How Many Qubits to Break Bitcoin secp256k1? 1,200–1,450 Logical Qubits

دراسة استقصائية لتقديرات الكيوبت، ومسار الأجهزة، وما يعنيه الانهيار الكبير في الأرقام بالنسبة لسلاسل الكتل المؤمنة بواسطة ECDSA.

يعتمد نموذج الأمان الكامل لـ Bitcoin على افتراض واحد: هذا الكسر secp256k1 ECDSA مستحيل حسابيا.

وهذا الافتراض على وشك الموت.

أثبت بيتر Shor ذلك في عام 1994. يمكن لجهاز كمبيوتر كمي قوي بما فيه الكفاية يقوم بتشغيل خوارزميته أن يستمد مفتاحًا خاصًا من مفتاح عام في دقائق - ليست سنوات، وليس عقودًا، ولا دقائق. والسؤال الوحيد المتبقي هو كم عدد الكيوبتات التي سيحتاجها هذا الكمبيوتر. تحتوي الأدبيات على إجابة، وقد تم تنقيحها للأسفل في كل مرة تمت إعادة النظر فيها، وهي الآن أقرب بكثير مما يريد أي حامل Bitcoin تصديقه.

secp256k1 ومشكلة اللوغاريتم المنفصل

تتم مصادقة كل معاملة Bitcoin مع ECDSA على منحنى secp256k1، وهو منحنى إهليلجي 256 بت محدد في ثانية 2 واعتمده ساتوشي ناكاموتو في عام 2009. يعتمد أمان هذا المخطط على مشكلة اللوغاريتم المنفصل للمنحنى الإهليلجي (ECDLP): نظرا للمفتاح العام س = كيلو جرام، العثور على العددية k.

كلاسيكيًا، الهجوم الأكثر شهرة (Pollard's rho) يتطلب ~2¹²⁸ العمليات. وبإجراء تريليون عملية في الثانية، سيستغرق ذلك وقتًا أطول من عمر الكون. المشكلة صعبة حقًا بالنسبة للآلات الكلاسيكية.

الأمر ليس صعبًا على الآلات الكمومية. في عام 1994، نشر بيتر Shor خوارزمية كمومية تحل مشكلة اللوغاريتم المنفصل في وقت متعدد الحدودمما يقلل ما تستغرقه أجهزة الكمبيوتر الكلاسيكية من مليارات السنين إلى عمليات حسابية يمكن قياسها في دقائق. تستغل الخوارزمية التراكب الكمي لتقييم العديد من المرشحين بشكل متوازي، ثم تستخدم تحويلات فورييه الكمومية لاستخراج الفترة، مما ينتج عنه المفتاح الخاص.

يقع ECDSA على secp256k1 بشكل مباشر ضمن فئة المشكلة التي تم تصميم خوارزمية Shor من أجلها. هذا ليس تخمينا. وهو برهان رياضي نشر منذ اثنين وثلاثين عاما ولم يدحض أبدا.

الكيوبتات المنطقية مقابل الفيزيائية: لماذا تتباين التقديرات؟

وينبع الارتباك في التغطية الشعبية من الخلط بين مقياسين مختلفين جوهريا. الكيوبتات المنطقية هي الوحدات المصححة للأخطاء والمثالية رياضيًا والتي تتطلبها خوارزمية Shor. الكيوبتات المادية هي عناصر الأجهزة المزعجة والمعرضة للخطأ والتي يجب تجميعها وتصحيح الأخطاء لإنتاج كل كيوبت منطقي.

