// Innehåll
62 minuter och 29 588 qubits. Så mycket kostar det, enligt det franska kvantföretaget Alice & Bob, att knäcka nyckeln till en bitcoinplånbok. Uppskattningen finns i en resursberäkning som lades upp i kryptografernas preprintarkiv den 28 oktober 2026. I våras landade Googles siffra på en halv miljon qubits. För fyra år sedan talade forskarna om hundratals miljoner. Ingen äger ännu en maskin som kan göra det här.
Det är ändå redan tydligt vems mynt som skulle drabbas först: mer än 6 miljoner bitcoin ligger på adresser där den nyckel en tjuv behöver är fullt synlig. Ofta har det inget med ägaren att göra: enligt Glassnodes räkning har Robinhood blottade nycklar för 100 procent av kundernas bitcoin, Coinbase för 10 procent. Inget av detta dömer ut bitcoin. Men man ska inte rycka på axlarna åt det heller.
Ett kuvert som öppnas när du betalar
?Hur skulle en kvantdator stjäla bitcoin?
En plånbok har en privat nyckel, ett 256-bitarstal, och en publik nyckel som räknas fram ur den. Framåt går det på ett ögonblick; bakåt är det utom räckhåll för varje vanlig dator. Shors algoritm, en kvantmetod för problem av just det här slaget, gör vägen bakåt möjlig. En bitcoinadress är ett fingeravtryck av den publika nyckeln, och tills mynt har spenderats från adressen förblir själva nyckeln dold, som ett brev i ett förseglat kuvert. Betalningen rycker upp kuvertet: den publika nyckeln hamnar i transaktionen, där alla kan se den.
?Varför spelar det roll om nyckeln syns bara några minuter?
Det finns två sätt att angripa. Det första är ett lopp: en tjuv upptäcker en ny transaktion, räknar ut den privata nyckeln och sänder ut en konkurrerande medan den ursprungliga väntar på bekräftelse. Ett nytt bitcoinblock kommer ungefär var tionde minut. För det loppet är 62 minuter för långsamt, men de nio minuterna i Googles vårberäkning räcker: CoinDesk bedömde tjuvens chans att vinna till ungefär 41 procent. Det andra är enklare och otäckare. Vissa mynt har redan sin publika nyckel liggande på blockkedjan, och med dem finns ingen brådska alls.
Katten som inte tappar myntet
?Vad har Alice & Bob egentligen räknat ut?
Ingen knäckte något. Artikelns tio författare tog Shors algoritm och bröt ner den i enskilda operationer för en maskin som företaget hoppas bygga. Resultatet är en materialförteckning: hur många komponenter, och hur länge de måste arbeta. För secp256k1, den elliptiska kurva som bitcoinnycklarna bygger på, blev det högst 30 000 qubits och ungefär en timme. För RSA-2048, en vitt spridd krypteringsstandard, blir räkningen ungefär 23 000 qubits och 3,14 dygn.
?Varför kallas de kattqubits?
Enkelt uttryckt är en vanlig qubit som ett snurrande mynt. Det kan landa på fel sida: en bitflipp, från 0 till 1. Eller så kan det börja vingla ur sin snurrning, det andra felet, som kallas fasförlust. Maskiner byggda på vanliga supraledande qubits måste skydda sig mot båda samtidigt, och det blir dyrt: i Googles modell går det åt omkring 400 fysiska qubits för en pålitlig “logisk” qubit. Alice & Bob lagrar informationen i ett mikrovågsfält som fångats i en liten resonator. Fysiker kallar dess tillstånd ett “kattillstånd”, efter Schrödingers tankeexperiment: fältet befinner sig i två motsatta tillstånd på en gång, som katten som är både levande och död, och de två tillstånden fungerar som 0 och 1. Det här myntet landar nästan aldrig på fel sida, så det är bara snurrningen som behöver bevakas, och maskinen klarar sig med betydligt färre komponenter.
?Var finns haken?
CoinDesk räknade ut att det här är 17 gånger billigare än Googles uppskattning, men jämförelsen ställer Googles vanliga qubits mot Alice & Bobs mycket mer avancerade komponenter. En större hake gömmer sig i antagandena. Artikelns huvudutförande kräver en kattqubit som vänder sig av sig själv bara ungefär en gång per sekel. Företagets bästa resultat, presenterat i september 2025, var 33 till 60 minuter, och även det är preliminärt. Ett sekel mot en timme: en skillnad på ungefär en miljon gånger. Författarna erbjuder en reservlösning med ett extra lager felskydd. Där räcker en qubit som håller i ungefär en timme, men maskinen behöver nästan dubbelt så många komponenter. Den siffran finns i artikeln bara för RSA, 45 000 i stället för 23 000; för en bitcoinnyckel finns ingen sådan siffra.
Från hundratals miljoner till trettiotusen
Det mest slående i historien är hur snabbt uppskattningarna fortsätter att falla. Inget av det kom från ny hårdvara. Matematiker och ingenjörer pressade ner räkningen genom att hitta allt slankare sätt att lägga upp samma problem.
// Tidslinje
- Matematikern Peter Shor beskriver en kvantalgoritm som snabbt faktoriserar tal och löser det diskreta logaritmproblemet. RSA och elliptiska signaturer vilar på just de två problemen.
- Ett team vid University of Sussex uppskattar antalet qubits som krävs för att knäcka en bitcoinnyckel på minuter till timmar: 30 till 300 miljoner.
- Fysikern Élie Gouzien och medförfattare, bland dem forskare på Alice & Bob, landar i 126 133 kattqubits och 9 timmar.
