Взломает ли квантовый компьютер ваш биткоин: что известно на 2026 год

В конце марта 2026 года Google выложила препринт на двадцать с лишним страниц. Тема «квантовый компьютер против биткоина» с тех пор перестала быть предметом конференций и дошла до обсуждений разработчиков, где решают, что делать с чужими монетами. Мы разобрали этот препринт и несколько других исследований и проверили, где в них факты, где расчёт, а где интерес авторов.

Коротко: прямо сейчас ваш биткоин взломать нельзя, потому что нужной машины не существует. Но в некотором роде система действительно уязвима, и обычному владельцу кошелька полезно понимать, в чем эта уязвимость заключается.

Препринт подписали исследователи Google Quantum AI, Justin Drake из Ethereum Foundation и профессор Стэнфорда Dan Boneh. Они посчитали, сколько ресурсов нужно, чтобы вычислить приватный ключ биткоина по публичному: не больше 1 200–1 450 логических кубитов и меньше полумиллиона физических. Раньше оценка была порядка 9–10 миллионов физических кубитов, то есть требования упали примерно в 20 раз.

Саму схему атаки авторы не опубликовали. Вместо неё они выложили доказательство с нулевым разглашением, подтверждающее, что схема такого размера у них есть и работает на девяти тысячах случайных входов. Оценку можно проверить, а атаку воспроизвести нельзя.

Логика понятна: публиковать готовый рецепт взлома биткоина никто не хочет. Но и принять оценку на веру нельзя. Читателю остаётся поверить Google, что схема существует, и оценить её цену.

Одновременно Google перенесла собственный срок перехода на постквантовую криптографию на 2029 год и призвала то же сделать остальные отрасли, включая крипту. Выходит, что компания, которая строит квантовые компьютеры, говорит, что готовится к их появлению сама. Интригующе, правда?

В заголовках «взлом биткоина» звучит как одна задача. На деле в биткоине работают два разных механизма, и квантовый компьютер влияет на них по-разному.

Подпись. Когда вы отправляете монеты, вы подписываете транзакцию приватным ключом, а сеть проверяет подпись по публичному. Это эллиптическая криптография, и алгоритм Шора на достаточно мощной машине вычисляет приватный ключ по публичному.

Майнинг. Он держится на хеш-функции SHA-256. Алгоритм Гровера ускоряет её перебор только в квадратичной степени, то есть стойкость падает примерно с 256 до 128 бит. Это всё равно недостижимо.

Авторы независимого обзора посчитали это для майнинга. Даже при частоте 100 ГГц один квантовый компьютер даёт около 21 TH/s, это примерно десятая часть одного современного ASIC. Чтобы перехватить 51% хешрейта сети, потребовалось бы порядка 7×10¹³ квантовых машин. Ещё сложность сети автоматически подстраивается и гасит любое локальное преимущество.

Вывод: пока говорят про майнеров, говорят не о том. Угроза направлена на подпись, а значит, на конкретные монеты.

Здесь наступает самый тревожный момент. Взлом делится на два этапа, и первый не зависит от вашего адреса. Это как если бы вор заранее подготовил заготовку под определённую модель замка, а не под вашу дверь. Квантовый компьютер может выполнить эту подготовку заранее и ждать. Когда вы отправляете монеты, ваш публичный ключ становится виден всей сети, и остаётся только второй этап: подогнать заготовку именно под ваш ключ.

По расчетам авторов исследования “подгон заготовки” занимает в среднем около 9 минут. Блок в биткоине находят в среднем за 10 минут. Пока ваша транзакция ждёт подтверждения, её публичный ключ уже виден всей сети. Если атакующий успеет вычислить приватный ключ, он отправит свою транзакцию с большей комиссией, и деньги уйдут ему.

Вероятность успеха при идеализированных допущениях, выгодных атакующему, авторы оценивают чуть меньше чем в 41%. Это сценарий для самой благоприятной машины, но не прогноз.

