W ciągu ostatnich kilku miesięcy długoletni problem „odporności na komputery kwantowe” w Bitcoinie przeszedł od ciekawostki akademickiej do praktycznego zarządzania ryzykiem. Christopher Wood z Jefferies usunął Bitcoina ze swojego długoterminowego portfela modelowego ze względu na ryzyko kwantowe.
Coinbase powołało „Niezależną Radę Doradczą ds. Informatyki Kwantowej i Blockchain”. W środowisku technicznym BIP 360 (typ wyjścia odporny na komputery kwantowe) został włączony jako szkic do oficjalnego repozytorium BIP, a Blockstream nadał pierwsze transakcje podpisane postkwantowo w produkcyjnej sidechainie.
Od tego czasu kompresja osi czasu tylko przyspieszyła. 25 marca 2026 r. Google ogłosił, że wszystkie jego systemy muszą przejść na kryptografię postkwantową do 2029 r. Trzy prace opublikowane między majem 2025 r. a marcem 2026 r. obniżyły szacowany koszt kubitów potrzebnych do złamania kryptografii klucza publicznego mniej więcej o trzy rzędy wielkości, z ok. 20 milionów kubitów fizycznych do potencjalnie mniej niż 100 000.
W marcowym artykule Google Quantum AI z 2026 r. oszacowano, że kryptografię krzywych eliptycznych można złamać przy użyciu mniej niż 500 000 kubitów fizycznych w ciągu kilku minut; Google wstrzymał ujawnienie obwodów ataku i opublikował tylko dowód o zerowej wiedzy potwierdzający wynik. Zespół Caltech/Oratomic zasugerował, że ok. 26 000 rekonfigurowalnych atomowych kubitów mogłoby złamać ECC-256 w około dziesięć dni. Luka między „ciekawostką laboratoryjną” a „zagrożeniem kryptograficznym” zamyka się z obu stron, wraz z jednoczesnym postępem w kompresji algorytmów i skalowaniu sprzętu.
Aby zrozumieć zagrożenie, warto spojrzeć na to, co komputery kwantowe mogą, a czego nie mogą zrobić. Nie „próbują wszystkich kluczy równolegle”. Algorytm Shora daje wykładnicze przyspieszenie dla problemów logarytmu dyskretnego i faktoryzacji, na których opiera się kryptografia krzywych eliptycznych i RSA, podczas gdy kryptografia symetryczna i funkcje skrótu doświadczają jedynie pierwiastkowego przyspieszenia dzięki algorytmowi Grovera, co można skompensować większymi parametrami.
Stwierdzenie „komputery kwantowe łamią kryptografię” jest jednocześnie prawdziwe i mylące: celuje w prymitywy, których bezpieczeństwo redukuje się do problemów struktury grupowej, a nie w cudowny, nieukierunkowany brute force. Kryptografia postkwantowa już istnieje i da się ją wdrożyć dziś; NIST sfinalizował standardy (ML-KEM, ML-DSA, SLH-DSA) właśnie po to, by umożliwić migrację od ECC/RSA.
W Bitcoinie zagrożenie dotyczy konkretnie podpisów: jeśli atakujący zobaczy twój klucz publiczny, algorytm Shora może odzyskać klucz prywatny. W przypadku adresów z haszowanym kluczem publicznym (P2PKH/P2WPKH) klucz publiczny jest ujawniany dopiero przy wydawaniu; głównym ryzykiem jest ponowne użycie adresu. Natomiast wyjścia Taproot (P2TR) oraz stare wyjścia pay-to-pubkey ujawniają klucz publiczny już w momencie tworzenia, bez potrzeby wydawania. BIP 360, czyli Pay-to-Merkle-Root (P2MR), adresuje to bezpośrednio: to typ wyjścia podobny do Taproot, który nigdy nie umieszcza klucza publicznego w łańcuchu.
Priorytetem nie jest dopracowanie na papierze postkwantowej opowieści Bitcoina, lecz rozpoczęcie migracji użytkowników już teraz. Pozwól użytkownikom dołączyć ścieżkę wydawania postkwantowego obok istniejącej, opartej na krzywych eliptycznych. W czasie pokoju nadal używają Schnorra/ECDSA; klucz postkwantowy pozostaje niewykorzystany. Jeśli pojawi się „jasne i obecne zagrożenie”, sieć może zdeprecjonować podpisy oparte na krzywych eliptycznych bez czekania latami na masową migrację. Nie musi to być schemat ostateczny — wybierzmy teraz coś konserwatywnego, ulepszmy później. Zegar migracji mierzy się adopcją, a nie trudnością inżynieryjną.