- Google Quantum AI, tillsammans med forskare från Ethereum Foundation och Stanford: färre än 500 000 vanliga qubits och några minuter.
- Alice & Bob: högst 30 000 kattqubits och ungefär en timme.
Gouzien är författare till den nya artikeln också. På tre år har teamet skurit ner sin egen uppskattning fyra gånger i qubits och nio gånger i tid.
Hårdvaran berättar en blygsammare historia. Willow, chippet som Google presenterade i december 2024, har 105 qubits. Enligt Googles egen modell krävs upp till 500 000 sådana qubits för ett angrepp, nästan fem tusen gånger fler. Alice & Bobs egen färdplan siktar på ett chipp med 100 logiska qubits till 2030, och det är fortfarande ett mål, inte en produkt. Dahmun Goudarzi, företagets senior kryptoanalytiker, räknar med att de två kurvorna, växande hårdvara och krympande krav, korsas i början av 2030-talet. Enligt honom kan flytten av bitcoin till nytt skydd inte vänta: “it becomes of utmost importance that migration starts now”, sa Goudarzi till CoinDesk.
Frys någon annans mynt eller lämna dem till en tjuv
Det råder ingen brist på mynt med blottade nycklar. Analytiker på Glassnode räknade i oktober 2026 till mer än 6 miljoner bitcoin, eller 31,2 procent av det cirkulerande utbudet. Några ligger på adresstyper som avslöjar nyckeln från första början: nätverkets allra första adresser från 2009 och 2010 fungerar så, liksom det moderna Taproot-formatet. Men Glassnodes majrapport fann att ungefär två tredjedelar av de blottade nycklarna läckte genom hur adresserna hanteras, inte genom nätverkets konstruktion. Mycket av det kommer från börser och tjänster som förvarar mynt åt sina kunder.
Om du har bitcoin i en app har du förmodligen ingen aning om vilka adresser tjänsten förvarar dina mynt på. Enligt Glassnodes räkning har Robinhood blottade nycklar för 100 procent av de mynten, Revolut för 99 procent, Binance för 83 procent, Coinbase för 10 procent och Fidelity för ungefär 2 procent. Statliga innehav i USA, Storbritannien och El Salvador visar inga alls. Som CoinDesk understryker beskriver siffrorna hur adresser används, inte hur nära ett stöldförsök är.
?Vad betyder det här för den som äger bitcoin?
Två vanor blottar en nyckel: att återanvända samma adress och att spendera från den i omgångar. En ny adresstyp räddar heller ingenting av sig själv: gamla mynt måste flyttas dit.
Den adresstypen finns redan på papper. Utkastet BIP-360, ett Bitcoin Improvement Proposal som fick sitt nummer i december 2024, föreslår Pay-to-Merkle-Root (P2MR), en utdatatyp som tar bort betalningsvägen som avslöjar nyckeln. Dess författare medger att den bara skyddar mynt som ligger stilla länge, inte en ny transaktion som fastnat i ett lopp. Att byta till den innebär att flytta sina mynt. Den som tappat sina nycklar, eller dött, kommer aldrig att flytta något.
Det leder till den fulaste striden. Programmeraren Jameson Lopp och hans medförfattare lade fram en sträng tidtabell i ett utkast som heter BIP-361. Ungefär tre år efter att regeln aktiverats slutar nätverket ta emot betalningar till sårbara adresser. Två år därefter fungerar gamla signaturer bara via ett särskilt räddningsprotokoll som ska skilja den verkliga ägaren från en kvanttjuv. Mynt som aldrig flyttas till nya adresser blir kvar för alltid, och det cirkulerande utbudet krymper. Författarna anger sitt skäl rakt ut: “We may not know the attack is underway.”
De mest berömda av de här mynten är kopplade till bitcoins pseudonyme skapare. Glassnode kallar mynten från Satoshi Nakamotos tid, parkerade på de tidigaste adresserna, den mest envisa delen av det blottade utbudet. BIP-361:s författare medger att ingen för närvarande tror att ett räddningsprotokoll är möjligt för de adresserna, och de skjuter över frågan till ett separat förslag som heter Hourglass. Så även deras egen plan lämnar Satoshis mynt i limbo. För att motivera planen citerar de Satoshi själv: “Lost coins only make everyone else’s coins worth slightly more. Think of it as a donation to everyone.” Sedan vänder de på citatet: “Quantum recovered coins only make everyone else’s coins worth less. Think of it as a theft from everyone.”
För bitcoin är det nära kätteri. Sedan 2009 har nätverket lovat att mynt svarar bara inför den som håller nyckeln. Alternativet är inte vackrare: en dag går miljontals vilande mynt till den som först bygger rätt maskin. Författarna till Googles artikel föreslår en tredje väg som de kallar “digital salvage”: regler för att föra tillbaka övergivna tillgångar i omlopp eller förstöra dem, i stället för att låta den som först griper dem behålla dem. Ingen vet ännu vem som skulle skriva sådana regler för ett nätverk som saknar ägare.
Loppet om nya transaktioner, där Alice & Bobs uppskattning fortfarande ligger efter, är inte avgjort heller. Teamet har ännu inte räknat ut om fler qubits kunde pressa angreppet under tio minuter, även om Goudarzi medger att fortsatt arbete kan föra uppskattningarna nära Googles nio minuter. Och han tillade att det inte finns någon uppenbar gräns för hur låga siffrorna kan bli: “There is no architectural floor.”