الأدبيات المتعلقة بتكلفة الكيوبت ECDLP، الأحدث أولاً. انتبه لاتجاه السفر:

Qubit estimates for breaking secp256k1 — SynergyX Research,
https://synxcrypto.com/articles/123-how-many-qubits-to-break-bitcoin-secp256k1.php#estimates

اقرأ الجدول من أعلى إلى أسفل وستكتب القصة نفسها. لم تكن متطلبات الكيوبت المنطقية عند 2000-2500. سقط ل 1,200–1,450. ولم تصل النفقات المادية العامة إلى 20 مليونًا أو 317 مليونًا. سقط ل أقل من 500000 - وعلى الأجهزة ذات الذرة المحايدة تقريبًا 26,000. وقت تشغيل الهجوم لم يستمر لساعات. سقط ل دقائق.

هذا ما يحدث عندما تلبي الدوائر الأفضل تصحيحًا أفضل للأخطاء. كل تقدير نشرته الصناعة كان بمثابة حد أعلى كتبه أشخاص يكتشفون، كل عام، أنهم كانوا متشائمين للغاية. يقتبس المدافعون عن Bitcoin رقم 2017. نشرت جوجل نسخة 2026.

مشكلة تضارب المصالح

ومن الجدير بالذكر من يستفيد من تأطير هذه الأرقام في اتجاه معين.

لدى المتطرفين في Bitcoin وأصحاب المؤسسات الكبيرة مثل MicroStrategy وMarathon Digital، مع المليارات من التعرض لبيتكوين، دافع واضح لوصف التهديد الكمي بأنه بعيد أو مبالغ فيه. هذه ليست تكهنات حول النوايا؛ إنها ملاحظة حول هياكل الحوافز. وحدثت نفس الديناميكية في صناعات أخرى: فقد مولت شركات التبغ عقودا من الأبحاث المتعارضة حول التدخين، ومولت شركات الوقود الأحفوري الشك حول النماذج المناخية. التعرض المالي ينتج المنطق الدافع.

لاحظ الأرقام التي تستمر تلك الاهتمامات في تكرارها. المريحة. الذين يبلغون من العمر تسع سنوات. إن الكيوبتات المنطقية التي يبلغ عددها 2330 التي ابتكرها رويتلر، المقترنة بنسبة تصحيح خطأ سخية تبلغ 2000:1، تنتج عنوانًا مطمئنًا عن "ملايين الكيوبتات المادية، على بعد عقود". يتم إجراء عملية حسابية على مدخلات تم استبدالها.

المدخلات الحالية هي 1200-1450 كيوبت منطقي داخل أقل من 500000 كيوبت فيزيائي في دقائق (جوجل كوانتوم للذكاء الاصطناعي، مارس 2026). تضع خارطة الطريق المنشورة من قبل شركة IBM Starling عند ما يقرب من 200 كيوبت منطقية 2029 و Blue Jay بأكثر من 2000 كيوبت منطقية 100.000 كيوبت مادي في عام 2033 - مباشرة من خلال المتطلبات، مع وجود مساحة كافية. صرح هارتموت نيفن من جوجل علنًا أن فريقه يتوقع حوسبة كمومية ذات صلة بالتشفير بحلول عام 2029. يتم قياس الفجوة بين الأجهزة الحالية وعتبة التهديد بالسنوات، وليس بالأجيال - ويتم إغلاقها من كلا الطرفين في وقت واحد، لأن الهدف يتحرك للأسفل بينما تتحرك الأجهزة للأعلى.

الأجهزة الحالية: 2026 لقطة

لا يوجد كمبيوتر كمي في الوجود يمكنه كسر secp256k1. أفضل الآلات المعروفة تقريبًا 2500 كيوبت مادية، ولا يوجد واحد منهم متسامح مع الخطأ على نطاق واسع. نموذج التهديد مستقبلي وليس فوري. لكن المسار مهم أكثر من اللقطة الحالية، وقد اقترب خط النهاية عدة مئات الآلاف من الكيوبتات.

