Un Google whitepaper de Quantum AI publicado el 30 de marzo de 2026 identifica aproximadamente 6,9 millones de Bitcoin (BTC), cerca de un tercio del suministro total, en direcciones vulnerables a ataques cuánticos «en reposo», incluyendo un estimado de entre 1,0 y 1,1 millones de monedas vinculadas al creador seudónimo de la red, Satoshi Nakamoto.
TL;DR
- Google Quantum AI descubrió que romper la criptografía de curva elíptica de 256 bits de Bitcoin podría requerir menos de 500.000 qubits físicos, una reducción de 20 veces respecto a estimaciones anteriores.
- Alrededor de 6,9 millones de BTC se encuentran en tipos de direcciones donde las claves públicas están expuestas de forma permanente, convirtiéndolas en objetivos para futuros ataques cuánticos en reposo.
- Las direcciones P2PK de la era Satoshi no pueden actualizarse por nadie, lo que plantea espinosas cuestiones de gobernanza sobre si congelar monedas dormidas o dejarlas vulnerables.
Lo que realmente dice el whitepaper de Google
El artículo tiene un título largo: «Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations». Tiene 57 páginas y representa la evaluación de amenazas cuántico‑criptográficas más detallada producida jamás por una gran empresa tecnológica.
Seis investigadores de Google Quantum AI — Ryan Babbush, Adam Zalcman, Craig Gidney, Michael Broughton, Tanuj Khattar y Hartmut Neven — coescribieron el artículo. Entre los colaboradores externos se encuentran Thiago Bergamaschi de UC Berkeley, Justin Drake de la Ethereum Foundation y Dan Boneh de Stanford.
La contribución técnica central es un par de circuitos cuánticos optimizados que implementan el algoritmo de Shor para el problema del logaritmo discreto sobre curvas elípticas (ECDLP) en curvas de 256 bits.
Ese es exactamente el primitivo criptográfico que protege Bitcoin.
Un circuito utiliza menos de 1.200 qubits lógicos y 90 millones de compuertas Toffoli. El otro utiliza menos de 1.450 qubits lógicos y 70 millones de compuertas Toffoli.
Google estima que estos circuitos podrían ejecutarse en un ordenador cuántico superconductivo con menos de 500.000 qubits físicos en cuestión de minutos. Estimaciones previas requerían un hardware drásticamente mayor. Un artículo muy citado de 2022 de la Universidad de Sussex proyectaba 317 millones de qubits físicos para un ataque de una hora y 1,9 mil millones para una ventana de diez minutos. El hallazgo de Google reduce ese requisito aproximadamente 20 veces.
En un paso poco habitual para un artículo de estimación de recursos, Google retuvo las implementaciones reales de los circuitos. En su lugar, publicó una prueba de conocimiento cero usando SP1 y el SNARK Groth16. Investigadores independientes pueden verificar las afirmaciones sin acceder a los detalles del ataque.
Esto se basa en hitos cuánticos anteriores de Google.
El chip Willow, anunciado en diciembre de 2024 y publicado en Nature, demostró 105 qubits superconductivos con la primera corrección de errores cuánticos «por debajo del umbral» en un procesador superconductivo. Las tasas de error se redujeron a la mitad en cada paso de rejillas de qubits 3x3 a 5x5 y 7x7. Willow completó un benchmark en menos de cinco minutos que al superordenador Frontier le llevaría un tiempo estimado de 10 septillones de años.
Aun así, Google fue explícito en que Willow no supone hoy una amenaza criptográfica.
Charina Chou, directora y COO de Google Quantum AI, dijo a The Verge en diciembre de 2024 que el chip no puede romper la criptografía moderna y que serían necesarios unos 4 millones de qubits físicos para quebrar RSA.
También lee: Experts Say Bitcoin Isn't In Danger Today, But The Clock Is Ticking
Por qué las monedas de Satoshi son las más expuestas
La vulnerabilidad en el centro del análisis de Google se remonta a una decisión de diseño tomada en los primeros días de Bitcoin. Cuando Satoshi Nakamoto lanzó la red el 3 de enero de 2009, el software de minería enviaba las recompensas de bloque a salidas P2PK (Pay‑to‑Public‑Key). En este formato, la clave pública completa permanece visible de forma permanente en la cadena de bloques desde el momento en que llegan las monedas.
El script de bloqueo es simplemente la clave pública seguida del comando OP_CHECKSIG. Eso significa que la clave pública de 65 bytes sin comprimir o de 33 bytes comprimida queda expuesta a cualquiera que lea la cadena.
No hay una capa de hash que la proteja.
