How Many Qubits to Break Bitcoin secp256k1? 1,200–1,450 Logical Qubits

Uma pesquisa das estimativas de qubits, a trajetória do hardware e o que significa um colapso de uma ordem de grandeza nos números para as blockchains protegidas por ECDSA.

Todo o modelo de segurança do Bitcoin assenta num pressuposto: que a quebra secp256k1 ECDSA é computacionalmente impossível.

Essa suposição está prestes a morrer.

Peter Shor provou-o em 1994. Um computador quântico suficientemente poderoso que execute o seu algoritmo pode derivar uma chave privada de uma chave pública em minutos – nem anos, nem décadas, minutos. A única questão que resta é quantos qubits necessitará este computador. A literatura tem uma resposta, foi revista em baixa sempre que foi revista e está agora muito mais próxima do que qualquer detentor de Bitcoin deseja acreditar.

secp256k1 e o problema do logaritmo discreto

Cada transação Bitcoin é autenticada com ECDSA na curva secp256k1, uma curva elíptica de 256 bits especificada na SECÇÃO 2 e adotado por Satoshi Nakamoto em 2009. A segurança deste esquema reside na Problema de logaritmo discreto de curva elíptica (ECDLP): dada uma chave pública Q = kg, encontre o escalar k.

Classicamente, o ataque mais conhecido (rho de Pollard) requer ~2¹²⁸ operações. A um trilião de operações por segundo, isto levaria mais tempo do que a idade do universo. O problema é genuinamente difícil para as máquinas clássicas.

Não é difícil para as máquinas quânticas. Em 1994, Peter Shor publicou um algoritmo quântico que resolve o problema do logaritmo discreto em tempo polinomial, reduzindo o que os computadores clássicos demoram milhares de milhões de anos a um cálculo mensurável em minutos. O algoritmo explora a superposição quântica para avaliar exponencialmente muitos candidatos em paralelo e, em seguida, utiliza transformadas quânticas de Fourier para extrair o período, o que produz a chave privada.

O ECDSA no secp256k1 enquadra-se perfeitamente na classe de problema para a qual o algoritmo do Shor foi concebido. Isto não é uma conjetura. É uma prova matemática, publicada há trinta e dois anos e nunca refutada.

Qubits lógicos versus físicos: porque divergem as estimativas

A confusão na cobertura popular decorre da fusão de duas métricas fundamentalmente diferentes. Qubits lógicos são as unidades matematicamente perfeitas e corrigidas de erros que o algoritmo do Shor requer. Qubits físicos são os elementos de hardware ruidosos e propensos a erros que devem ser agrupados e corrigidos para produzir cada qubit lógico.

A literatura sobre o custo do qubit ECDLP, a mais recente primeiro. Observe o sentido da viagem:

Qubit estimates for breaking secp256k1 — SynergyX Research,
https://synxcrypto.com/articles/123-how-many-qubits-to-break-bitcoin-secp256k1.php#estimates

Lê a tabela de alto a baixo e a história escreve-se sozinha. O requisito do qubit lógico não se manteve entre os 2.000 e os 2.500. Caiu para 1,200–1,450. As despesas gerais físicas não se mantiveram nos 20 milhões, ou nos 317 milhões. Caiu para menos de 500.000 - e em hardware de átomo neutro, para aproximadamente 26,000. O tempo de execução do ataque não durou horas. Caiu para minutos.

Isto é o que acontece quando circuitos melhores atendem a uma melhor correcção de erros. Cada estimativa publicada pela indústria era um limite superior escrito por pessoas que descobriam, todos os anos, que tinham sido demasiado pessimistas. Os defensores do Bitcoin citam o número de 2017. A Google publicou o de 2026.

O problema do conflito de interesses

É importante notar quem lucra ao enquadrar estes números numa determinada direção.

Os maximalistas do Bitcoin e grandes detentores institucionais como a MicroStrategy e a Marathon Digital, com milhares de milhões em exposição ao BTC, têm uma razão óbvia para caracterizar a ameaça quântica como distante ou exagerada. Isto não é especulação sobre intenções; é uma observação sobre as estruturas de incentivos. A mesma dinâmica ocorreu noutras indústrias: as empresas tabaqueiras financiaram décadas de investigação contrária sobre o tabagismo e as empresas de combustíveis fósseis financiaram dúvidas sobre os modelos climáticos. A exposição financeira produz raciocínio motivado.