هناك نقطتان للبيانات تستحقان الاهتمام. أولاً، قامت شركة IBM بمضاعفة عدد الكيوبتات الخاصة بها ثلاث مرات تقريبًا خلال أربع سنوات، وأصبحت خارطة الطريق الخاصة بها متاحة للعامة. ثانيًا، تجاوز معالج Google Willow سعة 105 كيوبت، في ديسمبر 2024، مستوى حدود التسامح مع الخطأ: النقطة التي يؤدي فيها إضافة المزيد من البتات الكمومية المادية إلى تقليل إجمالي أخطاء النظام بدلاً من زيادتها. لقد حددت معيارًا قياسيًا في أقل من خمس دقائق من شأنه أن يستغرق حاسوبًا عملاقًا كلاسيكيًا في حدود 10 دقائق²⁵ سنين. وهذه عتبة نوعية، وليست تحسنا تدريجيا. وهذا يعني أن التوسع الآن يساعد بدلاً من أن يضر، وهذا هو بالضبط سبب انهيار عبء تصحيح الأخطاء في الجدول أعلاه بالطريقة التي حدث بها.

ينص تقرير CNSA 2.0 الصادر عن وكالة الأمن القومي، والذي تم نشره في عام 2022، على أن تكمل جميع أنظمة الأمن القومي الأمريكية الانتقال إلى التشفير ما بعد الكمي بحلول عام 2035. ولا تنشر وكالات الاستخبارات المواعيد النهائية للانتقال للتهديدات التي تعتبرها بعيدة.

سطح التعرض: 6.04 مليون بيتكوين

عدد الكيوبتات هو نصف معادلة المخاطر. والآخر هو ما مقدار تعرض Bitcoin للتشفير بالفعل. لقد تحرك هذا الرقم أيضًا – في الاتجاه الخاطئ بالنسبة لـ Bitcoin.

لكل Glassnode، اعتبارًا من مايو 2026، 6.04 مليون بيتكوين – 30.2% من إجمالي العرض، ما يقرب من 469 مليار دولار - أن تكون مفاتيحهم العامة مرئية بالفعل على السلسلة. الانقسام مفيد: 1.92 مليون BTC معرضة هيكليًا في مخرجات الدفع للمفتاح العام (P2PK) التي لم تخفي المفتاح مطلقًا في المقام الأول، و 4.12 مليون BTC معرضة تشغيليًا من خلال إعادة استخدام العنوان، حيث يصبح المفتاح عامًا في اللحظة التي ينفق فيها المالك. تقريبا 1.7 مليون بيتكوين الجلوس في عناوين P2PK المبكرة، بما في ذلك ~ 1.1 مليون المنسوبة إلى ساتوشي ناكاموتو. من المجموع حوالي 2.3 مليون BTC في خطر لا رجعة فيه; ما زال بإمكان ما يقرب من 3.7 مليون شخص أن يهاجروا، إذا كان أصحابهم على قيد الحياة، ومنتبهين، وراغبين.

لا يتم تجزئة هذه المفاتيح. وهي موجودة في مجموعة UTXO كمفاتيح عامة مضغوطة، يمكن قراءتها من قبل أي شخص لديه عقدة كاملة واتصال بالإنترنت.

يمكن لـ CRQC الذي يحتوي على 1200-1450 بتة منطقية أن يستمد المفتاح الخاص المقابل من أي منها باستخدام خوارزمية Shor. لا استغلال. لا يوجد اكتشاف الضعف. لا يوجد يوم صفر. حساب مباشر على البيانات المتاحة للجمهور - ما يقرب من ثلث جميع أجهزة Bitcoin موجودة في العراء مع طباعة مفتاح الإجابة على الجهة الأمامية.