Satoshi también implementó P2PKH (Pay‑to‑Public‑Key‑Hash), que almacena solo un hash de la clave pública. Las direcciones P2PKH — las conocidas direcciones que comienzan con «1» — aparecieron en la cadena de bloques dentro de las dos semanas posteriores al bloque génesis.
El diseño fue deliberado. Satoshi reconoció que la criptografía de curva elíptica podría sucumbir ante una versión modificada del algoritmo de Shor ejecutada en un futuro ordenador cuántico.
A pesar de esa conciencia, el software de minería siguió usando por defecto P2PK para las recompensas de coinbase durante 2009 y 2010. La investigación pionera del patrón Patoshi de Sergio Demian Lerner, presentada por primera vez en 2013, identificó que una sola entidad minó aproximadamente 22.000 bloques entre enero de 2009 y mediados de 2010. Esa entidad acumuló alrededor de 1,0 a 1,1 millones de BTC.
El comportamiento de minería era distinto del cliente publicado públicamente. Usaba escaneo de nonce multi‑hilo y parecía limitar intencionalmente su producción para proteger la estabilidad de la red.
Solo alrededor de 907 BTC de ese alijo se gastaron alguna vez. La transacción más famosa envió 10 BTC a Hal Finney en la primera transferencia de Bitcoin de persona a persona el 12 de enero de 2009.
Debido a que estas monedas nunca se han movido, sus claves públicas permanecen expuestas de forma permanente. Un ordenador cuántico que ejecute el algoritmo de Shor podría derivar las claves privadas correspondientes sin presión temporal. Ese es el vector central de ataque «en reposo».
También lee: Midnight Mainnet Debuts On Cardano With 9 Partners, Including Google Cloud
Tres vectores de ataque y la exposición de 6,9 millones de BTC
El whitepaper de Google formaliza una taxonomía de ataques cuánticos a criptomonedas que aclara la escala de los distintos vectores de amenaza.
Los ataques en reposo se dirigen a claves públicas que permanecen expuestas de forma permanente en la cadena de bloques. El atacante tiene tiempo ilimitado — días, meses o años — para derivar la clave privada. Esta categoría abarca tres tipos principales de direcciones:
- Direcciones P2PK, donde la clave pública es visible en el script de bloqueo desde el momento en que llegan las monedas
- Direcciones P2PKH reutilizadas, donde la clave pública se reveló tras la primera transacción saliente
- Direcciones P2TR/Taproot, que almacenan una clave pública modificada directamente en cadena por diseño
Google identifica Taproot como una regresión de seguridad desde la perspectiva cuántica. Incluso arquitecturas cuánticas más lentas, como los sistemas de átomos neutros o de trampas de iones, podrían ejecutar ataques en reposo, ya que no existe una restricción de tiempo. El análisis en cadena encuentra aproximadamente 1,7 millones de BTC en scripts P2PK y alrededor de 6,9 millones de BTC en total en todos los tipos de direcciones vulnerables cuando se consideran la reutilización y la exposición de Taproot.
Los ataques al gastar, anteriormente llamados ataques «en tránsito», se dirigen a transacciones en el mempool.
Cuando un usuario transmite una transacción, la clave pública se revela en la entrada. Un atacante debe derivar la clave privada antes de que la transacción se confirme, aproximadamente 10 minutos en Bitcoin.
El artículo de Google indica que un ordenador cuántico superconductivo de reloj rápido podría resolver ECDLP en aproximadamente nueve minutos, dando alrededor de un 41% de probabilidad de adelantarse a la confirmación.
Los ataques al configurar se dirigen a parámetros de protocolo fijos como ceremonias de configuración confiable. Bitcoin es inmune a este vector. Pero el muestreo de disponibilidad de datos de Ethereum (ETH) y protocolos como Tornado Cash podrían ser vulnerables.
El punto crítico es que la minería de prueba de trabajo no está amenazada. El algoritmo de Grover proporciona solo una aceleración cuadrática contra SHA‑256, reduciendo la seguridad efectiva de 256 bits a 128 bits, todavía muy por encima de lo factible. Un artículo de marzo de 2026 de Dallaire‑Demers et al. demostró que la minería cuántica requeriría aproximadamente 10²³ qubits y 10²⁵ vatios de potencia, acercándose a requisitos energéticos a escala de civilización.
También lee: Bitcoin Faces Six Bearish Months But ETF Demand Grows
¿Cuánto falta para el Q‑Day de Bitcoin?
La brecha entre el hardware cuántico actual y la relevancia criptográfica sigue siendo grande, pero se está reduciendo más rápido de lo esperado.
