// Inhoud
62 minuten en 29.588 qubits. Zoveel kost het volgens het Franse quantumbedrijf Alice & Bob om de sleutel van een bitcoinwallet te kraken, blijkt uit een schatting van de benodigde middelen die op 28 oktober 2026 op het preprintarchief van cryptografen verscheen. In het voorjaar kwam Google nog op een half miljoen qubits. Vier jaar geleden spraken onderzoekers over honderden miljoenen. Een machine die dit kan, bestaat nog niet.
Maar het is al duidelijk wiens coins als eerste aan de beurt zouden zijn: ruim 6 miljoen bitcoin staat op adressen waarvan de sleutel die een dief nodig heeft openlijk zichtbaar is. Vaak heeft dat niets met de eigenaar te maken: volgens de telling van Glassnode heeft Robinhood de sleutels van 100% van de bitcoin van zijn klanten blootgelegd, Coinbase die van 10%. Bitcoin is hiermee niet gedoemd. Maar je kunt het ook niet met een schouderophalen afdoen.
Een envelop die opengaat als je betaalt
?Hoe zou een quantumcomputer bitcoin kunnen stelen?
Een wallet heeft een privésleutel, een getal van 256 bits, en een daaruit berekende publieke sleutel. Vooruit rekenen gaat in een oogwenk; terugrekenen ligt buiten het bereik van elke gewone computer. Het algoritme van Shor, een quantummethode voor dit soort problemen, maakt de terugweg haalbaar. Een bitcoinadres is een vingerafdruk van de publieke sleutel, en zolang er niets van wordt uitgegeven, blijft de sleutel zelf verborgen, als een brief in een dichtgeplakte envelop. Betalen scheurt de envelop open: de publieke sleutel komt in de transactie te staan, waar iedereen hem kan zien.
?Waarom maakt dat uit als de sleutel maar een paar minuten zichtbaar is?
Er zijn twee manieren van aanvallen. De eerste is een race: een dief ziet een verse transactie, berekent de privésleutel en stuurt een concurrerende transactie de wereld in terwijl de oorspronkelijke nog op bevestiging wacht. Ongeveer elke 10 minuten komt er een nieuw bitcoinblok. Voor die race zijn 62 minuten te traag, maar de negen minuten uit de voorjaarsschatting van Google zijn snel genoeg: CoinDesk berekende de kans dat de dief wint op ongeveer 41%. De tweede manier is simpeler en enger. Bij sommige coins staat de publieke sleutel al op de blockchain, en dan is er helemaal geen haast.
De kat die de munt niet laat vallen
?Wat heeft Alice & Bob precies uitgerekend?
Niemand heeft iets gekraakt. De tien auteurs van het artikel namen het algoritme van Shor en ontleedden het in afzonderlijke bewerkingen voor een machine die het bedrijf hoopt te bouwen. Het resultaat is een stuklijst: hoeveel onderdelen, hoe lang aan het werk. Voor secp256k1, de elliptische kromme achter bitcoinsleutels, kwam het uit op hooguit 30.000 qubits en ongeveer een uur. Voor RSA-2048, een veelgebruikte versleutelingsstandaard, komt de rekening op ruwweg 23.000 qubits en 3,14 dagen.
?Waarom heten ze kat-qubits?
Simpel gezegd is een gewone qubit als een draaiende munt. Hij kan op de verkeerde kant vallen: een bitflip, van 0 naar 1. Of hij kan uit zijn draai wankelen, de tweede soort fout, het verlies van fase. Machines op basis van gewone supergeleidende qubits moeten zich tegen allebei tegelijk wapenen, en dat wordt duur: in het model van Google vergt één betrouwbare “logische” qubit zo’n 400 fysieke. Alice & Bob slaat informatie op in een microgolfveld dat gevangen zit in een piepkleine resonator. Natuurkundigen noemen de toestand ervan een “kattoestand”, naar het gedachte-experiment van Schrödinger: het veld bevindt zich in twee tegengestelde toestanden tegelijk, zoals de kat tegelijk levend en dood is, en die twee toestanden dienen als 0 en 1. Deze munt valt vrijwel nooit op de verkeerde kant, dus alleen de draai hoeft te worden bewaakt, en de machine komt met veel minder onderdelen toe.
