// Obsah
62 minút a 29 588 kubitov. Za takú cenu odhadla francúzska firma Alice & Bob prelomenie kľúča od bitcoinovej peňaženky: jej výpočet sa objavil v archíve kryptografov 28. októbra 2026. Na jar Google spomínal pol milióna kubitov a pred štyrmi rokmi sa hovorilo o stovkách miliónov. Stroj, ktorý by to dokázal, zatiaľ nemá nikto.
Už je však vidieť, ktorých mincí sa útok dotkne ako prvých: viac ako 6 mil. bitcoinov leží na adresách, kde kľúč, ktorý zlodej potrebuje, dávno leží na očiach všetkých. A často to nezávisí od majiteľa: pri Robinhoode sú podľa odhadov Glassnode otvorené kľúče pri 100 % bitcoinov klientov, pri Coinbase pri 10 %. Bitcoinu to nie je rozsudok, ale nie je to ani dôvod mávnuť nad tým rukou.
Obálka, ktorú otvoria pri platbe
?Ako by kvantový počítač ukradol bitcoiny?
Peňaženka má súkromný kľúč, číslo dlhé 256 bitov, a verejný, ktorý sa z neho vypočíta. Získať verejný kľúč zo súkromného je záležitosť okamihu, no opačná cesta je pre bežný počítač neprekonateľná. Shorov algoritmus, kvantový spôsob riešenia takýchto úloh, ju robí zvládnuteľnou. Bitcoinová adresa je odtlačok verejného kľúča a kým sa z adresy nič neminulo, samotný kľúč je ukrytý ako list v zalepenej obálke. Obálku otvoria v okamihu platby: verejný kľúč sa dostane do transakcie a stane sa viditeľným pre všetkých.
?Prečo je to nebezpečné, ak je kľúč vidieť len pár minút?
Scenáre sú dva. Prvý sa podobá na preteky: zlodej si všimne čerstvú transakciu, vypočíta súkromný kľúč a pošle vlastnú, kým tá cudzia čaká na potvrdenie. Nový blok v bitcoinovej sieti vychádza v priemere raz za 10 minút. Na takéto preteky je 62 minút príliš veľa. No deväť minút z jarného výpočtu Googlu by mohlo stačiť: šancu zlodeja stihnúť to odhadol CoinDesk približne na 41 %. Druhý scenár je jednoduchší a hroznejší. Existujú mince, ktorých verejný kľúč už leží v blockchaine, a s nimi sa nikam neponáhľa.
Mačka, ktorá nepustí mincu
?Čo presne vypočítali v Alice & Bob?
Nič neprelomili. Desať autorov práce vzalo Shorov algoritmus a rozložilo ho na jednotlivé operácie pre stroj, ktorý chce firma postaviť. Vznikol tak rozpočet: koľko prvkov treba a ako dlho budú pracovať. Pre eliptickú krivku secp256k1, na ktorej stoja bitcoinové kľúče, vyšlo najviac 30 000 kubitov a asi hodina. Pre šifru RSA-2048 je rozpočet iný: približne 23 000 kubitov a 3,14 dňa.
?Prečo sa kubity volajú mačacie?
Zjednodušene, bežný kubit sa podobá na točiacu sa mincu. Môže dopadnúť na druhú stranu, to je prevrátenie z 0 na 1. Alebo môže vypadnúť z rytmu otáčania: to je druhý druh chyby, strata fázy. V bežných supravodivých kubitoch treba chytať obe poruchy naraz a to je drahé: v Googlovom modeli sa jeden spoľahlivý „logický“ kubit skladá zhruba zo 400 fyzických. V Alice & Bob nesie informáciu mikrovlnné pole v drobnom rezonátore. Jeho stav fyzici nazývajú mačací, podľa Schrödingerovho myšlienkového experimentu: pole je naraz v dvoch protikladných stavoch, ako je mačka súčasne živá aj mŕtva. Tieto dva stavy zohrávajú úlohu 0 a 1. Taká minca takmer nikdy nepadne na druhú stranu, takže stačí sledovať už len otáčanie a prvkov je treba oveľa menej.
