PROSTO O BITCOINIE I RYZYKU KOMPUTERÓW KWANTOWYCH – CZY TWOJE BITCOINY SĄ BEZPIECZNE?

W ostatnim czasie głośno zrobiło się o tym, że komputery kwantowe mogą zagrozić Bitcoinowi – potencjalnie jeszcze w tej dekadzie. Brzmi jak science fiction, ale problem jest realny. O co dokładnie chodzi i czy powinieneś martwić się o swoje bitcoiny?

Jak działa kryptografia w Bitcoinie (i gdzie jest słaby punkt)

Bitcoin opiera się na kryptografii klucza publicznego. Twój adres bitcoinowy w większości przypadków wyprowadzony jest z klucza publicznego, który może być widoczny dla innych użytkowników (tak samo jak twój adres e-mail). Chcąc przesłać środki komuś innemu, musisz podpisać transakcję kluczem prywatnym – i ten musisz już trzymać w sekrecie. Dzięki zastosowaniu tak zwanej funkcji jednokierunkowej, znając sam klucz publiczny, praktycznie niemożliwe jest ustalenie klucza prywatnego, ale znając klucz prywatny, łatwo ustalić klucz publiczny.

Niestety odpowiednio potężny komputer kwantowy będzie w stanie złamać tę matematyczną asymetrię i obliczyć klucz prywatny wyłącznie na podstawie klucza publicznego. Innymi słowy, jeśli twój klucz publiczny został kiedykolwiek ujawniony w łańcuchu bloków (na przykład podczas wydawania środków z danego UTXO, czyli konkretnej „porcji” bitcoinów zapisanej w sieci jako możliwej do wydania przez dany klucz), to w przyszłości – przy wystarczająco silnym komputerze kwantowym – możliwe będzie obliczenie klucza prywatnego i przejęcie środków powiązanych z tym konkretnym UTXO.

Stare i nowe, długie i krótkie

Warto w tym miejscu wprowadzić dwa ważne rozróżnienia: na stare i nowe adresy bitcoinowe oraz na ataki długoterminowe i ataki krótkoterminowe. Najpierw zajmijmy się dwoma typami adresów, później wrócimy do dwóch typów ataków.

W przypadku starych adresów używanych w pierwszych latach funkcjonowania sieci Bitcoin (tak zwany P2PK – ang. pay to public key), klucze publiczne są bezpośrednio zapisane na łańcuchu bloków od momentu pojawienia się na nich bitcoinów (otrzymania ich od innego użytkownika w ramach transakcji lub w ramach nagrody za wydobycie bloku). W przypadku większości współczesnych typów adresów, adres jest skrótem (hashem) lub przekształconą formą klucza publicznego – sam klucz publiczny nie jest widoczny w łańcuchu bloków, dopóki nie zostanie ujawniony przy wydaniu środków (czyli podczas tworzenia transakcji wydającej te środki).

Mówiąc prościej, przez analogię, w przypadku starych adresów klucz publiczny ma się wytatuowany na czole od piętnastu lat. Każdy może go zobaczyć – w tym także przyszły komputer kwantowy. W przypadku późniejszych adresów klucz publiczny jest pierwotnie schowany w portfelu. Ujawniasz go w łańcuchu bloków dopiero wtedy, gdy wydajesz środki z danego UTXO (czyli wysyłasz je dalej).

To fakt o kluczowym znaczeniu. Nawet gdybyśmy trzymali bitcoiny na tym samym jawnym adresie od piętnastu lat – i byli przez to narażeni na kradzież środków przy użyciu komputera kwantowego – dziś moglibyśmy po prostu wysłać te środki na nowy adres, którego inni użytkownicy nie widzą (widzą jedynie jego skrót). Dopóki nie wydamy środków z tego UTXO, jesteśmy bezpieczni. Jeśli zaś chcielibyśmy wydać jedynie część środków przechowywanych na tym adresie, możemy wysłać jedną transakcję do innego użytkownika, a resztę środków na kolejny nowy adres. W ten sposób dalej jesteśmy bezpieczni.

Mamy to?

