Um whitepaper da Google Quantum AI whitepaper published de 30 de março de 2026 identifica aproximadamente 6,9 milhões de Bitcoin (BTC) — cerca de um terço da oferta total — em endereços vulneráveis a ataques quânticos “em repouso”, incluindo cerca de 1,1 milhão de moedas ligadas ao criador pseudônimo da rede, Satoshi Nakamoto.
TL;DR
- A Google Quantum AI concluiu que quebrar a criptografia de curva elíptica de 256 bits do Bitcoin pode exigir menos de 500.000 qubits físicos — uma redução de 20 vezes em relação a estimativas anteriores.
- Cerca de 6,9 milhões de BTC estão em tipos de endereço em que as chaves públicas ficam permanentemente expostas, tornando‑os alvos para futuros ataques quânticos em repouso.
- Endereços P2PK da era Satoshi não podem ser atualizados por ninguém, levantando questões difíceis de governança sobre congelar moedas dormentes ou deixá‑las vulneráveis.
O que o Whitepaper do Google Realmente Diz
O artigo tem um título longo: “Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations.” Ele runs por 57 páginas e representa a avaliação de ameaça quântico‑criptográfica mais detalhada já produzida por uma grande empresa de tecnologia.
Seis pesquisadores da Google Quantum AI — Ryan Babbush, Adam Zalcman, Craig Gidney, Michael Broughton, Tanuj Khattar e Hartmut Neven — coassinam o artigo. Colaboradores externos incluem Thiago Bergamaschi, da UC Berkeley, Justin Drake, da Ethereum Foundation, e Dan Boneh, de Stanford.
A principal contribuição técnica é um par de circuitos quânticos otimizados que implement o algoritmo de Shor para o Problema do Logaritmo Discreto em Curvas Elípticas (ECDLP) em curvas de 256 bits.
Esse é exatamente o primitivo criptográfico que protege o Bitcoin.
Um circuito usa menos de 1.200 qubits lógicos e 90 milhões de portas Toffoli. O outro usa menos de 1.450 qubits lógicos e 70 milhões de portas Toffoli.
O Google estima que esses circuitos poderiam ser executados em um computador quântico supercondutor com menos de 500.000 qubits físicos em questão de minutos. Estimativas anteriores exigiam muito mais hardware. Um artigo amplamente citado de 2022 da University of Sussex projected 317 milhões de qubits físicos para um ataque de uma hora e 1,9 bilhão para uma janela de dez minutos. A conclusão do Google comprime esse requisito em cerca de 20 vezes.
Em um passo incomum para um artigo de estimativa de recursos, o Google reteve as implementações reais dos circuitos. Em vez disso, publicou uma prova de conhecimento zero usando SP1 e Groth16 SNARK. Pesquisadores independentes podem verificar as alegações sem ter acesso aos detalhes do ataque.
Isso builds sobre marcos quânticos anteriores do Google.
O chip Willow, anunciado em dezembro de 2024 e publicado na Nature, demonstrou 105 qubits supercondutores com a primeira correção de erro quântico “below-threshold” em um processador supercondutor. As taxas de erro caíram pela metade a cada passo das grades de qubits 3x3 para 5x5 e 7x7. O Willow completou um benchmark em menos de cinco minutos que levaria o supercomputador Frontier a um tempo estimado de 10 septilhões de anos.
Ainda assim, o Google foi explícito ao afirmar que o Willow não representa hoje uma ameaça criptográfica.
Charina Chou, diretora e COO da Google Quantum AI, disse ao The Verge em dezembro de 2024 que o chip não consegue quebrar a criptografia moderna e que seriam necessários cerca de 4 milhões de qubits físicos para quebrar RSA.
Also Read: Experts Say Bitcoin Isn't In Danger Today, But The Clock Is Ticking
Por que as Moedas de Satoshi São as Mais Expostas
A vulnerabilidade no centro da análise do Google remonta a uma decisão de design tomada nos primeiros dias do Bitcoin. Quando Satoshi Nakamoto lançou a rede em 3 de janeiro de 2009, o software de mineração enviava as recompensas de bloco para saídas P2PK (Pay‑to‑Public‑Key). Nesse formato, a chave pública completa fica permanentemente visível na blockchain desde o momento em que as moedas chegam.
