En los últimos meses, la preocupación de larga data por la «resistencia cuántica» de Bitcoin ha pasado de curiosidad académica a gestión práctica de riesgos. Christopher Wood, de Jefferies, eliminó Bitcoin de su cartera modelo a largo plazo por el riesgo cuántico.
Coinbase creó un «Consejo Asesor Independiente sobre Computación Cuántica y Blockchain». Dentro de la comunidad técnica, la BIP 360 (un tipo de salida resistente a cuántica) se incorporó como borrador en el repositorio oficial de BIP, y Blockstream emitió las primeras transacciones firmadas poscuánticas en una sidechain de producción.
Desde entonces, la compresión de los plazos solo se ha acelerado. El 25 de marzo de 2026, Google anunció que todos sus sistemas deben migrar a criptografía poscuántica para 2029. Tres artículos publicados entre mayo de 2025 y marzo de 2026 redujeron el costo estimado en cúbits para romper la criptografía de clave pública en aproximadamente tres órdenes de magnitud, de unos ~20 millones de cúbits físicos a posiblemente menos de 100.000.
Un artículo de Google Quantum AI de marzo de 2026 estimó que la criptografía de curva elíptica podría romperse con menos de 500.000 cúbits físicos en cuestión de minutos; Google retuvo los circuitos del ataque y publicó solo una prueba de conocimiento cero del resultado. Un equipo de Caltech/Oratomic sugirió que ~26.000 cúbits atómicos reconfigurables podrían romper ECC-256 en unos diez días. La brecha entre «curiosidad de laboratorio» y «amenaza criptográfica» se está cerrando desde ambas direcciones, con compresión algorítmica y escalado de hardware simultáneos.
Para entender la amenaza, ayuda ver lo que los ordenadores cuánticos pueden y no pueden hacer. No «prueban todas las claves en paralelo». El algoritmo de Shor ofrece aceleraciones exponenciales para logaritmo discreto y factorización, los problemas de los que dependen la criptografía de curva elíptica y RSA, mientras que la criptografía simétrica y las funciones hash solo sufren una aceleración de raíz cuadrada con el algoritmo de Grover, compensable con parámetros más grandes.
«Lo cuántico rompe la criptografía» es a la vez cierto y engañoso: apunta a primitivas cuya seguridad se reduce a problemas de estructura de grupo, no a un milagro indiscriminado de fuerza bruta. La criptografía poscuántica ya existe y es desplegable hoy; NIST ha finalizado estándares (ML-KEM, ML-DSA, SLH-DSA) explícitamente para apoyar la migración lejos de ECC/RSA.
En Bitcoin específicamente, el peligro está en las firmas: si un atacante puede ver tu clave pública, el algoritmo de Shor puede recuperar la clave privada. Para las direcciones de hash de clave pública (P2PKH/P2WPKH), la clave pública solo se expone cuando gastas; el riesgo principal es la reutilización de direcciones. Pero las salidas Taproot (P2TR) y las antiguas salidas pay-to-pubkey exponen la clave pública en el momento de la creación, sin necesidad de gasto. Pay-to-Merkle-Root (P2MR) de la BIP 360 aborda esto directamente: un tipo de salida similar a Taproot que nunca coloca una clave pública en la cadena.
La prioridad no es perfeccionar sobre el papel la historia poscuántica de Bitcoin; es comenzar ya la migración de usuarios. Deja que los usuarios adjunten una ruta de gasto poscuántica junto a su ruta de curva elíptica existente. En tiempos de paz, siguen usando Schnorr/ECDSA; la clave poscuántica permanece sin usar. Si surge un «peligro claro y presente», la red puede desaprobar las firmas de curva elíptica sin esperar años a una migración masiva. No tiene por qué ser el esquema definitivo: elige ahora algo conservador, mejora después. El reloj de la migración se mide en adopción, no en dificultad de ingeniería.
Mi opinión es que Bitcoin debería elegir firmas basadas en hash para esta vía de escape. No porque lattice (ML-DSA) sea mala, sino porque lo basado en hash es lo más cercano que la criptografía tiene a «tan seguro como se puede»: mínima estructura, mínima magia, mínimo espacio para puertas traseras. Además, es sorprendentemente fácil de auditar y entender, lo que está en línea con la filosofía de Bitcoin.
SPHINCS+ (SLH-DSA) es la opción estándar, pero produce firmas bastante grandes, ~8 kB para lograr «ausencia de estado». Bitcoin no necesita realmente esa propiedad. El modelo UTXO es inherentemente de usar y descartar; la reutilización sistemática de direcciones nunca fue parte del diseño y la infraestructura la maneja bien. Esquemas con estado como XMSS producen firmas significativamente más pequeñas (~2,5 kB) y el modelo de gasto de Bitcoin se adapta de forma natural a esa restricción.
La construcción SHRINCS de Blockstream Research te da ambas cosas: un modo primario con estado con un respaldo SLH-DSA sin estado si pierdes el estado. La extensión SHRIMPS de Jonas Nick resuelve la firma en múltiples dispositivos. Ambos son puramente basados en hash y ambos ya se están ejecutando en Liquid.
Si se cruza un umbral creíble de «Shor está aquí», el primer trabajo es detener el robo irreversible, no salvar todas las salidas heredadas. El valor por defecto más seguro es un interruptor de apagado: hacer que las firmas de curva elíptica no sean gastables a nivel de consenso. Un bloqueo temporal es reversible; un robo cuántico no lo es. Para las salidas donde la clave pública nunca se expuso, una prueba ZK (por ejemplo, un STARK) podría permitir al propietario legítimo demostrar conocimiento del testigo de desbloqueo sin revelar la clave. Para claves ya expuestas, el único rescate plausible se basa en un secreto adicional como la semilla de un monedero HD. Las monedas sin ninguno de los dos caminos —monedas dormidas, monedas tempranas, las monedas de Satoshi— permanecerían bloqueadas. Mejor «todavía perdidas» que «ahora robadas».
Un artículo de StarkWare de abril de 2026 demuestra que las transacciones de Bitcoin seguras frente a cuántica son posibles hoy bajo las reglas de consenso existentes. Es una construcción genuinamente ingeniosa, pero lamentablemente la reacción en torno a ella expone un problema real en la comunidad Bitcoin. Este truco es ampliamente impráctico y no sustituye a un soft fork, pero la oposición a hacer cualquier cosa está tan arraigada que ya se cita como motivo para no accionar el «interruptor que lo arregla todo fácilmente».
Consigue chalecos salvavidas para todos. No lo sobrepienses. La parte difícil no es la criptografía; es lograr que millones de usuarios y cada monedero, custodio, exchange y dispositivo de firma migren. Este es el enfoque que está tomando Tezos: tratar la preparación poscuántica como dos vías (migración de claves de usuario frente a criptografía del protocolo), permitir que los usuarios adjunten ahora una clave poscuántica de respaldo y desaprobar las firmas de curva elíptica más tarde si la amenaza se materializa. Comienza la migración social mientras no haya urgencia, porque la urgencia es cuando los ecosistemas cometen errores. Ponte primero los chalecos salvavidas; debate el diseño del barco después.