Jeśli myślisz, że w takim razie należy przerzucić wszystkie bitcoiny na nowe adresy i problem ryzyka kwantowego można uznać za rozwiązany – nie tak szybko. Prawdopodobnie nie wszystkie bitcoiny da się tak przerzucić. Dotyczy to między innymi monet samego twórcy Bitcoina, Satoshiego Nakamoto, których jest około 1,1 miliona, czyli ponad 5 procent całkowitej podaży. Łączną liczbę tego rodzaju „uśpionych” monet od lat przechowywanych na starego typu publicznych adresach szacuje się na około dwa miliony, czyli blisko 10 procent całkowitej podaży.

Nie możemy liczyć na to, że w obliczu materializowania się ryzyka ataków kwantowych Satoshi i jego dawni koledzy z początkowego okresu funkcjonowania sieci Bitcoin uaktywnią się nagle po piętnastu latach i prześlą swoje środki na nowe adresy. A to z kolei oznacza, że około dwóch milionów monet – powtórzmy, 10 procent całkowitej podaży – podatna jest na tak zwane ataki długoterminowe (ang. long-range attacks). Wyobraźcie sobie, co stałoby się z ceną Bitcoina w przypadku kradzieży i sprzedaży takiej liczby monet.

Jak system zachęt i ograniczeń chroni Bitcoina przed atakami

W tym momencie warto wspomnieć o pewnej interesującej kwestii. Jednym z gwarantów bezpieczeństwa sieci Bitcoin jest fakt, że ataki na nią się po prostu nie opłacają – tak to sprytnie zaprojektował Satoshi. Nawet jeśli udałoby się nam ukraść dwa miliony bitcoinów, (1) nie moglibyśmy ich łatwo sprzedać, nie doprowadzając do załamania się ceny, a (2) sam fakt, że o kradzieży szybko dowiedzieliby się inni użytkownicy, spowodowałby załamanie ceny. Po co więc przeznaczać olbrzymie środki na próby ukradzenia czegoś, co – jeśli nam się powiedzie – natychmiast straci wartość? To tak, jakby poświęcić lata na przygotowanie skoku na bank, aby ukraść pieniądze, które wyparowują po wyjęciu ich z sejfu.

Ten system zachęt i ograniczeń dotyczy jednak tylko – posługując się terminologią ekonomiczną – racjonalnych podmiotów. Niestety państw narodowych nie można uznać za racjonalne podmioty. Takie Chiny, o których nie od dziś wiadomo, że Bitcoina nie lubią, bez wahania wykorzystałyby komputery kwantowe, żeby przejąć „uśpione” monety, zalać nimi rynek i wywołać krach ceny Bitcoina tak głęboki, że mógłby on okazać się dla sieci ciosem śmiertelnym.

Dlaczego społeczność jak dotąd skupiała się głównie na atakach długoterminowych?

Ale wróćmy do głównego wątku. Wyjaśniłem już, na czym polegają ataki długoterminowe, na które narażone są monety przechowywane na jawnych adresach. Oprócz tego wyróżnia się także ataki krótkoterminowe (ang. short-range attacks), na które narażone są wszystkie transakcje bitcoinowe: atak następowałby tu w trakcie wysyłania środków. Różnica jest bardzo istotna. W przypadku ataku długoterminowego atakujący może zebrać z łańcucha bloków wszystkie ujawnione klucze publiczne już dziś, następnie czekać lata czy nawet dekadę, aż pojawi się wystarczająco mocny komputer kwantowy, i dopiero wtedy uruchomić obliczenia (które mogą potrwać kilka, kilkanaście lub nawet kilkadziesiąt godzin. Nie ma presji czasu). W przypadku ataku krótkoterminowego atakujący musiałby przeprowadzić całą operację w mniej więcej dziesięć minut – w przybliżeniu tyle czasu mija od wysłania transakcji do potwierdzenia jej w kolejnym bloku łańcucha.

Aby ponownie posłużyć się przystępną analogią, wyobraź sobie, że atak długoterminowy jest jak skok na bank, gdzie na przygotowania i złamanie bądź obejście zabezpieczeń masz mnóstwo czasu. Z kolei atak krótkoterminowy jest jak próba kradzieży portfela, gdy ktoś wyciąga go z kieszeni na krótką chwilę, żeby zapłacić za zakupy – musisz działać w ciągu kilkunastu sekund, zanim schowa go z powrotem.

