Kan kvantdatorer knäcka Bitcoin? Det här är faktiskt utsatt

Kort svar

Hotet gäller signaturerna för spendering, inte Bitcoins regler

En framtida kryptografiskt relevant kvantdator skulle kunna härleda privata nycklar från exponerade publika secp256k1-nycklar. Mynt med nycklar som länge varit synliga skulle bli de första målen; nya utdata där nyckeln döljs av en hash skulle främst vara utsatta när de spenderas. Bitcoin kan lägga till postkvantauktorisering genom en konsensusuppgradering, men de ledande förslagen från 2026 är fortfarande utkast eller designdiskussioner.

• Ingen känd kvantdator kan stjäla bitcoin i dag, och det finns inget trovärdigt datum för när en sådan förmåga kan finnas.
• Shors algoritm hotar ECDSA- och Schnorr-signaturer; kända Grover-baserade miningattacker är betydligt mindre praktiska.
• BIP360, P2TRv2, SHRINCS och BIP361 löser olika delar av migreringen, och inget av dem är ett fullständigt driftsatt skydd.

Vad en kvantdator faktiskt skulle kunna knäcka

Bitcoin använder ECDSA för äldre utdata och BIP340 Schnorr-signaturer för Taproot. Båda bygger på problemet med diskreta logaritmer på den elliptiska kurvan secp256k1. Shors algoritm skulle kunna lösa det på en stor, felkorrigerad kvantdator och härleda en privat nyckel från en känd publik nyckel. Se BIP340-specifikationen och en kollegialt granskad resursanalys från 2026.

En angripare skulle sedan kunna förfalska en signatur för spendering. Det skulle inte avslöja en seed-fras från en adresshash, ändra konsensusregler eller skapa fler bitcoin.

Varför signaturer är viktigare än mining

Diskussioner blandar ofta ihop Shors och Grovers algoritmer. Shors algoritm ger det farliga genombrottet mot signaturer på elliptiska kurvor. Grovers algoritm ger en teoretisk kvadratisk hastighetsökning vid sökning i en hashfunktion som SHA-256, men den gör inte en 256-bitars hash till ett enkelt problem.

PRX-analysen från 2026 bedömer Grover-baserad mining som opraktisk med kända arkitekturer. Felkorrigering förbrukar en stor del av fördelen, kvantsökning är svår att parallellisera och klassiska miners hashar redan i enorm skala. Svårighetsgraden skulle dessutom anpassas till varaktiga förändringar. Läs hela Bitcoin-analysen.

En angripare behöver inte överträffa nätverkets miningkapacitet för att stjäla en exponerad utdata. Att återställa dess signeringsnyckel är det mer direkta hotet.

Vilka bitcoin skulle exponeras först

Den första kategorin är publika nycklar som varit exponerade länge. P2PK-utdata placerar en publik nyckel direkt på kedjan. Taproot P2TR-utdata förbinder sig också till en publik nyckel med enbart x-koordinat i utdatan. Återanvändning av en adress kan exponera nyckeln som skyddar ett kvarvarande P2PKH- eller P2WPKH-saldo efter en tidigare spendering, och delning av en xpub eller deskriptor kan exponera många härledda publika nycklar utanför kedjan.

Nya P2PKH-, P2WPKH-, P2SH- och P2WSH-utdata döljer en nyckel eller ett skript bakom en hash tills de spenderas. Det minskar exponeringen i vila om inget har återanvänts eller avslöjats. Spenderingen skapar ändå ett kortare attackfönster i mempoolen eller under en omorganisation.

Definitionerna spelar roll. PRX-artikeln identifierar över 1,7 miljoner BTC i direkt exponerade P2PK-utdata. Utkastet till BIP361 använder ett bredare mått och uppger att mer än 34% av alla bitcoin hade avslöjat en publik nyckel den 1 mars 2026. Siffrorna är inte utbytbara.

Det finns inget enda ärligt antal kvantbitar

Logiska kvantbitar kör en felkorrigerad algoritm; fysiska kvantbitar är den brusiga hårdvara som används för att bygga dem. Omräkningen beror på arkitektur, felfrekvens, klockhastighet, felkorrigering och körtid.

Det kollegialt granskade och Google-ledda arbetet uppskattar 1 200-1 450 logiska kvantbitar och 70-90 miljoner Toffoli-grindar. Med dess antaganden om supraledande teknik skulle en attack kunna köras på några minuter med färre än 500 000 fysiska kvantbitar. Ett preprint från juli minskar den logiska bredden till 835 kvantbitar. Ett preprint från september modellerar i stället 19 397 fysiska kvantbitar med fångade joner och 25,7 dagar på en specialiserad arkitektur som ännu inte har byggts.

Det här är förbättrade modeller, inte befintlig hårdvara. NIST uppger att stora hinder kvarstår och att experternas tidsbedömningar sträcker sig från några år till några årtionden.

