How Many Qubits to Break Bitcoin secp256k1? 1,200–1,450 Logical Qubits

Eine Übersicht über die Qubit-Schätzungen, die Hardware-Entwicklung und was ein größenordnungsmäßiger Einbruch der Zahlen für ECDSA-gesicherte Blockchains bedeutet.

Das gesamte Sicherheitsmodell von Bitcoin basiert auf einer Annahme: dem Bruch secp256k1 ECDSA ist rechnerisch unmöglich.

Diese Annahme wird bald sterben.

Peter Shor hat es 1994 bewiesen. Ein ausreichend leistungsfähiger Quantencomputer, der seinen Algorithmus ausführt, kann einen privaten Schlüssel aus einem öffentlichen Schlüssel ableiten Minuten – nicht Jahre, nicht Jahrzehnte, Minuten. Bleibt nur noch die Frage, wie viele Qubits dieser Computer benötigen wird. Die Literatur hat eine Antwort, sie wurde jedes Mal nach unten korrigiert, und sie liegt nun viel näher, als jeder Bitcoin-Inhaber glauben möchte.

secp256k1 und das Problem des diskreten Logarithmus

Jede Bitcoin-Transaktion wird mit ECDSA auf der secp256k1-Kurve authentifiziert, einer elliptischen 256-Bit-Kurve, die in angegeben ist SEK 2 und 2009 von Satoshi Nakamoto übernommen. Die Sicherheit dieses Systems beruht auf der Diskretes Logarithmusproblem mit elliptischer Kurve (ECDLP): einen öffentlichen Schlüssel erhalten Q = kg, finde den Skalar k.

Klassischerweise erfordert der bekannteste Angriff (Pollards Rho) ~2¹²⁸ Operationen. Bei einer Billion Operationen pro Sekunde würde das länger dauern als das Alter des Universums. Bei klassischen Maschinen ist das Problem wirklich schwierig.

Für Quantenmaschinen ist es nicht schwer. Im Jahr 1994 veröffentlichte Peter Shor einen Quantenalgorithmus, der das Problem des diskreten Logarithmus löst Polynomzeit, wodurch das, was klassische Computer Milliarden von Jahren benötigen, auf eine Berechnung reduziert wird, die in Minuten messbar ist. Der Algorithmus nutzt die Quantenüberlagerung, um exponentiell viele Kandidaten parallel auszuwerten, und verwendet dann Quanten-Fourier-Transformationen, um die Periode zu extrahieren, die den privaten Schlüssel ergibt.

ECDSA auf secp256k1 fällt genau in die Problemklasse, für die der Algorithmus von Shor entwickelt wurde. Dies ist keine Vermutung. Es handelt sich um einen mathematischen Beweis, der vor zweiunddreißig Jahren veröffentlicht und nie widerlegt wurde.

Logische vs. physikalische Qubits: Warum die Schätzungen auseinandergehen

Die Verwirrung in der öffentlichen Berichterstattung ist darauf zurückzuführen, dass zwei grundlegend unterschiedliche Kennzahlen miteinander verwechselt werden. Logische Qubits sind die fehlerkorrigierten, mathematisch perfekten Einheiten, die der Algorithmus von Shor benötigt. Physikalische Qubits sind die verrauschten, fehleranfälligen Hardwareelemente, die gruppiert und fehlerkorrigiert werden müssen, um jedes logische Qubit zu erzeugen.

Die Literatur zu den ECDLP-Qubit-Kosten, neueste zuerst. Achten Sie auf die Fahrtrichtung:

Qubit estimates for breaking secp256k1 — SynergyX Research,
https://synxcrypto.com/articles/123-how-many-qubits-to-break-bitcoin-secp256k1.php#estimates

Lesen Sie die Tabelle von oben bis unten und die Geschichte schreibt sich von selbst. Der Bedarf an logischen Qubits lag nicht bei 2.000–2.500. Es fiel auf 1,200–1,450. Der physische Overhead blieb nicht bei 20 Millionen, also bei 317 Millionen. Es fiel auf unter 500.000 – und auf Neutralatom-Hardware, ungefähr 26,000. Die Angriffslaufzeit hielt nicht bei Stunden. Es fiel auf Minuten.

Dies geschieht, wenn bessere Schaltkreise auf eine bessere Fehlerkorrektur treffen. Bei jeder Schätzung, die die Branche veröffentlichte, handelte es sich um eine Obergrenze, die von Leuten geschrieben wurde, die jedes Jahr herausfanden, dass sie zu pessimistisch waren. Die Verteidiger von Bitcoin nennen die Zahl von 2017. Google hat das Jahr 2026 veröffentlicht.