?Waar zit de adder onder het gras?
CoinDesk rekende uit dat dit 17 keer goedkoper is dan de schatting van Google, maar die vergelijking zet de gewone qubits van Google naast de veel ingewikkelder onderdelen van Alice & Bob. Een grotere adder zit in de aannames. Het hoofdontwerp van het artikel vereist een kat-qubit die slechts ongeveer eens per eeuw uit zichzelf omklapt. Het beste resultaat van het bedrijf, bekendgemaakt in september 2025, was 33 tot 60 minuten, en zelfs dat is voorlopig. Een eeuw tegenover een uur: een kloof van ruwweg een factor een miljoen. De auteurs bieden een terugvaloptie met een extra laag foutbescherming. Daar volstaat een qubit die ongeveer een uur standhoudt, maar de machine heeft bijna twee keer zoveel onderdelen nodig. Dat cijfer staat in het artikel alleen voor RSA, 45.000 in plaats van 23.000; voor een bitcoinsleutel bestaat zo’n getal niet.
Van honderden miljoenen naar dertigduizend
Het opvallendste aan het verhaal is hoe snel de schattingen blijven dalen. Geen daarvan kwam door nieuwe hardware. Wiskundigen en ingenieurs drukten de rekening omlaag door steeds slankere manieren te vinden om hetzelfde probleem in te richten.
// Tijdlijn
- Wiskundige Peter Shor beschrijft een quantumalgoritme dat snel getallen ontbindt en het discrete-logaritmeprobleem oplost. RSA en handtekeningen op elliptische krommen rusten op die twee problemen.
- Een team van de Universiteit van Sussex schat het aantal qubits dat nodig is om een bitcoinsleutel binnen minuten tot uren te kraken: 30 tot 300 miljoen.
- Natuurkundige Élie Gouzien en zijn medeauteurs, onder wie onderzoekers van Alice & Bob, komen uit op 126.133 kat-qubits en 9 uur.
- Google Quantum AI, met onderzoekers van de Ethereum Foundation en Stanford: minder dan 500.000 gewone qubits en een kwestie van minuten.
- Alice & Bob: hooguit 30.000 kat-qubits en ongeveer een uur.
Gouzien is ook auteur van het nieuwe artikel. In drie jaar heeft het team zijn eigen schatting met een factor vier teruggebracht in qubits en met een factor negen in tijd.
De hardware vertelt een bescheidener verhaal. Willow, de chip die Google in december 2024 presenteerde, heeft 105 qubits. Volgens Googles eigen model heeft een aanval tot 500.000 van dezelfde qubits nodig, bijna vijfduizend keer zoveel. De eigen routekaart van Alice & Bob mikt op een chip met 100 logische qubits in 2030, en dat is nog steeds een doel, geen product. Dahmun Goudarzi, de senior cryptoanalist van het bedrijf, verwacht dat de twee krommen, groeiende hardware en dalende vereisten, elkaar begin jaren dertig kruisen. Volgens hem kan het overzetten van bitcoin naar nieuwe bescherming niet wachten: “het wordt van het grootste belang dat de migratie nu begint”, zei Goudarzi tegen CoinDesk.
Andermans coins bevriezen, of ze aan een dief geven
Aan coins met blootgelegde sleutels geen gebrek. Analisten van Glassnode telden in oktober 2026 meer dan 6 miljoen bitcoin, oftewel 31,2% van het circulerende aanbod. Een deel staat op adrestypen die de sleutel van meet af aan prijsgeven: de allereerste adressen van het netwerk uit 2009 en 2010 werken zo, en het moderne Taproot-formaat ook. Maar uit het meirapport van Glassnode bleek dat ongeveer twee derde van de blootgelegde sleutels lekte door de manier waarop met adressen wordt omgegaan, niet door het ontwerp van het netwerk. Veel daarvan komt van beurzen en diensten die coins voor hun klanten bewaren.