И есть важная оговорка. Такая атака возможна только на «быстрых» платформах, где цикл коррекции ошибок занимает порядка микросекунды: сверхпроводниковые, фотонные, кремниевые. «Медленные» машины на ионных ловушках и нейтральных атомах потратят на ту же работу часы или дни. Для них годятся только монеты, у которых публичный ключ раскрыт давно.

Теперь о том, что мы имеем сегодня. По обзору упомянутых выше исследователей, лучшие устройства 2026 года имеют около 1 000–1 200 физических кубитов (например, IBM Condor с 1 121 и Atom Computing с 1 180). Логических кубитов, то есть исправленных от ошибок и пригодных для вычислений, в лучших демонстрациях не больше 100: у системы Harvard, MIT и QuEra их 96, у Quantinuum Helios 48.

Для взлома secp256k1 нужно примерно 1 200 логических кубитов, а по оценке Google - меньше полумиллиона физических. То есть по физическим кубитам разрыв около 400 раз. Это много, но давайте вспомним динамику: за год требования упали в 20 раз.

Осенью к Google присоединилась IonQ. В сентябре компания опубликовала оценку: примерно 19 400 физических кубитов и 1 457 логических на машине с захваченными ионами хватит, чтобы вычислить один ключ secp256k1 за 25,7 дня. Это пресс-релиз компании, (не рецензируемая работа), и в нём сказано, что машина соответствует планам IonQ примерно на 2028 год. Но обратите внимание на саму тенденцию: двадцать тысяч кубитов вместо миллионов. И на то, что при таком сроке атака на транзакцию в момент подтверждения невозможна. Только на «спящие» кошельки.

Теперь главный вопрос: чьи монеты в опасности. В препринте Google их три группы.

P2PK. Это самый ранний формат выхода, где публичный ключ записан прямо в блокчейне. Таких монет, по расчётам авторов, чуть больше 1,7 млн BTC, почти 9% всего предложения. Именно в этом формате майнили в первые годы, и значительная часть монет, которые приписывают Сатоши Накамото (около миллиона BTC), лежит в таких выходах.

Адреса, которые использовали повторно. В обычном адресе (тот, что начинается с 1 или bc1q) публичный ключ спрятан за хешем и раскрывается только при первой трате. Но если с адреса уже отправляли деньги и на нём остался остаток, или если вы получаете на него снова и снова, ключ уже виден. Для сравнения: тех, у кого на адресе остались деньги после траты, по статистике хватает.

Taproot. Это формат 2021 года, и в нём ключ записан в самом выходе. Поэтому авторы препринта отдельно советуют до появления нового типа выхода пользоваться SegWit-адресами и избегать Taproot. Совет неожиданный: Taproot считают самым современным форматом, но с квантовой точки зрения он открывает ключ раньше.

Общую цифру разные команды называют по-разному:

Цифры расходятся потому, что исследователи считают разные вещи: только P2PK, любые выходы с раскрытым ключом или ещё и кошельки, где ключ раскроется при следующей трате. Поэтому нельзя просто взять «7 миллионов BTC» и написать «под угрозой».

В истории с оценками есть неудобная деталь: почти каждый источник в ней небескорыстен.

Google строит квантовые компьютеры и продаёт постквантовую защиту, поэтому ей выгодно, чтобы угроза воспринималась всерьёз. IonQ делает квантовые машины, и её цифра пришла в пресс-релизе. Project Eleven - компания, которая занимается квантовой безопасностью биткоина. Авторы отчёта Galaxy сами владеют BTC, и это оговорено в тексте.

Это не значит, что цифры неверны. Препринт Google проверяют независимые специалисты, и обзор Gershteyn и Alber в целом согласуется с ним. Но когда читаешь «угроза через два года», стоит спросить, кто это говорит и что он продаёт.

Весной в сообществе разработчиков появились два разных ответа.

BIP-360. Это предложение о новом типе выхода (Pay-to-Merkle-Root, P2MR), оно уже внесено в репозиторий BIP 13 февраля 2026 года. Оно убирает из выхода путь траты по ключу, поэтому публичный ключ не светится. Но BIP-360 не переводит старые монеты автоматически: придётся самим перенести их на новый адрес. Постквантовые подписи он тоже не вводит, а транзакции станут чуть больше и дороже.

