// Innhold
62 minutter og 29 588 qubits. Det er prislappen det franske kvanteselskapet Alice & Bob har satt på å knekke en bitcoin-lommebok-nøkkel, i et ressursoverslag lagt ut i kryptografenes preprint-arkiv 28. oktober 2026. Til våren var Googles tall en halv million qubits. For fire år siden snakket forskerne om hundrevis av millioner. Ingen har ennå en maskin som kan gjøre dette.
Det er likevel allerede klart hvem sine mynter som ville gå først: over 6 millioner bitcoin ligger på adresser der nøkkelen en tyv trenger, ligger åpent for alle. Ofte har det ingenting med eieren å gjøre: ifølge Glassnodes opptelling har Robinhood eksponerte nøkler for 100 % av kundenes bitcoin, Coinbase for 10 %. Ingenting av dette er dødsdommen for bitcoin. Men det er heller ikke noe å vifte bort.
En konvolutt som åpner seg når du betaler
?Hvordan ville en kvantedatamaskin stjele bitcoin?
En lommebok har en privat nøkkel, et 256-bits tall, og en offentlig nøkkel regnet ut fra den. Å gå fremover tar et øyeblikk; å gå bakover er utenfor rekkevidde for enhver vanlig datamaskin. Shors algoritme, en kvantemetode for problemer av denne typen, gjør turen bakover mulig. En bitcoin-adresse er et fingeravtrykk av den offentlige nøkkelen, og så lenge ingen mynter er brukt fra den, forblir selve nøkkelen skjult, som et brev i en forseglet konvolutt. Å betale river opp konvolutten: den offentlige nøkkelen havner i transaksjonen, der alle kan se den.
?Hvorfor spiller det noen rolle når nøkkelen bare er synlig noen få minutter?
Det finnes to måter å angripe på. Den første er et kappløp: en tyv oppdager en ny transaksjon, regner ut den private nøkkelen og sender ut en konkurrerende transaksjon mens den opprinnelige venter på bekreftelse. En ny bitcoin-blokk kommer omtrent hvert tiende minutt. I det kappløpet er 62 minutter for tregt, men de ni minuttene i Googles overslag fra våren er raskt nok: CoinDesk anslo tyvens sjanse til å vinne til omtrent 41 %. Den andre måten er enklere og skumlere. Noen mynter har allerede den offentlige nøkkelen liggende på blokkjeden, og for dem haster det ikke i det hele tatt.
Katten som ikke mister mynten
?Hva har Alice & Bob egentlig regnet ut?
Ingen har knekt noe. Artikkelens ti forfattere tok Shors algoritme og brøt den ned i enkeltoperasjoner for en maskin selskapet håper å bygge. Resultatet er en materialliste: hvor mange komponenter, og hvor lenge de må gå. For secp256k1, den elliptiske kurven som ligger bak bitcoin-nøkler, ble det høyst 30 000 qubits og omtrent én time. For RSA-2048, en utbredt krypteringsstandard, blir regningen omtrent 23 000 qubits og 3,14 døgn.
?Hvorfor kalles de katte-qubits?
Enkelt sagt er en vanlig qubit som en mynt i spinn. Den kan lande på feil side: en bitflipp, fra 0 til 1. Eller den kan begynne å vingle i spinnet, den andre typen feil, kalt tap av fase. Maskiner bygd på vanlige superledende qubits må verne seg mot begge deler samtidig, og det blir dyrt: i Googles modell trenger én pålitelig «logisk» qubit rundt 400 fysiske. Alice & Bob lagrer informasjon i et mikrobølgefelt fanget i en liten resonator. Fysikerne kaller tilstanden en «katte-tilstand», etter Schrödingers tankeeksperiment: feltet befinner seg i to motsatte tilstander samtidig, slik katten er både levende og død, og de to tilstandene fungerer som 0 og 1. Denne mynten lander nesten aldri på feil side, så bare spinnet må overvåkes, og maskinen klarer seg med langt færre komponenter.
?Hvor er haken?
CoinDesk regnet ut at dette er 17 ganger billigere enn Googles overslag, men sammenligningen stiller Googles vanlige qubits opp mot Alice & Bobs langt mer kompliserte komponenter. En større hake ligger i forutsetningene. Artikkelens hovedløsning krever en katte-qubit som flipper av seg selv bare omtrent én gang i århundret. Selskapets beste resultat, kunngjort i september 2025, var 33 til 60 minutter, og selv det er foreløpig. Et århundre mot en time: et gap på omtrent en million ganger. Forfatterne tilbyr en reserveløsning med et ekstra lag feilbeskyttelse. Der holder det med en qubit som varer omtrent en time, men maskinen trenger nesten dobbelt så mange komponenter. Det tallet står i artikkelen bare for RSA, 45 000 i stedet for 23 000; for en bitcoin-nøkkel finnes det ikke noe slikt tall.
Fra hundrevis av millioner til tretti tusen
Det mest slående ved historien er hvor fort overslagene fortsetter å falle. Ingenting av det kom fra ny maskinvare. Matematikere og ingeniører har kuttet regningen ved å finne stadig slankere måter å legge opp det samme problemet på.
// Tidslinje
- Matematikeren Peter Shor beskriver en kvantealgoritme som raskt faktoriserer tall og løser det diskrete logaritmeproblemet. RSA og elliptiske signaturer hviler på akkurat disse to problemene.
- Et team ved University of Sussex anslår hvor mange qubits som trengs for å knekke en bitcoin-nøkkel på minutter til timer: 30 til 300 millioner.
- Fysikeren Élie Gouzien og medforfattere, blant dem forskere fra Alice & Bob, kommer frem til 126 133 katte-qubits og 9 timer.
