// Inhalt
62 Minuten und 29.588 Qubits. So viel, schätzt das französische Quantenunternehmen Alice & Bob, bräuchte man, um den Schlüssel einer Bitcoin-Wallet zu knacken. Die Ressourcenschätzung erschien am 28. Oktober 2026 im Preprint-Archiv der Kryptografen. Im Frühjahr lag Googles Wert bei einer halben Million Qubits. Vor vier Jahren war von Hunderten Millionen die Rede. Eine Maschine, die das kann, besitzt bisher niemand.
Schon jetzt ist aber klar, wessen Coins zuerst dran wären: Mehr als 6 Millionen Bitcoin liegen auf Adressen, bei denen der Schlüssel, den ein Dieb braucht, offen einsehbar ist. Oft hat das mit dem Besitzer gar nichts zu tun: Laut Glassnode hat Robinhood bei 100 % der Kunden-Bitcoin offengelegte Schlüssel, Coinbase bei 10 %. Bitcoin ist damit nicht verloren. Auf die leichte Schulter nehmen sollte man das aber auch nicht.
Ein Umschlag, der sich beim Bezahlen öffnet
?Wie würde ein Quantencomputer Bitcoin stehlen?
Eine Wallet hat einen privaten Schlüssel, eine 256-Bit-Zahl, und einen daraus berechneten öffentlichen Schlüssel. Vorwärts geht das im Nu; rückwärts ist es für jeden gewöhnlichen Computer unerreichbar. Der Shor-Algorithmus, ein Quantenverfahren für Probleme dieser Art, macht den Rückweg machbar. Eine Bitcoin-Adresse ist ein Fingerabdruck des öffentlichen Schlüssels, und solange keine Coins von ihr ausgegeben werden, bleibt der Schlüssel selbst verborgen, wie ein Brief im verschlossenen Umschlag. Beim Bezahlen wird der Umschlag aufgerissen: Der öffentliche Schlüssel landet in der Transaktion, wo ihn jeder sehen kann.
?Warum ist das wichtig, wenn der Schlüssel nur wenige Minuten sichtbar ist?
Es gibt zwei Angriffswege. Der erste ist ein Wettlauf: Ein Dieb entdeckt eine frische Transaktion, berechnet den privaten Schlüssel und sendet eine konkurrierende, während die ursprüngliche noch auf Bestätigung wartet. Ein neuer Bitcoin-Block kommt etwa alle 10 Minuten. Für dieses Rennen sind 62 Minuten zu langsam, die neun Minuten aus Googles Frühjahrsschätzung aber schnell genug: CoinDesk bezifferte die Gewinnchance eines Diebs auf rund 41 %. Der zweite Weg ist simpler und beunruhigender. Bei manchen Coins steht der öffentliche Schlüssel längst in der Blockchain, und dort gibt es keinerlei Zeitdruck.
Die Katze, die die Münze nicht fallen lässt
?Was genau hat Alice & Bob berechnet?
Geknackt wurde nichts. Die zehn Autoren des Papers haben den Shor-Algorithmus in einzelne Operationen für eine Maschine zerlegt, die das Unternehmen erst bauen will. Das Ergebnis ist eine Stückliste: wie viele Bauteile, wie lange im Betrieb. Für secp256k1, die elliptische Kurve hinter Bitcoin-Schlüsseln, kam sie auf höchstens 30.000 Qubits und etwa eine Stunde. Für RSA-2048, einen weit verbreiteten Verschlüsselungsstandard, ergeben sich rund 23.000 Qubits und 3,14 Tage.
?Warum heißen sie Cat-Qubits?
Vereinfacht gesagt ist ein gewöhnliches Qubit wie eine rotierende Münze. Sie kann auf der falschen Seite landen: ein Bitflip, von 0 auf 1. Oder sie kann aus der Drehung ins Taumeln geraten, der zweite Fehlertyp, genannt Phasenverlust. Maschinen aus gewöhnlichen supraleitenden Qubits müssen sich gegen beides gleichzeitig wappnen, und das wird teuer: In Googles Modell braucht ein zuverlässiges „logisches“ Qubit etwa 400 physische. Alice & Bob speichert Information in einem Mikrowellenfeld, das in einem winzigen Resonator gefangen ist. Physiker nennen seinen Zustand einen „Katzenzustand“, nach Schrödingers Gedankenexperiment: Das Feld befindet sich in zwei entgegengesetzten Zuständen zugleich, so wie die Katze zugleich lebt und tot ist, und diese beiden Zustände dienen als 0 und 1. Diese Münze landet fast nie auf der falschen Seite, also muss nur noch die Drehung überwacht werden, und die Maschine kommt mit weit weniger Bauteilen aus.