To dlatego społeczność entuzjastów Bitcoina jak dotąd przygotowywała potencjalne rozwiązania przede wszystkim dla ryzyka ataków długoterminowych. Komputer kwantowy o mocy niezbędnej do przeprowadzenia ataku krótkoterminowego wydawał się po prostu nieosiągalny jeszcze przez wiele lat – dość długo, by na razie w ogóle nie zawracać sobie głowy tym zagrożeniem.

Google Quantum AI: kubeł zimnej wody

I tu dochodzimy do przełomowej publikacji, która kilkanaście dni temu „wywróciła planszę”.

Trzydziestego marca 2026 roku zespół Google Quantum AI opublikował obszerny raport zatytułowany Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations. Jego autorzy (naukowcy z Google wraz ze współpracownikami z Fundacji Ethereum i Uniwersytetu Stanforda) znacząco zrewidowali w dół wymagania sprzętowe dla komputera kwantowego, który byłby zdolny złamać kryptografię eliptyczną stosowaną w Bitcoinie.

Ich niepokojące ustalenia dotyczą nie tylko terminu potencjalnego ataku, lecz także szybkości jego przeprowadzenia. Dzięki lepszej kompilacji algorytmu Shora wymagania sprzętowe spadły mniej więcej dwudziestokrotnie w porównaniu z wcześniejszymi szacunkami (z kilku- lub kilkunastu milionów fizycznych kubitów do poniżej pół miliona fizycznych kubitów na architekturze nadprzewodzącej). W takiej sytuacji odkrycie klucza prywatnego na podstawie klucza publicznego mogłoby zająć zaledwie kilka lub kilkanaście minut (mniej więcej dziewięć minut na architekturze nadprzewodzącej). Sugeruje to, że ataki krótkoterminowe – te przeprowadzane na transakcjach będących w toku – mogą stać się realnym zagrożeniem w niedalekiej przyszłości.

Co więcej, choć Google nie podaje dokładnej daty powstania komputerów kwantowych, firma sama wyznaczyła sobie wewnętrzny termin migracji do kryptografii odpornej na ataki kwantowe już na 2029 rok. Krótko mówiąc, wspomniana publikacja istotnie zwiększyła szacunki ryzyka ataków krótkoterminowych oraz znacząco skróciła horyzont czasowy. Ton dyskusji – przynamniej według niektórych – powinien zmienić się z „Mamy czas, mówimy o odległej przyszłości” na „Nie mamy czasu do stracenia, musimy działać już teraz”.

Co dalej?

Kluczowe pytanie brzmi: czy społeczność Bitcoina stanie na wysokości zadania i zdąży w porę przygotować sieć na nadejście kryptograficznie istotnych komputerów kwantowych? Z czysto technicznego punktu widzenia rozwiązania istnieją, a ich wdrożenie w teorii jest stosunkowo proste. Niestety w praktyce sprawa jest znacznie bardziej skomplikowana z czterech głównych powodów:

1) trudności wprowadzania zmian w protokole,

2) doboru nowej kryptografii stosownej dla Bitcoina,

3) etycznego dylematu wokół monet Satoshi’ego,

4) oporu/letargu społeczności.

Postaram się napisać o tym więcej w kolejnym tekście.

Na ten moment, jeśli ryzyko ataku kwantowego miałoby się urzeczywistnić, zwyczajni użytkownicy sieci powinni pamiętać o trzech rzeczach:

· Jeśli posiadasz środki na bardzo starym adresie (P2PK), przenieś je na nowy adres.

· Nie zostawiaj środków na adresie, z którego wysłałeś już transakcję.

· Śledź rozwój technologii kwantowej oraz reakcje i propozycje społeczności Bitcoina.

Osobiście mam nadzieję, że środowisko entuzjastów Bitcoina weźmie sobie do serca radę Nassima Nicholasa Taleba (którego, nawiasem mówiąc, nie lubi – z wzajemnością): jeśli musisz panikować, lepiej panikować wcześnie.

Krzysztof Zuber