// Sisältö
62 minuuttia ja 29 588 kubittia. Sen hintalapun ranskalainen kvanttiyhtiö Alice & Bob liitti bitcoin-lompakon avaimen murtamiseen resurssiarviossa, jonka se julkaisi kryptografien esipainosarkistossa 28. lokakuuta 2026. Keväällä Googlen luku oli puoli miljoonaa kubittia. Neljä vuotta sitten tutkijat puhuivat sadoista miljoonista. Koneen, joka pystyisi tähän, ei vielä omista kukaan.
Jo nyt on kuitenkin selvää, kenen kolikot lähtisivät ensimmäisinä: yli 6 miljoonaa bitcoinia on osoitteissa, joissa varkaan tarvitsema avain on julkisesti nähtävillä. Usein se ei johdu omistajasta lainkaan: Glassnoden laskelmien mukaan Robinhoodilla on avoimet avaimet 100 prosentilla asiakkaidensa bitcoineista, Coinbasella 10 prosentilla. Mikään tästä ei tuomitse bitcoinia. Asiaa ei voi kuitenkaan vain olankohautuksella ohittaa.
Kirjekuori, joka aukeaa maksaessa
?Miten kvanttitietokone varastaisi bitcoineja?
Lompakolla on yksityinen avain, 256-bittinen luku, ja siitä laskettu julkinen avain. Eteenpäin laskeminen käy hetkessä, mutta takaisin päin se ei onnistu millään tavallisella tietokoneella. Shorin algoritmi, tällaisiin ongelmiin tarkoitettu kvanttimenetelmä, tekee paluumatkasta mahdollisen. Bitcoin-osoite on julkisen avaimen sormenjälki, ja kunnes osoitteesta kulutetaan kolikoita, itse avain pysyy piilossa kuin kirje suljetussa kirjekuoressa. Maksaminen repäisee kuoren auki: julkinen avain menee transaktioon, jossa kaikki näkevät sen.
?Miksi sillä on väliä, jos avain näkyy vain muutaman minuutin?
Hyökkäystapoja on kaksi. Ensimmäinen on kilpajuoksu: varas bongaa tuoreen transaktion, laskee yksityisen avaimen ja lähettää kilpailevan transaktion, kun alkuperäinen odottaa vahvistusta. Uusi bitcoin-lohko syntyy noin 10 minuutin välein. Tähän kilpajuoksuun 62 minuuttia on liian hidas, mutta Googlen kevään arvion yhdeksän minuuttia riittäisi: CoinDeskin mukaan varkaan voittotodennäköisyys olisi noin 41 prosenttia. Toinen tapa on yksinkertaisempi ja pelottavampi. Joidenkin kolikoiden julkinen avain on jo lohkoketjussa, ja niiden kohdalla ei ole mitään kiirettä.
Kissa, joka ei pudota kolikkoa
?Mitä Alice & Bob tarkalleen laski?
Kukaan ei murtanut mitään. Artikkelin kymmenen kirjoittajaa purki Shorin algoritmin yksittäisiksi operaatioiksi koneelle, jonka yhtiö toivoo rakentavansa. Tuloksena on osaluettelo: kuinka monta komponenttia ja kuinka pitkään käynnissä. Bitcoin-avainten taustalla olevalle elliptiselle käyrälle secp256k1 vastaukseksi tuli enintään 30 000 kubittia ja noin tunti. RSA-2048:lle, laajasti käytetylle salausstandardille, lasku on noin 23 000 kubittia ja 3,14 vuorokautta.
?Miksi niitä kutsutaan kissakubiteiksi?
Yksinkertaistaen tavallinen kubitti on kuin pyörivä kolikko. Se voi pysähtyä väärälle puolelle: bittivirhe, 0:sta 1:ksi. Tai se voi horjahtaa pois pyörimisestä, ja tätä toista virhettä kutsutaan vaiheen menetykseksi. Tavallisiin suprajohtaviin kubitteihin perustuvien koneiden täytyy suojautua molemmilta yhtä aikaa, ja se käy kalliiksi: Googlen mallissa yksi luotettava “looginen” kubitti vaatii noin 400 fyysistä. Alice & Bob tallentaa tiedon pieneen resonaattoriin vangittuun mikroaaltokenttään. Fyysikot kutsuvat sen tilaa “kissatilaksi” Schrödingerin ajatuskokeen mukaan: kenttä on kahdessa vastakkaisessa tilassa yhtä aikaa, kuten kissa on yhtä aikaa elossa ja kuollut, ja nämä kaksi tilaa toimivat nollana ja ykkösenä. Tämä kolikko laskeutuu väärälle puolelle lähes koskaan, joten vain pyörimistä tarvitsee vahtia, ja kone pärjää paljon pienemmällä määrällä komponentteja.
