Un whitepaper de Google Quantum AI published el 30 de marzo de 2026 identifica aproximadamente 6,9 millones de Bitcoin (BTC) — alrededor de un tercio de la oferta total — que se encuentran en direcciones vulnerables a ataques cuánticos «en reposo», incluyendo una estimación de entre 1,0 y 1,1 millones de monedas vinculadas al creador seudónimo de la red, Satoshi Nakamoto.
TL;DR
- Google Quantum AI descubrió que romper la criptografía de curva elíptica de 256 bits de Bitcoin podría requerir menos de 500.000 qubits físicos, una reducción de 20 veces respecto a estimaciones previas.
- Alrededor de 6,9 millones de BTC están en tipos de direcciones donde las claves públicas están permanentemente expuestas, convirtiéndolas en objetivos para futuros ataques cuánticos en reposo.
- Las direcciones P2PK de la era Satoshi no pueden actualizarse por nadie, lo que plantea espinosas cuestiones de gobernanza sobre si congelar las monedas inactivas o dejarlas vulnerables.
Qué dice realmente el whitepaper de Google
El documento tiene un título largo: «Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations». Runs 57 páginas y representa la evaluación de amenazas cuántico‑criptográficas más detallada producida hasta ahora por una gran empresa tecnológica.
Seis investigadores de Google Quantum AI — Ryan Babbush, Adam Zalcman, Craig Gidney, Michael Broughton, Tanuj Khattar y Hartmut Neven — coescribieron el artículo. Entre los colaboradores externos se encuentran Thiago Bergamaschi de UC Berkeley, Justin Drake de la Ethereum Foundation y Dan Boneh de Stanford.
La contribución técnica central es un par de circuitos cuánticos optimizados que implement el algoritmo de Shor para el problema del logaritmo discreto en curvas elípticas (ECDLP) sobre curvas de 256 bits.
Ese es exactamente el primitivo criptográfico que asegura Bitcoin.
Un circuito utiliza menos de 1.200 qubits lógicos y 90 millones de compuertas Toffoli. El otro emplea menos de 1.450 qubits lógicos y 70 millones de compuertas Toffoli.
Google estima que estos circuitos podrían ejecutarse en un computador cuántico superconductivo con menos de 500.000 qubits físicos en cuestión de minutos. Las estimaciones anteriores requerían muchísimo más hardware. Un artículo muy citado de 2022 de la University of Sussex projected 317 millones de qubits físicos para un ataque de una hora y 1,9 mil millones para una ventana de diez minutos. El hallazgo de Google comprime ese requisito aproximadamente 20 veces.
En un paso inusual para un trabajo de estimación de recursos, Google retuvo las implementaciones de los circuitos. En su lugar publicó una prueba de conocimiento cero usando SP1 y el SNARK Groth16. Investigadores independientes pueden verificar las afirmaciones sin acceder a los detalles del ataque.
Esto builds sobre hitos cuánticos previos de Google.
El chip Willow, anunciado en diciembre de 2024 y publicado en Nature, demostró 105 qubits superconductores con la primera corrección de errores cuánticos «por debajo del umbral» en un procesador superconductivo. Las tasas de error se redujeron a la mitad en cada paso de rejillas de qubits 3x3 a 5x5 y 7x7. Willow completó un benchmark en menos de cinco minutos que le llevaría al supercomputador Frontier unos 10 septillones de años.
Aun así, Google fue explícito al señalar que Willow no supone hoy una amenaza criptográfica.
Charina Chou, directora y COO de Google Quantum AI, dijo a The Verge en diciembre de 2024 que el chip no puede romper la criptografía moderna y que se necesitarían alrededor de 4 millones de qubits físicos para quebrar RSA.
También lee: Experts Say Bitcoin Isn't In Danger Today, But The Clock Is Ticking
Por qué las monedas de Satoshi son las más expuestas
La vulnerabilidad en el centro del análisis de Google se remonta a una decisión de diseño tomada en los primeros días de Bitcoin. Cuando Satoshi Nakamoto lanzó la red el 3 de enero de 2009, el software de minería enviaba las recompensas de bloque a salidas P2PK (Pay-to-Public-Key). En este formato, la clave pública completa queda permanentemente visible en la cadena desde el momento en que llegan las monedas.
El script de bloqueo es simplemente la clave pública seguida de un comando OP_CHECKSIG. Eso significa que la clave pública sin comprimir de 65 bytes o la comprimida de 33 bytes queda expuesta a cualquiera que lea la cadena.
No hay una capa de hash que la proteja.