Moim zdaniem Bitcoin powinien wybrać podpisy oparte na funkcjach skrótu jako wyjście awaryjne. Nie dlatego, że kraty (ML-DSA) są złe, lecz dlatego, że systemy hash‑based to najbliższa kryptografii rzecz do „tak bezpieczne, jak to tylko możliwe”: minimalna struktura, minimum magii, minimalna przestrzeń na tylne furtki. Są też zaskakująco łatwe do audytu i zrozumienia, co jest zgodne z etosem Bitcoina.
SPHINCS+ (SLH-DSA) to standardowy wybór, ale generuje dość duże podpisy, ok. 8 kB, aby osiągnąć „bezstanowość”. Bitcoin tak naprawdę nie potrzebuje tej właściwości. Model UTXO jest z natury „użyj i porzuć”; systematyczne ponowne używanie adresów nigdy nie było częścią projektu, a infrastruktura dobrze to uwzględnia. Schematy ze stanem, takie jak XMSS, generują znacznie mniejsze podpisy (~2,5 kB) i model wydawania Bitcoina naturalnie pasuje do tego ograniczenia.
Konstrukcja SHRINCS zespołu Blockstream Research daje jedno i drugie: stanowy tryb podstawowy z bezstanowym trybem SLH-DSA jako awaryjnym, jeśli utracisz stan. Rozszerzenie SHRIMPS Jonasa Nicka rozwiązuje problem podpisywania na wielu urządzeniach. Oba schematy są w pełni oparte na funkcjach skrótu i oba już działają na Liquid.
Jeśli zostanie przekroczony wiarygodny próg „Shor już tu jest”, pierwszym zadaniem jest zatrzymanie nieodwracalnych kradzieży, a nie ratowanie każdego przestarzałego wyjścia. Najbezpieczniejszą domyślną opcją jest wyłącznik awaryjny: uczynić podpisy oparte na krzywych eliptycznych niewydawalnymi na poziomie konsensusu. Tymczasowa blokada jest odwracalna; kradzież kwantowa nie jest. Dla wyjść, w których klucz publiczny nigdy nie został ujawniony, dowód o zerowej wiedzy (np. STARK) mógłby pozwolić prawowitemu właścicielowi udowodnić znajomość świadectwa odblokowującego bez ujawniania klucza. W przypadku kluczy już ujawnionych jedyną wiarygodną formą ratunku jest dodatkowy sekret, taki jak ziarno portfela HD. Monety bez któregokolwiek z tych rozwiązań — uśpione monety, wczesne monety, monety Satoshiego — pozostałyby zablokowane. Lepiej „nadal zgubione” niż „teraz skradzione”.
Artykuł StarkWare z kwietnia 2026 r. pokazuje, że transakcje Bitcoina bezpieczne względem komputerów kwantowych są możliwe już dziś w ramach istniejących zasad konsensusu. To naprawdę sprytna konstrukcja, ale niestety reakcja na nią obnaża realny problem w społeczności Bitcoina. Sztuczka ta jest szeroko niepraktyczna i nie zastąpi soft forka, lecz opór wobec zrobienia czegokolwiek jest tak głęboko zakorzeniony, że już teraz jest przytaczana jako powód, by nie przełączać „wygodnego przełącznika naprawiającego wszystko”.
Zapewnijmy wszystkim kamizelki ratunkowe. Nie komplikujmy tego nadmiernie. Najtrudniejsza część to nie kryptografia; to skłonienie milionów użytkowników oraz wszystkich portfeli, powierników, giełd i urządzeń do podpisywania, by się zmodernizowali. Takie podejście przyjmuje Tezos: traktuje gotowość postkwantową jako dwa tory (migracja kluczy użytkowników vs kryptografia protokołu), pozwala użytkownikom już teraz dołączyć zapasowy klucz postkwantowy, a podpisy oparte na krzywych eliptycznych deprecjonuje później, jeśli zagrożenie się zmaterializuje. Rozpocznijmy społeczną migrację, gdy nie ma jeszcze presji czasu, bo to właśnie presja jest momentem, w którym ekosystemy popełniają błędy. Najpierw załóżmy kamizelki ratunkowe; o projekcie łodzi podyskutujmy później.