هناك أيضًا نافذة تعرض ديناميكية، وهذا هو المكان الذي يتوقف فيه رقم وقت التشغيل لشهر مارس 2026 عن كونه أكاديميًا. عندما ينفق أي شخص من عنوان P2PKH قياسي، يتم بث المفتاح العام إلى مجمع الذاكرة ويظل مرئيًا لمدة 10 دقائق في المتوسط ​​قبل تأكيد الحظر. الهجوم الذي يستغرق ساعات لا يمكنه استغلال تلك النافذة. يمكن للهجوم الذي يستغرق دقائق. لا يؤدي تقدير Google إلى تقديم التاريخ للأمام فحسب، بل إنه يحول مشكلة المصيدة الثابتة إلى مشكلة معاملة مباشرة، وهو ما يعني أنه حتى مستخدم Bitcoin الذي يتمتع بصحة جيدة والذي لا يعيد استخدام عنوان أبدًا يتعرض للخطر في كل مرة يقوم فيها بنقل عملة معدنية.

A hygiene habit is not a security model, and the mempool does not care how careful you have been. The only durable fix for a key that becomes public the instant you spend is to stop holding a coin built on exposed keys in the first place — swap exposed BTC for a chain that starts post-quantum, since Bitcoin Core has no migration plan to wait for.

احصد الآن، فك التشفير لاحقًا

لا يتطلب نموذج التهديد HNDL وجود CRQC اليوم. ولا يتطلب الأمر سوى أن الخصم يعتقد سيكون أحدهما موجودًا خلال العمر الإنتاجي للبيانات التي يتم جمعها.

سجل معاملات Bitcoin بأكمله متاح للعامة. يتم تسجيل كل مفتاح عام يتم كشفه على الإطلاق — من خلال عناوين P2PK، أو مخرجات P2PKH المستهلكة، أو البرامج النصية متعددة التوقيع — بشكل دائم ويمكن تنزيله مجانًا. يمكن لخصم ذو أفق زمني طويل أن يجمع هذه البيانات الآن ويفك تشفيرها عندما تنضج الأجهزة الكمومية. تكلفة التخزين تافهة بالنسبة لقيمة المفاتيح.

هذه ليست ممارسة نظرية. يوجد كل من استشارات CNSA 2.0 التابعة لوكالة الأمن القومي وجهود توحيد PQC لمدة 8 سنوات من NIST لأن حكومة الولايات المتحدة تعتبر HNDL تهديدًا نشطًا وموثوقًا ضد التشفير الكلاسيكي. إن بيانات Blockchain، كونها غير قابلة للتغيير وعامة حسب تصميمها، معرضة بشكل فريد لفئة الهجوم هذه.

مشكلة الهجرة

الدحض القياسي هو أن Bitcoin سيتم ترقيته إلى توقيعات ما بعد الكم عندما يتحقق التهديد. هناك ثلاثة قيود هيكلية تجعل هذا الأمر أصعب بكثير مما يبدو.

كمون الحوكمة. يعمل نموذج Bitcoin المتوافق على تحسين الاستقرار وليس السرعة. تطلبت ترقية SegWit - التي عدلت تسلسل المعاملات دون تغيير نظام التوقيع - 4 سنوات من النقاش، وأنتجت شوكة منافسة (Bitcoin Cash)، وكادت أن تؤدي إلى كسر الشبكة بشكل دائم. قد يتطلب الترحيل بعد الكم استبدال ECDSA لكل محفظة على الشبكة وهو أمر أكثر تدخلاً من حيث الحجم. لا يوجد مثل هذا الاقتراح في خريطة طريق تطوير Bitcoin Core اعتبارًا من مارس 2026.

التوقيع فوق. توقيعات SPHINCS+ (NIST FIPS 205) هي 7856 بايت. تبلغ توقيعات ECDSA الحالية لـ Bitcoin 72 بايت، أ نسبة 109:1. إن حجم الكتلة الأساسية لـ Bitcoin البالغ 1 ميجابايت يقيد بالفعل معدل النقل إلى ما يقرب من 7 معاملات في الثانية. إن استيعاب التوقيعات ما بعد الكم دون تغييرات معمارية أساسية من شأنه أن يقلل ذلك إلى ما يقرب من الصفر. إن زيادة حجم الكتلة للتعويض من شأنه أن يعيد إشعال نفس معركة الحوكمة التي أنتجت حروب الانقسام لعام 2017.