Los procesadores líderes de hoy incluyen Willow de Google con 105 qubits superconductivos, Nighthawk de IBM con 120 qubits y fidelidad mejorada, Helios de Quantinuum con 98 qubits de trampa de iones y la matriz récord de 6.100 qubits de átomos neutros de Caltech.
El mayor sistema de propósito general sigue siendo Condor de IBM con 1.121 qubits. Frente al objetivo revisado de Google de menos de 500.000 qubits físicos, la brecha oscila entre unas 80 y 5.000 veces, según la arquitectura.
Several developments en 2025 y 2026 tienen cronogramas acelerados:
- Microsoft unveiled Majorana 1 en feb. de 2025, el primer procesador que utiliza cúbits topológicos, diseñado para escalar hasta 1 millón de cúbits en un chip del tamaño de la palma de la mano, aunque estudios de replicación independientes han cuestionado si los efectos topológicos se han demostrado de manera concluyente
- El chip Ocelot de Amazon, también de feb. de 2025, uses “cúbits gato” que reducen la sobrecarga de corrección de errores hasta en un 90%
- Un artículo complementario publicado junto con el whitepaper de Google afirmaba que las arquitecturas de átomos neutros podrían romper ECC-256 con tan solo 10.000 cúbits físicos bajo supuestos optimistas
Las estimaciones de plazos por parte de expertos abarcan un amplio rango. Google ha fijado una fecha límite interna en 2029 para migrar sus propios sistemas a la criptografía poscuántica.
El investigador de Ethereum Justin Drake estimates al menos un 10 % de probabilidad de que para 2032 una computadora cuántica pueda recuperar una clave privada ECDSA secp256k1. La hoja de ruta de IonQ apunta a 80.000 cúbits lógicos para 2030.
En el extremo escéptico, el CEO de Blockstream, Adam Back, descarta los cronogramas para 2028 como no creíbles. El CEO de NVIDIA, Jensen Huang, sitúa las computadoras cuánticas útiles a entre 15 y 30 años vista. NIST recomienda completar la migración a criptografía poscuántica para 2035.
La tendencia de mejora algorítmica añade urgencia. Los requisitos de cúbits físicos para romper la criptografía de curva elíptica han caído entre cuatro y cinco órdenes de magnitud entre 2010 y 2026. Los circuitos más recientes de Google representan una reducción adicional de 20 veces respecto a las mejores estimaciones anteriores.
Also Read: Chainalysis Launches AI Bots To Fight Crypto Crime
La carrera por blindar el protocolo de Bitcoin frente a la computación cuántica
La comunidad de desarrolladores de Bitcoin se ha mobilized en torno a varias propuestas, aunque persisten importantes desafíos de gobernanza.
La BIP-360 (Pay-to-Merkle-Root), redactada por Hunter Beast de MARA/Anduro, Ethan Heilman e Isabel Foxen Duke, se incorporó al repositorio oficial de BIP en feb. de 2025. introduces un nuevo tipo de salida SegWit versión 2 con prefijo bc1z que solo se compromete con la raíz de Merkle del árbol de scripts. Eso elimina el gasto por la ruta de clave, vulnerable a la computación cuántica, de Taproot. La BIP-360 no introduce por sí misma firmas poscuánticas, pero crea el marco para ellas.
BTQ Technologies ha deployed una implementación funcional de la BIP-360 en su testnet Bitcoin Quantum. Más de 50 mineros y 100.000 bloques se han producido hasta mar. de 2026.
La propuesta Lopp/Papathanasiou, unveiled en la Cumbre Quantum Bitcoin en julio de 2025, describe una bifurcación suave en tres fases.
La Fase A prohíbe enviar a direcciones ECDSA heredadas tres años después de la activación de la BIP-360. La Fase B invalida todas las firmas heredadas, congelando permanentemente las monedas vulnerables a la computación cuántica dos años después de eso. La Fase C ofrece una vía opcional de recuperación mediante una prueba de conocimiento cero de posesión de la semilla BIP-39.
La propuesta QRAMP de Agustin Cruz adopta una postura más dura. proposes una fecha límite de migración obligatoria a través de una bifurcación dura, después de la cual las monedas no migradas se vuelven ingastables. La propuesta Hourglass de Hunter Beast y Michael Casey en Marathon Digital ofrece una vía intermedia: limitar la tasa de movimiento de monedas expuestas a la computación cuántica a un UTXO por bloque, alargando un posible ataque de horas a aproximadamente ocho meses.
En el frente de los estándares, NIST finalized sus tres primeros estándares de criptografía poscuántica en ago. de 2024: ML-KEM (basado en CRYSTALS-Kyber) para encapsulación de claves, ML-DSA (basado en CRYSTALS-Dilithium) para firmas digitales y SLH-DSA (basado en SPHINCS+) como estándar de firma de respaldo.
