// Contenido
62 minutos y 29 588 cubits. Ese es el presupuesto que la empresa cuántica francesa Alice & Bob ha calculado para romper la clave de una cartera de bitcoin, en una estimación de recursos publicada el 28 de octubre de 2026 en el archivo de preprints de los criptógrafos. En primavera, la cifra de Google era de medio millón de cubits. Hace cuatro años se hablaba de cientos de millones. Todavía nadie tiene una máquina capaz de hacerlo.
Aun así, ya está claro qué monedas caerían primero: más de 6 millones de bitcoins están en direcciones donde la clave que necesita un ladrón es pública. A menudo no tiene nada que ver con el dueño: según el recuento de Glassnode, Robinhood tiene claves expuestas para el 100 % del bitcoin de sus clientes y Coinbase para el 10 %. Nada de esto condena a bitcoin. Pero tampoco es algo que se pueda ignorar.
Un sobre que se abre cuando pagas
?¿Cómo robaría bitcoin un ordenador cuántico?
Una cartera tiene una clave privada, un número de 256 bits, y una clave pública calculada a partir de ella. Ir hacia delante es cuestión de un instante; ir hacia atrás está fuera del alcance de cualquier ordenador convencional. El algoritmo de Shor, un método cuántico para problemas de este tipo, hace viable el camino de vuelta. Una dirección de bitcoin es la huella de la clave pública, y mientras no se gaste nada desde ella, la clave en sí permanece oculta, como una carta dentro de un sobre cerrado. Pagar rasga el sobre: la clave pública entra en la transacción, donde todo el mundo puede verla.
?¿Qué importa si la clave solo es visible unos minutos?
Hay dos formas de atacar. La primera es una carrera: el ladrón detecta una transacción reciente, calcula la clave privada y difunde otra transacción rival mientras la original espera su confirmación. Un nuevo bloque de bitcoin llega más o menos cada 10 minutos. Para esa carrera, 62 minutos son demasiado lentos, pero los nueve minutos de la estimación de primavera de Google sí son suficientes: CoinDesk calculó que las probabilidades de victoria del ladrón eran de aproximadamente un 41 %. La segunda es más sencilla y más inquietante. Algunas monedas ya tienen su clave pública en la cadena de bloques, y con ellas no hay ninguna prisa.
El gato que no deja caer la moneda
?¿Qué calculó exactamente Alice & Bob?
Nadie ha roto nada. Los diez autores del artículo tomaron el algoritmo de Shor y lo descompusieron en operaciones individuales para una máquina que la empresa espera construir. El resultado es una lista de materiales: cuántos componentes y durante cuánto tiempo funcionando. Para secp256k1, la curva elíptica en la que se basan las claves de bitcoin, salió un máximo de 30 000 cubits y alrededor de una hora. Para RSA-2048, un estándar de cifrado muy extendido, la cuenta es de unos 23 000 cubits y 3,14 días.
?¿Por qué se llaman cubits de gato?
Dicho de forma sencilla, un cubit corriente es como una moneda girando. Puede caer del lado equivocado: un cambio de bit, de 0 a 1. O puede tambalearse y perder su giro, el segundo tipo de error, llamado pérdida de fase. Las máquinas construidas con cubits superconductores corrientes tienen que protegerse de ambos a la vez, y eso sale caro: en el modelo de Google, un cubit «lógico» fiable requiere unos 400 físicos. Alice & Bob almacena la información en un campo de microondas atrapado dentro de un diminuto resonador. Los físicos llaman a su estado «estado de gato», por el experimento mental de Schrödinger: el campo está en dos estados opuestos a la vez, igual que el gato está vivo y muerto, y esos dos estados hacen de 0 y de 1. Esta moneda casi nunca cae del lado equivocado, así que solo hay que vigilar el giro, y la máquina se las arregla con muchos menos componentes.
?¿Dónde está la trampa?
CoinDesk calculó que esto es 17 veces más barato que la estimación de Google, pero esa comparación pone los cubits corrientes de Google frente a los componentes mucho más elaborados de Alice & Bob. Hay una trampa mayor escondida en los supuestos. El diseño principal del artículo necesita un cubit de gato que se invierta por sí solo solo una vez por siglo. El mejor resultado de la empresa, anunciado en septiembre de 2025, fue de 33 a 60 minutos, y hasta ese es preliminar. Un siglo frente a una hora: una diferencia de aproximadamente un millón de veces. Los autores ofrecen una alternativa con una capa adicional de protección frente a errores. Con ella basta un cubit que aguante alrededor de una hora, pero la máquina necesita casi el doble de componentes. Esa cifra aparece en el artículo solo para RSA, 45 000 en lugar de 23 000; para una clave de bitcoin no hay ningún número equivalente.
De cientos de millones a treinta mil
Lo más llamativo de esta historia es la rapidez con que siguen cayendo las estimaciones. Nada de eso vino de hardware nuevo. Matemáticos e ingenieros recortaron la factura encontrando formas cada vez más ajustadas de plantear el mismo problema.
// Cronología
- El matemático Peter Shor describe un algoritmo cuántico que factoriza números rápidamente y resuelve el problema del logaritmo discreto. RSA y las firmas de curva elíptica se apoyan en esos dos problemas.
- Un equipo de la Universidad de Sussex estima los cubits necesarios para romper una clave de bitcoin en minutos u horas: de 30 a 300 millones.
- El físico Élie Gouzien y sus coautores, entre ellos investigadores de Alice & Bob, llegan a 126 133 cubits de gato y 9 horas.
