// Spis treści
62 minuty i 29 588 kubitów. Tyle, według francuskiej firmy Alice & Bob, kosztowałoby złamanie klucza portfela bitcoinowego: jej wyliczenie pojawiło się w archiwum kryptografów 28 października 2026 roku. Wiosną Google mówił o pół miliona kubitów, a cztery lata temu mowa była o setkach milionów. Maszyny, która by to potrafiła, na razie nikt nie ma.
Już teraz widać jednak, czyje monety znajdą się w kolejce pierwsze: ponad 6 mln bitcoinów leży na adresach, na których klucz potrzebny złodziejowi od dawna jest dla wszystkich na wierzchu. Często zależy to zresztą nie od właściciela: według szacunków Glassnode w Robinhood klucze są jawne dla 100% bitcoinów klientów, w Coinbase dla 10%. To nie wyrok na bitcoina, ale też nie powód, żeby machnąć ręką.
Koperta, którą otwiera się przy płatności
?Jak komputer kwantowy ukradłby bitcoiny?
Portfel ma klucz prywatny, liczbę o długości 256 bitów, oraz klucz publiczny, który się z niego wylicza. Z prywatnego do publicznego dojdzie się w mgnieniu oka, a droga powrotna jest dla zwykłego komputera nieosiągalna. Algorytm Shora, kwantowy sposób rozwiązywania takich zadań, sprawia, że i ona staje się wykonalna. Adres bitcoina to odcisk klucza publicznego i dopóki z adresu nic nie wydano, sam klucz pozostaje ukryty jak list w zaklejonej kopercie. Kopertę otwiera się w chwili płatności: klucz publiczny trafia do transakcji i staje się widoczny dla wszystkich.
?Czym to grozi, skoro klucz jest widoczny zaledwie kilka minut?
Scenariusze są dwa. Pierwszy przypomina wyścig: złodziej zauważa świeżą transakcję, wylicza klucz prywatny i wysyła własną, zanim cudza czeka na potwierdzenie. Nowy blok w sieci bitcoina pojawia się średnio raz na 10 minut. Na taki wyścig 62 minuty to zdecydowanie za długo. Natomiast dziewięć minut z wiosennego wyliczenia Google może wystarczyć: szansę złodzieja na zdążenie CoinDesk oszacował na około 41%. Drugi scenariusz jest prostszy i groźniejszy. Są monety, których klucz publiczny już leży w blockchainie, i z nimi nie trzeba się spieszyć.
Kot, który nie upuszcza monety
?Co dokładnie policzono w Alice & Bob?
Niczego nie łamano. Dziesięciu autorów pracy wzięło algorytm Shora i rozłożyło go na pojedyncze operacje dla maszyny, którą firma ma nadzieję zbudować. Tak powstał kosztorys: ile potrzeba elementów i jak długo będą pracować. Dla krzywej eliptycznej secp256k1, na której opierają się klucze bitcoina, wyszło nie więcej niż 30 000 kubitów i około godziny. Dla szyfru RSA-2048 kosztorys jest inny: około 23 000 kubitów i 3,14 doby.
?Dlaczego kubity nazywa się kocimi?
Upraszczając: zwykły kubit przypomina wirującą monetę. Może upaść na drugą stronę, czyli przeskoczyć z 0 na 1. Może też zgubić rytm wirowania: to drugi rodzaj błędu, utrata fazy. W zwykłych kubitach nadprzewodzących trzeba łapać oba błędy naraz, a to kosztuje: w modelu Google jeden niezawodny kubit „logiczny” składa się z około 400 fizycznych. W Alice & Bob informację niesie pole mikrofalowe w maleńkim rezonatorze. Fizycy nazywają jego stan kocim, na cześć eksperymentu myślowego Schrödingera: pole znajduje się jednocześnie w dwóch przeciwstawnych stanach, tak jak kot jest naraz żywy i martwy. Te dwa stany pełnią rolę 0 i 1. Taka moneta prawie nigdy nie ląduje na drugiej stronie, więc pozostaje pilnować tylko wirowania i elementów potrzeba znacznie mniej.