P2MR och P2TRv2 följer olika migreringsvägar

Utkastet till BIP360 Pay-to-Merkle-Root, eller P2MR, föreslår en SegWit version 2-utdata som börjar med bc1z. Det tar bort Taproots nyckelväg och binder till roten i ett skriptträd, vilket döljer nycklar på elliptiska kurvor samtidigt som en väg för framtida signaturuppgraderingar behålls.

P2MR lägger inte till en postkvantsignatur. Ett löv med en elliptisk kurvnyckel kan bli sårbart vid spendering, och återanvändning kan upphäva fördelen. Dess witness är större än en Taproot-spendering via nyckel men mindre än en motsvarande Taproot-spendering via skript.

P2TRv2 är ett koncept, inte ett tilldelat BIP. Det skulle likna Taproot, lägga till löv som stöder postkvantsignaturer och senare stänga av spendering med elliptiska kurvor. Bekanta avgifter och arbetsflöden kan underlätta införandet, men utdatapunkten förblir exponerad tills funktionen stängs av. Pieter Wulles jämförelse behandlar P2TRv2 och P2MR som kompletterande alternativ.

SHRINCS är kompakt för PQC, men fortfarande stort

SHRINCS-utkastet kombinerar en kompakt tillståndsberoende FXMSS-väg med en tillståndslös SLH-DSA-reserv. Det anger en publik nyckel på 48 byte, tillståndsberoende signaturer på 548 till 4 619 byte och en tillståndslös signatur på 5 777 byte.

Att återanvända en tillståndsräknare kan möjliggöra förfalskning. Om tillståndet är osäkert måste plånboken använda den större reservlösningen. Utkastet definierar endast en signatur; opkoder, utdatatyper, avgifter och aktivering kräver separat arbete.

NIST har färdigställt den gitterbaserade ML-DSA i FIPS 204 och den hashbaserade SLH-DSA i FIPS 205. SHRINCS lånar mekanismer från FIPS 205 men använder en parameteruppsättning som inte är standardiserad, och dess utkast anger att ett säkerhetsbevis fortfarande är TODO. Det bör inte beskrivas som en NIST-godkänd Bitcoin-signatur.

Migrering och räddning är styrningsfrågor

BIP361 är beroende av ett framtida BIP för postkvantsignaturer. Fas A skulle begränsa nya betalningar till sårbara utdatatyper cirka 160 000 block, eller tre år, efter aktiveringen. Fas B skulle skärpa äldre spendering två år senare och lägga till räddningsregler.

Det väcker frågor om inaktiva ägare, förlorade nycklar och mynt som saknar en annan hemlighet. BIPs-katalogen betonar att publicering inte innebär konsensus eller införande.

DropKick är en skiss för räddning med bindning och avslöjande. En innehavare binder sig till en postkvantnyckel och tidigare kunskap om en hemlighet, och avslöjar sedan båda efter en fördröjning. Lösningen behöver först PQ-signaturer, kan inte omfatta P2PK-mynt och lägger till antaganden om censur från miners.

Vad innehavare och operatörer kan göra nu

Flytta inte pengar förhastat till ett oprövat format eller en tjänst som påstår sig vara kvantsäker. Ingen föreslagen PQ-utdata är aktiv. Att undvika återanvändning av nycklar, begränsa delning av xpub och bevara seed-säkerhetskopior minskar onödig exponering och gör en framtida migrering möjlig.

Taproots synliga nyckel är en långsiktig exponeringsfaktor, inte en befintlig sårbarhet. Valet av adresser påverkar också kompatibilitet, integritet och avgifter. Följ vägledning från underhållna plånböcker i stället för att flytta mynt på grund av en rubrik om kvantbitar.

Förvaringsinstitut och utvecklare bör kartlägga exponering, identifiera återanvändning mellan kedjor, testa kryptografiskt flexibla plånböcker och planera kundmigrering. Följ arbetet på Bitcoin Optechs ämnessida.

Checklista för Bitcoins kvantrisk

Använd checklistan för att skilja ansvarsfull förberedelse från spekulation. Den är inte en rekommendation att flytta, köpa eller sälja Bitcoin.

1. Återanvänd inte adresser eller nycklar

   En tidigare spendering kan exponera den publika nyckel som skyddar ett kvarvarande saldo. Använd underhållen plånboksprogramvara som skapar nya mottagaradresser.

2. Begränsa exponeringen av xpub

   En utökad publik nyckel kan avslöja många härledda publika nycklar. Dela endast plånboksdeskriptorer med tjänster vars åtkomst och lagring du förstår.

3. Bevara återställningsmaterial

   En framtida migrering kräver fortfarande legitim kontroll. Behåll testade seed-säkerhetskopior och dokumenterade återställningsrutiner; skriv aldrig in en seed på en webbplats för kvantmigrering.

4. Skilj logiska från fysiska kvantbitar

   Var skeptisk till ett exakt brytdatum eller antal kvantbitar om arkitektur, felfrekvens, körtid och antaganden om felkorrigering inte anges.

5. Kontrollera förslagets status

   Utkast, publicering av ett BIP, implementering i Bitcoin Core och aktivering på mainnet är olika milstolpar. Inget av de PQ-förslag för spendering som beskrivs här är aktivt.