Observe que números esses interesses continuam a repetir. Os confortáveis. Os de nove anos. Os 2.330 qubits lógicos de Roetteler, combinados com uma generosa taxa de correção de erros de 2.000:1, produzem uma manchete tranquilizadora de “milhões de qubits físicos, a décadas de distância”. É aritmética realizada numa entrada substituída.

A entrada atual é 1.200–1.450 qubits lógicos a menos de 500.000 qubits físicos, em minutos (Google Quantum AI, março de 2026). O guião publicado pela IBM coloca Starling em cerca de 200 qubits lógicos em 2029 e Blue Jay em mais de 2.000 qubits lógicos em cerca de 100.000 qubits físicos em 2033 – direto ao requisito, com espaço de sobra. Hartmut Neven, da Google, declarou publicamente que a sua equipa espera computação quântica criptograficamente relevante até 2029. A lacuna entre o hardware atual e o limite de ameaça é medida em anos, não em gerações – e está a ser fechada em ambos os lados ao mesmo tempo, porque o alvo está a descer enquanto o hardware sobe.

Hardware atual: instantâneo de 2026

Nenhum computador quântico existente pode quebrar o secp256k1. As máquinas mais conhecidas publicamente ficam aproximadamente 2.500 qubits físicos, e nenhum deles é tolerante a falhas à escala. O modelo da ameaça é prospetivo, não imediato. Mas a trajetória é mais importante do que o instantâneo atual – e a linha de chegada acabou de se aproximar várias centenas de milhares de qubits.

Dois pontos de dados merecem atenção. Em primeiro lugar, a IBM praticamente duplicou a sua contagem de qubits três vezes em quatro anos, e o seu guião é público. Em segundo lugar, o processador Willow de 105 qubits da Google, em dezembro de 2024, ultrapassou o limite de tolerância a falhas: o ponto em que a adição de mais qubits físicos reduz o erro total do sistema em vez de o aumentar. Estabeleceu uma referência em menos de cinco minutos que levaria um supercomputador clássico na ordem dos 10 minutos.²⁵ anos. Este é um limite qualitativo, não uma melhoria incremental. Isto significa que a ampliação agora ajuda e não prejudica, e é exatamente por isso que a sobrecarga de correção de erros na tabela acima colapsou da forma que aconteceu.

O comunicado CNSA 2.0 da NSA, publicado em 2022, determina que todos os sistemas de segurança nacional dos EUA completem a migração para a criptografia pós-quântica até 2035. As agências de inteligência não publicam prazos de migração para ameaças que consideram remotas.

A superfície de exposição: 6,04 milhões de BTC

A contagem de qubits é metade da equação de risco. O outro é quanto Bitcoin já está exposto criptograficamente. Este número também mudou – na direção errada para Bitcoin.

Por Glassnode, em maio de 2026, 6,04 milhões de BTC – 30,2% de toda a oferta, cerca de 469 mil milhões de dólares — já têm as suas chaves públicas visíveis na cadeia. A divisão é elucidativa: 1,92 milhões de BTC estão estruturalmente expostos em saídas de pagamento para chave pública (P2PK) que nunca esconderam a chave em primeiro lugar, e 4,12 milhões de BTC estão expostos operacionalmente através da reutilização de endereço, onde a chave se torna pública no momento em que o proprietário gasta. Aproximadamente 1,7 milhões de BTC estão nos primeiros endereços P2PK, incluindo cerca de 1,1 milhões atribuídos a Satoshi Nakamoto. Do total, cerca de 2,3 milhões de BTC estão irreversivelmente em risco; os restantes cerca de 3,7 milhões ainda poderão migrar, se os seus proprietários estiverem vivos, atentos e dispostos.

Estas chaves não possuem hash. Ficam no conjunto UTXO como chaves públicas comprimidas em bruto, legíveis por qualquer pessoa com um nó completo e uma ligação à Internet.

Um CRQC com 1.200–1.450 qubits lógicos poderia derivar a chave privada correspondente de qualquer um deles utilizando o algoritmo Shor. Nenhuma exploração. Sem descoberta de vulnerabilidade. Sem dia zero. Cálculo direto em dados disponíveis publicamente – quase um terço de todos os Bitcoin sentados ao ar livre com a chave de resposta impressa na frente.

