Могут ли квантовые компьютеры взломать Bitcoin? Что действительно под угрозой

Краткий ответ

Угроза касается подписей расходования, а не правил Bitcoin

Будущий криптографически значимый квантовый компьютер мог бы вычислять приватные ключи по раскрытым открытым ключам secp256k1. Первыми целями стали бы монеты с давно видимыми ключами; новые выходы, скрытые за хешем, подвергались бы риску прежде всего во время расходования. Bitcoin может добавить постквантовую авторизацию через консенсусное обновление, но ведущие предложения 2026 года пока остаются черновиками или предметом проектных обсуждений.

• Ни один известный квантовый компьютер сегодня не способен украсть bitcoin, и достоверной даты появления такой возможности нет.
• Алгоритм Шора угрожает подписям ECDSA и Schnorr; известные атаки на майнинг на основе алгоритма Гровера значительно менее практичны.
• BIP360, P2TRv2, SHRINCS и BIP361 решают разные части задачи перехода, и ни одно из этих решений не является полной внедрённой защитой.

Что квантовый компьютер действительно мог бы взломать

В старых выходах Bitcoin использует ECDSA, а в Taproot применяются подписи Schnorr из BIP340. Обе схемы опираются на задачу дискретного логарифмирования на эллиптической кривой secp256k1. Алгоритм Шора мог бы решить её на большом квантовом компьютере с коррекцией ошибок и получить приватный ключ из известного открытого ключа. См. спецификацию BIP340 и рецензируемый анализ ресурсов 2026 года.

После этого злоумышленник мог бы подделать подпись для расходования. Это не позволило бы восстановить seed-фразу из хеша адреса, изменить правила консенсуса или создать дополнительные bitcoin.

Почему подписи важнее майнинга

В обсуждениях алгоритмы Шора и Гровера часто смешивают. Алгоритм Шора обеспечивает опасный взлом подписей на эллиптических кривых. Алгоритм Гровера даёт теоретическое квадратичное ускорение поиска для хеш-функции вроде SHA-256, но не превращает 256-битный хеш в простую задачу.

Анализ PRX 2026 года показывает, что майнинг на основе алгоритма Гровера непрактичен при известных архитектурах. Коррекция ошибок поглощает значительную часть преимущества, квантовый поиск плохо распараллеливается, а классические майнеры уже вычисляют хеши в огромных масштабах. При устойчивых изменениях сложность также скорректируется. Прочитайте полный анализ Bitcoin.

Чтобы украсть раскрытый выход, злоумышленнику не нужно превосходить сеть по мощности майнинга. Восстановление ключа подписи представляет более прямую угрозу.

Какие bitcoin окажутся под угрозой первыми

Первая категория включает открытые ключи, раскрытые на длительное время. Выходы P2PK размещают открытый ключ непосредственно в блокчейне. Выходы Taproot P2TR также фиксируют в выходе открытый ключ только с x-координатой. Повторное использование адреса может раскрыть ключ, защищающий оставшийся баланс P2PKH или P2WPKH после предыдущего расходования, а передача xpub или дескриптора способна раскрыть множество производных открытых ключей вне блокчейна.

Новые выходы P2PKH, P2WPKH, P2SH и P2WSH скрывают ключ или скрипт за хешем до момента расходования. Это снижает риск в состоянии покоя, если данные не использовались повторно и не раскрывались. Однако при расходовании всё равно возникает более короткое окно атаки в мемпуле или во время реорганизации.

Определения имеют значение. В статье PRX выявлено более 1,7 млн BTC в непосредственно раскрытых выходах P2PK. Черновик BIP361 использует более широкую оценку и утверждает, что свыше 34% bitcoin раскрыли открытый ключ к 1 марта 2026 года. Эти показатели нельзя считать взаимозаменяемыми.

Единственного честного числа кубитов не существует

Логические кубиты выполняют алгоритм с коррекцией ошибок; физические кубиты представляют собой шумное оборудование, из которого они строятся. Соотношение зависит от архитектуры, частоты ошибок, тактовой частоты, метода коррекции ошибок и времени выполнения.

Рецензируемая работа под руководством Google оценивает потребность в 1 200-1 450 логических кубитах и 70-90 млн вентилей Тоффоли. При заложенных в неё предположениях о сверхпроводящей архитектуре атака могла бы занять минуты и потребовать менее 500 000 физических кубитов. Июльский препринт сокращает логическую ширину до 835 кубитов. В сентябрьском препринте вместо этого моделируются 19 397 физических кубитов на захваченных ионах и 25,7 дня работы на ещё не созданной специализированной архитектуре.

Это совершенствующиеся модели, а не существующее оборудование. По данным NIST, серьёзные препятствия сохраняются, а экспертные оценки сроков варьируются от нескольких лет до нескольких десятилетий.