- Google Quantum AI, med forskere fra Ethereum Foundation og Stanford: under 500 000 vanlige qubits og noen få minutter.
- Alice & Bob: høyst 30 000 katte-qubits og omtrent én time.
Gouzien er også forfatter av den nye artikkelen. På tre år har teamet kuttet sitt eget overslag firedobbelt i qubits og nidobbelt i tid.
Maskinvaren forteller en mer beskjeden historie. Willow, brikken Google viste frem i desember 2024, har 105 qubits. Ifølge Googles egen modell krever et angrep opptil 500 000 av de samme qubitene, nesten fem tusen ganger flere. Alice & Bobs eget veikart peker mot en brikke med 100 logiske qubits innen 2030, og det er fortsatt et mål, ikke et produkt. Dahmun Goudarzi, selskapets seniorkryptoanalytiker, venter at de to kurvene, voksende maskinvare og synkende krav, krysser hverandre tidlig på 2030-tallet. Etter hans syn kan ikke overgangen til ny beskyttelse for bitcoin vente: «det blir helt avgjørende at migreringen starter nå», sa Goudarzi til CoinDesk.
Frys andres mynter, eller gi dem til en tyv
Det er ingen mangel på mynter med eksponerte nøkler. Analytikerne i Glassnode talte over 6 millioner bitcoin i oktober 2026, eller 31,2 % av omløpsmengden. Noen ligger på adressetyper som avslører nøkkelen fra første stund: nettverkets aller første adresser fra 2009 og 2010 fungerer slik, og det gjør også det moderne Taproot-formatet. Men Glassnodes rapport fra mai fant at omtrent to tredjedeler av de eksponerte nøklene lekket gjennom hvordan adresser håndteres, ikke gjennom nettverkets utforming. Mye av det skyldes børser og tjenester som oppbevarer mynter for kundene sine.
Hvis du har bitcoin i en app, aner du sannsynligvis ikke hvilke adresser tjenesten oppbevarer myntene dine på. Ifølge Glassnodes opptelling har Robinhood eksponerte nøkler for 100 % av disse myntene, Revolut for 99 %, Binance for 83 %, Coinbase for 10 % og Fidelity for omtrent 2 %. Statlige beholdninger i USA, Storbritannia og El Salvador viser ingen. Som CoinDesk understreker, beskriver tallene hvordan adresser brukes, ikke hvor nær et tyveri er.
?Hva betyr dette for en som eier bitcoin?
To vaner eksponerer en nøkkel: å gjenbruke samme adresse og å bruke fra den i biter. En ny adressetype redder heller ingenting av seg selv: gamle mynter må flyttes over til den.
Den adressetypen finnes allerede på papiret. Utkastet BIP-360, et Bitcoin Improvement Proposal som fikk nummeret sitt i desember 2024, foreslår Pay-to-Merkle-Root (P2MR), en utdatatype som dropper betalingsveien som avslører nøkkelen. Forfatterne innrømmer at den bare beskytter mynter som ligger i ro lenge, ikke en fersk transaksjon fanget i et kappløp. Å bytte til den betyr å flytte myntene dine. Den som har mistet nøklene sine, eller er død, vil aldri flytte noe.
Det leder til den styggeste striden. Programmereren Jameson Lopp og medforfattere la frem en streng tidsplan i et utkast kalt BIP-361. Omtrent tre år etter at regelen trer i kraft, slutter nettverket å godta betalinger til sårbare adresser. To år etter det virker gamle signaturer bare gjennom en spesiell redningsprotokoll som skal skille den ekte eieren fra en kvantetyv. Mynter som aldri flyttes til nye adresser, blir sittende fast for alltid, og mengden i omløp krymper. Forfatterne sier grunnen rett ut: «Vi vet kanskje ikke at angrepet pågår.»
De mest berømte av disse myntene er knyttet til bitcoins pseudonyme skaper. Glassnode kaller myntene fra Satoshi Nakamotos tid, parkert på de tidligste adressene, den mest hardnakkede delen av den eksponerte mengden. Forfatterne av BIP-361 innrømmer at ingen for øyeblikket tror en redningsprotokoll er mulig for disse adressene, og henviser til et eget forslag kalt Hourglass. Selv deres egen plan lar altså Satoshis mynter bli hengende i det uvisse. For å begrunne planen siterer de Satoshi selv: «Lost coins only make everyone else’s coins worth slightly more. Think of it as a donation to everyone.» Så snur de sitatet på hodet: «Quantum recovered coins only make everyone else’s coins worth less. Think of it as a theft from everyone.»
For bitcoin er det nær kjetteri. Siden 2009 har nettverket lovet at mynter svarer bare til den som har nøkkelen. Alternativet er ikke penere: en dag går millioner av sovende mynter til den som først bygger den rette maskinen. Forfatterne av Googles artikkel foreslår en tredje vei de kaller «digital salvage»: regler for å sette forlatte eiendeler tilbake i omløp eller ødelegge dem, i stedet for å la den som først får tak i dem beholde dem. Ingen vet ennå hvem som skulle skrive slike regler for et nettverk uten eier.
Kappløpet om ferske transaksjoner, der Alice & Bobs overslag fortsatt henger etter, er heller ikke avgjort. Teamet har ennå ikke regnet ut om flere qubits kan presse angrepet under ti minutter, selv om Goudarzi tillater at videre arbeid kan bringe overslagene nær Googles ni minutter. Og han la til at det ikke finnes noen åpenbar grense for hvor lavt disse tallene kan gå: «Det finnes ingen arkitektonisk bunn.»