6. Planera den operativa migreringen

   Institutioner bör kartlägga exponerade nycklar, återanvändning mellan kedjor, hårdvaruberoenden och den kundkommunikation som krävs för en kontrollerad uppgradering.

TurboStrategys roll: exekveringsprogram, inte kvantsäkerhet

TurboStrategy är inte en produkt för kvantsäkerhet. Den gör inte Bitcoin-adresser, börsförvaring, API-nycklar eller Bitcoin-protokollet postkvantsäkra och kan inte skydda mynt mot ett framtida kryptografiskt genombrott.

TurboStrategy tillhandahåller programvara för en fördefinierad BTC/USDC-spotstrategi efter att en kund ansluter en stödd börs, tilldelar kapital och aktiverar den. Tillgångarna ligger kvar på kundens börs. API-åtkomst som kunden godkänner är begränsad till handel; behörighet för uttag och överföringar krävs inte.

Regelbaserad exekvering kan hjälpa till att skilja en handelsprocess från alarmerande rubriker. Den kan inte eliminera marknads-, börs-, programvaru-, förvarings- eller kryptografiska risker och garanterar inget resultat. Läs den fullständiga riskinformationen innan du använder tjänsten.

Slutsats: ett verkligt migreringsproblem, inte ett pågående intrång

Bitcoin knäcks inte av kvantdatorer i dag. Det trovärdiga långsiktiga hotet är smalare och mer konkret: Shors algoritm skulle så småningom kunna förfalska de signaturer som godkänner spendering, och redan exponerade publika nycklar skulle bli attraktiva första mål.

Förslagen från 2026 delar upp arbetet. P2MR och P2TRv2 undersöker var mynt bör ligga, SHRINCS hur de kan signeras, BIP361 hur en migrering kan genomdrivas och DropKick hur vissa sena användare kan återställa sina mynt. Avvägningarna visar varför inget enskilt förslag är en färdig lösning.

Förberedelser är rationella eftersom kryptografiska migreringar tar flera år. Säkerhet om en prognos för Q-day behövs inte, men precision är viktig: forskningsmodeller är inte fungerande attackmaskiner, och utkast till Bitcoin-förslag är inte driftsatt skydd.

Vanliga frågor

Kan en kvantdator stjäla Bitcoin i dag?

Ingen offentligt demonstrerad kvantdator kan återställa en privat secp256k1-nyckel i dag. Risken bygger på framtida feltoleranta maskiner och förbättrade resursuppskattningar, inte på en känd aktuell sårbarhet.

Hur många kvantbitar krävs för att knäcka Bitcoin?

Det finns inget enda antal. Publicerade uppskattningar från 2026 sträcker sig från hundratals logiska kvantbitar till tiotusentals eller hundratusentals modellerade fysiska kvantbitar, beroende på arkitektur, felkorrigering, körtid och andra antaganden.

Knäcker Shors algoritm Bitcoin?

En tillräckligt kraftfull maskin som kör Shors algoritm skulle kunna härleda en privat nyckel från en känd publik ECDSA- eller Schnorr-nyckel. Den skulle angripa auktoriseringen av spendering, inte automatiskt skriva om Bitcoins monetära regler.

Kan Grovers algoritm ta över Bitcoin-mining?

Kända Grover-baserade metoder ger en teoretisk kvadratisk hastighetsökning, men aktuell forskning visar att kostnaden för felkorrigering och den svaga parallella skalningen gör dem mycket mindre praktiska än attacker mot signaturer.

Är Taproot-adresser sårbara för kvantattacker?

Taproot-utdata exponerar en publik elliptisk kurvnyckel med enbart x-koordinat, så en framtida CRQC skulle kunna angripa dem medan de förblir ospenderade. Det är en långsiktig exponeringsegenskap, inte bevis för att Taproot kan angripas i dag.

Hjälper det att använda en ny Bitcoin-adress?

För utdatatyper där nyckeln döljs av en hash kan utebliven återanvändning hålla den publika nyckeln dold tills spendering och minska exponeringen i vila. Det kan inte stoppa en tillräckligt snabb framtida attack vid spendering när nyckeln väl har avslöjats.

Är BIP360 P2MR kvantsäkert?

Nej. P2MR tar bort Taproots exponerade nyckelväg och förbereder en uppgraderingsväg genom skript, men BIP360 lägger inte till någon postkvantsignatur. Säkerheten beror fortfarande på de löv som används och på att avslöjande eller återanvändning undviks.

Stöder Bitcoin redan SHRINCS?

Nej. SHRINCS är ett utkast till en signaturspecifikation. Bitcoin skulle fortfarande behöva konsensusintegration, plånboksstöd, avgiftsregler, tester och aktivering innan det kan godkänna mainnet-transaktioner.

Vad bör en Bitcoin-innehavare göra nu?

Återanvänd inte adresser eller nycklar, begränsa onödig exponering av xpub, behåll testade seed-säkerhetskopior och håll plånboksprogramvaran uppdaterad. Skicka inte pengar till experimentella lösningar eller tjänster bara för att de påstår sig erbjuda kvantskydd.