// תוכן עניינים
62 דקות ו־29,588 קיוביטים. זה המחיר שהציבה חברת הקוונטים הצרפתית Alice & Bob לפריצת מפתח של ארנק ביטקוין, בהערכת משאבים שפורסמה ב־28 באוקטובר 2026 בארכיון הטיוטות של הקריפטוגרפים. באביב דיברה גוגל על חצי מיליון קיוביטים. לפני ארבע שנים דיברו החוקרים על מאות מיליוני קיוביטים. מכונה שמסוגלת לעשות את זה עדיין אין לאף אחד.
אבל כבר ברור של מי המטבעות ייפלו ראשונים: יותר מ־6 מיליון ביטקוין שוכנים בכתובות שבהן המפתח שהגנב צריך מונח לעין כול. לא פעם זה לא תלוי בבעלים: לפי הספירה של Glassnode, אצל Robinhood המפתחות חשופים עבור 100% מהביטקוין של הלקוחות, אצל Coinbase עבור 10%. שום דבר מזה לא גוזר על הביטקוין כליה. אבל גם אי אפשר לעבור על זה בכתפיים.
מעטפה שנפתחת כשמשלמים
?איך מחשב קוונטי יגנוב ביטקוין?
לארנק יש מפתח פרטי, מספר בן 256 ביט, ומפתח ציבורי שמחושב ממנו. בכיוון קדימה החישוב מיידי; בכיוון ההפוך הוא מעבר ליכולת של כל מחשב רגיל. האלגוריתם של שור, שיטה קוונטית לבעיות מהסוג הזה, הופך את הדרך חזרה לאפשרית. כתובת ביטקוין היא טביעת אצבע של המפתח הציבורי, ועד שמוציאים מטבעות ממנה המפתח עצמו נשאר מוסתר, כמו מכתב במעטפה סגורה. תשלום קורע את המעטפה: המפתח הציבורי נכנס לעסקה, שם כולם רואים אותו.
?מה זה משנה, אם המפתח גלוי רק כמה דקות?
יש שתי דרכי תקיפה. הראשונה היא מרוץ: גנב מזהה עסקה טרייה, מחשב את המפתח הפרטי ומשדר עסקה מתחרה בזמן שהמקורית ממתינה לאישור. בלוק חדש של ביטקוין מגיע בערך כל 10 דקות. למרוץ כזה 62 דקות זה איטי מדי, אבל תשע הדקות בהערכה של גוגל מהאביב מספיקות: CoinDesk העריך את סיכויי הגנב לנצח בכ־41%. השנייה פשוטה ומפחידה יותר. בחלק מהמטבעות המפתח הציבורי כבר מונח בבלוקצ’יין, ואצלם אין שום חיפזון.
החתול שלא מפיל את המטבע
?מה בדיוק חישבה Alice & Bob?
אף אחד לא פרץ שום דבר. עשרת מחברי המאמר לקחו את האלגוריתם של שור ופירקו אותו לפעולות בודדות עבור מכונה שהחברה מקווה לבנות. התוצאה היא רשימת רכיבים: כמה רכיבים ולכמה זמן. עבור secp256k1, העקומה האליפטית שעומדת מאחורי מפתחות הביטקוין, יצא לכל היותר 30,000 קיוביטים ובערך שעה. עבור RSA-2048, תקן הצפנה נפוץ, החשבון הוא כ־23,000 קיוביטים ו־3.14 ימים.
?למה קוראים להם קיוביטי חתול?
בפשטות, קיוביט רגיל הוא כמו מטבע מסתובב. הוא יכול ליפול על הצד הלא נכון: היפוך ביט, מ־0 ל־1. או להתנדנד ולצאת מהסיבוב, סוג השגיאה השני, שנקרא אובדן פאזה. מכונות שבנויות מקיוביטים על־מוליכים רגילים צריכות להגן משני הסוגים בבת אחת, וזה יקר: במודל של גוגל קיוביט “לוגי” אמין אחד דורש כ־400 קיוביטים פיזיים. Alice & Bob שומרת את המידע בשדה מיקרוגל שלכוד בתוך מהוד זעיר. הפיזיקאים קוראים למצב שלו “מצב חתול”, על שם ניסוי המחשבה של שרדינגר: השדה נמצא בשני מצבים הפוכים בו בזמן, כמו החתול שחי ומת כאחד, ושני המצבים האלה משמשים כ־0 וכ־1. המטבע הזה כמעט אף פעם לא נופל על הצד הלא נכון, ולכן צריך לעקוב רק אחרי הסיבוב, והמכונה מסתדרת עם הרבה פחות רכיבים.
