Kunnen quantumcomputers Bitcoin kraken? Wat loopt echt risico

Kort antwoord

De dreiging geldt voor bestedingshandtekeningen, niet voor de regels van Bitcoin

Een toekomstige cryptografisch relevante quantumcomputer zou privésleutels kunnen afleiden uit zichtbare openbare secp256k1-sleutels. Munten met langdurig zichtbare sleutels zouden het eerst doelwit zijn; verse outputs waarvan de sleutel achter een hash zit, lopen vooral risico tijdens het uitgeven. Bitcoin kan via een consensuswijziging post-quantumautorisatie toevoegen, maar de voornaamste voorstellen uit 2026 zijn nog concepten of ontwerpen in bespreking.

• Geen bekende quantumcomputer kan vandaag Bitcoin stelen en er bestaat geen betrouwbare datum waarop dat wel kan.
• Het algoritme van Shor bedreigt ECDSA- en Schnorr-handtekeningen; bekende miningaanvallen met Grover zijn veel minder praktisch.
• BIP360, P2TRv2, SHRINCS en BIP361 lossen verschillende delen van de migratie op. Geen ervan is een volledig uitgerolde verdediging.

Wat een quantumcomputer werkelijk zou kunnen breken

Bitcoin gebruikt ECDSA voor oudere outputs en BIP340 Schnorr-handtekeningen voor Taproot. Beide steunen op de moeilijkheid van het elliptische-curve-discrete-logaritmeprobleem op secp256k1. Het algoritme van Shor zou dit op een grote, foutgecorrigeerde quantumcomputer kunnen oplossen en zo uit een bekende openbare sleutel een privésleutel afleiden. Zie de BIP340-specificatie en een peer-reviewed analyse van de benodigde capaciteit uit 2026.

Een aanvaller zou daarna een geldige bestedingshandtekening kunnen vervalsen. Daarmee wordt geen herstelzin uit een adreshash gehaald, veranderen de consensusregels niet en ontstaan er geen extra bitcoins.

Waarom handtekeningen belangrijker zijn dan mining

In discussies worden de algoritmen van Shor en Grover vaak op één hoop gegooid. Shor levert de gevaarlijke doorbraak tegen elliptische-curvehandtekeningen. Grover geeft een theoretische kwadratische versnelling bij het doorzoeken van een hashfunctie zoals SHA-256, maar maakt een 256-bits hash niet eenvoudig te breken.

De PRX-analyse uit 2026 acht mining met Grover onpraktisch bij bekende architecturen. Foutcorrectie neemt een groot deel van het voordeel weg, quantumzoekwerk schaalt slecht parallel en klassieke miners hashen al op enorme schaal. De moeilijkheidsgraad zou zich bovendien aanpassen aan blijvende veranderingen. Lees de volledige Bitcoin-analyse.

Een aanvaller hoeft het netwerk dus niet te overtreffen in mining om een blootgestelde output te stelen. De bijbehorende ondertekeningssleutel herstellen is de directere dreiging.

Welke bitcoins het eerst blootstaan

De eerste categorie bestaat uit langdurig zichtbare openbare sleutels. P2PK-outputs plaatsen een openbare sleutel rechtstreeks on-chain. Ook Taproot P2TR-outputs leggen een x-only openbare sleutel in de output vast. Hergebruik van een adres kan na een eerdere uitgave de sleutel achter een resterend P2PKH- of P2WPKH-saldo onthullen. Het delen van een xpub of descriptor kan buiten de blockchain veel afgeleide sleutels prijsgeven.

Nieuwe P2PKH-, P2WPKH-, P2SH- en P2WSH-outputs verbergen een sleutel of script tot het uitgeven achter een hash. Dat beperkt het risico in rust als niets is hergebruikt of elders gedeeld. Bij uitgave ontstaat alsnog een korter aanvalsvenster in de mempool of tijdens een reorganisatie.

