?Jak by kvantový počítač ukradl bitcoiny?
Peněženka má soukromý klíč, číslo dlouhé 256 bitů, a veřejný, který se z něj vypočítá. Získat veřejný klíč ze soukromého je záležitost okamžiku, zpáteční cesta je pro běžný počítač nezvládnutelná. Shorův algoritmus, kvantový způsob řešení takových úloh, zvládne i tu. Bitcoinová adresa je otisk veřejného klíče, a dokud z adresy nikdo nic neutratil, je samotný klíč skrytý jako dopis v zalepené obálce. Obálka se otevírá v okamžiku platby: veřejný klíč se dostane do transakce a vidí ho každý.
?Čím je to nebezpečné, když je klíč vidět jen pár minut?
Scénáře jsou dva. První připomíná závod: zloděj si všimne čerstvé transakce, spočítá soukromý klíč a odešle vlastní, zatímco ta cizí čeká na potvrzení. Nový blok v síti bitcoinu vychází v průměru jednou za 10 minut. Na takový závod je 62 minut příliš dlouho. Devět minut z jarního výpočtu Googlu by ale mohlo stačit: šanci zloděje to stihnout odhadl CoinDesk zhruba na 41 %. Druhý scénář je jednodušší a horší. Existují mince, jejichž veřejný klíč už leží v blockchainu, a s nimi není kam spěchat.
Kočka, která nenechá minci spadnout
?Co přesně v Alice & Bob spočítali?
Nic neprolomili. Deset autorů práce vzalo Shorův algoritmus a rozložilo ho na jednotlivé operace pro stroj, který se firma doufá postavit. Vznikl tak rozpočet: kolik prvků je potřeba a jak dlouho budou pracovat. Pro eliptickou křivku secp256k1, na které stojí bitcoinové klíče, vyšlo nejvýše 30 000 qubitů a zhruba hodina. Pro šifru RSA-2048 je rozpočet jiný: asi 23 000 qubitů a 3,14 dne.
?Proč se qubitům říká kočičí?
Zjednodušeně: obyčejný qubit připomíná roztočenou minci. Může dopadnout na druhou stranu, to je překlopení z 0 na 1. Nebo se může vychýlit z rytmu otáčení: to je druhý druh chyby, ztráta fáze. V běžných supravodivých qubitech je třeba hlídat obě poruchy najednou, a to je drahé: v modelu Googlu se jeden spolehlivý „logický“ qubit skládá zhruba ze 400 fyzických. U Alice & Bob nese informaci mikrovlnné pole v drobném rezonátoru. Jeho stav fyzikové nazývají kočičí, podle Schrödingerova myšlenkového experimentu: pole se nachází zároveň ve dvou opačných stavech, jako kočka je zároveň živá i mrtvá. Právě tyto dva stavy hrají roli 0 a 1. Taková mince téměř nikdy nepadne na druhou stranu, takže stačí hlídat jen otáčení a prvků je potřeba mnohem méně.
?Kde je háček?
CoinDesk spočítal, že je to 17krát levnější než u Googlu, ale srovnával obyčejné qubity Googlu s mnohem složitějšími prvky Alice & Bob. Hlavní háček je v předpokladech. Základní schéma článku vyžaduje kočičí qubit, který se sám překlopí zhruba jednou za sto let. Nejlepší výsledek firmy, o kterém informovala v září 2025, je 33 až 60 minut a data jsou zatím předběžná. Mezi stoletím a hodinou je rozdíl zhruba milionkrát. Autoři navrhují záložní variantu s další vrstvou ochrany: qubitu pak stačí asi hodina, ale prvků je potřeba téměř dvakrát víc. Spočítali to však jen pro RSA, 45 000 místo 23 000; pro bitcoinový klíč takový odhad v práci není.
Ze stovek milionů na třicet tisíc
Nejzajímavější na celém příběhu je, jak rychle odhady klesají. Nebyly k tomu potřeba nové továrny: rozpočet zeštíhlili matematici a inženýři. Nacházeli stále úspornější způsoby, jak rozložit tutéž úlohu.
// Časová osa
- Matematik Peter Shor popisuje kvantový algoritmus, který rychle rozkládá čísla na součin a řeší problém diskrétního logaritmu. Na těchto dvou úlohách stojí RSA i podpisy na eliptických křivkách.
- Tým z Univerzity v Sussexu odhaduje, kolik qubitů je potřeba k prolomení bitcoinového klíče za několik minut či hodin: od 30 do 300 milionů.
- Fyzik Élie Gouzien a spoluautoři, mezi nimiž byli zaměstnanci Alice & Bob, napočítají 126 133 kočičích qubitů a 9 hodin.
- Google Quantum AI spolu s výzkumníky z Ethereum Foundation a Stanfordu: méně než 500 000 obyčejných qubitů a několik minut.
- Alice & Bob: nejvýše 30 000 kočičích qubitů a zhruba hodina.
Gouzien je i mezi autory nové práce. Za tři roky tým sám snížil svůj odhad čtyřnásobně u qubitů a devětkrát u času.