P2MR и P2TRv2 предлагают разные пути перехода

Черновик BIP360 Pay-to-Merkle-Root, или P2MR, предлагает выход SegWit версии 2, начинающийся с bc1z. Он убирает путь ключа Taproot и фиксирует корень дерева скриптов, скрывая ключи на эллиптических кривых и сохраняя путь для будущего обновления подписей.

P2MR не добавляет постквантовую подпись. Лист с ключом на эллиптической кривой может стать уязвимым при расходовании, а повторное использование способно свести преимущество на нет. Свидетель такого выхода больше, чем при расходовании через ключ Taproot, но меньше, чем при эквивалентном расходовании через скрипт Taproot.

P2TRv2 является концепцией, а не назначенным BIP. Он был бы похож на Taproot, добавлял бы листья с поддержкой постквантовых подписей, а позднее отключал бы расходование с помощью эллиптических кривых. Привычные комиссии и процессы могут облегчить внедрение, но точка выхода останется раскрытой до отключения. В сравнении Питера Вюлле P2TRv2 и P2MR рассматриваются как взаимодополняющие варианты.

SHRINCS компактен для PQC, но всё равно велик

Черновик SHRINCS сочетает компактный путь FXMSS с состоянием и резервный путь SLH-DSA без состояния. В нём указаны открытый ключ размером 48 байт, подписи с состоянием размером от 548 до 4 619 байт и подпись без состояния размером 5 777 байт.

Повторное использование счётчика состояния может позволить подделку. Если состояние неизвестно, кошелёк должен использовать более крупный резервный вариант. Черновик определяет только подпись; коды операций, типы выходов, комиссии и активация требуют отдельной работы.

NIST финализировал решёточную схему ML-DSA в FIPS 204 и основанную на хешах схему SLH-DSA в FIPS 205. SHRINCS заимствует механизмы FIPS 205, но использует нестандартный набор параметров, а в черновике указано, что доказательство безопасности пока остаётся TODO. Эту схему нельзя называть одобренной NIST подписью для Bitcoin.

Переход и восстановление требуют решений по управлению

BIP361 зависит от будущего BIP для постквантовой подписи. Фаза A ограничила бы новые платежи на уязвимые типы выходов примерно через 160 000 блоков, или три года, после активации. Фаза B ещё через два года ужесточила бы расходование устаревших выходов и добавила правила восстановления.

Это вызывает вопросы о неактивных владельцах, потерянных ключах и монетах без другого секрета. Репозиторий BIPs подчёркивает, что публикация не означает достижения консенсуса или принятия предложения.

DropKick представляет собой набросок восстановления по схеме фиксации и раскрытия. Владелец фиксирует постквантовый ключ и подтверждение прежнего знания секрета, а после задержки раскрывает их. Сначала для этого нужны PQ-подписи; схема не охватывает монеты P2PK и добавляет предположения о цензуре со стороны майнеров.

Что владельцы и операторы могут сделать сейчас

Не следует спешно переводить средства в непроверенный формат или сервис, который заявляет о квантовой защищённости. Ни один предложенный PQ-выход не активирован. Отказ от повторного использования ключей, ограничение передачи xpub и сохранение резервных копий seed снижают предотвратимые риски и оставляют возможность для перехода.

Видимый ключ Taproot следует учитывать как долгосрочный фактор риска, а не как существующий эксплойт. Выбор адреса также влияет на совместимость, конфиденциальность и комиссии. Следуйте рекомендациям поддерживаемых кошельков, а не переводите монеты из-за заголовка о кубитах.

Кастодиальные сервисы и разработчики должны составить перечень рисков, выявить повторное использование между блокчейнами, испытать криптографически гибкие кошельки и спланировать миграцию клиентов. Следите за работой на тематической странице Bitcoin Optech.

Контрольный список квантовых рисков Bitcoin

Используйте этот список, чтобы отличать разумную подготовку от спекуляций. Это не рекомендация переводить, покупать или продавать Bitcoin.

1. Не используйте адреса и ключи повторно

   Предыдущее расходование может раскрыть открытый ключ, защищающий оставшийся баланс. Используйте поддерживаемое ПО кошелька, которое создаёт новые адреса для получения средств.

2. Ограничьте раскрытие xpub

   Расширенный открытый ключ может раскрыть множество производных открытых ключей. Передавайте дескрипторы кошелька только сервисам, чьи правила доступа и хранения вам понятны.

3. Сохраняйте материалы для восстановления

   Будущий переход всё равно потребует подтверждённого контроля. Храните проверенные резервные копии seed и документированные процедуры восстановления; никогда не вводите seed на сайте квантовой миграции.

4. Различайте логические и физические кубиты

   Скептически относитесь к любой точной дате взлома или числу кубитов, если не указаны архитектура, частота ошибок, время работы и предположения о коррекции ошибок.

5. Проверяйте статус предложения

   Черновик, публикация BIP, реализация в Bitcoin Core и активация в mainnet являются разными этапами. Ни одно из описанных здесь предложений по PQ-расходованию не активно.