Definities zijn bepalend. Het PRX-onderzoek telt ruim 1,7 miljoen BTC in rechtstreeks blootgestelde P2PK-outputs. Het concept van BIP361 gebruikt een bredere maatstaf en stelt dat op 1 maart 2026 voor meer dan 34% van de bitcoins een openbare sleutel was onthuld. Deze cijfers zijn niet onderling uitwisselbaar.

Er bestaat niet één eerlijk aantal qubits

Logische qubits voeren een foutgecorrigeerd algoritme uit; fysieke qubits zijn de ruisgevoelige hardware waaruit ze worden opgebouwd. De omzetting hangt af van architectuur, foutpercentage, kloksnelheid, foutcorrectie en looptijd.

Het peer-reviewed onderzoek onder leiding van Google schat 1.200 tot 1.450 logische qubits en 70 tot 90 miljoen Toffoli-poorten. Onder de aannames voor een supergeleidende architectuur zou een aanval in minuten kunnen draaien met minder dan 500.000 fysieke qubits. Een preprint uit juli verlaagt de logische breedte naar 835 qubits. Een preprint uit september modelleert daarentegen 19.397 fysieke trapped-ionqubits en 25,7 dagen op een gespecialiseerde architectuur die nog niet is gebouwd.

Dit zijn verbeterende modellen, geen bestaande machines. Volgens NIST blijven grote technische obstakels bestaan en lopen deskundige tijdschattingen uiteen van enkele jaren tot enkele decennia.

P2MR en P2TRv2 kiezen verschillende migratieroutes

Het concept van BIP360 Pay-to-Merkle-Root, of P2MR, stelt een SegWit-output van versie 2 voor die met bc1z begint. Het verwijdert het sleutelpad van Taproot en legt een scriptboomwortel vast. Daardoor kunnen elliptische-curvesleutels verborgen blijven, terwijl een toekomstig upgradepad voor handtekeningen behouden blijft.

P2MR voegt zelf geen post-quantumhandtekening toe. Een elliptische-curvesleutel in een scriptblad kan tijdens het uitgeven kwetsbaar worden en hergebruik kan het voordeel tenietdoen. De witness is groter dan bij een Taproot-sleuteluitgave, maar kleiner dan bij een vergelijkbare Taproot-scriptuitgave.

P2TRv2 is een ontwerpidee, geen toegewezen BIP. Het zou op Taproot lijken, post-quantumgeschikte scriptbladen toevoegen en later uitgaven met elliptische curves uitschakelen. Bekende tarieven en werkprocessen kunnen adoptie bevorderen, maar het outputpunt blijft tot die uitschakeling zichtbaar. In zijn vergelijking behandelt Pieter Wuille P2TRv2 en P2MR als aanvullende opties.

SHRINCS is compact voor PQC, maar nog steeds groot

Het SHRINCS-concept combineert een compact, stateful FXMSS-pad met een stateless SLH-DSA-terugvaloptie. Het noemt een openbare sleutel van 48 bytes, stateful handtekeningen van 548 tot 4.619 bytes en een stateless handtekening van 5.777 bytes.

Hergebruik van een statusteller kan vervalsing mogelijk maken. Als de status onzeker is, moet de wallet de grotere terugvaloptie gebruiken. Het concept definieert alleen een handtekening; opcodes, outputtypen, kosten en activatie vergen afzonderlijk werk.

NIST heeft het roostergebaseerde ML-DSA in FIPS 204 en het hashgebaseerde SLH-DSA in FIPS 205 definitief vastgesteld. SHRINCS neemt onderdelen van FIPS 205 over, maar gebruikt een niet-standaard parameterset. Het concept vermeldt bovendien dat een veiligheidsbewijs nog ontbreekt. Het mag daarom niet als een door NIST goedgekeurde Bitcoin-handtekening worden omschreven.

Migratie en redding zijn bestuurlijke vraagstukken

BIP361 is afhankelijk van een toekomstige BIP voor post-quantumhandtekeningen. Fase A zou ongeveer 160.000 blokken, oftewel drie jaar, na activatie nieuwe betalingen naar kwetsbare outputtypen beperken. Fase B zou twee jaar later uitgaven met verouderde handtekeningen aanscherpen en reddingsregels toevoegen.