?Kde je háčik?
CoinDesk vyrátal, že je to 17-krát lacnejšie než pri Googli, ale porovnával bežné kubity Googlu s oveľa zložitejšími prvkami Alice & Bob. Hlavný háčik je v predpokladoch. Základná schéma štúdie vyžaduje mačací kubit, ktorý sa sám prevráti približne raz za sto rokov. Najlepší výsledok firmy, o ktorom informovala v septembri 2025, je od 33 do 60 minút a údaje sú zatiaľ predbežné. Medzi storočím a hodinou je rozdiel zhruba miliónnásobný. Autori navrhujú záložný variant s dodatočnou vrstvou ochrany: vtedy kubitu stačí približne hodina, ale prvkov bude treba skoro dvakrát viac. No vypočítali to len pre RSA, 45 000 namiesto 23 000; pre bitcoinový kľúč takýto odhad v práci nie je.
Od stoviek miliónov k tridsiatim tisícom
Najzaujímavejšie na tomto príbehu je, ako rýchlo odhady klesajú. Nové továrne na to netreba: rozpočet zoškrtali matematici a inžinieri. Nachádzali stále úspornejšie spôsoby, ako rozložiť tú istú úlohu.
// Časová os
- Matematik Peter Shor opisuje kvantový algoritmus, ktorý rýchlo rozkladá čísla na činitele a rieši problém diskrétneho logaritmu. Na týchto dvoch úlohách stoja RSA a podpisy na eliptických krivkách.
- Tím z Univerzity v Sussexe odhaduje, koľko kubitov treba na prelomenie bitcoinového kľúča za niekoľko minút alebo hodín: od 30 do 300 mil..
- Fyzik Élie Gouzien a spoluautori, medzi ktorými boli zamestnanci Alice & Bob, vyrátavajú 126 133 mačacích kubitov a 9 hodín.
- Google Quantum AI spolu s výskumníkmi z Ethereum Foundation a Stanfordu: menej ako 500 000 bežných kubitov a pár minút.
- Alice & Bob: najviac 30 000 mačacích kubitov a približne hodina.
Gouzien je aj medzi autormi novej práce. Za tri roky tím sám znížil svoj odhad štvornásobne v kubitoch a deväťnásobne v čase.
So železom je to oveľa skromnejšie. V čipe Willow, ktorý Google ukázal v decembri 2024, je 105 kubitov. Podľa modelu samotného Googlu treba na prelomenie až 500 000 takýchto kubitov, takmer päťtisíckrát viac. Alice & Bob podľa vlastného plánu počíta, že do roku 2030 vydá čip so 100 logickými kubitmi, no zatiaľ je to cieľ, nie produkt. Starší kryptoanalytik firmy Damoun Goudarzi očakáva, že rastúce železo a klesajúce nároky sa stretnú na začiatku 2030-tych rokov. Prechod bitcoinu na novú ochranu je podľa jeho slov pre CoinDesk „mimoriadne dôležité začať teraz“.
Zmraziť cudzie, alebo dať zlodejovi
Mincí s otvorenými kľúčmi je veľa. Analytici Glassnode napočítali do októbra 2026 viac ako 6 mil. bitcoinov, čiže 31,2 % všetkých mincí v obehu. Časť leží na adresách, ktoré kľúč odhaľujú hneď: tak sú zostavené úplne prvé adresy z rokov 2009 – 2010 a moderný formát Taproot. No podľa májovej správy Glassnode asi dve tretiny otvorených kľúčov nevyzradilo zariadenie siete, ale to, ako sa s adresami zaobchádza. Značná časť takýchto kľúčov je na účtoch búrz a služieb, ktoré držia mince klientov.
