Квантовый апокалипсис для биткоина: реальная угроза или далекий сценарий?
Вопрос о том, станет ли квантовый компьютер «могильщиком» биткоина, давно вышел за рамки теоретических дискуссий в криптосообществе. В центре этих опасений лежит алгоритм Шора, который радикально меняет саму математическую природу задачи восстановления приватного ключа из публичного. Если классические вычисления делают эту операцию практически невозможной, то квантовые — переводят ее в разряд решаемых за минуты, при условии наличия соответствующего оборудования.
Реальная математика угрозы
Суть проблемы не в ускорении перебора, а в смене класса сложности. Безопасность сети основана на необратимости операции P = k ⋅ G на кривой secp256k1, где лучшие классические алгоритмы требуют около 2¹²⁸ операций. Алгоритм Шора решает задачу дискретного логарифмирования за полиномиальное время, что делает его теоретически способным скомпрометировать и ECDSA, и подписи Шнорра.
Однако между теорией и практикой — пропасть, измеряемая в кубитах. Современные процессоры насчитывают около 1100–1200 физических кубитов без коррекции ошибок. Для реальной атаки, по разным оценкам, требуется от 500 тысяч до 13 миллионов физических кубитов. Примечательно, что исследование Google Quantum AI, опубликованное в марте 2026 года, существенно снизило эту планку: речь идет о менее чем 500 000 физических кубитов (примерно 1200 логических) и 70 миллионах вычислительных шагов. В таких условиях приватный ключ можно восстановить менее чем за 9 минут — быстрее, чем добывается блок.
Кто в зоне поражения
Ключевой фактор уязвимости — не размер баланса, а цифровая гигиена владельца. Наибольшему риску подвергаются адреса с уже раскрытыми публичными ключами: это выходы P2PK эпохи Сатоши, архитектура Taproot и кошельки, скомпрометированные повторным использованием адресов. По оценкам Glassnode, в блокчейне раскрыты ключи для 6,04 млн BTC (30,2% всего предложения), из которых 1,92 млн BTC — структурно уязвимые P2PK, а 4,12 млн BTC — операционно уязвимые из-за повторного использования.
Напротив, выходы P2PKH, P2SH и SegWit остаются защищенными до первой исходящей транзакции, поскольку скрыты за криптографическим хешем. Это создает парадоксальную ситуацию: «спящие» кошельки первых лет биткоина становятся первой мишенью, и их владельцам уже никто не поможет.
Стратегия HNDL: угроза без спешки
Главный практический риск — не в завтрашней атаке, а в стратегии «harvest now, decrypt later» (HNDL). Злоумышленникам не нужно ждать появления криптографически опасного квантового компьютера (CRQC). Достаточно уже сейчас сохранить все раскрытые публичные ключи, а расшифровать их позже, когда технология созреет. Это подтверждается и исследованием Федеральной резервной системы США, где биткоин приводится как пример ограничений постквантовой миграции: новые алгоритмы защитят будущие транзакции, но не скроют уже опубликованные данные.
Тайминг: техника против нарратива
Здесь важно различать два горизонта. Технологический — это 10–20 лет, даже если IBM реализует планы по созданию отказоустойчивого IBM Quantum Starling к 2029 году, а IonQ — устройства на 2 млн кубитов к 2030-му. Однако нарративный горизонт может сработать гораздо раньше: достаточно одной громкой публикации о снижении требований к кубитам, чтобы рынок заложил риски в цену задолго до реальной угрозы. Опрос 26 экспертов Института глобальных рисков показывает вероятность появления CRQC в течение 10 лет на уровне 28–49%, а в течение 15 лет — 51–70%.
Мой экспертный вывод: паниковать рано, но аудит обязателен. Для держателей это повод проверить типы выходов и отказаться от повторного использования адресов. Для инвесторов — помнить, что рынок может отреагировать на заголовки раньше, чем на реальные квантовые мощности. Биткоину предстоит сложный консенсусный процесс постквантовой миграции, и он будет идти медленнее, чем обновление дорожных карт коммерческих вендоров.