Dat roept vragen op over slapende eigenaars, verloren sleutels en munten waarvoor geen extra geheim kan worden bewezen. De BIP-repository benadrukt dat publicatie geen consensus of adoptie betekent.

DropKick is een schets voor redding via commit en reveal. Een eigenaar legt eerst een post-quantumsleutel en eerder geheime kennis vast en onthult beide na een wachttijd. Daarvoor moeten PQ-handtekeningen al bestaan. P2PK-munten vallen erbuiten en het ontwerp voegt aannames over censuur door miners toe.

Wat bezitters en beheerders nu kunnen doen

Verplaats geen geld overhaast naar een ongetest formaat of een dienst die beweert quantumproof te zijn. Er is geen voorgestelde PQ-output actief. Vermijd sleutelhergebruik, deel xpubs zo weinig mogelijk en bewaar betrouwbare seedback-ups om vermijdbare blootstelling te beperken en toekomstige migratie mogelijk te houden.

De zichtbare Taproot-sleutel is een overweging voor langdurige blootstelling, geen huidige exploit. Adreskeuzes raken ook compatibiliteit, privacy en kosten. Volg de richtlijnen van onderhouden wallets in plaats van geld te verplaatsen vanwege een krantenkop over qubits.

Bewaarpartijen en ontwikkelaars moeten blootstelling inventariseren, sleutelhergebruik tussen blockchains opsporen, crypto-agile wallets testen en klantmigratie plannen. Volg de ontwikkelingen op de themapagina van Bitcoin Optech.

Checklist voor quantumrisico bij Bitcoin

Gebruik deze checklist om verstandige voorbereiding van speculatie te onderscheiden. Dit is geen advies om Bitcoin te verplaatsen, kopen of verkopen.

1. Vermijd hergebruik van adressen en sleutels

   Een eerdere uitgave kan de openbare sleutel achter een resterend saldo onthullen. Gebruik onderhouden walletsoftware die voor ontvangsten nieuwe adressen maakt.

2. Beperk het delen van xpubs

   Een uitgebreide openbare sleutel kan veel afgeleide sleutels onthullen. Deel walletdescriptors alleen met diensten waarvan u de toegang en bewaartermijn begrijpt.

3. Bewaar herstelgegevens zorgvuldig

   Voor toekomstige migratie is legitieme controle nodig. Bewaar geteste seedback-ups en gedocumenteerde herstelprocedures. Voer een seed nooit in op een website voor quantummigratie.

4. Maak onderscheid tussen logische en fysieke qubits

   Wees kritisch op een precieze kraakdatum of qubitclaim zonder aannames over architectuur, foutpercentage, looptijd en foutcorrectie.

5. Controleer de status van een voorstel

   Een concept, BIP-publicatie, Bitcoin Core-implementatie en mainnetactivatie zijn aparte mijlpalen. Geen van de beschreven PQ-uitgaven is actief.

6. Plan de operationele migratie

   Instellingen moeten blootgestelde sleutels, hergebruik tussen blockchains, hardwareafhankelijkheden en benodigde klantcommunicatie inventariseren.

De rol van TurboStrategy: uitvoeringssoftware, geen quantumbeveiliging

TurboStrategy is geen product voor quantumbeveiliging. Het maakt Bitcoin-adressen, beursbewaring, API-sleutels of het Bitcoin-protocol niet quantumbestendig en kan munten niet beschermen tegen een toekomstige cryptografische doorbraak.

TurboStrategy levert software voor een vooraf bepaalde BTC/USDC-spotstrategie nadat een klant een ondersteunde beurs heeft verbonden, kapitaal heeft toegewezen en de software heeft geactiveerd. De activa blijven op de beurs van de klant. Door de klant geautoriseerde API-toegang is beperkt tot handelen; rechten voor opnames en overboekingen zijn niet nodig.

Uitvoering op basis van regels kan helpen om een handelsproces los te houden van alarmerende krantenkoppen. Ze kan markt-, beurs-, software-, bewaar- of cryptografisch risico niet wegnemen en garandeert geen resultaat. Bekijk vóór gebruik de volledige risicoverklaring.