?איפה התפיסה?
CoinDesk חישב שזה זול פי 17 מההערכה של גוגל, אבל ההשוואה הזאת מעמידה את הקיוביטים הרגילים של גוגל מול הרכיבים המורכבים בהרבה של Alice & Bob. תפיסה גדולה יותר מסתתרת בהנחות. התכנון הראשי במאמר דורש קיוביט חתול שמתהפך מעצמו רק בערך פעם במאה שנה. התוצאה הטובה ביותר של החברה, שהוכרזה בספטמבר 2025, הייתה 33 עד 60 דקות, וגם היא ראשונית. מאה שנה מול שעה: פער של כמיליון מונים. המחברים מציעים חלופת גיבוי עם שכבת הגנה נוספת מפני שגיאות. שם מספיק קיוביט שמחזיק מעמד כשעה, אבל המכונה דורשת כמעט פי שניים רכיבים. המספר הזה מופיע במאמר רק עבור RSA, 45,000 במקום 23,000; עבור מפתח ביטקוין אין מספר כזה.
ממאות מיליונים לשלושים אלף
החלק המרשים ביותר בסיפור הוא כמה מהר ההערכות ממשיכות לרדת. שום דבר מזה לא בא מחומרה חדשה. מתמטיקאים ומהנדסים קיצצו את החשבון בכך שמצאו דרכים רזות יותר ויותר לפרוש את אותה בעיה.
// ציר זמן
- המתמטיקאי פיטר שור מתאר אלגוריתם קוונטי שמפרק מספרים לגורמים במהירות ופותר את בעיית הלוגריתם הדיסקרטי. חתימות RSA וחתימות על עקומות אליפטיות נשענות על שתי הבעיות האלה.
- צוות מאוניברסיטת סאסקס מעריך את מספר הקיוביטים הדרוש לפריצת מפתח ביטקוין בתוך דקות עד שעות: 30 מיליון עד 300 מיליון.
- הפיזיקאי אלי גוזיין ושותפיו, ובהם חוקרים של Alice & Bob, מגיעים ל־126,133 קיוביטי חתול ו־9 שעות.
- Google Quantum AI, עם חוקרים מקרן אתריום ומסטנפורד: פחות מ־500,000 קיוביטים רגילים וזמן של דקות.
- Alice & Bob: לכל היותר 30,000 קיוביטי חתול ובערך שעה.
גוזיין הוא מחבר גם של המאמר החדש. בשלוש שנים הצוות קיצץ את ההערכה של עצמו פי ארבעה בקיוביטים ופי תשעה בזמן.
החומרה מספרת סיפור צנוע יותר. Willow, השבב שגוגל חשפה בדצמבר 2024, כולל 105 קיוביטים. לפי המודל של גוגל עצמה, תקיפה דורשת עד 500,000 קיוביטים כאלה, כמעט פי חמשת אלפים יותר. גם המפת דרכים של Alice & Bob עצמה מכוונת לשבב עם 100 קיוביטים לוגיים עד 2030, וזו עדיין מטרה ולא מוצר. דהמון גודרזי, הקריפטוגרף הבכיר של החברה, מצפה ששני העקומים, החומרה שגדלה והדרישות שמתכווצות, ייפגשו בראשית שנות ה־2030. לדעתו אי אפשר לחכות עם המעבר של הביטקוין להגנה חדשה: “it becomes of utmost importance that migration starts now”, אמר גודרזי ל־CoinDesk.
להקפיא מטבעות של אחרים, או למסור אותם לגנב
אין מחסור במטבעות עם מפתחות חשופים. האנליסטים של Glassnode ספרו יותר מ־6 מיליון ביטקוין באוקטובר 2026, כלומר 31.2% מההיצע במחזור. חלקם שוכנים בסוגי כתובות שחושפים את המפתח מההתחלה: הכתובות הראשונות של הרשת מ־2009 ו־2010 עובדות כך, וכך גם פורמט Taproot המודרני. אבל הדוח ממאי של Glassnode מצא שכשני שלישים מהמפתחות החשופים דלפו בגלל אופן הטיפול בכתובות, ולא בגלל התכנון של הרשת. הרבה מזה בא מבורסות ושירותים שמחזיקים מטבעות עבור הלקוחות שלהם.
