Risco de encriptação da computação quântica: colha agora, desencripte depois explicado

O medo: já estão a registar as suas transações

Eu costumava pensar que risco de criptografia de computação quântica era um problema futuro. Algo para alguma década distante. Algo para a próxima geração resolver. Depois li os briefings desclassificados sobre os programas de recolha de dados em massa da NSA e percebi algo que me fez embrulhar o estômago.

Não precisam de um computador quântico hoje. Precisam de um disco rígido hoje e, eventualmente, de um computador quântico.

Isto é colher agora, desencriptar depois (HNDL). O vetor de ataque mais perigoso em criptografia. E o blockchain torna isto trivialmente fácil porque cada transação, cada assinatura, cada chave pública exposta é transmitida para o mundo inteiro e armazenada permanentemente num livro-razão imutável.

As suas transações Bitcoin não são privadas. Nem sequer são criptografados. São assinados com ECDSA secp256k1 e publicados em texto simples numa base de dados replicada globalmente. Qualquer pessoa com um nó completo possui um ficheiro completo de todas as transações que já fez. Cada chave pública que já expôs. Cada assinatura que o algoritmo do Shor irá um dia inverter.

O risco de criptografia de computação quântica não se trata de uma máquina que ainda não existe. Trata-se de dados que já o fazem.

A ciência: como o HNDL funciona contra o Blockchain

O ataque colher agora, desencriptar depois opera em duas fases:

Fase 1: Colheita (a acontecer agora)

• Os adversários registam dados do blockchain. Isto não requer qualquer acesso especial porque o blockchain é público por design.
• Catalogam todas as transações gastas onde a chave pública secp256k1 do remetente está exposta.
• Armazenam tráfego de rede ponto a ponto contendo transações não confirmadas e apertos de mão de carteira.
• Custo de armazenamento: insignificante. Todo o blockchain Bitcoin tem menos de 600 GB. Um disco rígido de consumidor contém-no.

Fase 2: Desencriptar (2029-2033)

• Um computador quântico tolerante a falhas executa o algoritmo Shor em cada chave pública recolhida.
• O algoritmo do Shor gera a chave privada correspondente em tempo polinomial.
• O atacante assina transações movimentando todos os fundos restantes de todos os endereços comprometidos.
• O roubo é instantâneo, automatizado e irreversível.

O brilhantismo do HNDL é a paciência. O invasor não tem de partir nada hoje. Só precisam de recolher e esperar. E o blockchain oferece tudo o que precisam numa bandeja de prata pública, permanente e distribuída globalmente.

Para uma análise técnica mais profunda, leia o nosso Análise de ameaças HNDL.

Que moedas já foram colhidas

Cada moeda com ECDSA ou Ed25519 exposta assinatura de transação as chaves numa blockchain pública já estão na fila de recolha:

• Bitcoin (BTC): 6,04 milhões de BTC – 30,2% de toda a oferta, cerca de 469 mil milhões de dólares (Glassnode, maio de 2026) – estão em endereços com chaves públicas expostas. 1,92 milhões de BTC estão estruturalmente expostos nas primeiras saídas P2PK, incluindo cerca de 1,1 milhões atribuídos a Satoshi; 4,12 milhões de BTC são expostos operacionalmente através da reutilização de endereços. Cada satoshi nestes endereços está pré-comprometido.
• Ethereum (ETH): Cada EOA que já enviou uma transação tem uma chave pública secp256k1 exposta. Os utilizadores avançados do DeFi que fazem transações diariamente têm a maior exposição.
• Solana (SOL): Ed25519 assinatura de transação. Curva diferente, mesma vulnerabilidade do Shor. Alto rendimento de transações significa mais exposição de chaves por utilizador.
• Monero (XMR): As assinaturas em anel fornecem ambiguidade ao emissor em relação aos observadores clássicos. Fornecem proteção zero contra a derivação de chaves quânticas de chaves públicas Ed25519.
• Zcash (ZEC): Zk-SNARKs baseados no emparelhamento BN254. O algoritmo do Shor quebra grupos baseados em emparelhamento. Mesmo as transações protegidas são vulneráveis ​​na base criptográfica.

O ameaça quântica à criptografia não é teórico. Os dados são recolhidos. Os algoritmos estão comprovados. Apenas o cronograma do hardware permanece incerto e continua a contrair.

Aqui está o número que o deve assustar. Em março de 2026, o Google Quantum AI, trabalhando com a Fundação Ethereum e Stanford, compilou o algoritmo do Shor contra o secp256k1 até 1.200 a 1.450 qubits lógicos, cabendo dentro menos de 500.000 qubits físicos, completando em minutos — suficientemente rápido, em princípio, para intercetar uma transação pendente antes de esta ser confirmada. Estimativas anteriores estimavam o custo em aproximadamente 2.330 qubits lógicos. O melhor hardware quântico público em meados de 2026 está próximo 2.500 qubits físicos, e nada disto é tolerante a falhas à escala. Esta lacuna é a única coisa que existe entre a colheita e a desencriptação, e o roteiro da IBM fecha-a entre 2029 e 2033.

O que realmente sobrevive à colheita agora, desencripte mais tarde

Para derrotar o HNDL, precisa de encriptação onde os dados recolhidos não têm um caminho de desencriptação quântica. Duas abordagens sobreviveram:

Encapsulamento de chaves baseado em rede: Kyber-768 (NIST FIPS 203). As trocas de chaves protegidas pelo Kyber-768 não podem ser quebradas retroativamente pelos computadores quânticos porque o problema do módulo de aprendizagem com erros não tem uma solução quântica eficiente. Os dados captados hoje permanecem encriptados para sempre.

Assinatura de transação baseada em hash: SPHINCS+ (NIST FIPS 205). As assinaturas criadas com o SPHINCS+ não podem ser falsificadas pelo algoritmo do Shor porque não existe uma estrutura algébrica para explorar. SPHINCS+ utiliza sal criptográfico para evitar ataques de pré-computação contra a sua árvore hash, adicionando uma camada de proteção aleatória que o ECDSA nunca teve.

Se o seu assinatura de transação O esquema e o protocolo de troca de chaves utilizam algoritmos pós-quânticos, não há nada para o HNDL desencriptar. A colheita torna-se uma coleção de dados matematicamente inúteis.

SynergyX já lá está

Mudei as minhas participações para SynergyX na semana em que compreendi o HNDL. Eis o porquê:

• Encapsulamento de chave Kyber-768 em todos os canais. Apertos de mão entre pares, comunicação entre carteira e daemon, assinatura de transação derivação da chave. Tudo baseado em treliça. Todos NIST FIPS 203. Todos à prova de quantum contra desencriptação retroativa.
• Assinatura de transação sem estado SPHINCS+ em cada envio. Baseado em hash. Sem curvas elípticas. Sem estrutura algébrica. Sal criptográfico impede a pré-computação na árvore Merkle. NIST FIPS 205.
• Transações furtivas mistas com Daemon. Mesmo que pudesse quebrar a criptografia (não pode), o tempo e a entropia de ordem introduzidos pelo piscina de mineração corta a correlação de transmissão para confirmação.
• Exposição herdada zero. Sem endereço ECDSA. Sem chave pública secp256k1 na cadeia. Nada para colher. Nada para desencriptar. O vetor de ataque HNDL não existe contra SynergyX porque não existem dados vulneráveis ​​​​quânticos que possam ser recolhidos.

O risco de criptografia de computação quântica é uma ameaça existencial às cadeias baseadas em ECDSA. É um não-acontecimento para Arquitetura pós-quântica do SynergyX.