Dalam beberapa bulan terakhir, kekhawatiran lama Bitcoin tentang "resistansi kuantum" telah bergeser dari rasa ingin tahu akademis menjadi manajemen risiko praktis. Christopher Wood dari Jefferies menghapus Bitcoin dari portofolio model jangka panjangnya karena risiko kuantum.
Coinbase membentuk "Dewan Penasihat Independen untuk Komputasi Kuantum dan Blockchain." Di dalam komunitas teknis, BIP 360 (tipe output tahan kuantum) digabung sebagai draf ke repositori BIP resmi, dan Blockstream menyiarkan transaksi pertama yang ditandatangani pascakuantum di sidechain produksi.
Sejak itu, kompresi lini masa hanya semakin cepat. Pada 25 Maret 2026, Google mengumumkan bahwa semua sistemnya harus bermigrasi ke kriptografi pascakuantum pada 2029. Tiga makalah yang diterbitkan antara Mei 2025 dan Maret 2026 menurunkan estimasi biaya qubit untuk memecahkan kriptografi kunci publik sekitar tiga orde magnitudo, dari ~20 juta qubit fisik menjadi berpotensi kurang dari 100.000.
Makalah Google Quantum AI pada Maret 2026 memperkirakan kriptografi kurva eliptik dapat dipecahkan dengan kurang dari 500.000 qubit fisik dalam hitungan menit; Google menahan sirkuit serangan dan hanya menerbitkan bukti tanpa pengetahuan atas hasil tersebut. Tim Caltech/Oratomic menyarankan ~26.000 qubit atomik yang dapat dikonfigurasi ulang dapat memecahkan ECC-256 dalam sekitar sepuluh hari. Kesenjangan antara "rasa ingin tahu laboratorium" dan "ancaman kriptografis" menutup dari kedua arah, dengan kompresi algoritmik dan skala perangkat keras secara simultan.
Untuk memahami ancaman ini, membantu untuk melihat apa yang dapat dan tidak dapat dilakukan komputer kuantum. Mereka tidak "mencoba semua kunci secara paralel." Algoritma Shor memberi percepatan eksponensial untuk logaritma diskrit dan faktorisasi, masalah yang menjadi dasar kriptografi kurva eliptik dan RSA, sementara kripto simetris dan fungsi hash hanya terkena percepatan akar kuadrat dari algoritma Grover, yang dapat dikompensasi dengan parameter yang lebih besar.
"Kuantum memecahkan kriptografi" sekaligus benar dan menyesatkan: ia menargetkan primitif yang keamanannya direduksi ke masalah struktur grup, bukan keajaiban brute force tanpa pandang bulu. Kriptografi pascakuantum sudah ada dan dapat diterapkan hari ini; NIST telah memfinalisasi standar (ML-KEM, ML-DSA, SLH-DSA) secara eksplisit untuk mendukung migrasi dari ECC/RSA.
Secara khusus di Bitcoin, bahayanya ada pada tanda tangan: jika penyerang dapat melihat kunci publik Anda, algoritma Shor dapat memulihkan kunci privat. Untuk alamat pubkey-hash (P2PKH/P2WPKH), kunci publik hanya terekspos ketika Anda membelanjakan; risiko utamanya adalah penggunaan ulang alamat. Namun output Taproot (P2TR) dan output pay-to-pubkey lama mengekspos kunci publik pada saat pembuatan, tanpa perlu pembelanjaan. Pay-to-Merkle-Root (P2MR) di BIP 360 menangani hal ini secara langsung: tipe output mirip Taproot yang tidak pernah meletakkan kunci publik di chain.
Prioritasnya bukan menyempurnakan narasi pascakuantum Bitcoin di atas kertas; melainkan memulai migrasi pengguna sekarang. Biarkan pengguna melampirkan jalur pembelanjaan pascakuantum di samping jalur kurva eliptik yang ada. Di masa damai, mereka tetap memakai Schnorr/ECDSA; kunci pascakuantum duduk tidak terpakai. Jika muncul "bahaya nyata dan jelas", jaringan bisa mendelegitimasi tanda tangan kurva eliptik tanpa menunggu bertahun-tahun untuk migrasi massal. Skema itu tidak harus yang final—pilih sesuatu yang konservatif sekarang, perbaiki kemudian. Jam migrasi diukur dalam adopsi, bukan dalam kesulitan rekayasa.