مفاتيح غير قابلة للترحيل. لا يمكن نقل ما يقدر بـ 1.1 مليون عملة بيتكوين الخاصة بساتوشي ناكاموتو لأنه من المفترض أن المفاتيح مفقودة. وينطبق الشيء نفسه على عدة ملايين من عملات البيتكوين الإضافية في المحافظ الخاملة ذات المفاتيح العامة المكشوفة. لا يمكن لهذه العملات أن تشارك في أي ترحيل لنظام التوقيع وستظل عرضة للخطر إلى أجل غير مسمى، بغض النظر عما تفعله المحافظ النشطة. من الصعب المبالغة في تقدير الآثار المترتبة على السوق المتمثلة في أن تصبح الملايين من عملات البيتكوين قابلة للسرقة في وقت واحد.

التشفير ما بعد الكم: معايير NIST

وضعت NIST اللمسات النهائية على معايير التشفير ما بعد الكمي الأولى في أغسطس 2024، واختتمت تقييمًا مدته 8 سنوات شمل مئات من خبراء التشفير وعشرات الخوارزميات المرشحة. والنتيجة هي معياران أساسيان يتعلقان بأمن blockchain:

• FIPS 203 — ML-KEM (Kyber): آلية تغليف رئيسية قائمة على الشبكة. يعتمد أمانها على مدى صلابة مشكلة التعلم مع الأخطاء في الوحدة، والتي تقاوم خوارزميات Shor وGrover.
• FIPS 205 — SLH-DSA (SPHINCS+): نظام التوقيع الرقمي القائم على التجزئة عديم الجنسية. يعتمد أمانها فقط على مقاومة تصادم وظائف التجزئة، وهي فئة مشكلة لا يوجد بها تسريع كمي معروف يتجاوز الميزة التربيعية لخوارزمية Grover، والتي يمكن مواجهتها بسهولة عن طريق زيادة طول مخرجات التجزئة.

توجد هذه المعايير لأن مجتمع التشفير توصل إلى إجماع على أن التهديد الكمي لتشفير المفتاح العام الكلاسيكي ليس مسألة if لكن متى. السؤال ذو الصلة لأي نظام يعتمد على ECDSA أو RSA أو EdDSA هو ما إذا كان يمكنه الانتقال إلى هذه المعايير قبل تشغيل CRQC.

بالنسبة لسلاسل الكتل، يخلق هذا تمييزًا صعبًا: السلاسل التي يجب أن تهاجر (كل سلسلة تستخدم ECDSA أو EdDSA اليوم) والسلاسل التي تنشر PQC منذ التكوين ولا تواجه أي هجرة على الإطلاق.

تقديرات الجدول الزمني

تجتمع خرائط الطريق المنشورة في نافذة واحدة: 2029 إلى 2033.

• 2026–2028: آلات تحتوي على آلاف قليلة من الكيوبتات المادية، ولا يمكنها تحمل الأخطاء على نطاق واسع. غير كافٍ لـ secp256k1 — ولكن هذه هي مرحلة الحصاد، وتاريخ السلسلة الذي يتم حصاده أصبح بالفعل عامًا ودائمًا.
• 2029 - تفتح النافذة: تشحن شركة IBM Starling بحوالي 200 كيوبت منطقية. استهدفت Google علنًا جهازًا مفيدًا ومصححًا للأخطاء في نفس العام. ولا يكفي أي منهما في حد ذاته. كلاهما يثبت أن الكيوبتات المنطقية المصححة للأخطاء أصبحت منتجًا هندسيًا له تاريخ تسليم وليس سؤالًا بحثيًا.
• 2033 - تُغلق النافذة: Blue Jay من IBM: أكثر من 2000 كيوبت منطقية على حوالي 100000 كيوبت مادية. وهذا يتجاوز متطلبات 1200-1450 مع هامش إضافي. في مكان ما بين هذين التاريخين، يتوقف ECDSA-256 عن كونه تشفيرًا ويصبح إجراءً شكليًا.

