// Sumário
62 minutos e 29.588 qubits. Esse é o orçamento que a empresa francesa de computação quântica Alice & Bob calculou para quebrar a chave de uma carteira de bitcoin, em uma estimativa de recursos publicada no arquivo de preprints dos criptógrafos em 28 de outubro de 2026. Na primavera, o número do Google era meio milhão de qubits. Quatro anos atrás, os pesquisadores falavam em centenas de milhões. Ninguém tem ainda uma máquina capaz disso.
Já está claro, porém, de quem seriam as primeiras moedas a cair: mais de 6 milhões de bitcoins estão em endereços nos quais a chave de que um ladrão precisa está à vista de todos. Muitas vezes isso nem depende do dono: segundo a contagem da Glassnode, a Robinhood tem chaves expostas para 100% dos bitcoins de seus clientes, e a Coinbase, para 10%. Nada disso condena o bitcoin. Mas também não é algo para encolher os ombros.
Um envelope que se abre quando você paga
?Como um computador quântico roubaria bitcoin?
Uma carteira tem uma chave privada, um número de 256 bits, e uma chave pública calculada a partir dela. O caminho de ida leva um instante; o de volta está fora do alcance de qualquer computador comum. O algoritmo de Shor, um método quântico para problemas como esse, torna a volta viável. Um endereço de bitcoin é uma impressão digital da chave pública, e, enquanto nenhuma moeda sai dele, a chave em si permanece oculta, como uma carta num envelope lacrado. Pagar rasga o envelope: a chave pública vai para a transação, onde todos podem vê-la.
?Por que isso importa se a chave fica visível por apenas alguns minutos?
Há duas formas de atacar. A primeira é uma corrida: o ladrão vê uma transação recém-enviada, calcula a chave privada e transmite uma transação concorrente enquanto a original espera confirmação. Um novo bloco de bitcoin chega mais ou menos a cada 10 minutos. Para essa corrida, 62 minutos é lento demais, mas os nove minutos da estimativa de primavera do Google bastam: a CoinDesk calculou a chance de vitória do ladrão em cerca de 41%. A segunda é mais simples e mais assustadora. Algumas moedas já têm a chave pública exposta no blockchain, e com elas não há pressa nenhuma.
O gato que não deixa a moeda cair
?O que exatamente a Alice & Bob calculou?
Ninguém quebrou nada. Os dez autores do artigo pegaram o algoritmo de Shor e o decompuseram em operações individuais para uma máquina que a empresa espera construir. O resultado é uma lista de materiais: quantos componentes, funcionando por quanto tempo. Para a secp256k1, a curva elíptica por trás das chaves de bitcoin, deu no máximo 30.000 qubits e cerca de uma hora. Para o RSA-2048, um padrão de criptografia amplamente usado, a conta fica em cerca de 23.000 qubits e 3,14 dias.
?Por que se chamam qubits de gato?
Simplificando, um qubit comum é como uma moeda girando. Ela pode cair do lado errado: uma inversão de bit, de 0 para 1. Ou pode oscilar e sair do giro, o segundo tipo de erro, chamado de perda de fase. As máquinas baseadas em qubits supercondutores comuns precisam se proteger dos dois ao mesmo tempo, e isso sai caro: no modelo do Google, um qubit “lógico” confiável exige cerca de 400 físicos. A Alice & Bob armazena a informação em um campo de micro-ondas preso dentro de um minúsculo ressonador. Os físicos chamam seu estado de “estado de gato”, em referência ao experimento mental de Schrödinger: o campo fica em dois estados opostos ao mesmo tempo, como o gato vivo e morto, e esses dois estados servem como 0 e 1. Essa moeda quase nunca cai do lado errado, então só o giro precisa de vigilância, e a máquina se vira com bem menos componentes.
?Onde está a pegadinha?
A CoinDesk calculou que isso é 17 vezes mais barato que a estimativa do Google, mas essa comparação põe os qubits comuns do Google contra os componentes muito mais sofisticados da Alice & Bob. Uma pegadinha maior se esconde nas premissas. O projeto principal do artigo exige um qubit de gato que se inverta sozinho só uma vez por século, mais ou menos. O melhor resultado da empresa, anunciado em setembro de 2025, foi de 33 a 60 minutos, e mesmo ele é preliminar. Um século contra uma hora: uma distância de aproximadamente um milhão de vezes. Os autores oferecem uma alternativa com uma camada extra de proteção contra erros. Nela basta um qubit que aguente cerca de uma hora, mas a máquina precisa de quase o dobro de componentes. Esse número aparece no artigo só para o RSA, 45.000 em vez de 23.000; para uma chave de bitcoin não há valor equivalente.
De centenas de milhões a trinta mil
O mais impressionante nessa história é a rapidez com que as estimativas continuam caindo. Nada disso veio de hardware novo. Matemáticos e engenheiros reduziram a conta encontrando maneiras cada vez mais enxutas de organizar o mesmo problema.
// Linha do tempo
- O matemático Peter Shor descreve um algoritmo quântico que fatora números rapidamente e resolve o problema do logaritmo discreto. As assinaturas RSA e de curvas elípticas se apoiam nesses dois problemas.
- Uma equipe da Universidade de Sussex estima os qubits necessários para quebrar uma chave de bitcoin em minutos ou horas: de 30 milhões a 300 milhões.
- O físico Élie Gouzien e coautores, entre eles pesquisadores da Alice & Bob, chegam a 126.133 qubits de gato e 9 horas.
