In de afgelopen maanden is Bitcoins al lang bestaande zorg over „kwantumweerstand” verschoven van academische nieuwsgierigheid naar praktisch risicobeheer. Christopher Wood van Jefferies verwijderde Bitcoin uit zijn langetermijn-modelportefeuille vanwege kwantumrisico.
Coinbase richtte een „Independent Advisory Board on Quantum Computing and Blockchain” op. Binnen de technische gemeenschap werd BIP 360 (een kwantum-resistent outputtype) als concept samengevoegd in de officiële BIP‑repository, en Blockstream zond de eerste post-quantum-ondertekende transacties uit op een productie-sidechain.
Sindsdien is de tijdlijn alleen maar verder samengedrukt. Op 25 maart 2026 kondigde Google aan dat al zijn systemen moeten migreren naar post-quantum-cryptografie vóór 2029. Drie papers, gepubliceerd tussen mei 2025 en maart 2026, verlaagden de geschatte qubit‑kosten om publieke-sleutelcryptografie te breken met ruwweg drie ordes van grootte, van ~20 miljoen fysieke qubits naar mogelijk minder dan 100.000.
In een paper van Google Quantum AI uit maart 2026 werd geschat dat elliptische‑curve‑cryptografie binnen enkele minuten gebroken kan worden met minder dan 500.000 fysieke qubits; Google hield de aanvalscircuits achter en publiceerde alleen een zero‑knowledge‑bewijs van het resultaat. Een team van Caltech/Oratomic suggereerde dat ~26.000 herconfigureerbare atomaire qubits ECC‑256 in ongeveer tien dagen kunnen breken. De kloof tussen „laboratoriumcuriositeit” en „cryptografische dreiging” sluit zich van beide kanten, met zowel algoritmische compressie als hardware‑opschaling.
Om de dreiging te begrijpen, is het nuttig te kijken naar wat kwantumcomputers wel en niet kunnen. Ze „proberen” niet alle sleutels parallel. Shors algoritme geeft exponentiële versnelling voor discrete logaritmen en factorisatie, de problemen waarop elliptische‑curve‑ en RSA‑cryptografie steunen, terwijl symmetrische crypto en hashfuncties slechts een wortelversnelling ondervinden via Grovers algoritme, wat te compenseren is met grotere parameters.
„Quantum breekt cryptografie” is zowel waar als misleidend: het richt zich op primitieven waarvan de veiligheid terug te voeren is op problemen met groepsstructuur, niet op een willekeurig brute‑force‑wonder. Post-quantum‑cryptografie bestaat al en is vandaag inzetbaar; NIST heeft standaarden afgerond (ML‑KEM, ML‑DSA, SLH‑DSA) expliciet om migratie weg van ECC/RSA te ondersteunen.
Binnen Bitcoin draait het gevaar specifiek om handtekeningen: als een aanvaller je publieke sleutel kan zien, kan Shors algoritme de privésleutel terugvinden. Bij pubkey‑hash‑adressen (P2PKH/P2WPKH) wordt de publieke sleutel pas blootgelegd wanneer je uitgeeft; het grootste risico is daarom adreshergebruik. Maar Taproot‑outputs (P2TR) en oude pay‑to‑pubkey‑outputs tonen de publieke sleutel al bij creatie, zonder dat er uitgegeven hoeft te worden. BIP 360’s Pay‑to‑Merkle‑Root (P2MR) pakt dit direct aan: een Taproot‑achtig outputtype dat nooit een publieke sleutel on‑chain zet.
De prioriteit is niet om Bitcoins post-quantum‑verhaal op papier te perfectioneren; het is om de migratie van gebruikers nu te starten. Laat gebruikers een post-quantum‑spendpad toevoegen naast hun bestaande elliptische‑curve‑pad. In vredestijd blijven ze Schnorr/ECDSA gebruiken; de post-quantum‑sleutel blijft ongebruikt. Als er een „duidelijk en acuut gevaar” ontstaat, kan het netwerk elliptische‑curve‑handtekeningen uitfaseren zonder jaren te hoeven wachten op een massamigratie. Het hoeft geen definitief schema te zijn — kies nu iets conservatiefs, verbeter later. De migratieklok wordt gemeten in adoptie, niet in technische moeilijkheid.