6. Планируйте операционный переход

   Организациям следует учесть раскрытые ключи, повторное использование между блокчейнами, аппаратные зависимости и коммуникации с клиентами, необходимые для контролируемого обновления.

Роль TurboStrategy: исполнение, а не квантовая защита

TurboStrategy не является продуктом квантовой безопасности. Сервис не делает адреса Bitcoin, биржевое хранение, API-ключи или протокол Bitcoin постквантовыми и не может защитить монеты от будущего криптографического взлома.

TurboStrategy предоставляет ПО для предопределённой спотовой стратегии BTC/USDC после того, как клиент подключает поддерживаемую биржу, выделяет капитал и активирует стратегию. Активы остаются на бирже клиента. Разрешённый клиентом доступ через API ограничен торговлей; права на вывод и перевод средств не требуются.

Исполнение по правилам помогает отделить торговый процесс от тревожных заголовков. Оно не устраняет рыночные, биржевые, программные, кастодиальные или криптографические риски и не гарантирует результат. Перед использованием сервиса изучите полное раскрытие рисков.

Вывод: реальная задача перехода, а не сегодняшний взлом

Сейчас квантовые компьютеры не взламывают Bitcoin. Достоверная долгосрочная угроза уже и конкретнее: алгоритм Шора со временем может позволить подделывать подписи, которыми разрешается расходование, а уже раскрытые открытые ключи станут привлекательными первыми целями.

Предложения 2026 года разделяют задачу на части. P2MR и P2TRv2 исследуют, где должны находиться монеты, SHRINCS рассматривает способ их подписания, BIP361 изучает принудительный переход, а DropKick предлагает вариант восстановления для некоторых опоздавших владельцев. Компромиссы показывают, почему ни одно предложение не является готовым решением.

Подготовка рациональна, потому что криптографические переходы занимают годы. Для этого не нужна уверенность в прогнозе Q-day, но точность имеет значение: исследовательские модели не являются работающими машинами для атак, а черновики предложений Bitcoin не обеспечивают внедрённую защиту.

Часто задаваемые вопросы

Может ли квантовый компьютер украсть Bitcoin сегодня?

Ни один публично продемонстрированный квантовый компьютер сегодня не способен восстановить приватный ключ secp256k1. Риск связан с будущими отказоустойчивыми машинами и совершенствующимися оценками ресурсов, а не с известным действующим эксплойтом.

Сколько кубитов нужно для взлома Bitcoin?

Единственного числа нет. Опубликованные в 2026 году оценки варьируются от сотен логических кубитов до десятков или сотен тысяч моделируемых физических кубитов в зависимости от архитектуры, коррекции ошибок, времени выполнения и других предположений.

Алгоритм Шора взламывает Bitcoin?

Достаточно мощная машина с алгоритмом Шора могла бы получить приватный ключ из известного открытого ключа ECDSA или Schnorr. Она атаковала бы авторизацию расходования, а не автоматически переписывала денежные правила Bitcoin.

Может ли алгоритм Гровера захватить майнинг Bitcoin?

Известные подходы на основе алгоритма Гровера дают теоретическое квадратичное ускорение, но современные исследования показывают, что затраты на коррекцию ошибок и плохое параллельное масштабирование делают их гораздо менее практичными, чем атаки на подписи.

Уязвимы ли адреса Taproot для квантовых атак?

Выходы Taproot раскрывают открытый ключ на эллиптической кривой только с x-координатой, поэтому будущий CRQC мог бы атаковать их, пока они не израсходованы. Это свойство долгосрочного риска, а не доказательство возможности атаки на Taproot сегодня.

Помогает ли новый адрес Bitcoin?

Для типов выходов со скрытым за хешем ключом отказ от повторного использования позволяет скрывать открытый ключ до расходования и снижает риск в состоянии покоя. Он не предотвращает достаточно быструю будущую атаку во время расходования после раскрытия ключа.

Является ли BIP360 P2MR квантово защищённым?

Нет. P2MR убирает раскрытый путь ключа Taproot и готовит путь обновления через скрипт, но BIP360 не добавляет постквантовую подпись. Безопасность по-прежнему зависит от используемых листьев и отсутствия раскрытия или повторного использования.

Bitcoin уже поддерживает SHRINCS?

Нет. SHRINCS является черновиком спецификации подписи. Для авторизации транзакций mainnet Bitcoin всё ещё потребуются интеграция в консенсус, поддержка кошельков, правила комиссий, тестирование и активация.

Что владельцу Bitcoin делать сейчас?

Не используйте адреса и ключи повторно, ограничьте ненужное раскрытие xpub, храните проверенные резервные копии seed и обновляйте ПО кошелька. Не отправляйте средства в экспериментальные схемы или сервисы только потому, что они заявляют о квантовой защите.