?Missä on koukku?
CoinDesk laski, että tämä on 17 kertaa halvempaa kuin Googlen arvio, mutta vertailussa Googlen tavalliset kubitit asetetaan Alice & Bobin paljon monimutkaisempien komponenttien rinnalle. Suurempi koukku piilee oletuksissa. Artikkelin pääratkaisu vaatii kissakubitin, joka kääntyy itsestään vain noin kerran vuosisadassa. Yhtiön paras tulos, julkistettu syyskuussa 2025, oli 33–60 minuuttia, ja sekin on alustava. Vuosisata vastaan tunti: noin miljoonakertainen kuilu. Kirjoittajat tarjoavat varavaihtoehdon, jossa on yksi ylimääräinen virheensuojauskerros. Siinä riittää kubitti, joka kestää noin tunnin, mutta koneeseen tarvitaan lähes kaksi kertaa enemmän komponentteja. Tämä luku esiintyy artikkelissa vain RSA:lle, 45 000 eikä 23 000; bitcoin-avaimelle vastaavaa lukua ei ole.
Sadoista miljoonista kolmeenkymmeneen tuhanteen
Tarinan silmiinpistävintä on se, kuinka nopeasti arviot jatkavat laskuaan. Mikään siitä ei johtunut uudesta laitteistosta. Matemaatikot ja insinöörit pienensivät laskua keksimällä yhä kevyempiä tapoja jäsentää sama ongelma.
// Aikajana
- Matemaatikko Peter Shor kuvaa kvanttialgoritmin, joka jakaa luvut tekijöihin nopeasti ja ratkaisee diskreetin logaritmin ongelman. RSA ja elliptisten käyrien allekirjoitukset perustuvat näihin kahteen ongelmaan.
- Sussexin yliopiston tiimi arvioi bitcoin-avaimen murtamiseen minuuteissa tai tunneissa tarvittavien kubittien määräksi 30–300 miljoonaa.
- Fyysikko Élie Gouzien ja kumppanit, muun muassa Alice & Bobin tutkijat, päätyvät 126 133 kissakubittiin ja 9 tuntiin.
- Google Quantum AI yhdessä Ethereum Foundationin ja Stanfordin tutkijoiden kanssa: alle 500 000 tavallista kubittia ja muutama minuutti.
- Alice & Bob: enintään 30 000 kissakubittia ja noin tunti.
Gouzien on myös uuden artikkelin kirjoittaja. Kolmessa vuodessa tiimi pienensi omaa arviotaan nelinkertaisesti kubiteissa ja yhdeksänkertaisesti ajassa.
Laitteisto kertoo vaatimattomampaa tarinaa. Willowissa, Googlen joulukuussa 2024 esittelemässä sirussa, on 105 kubittia. Googlen oman mallin mukaan hyökkäys vaatii jopa 500 000 samanlaista kubittia, lähes viisituhatta kertaa enemmän. Alice & Bobin oma tiekartta tähtää sirun, jossa on 100 loogista kubittia, vuoteen 2030 mennessä, ja sekin on yhä tavoite, ei tuote. Dahmun Goudarzi, yhtiön vanhempi kryptoanalyytikko, odottaa kahden käyrän, kasvavan laitteiston ja pienenevien vaatimusten, leikkaavan toisensa 2030-luvun alussa. Hänen mielestään bitcoinin siirtämistä uuteen suojaan ei voi lykätä: “on erittäin tärkeää, että siirtymä aloitetaan nyt”, Goudarzi sanoi CoinDeskille.
Jäädytä toisen kolikot tai anna ne varkaalle
Avoimien avainten kolikoista ei ole pulaa. Glassnoden analyytikot laskivat lokakuussa 2026 yli 6 miljoonaa bitcoinia, eli 31,2 prosenttia kiertävästä tarjonnasta. Osa on osoitetyypeissä, jotka paljastavat avaimen alusta asti: verkon ensimmäiset osoitteet vuosilta 2009 ja 2010 toimivat näin, samoin moderni Taproot-formaatti. Glassnoden toukokuun raportin mukaan kuitenkin noin kaksi kolmasosaa paljastuneista avaimista vuosi osoitteiden käsittelytavan kautta, ei verkon rakenteen. Suuri osa tästä tulee pörsseistä ja palveluista, jotka säilyttävät kolikoita asiakkaidensa puolesta.
