// Зміст
62 хвилини й 29 588 кубітів. Саме таку ціну французька компанія Alice & Bob оцінила злам ключа від біткоїн-гаманця: її розрахунок з’явився в архіві криптографів 28 жовтня 2026 року. Навесні Google називав пів мільйона кубітів, а чотири роки тому йшлося про сотні мільйонів. Машини, здатної на таке, поки немає ні в кого.
Зате вже видно, чиї монети опиняться в черзі першими: понад 6 млн біткоїнів лежать на адресах, де потрібний злодієві ключ давно відкритий для всіх. Причому часто це залежить не від власника: у Robinhood, за підрахунками Glassnode, відкриті ключі для 100% біткоїнів клієнтів, у Coinbase для 10%. Це не вирок біткоїну, але й не привід відмахнутися.
Конверт, який розкривають під час оплати
?Як квантовий комп’ютер украв би біткоїни?
У гаманця є закритий ключ, число завдовжки 256 біт, і відкритий, який із нього обчислюють. Отримати відкритий із закритого — справа миті, а зворотний шлях звичайному комп’ютеру не під силу. Алгоритм Шора, квантовий спосіб розв’язувати такі задачі, робить посильним і його. Адреса біткоїна — відбиток відкритого ключа, і поки з адреси нічого не витрачали, сам ключ прихований, як лист у запечатаному конверті. Конверт розкривають у момент оплати: відкритий ключ потрапляє в транзакцію й стає видимим усім.
?Чим це небезпечно, якщо ключ видно лише кілька хвилин?
Сценаріїв два. Перший схожий на перегони: злодій помічає свіжу транзакцію, обчислює закритий ключ і надсилає свою, поки чужа чекає підтвердження. Новий блок у мережі біткоїна з’являється в середньому раз на 10 хвилин. Для таких перегонів 62 хвилини задовго. А от дев’яти хвилин із весняного розрахунку Google може вистачити: шанс злодія встигнути CoinDesk оцінював приблизно у 41%. Другий сценарій простіший і страшніший. Є монети, чий відкритий ключ уже лежить у блокчейні, і поспішати з ними нікуди.
Кіт, який не впускає монету
?Що саме порахували в Alice & Bob?
Нічого не зламували. Десятеро авторів роботи взяли алгоритм Шора й розклали його на окремі операції для машини, яку компанія сподівається збудувати. Так вийшов кошторис: скільки елементів потрібно і скільки часу вони працюватимуть. Для еліптичної кривої secp256k1, на якій збудовано ключі біткоїна, вийшло не більше 30 000 кубітів і близько години. Для шифру RSA-2048 кошторис інший: близько 23 000 кубітів і 3,14 доби.
?Чому кубіти називають котячими?
Якщо спростити, звичайний кубіт нагадує монету, що крутиться. Вона може впасти іншим боком, це перевертання з 0 в 1. А може збитися з ритму обертання: це другий вид помилки, втрата фази. У звичайних надпровідних кубітах доводиться ловити обидва збої одразу, і це дорого: у моделі Google один надійний «логічний» кубіт збирають приблизно з 400 фізичних. В Alice & Bob інформацію несе мікрохвильове поле в крихітному резонаторі. Його стан фізики називають котячим, на честь уявного експерименту Шредінгера: поле перебуває одразу у двох протилежних станах, як кіт одночасно живий і мертвий. Ці два стани й править за 0 та 1. Така монета майже ніколи не падає іншим боком, тож стежити лишається тільки за обертанням, і елементів потрібно значно менше.
?Де підступ?
CoinDesk порахував, що це в 17 разів дешевше, ніж у Google, але порівнював звичайні кубіти Google із куди складнішими елементами Alice & Bob. Головний підступ у припущеннях. Основна схема статті вимагає котячого кубіта, який сам перевертається приблизно раз на сто років. Найкращий результат компанії, про який вона повідомила у вересні 2025 року, — від 33 до 60 хвилин, і дані поки попередні. Між століттям і годиною різниця приблизно в мільйон разів. Автори пропонують запасний варіант із додатковим шаром захисту: тоді кубітові вистачить близько години, але елементів знадобиться майже вдвічі більше. Утім, порахували це лише для RSA, 45 000 замість 23 000; для ключа біткоїна такої оцінки в роботі немає.
Від сотень мільйонів до тридцяти тисяч
Найцікавіше в цій історії — як швидко падають оцінки. Нові заводи для цього не знадобилися: кошторис урізали математики та інженери. Вони знаходили дедалі економніші способи розкласти одну й ту саму задачу.
// Хроніка
- Математик Пітер Шор описує квантовий алгоритм, який швидко розкладає числа на множники й розв’язує задачу дискретного логарифма. На цих двох задачах тримаються RSA та підписи на еліптичних кривих.
- Команда з Університету Сассекса оцінює, скільки кубітів потрібно, щоб розкрити ключ біткоїна за кілька хвилин або годин: від 30 до 300 млн.
- Фізик Елі Гузьєн і співавтори, серед яких були працівники Alice & Bob, налічують 126 133 котячі кубіти та 9 годин.