Existe também uma janela de exposição dinâmica, e é aqui que o número de tempo de execução de março de 2026 deixa de ser académico. Quando alguém gasta a partir de um endereço P2PKH padrão, a chave pública é transmitida para o mempool e permanece visível durante uma média de 10 minutos antes da confirmação do bloqueio. Um ataque que demora horas não consegue explorar esta janela. Um ataque que demora minutos pode. A estimativa da Google não se limita a avançar a data – converte um problema de honeypot estático num problema de transação ao vivo, o que significa que mesmo um utilizador perfeitamente higiénico do Bitcoin que nunca reutiliza um endereço fica exposto sempre que move uma moeda.

A hygiene habit is not a security model, and the mempool does not care how careful you have been. The only durable fix for a key that becomes public the instant you spend is to stop holding a coin built on exposed keys in the first place — swap exposed BTC for a chain that starts post-quantum, since Bitcoin Core has no migration plan to wait for.

Colha agora, desencripte depois

O modelo de ameaça HNDL não exige a existência de um CRQC hoje. Requer apenas que um adversário acredita um existirá durante a vida útil dos dados que estão a ser recolhidos.

Todo o histórico de transações do Bitcoin é público. Cada chave pública já exposta — através de endereços P2PK, saídas P2PKH gastas ou scripts multisig — é gravada permanentemente e pode ser descarregada gratuitamente. Um adversário com um longo horizonte temporal pode recolher estes dados agora e desencriptá-los quando o hardware quântico estiver maduro. O custo do armazenamento é trivial em relação ao valor das chaves.

Este não é um exercício teórico. O aconselhamento CNSA 2.0 da NSA e o esforço de normalização PQC de 8 anos da NIST existem porque o governo dos EUA considera o HNDL uma ameaça ativa e fiável contra a criptografia clássica. Os dados Blockchain, sendo imutáveis ​​e públicos por design, são exclusivamente vulneráveis ​​a esta classe de ataque.

O problema da migração

A refutação padrão é que o Bitcoin irá atualizar para assinaturas pós-quânticas quando a ameaça se materializar. Três restrições estruturais tornam isto significativamente mais difícil do que parece.

Latência de governação. O modelo de consenso do Bitcoin otimiza a estabilidade, não a velocidade. A atualização do SegWit – que modificou a serialização das transações sem alterar o esquema de subscrição – exigiu 4 anos de debate, produziu um fork concorrente (Bitcoin Cash) e quase fraturou a rede permanentemente. Uma migração pós-quântica exigiria a substituição do ECDSA para todas as carteiras da rede e é muito mais invasiva. Não existia tal proposta no roteiro de desenvolvimento do Bitcoin Core em março de 2026.

Sobrecarga de assinatura. As assinaturas SPHINCS+ (NIST FIPS 205) têm 7.856 bytes. As assinaturas ECDSA atuais do Bitcoin têm 72 bytes, um Proporção de 109:1. O tamanho do bloco base de 1 MB do Bitcoin já restringe a taxa de transferência a aproximadamente 7 transações por segundo. Acomodar assinaturas pós-quânticas sem alterações arquitetónicas fundamentais reduziria isto a quase zero. Aumentar o tamanho do bloco para compensar reacenderia a mesma batalha de governação que produziu as guerras bifurcadas de 2017.

Chaves não migráveis. Os 1,1 milhões de BTC estimados de Satoshi Nakamoto não podem ser movimentados porque as chaves são consideradas perdidas. O mesmo se aplica a vários milhões de BTC adicionais em carteiras inativas com chaves públicas expostas. Estas moedas não podem participar em qualquer migração de esquema de subscrição e permaneceriam vulneráveis ​​indefinidamente, independentemente do que as carteiras ativas façam. As implicações de mercado de milhões de BTC se tornarem simultaneamente roubáveis ​​são difíceis de exagerar.

Encriptação pós-quântica: os padrões NIST

A NIST finalizou os primeiros padrões de encriptação pós-quântica em agosto de 2024, concluindo uma avaliação de 8 anos que envolveu centenas de criptógrafos e dezenas de algoritmos candidatos. O resultado são dois padrões principais relevantes para a segurança da blockchain:

• FIPS 203-ML-KEM (Kyber): Um mecanismo de encapsulamento de chaves baseado na rede. A sua segurança depende da dureza do problema do Módulo de Aprendizagem com Erros, que é resistente aos algoritmos do Shor e do Grover.
• FIPS 205 – SLH-DSA (SPHINCS+): Um esquema de assinatura digital baseado em hash sem estado. A sua segurança depende unicamente da resistência à colisão das funções hash, uma classe de problema sem aceleração quântica conhecida para além da vantagem quadrática do algoritmo Grover, que é facilmente combatida aumentando o comprimento da saída hash.