Das Problem des Interessenkonflikts

Es ist erwähnenswert, wer davon profitiert, diese Zahlen in eine bestimmte Richtung zu lenken.

Bitcoin-Maximalisten und große institutionelle Inhaber wie MicroStrategy und Marathon Digital mit milliardenschwerem BTC-Engagement haben ein offensichtliches Motiv, die Quantenbedrohung als weit entfernt oder übertrieben zu bezeichnen. Dies ist keine Spekulation über die Absicht; Es handelt sich um eine Beobachtung über Anreizstrukturen. Die gleiche Dynamik hat sich auch in anderen Branchen abgespielt: Tabakunternehmen finanzierten jahrzehntelange konträre Forschung zum Thema Rauchen, und Unternehmen für fossile Brennstoffe finanzierten Zweifel an Klimamodellen. Finanzielles Engagement führt zu motiviertem Denken.

Beachten Sie, welche Zahlen diese Interessen immer wieder wiederholen. Die Bequemen. Die Neunjährigen. Roettelers 2.330 logische Qubits, gepaart mit einem großzügigen Fehlerkorrekturverhältnis von 2.000:1, ergeben eine beruhigende Schlagzeile: „Millionen physikalischer Qubits, Jahrzehnte entfernt.“ Es handelt sich um eine Arithmetik, die an einer ersetzten Eingabe ausgeführt wird.

Der aktuelle Eingang ist 1.200–1.450 logische Qubits in weniger als 500.000 physischen, in Minuten (Google Quantum AI, März 2026). Die von IBM veröffentlichte Roadmap beziffert Starling auf etwa 200 logische Qubits 2029 und Blue Jay bei mehr als 2.000 logischen Qubits auf etwa 100.000 physikalische Qubits im Jahr 2033 – direkt durch die Anforderung, mit Spielraum. Hartmut Neven von Google hat öffentlich erklärt, dass sein Team kryptografisch relevantes Quantencomputing erwartet bis 2029. Die Lücke zwischen der aktuellen Hardware und der Bedrohungsschwelle wird in Jahren und nicht in Generationen gemessen – und sie wird von beiden Seiten gleichzeitig geschlossen, da sich das Ziel nach unten bewegt, während sich die Hardware nach oben bewegt.

Aktuelle Hardware: Snapshot 2026

Kein existierender Quantencomputer kann secp256k1 zerstören. Die bekanntesten Maschinen liegen ungefähr bei ca 2.500 physikalische Qubits, und keiner von ihnen ist im großen Maßstab fehlertolerant. Das Bedrohungsmodell ist prospektiv und nicht unmittelbar. Aber die Flugbahn ist wichtiger als der aktuelle Schnappschuss – und die Ziellinie rückte gerade mehrere hunderttausend Qubits näher.

Zwei Datenpunkte verdienen Aufmerksamkeit. Erstens hat IBM seine Qubit-Anzahl in vier Jahren ungefähr dreimal verdoppelt, und seine Roadmap ist öffentlich. Zweitens hat Googles 105-Qubit-Willow-Prozessor im Dezember 2024 die Grenze überschritten Fehlertoleranzgrenze: Der Punkt, an dem das Hinzufügen weiterer physikalischer Qubits den Gesamtsystemfehler verringert, anstatt ihn zu erhöhen. In weniger als fünf Minuten wurde ein Benchmark erreicht, für den ein klassischer Supercomputer in der Größenordnung von 10 Minuten benötigt hätte²⁵ Jahre. Dies ist ein qualitativer Schwellenwert, keine inkrementelle Verbesserung. Das bedeutet, dass die Skalierung jetzt eher hilft als schadet, und genau aus diesem Grund ist der Fehlerkorrekturaufwand in der obigen Tabelle so zusammengebrochen.

Die im Jahr 2022 veröffentlichte CNSA 2.0-Beratung der NSA schreibt vor, dass alle nationalen Sicherheitssysteme der USA die Migration zur Post-Quanten-Kryptographie bis 2035 abschließen müssen. Geheimdienste veröffentlichen keine Migrationsfristen für Bedrohungen, die sie für unwahrscheinlich halten.

Die Expositionsfläche: 6,04 Millionen BTC

Die Qubit-Anzahl ist die Hälfte der Risikogleichung. Das andere ist wie viel Bitcoin bereits kryptografisch exponiert ist. Auch diese Zahl hat sich bewegt – für Bitcoin in die falsche Richtung.