Satoshi también implemented P2PKH (Pay-to-Public-Key-Hash), que almacena solo un hash de la clave pública. Las direcciones P2PKH — las familiares que empiezan por «1» — aparecieron en la cadena en las dos semanas posteriores al bloque génesis.
El diseño fue deliberado. Satoshi reconocía que la criptografía de curva elíptica podría caer ante una versión modificada del algoritmo de Shor ejecutada en un futuro computador cuántico.
A pesar de esa conciencia, el software de minería siguió usando por defecto P2PK para las recompensas de coinbase durante 2009 y 2010. La investigación emblemática del patrón Patoshi de Sergio Demian Lerner, presentada por primera vez en 2013, identified que una sola entidad minó aproximadamente 22.000 bloques entre enero de 2009 y mediados de 2010. Esa entidad acumuló entre 1,0 y 1,1 millones de BTC.
El comportamiento de minería era distinto del cliente público: usaba escaneo de nonce multihilo y parecía limitar intencionadamente la producción para proteger la estabilidad de la red.
Solo se han gastado unos 907 BTC de ese tesoro. La transacción más famosa envió 10 BTC a Hal Finney en la primera transferencia de Bitcoin entre personas el 12 de enero de 2009.
Como estas monedas nunca se han movido, sus claves públicas permanecen permanentemente expuestas. Un computador cuántico que ejecute el algoritmo de Shor podría derivar las claves privadas correspondientes sin presión de tiempo. Ese es el vector central de ataque «en reposo».
También lee: Midnight Mainnet Debuts On Cardano With 9 Partners, Including Google Cloud
Tres vectores de ataque y la exposición de 6,9 millones de BTC
El whitepaper de Google formalizes una taxonomía de ataques cuánticos sobre criptomonedas que aclara la escala de los distintos vectores de amenaza.
Los ataques en reposo se dirigen a claves públicas que permanecen permanentemente expuestas en la cadena. El atacante tiene tiempo ilimitado — días, meses o años — para derivar la clave privada. Esta categoría abarca tres tipos principales de direcciones:
- Direcciones P2PK, donde la clave pública es visible en el script de bloqueo desde el momento en que llegan las monedas
- Direcciones P2PKH reutilizadas, donde la clave pública se reveló tras la primera transacción saliente
- Direcciones P2TR/Taproot, que almacenan una clave pública modificada directamente en cadena por diseño
Google identifies Taproot como una regresión de seguridad desde la perspectiva cuántica. Incluso arquitecturas cuánticas más lentas, como sistemas de átomos neutros o trampas de iones, podrían ejecutar ataques en reposo, ya que no hay restricciones de tiempo. El análisis en cadena encuentra alrededor de 1,7 millones de BTC en scripts P2PK y aproximadamente 6,9 millones de BTC en total en todos los tipos de direcciones vulnerables cuando se consideran la reutilización y la exposición de Taproot.
Los ataques al gasto, antes llamados ataques «en tránsito», se dirigen a transacciones en el mempool.
Cuando un usuario difunde una transacción, la clave pública se revealed en la entrada. Un atacante debe derivar la clave privada antes de que la transacción se confirme — aproximadamente 10 minutos en Bitcoin.
El documento de Google indica que un computador cuántico superconductivo con reloj rápido podría resolver el ECDLP en aproximadamente nueve minutos, con alrededor de un 41% de probabilidad de adelantarse a la confirmación.
Los ataques de configuración se dirigen a parámetros de protocolo fijos como ceremonias de configuración confiable. Bitcoin es inmune a este vector. Pero el muestreo de disponibilidad de datos de Ethereum (ETH) y protocolos como Tornado Cash podrían ser vulnerables.
El punto crítico es que la minería de prueba de trabajo no está amenazada. El algoritmo de Grover solo proporciona una aceleración cuadrática contra SHA‑256, reduciendo la seguridad efectiva de 256 bits a 128 bits — todavía muy lejos de ser viable. Un artículo de marzo de 2026 de Dallaire‑Demers et al. demonstrated que la minería cuántica requeriría alrededor de 10²³ qubits y 10²⁵ vatios de potencia, acercándose a requisitos energéticos a escala de civilización.
También lee: Bitcoin Faces Six Bearish Months But ETF Demand Grows
¿Qué tan lejos está el Q‑Day para Bitcoin?
La brecha entre el hardware cuántico actual y la relevancia criptográfica sigue siendo grande, pero se está reduciendo más rápido de lo esperado.
Los procesadores líderes de hoy include Willow de Google con 105 qubits superconductores, Nighthawk de IBM con 120 qubits y mejor fidelidad, Helios de Quantinuum con 98 qubits de iones atrapados y la matriz récord de 6.100 qubits de átomos neutros de Caltech.