Estes padrões existem porque a comunidade criptográfica chegou ao consenso de que a ameaça quântica à criptografia clássica de chave pública não é uma questão de if mas quando. A questão relevante para qualquer sistema que dependa do ECDSA, RSA ou EdDSA é se pode migrar para estes padrões antes de um CRQC estar operacional.

Para as blockchains, isto cria uma distinção difícil: cadeias que devem migrar (todas as cadeias que utilizam ECDSA ou EdDSA hoje) e cadeias que implementaram o PQC desde a génese e não enfrentam qualquer migração.

Estimativas de cronograma

Os guiões publicados convergem numa única janela: 2029 a 2033.

• 2026–2028: Máquinas com poucos milhares de qubits físicos, nenhuma tolerante a falhas à escala. Insuficiente para secp256k1 – mas esta é a fase de colheita, e o histórico da cadeia colhida já é público e permanente.
• 2029 — a janela abre-se: A IBM envia Starling, cerca de 200 qubits lógicos. A Google visou publicamente uma máquina útil e corrigida de erros no mesmo ano. Nenhum dos dois é suficiente por si só. Ambos estabelecem que os qubits lógicos corrigidos por erros se tornaram um produto de engenharia com uma data de entrega, em vez de uma questão de investigação.
• 2033 — a janela fecha: Blue Jay da IBM: mais de 2.000 qubits lógicos em cerca de 100.000 qubits físicos. Isto ultrapassa o requisito de 1.200–1.450 com margem de sobra. Algures entre estas duas datas, o ECDSA-256 deixa de ser encriptação e passa a ser uma formalidade.

Os prazos CNSA 2.0 da NSA – 2030 para browsers e firmware, 2033 para equipamentos de rede e sistemas operativos, 2035 para tudo o resto – ficam deliberadamente para lá desta janela. Ninguém elabora um calendário de conformidade tão dispendioso para uma ameaça que espera não perceber.

Não são previsões marginais. São roteiros de fornecedores e mandatos governamentais da IBM, Google, NIST e NSA – organizações sem interesse comercial em exagerar a ameaça e com todo o interesse comercial em subestimá-la.

Referências

• Google Quantum AI, com a Fundação Ethereum e Stanford (Março de 2026) — estimativa de recursos para quebrar o ECDSA-256: 1.200–1.450 qubits lógicos, menos de 500.000 qubits físicos, tempo de execução em minutos. O benchmark atual; substitui tudo o que está abaixo.
• Caltech/Oratomic (2026) — análise independente de átomos neutros: ~26.000 qubits físicos contra secp256k1 durante aproximadamente 10 dias.
• Roetteler, M., Naehrig, M., Svore, KM, & Lauter, K. (2017) - "Estimativas de recursos quânticos para calcular logaritmos discretos de curvas elípticas." Informação e computação quântica, 17(15-16). Histórico; o número lógico de ~2.330 é substituído.
• Gidney, C. e Ekerå, M. (2021) — "Como fatorizar números inteiros RSA de 2048 bits em 8 horas, utilizando 20 milhões de qubits ruidosos." Quântico, 5, 433.
• Webber, M. et al. (2022) — "O impacto das especificações de hardware no alcance da vantagem quântica no regime de tolerância a falhas." AVS Ciência Quântica, 4(1).
• Estandardização de criptografia pós-quântica NIST — FIPS 203 (ML-KEM) e FIPS 205 (SLH-DSA), finalizado em agosto de 2024.
• Assessoria de cibersegurança da NSA: CNSA 2.0 — Requisitos de migração do Commercial National Security Algorithm Suite 2.0.
• SEC 2: Parâmetros de domínio de curva elíptica recomendados — Especificação secp256k1 utilizada por Bitcoin.

O benchmark atual é claro e não é aquele que a Internet repete: entre 1.200 e 1.450 qubits lógicos – dentro de menos de 500.000 físicos, em minutos – são suficientes para quebrar o secp256k1 (Google Quantum AI, março de 2026). Todos os principais governos e laboratórios de tecnologia da Terra estão a correr em direção a este limiar, e o limiar continua a caminhar para os alcançar. Os únicos dois tipos de blockchains que existirão após a chegada de computadores quânticos criptograficamente relevantes são aqueles que foram construídos pós-quântico desde o primeiro dia – e aqueles que não foram.

Não haverá janela de migração. Não haverá aterragem suave. Haverá apenas cadeias que se prepararam e cadeias que não o fizeram.