?Gdzie jest haczyk?
CoinDesk wyliczył, że jest to 17 razy taniej niż u Google, ale porównywał zwykłe kubity Google ze znacznie bardziej złożonymi elementami Alice & Bob. Główny haczyk tkwi w założeniach. Podstawowy schemat pracy wymaga kociego kubitu, który sam przeskakuje mniej więcej raz na sto lat. Najlepszy wynik firmy, o którym poinformowała we wrześniu 2025 roku, to od 33 do 60 minut, a dane są na razie wstępne. Między wiekiem a godziną różnica to mniej więcej milion razy. Autorzy proponują wariant zapasowy z dodatkową warstwą ochrony: wtedy kubitowi wystarczy około godziny, ale elementów trzeba będzie prawie dwa razy więcej. Policzono to jednak tylko dla RSA, 45 000 zamiast 23 000; dla klucza bitcoina takiego szacunku w pracy nie ma.
Od setek milionów do trzydziestu tysięcy
Najciekawsze w tej historii jest to, jak szybko spadają szacunki. Nie potrzeba było do tego nowych fabryk: kosztorys przycięli matematycy i inżynierowie. Znajdowali coraz oszczędniejsze sposoby rozłożenia tego samego zadania.
// Oś czasu
- Matematyk Peter Shor opisuje kwantowy algorytm, który szybko rozkłada liczby na czynniki i rozwiązuje problem logarytmu dyskretnego. Na tych dwóch zadaniach opierają się RSA i podpisy na krzywych eliptycznych.
- Zespół z Uniwersytetu Sussex szacuje, ile kubitów potrzeba, żeby w kilka minut lub godzin złamać klucz bitcoina: od 30 do 300 mln.
- Fizyk Élie Gouzien ze współautorami, wśród których byli pracownicy Alice & Bob, wylicza 126 133 kocie kubity i 9 godzin.
- Google Quantum AI wspólnie z badaczami z Ethereum Foundation i Stanfordu: mniej niż 500 000 zwykłych kubitów i zaledwie kilka minut.
- Alice & Bob: nie więcej niż 30 000 kocich kubitów i około godziny.
Gouzien jest też wśród autorów nowej pracy. Przez trzy lata zespół sam skrócił własne szacunki czterokrotnie pod względem kubitów i dziewięciokrotnie pod względem czasu.
Ze sprzętem jest znacznie skromniej. W układzie Willow, który Google pokazał w grudniu 2024 roku, jest 105 kubitów. Według modelu samego Google do złamania klucza potrzeba do 500 000 takich kubitów, czyli prawie pięć tysięcy razy więcej. Alice & Bob według własnego planu zamierza do 2030 roku wypuścić układ ze 100 kubitami logicznymi, ale na razie to cel, nie produkt. Starszy kryptoanalityk firmy Damoun Goudarzi spodziewa się, że rosnący sprzęt i malejące wymagania spotkają się na początku lat 30. Przejście bitcoina na nową ochronę, powiedział CoinDesk, „to coś, co absolutnie trzeba zacząć już teraz”.
Zamrozić cudze czy oddać złodziejowi
Monet z jawnymi kluczami jest sporo. Analitycy Glassnode doliczyli się do października 2026 roku ponad 6 mln bitcoinów, czyli 31,2% wszystkich monet w obiegu. Część leży na adresach, które ujawniają klucz od razu: tak zbudowane są najwcześniejsze adresy z lat 2009–2010 oraz współczesny format Taproot. Ale według majowego raportu Glassnode około dwóch trzecich jawnych kluczy ujawniła nie konstrukcja sieci, lecz sposób obchodzenia się z adresami. Spora część takich kluczy należy do kont giełd i serwisów, które przechowują monety klientów.