El sistema de propósito general más grande sigue siendo Condor de IBM con 1.121 qubits. Frente al objetivo revisado de Google de menos de 500.000 qubits físicos, la brecha oscila entre unas 80 y 5.000 veces, según la arquitectura.
Several developments in 2025 y 2026 tienen cronogramas acelerados:
- Microsoft unveiled Majorana 1 en febrero de 2025 — el primer procesador que utiliza qubits topológicos, diseñado para escalar hasta 1 millón de qubits en un chip del tamaño de la palma de la mano, aunque estudios de replicación independientes han cuestionado si los efectos topológicos están demostrados de forma concluyente
- El chip Ocelot de Amazon, también de febrero de 2025, uses “qubits gato” que reducen la sobrecarga de corrección de errores hasta en un 90%
- Un artículo complementario publicado junto con el libro blanco de Google afirmaba que las arquitecturas de átomos neutros podrían romper ECC-256 con tan solo 10.000 qubits físicos bajo supuestos optimistas
Las estimaciones de la línea de tiempo de los expertos abarcan un rango amplio. Google ha fijado un plazo interno para 2029 para migrar sus propios sistemas a criptografía post‑cuántica.
El investigador de Ethereum Justin Drake estimates al menos un 10% de probabilidad de que para 2032 una computadora cuántica pueda recuperar una clave privada ECDSA secp256k1. La hoja de ruta de IonQ apunta a 80.000 qubits lógicos para 2030.
En el extremo escéptico, el CEO de Blockstream, Adam Back, descarta los cronogramas de 2028 como no creíbles. El CEO de NVIDIA, Jensen Huang, sitúa las computadoras cuánticas útiles a entre 15 y 30 años. NIST recomienda completar la migración a criptografía post‑cuántica para 2035.
La tendencia de mejora algorítmica añade urgencia. Los requisitos de qubits físicos para romper la criptografía de curva elíptica han caído entre cuatro y cinco órdenes de magnitud entre 2010 y 2026. Los circuitos más recientes de Google representan una reducción adicional de 20 veces respecto a las mejores estimaciones anteriores.
Also Read: Chainalysis Launches AI Bots To Fight Crypto Crime
La carrera por blindar el protocolo de Bitcoin frente a la computación cuántica
La comunidad de desarrolladores de Bitcoin se ha mobilized en torno a varias propuestas, aunque persisten desafíos fundamentales de gobernanza.
El BIP‑360 (Pay‑to‑Merkle‑Root), redactado por Hunter Beast de MARA/Anduro, Ethan Heilman e Isabel Foxen Duke, se fusionó en el repositorio oficial de BIP en febrero de 2025. introduces un nuevo tipo de salida SegWit versión 2 con prefijo bc1z que solo se compromete con una raíz de Merkle del árbol de scripts. Eso elimina el gasto por la ruta de clave, vulnerable a la computación cuántica, de Taproot. El BIP‑360 no introduce por sí mismo firmas post‑cuánticas, pero crea el marco para ellas.
BTQ Technologies has deployed una implementación funcional de BIP‑360 en su testnet Bitcoin Quantum. Más de 50 mineros y 100.000 bloques se han producido hasta marzo de 2026.
La propuesta de Lopp/Papathanasiou, unveiled en la Cumbre Quantum Bitcoin en julio de 2025, describe un soft fork en tres fases.
La Fase A prohíbe enviar a direcciones ECDSA heredadas tres años después de la activación de BIP‑360. La Fase B hace que todas las firmas heredadas sean inválidas, congelando de forma permanente las monedas vulnerables a la computación cuántica dos años después de eso. La Fase C ofrece una vía de recuperación opcional mediante prueba de conocimiento cero de posesión de la semilla BIP‑39.
La propuesta QRAMP de Agustin Cruz adopta una postura más dura. proposes un plazo de migración obligatorio mediante hard fork, después del cual las monedas no migradas se vuelven imposibles de gastar. La propuesta Hourglass de Hunter Beast y Michael Casey en Marathon Digital ofrece un camino intermedio: limita la tasa de movimiento de monedas expuestas a la computación cuántica a un UTXO por bloque, alargando un posible ataque de horas a aproximadamente ocho meses.
En el frente de los estándares, NIST finalized sus tres primeros estándares de criptografía post‑cuántica en agosto de 2024: ML‑KEM (basado en CRYSTALS‑Kyber) para encapsulación de claves, ML‑DSA (basado en CRYSTALS‑Dilithium) para firmas digitales y SLH‑DSA (basado en SPHINCS+) como estándar de firma de respaldo.
