// Содержание
62 минуты и 29 588 кубитов. В такую цену французская компания Alice & Bob оценила взлом ключа от биткоин-кошелька: её расчёт появился в архиве криптографов 28 октября 2026 года. Весной Google называл полмиллиона кубитов, а четыре года назад речь шла о сотнях миллионов. Машины, способной на такое, пока нет ни у кого.
Зато уже видно, чьи монеты окажутся в очереди первыми: больше 6 млн биткоинов лежат на адресах, где нужный вору ключ давно лежит у всех на виду. Причём часто это зависит не от владельца: у Robinhood, по подсчётам Glassnode, открыты ключи для 100% биткоинов клиентов, у Coinbase для 10%. Это не приговор биткоину, но и не повод отмахнуться.
Конверт, который вскрывают при оплате
?Как квантовый компьютер украл бы биткоины?
У кошелька есть закрытый ключ, число длиной 256 бит, и открытый, который из него вычисляют. Получить открытый из закрытого — дело мгновения, а обратный путь обычному компьютеру не по силам. Алгоритм Шора, квантовый способ решать такие задачи, делает посильным и его. Адрес биткоина — отпечаток открытого ключа, и пока с адреса ничего не тратили, сам ключ спрятан, как письмо в запечатанном конверте. Конверт вскрывают в момент оплаты: открытый ключ попадает в транзакцию и становится виден всем.
?Чем это опасно, если ключ виден всего несколько минут?
Сценариев два. Первый похож на гонку: вор замечает свежую транзакцию, вычисляет закрытый ключ и отправляет свою, пока чужая ждёт подтверждения. Новый блок в сети биткоина выходит в среднем раз в 10 минут. Для такой гонки 62 минуты слишком долго. А вот девяти минут из весеннего расчёта Google может хватить: шанс вора успеть CoinDesk оценивал примерно в 41%. Второй сценарий проще и страшнее. Есть монеты, чей открытый ключ уже лежит в блокчейне, и спешить с ними некуда.
Кот, который не роняет монету
?Что именно посчитали в Alice & Bob?
Ничего не взламывали. Десять авторов работы взяли алгоритм Шора и разложили его на отдельные операции для машины, которую компания надеется построить. Так получилась смета: сколько элементов нужно и сколько времени они будут работать. Для эллиптической кривой secp256k1, на которой построены ключи биткоина, вышло не больше 30 000 кубитов и около часа. Для шифра RSA-2048 смета другая: около 23 000 кубитов и 3,14 суток.
?Почему кубиты называют кошачьими?
Если упростить, обычный кубит похож на вращающуюся монету. Она может упасть другой стороной, это переворот из 0 в 1. А может сбиться с ритма вращения: это второй вид ошибки, потеря фазы. В обычных сверхпроводящих кубитах приходится ловить оба сбоя сразу, и это дорого: в модели Google один надёжный «логический» кубит собирают примерно из 400 физических. У Alice & Bob информацию несёт микроволновое поле в крошечном резонаторе. Его состояние физики зовут кошачьим, в честь мысленного эксперимента Шрёдингера: поле находится сразу в двух противоположных состояниях, как кот одновременно жив и мёртв. Эти два состояния и играют роль 0 и 1. Такая монета почти никогда не падает другой стороной, поэтому следить остаётся только за вращением, и элементов нужно гораздо меньше.
?Где подвох?
CoinDesk насчитал, что это в 17 раз дешевле, чем у Google, но сравнивал обычные кубиты Google с куда более сложными элементами Alice & Bob. Главный подвох в допущениях. Основная схема статьи требует кошачьего кубита, который сам переворачивается примерно раз в сто лет. Лучший результат компании, о котором она сообщила в сентябре 2025 года, — от 33 до 60 минут, и данные пока предварительные. Между веком и часом разница примерно в миллион раз. Авторы предлагают запасной вариант с дополнительным слоем защиты: тогда кубиту хватит около часа, но элементов понадобится почти вдвое больше. Но посчитали это только для RSA, 45 000 вместо 23 000; для ключа биткоина такой оценки в работе нет.
От сотен миллионов до тридцати тысяч
Самое любопытное в этой истории — как быстро падают оценки. Новые заводы для этого не понадобились: смету урезали математики и инженеры. Они находили всё более экономные способы разложить одну и ту же задачу.
// Хроника
- Математик Питер Шор описывает квантовый алгоритм, который быстро раскладывает числа на множители и решает задачу дискретного логарифма. На этих двух задачах держатся RSA и подписи на эллиптических кривых.
- Команда из Университета Сассекса оценивает, сколько кубитов нужно, чтобы вскрыть ключ биткоина за несколько минут или часов: от 30 до 300 млн.
- Физик Эли Гузьен и соавторы, среди которых были сотрудники Alice & Bob, насчитывают 126 133 кошачьих кубита и 9 часов.