Wie bitcoin in een app bewaart, weet waarschijnlijk niet op welke adressen de dienst zijn coins houdt. Volgens de telling van Glassnode heeft Robinhood de sleutels van 100% van die coins blootgelegd, Revolut van 99%, Binance van 83%, Coinbase van 10% en Fidelity van ongeveer 2%. Bij overheidsbezit in de Verenigde Staten, het Verenigd Koninkrijk en El Salvador is er niets blootgelegd. CoinDesk benadrukt dat de cijfers laten zien hoe adressen worden gebruikt, niet hoe dichtbij een diefstal is.
?Wat betekent dit voor iemand die bitcoin bezit?
Twee gewoonten leggen een sleutel bloot: hetzelfde adres hergebruiken en er in stukjes van uitgeven. Ook een nieuw adrestype redt op zichzelf niets: oude coins zullen ernaartoe verhuisd moeten worden.
Dat adrestype bestaat al op papier. De conceptversie van BIP-360, een Bitcoin Improvement Proposal waarvan het nummer in december 2024 werd toegewezen, stelt Pay-to-Merkle-Root (P2MR) voor, een uitvoertype zonder het betaalpad dat de sleutel onthult. De auteurs geven toe dat het alleen coins beschermt die lang stilliggen, niet een verse transactie in een race. Overstappen betekent je coins verplaatsen. Wie zijn sleutels kwijt is, of overleden, zal nooit iets verplaatsen.
Dat leidt naar de lelijkste discussie. Programmeur Jameson Lopp en zijn medeauteurs schetsten een streng tijdschema in een concept met de naam BIP-361. Ongeveer drie jaar nadat de regel is ingegaan, accepteert het netwerk geen betalingen meer naar kwetsbare adressen. Twee jaar daarna werken oude handtekeningen alleen nog via een speciaal reddingsprotocol dat de echte eigenaar van een quantumdief moet onderscheiden. Coins die nooit naar nieuwe adressen worden verplaatst, blijven voorgoed vastzitten, en het circulerende aanbod krimpt. De auteurs noemen hun reden ronduit: “We weten misschien niet dat de aanval al bezig is.”
De bekendste van die coins worden in verband gebracht met de pseudonieme bedenker van bitcoin. Glassnode noemt de coins uit het tijdperk van Satoshi Nakamoto, geparkeerd op de vroegste adressen, het hardnekkigste deel van het blootgelegde aanbod. De auteurs van BIP-361 geven toe dat voor die adressen niemand momenteel een reddingsprotocol mogelijk acht, en ze verwijzen naar een apart voorstel genaamd Hourglass. Dus ook hun eigen plan laat de coins van Satoshi in het luchtledige hangen. Om het plan te rechtvaardigen citeren ze Satoshi zelf: “Verloren coins maken de coins van alle anderen alleen maar iets meer waard. Zie het als een donatie aan iedereen.” Daarna draaien ze het citaat om: “Door quantum teruggewonnen coins maken de coins van alle anderen alleen maar minder waard. Zie het als een diefstal van iedereen.”
Voor bitcoin grenst dat aan ketterij. Sinds 2009 belooft het netwerk dat coins alleen luisteren naar wie de sleutel heeft. Het alternatief is niet mooier: op een dag gaan miljoenen slapende coins naar wie als eerste de juiste machine bouwt. De auteurs van het artikel van Google opperen een derde weg die ze “digital salvage” noemen: regels om verlaten bezittingen weer in omloop te brengen of te vernietigen, in plaats van ze te laten houden door wie ze als eerste grijpt. Niemand weet nog wie zulke regels zou moeten schrijven voor een netwerk zonder eigenaar.
Ook de race om verse transacties, waar de schatting van Alice & Bob nog achterloopt, is niet beslist. Het team heeft nog niet uitgerekend of meer qubits de aanval onder de tien minuten kunnen krijgen, al sluit Goudarzi niet uit dat verder werk de schattingen in de buurt van de negen minuten van Google kan brengen. En hij voegde eraan toe dat er geen duidelijke ondergrens is aan hoe laag deze getallen kunnen komen: “Er is geen architecturale bodem.”