Kto drží bitcoin v aplikácii, zvyčajne nevie, na ktorých adresách služba mince uchováva. Podľa odhadov Glassnode sú pri Robinhoode otvorené kľúče pri 100 % takýchto mincí, pri Revolute pri 99 %, pri Binance pri 83 %, pri Coinbase pri 10 %, pri Fidelity približne pri 2 %. Štátne zásoby USA, Veľkej Británie a Salvádoru otvorené kľúče nemajú. Ako zdôrazňuje CoinDesk, tieto čísla hovoria o tom, ako služby zaobchádzajú s adresami, nie o tom, ako blízko je krádež.
?Čo z toho vyplýva pre majiteľa bitcoinu?
Kľúč prezrádzajú dva zvyky: opakovane používať jednu adresu a míňať z nej mince po častiach. A nový typ adresy, keď sa objaví, sám nič nezachráni: staré mince treba na neho previesť.
Taká adresa je už opísaná v návrhu BIP-360, ktorý dostal číslo v decembri 2024. Je to typ Pay-to-Merkle-Root (P2MR): nemá spôsob platby, ktorý by odhalil kľúč. Autori úprimne píšu, že chráni iba mince, ktoré dlho ležia na mieste, a pred pretekmi o čerstvú transakciu nezachráni. Prejsť naň sa dá, len ak mince previediete. Ten, kto stratil kľúče alebo zomrel, nič nikam neprevedie.
Odtiaľ pramení najnepríjemnejší spor. Programátor Jameson Lopp so spoluautormi navrhol v návrhu BIP-361 tvrdý harmonogram. Zhruba tri roky po tom, ako pravidlo začne platiť, prestane sieť prijímať prevody na zraniteľné adresy. O ďalšie dva roky budú staré podpisy fungovať len cez osobitný záchranný protokol, ktorý má odlíšiť skutočného majiteľa od kvantového zlodeja. Mince, ktoré sa nepodarilo previesť na nové adresy, zamrznú navždy a bitcoinov v obehu bude menej. Dôvod autori uvádzajú priamo: „Možno ani nezistíme, že útok už prebieha.“
Najznámejšie z takýchto mincí sa spájajú s tvorcom bitcoinu. Glassnode označuje mince z čias Satoshiho Nakamota, ležiace na najstarších adresách, za najodolnejšiu časť otvorených kľúčov. Pre tieto adresy, pripúšťajú autori BIP-361, sa záchranný protokol podľa dnešných predstáv zostrojiť nedá a odkazujú na samostatný návrh s názvom Hourglass. Takže aj v rámci ich plánu je nejasné, čo bude s mincami Satoshiho. Na obranu svojho nápadu autori citujú samotného Satoshiho: „Stratené mince len mierne zdražujú mince všetkých ostatných. Považujte to za darovanie.“ A hneď citát obrátia: „Mince vrátené kvantovým počítačom len mierne zlacňujú mince všetkých ostatných. Považujte to za krádež od všetkých.“
Zmrazenie je pre bitcoin takmer svätokrádež. Od roku 2009 sieť sľubovala, že s mincami nakladá len ten, kto má kľúč, a nikto iný. Alternatíva je tiež škaredá: v jeden deň sa milióny driemajúcich mincí dostanú prvému, kto zostaví potrebný stroj. Autori práce Googlu navrhujú tretiu cestu, „digitálnu recykláciu“: pravidlá, podľa ktorých sa opustené aktíva vrátia do obehu alebo zničia, bez toho, aby pripadli tomu, kto ich stihne ako prvý zabrať. Kto a ako takéto pravidlá napíše pre sieť bez pána, zatiaľ nevie nikto.
Otvorená je aj otázka pretekov o čerstvé transakcie: v nich výpočet Alice & Bob zatiaľ nestačí. Či sa stroj zmestí do desiatich minút, ak pridáme kubity, tím ešte nepočítal. Goudarzi však pripúšťa, že ďalšia práca dá odhady blízke deviatim minútam Googlu. „Architektonický strop neexistuje,“ hovorí.