- Google Quantum AI вместе с исследователями из Ethereum Foundation и Стэнфорда: меньше 500 000 обычных кубитов и считаные минуты.
- Alice & Bob: не больше 30 000 кошачьих кубитов и около часа.
Гузьен есть и среди авторов новой работы. За три года команда сама сократила свою оценку вчетверо по кубитам и в девять раз по времени.
С железом всё гораздо скромнее. В чипе Willow, который Google показал в декабре 2024 года, 105 кубитов. По модели самого Google на взлом нужно до 500 000 таких же кубитов, почти в пять тысяч раз больше. Alice & Bob по собственному плану рассчитывает к 2030 году выпустить чип со 100 логическими кубитами, но пока это цель, а не продукт. Старший криптоаналитик компании Дамун Гударзи ждёт, что растущее железо и падающие требования встретятся в начале 2030-х. Переход биткоина на новую защиту, сказал он CoinDesk, «крайне важно начать сейчас».
Заморозить чужое или отдать вору
Монет с открытыми ключами немало. Аналитики Glassnode насчитали к октябрю 2026 года больше 6 млн биткоинов, или 31,2% всех монет в обращении. Часть лежит на адресах, которые раскрывают ключ сразу: так устроены самые первые адреса 2009–2010 годов и современный формат Taproot. Но по майскому отчёту Glassnode около двух третей открытых ключей выдало не устройство сети, а то, как с адресами обращаются. Заметная часть таких ключей — на счету бирж и сервисов, которые хранят монеты клиентов.
Тот, кто держит биткоин в приложении, обычно не знает, на каких адресах сервис хранит монеты. По подсчётам Glassnode, у Robinhood открыты ключи для 100% таких монет, у Revolut для 99%, у Binance для 83%, у Coinbase для 10%, у Fidelity около 2%. У государственных запасов США, Великобритании и Сальвадора открытых ключей нет. Как подчёркивает CoinDesk, эти цифры говорят о том, как сервисы обращаются с адресами, а не о том, насколько близка кража.
?Что из этого следует владельцу биткоина?
Ключ раскрывают две привычки: повторно использовать один адрес и тратить монеты с него частями. А новый тип адреса, когда он появится, сам по себе ничего не спасёт: старые монеты на него придётся перевести.
Такой адрес уже описан в черновике BIP-360, который получил номер в декабре 2024 года. Это тип Pay-to-Merkle-Root (P2MR): у него нет способа оплаты, раскрывающего ключ. Авторы честно пишут, что он защищает только монеты, которые долго лежат на месте, а от гонки за свежей транзакцией не спасает. Перейти на него можно, только переведя монеты. Тот, кто потерял ключи или умер, ничего никуда не переведёт.
Отсюда самый неприятный спор. Программист Джеймсон Лопп с соавторами предложил в черновике BIP-361 жёсткий график. Примерно через три года после того как правило заработает, сеть перестаёт принимать переводы на уязвимые адреса. Ещё через два года старые подписи работают только через особый протокол спасения, который должен отличить настоящего владельца от квантового вора. Монеты, которые так и не перевели на новые адреса, застынут навсегда, и биткоинов в обороте станет меньше. Причину авторы называют прямо: «Мы можем и не узнать, что атака уже идёт».
Самые известные из таких монет связаны с создателем биткоина. Glassnode называет монеты эпохи Сатоши Накамото, лежащие на самых ранних адресах, самой стойкой частью открытых ключей. Для этих адресов, признают авторы BIP-361, протокол спасения по нынешним представлениям построить нельзя, и они отсылают к отдельному предложению под названием Hourglass. Так что даже внутри их плана неясно, что будет с монетами Сатоши. В защиту своей идеи авторы цитируют самого Сатоши: «Потерянные монеты лишь делают чуть дороже монеты всех остальных. Считайте это пожертвованием». И тут же переворачивают цитату: «Монеты, возвращённые квантовым компьютером, лишь делают чуть дешевле монеты всех остальных. Считайте это кражей у всех».
Заморозка для биткоина — почти святотатство. С 2009 года сеть обещала, что монетами распоряжается только тот, у кого ключ, и никто больше. Альтернатива тоже некрасивая: в какой-то день миллионы спящих монет достанутся первому, кто соберёт нужную машину. Авторы работы Google предлагают третий путь, «цифровую утилизацию»: правила, по которым брошенные активы возвращают в оборот или уничтожают, не отдавая тому, кто успеет их захватить. Кто и как напишет такие правила для сети без хозяина, пока не знает никто.
Открыт и вопрос о гонке за свежими транзакциями: в ней расчёт Alice & Bob пока не успевает. Уложится ли машина в десять минут, если добавить кубитов, команда ещё не считала. Но Гударзи допускает, что дальнейшая работа даст оценки, близкие к девяти минутам Google. «Архитектурного предела нет», — говорит он.