Per Glassnode, Stand Mai 2026, 6,04 Millionen BTC – 30,2 % des gesamten Angebots, etwa 469 Milliarden US-Dollar – Ihre öffentlichen Schlüssel sind bereits in der Kette sichtbar. Die Aufteilung ist aufschlussreich: 1,92 Millionen BTC sind strukturell exponiert in Pay-to-Public-Key (P2PK)-Ausgaben, die den Schlüssel überhaupt nicht versteckt haben, und 4,12 Millionen BTC sind operativ exponiert durch Wiederverwendung von Adressen, wobei der Schlüssel in dem Moment öffentlich wird, in dem der Eigentümer ihn verbringt. Rund 1,7 Millionen BTC sitzen in frühen P2PK-Adressen, einschließlich der ~1,1 Millionen, die Satoshi Nakamoto zugeschrieben werden. Von der Gesamtsumme ca 2,3 Millionen BTC sind irreversibel gefährdet; Die restlichen ca. 3,7 Millionen könnten noch auswandern, wenn ihre Besitzer am Leben, aufmerksam und willig sind.

Diese Schlüssel werden nicht gehasht. Sie befinden sich im UTXO-Set als rohe, komprimierte öffentliche Schlüssel, die von jedem gelesen werden können, der über einen vollständigen Knoten und eine Internetverbindung verfügt.

Ein CRQC mit 1.200–1.450 logischen Qubits könnte mithilfe des Shor-Algorithmus aus jedem von ihnen den entsprechenden privaten Schlüssel ableiten. Kein Exploit. Keine Schwachstellenerkennung. Kein Zero-Day. Einfache Berechnung anhand öffentlich verfügbarer Daten – fast ein Drittel aller Bitcoin liegt im Freien und der Lösungsschlüssel ist auf der Vorderseite aufgedruckt.

Es gibt auch ein dynamisches Belichtungsfenster, und hier hört die Laufzeitangabe vom März 2026 auf, akademisch zu sein. Wenn jemand von einer Standard-P2PKH-Adresse aus Geld ausgibt, wird der öffentliche Schlüssel an den Mempool gesendet und bleibt durchschnittlich 10 Minuten lang sichtbar, bevor die Blockierung bestätigt wird. Ein Angriff, der Stunden dauert, kann dieses Fenster nicht ausnutzen. Ein Angriff, der Minuten dauert, kann. Die Schätzung von Google verschiebt nicht nur das Datum nach vorne, sondern wandelt ein statisches Honeypot-Problem in ein Live-Transaktionsproblem um, was bedeutet, dass selbst ein absolut hygienischer Bitcoin-Benutzer, der eine Adresse nie wiederverwendet, jedes Mal gefährdet ist, wenn er eine Münze bewegt.

A hygiene habit is not a security model, and the mempool does not care how careful you have been. The only durable fix for a key that becomes public the instant you spend is to stop holding a coin built on exposed keys in the first place — swap exposed BTC for a chain that starts post-quantum, since Bitcoin Core has no migration plan to wait for.

Jetzt ernten, später entschlüsseln

Das HNDL-Bedrohungsmodell erfordert heute kein CRQC. Es erfordert nur, dass ein Gegner glaubt Eine davon wird innerhalb der Nutzungsdauer der erfassten Daten vorhanden sein.

Der gesamte Transaktionsverlauf von Bitcoin ist öffentlich. Jeder jemals offengelegte öffentliche Schlüssel – über P2PK-Adressen, ausgegebene P2PKH-Ausgaben oder Multisig-Skripte – wird dauerhaft aufgezeichnet und kann kostenlos heruntergeladen werden. Ein Gegner mit einem langen Zeithorizont kann diese Daten jetzt sammeln und entschlüsseln, wenn die Quantenhardware ausgereift ist. Die Speicherkosten sind im Verhältnis zum Wert der Schlüssel trivial.

Dies ist keine theoretische Übung. Die CNSA 2.0-Beratung der NSA und die 8-jährige PQC-Standardisierungsbemühung von NIST existieren beide, weil die US-Regierung HNDL als glaubwürdige, aktive Bedrohung für die klassische Kryptographie ansieht. Da Blockchain-Daten von Natur aus unveränderlich und öffentlich sind, sind sie für diese Angriffsklasse besonders anfällig.