Un quinto algoritmo, HQC, fue selected en mar. de 2025 como mecanismo de encapsulación de claves de respaldo.
El principal desafío para la integración en Bitcoin es el tamaño de las firmas. Las firmas Dilithium ocupan aproximadamente 2.420 bytes frente a los aproximadamente 72 bytes de ECDSA, un aumento de 33 veces que tensionaría el espacio de bloque y aumentaría significativamente los costos de transacción.
Más allá de Bitcoin, el ecosistema en general avanza rápidamente.
La Fundación Ethereum designated la seguridad poscuántica como prioridad central en ene. de 2026, lanzando una hoja de ruta de bifurcaciones duras en cuatro fases con un objetivo a medio plazo de resistencia cuántica para 2029. Coinbase formed un Consejo Asesor Independiente sobre Computación Cuántica con la participación de Scott Aaronson, Dan Boneh y Justin Drake.
Also Read: Cardano Whales Grab $53M In ADA But Price Stays Flat
Qué deberían hacer ahora los poseedores de Bitcoin
Para los poseedores individuales de Bitcoin, las recomendaciones prácticas son sencillas aunque el debate a nivel de protocolo continúe. Las monedas almacenadas en direcciones P2WSH (SegWit witness script hash, bc1q con 62 caracteres) o P2WPKH (SegWit, bc1q con 42 caracteres) que nunca se hayan usado para transacciones salientes offer la protección más sólida disponible actualmente.
Solo un hash de la clave pública es visible en la cadena.
Las direcciones P2TR/Taproot (bc1p) deben evitarse para grandes tenencias o tenencias a largo plazo. Exponen la clave pública por diseño.
La práctica más crítica es no reutilizar nunca direcciones. Una vez que se gasta Bitcoin desde cualquier dirección, la clave pública se revela y los fondos restantes o futuros en esa dirección se vuelven vulnerables a la computación cuántica. Los usuarios pueden comprobar su exposición utilizando la Bitcoin Risq List de código abierto de Project Eleven, que tracks todas las direcciones de Bitcoin vulnerables a la computación cuántica en la red.
Mover fondos desde una dirección expuesta a una dirección nueva, nunca antes usada y basada en hash elimina la vulnerabilidad en reposo.
Como advierte Unchained, una firma de custodia de Bitcoin: cuidado con los estafadores que podrían usar el miedo a la computación cuántica para presionar a realizar transferencias apresuradas. No se necesita ninguna acción de emergencia inmediata.
El problema más profundo siguen siendo los aproximadamente 1,7 millones de BTC en direcciones P2PK —incluidos los 1,1 millones estimados de Satoshi— cuyas claves están irreversiblemente expuestas y cuyos propietarios casi con certeza no pueden migrarlos. Decidir si congelar, limitar la tasa de gasto o dejar estas monedas expuestas a un eventual robo cuántico se perfila como uno de los debates de gobernanza más trascendentales en la historia de Bitcoin.
Como lo frames Jameson Lopp, permitir la recuperación cuántica de Bitcoin equivale a una redistribución de riqueza hacia quienes ganen la carrera tecnológica por adquirir computadoras cuánticas.
Also Read: Saylor Quiet On Bitcoin After 13-Week Buying Spree
Conclusión
El whitepaper de Google de mar. de 2026 no reveló una amenaza inminente. Ninguna computadora cuántica actual puede romper la criptografía de Bitcoin. Lo que sí hizo fue reducir drásticamente los recursos estimados necesarios y formalizar un cronograma que convierte la preparación en algo urgente y no meramente teórico.
La reducción a menos de 500.000 cúbits físicos, combinada con la caída de entre cuatro y cinco órdenes de magnitud en las estimaciones durante los últimos 15 años, significa que el margen entre la capacidad actual y la relevancia criptográfica se está estrechando en una trayectoria que se cruza con las hojas de ruta industriales para finales de la década de 2020 y principios de la de 2030. La vulnerabilidad en reposo de 6,9 millones de BTC es un riesgo conocido y cuantificado, sin arreglo retrospectivo para las direcciones P2PK con claves perdidas.
La amenaza cuántica para Bitcoin no es principalmente un problema de hardware. Es un problema de gobernanza y de migración. Las actualizaciones de protocolo y los procesos de consenso social necesarios han tardado históricamente cinco a 10 años en el ecosistema de Bitcoin. El reloj empezó a correr en el momento en que Google publicó esas cifras.
Read Next: Crypto Funds Bleed $414M In First Outflows Over Five Weeks: CoinShares