O script de bloqueio é simplesmente a chave pública seguida de um comando OP_CHECKSIG. Isso significa que a chave pública, de 65 bytes descomprimida ou 33 bytes comprimida, fica exposta a qualquer pessoa que leia a cadeia.
Não há uma camada de hash protegendo essa chave.
Satoshi também implemented P2PKH (Pay‑to‑Public‑Key‑Hash), que armazena apenas um hash da chave pública. Endereços P2PKH — os conhecidos endereços que começam com “1” — apareceram na blockchain em até duas semanas após o bloco gênese.
O design foi deliberado. Satoshi reconhecia que a criptografia de curva elíptica poderia cair diante de uma versão modificada do algoritmo de Shor executada em um futuro computador quântico.
Apesar dessa preocupação, o software de mineração continuou usando P2PK como padrão para recompensas de coinbase durante 2009 e 2010. A pesquisa marcante de Sergio Demian Lerner sobre o padrão Patoshi, apresentada pela primeira vez em 2013, identified que uma única entidade minerou aproximadamente 22.000 blocos entre janeiro de 2009 e meados de 2010. Essa entidade acumulou cerca de 1,0 a 1,1 milhão de BTC.
O comportamento de mineração era distinto do cliente lançado publicamente. Ele usava varredura de nonce multi‑thread e parecia limitar intencionalmente a produção para proteger a estabilidade da rede.
Apenas cerca de 907 BTC desse montante foram gastos. A transação mais famosa enviou 10 BTC para Hal Finney na primeira transferência pessoa‑a‑pessoa de Bitcoin, em 12 de janeiro de 2009.
Como essas moedas nunca se moveram, suas chaves públicas permanecem permanentemente expostas. Um computador quântico executando o algoritmo de Shor poderia derivar as chaves privadas correspondentes sem qualquer pressão de tempo. Esse é o principal vetor de ataque “em repouso”.
Also Read: Midnight Mainnet Debuts On Cardano With 9 Partners, Including Google Cloud
Três Vetores de Ataque e a Exposição de 6,9 Milhões de BTC
O whitepaper do Google formalizes uma taxonomia de ataques quânticos a criptomoedas que esclarece a escala de diferentes vetores de ameaça.
Ataques em repouso têm como alvo chaves públicas que permanecem permanentemente expostas na blockchain. O invasor tem tempo ilimitado — dias, meses ou anos — para derivar a chave privada. Essa categoria cobre três tipos principais de endereço:
- Endereços P2PK, em que a chave pública é visível no script de bloqueio desde o momento em que as moedas chegam
- Endereços P2PKH reutilizados, nos quais a chave pública foi revelada após a primeira transação de saída
- Endereços P2TR/Taproot, que armazenam uma chave pública ajustada diretamente on‑chain por design
O Google identifies o Taproot como uma regressão de segurança do ponto de vista quântico. Mesmo arquiteturas quânticas mais lentas, como sistemas de átomos neutros ou íons aprisionados, poderiam executar ataques em repouso, já que não há restrição de tempo. A análise on‑chain encontra cerca de 1,7 milhão de BTC em scripts P2PK e aproximadamente 6,9 milhões de BTC no total em todos os tipos de endereços vulneráveis quando reutilização e exposição via Taproot são consideradas.
Ataques on‑spend, antes chamados de ataques “em trânsito”, têm como alvo transações no mempool.
Quando um usuário transmite uma transação, a chave pública é revealed na entrada. Um invasor deve derivar a chave privada antes de a transação ser confirmada — cerca de 10 minutos no Bitcoin.
O artigo do Google indica que um computador quântico supercondutor com clock rápido poderia resolver o ECDLP em aproximadamente nove minutos, com cerca de 41% de probabilidade de sucesso em superar a confirmação.
Ataques on‑setup têm como alvo parâmetros fixos de protocolo, como cerimônias de trusted setup. O Bitcoin é imune a esse vetor. Mas o Ethereum (ETH) Data Availability Sampling e protocolos como Tornado Cash podem ser vulneráveis.
O ponto crítico é que a mineração por prova de trabalho não está ameaçada. O algoritmo de Grover oferece apenas um speedup quadrático contra o SHA‑256, reduzindo a segurança efetiva de 256 bits para 128 bits — ainda muito além do que é viável. Um artigo de março de 2026 de Dallaire‑Demers et al. demonstrated que a mineração quântica exigiria cerca de 10²³ qubits e 10²⁵ watts de potência, aproximando‑se de requisitos energéticos em escala de civilização.