Das Migrationsproblem

Die Standard-Widerlegung ist, dass Bitcoin auf Post-Quantum-Signaturen umsteigen wird, wenn die Bedrohung eintritt. Drei strukturelle Zwänge machen dies deutlich schwieriger, als es scheint.

Governance-Latenz. Das Konsensmodell von Bitcoin ist auf Stabilität und nicht auf Geschwindigkeit ausgelegt. Das SegWit-Upgrade – das die Transaktionsserialisierung modifizierte, ohne das Signaturschema zu ändern – erforderte vier Jahre Debatte, brachte einen konkurrierenden Fork (Bitcoin Cash) hervor und hätte das Netzwerk beinahe dauerhaft zerstört. Eine Post-Quantum-Migration würde den Austausch von ECDSA für jedes Wallet im Netzwerk erfordern und ist um Größenordnungen invasiver. Auf der Entwicklungs-Roadmap von Bitcoin Core (Stand März 2026) gibt es keinen solchen Vorschlag.

Signatur-Overhead. SPHINCS+-Signaturen (NIST FIPS 205) sind 7.856 Bytes. Die aktuellen ECDSA-Signaturen von Bitcoin sind 72 Bytes groß Verhältnis 109:1. Die Basisblockgröße von Bitcoin von 1 MB begrenzt den Durchsatz bereits auf etwa 7 Transaktionen pro Sekunde. Die Berücksichtigung von Post-Quanten-Signaturen ohne grundlegende Architekturänderungen würde diesen Wert auf nahezu Null reduzieren. Eine Erhöhung der Blockgröße zum Ausgleich würde denselben Governance-Kampf neu entfachen, der 2017 zu den Gabelkriegen geführt hatte.

Nicht migrierbare Schlüssel. Die geschätzten 1,1 Millionen BTC von Satoshi Nakamoto können nicht verschoben werden, da die Schlüssel vermutlich verloren gegangen sind. Gleiches gilt für mehrere Millionen zusätzliche BTC in ruhenden Wallets mit offengelegten öffentlichen Schlüsseln. Diese Münzen können nicht an der Migration eines Signaturschemas teilnehmen und bleiben auf unbestimmte Zeit anfällig, unabhängig davon, was aktive Geldbörsen tun. Die Auswirkungen auf den Markt, wenn Millionen von BTC gleichzeitig stehbar werden, können kaum überbewertet werden.

Postquantenkryptographie: Die NIST-Standards

NIST stellte im August 2024 die ersten Post-Quanten-Kryptographiestandards fertig und schloss damit eine achtjährige Evaluierung ab, an der Hunderte von Kryptografen und Dutzende Kandidatenalgorithmen beteiligt waren. Das Ergebnis sind zwei primäre Standards, die für die Blockchain-Sicherheit relevant sind:

• FIPS 203 — ML-KEM (Kyber): Ein gitterbasierter Schlüsselkapselungsmechanismus. Seine Sicherheit beruht auf der Härte des Problems „Module Learning With Errors“, das sowohl gegen die Algorithmen von Shor als auch gegen Grover resistent ist.
• FIPS 205 — SLH-DSA (SPHINCS+): Ein zustandsloses Hash-basiertes digitales Signaturschema. Seine Sicherheit hängt ausschließlich von der Kollisionsresistenz von Hash-Funktionen ab, einer Problemklasse mit keiner bekannten Quantenbeschleunigung über den quadratischen Vorteil des Grover-Algorithmus hinaus, dem leicht durch eine Erhöhung der Hash-Ausgabelänge entgegengewirkt werden kann.

Diese Standards existieren, weil die kryptografische Gemeinschaft einen Konsens darüber erzielt hat, dass die Quantenbedrohung für die klassische Public-Key-Kryptografie keine Frage von ist if Aber Wann. Die relevante Frage für jedes System, das auf ECDSA, RSA oder EdDSA basiert, ist, ob es auf diese Standards migrieren kann, bevor ein CRQC betriebsbereit ist.

Für Blockchains führt dies zu einer harten Unterscheidung: Ketten, die migrieren müssen (jede Kette, die heute ECDSA oder EdDSA verwendet), und Ketten, die PQC von Anfang an bereitgestellt haben und überhaupt keiner Migration ausgesetzt sind.

Zeitplanschätzungen

Die veröffentlichten Roadmaps laufen in einem einzigen Fenster zusammen: 2029 bis 2033.