Kto trzyma bitcoina w aplikacji, zwykle nie wie, na jakich adresach serwis przechowuje monety. Według szacunków Glassnode w Robinhood klucze są jawne dla 100% takich monet, w Revolut dla 99%, w Binance dla 83%, w Coinbase dla 10%, w Fidelity dla około 2%. Zasoby państwowe USA, Wielkiej Brytanii i Salwadoru nie mają jawnych kluczy. Jak podkreśla CoinDesk, te liczby mówią o tym, jak serwisy obchodzą się z adresami, a nie o tym, jak blisko jest kradzież.
?Co z tego wynika dla właściciela bitcoina?
Klucz ujawniają dwa nawyki: wielokrotne używanie jednego adresu i wydawanie z niego monet po kawałku. A nowy typ adresu, kiedy się pojawi, sam niczego nie uratuje: stare monety trzeba będzie na niego przenieść.
Taki adres jest już opisany w projekcie BIP-360, który dostał numer w grudniu 2024 roku. To typ Pay-to-Merkle-Root (P2MR): nie ma w nim sposobu płatności, który ujawniałby klucz. Autorzy uczciwie piszą, że chroni on tylko monety, które długo leżą w miejscu, a przed wyścigiem o świeżą transakcję nie ratuje. Przejść na niego można wyłącznie przez przeniesienie monet. Kto zgubił klucze albo zmarł, niczego nigdzie nie przeniesie.
Stąd najbardziej nieprzyjemny spór. Programista Jameson Lopp ze współautorami zaproponował w projekcie BIP-361 twardy harmonogram. Mniej więcej trzy lata po wejściu reguły w życie sieć przestaje przyjmować przelewy na podatne adresy. Po kolejnych dwóch latach stare podpisy działają tylko przez specjalny protokół ratunkowy, który ma odróżnić prawdziwego właściciela od kwantowego złodzieja. Monety, których nie przeniesiono na nowe adresy, zostaną zamrożone na zawsze, a bitcoinów w obiegu będzie mniej. Powód autorzy podają wprost: „Możemy nawet nie wiedzieć, że atak już trwa”.
Najsłynniejsze z takich monet wiążą się z twórcą bitcoina. Glassnode nazywa monety z epoki Satoshiego Nakamoto, leżące na najwcześniejszych adresach, najodporniejszą częścią jawnych kluczy. Dla tych adresów, przyznają autorzy BIP-361, według obecnego stanu wiedzy nie da się zbudować protokołu ratunkowego i odsyłają do osobnej propozycji o nazwie Hourglass. Więc nawet w ich planie nie wiadomo, co stanie się z monetami Satoshiego. Na obronę swojego pomysłu autorzy cytują samego Satoshiego: „Utracone monety tylko nieco podnoszą wartość monet wszystkich pozostałych. Potraktuj to jako darowiznę”. I od razu odwracają cytat: „Monety odzyskane przez komputer kwantowy tylko nieco obniżają wartość monet wszystkich pozostałych. Potraktuj to jako kradzież na wszystkich”.
Zamrożenie jest dla bitcoina niemal świętokradztwem. Od 2009 roku sieć obiecywała, że monetami rozporządza tylko ten, kto ma klucz, i nikt poza nim. Alternatywa też jest brzydka: pewnego dnia miliony uśpionych monet dostaną się pierwszemu, kto zbuduje potrzebną maszynę. Autorzy pracy Google proponują trzecią drogę, „cyfrową utylizację”: reguły, według których porzucone aktywa wraca się do obiegu lub niszczy, nie oddając ich temu, kto zdąży je przechwycić. Kto i jak napisze takie reguły dla sieci bez właściciela, na razie nie wie nikt.
Otwarte pozostaje też pytanie o wyścig o świeże transakcje: tu wyliczenie Alice & Bob na razie nie wystarcza. Czy maszyna zmieściłaby się w dziesięciu minutach po dodaniu kubitów, zespół jeszcze nie liczył. Goudarzi dopuszcza jednak, że dalsza praca da szacunki bliskie dziewięciu minutom Google. „Nie ma żadnej granicy architektonicznej”, mówi.