אם אתם מחזיקים ביטקוין באפליקציה, כנראה שאין לכם מושג באילו כתובות השירות שומר את המטבעות שלכם. לפי הספירה של Glassnode, אצל Robinhood המפתחות חשופים עבור 100% מהמטבעות האלה, אצל Revolut עבור 99%, אצל Binance עבור 83%, אצל Coinbase עבור 10%, ואצל Fidelity עבור כ־2%. באחזקות הממשלתיות של ארצות הברית, בריטניה ואל סלבדור אין חשיפה כזאת. כפי ש־CoinDesk מדגיש, המספרים מתארים איך משתמשים בכתובות, לא כמה קרובה גניבה.
?מה זה אומר למי שמחזיק ביטקוין?
שני הרגלים חושפים מפתח: שימוש חוזר באותה כתובת והוצאת כספים ממנה בחלקים. גם סוג כתובת חדש לא יציל שום דבר בעצמו: את המטבעות הישנים יצטרכו להעביר אליו.
סוג הכתובת הזה כבר קיים על הנייר. הטיוטה BIP-360, הצעת שיפור לביטקוין שקיבלה את מספרה בדצמבר 2024, מציעה Pay-to-Merkle-Root (P2MR), סוג פלט שמוותר על נתיב התשלום החושף את המפתח. מחבריה מודים שהוא מגן רק על מטבעות שיושבים זמן רב במקומם, לא על עסקה טרייה שנתפסת במרוץ. המעבר אליו פירושו להעביר את המטבעות שלכם. מי שאיבד את המפתחות, או מת, לא יזיז כלום לעולם.
וזה מוביל לוויכוח המכוער ביותר. המתכנת ג’יימסון לופ ושותפיו פרשו לוח זמנים נוקשה בטיוטה בשם BIP-361. כשלוש שנים אחרי שהכלל מופעל, הרשת מפסיקה לקבל תשלומים לכתובות פגיעות. שנתיים אחרי זה, חתימות ישנות עובדות רק דרך פרוטוקול הצלה מיוחד שנועד להבדיל בין הבעלים האמיתי לגנב קוונטי. מטבעות שלא הועברו לכתובות חדשות נשארים תקועים לנצח, וההיצע במחזור מצטמצם. המחברים מנמקים בפשטות: “We may not know the attack is underway.”
המפורסמים שבמטבעות האלה קשורים ליוצר הפסבדונימי של הביטקוין. Glassnode מכנה את המטבעות מתקופת סאטושי נקאמוטו, החונים בכתובות הראשונות, החלק העיקש ביותר בהיצע החשוף. מחברי BIP-361 מודים שלגבי הכתובות האלה איש אינו סבור כרגע שפרוטוקול הצלה אפשרי, והם מפנים להצעה נפרדת בשם Hourglass. כך שגם התוכנית שלהם משאירה את המטבעות של סאטושי בלימבו. כדי להצדיק את התוכנית הם מצטטים את סאטושי עצמו: “Lost coins only make everyone else’s coins worth slightly more. Think of it as a donation to everyone.” ואז הופכים את הציטוט: “Quantum recovered coins only make everyone else’s coins worth less. Think of it as a theft from everyone.”
בשביל הביטקוין זה קרוב לכפירה. מאז 2009 הרשת מבטיחה שמטבעות נענים רק למי שמחזיק במפתח. החלופה אינה יפה יותר: יום אחד מיליוני מטבעות רדומים עוברים למי שיבנה ראשון את המכונה הנכונה. מחברי המאמר של גוגל מציעים דרך שלישית שהם מכנים “digital salvage”: כללים להחזרת נכסים נטושים למחזור או להשמדתם, במקום להניח למי שתופס אותם ראשון לשמור אותם. איש עדיין לא יודע מי יכתוב כללים כאלה לרשת שאין לה בעלים.
גם המרוץ על עסקאות טריות, שבו ההערכה של Alice & Bob עדיין מפגרת, אינו מוכרע. הצוות עוד לא חישב אם יותר קיוביטים יוכלו לדחוס את התקיפה לפחות מעשר דקות, אף שגודרזי מאפשר שעבודה נוספת תקרב את ההערכות לתשע הדקות של גוגל. והוא הוסיף שאין גבול ברור עד כמה אפשר להוריד את המספרים: “There is no architectural floor.”