- Google Quantum AI, con investigadores de la Fundación Ethereum y Stanford: menos de 500 000 cubits corrientes y cuestión de minutos.
- Alice & Bob: como máximo 30 000 cubits de gato y alrededor de una hora.
Gouzien es también autor del nuevo artículo. En tres años, el equipo ha recortado su propia estimación a una cuarta parte en cubits y a una novena parte en tiempo.
El hardware cuenta una historia más modesta. Willow, el chip que Google presentó en diciembre de 2024, tiene 105 cubits. Según el propio modelo de Google, un ataque necesita hasta 500 000 de esos mismos cubits, casi cinco mil veces más. La propia hoja de ruta de Alice & Bob apunta a un chip con 100 cubits lógicos en 2030, y eso sigue siendo una meta, no un producto. Dahmun Goudarzi, criptoanalista sénior de la empresa, espera que las dos curvas, la del hardware que crece y la de los requisitos que bajan, se crucen a comienzos de la década de 2030. En su opinión, trasladar bitcoin a una nueva protección no puede esperar: «es de suma importancia que la migración empiece ahora», dijo Goudarzi a CoinDesk.
Congelar las monedas de otros o entregárselas a un ladrón
No faltan monedas con claves expuestas. Los analistas de Glassnode contaron más de 6 millones de bitcoins en octubre de 2026, el 31,2 % del suministro en circulación. Algunas están en tipos de dirección que revelan la clave desde el principio: las primeras direcciones de la red, de 2009 y 2010, funcionan así, y también el formato moderno Taproot. Pero el informe de mayo de Glassnode concluyó que cerca de dos tercios de las claves expuestas se filtraron por la forma en que se gestionan las direcciones, no por el diseño de la red. Buena parte de ello procede de casas de cambio y servicios que custodian monedas de sus clientes.
Si guardas bitcoin en una aplicación, probablemente no tienes ni idea de en qué direcciones guarda el servicio tus monedas. Según el recuento de Glassnode, Robinhood tiene claves expuestas para el 100 % de esas monedas, Revolut para el 99 %, Binance para el 83 %, Coinbase para el 10 % y Fidelity para cerca del 2 %. Las reservas de los gobiernos de Estados Unidos, Reino Unido y El Salvador no muestran ninguna. Como subraya CoinDesk, las cifras describen cómo se usan las direcciones, no lo cerca que está un robo.
?¿Qué significa esto para quien tiene bitcoin?
Dos hábitos exponen una clave: reutilizar la misma dirección y gastar desde ella por partes. Tampoco un nuevo tipo de dirección salvará nada por sí solo: habrá que mover las monedas antiguas a ella.
Ese tipo de dirección ya existe sobre el papel. El borrador BIP-360, una propuesta de mejora de Bitcoin que recibió su número en diciembre de 2024, plantea Pay-to-Merkle-Root (P2MR), un tipo de salida que elimina la vía de pago que revela la clave. Sus autores admiten que solo protege monedas que permanecen quietas mucho tiempo, no una transacción reciente atrapada en una carrera. Pasarse a él implica mover tus monedas. Quien perdió sus claves, o murió, nunca moverá nada.
Eso lleva a la discusión más fea. El programador Jameson Lopp y sus coautores expusieron un calendario estricto en un borrador llamado BIP-361. Unos tres años después de que la regla se active, la red dejaría de aceptar pagos a direcciones vulnerables. Dos años más tarde, las firmas antiguas solo funcionarían a través de un protocolo especial de rescate pensado para distinguir al dueño legítimo de un ladrón cuántico. Las monedas que nunca se muevan a direcciones nuevas quedarían atascadas para siempre, y el suministro en circulación se reduciría. Los autores explican su razón con claridad: «Puede que no sepamos que el ataque está en marcha».
Las más famosas de estas monedas están vinculadas al creador seudónimo de bitcoin. Glassnode considera que las monedas de la era de Satoshi Nakamoto, aparcadas en las primeras direcciones, son la parte más obstinada del suministro expuesto. Los autores del BIP-361 reconocen que, para esas direcciones, hoy nadie cree posible un protocolo de rescate, y remiten a otra propuesta distinta llamada Hourglass. Así que incluso su propio plan deja las monedas de Satoshi en el limbo. Para justificar el plan, citan al propio Satoshi: «Las monedas perdidas solo hacen que las de todos los demás valgan un poco más. Piénsalo como una donación a todos». Después le dan la vuelta a la cita: «Las monedas recuperadas por un ordenador cuántico solo hacen que las de todos los demás valgan menos. Piénsalo como un robo a todos».
Para bitcoin, eso roza la herejía. Desde 2009 la red promete que las monedas solo responden ante quien tiene la clave. La alternativa no es más bonita: un día, millones de monedas dormidas pasan a manos de quien construya antes la máquina adecuada. Los autores del artículo de Google proponen un tercer camino al que llaman «rescate digital»: reglas para devolver a la circulación los activos abandonados o destruirlos, en lugar de dejar que se los quede quien los agarre primero. Nadie sabe aún quién escribiría esas reglas para una red que no tiene dueño.
La carrera por las transacciones recientes, donde la estimación de Alice & Bob todavía se queda atrás, tampoco está resuelta. El equipo aún no ha calculado si más cubits podrían reducir el ataque a menos de diez minutos, aunque Goudarzi admite que nuevos trabajos podrían acercar las estimaciones a los nueve minutos de Google. Y añadió que no hay un límite evidente a lo bajo que pueden llegar estos números: «No hay un suelo arquitectónico».