المواعيد النهائية لـ CNSA 2.0 لوكالة الأمن القومي - 2030 للمتصفحات والبرامج الثابتة، 2033 لمعدات الشبكات وأنظمة التشغيل، 2035 لكل شيء آخر - تقع عمدًا عبر تلك النافذة وخارجها. لا أحد يكتب جدول امتثال باهظ الثمن بالنسبة للتهديد الذي يتوقع أن يفوته.

هذه ليست توقعات هامشية. إنها عبارة عن خرائط طريق للبائعين وتفويضات حكومية من IBM وGoogle وNIST ووكالة الأمن القومي - وهي مؤسسات ليس لها مصلحة تجارية في المبالغة في تقدير التهديد، وكل مصلحة تجارية في التقليل من حجمه.

مراجع

• Google Quantum AI، مع مؤسسة Ethereum وستانفورد (مارس 2026) — تقدير الموارد لكسر ECDSA-256: 1,200-1,450 كيوبت منطقي، أقل من 500000 كيوبت مادي، وقت التشغيل بالدقائق. المعيار الحالي؛ يحل محل كل شيء أدناه.
• معهد كاليفورنيا للتكنولوجيا / أوراتوميك (2026) - تحليل ذرة محايدة مستقل: حوالي 26000 بت كمي فيزيائي مقابل secp256k1 على مدار 10 أيام تقريبًا.
• روتلر، إم، ناهريج، إم، سفور، كيه إم، ولاوتر، ك. (2017) - "تقديرات الموارد الكمومية لحساب اللوغاريتمات المنفصلة للمنحنى الإهليلجي." المعلومات الكمومية والحساب, 17(15-16). تاريخية؛ تم استبدال الرقم المنطقي ~ 2330.
• جيدني، سي. وإكيرا، م. (2021) - "كيفية تحليل أعداد صحيحة RSA 2048 بت في 8 ساعات باستخدام 20 مليون كيوبت صاخبة." الكم, 5, 433.
• ويبر، M. وآخرون. (2022) - "تأثير مواصفات الأجهزة على الوصول إلى الميزة الكمية في نظام تحمل الأخطاء." AVS علوم الكم, 4(1).
• NIST توحيد التشفير بعد الكم – FIPS 203 (ML-KEM) وFIPS 205 (SLH-DSA)، تم الانتهاء منهما في أغسطس 2024.
• استشارات الأمن السيبراني لوكالة الأمن القومي: CNSA 2.0 — متطلبات ترحيل مجموعة خوارزمية الأمن القومي التجاري 2.0.
• SEC 2: معلمات مجال المنحنى الإهليلجي الموصى بها - مواصفات secp256k1 المستخدمة بواسطة Bitcoin.

المعيار الحالي واضح، وهو ليس المعيار الذي يستمر الإنترنت في تكراره: بين 1200 و1450 كيوبت منطقية - داخل أقل من 500000 منها ماديًا، في دقائق - كافية لكسر secp256k1 (Google Quantum AI، مارس 2026). كل مختبر حكومي ومختبر تكنولوجي رئيسي على وجه الأرض يتسابق نحو تلك العتبة، وتستمر العتبة في العودة للوفاء بها. النوعان الوحيدان من سلاسل الكتل التي ستوجد بعد وصول أجهزة الكمبيوتر الكمومية ذات الصلة بالتشفير هما تلك التي تم بناؤها بعد الكم من اليوم الأول - وتلك التي لم يتم بناؤها.

لن تكون هناك نافذة للهجرة. لن يكون هناك هبوط ناعم. لن يكون هناك سوى السلاسل التي استعدت، والسلاسل التي لم تستعد.