Pendapat saya, Bitcoin sebaiknya memilih tanda tangan berbasis hash untuk pintu darurat ini. Bukan karena lattice (ML-DSA) itu buruk, tetapi karena berbasis hash adalah hal terdekat yang dimiliki kriptografi dengan "sesecure mungkin": struktur minimal, keajaiban minimal, ruang minimal untuk backdoor. Ia juga sangat mudah diaudit dan dipahami, selaras dengan etos Bitcoin.
SPHINCS+ (SLH-DSA) adalah pilihan standar, tetapi menghasilkan tanda tangan yang cukup besar, ~8 kB untuk mencapai sifat "tanpa status". Bitcoin sebenarnya tidak terlalu membutuhkan sifat itu. Model UTXO secara inheren bersifat sekali pakai; penggunaan ulang alamat secara sistematis tidak pernah menjadi bagian dari desain dan infrastruktur mengakomodasi hal ini dengan baik. Skema stateful seperti XMSS menghasilkan tanda tangan yang jauh lebih kecil (~2,5 KB) dan model pembelanjaan Bitcoin secara alami selaras dengan batasan tersebut.
Konstruksi SHRINCS dari Blockstream Research memberi Anda keduanya: mode utama stateful dengan fallback SLH-DSA tanpa status jika Anda kehilangan state. Ekstensi SHRIMPS karya Jonas Nick menyelesaikan penandatanganan multi-perangkat. Keduanya murni berbasis hash, dan keduanya sudah berjalan di Liquid.
Jika ambang "Shor sudah tiba" yang kredibel terlewati, tugas pertama adalah menghentikan pencurian yang tidak dapat diubah, bukan menyelamatkan setiap output lama. Default paling aman adalah sakelar pemati: menjadikan tanda tangan kurva eliptik tidak dapat dibelanjakan di level konsensus. Kunci sementara bersifat reversibel; pencurian kuantum tidak. Untuk output di mana kunci publik tidak pernah terekspos, sebuah bukti ZK (misalnya STARK) dapat memungkinkan pemilik sah membuktikan pengetahuan atas saksi pembuka tanpa mengungkapkan kunci. Untuk kunci yang sudah terekspos, satu-satunya penyelamatan yang masuk akal bergantung pada rahasia tambahan seperti seed dompet HD. Koin tanpa salah satu jalur ini—koin dorman, koin awal, koin Satoshi—akan tetap terkunci. Lebih baik "masih hilang" daripada "sekarang dicuri."
Sebuah makalah dari StarkWare pada April 2026 menunjukkan bahwa transaksi Bitcoin yang aman terhadap kuantum sudah mungkin hari ini di bawah aturan konsensus yang ada. Ini konstruksi yang benar-benar cerdas, tetapi sayangnya reaksi di sekitarnya mengungkap masalah nyata di komunitas Bitcoin. Trik ini sangat tidak praktis secara luas dan bukan pengganti softfork, tetapi penentangan untuk melakukan apa pun sudah begitu mendarah daging sehingga ini sudah dikutip sebagai alasan untuk tidak membalik "sakelar perbaiki semuanya dengan mudah."
Berikan semua orang pelampung. Jangan terlalu memikirkan. Bagian tersulitnya bukan kriptografinya; melainkan mengajak jutaan pengguna dan setiap dompet, kustodian, bursa, dan perangkat penandatangan untuk bermigrasi. Ini pendekatan yang diambil Tezos: memperlakukan kesiapan pascakuantum sebagai dua jalur (migrasi kunci pengguna vs kriptografi protokol), biarkan pengguna melampirkan kunci cadangan pascakuantum sekarang, dan mendelegitimasi tanda tangan kurva eliptik nanti jika ancamannya terwujud. Mulailah migrasi sosial saat belum mendesak, karena kondisi mendesak adalah saat ekosistem membuat kesalahan. Pakai pelampung dulu; debat desain perahu nanti.