• 2026–2028: Maschinen mit wenigen Tausend physikalischen Qubits, keine davon fehlertolerant im großen Maßstab. Nicht ausreichend für secp256k1 – aber dies ist die Erntephase, und der geerntete Kettenverlauf ist bereits öffentlich und dauerhaft.
• 2029 – das Fenster öffnet sich: IBM liefert Starling aus, etwa 200 logische Qubits. Google hat im selben Jahr öffentlich eine nützliche, fehlerkorrigierte Maschine ins Visier genommen. Beides allein reicht nicht aus. Beide belegen, dass fehlerkorrigierte logische Qubits zu einer technischen Leistung mit einem Liefertermin und nicht zu einer Forschungsfrage geworden sind.
• 2033 – das Fenster schließt sich: IBMs Blue Jay: mehr als 2.000 logische Qubits auf rund 100.000 physischen. Das liegt über der Anforderung von 1.200–1.450 und es bleibt Spielraum übrig. Irgendwann zwischen diesen beiden Daten hört ECDSA-256 auf, Kryptographie zu sein, und wird zu einer Formalität.

Die CNSA 2.0-Fristen der NSA – 2030 für Browser und Firmware, 2033 für Netzwerkausrüstung und Betriebssysteme, 2035 für alles andere – liegen bewusst über diesem Fenster und darüber hinaus. Niemand schreibt einen so teuren Compliance-Plan für eine Bedrohung, die er voraussichtlich übersehen wird.

Dies sind keine Randvorhersagen. Dabei handelt es sich um Anbieter-Roadmaps und Regierungsanweisungen von IBM, Google, NIST und der NSA – Organisationen, die kein kommerzielles Interesse daran haben, die Bedrohung zu übertreiben, sondern vielmehr ein kommerzielles Interesse daran, sie zu unterschätzen.

Referenzen

• Google Quantum AI, mit der Ethereum Foundation und Stanford (März 2026) – Ressourcenschätzung für die Durchbrechung von ECDSA-256: 1.200–1.450 logische Qubits, weniger als 500.000 physische Qubits, Laufzeit in Minuten. Der aktuelle Maßstab; ersetzt alles unten.
• Caltech / Oratomic (2026) – unabhängige Neutralatomanalyse: ~26.000 physikalische Qubits gegen secp256k1 über etwa 10 Tage.
• Roetteler, M., Naehrig, M., Svore, K.M., & Lauter, K. (2017) — „Quantenressourcenschätzungen zur Berechnung diskreter Logarithmen elliptischer Kurven.“ Quanteninformation und -berechnung, 17(15-16). Historisch; Die logische Zahl ~2.330 wird ersetzt.
• Gidney, C. & Ekerå, M. (2021) – „Wie man 2048-Bit-RSA-Ganzzahlen in 8 Stunden mit 20 Millionen verrauschten Qubits faktorisiert.“ Quantum, 5, 433.
• Webber, M. et al. (2022) — „Der Einfluss von Hardwarespezifikationen auf das Erreichen eines Quantenvorteils im fehlertoleranten Regime.“ AVS Quantenwissenschaft, 4(1).
• NIST Post-Quantum-Kryptographie-Standardisierung — FIPS 203 (ML-KEM) und FIPS 205 (SLH-DSA), fertiggestellt im August 2024.
• NSA-Cybersicherheitshinweis: CNSA 2.0 – Migrationsanforderungen für die kommerzielle National Security Algorithm Suite 2.0.
• ABSCHNITT 2: Empfohlene Domänenparameter für elliptische Kurven — secp256k1-Spezifikation, die von Bitcoin verwendet wird.

Der aktuelle Maßstab ist klar und nicht der, den das Internet immer wieder wiederholt: zwischen 1.200 und 1.450 logische Qubits – innerhalb von weniger als 500.000 physischen Einsen in Minuten – reichen aus, um secp256k1 zu brechen (Google Quantum AI, März 2026). Alle großen Regierungs- und Technologielabore auf der Erde rasen auf diese Schwelle zu, und die Schwelle bewegt sich immer wieder zurück, um sie zu erreichen. Die einzigen zwei Arten von Blockchains, die nach der Einführung kryptografisch relevanter Quantencomputer existieren werden, sind diejenigen, die vom ersten Tag an nach der Quantentechnologie gebaut wurden – und diejenigen, die es nicht waren.

Es wird kein Migrationsfenster geben. Es wird keine sanfte Landung geben. Es wird nur Ketten geben, die sich vorbereitet haben, und Ketten, die das nicht getan haben.