Un quinto algoritmo, HQC, fue selected en marzo de 2025 como mecanismo de encapsulación de claves de respaldo.
El principal desafío para la integración en Bitcoin es el tamaño de las firmas. Las firmas Dilithium rondan los 2.420 bytes frente a los aproximadamente 72 bytes de ECDSA: un aumento de 33 veces que tensionaría el espacio en bloque y elevaría significativamente los costes de transacción.
Más allá de Bitcoin, el ecosistema en general se está moviendo rápidamente.
La Fundación Ethereum designated la seguridad post‑cuántica como prioridad central en enero de 2026, lanzando una hoja de ruta de hard forks en cuatro fases con un objetivo a medio plazo de resistencia cuántica para 2029. Coinbase formed un Consejo Asesor Independiente sobre Computación Cuántica con la participación de Scott Aaronson, Dan Boneh y Justin Drake.
Also Read: Cardano Whales Grab $53M In ADA But Price Stays Flat
Qué deberían hacer ahora los poseedores de Bitcoin
Para los poseedores individuales de Bitcoin, las recomendaciones prácticas son sencillas incluso mientras continúa el debate a nivel de protocolo. Las monedas almacenadas en direcciones P2WSH (SegWit witness script hash, bc1q con 62 caracteres) o P2WPKH (SegWit, bc1q con 42 caracteres) que nunca se han utilizado para transacciones salientes offer la protección más sólida disponible actualmente.
Solo un hash de la clave pública es visible en la cadena.
Las direcciones P2TR/Taproot (bc1p) deben evitarse para tenencias grandes o de largo plazo. Exponen la clave pública por diseño.
La práctica más crítica es no reutilizar nunca direcciones. Una vez que se gasta Bitcoin desde cualquier dirección, la clave pública se revela y los fondos restantes o futuros en esa dirección se vuelven vulnerables a la computación cuántica. Los usuarios pueden comprobar su exposición utilizando la Bitcoin Risq List de código abierto de Project Eleven, que tracks cada dirección de Bitcoin vulnerable a la computación cuántica en la red.
Mover fondos desde una dirección expuesta a una dirección nueva, nunca antes usada y basada en hashes elimina la vulnerabilidad en reposo.
Como advierte Unchained, una firma de custodia de Bitcoin: hay que tener cuidado con los estafadores que puedan utilizar el miedo a la computación cuántica para presionar a realizar transferencias apresuradas. No es necesaria ninguna acción de emergencia inmediata.
El problema más profundo son los aproximadamente 1,7 millones de BTC en direcciones P2PK —incluidos los 1,1 millones estimados de Satoshi— cuyas claves están expuestas de forma irreversible y cuyos propietarios casi con toda seguridad no pueden migrarlos. Decidir si congelar, limitar la tasa de movimiento o dejar estas monedas expuestas a un eventual robo cuántico se está perfilando como uno de los debates de gobernanza más trascendentales en la historia de Bitcoin.
Como Jameson Lopp frames, permitir la recuperación cuántica de Bitcoin equivale a una redistribución de riqueza hacia quienes ganen la carrera tecnológica por adquirir computadoras cuánticas.
Also Read: Saylor Quiet On Bitcoin After 13-Week Buying Spree
Conclusión
El libro blanco de Google de marzo de 2026 no reveló una amenaza inminente. Ninguna computadora cuántica actual puede romper la criptografía de Bitcoin. Lo que hizo fue comprimir drásticamente los requisitos de recursos estimados y formalizar una línea de tiempo que hace que la preparación sea urgente en lugar de teórica.
La reducción a menos de 500.000 qubits físicos, combinada con la caída de cuatro a cinco órdenes de magnitud en las estimaciones durante los últimos 15 años, significa que el margen entre la capacidad actual y la relevancia criptográfica se está estrechando en una trayectoria que se cruza con las hojas de ruta de la industria para finales de la década de 2020 y principios de la de 2030. La vulnerabilidad en reposo de 6,9 millones de BTC es un riesgo conocido y cuantificado, sin solución retrospectiva para las direcciones P2PK con claves perdidas.
La amenaza cuántica para Bitcoin no es principalmente un problema de hardware. Es un problema de gobernanza y migración. Las actualizaciones de protocolo y los procesos de consenso social requeridos han tardado históricamente five to 10 years in Bitcoin's ecosystem. El reloj empezó a correr en el momento en que Google published those numbers.
Read Next: Crypto Funds Bleed $414M In First Outflows Over Five Weeks: CoinShares