Jos pidät bitcoineja sovelluksessa, et todennäköisesti tiedä, missä osoitteissa palvelu kolikoitasi säilyttää. Glassnoden laskelmien mukaan Robinhoodilla näistä kolikoista on avoimet avaimet 100 prosentilla, Revolutilla 99, Binancella 83, Coinbasella 10 ja Fidelityllä noin 2 prosentilla. Yhdysvaltojen, Britannian ja El Salvadorin valtioiden hallussa olevissa kolikoissa avoimia avaimia ei ole lainkaan. Kuten CoinDesk korostaa, luvut kuvaavat osoitteiden käyttötapaa, eivät sitä, kuinka lähellä varkaus on.
?Mitä tämä tarkoittaa bitcoinin omistajalle?
Kaksi tapaa paljastaa avaimen: saman osoitteen uudelleenkäyttö ja kuluttaminen siitä osissa. Uusi osoitetyyppi ei myöskään pelasta mitään yksinään: vanhat kolikot täytyy siirtää siihen.
Tuo osoitetyyppi on jo paperilla. Luonnos BIP-360, Bitcoin Improvement Proposal, joka sai numeronsa joulukuussa 2024, ehdottaa Pay-to-Merkle-Root-tyyppiä (P2MR), tulostyyppiä, josta puuttuu avaimen paljastava maksupolku. Sen kirjoittajat myöntävät, että se suojaa vain pitkään paikallaan olevia kolikoita, ei kilpajuoksuun jäävää tuoretta transaktiota. Siihen siirtyminen tarkoittaa kolikoiden siirtämistä. Se, joka on kadottanut avaimensa tai kuollut, ei siirrä koskaan mitään.
Tästä päästään rumimpaan kiistaan. Ohjelmoija Jameson Lopp ja hänen kanssakirjoittajansa esittivät tiukan aikataulun luonnoksessa nimeltä BIP-361. Noin kolme vuotta säännön voimaantulon jälkeen verkko lakkaa hyväksymästä maksuja haavoittuviin osoitteisiin. Kaksi vuotta sen jälkeen vanhat allekirjoitukset toimivat vain erityisen pelastusprotokollan kautta, jonka on tarkoitus erottaa oikea omistaja kvanttivarkaasta. Kolikot, joita ei koskaan siirretä uusiin osoitteisiin, jäävät jumiin ikuisiksi ajoiksi, ja kiertävä tarjonta supistuu. Kirjoittajat kertovat syynsä suoraan: “Emme välttämättä tiedä, että hyökkäys on käynnissä.”
Kuuluisimmat näistä kolikoista liittyvät bitcoinin salanimiseen luojaan. Glassnoden mukaan Satoshi Nakamoton aikakauden kolikot, jotka lepäävät varhaisimmissa osoitteissa, ovat paljastuneen tarjonnan sitkein osa. BIP-361:n kirjoittajat myöntävät, että näiden osoitteiden kohdalla kukaan ei tällä hetkellä usko pelastusprotokollan olevan mahdollinen, ja he siirtävät asian erilliselle Hourglass-ehdotukselle. Joten jopa heidän oma suunnitelmansa jättää Satoshin kolikot limboon. Perustellakseen suunnitelman he lainaavat Satoshia itseään: “Kadonneet kolikot tekevät kaikkien muiden kolikoista vain hieman arvokkaampia. Ajattele sitä lahjoituksena kaikille.” Sitten he kääntävät lainauksen toisin päin: “Kvanttivarkaan palauttamat kolikot tekevät kaikkien muiden kolikoista vähemmän arvokkaita. Ajattele sitä varkautena kaikilta.”
Bitcoinille tämä on lähes harhaoppia. Vuodesta 2009 asti verkko on luvannut, että kolikot tottelevat vain avaimen haltijaa. Vaihtoehto ei ole sen kauniimpi: eräänä päivänä miljoonat lepotilassa olevat kolikot päätyvät sille, joka rakentaa oikean koneen ensimmäisenä. Googlen artikkelin kirjoittajat ehdottavat kolmatta tietä, jota he kutsuvat nimellä “digital salvage”: sääntöjä hylättyjen omaisuuserien palauttamiseksi kiertoon tai tuhoamiseksi sen sijaan, että ne jäisivät sille, joka ne ensin nappaa. Kukaan ei vielä tiedä, kuka tällaiset säännöt kirjoittaisi verkolle, jolla ei ole omistajaa.
Tuoreiden transaktioiden kilpajuoksukaan, jossa Alice & Bobin arvio on yhä jäljessä, ei ole ratkennut. Tiimi ei ole vielä laskenut, voisiko lisäkubiteilla puristaa hyökkäyksen alle kymmeneen minuuttiin, vaikka Goudarzi myöntääkin, että jatkotyö voisi viedä arviot lähelle Googlen yhdeksää minuuttia. Hän lisäsi, ettei näiden lukujen alenemiselle ole selvää rajaa: “Arkkitehtuurilla ei ole pohjaa.”