BIP-361. В апреле 2026 года Jameson Lopp и ещё пять разработчиков предложили более жёсткую схему: пятилетний график вывода из оборота уязвимых адресов, после которого монеты, не перенесённые на безопасный адрес, замораживаются. Его довод: в кризис разработчики не успеют договориться, поэтому план нужен заранее. По оценке Лоппа, около 5,6 млн монет не двигались больше десяти лет.

Против выступает Adam Back из Blockstream. Он считает, что сегодняшние квантовые компьютеры остаются «по сути лабораторными экспериментами», а прогресс идёт постепенно. Он предлагает необязательные квантоустойчивые обновления, говорит, что у пользователей есть около десяти лет, и напоминает, что Taproot достаточно гибок, чтобы принять новые типы подписей. Blockstream уже тестирует квантоустойчивые подписи в сети Liquid.

Спор здесь не технический. Заморозка чужих монет, даже спящих, противоречит принципу, на котором держится биткоин: никто не может распоряжаться вашими деньгами. С другой стороны, если эти монеты достанутся первому, у кого появится квантовая машина, это тоже удар по рынку. Статус BIP-361 на сегодня: предложение опубликовано, но не принято.

Единого прогноза нет, и это честный ответ. По расчётам Gershteyn и Alber, вероятность появления квантового компьютера, способного взломать криптографию, около 1 к 6 до 2035 года, около 30% к 2040-му и около 60% к 2050-му. 80-процентный интервал - с 2032 до 2060 года. Оценки экспертов и физические модели расходятся больше чем на десятилетие, поэтому медиана попадает в «впадину» между двумя группами мнений.

Для владельца биткоина это значит следующее: паниковать рано, а откладывать на потом нельзя. Миграция всей сети измеряется годами, а у «спящих» монет нет владельца, который мог бы её сделать.

Ничего сложного делать не нужно. Достаточно нескольких привычек.

Не используйте адрес дважды. Современные кошельки делают новый адрес для каждого платежа, не отключайте это.

Проверьте остатки. Если с какого-то адреса вы отправляли деньги, а на нём остались монеты, публичный ключ уже раскрыт. Перенесите остаток на новый адрес.

Старые монеты. Если биткоины лежат с 2010–2013 годов, посмотрите, в каком формате адрес. Если ключ был раскрыт при трате, лучше переложить монеты на свежий адрес.

Предпочитайте SegWit. До появления P2MR авторы препринта советуют адреса SegWit (bc1q…), а не Taproot (bc1p…).

Следите за BIP-360 и BIP-361. Когда появится новый тип адреса, потребуется перенос монет. Решайте по ситуации, а не по заголовкам.

Не верьте срочным письмам. Любое сообщение «перейдите на квантовозащищённый кошелёк прямо сейчас» с ссылкой - повод насторожиться: разработчики пока не выпустили такой кошелёк.

Отдельно скажем о майнерах. Квантовая угроза не касается самого хешрейта, но намайненные монеты в итоге оказываются на адресе вывода, и дальше их безопасность зависит от вас. Если вы майните через пул вроде K8X, адрес для вывода выбираете вы сами. Что проверить в кошельке до перевода, мы подробно разбирали в материале «Чек-лист безопасности криптокошелька — что проверить, прежде чем перевести туда деньги».

Квантовая угроза биткоину реальна, но избирательна. Она касается подписи, а не майнинга, и в первую очередь тех монет, у которых публичный ключ уже виден. Кто и когда сможет собрать нужную машину, неизвестно, и прогнозы расходятся на десятилетия. Зато известно, что делать сегодня: не использовать адреса повторно, не держать остатки на «засвеченных» адресах и следить за тем, как разработчики решают судьбу спящих монет.

В нашем Telegram - новости рынка и оперативная помощь пользователям -

Подробности о пуле и условиях сотрудничества -