S hardwarem je to mnohem skromnější. V čipu Willow, který Google představil v prosinci 2024, je 105 qubitů. Podle Googlova vlastního modelu je na prolomení potřeba až 500 000 stejných qubitů, tedy téměř pětitisíckrát více. Alice & Bob podle vlastního plánu počítá s tím, že do roku 2030 vydá čip se 100 logickými qubity, zatím je to ale cíl, ne produkt. Hlavní kryptoanalytik firmy Damoun Goudarzi čeká, že se rostoucí hardware a klesající požadavky setkají na začátku 30. let. S přechodem bitcoinu na novou ochranu je podle jeho slov pro CoinDesk „nesmírně důležité začít hned teď“.
Zmrazit cizí, nebo dát zloději
Mincí s odhalenými klíči je hodně. Analytici Glassnode napočítali v říjnu 2026 více než 6 milionů bitcoinů, tedy 31,2 % všech mincí v oběhu. Část leží na adresách, které klíč prozradí hned: tak jsou postavené úplně první adresy z let 2009–2010 i moderní formát Taproot. Podle květnové zprávy Glassnode ale zhruba dvě třetiny odhalených klíčů neprozradilo uspořádání sítě, nýbrž to, jak se s adresami zachází. Znatelná část takových klíčů patří burzám a službám, které uchovávají mince klientů.
Kdo drží bitcoin v aplikaci, obvykle neví, na jakých adresách služba mince ukládá. Podle Glassnode má Robinhood odhalené klíče u 100 % takových mincí, Revolut u 99 %, Binance u 83 %, Coinbase u 10 %, Fidelity asi u 2 %. Státní zásoby USA, Velké Británie a Salvadoru odhalené klíče nemají. Jak zdůrazňuje CoinDesk, tato čísla vypovídají o tom, jak služby zacházejí s adresami, ne o tom, jak blízko je krádež.
?Co z toho plyne pro majitele bitcoinu?
Klíč prozrazují dva zlozvyky: opakované používání jedné adresy a utrácení mincí z ní po částech. A nový typ adresy, až se objeví, sám o sobě nic nezachrání: staré mince na něj bude nutné převést.
Takovou adresu už popisuje návrh BIP-360, který dostal číslo v prosinci 2024. Je to typ Pay-to-Merkle-Root (P2MR): nemá způsob platby, který by klíč odhalil. Autoři upřímně píší, že chrání jen mince, které dlouho leží na místě, a před závodem o čerstvou transakci nezachrání. Přejít na něj lze jen převodem mincí. Kdo ztratil klíče nebo zemřel, nic nikam nepřevede.
Odtud pochází nejnepříjemnější spor. Programátor Jameson Lopp se spoluautory navrhl v návrhu BIP-361 tvrdý harmonogram. Zhruba tři roky poté, co pravidlo začne platit, přestane síť přijímat převody na zranitelné adresy. O další dva roky později fungují staré podpisy jen přes zvláštní záchranný protokol, který má odlišit skutečného majitele od kvantového zloděje. Mince, které se na nové adresy nepřevedou, zamrznou navždy a bitcoinů v oběhu bude méně. Důvod autoři uvádějí otevřeně: „Možná se nikdy nedozvíme, že útok už probíhá.“
Nejznámější z těchto mincí souvisejí s tvůrcem bitcoinu. Glassnode označuje mince z éry Satoshiho Nakamota, ležící na nejstarších adresách, za nejodolnější část odhalených klíčů. Pro tyto adresy, připouštějí autoři BIP-361, nelze podle dnešních představ záchranný protokol sestavit, a odkazují na samostatný návrh jménem Hourglass. I v jejich plánu tedy zůstává nejasné, co bude s Satoshiho mincemi. Na obranu své myšlenky autoři citují samotného Satoshiho: „Ztracené mince jen mírně zvyšují hodnotu mincí všech ostatních. Považujte to za dar.“ A hned citát obracejí: „Mince vrácené kvantovým počítačem jen mírně snižují hodnotu mincí všech ostatních. Považujte to za krádež všem.“
Zmrazení je pro bitcoin skoro svatokrádež. Od roku 2009 síť slibuje, že s mincemi nakládá jen ten, kdo má klíč, a nikdo jiný. Alternativa je také ošklivá: jednoho dne připadnou miliony spících mincí tomu, kdo jako první sestaví potřebný stroj. Autoři práce Googlu navrhují třetí cestu, „digitální likvidaci“: pravidla, podle nichž se opuštěná aktiva vrátí do oběhu nebo zničí, aniž by připadla tomu, kdo je stihne uchvátit. Kdo a jak taková pravidla pro síť bez majitele napíše, zatím neví nikdo.
Otevřená zůstává i otázka závodu o čerstvé transakce: v něm výpočet Alice & Bob zatím nestačí. Zda by se stroj vešel do deseti minut, kdyby se přidaly qubity, tým ještě nepočítal. Goudarzi ale připouští, že další práce přinese odhady blízké devíti minutám Googlu. „Architektonický strop neexistuje,“ říká.