Conclusie: een echt migratievraagstuk, geen huidige kraak

Bitcoin wordt momenteel niet door quantumcomputers gekraakt. De geloofwaardige dreiging op lange termijn is smaller en concreter: Shor zou uiteindelijk de handtekeningen voor uitgaven kunnen vervalsen, waarbij reeds zichtbare openbare sleutels aantrekkelijke eerste doelwitten zijn.

De voorstellen uit 2026 verdelen het werk. P2MR en P2TRv2 onderzoeken waar munten moeten worden vastgelegd, SHRINCS hoe ze kunnen worden ondertekend, BIP361 hoe migratie kan worden afgedwongen en DropKick hoe sommige late overstappers mogelijk kunnen herstellen. De afwegingen tonen dat geen enkel voorstel een volledige oplossing is.

Voorbereiding is verstandig omdat cryptografische migraties jaren duren. Zekerheid over een Q-dayvoorspelling is niet nodig, maar nauwkeurigheid wel: onderzoeksmodellen zijn geen werkende aanvalsmachines en conceptvoorstellen zijn geen uitgerolde bescherming.

Veelgestelde vragen

Kan een quantumcomputer vandaag Bitcoin stelen?

Geen publiek aangetoonde quantumcomputer kan momenteel een secp256k1-privésleutel herstellen. Het risico berust op toekomstige fouttolerante machines en verbeterende capaciteitsramingen, niet op een bekende huidige exploit.

Hoeveel qubits zijn nodig om Bitcoin te kraken?

Er bestaat niet één aantal. Ramingen uit 2026 lopen van honderden logische qubits tot tienduizenden of honderdduizenden gemodelleerde fysieke qubits, afhankelijk van architectuur, foutcorrectie, looptijd en andere aannames.

Breekt het algoritme van Shor Bitcoin?

Een voldoende krachtige machine met Shor zou uit een bekende openbare ECDSA- of Schnorr-sleutel de privésleutel kunnen afleiden. Daarmee wordt de bestedingsautorisatie aangevallen, niet automatisch het monetaire beleid van Bitcoin herschreven.

Kan het algoritme van Grover Bitcoin-mining overnemen?

Bekende Grover-methoden geven een theoretische kwadratische versnelling, maar huidig onderzoek acht de kosten van foutcorrectie en de slechte parallelle schaalbaarheid veel minder praktisch dan aanvallen op handtekeningen.

Zijn Taproot-adressen kwetsbaar voor quantumaanvallen?

Taproot-outputs tonen een x-only openbare elliptische-curvesleutel. Een toekomstige CRQC kan die aanvallen zolang de output onuitgegeven blijft. Dat is een eigenschap van langetermijnblootstelling, geen bewijs van een huidige aanval.

Helpt het om telkens een nieuw Bitcoin-adres te gebruiken?

Bij outputtypen met verborgen sleutels kan het vermijden van hergebruik de openbare sleutel tot de uitgave afschermen. Het voorkomt geen voldoende snelle toekomstige aanval zodra de sleutel bij uitgave zichtbaar wordt.

Is BIP360 P2MR quantumproof?

Nee. P2MR verwijdert het zichtbare Taproot-sleutelpad en bereidt een scriptupgradepad voor, maar BIP360 voegt geen post-quantumhandtekening toe. De veiligheid hangt nog af van de gebruikte scriptbladen en het voorkomen van openbaarmaking of hergebruik.

Ondersteunt Bitcoin SHRINCS al?

Nee. SHRINCS is een conceptspecificatie voor handtekeningen. Bitcoin heeft nog consensusintegratie, walletondersteuning, kostenregels, tests en activatie nodig voordat SHRINCS mainnettransacties kan autoriseren.

Wat moet een Bitcoin-bezitter nu doen?

Vermijd hergebruik van adressen en sleutels, deel xpubs alleen wanneer nodig, onderhoud geteste seedback-ups en houd walletsoftware actueel. Stuur geen geld naar experimentele constructies of diensten die alleen quantumbeveiliging beloven.