- Google Quantum AI разом із дослідниками з Ethereum Foundation і Стенфорда: менше 500 000 звичайних кубітів і лічені хвилини.
- Alice & Bob: не більше 30 000 котячих кубітів і близько години.
Гузьєн є і серед авторів нової роботи. За три роки команда сама скоротила свою оцінку вчетверо за кубітами та в дев’ять разів за часом.
З залізом усе набагато скромніше. У чипі Willow, який Google показав у грудні 2024 року, 105 кубітів. За моделлю самого Google, на злам потрібно до 500 000 таких самих кубітів, майже в п’ять тисяч разів більше. Alice & Bob за власним планом розраховує до 2030 року випустити чип зі 100 логічними кубітами, але поки це мета, а не продукт. Старший криптоаналітик компанії Дамун Гударзі очікує, що зростаюче залізо й падаючі вимоги зустрінуться на початку 2030-х. Перехід біткоїна на новий захист, сказав він CoinDesk, «вкрай важливо почати зараз».
Заморозити чуже чи віддати злодієві
Монет із відкритими ключами чимало. Аналітики Glassnode налічили до жовтня 2026 року понад 6 млн біткоїнів, або 31,2% усіх монет в обігу. Частина лежить на адресах, які розкривають ключ одразу: так влаштовані найперші адреси 2009–2010 років і сучасний формат Taproot. Але за травневим звітом Glassnode близько двох третин відкритих ключів видала не будова мережі, а те, як поводяться з адресами. Помітна частина таких ключів — на рахунках бірж і сервісів, які зберігають монети клієнтів.
Той, хто тримає біткоїн у застосунку, зазвичай не знає, на яких адресах сервіс зберігає монети. За підрахунками Glassnode, у Robinhood відкриті ключі для 100% таких монет, у Revolut для 99%, у Binance для 83%, у Coinbase для 10%, у Fidelity близько 2%. У державних запасів США, Великої Британії та Сальвадору відкритих ключів немає. Як наголошує CoinDesk, ці цифри свідчать про те, як сервіси поводяться з адресами, а не про те, наскільки близька крадіжка.
?Що з цього випливає для власника біткоїна?
Ключ розкривають дві звички: повторно використовувати одну адресу й витрачати монети з неї частинами. А новий тип адреси, коли він з’явиться, сам по собі нічого не врятує: старі монети на нього доведеться переказати.
Така адреса вже описана в чернетці BIP-360, яка отримала номер у грудні 2024 року. Це тип Pay-to-Merkle-Root (P2MR): у нього немає способу оплати, що розкриває ключ. Автори чесно пишуть, що він захищає лише монети, які довго лежать на місці, а від перегонів за свіжою транзакцією не рятує. Перейти на нього можна, лише переказавши монети. Той, хто втратив ключі або помер, нічого нікуди не переведе.
Звідси найнеприємніша суперечка. Програміст Джеймсон Лопп із співавторами запропонував у чернетці BIP-361 жорсткий графік. Приблизно за три роки після того, як правило запрацює, мережа перестає приймати перекази на вразливі адреси. Ще за два роки старі підписи працюють лише через особливий протокол порятунку, який має відрізнити справжнього власника від квантового злодія. Монети, які так і не переказали на нові адреси, застигнуть назавжди, і біткоїнів в обігу поменшає. Причину автори називають прямо: «Ми можемо й не дізнатися, що атака вже триває».
Найвідоміші з таких монет пов’язані зі створювачем біткоїна. Glassnode називає монети доби Сатоші Накамото, що лежать на найраніших адресах, найстійкішою частиною відкритих ключів. Для цих адрес, визнають автори BIP-361, протокол порятунку за нинішніми уявленнями збудувати не можна, і вони посилаються на окрему пропозицію під назвою Hourglass. Тож навіть усередині їхнього плану незрозуміло, що буде з монетами Сатоші. На захист своєї ідеї автори цитують самого Сатоші: «Втрачені монети лише роблять трохи дорожчими монети всіх інших. Вважайте це пожертвою». І тут-таки перевертають цитату: «Монети, повернені квантовим комп’ютером, лише роблять трохи дешевшими монети всіх інших. Вважайте це крадіжкою в усіх».
Заморозка для біткоїна — майже блюзнірство. З 2009 року мережа обіцяла, що монетами розпоряджається лише той, у кого є ключ, і ніхто більше. Альтернатива теж негарна: якогось дня мільйони сплячих монет дістануться першому, хто збере потрібну машину. Автори роботи Google пропонують третій шлях, «цифрову утилізацію»: правила, за якими покинуті активи повертають в обіг або знищують, не віддаючи тому, хто встигне їх захопити. Хто і як напише такі правила для мережі без господаря, поки не знає ніхто.
Відкрите й питання про перегони за свіжими транзакціями: у них розрахунок Alice & Bob поки не встигає. Чи вкладеться машина в десять хвилин, якщо додати кубітів, команда ще не рахувала. Але Гударзі допускає, що подальша робота дасть оцінки, близькі до дев’яти хвилин Google. «Архітектурної межі немає», — каже він.