?Wo ist der Haken?
CoinDesk rechnete vor, dass das 17-mal billiger ist als Googles Schätzung, doch dieser Vergleich stellt Googles gewöhnliche Qubits gegen die weit aufwendigeren Bauteile von Alice & Bob. Ein größerer Haken steckt in den Annahmen. Das Hauptdesign des Papers braucht ein Cat-Qubit, das nur etwa einmal pro Jahrhundert von selbst kippt. Das beste Ergebnis des Unternehmens, im September 2025 verkündet, lag bei 33 bis 60 Minuten, und auch das ist vorläufig. Ein Jahrhundert gegen eine Stunde: ein Abstand von rund dem Millionenfachen. Die Autoren bieten eine Rückfalllösung mit einer zusätzlichen Fehlerschutzschicht an. Dort genügt ein Qubit, das etwa eine Stunde hält, aber die Maschine braucht fast doppelt so viele Bauteile. Diese Zahl nennt das Paper nur für RSA, 45.000 statt 23.000; für einen Bitcoin-Schlüssel gibt es sie nicht.
Von Hunderten Millionen auf dreißigtausend
Das Verblüffendste an der Geschichte ist, wie schnell die Schätzungen weiter fallen. Neue Hardware war daran nicht beteiligt. Mathematiker und Ingenieure haben die Rechnung gesenkt, indem sie immer schlankere Wege fanden, dasselbe Problem aufzubauen.
// Chronik
- Der Mathematiker Peter Shor beschreibt einen Quantenalgorithmus, der Zahlen schnell faktorisiert und das diskrete Logarithmusproblem löst. RSA und Signaturen auf elliptischen Kurven beruhen auf diesen beiden Problemen.
- Ein Team der University of Sussex schätzt die Qubits, die nötig sind, um einen Bitcoin-Schlüssel binnen Minuten bis Stunden zu knacken: 30 bis 300 Millionen.
- Der Physiker Élie Gouzien und Koautoren, darunter Forscher von Alice & Bob, kommen auf 126.133 Cat-Qubits und 9 Stunden.
- Google Quantum AI mit Forschern der Ethereum Foundation und aus Stanford: weniger als 500.000 gewöhnliche Qubits und wenige Minuten.
- Alice & Bob: höchstens 30.000 Cat-Qubits und etwa eine Stunde.
Gouzien ist auch Autor des neuen Papers. In drei Jahren hat das Team seine eigene Schätzung bei den Qubits auf ein Viertel und bei der Zeit auf ein Neuntel gedrückt.
Die Hardware erzählt eine bescheidenere Geschichte. Willow, der Chip, den Google im Dezember 2024 vorstellte, hat 105 Qubits. Nach Googles eigenem Modell braucht ein Angriff bis zu 500.000 solcher Qubits, fast das Fünftausendfache. Die eigene Roadmap von Alice & Bob peilt bis 2030 einen Chip mit 100 logischen Qubits an, und das ist noch ein Ziel, kein Produkt. Dahmun Goudarzi, Senior Cryptanalyst des Unternehmens, erwartet, dass sich die beiden Kurven, wachsende Hardware und sinkende Anforderungen, Anfang der 2030er kreuzen. Der Umstieg von Bitcoin auf neuen Schutz dulde keinen Aufschub, meint er: „Es wird ungeheuer wichtig, dass die Migration jetzt beginnt“, sagte Goudarzi gegenüber CoinDesk.
Fremde Coins einfrieren oder einem Dieb überlassen
An Coins mit offenen Schlüsseln herrscht kein Mangel. Analysten von Glassnode zählten im Oktober 2026 mehr als 6 Millionen Bitcoin, das sind 31,2 % des umlaufenden Angebots. Einige liegen auf Adresstypen, die den Schlüssel von Anfang an preisgeben: So funktionieren die allerersten Adressen des Netzwerks aus den Jahren 2009 und 2010, ebenso das moderne Taproot-Format. Doch der Mai-Bericht von Glassnode ergab, dass etwa zwei Drittel der offenen Schlüssel durch den Umgang mit Adressen bekannt wurden, nicht durch das Design des Netzwerks. Vieles davon geht auf Börsen und Dienste zurück, die Coins für ihre Kunden verwahren.