Mijn mening is dat Bitcoin hash‑gebaseerde handtekeningen zou moeten kiezen voor deze nooduitgang. Niet omdat rooster‑gebaseerde schema’s (ML‑DSA) slecht zijn, maar omdat hash‑gebaseerde systemen het dichtst in de buurt komen van „zo veilig als het maar kan zijn”: minimale structuur, minimale magie, minimaal ruimte voor achterdeurtjes. Het is ook verrassend eenvoudig te auditen en te begrijpen, wat past bij Bitcoins ethos.
SPHINCS+ (SLH‑DSA) is de standaardkeuze, maar produceert vrij grote handtekeningen, ~8 kB om „stateloosheid” te bereiken. Bitcoin heeft die eigenschap niet écht nodig. Het UTXO‑model is inherent „use‑and‑discard”; systematisch adreshergebruik was nooit onderdeel van het ontwerp en de infrastructuur ondersteunt dit goed. Staat‑afhankelijke schema’s zoals XMSS leveren aanzienlijk kleinere handtekeningen (~2,5 kB) en Bitcoins uitgavenmodel sluit van nature aan op die beperking.
Blockstream Researchs SHRINCS‑constructie geeft je beide: een staatful primaire modus met een stateloze SLH‑DSA‑fallback als je de state verliest. Jonas Nicks SHRIMPS‑uitbreiding lost multisig‑ondertekening over meerdere apparaten op. Beide zijn puur hash‑gebaseerd en draaien al op Liquid.
Als een geloofwaardige „Shor is hier”-drempel wordt overschreden, is de eerste taak het stoppen van onomkeerbare diefstal, niet het redden van elke legacy‑output. De veiligste standaard is een kill‑switch: maak elliptische‑curve‑handtekeningen niet‑spendable op consensusniveau. Een tijdelijke lock is omkeerbaar; een kwantumdiefstal niet. Voor outputs waar de publieke sleutel nooit is blootgelegd, zou een ZK‑bewijs (bijv. een STARK) de rechtmatige eigenaar in staat kunnen stellen om kennis van de ontgrendelings‑witness te bewijzen zonder de sleutel zelf te onthullen. Voor reeds blootgelegde sleutels is de enige plausibele redding afhankelijk van een extra geheim, zoals een HD‑walletseed. Coins zonder een van beide paden – slapende coins, vroege coins, Satoshi’s coins – zouden vergrendeld blijven. Liever „nog steeds verloren” dan „nu gestolen”.
Een paper van StarkWare uit april 2026 laat zien dat kwantumveilige Bitcoin‑transacties vandaag mogelijk zijn onder de bestaande consensusregels. Het is een echt slimme constructie, maar helaas legt de reactie erop een reëel probleem binnen de Bitcoingemeenschap bloot. Deze truc is breed onpraktisch en geen vervanging voor een softfork, maar de tegenstand tegen elke verandering is zo diep geworteld dat hij nu al wordt aangehaald als reden om niet aan de „los alles gemakkelijk op”-schakelaar te komen.
Geef iedereen een reddingsvest. Denk er niet te lang over na. Het moeilijke deel is niet de cryptografie; het is het zover krijgen dat miljoenen gebruikers en elke wallet, bewaarder, exchange en ondertekeningsapparaat migreren. Dit is de aanpak die Tezos volgt: behandel post-quantum‑gereedheid als twee sporen (migratie van gebruikerssleutels versus protocolcryptografie), laat gebruikers nu een back‑up‑post‑quantum‑sleutel toevoegen en faseer elliptische‑curve‑handtekeningen later uit als de dreiging zich daadwerkelijk voordoet. Start de sociale migratie zolang er nog geen urgentie is, want urgentie is wanneer ecosystemen fouten maken. Doe eerst de reddingsvesten om; discussieer later over het bootontwerp.