- Google Quantum AI, com pesquisadores da Ethereum Foundation e de Stanford: menos de 500.000 qubits comuns e questão de minutos.
- Alice & Bob: no máximo 30.000 qubits de gato e cerca de uma hora.
Gouzien também é autor do novo artigo. Em três anos, a equipe reduziu a própria estimativa em quatro vezes nos qubits e em nove vezes no tempo.
O hardware conta uma história mais modesta. O Willow, o chip que o Google apresentou em dezembro de 2024, tem 105 qubits. Pelo modelo do próprio Google, um ataque exige até 500.000 desses mesmos qubits, quase cinco mil vezes mais. O roteiro da própria Alice & Bob mira um chip com 100 qubits lógicos até 2030, e isso ainda é uma meta, não um produto. Dahmun Goudarzi, criptoanalista sênior da empresa, espera que as duas curvas, a do hardware que cresce e a dos requisitos que encolhem, se cruzem no início da década de 2030. Na opinião dele, a migração do bitcoin para uma nova proteção não pode esperar: “é da maior importância que a migração comece agora”, disse Goudarzi à CoinDesk.
Congelar as moedas dos outros ou entregá-las a um ladrão
Não faltam moedas com chaves expostas. Analistas da Glassnode contaram mais de 6 milhões de bitcoins em outubro de 2026, ou 31,2% da oferta em circulação. Parte está em tipos de endereço que revelam a chave desde o início: os primeiríssimos endereços da rede, de 2009 e 2010, funcionam assim, e o formato moderno Taproot também. Mas o relatório de maio da Glassnode constatou que cerca de dois terços das chaves expostas vazaram pela forma como os endereços são tratados, e não pelo projeto da rede. Boa parte disso vem de corretoras e serviços que guardam moedas para seus clientes.
Se você guarda bitcoin em um aplicativo, provavelmente não faz ideia de em quais endereços o serviço mantém suas moedas. Segundo a contagem da Glassnode, a Robinhood tem chaves expostas para 100% dessas moedas, a Revolut para 99%, a Binance para 83%, a Coinbase para 10% e a Fidelity para cerca de 2%. As reservas de governos dos Estados Unidos, do Reino Unido e de El Salvador não mostram nenhuma. Como a CoinDesk ressalta, os números descrevem como os endereços são usados, não a que distância está um roubo.
?O que isso significa para quem tem bitcoin?
Dois hábitos expõem uma chave: reutilizar o mesmo endereço e gastar dele em partes. Um novo tipo de endereço também não salva nada sozinho: as moedas antigas terão de ser movidas para ele.
Esse tipo de endereço já existe no papel. O rascunho BIP-360, uma Proposta de Melhoria do Bitcoin que recebeu seu número em dezembro de 2024, propõe o Pay-to-Merkle-Root (P2MR), um tipo de saída que elimina o caminho de pagamento que revela a chave. Seus autores admitem que ele só protege moedas paradas por muito tempo, não uma transação nova pega numa corrida. Migrar para ele significa mover suas moedas. Quem perdeu as chaves, ou morreu, nunca moverá nada.
Isso nos leva à discussão mais feia. O programador Jameson Lopp e seus coautores traçaram um cronograma rígido num rascunho chamado BIP-361. Cerca de três anos depois de a regra entrar em vigor, a rede deixa de aceitar pagamentos para endereços vulneráveis. Dois anos depois disso, as assinaturas antigas só funcionam por meio de um protocolo de resgate especial, pensado para distinguir o dono legítimo de um ladrão quântico. As moedas que nunca forem movidas para novos endereços ficam travadas para sempre, e a oferta em circulação diminui. Os autores declaram o motivo sem rodeios: “Talvez não saibamos que o ataque está em andamento.”
As mais famosas dessas moedas estão ligadas ao criador pseudônimo do bitcoin. A Glassnode chama as moedas da era de Satoshi Nakamoto, paradas nos primeiros endereços, de a parte mais teimosa da oferta exposta. Os autores do BIP-361 admitem que, para esses endereços, hoje ninguém acha possível um protocolo de resgate, e remetem a uma proposta separada chamada Hourglass. Ou seja, até o plano deles deixa as moedas de Satoshi em suspenso. Para justificar o plano, citam o próprio Satoshi: “Moedas perdidas só fazem as moedas de todos os outros valerem um pouco mais. Pense nisso como uma doação para todos.” Depois viram a citação do avesso: “Moedas recuperadas por computação quântica só fazem as moedas de todos os outros valerem menos. Pense nisso como um roubo de todos.”
Para o bitcoin, isso beira a heresia. Desde 2009, a rede promete que as moedas respondem apenas a quem tem a chave. A alternativa não é mais bonita: um dia, milhões de moedas dormentes vão para quem construir primeiro a máquina certa. Os autores do artigo do Google sugerem um terceiro caminho, que chamam de “salvamento digital”: regras para recolocar ativos abandonados em circulação ou destruí-los, em vez de deixá-los com quem os pegar primeiro. Ninguém sabe ainda quem escreveria tais regras para uma rede que não tem dono.
A corrida pelas transações novas, em que a estimativa da Alice & Bob ainda fica para trás, também não está resolvida. A equipe ainda não calculou se mais qubits poderiam espremer o ataque para menos de dez minutos, embora Goudarzi admita que trabalhos futuros possam aproximar as estimativas dos nove minutos do Google. E ele acrescentou que não há limite óbvio para quão baixos esses números podem chegar: “Não existe piso arquitetônico.”