Wer Bitcoin in einer App hält, weiß vermutlich nicht, auf welchen Adressen der Dienst seine Coins ablegt. Laut Glassnode hat Robinhood bei 100 % dieser Coins offene Schlüssel, Revolut bei 99 %, Binance bei 83 %, Coinbase bei 10 % und Fidelity bei etwa 2 %. Bestände von Regierungen der USA, Großbritanniens und El Salvadors zeigen keine. CoinDesk betont: Die Zahlen beschreiben, wie Adressen genutzt werden, nicht, wie nah ein Diebstahl ist.
?Was bedeutet das für jemanden, der Bitcoin besitzt?
Zwei Gewohnheiten legen einen Schlüssel offen: dieselbe Adresse mehrfach zu verwenden und von ihr in Teilbeträgen auszugeben. Ein neuer Adresstyp rettet für sich allein auch nichts: Alte Coins müssen erst dorthin verschoben werden.
Diesen Adresstyp gibt es schon auf dem Papier. Der Entwurf BIP-360, ein Bitcoin Improvement Proposal, dem im Dezember 2024 seine Nummer zugewiesen wurde, schlägt Pay-to-Merkle-Root (P2MR) vor, einen Output-Typ, der den Zahlungspfad weglässt, über den der Schlüssel offenbar wird. Seine Autoren räumen ein, dass er nur Coins schützt, die lange ruhen, nicht eine frische Transaktion im Wettlauf. Der Wechsel bedeutet, die eigenen Coins zu verschieben. Wer seine Schlüssel verloren hat oder gestorben ist, verschiebt nie wieder etwas.
Damit sind wir beim hässlichsten Streit. Der Programmierer Jameson Lopp und seine Koautoren haben in einem Entwurf namens BIP-361 einen strengen Zeitplan dargelegt. Etwa drei Jahre nach Aktivierung der Regel nimmt das Netzwerk keine Zahlungen mehr an verwundbare Adressen an. Zwei Jahre danach funktionieren alte Signaturen nur noch über ein spezielles Rettungsprotokoll, das den echten Besitzer vom Quantendieb unterscheiden soll. Coins, die nie auf neue Adressen verschoben werden, bleiben für immer eingefroren, und das umlaufende Angebot schrumpft. Ihren Grund nennen die Autoren unumwunden: „Wir wissen vielleicht nicht, dass der Angriff läuft.“
Die berühmtesten dieser Coins werden mit dem pseudonymen Schöpfer von Bitcoin in Verbindung gebracht. Glassnode nennt die Coins aus der Zeit von Satoshi Nakamoto, geparkt auf den frühesten Adressen, den hartnäckigsten Teil des offenen Angebots. Die BIP-361-Autoren räumen ein, dass derzeit niemand ein Rettungsprotokoll für diese Adressen für möglich hält, und verweisen auf einen separaten Vorschlag namens Hourglass. Selbst ihr eigener Plan lässt Satoshis Coins also in der Schwebe. Zur Begründung zitieren sie Satoshi selbst: „Verlorene Coins machen die Coins aller anderen nur etwas mehr wert. Sieh es als Spende an alle.“ Dann drehen sie das Zitat um: „Von Quantencomputern geborgene Coins machen die Coins aller anderen nur weniger wert. Sieh es als Diebstahl an allen.“
Für Bitcoin ist das nahe an Ketzerei. Seit 2009 verspricht das Netzwerk, dass Coins nur dem gehorchen, der den Schlüssel hält. Die Alternative ist nicht schöner: Eines Tages gehen Millionen ruhender Coins an den, der als Erster die richtige Maschine baut. Die Autoren des Google-Papers schlagen einen dritten Weg vor, den sie „digitale Bergung“ nennen: Regeln, um verwaiste Werte wieder in Umlauf zu bringen oder zu vernichten, statt sie dem zu überlassen, der als Erster zugreift. Wer solche Regeln für ein Netzwerk ohne Eigentümer schreiben sollte, weiß noch niemand.
Auch das Rennen um frische Transaktionen, bei dem die Schätzung von Alice & Bob noch hinterherhinkt, ist nicht entschieden. Das Team hat noch nicht berechnet, ob mehr Qubits den Angriff unter zehn Minuten drücken könnten, auch wenn Goudarzi für möglich hält, dass weitere Arbeit die Schätzungen in die Nähe von Googles neun Minuten bringt. Und er fügte hinzu, dass es für die Zahlen keine erkennbare Untergrenze gibt: „Es gibt keinen architektonischen Boden.“