Also Read: Bitcoin Faces Six Bearish Months But ETF Demand Grows
Quão Longe Está o Q‑Day para o Bitcoin?
A lacuna entre o hardware quântico atual e a relevância criptográfica ainda é grande, mas está diminuindo mais rápido do que se esperava.
Os processadores líderes de hoje include o Willow, do Google, com 105 qubits supercondutores, o Nighthawk da IBM com 120 qubits e fidelidade aprimorada, o Helios da Quantinuum com 98 qubits de íons aprisionados e a matriz recorde de 6.100 qubits de átomos neutros do Caltech.
O maior sistema de uso geral continua sendo o Condor da IBM, com 1.121 qubits. Frente à meta revisada do Google de menos de 500.000 qubits físicos, a lacuna varia de aproximadamente 80 a 5.000 vezes, dependendo da arquitetura.
Several developments em 2025 e 2026 têm cronogramas acelerados:
- Microsoft unveiled o Majorana 1 em fevereiro de 2025 — o primeiro processador usando qubits topológicos, projetado para escalar para 1 milhão de qubits em um chip do tamanho da palma da mão, embora estudos independentes de replicação tenham questionado se os efeitos topológicos foram demonstrados de forma conclusiva
- O chip Ocelot da Amazon, também de fevereiro de 2025, uses “qubits de gato” que reduzem a sobrecarga de correção de erros em até 90%
- Um artigo complementar lançado junto com o whitepaper do Google afirmou que arquiteturas de átomos neutros poderiam quebrar ECC-256 com apenas 10.000 qubits físicos sob suposições otimistas
As estimativas de cronograma de especialistas abrangem uma faixa ampla. O Google estabeleceu um prazo interno de 2029 para migrar seus próprios sistemas para criptografia pós-quântica.
O pesquisador da Ethereum Justin Drake estimates pelo menos 10% de chance de que, até 2032, um computador quântico consiga recuperar uma chave privada ECDSA secp256k1. O roadmap da IonQ mira 80.000 qubits lógicos até 2030.
No extremo cético, o CEO da Blockstream, Adam Back, descarta cronogramas para 2028 como não críveis. O CEO da NVIDIA, Jensen Huang, coloca computadores quânticos úteis entre 15 e 30 anos no futuro. O NIST recomenda concluir a migração para criptografia pós-quântica até 2035.
A tendência de melhoria algorítmica adiciona urgência. Os requisitos de qubits físicos para quebrar criptografia de curva elíptica caíram de quatro a cinco ordens de magnitude entre 2010 e 2026. Os circuitos mais recentes do Google representam uma redução adicional de 20 vezes em relação às melhores estimativas anteriores.
Also Read: Chainalysis Launches AI Bots To Fight Crypto Crime
A Corrida para Blindar o Protocolo do Bitcoin Contra a Computação Quântica
A comunidade de desenvolvedores de Bitcoin se mobilized em torno de várias propostas, embora desafios fundamentais de governança permaneçam.
O BIP-360 (Pay-to-Merkle-Root), de autoria de Hunter Beast da MARA/Anduro, Ethan Heilman e Isabel Foxen Duke, foi incorporado ao repositório oficial de BIPs em fevereiro de 2025. Ele introduces um novo tipo de saída SegWit versão 2 com prefixo bc1z que se compromete apenas com uma raiz de Merkle da árvore de scripts. Isso remove o gasto pela key-path vulnerável à computação quântica do Taproot. O BIP-360 não introduz, por si só, assinaturas pós-quânticas, mas cria a estrutura para elas.
A BTQ Technologies deployed uma implementação funcional do BIP-360 em sua testnet Bitcoin Quantum. Mais de 50 mineradores e 100.000 blocos foram produzidos até março de 2026.
A proposta Lopp/Papathanasiou, unveiled na Quantum Bitcoin Summit em julho de 2025, descreve um soft fork em três fases.
A Fase A proíbe o envio para endereços ECDSA legados três anos após a ativação do BIP-360. A Fase B torna todas as assinaturas legadas inválidas, congelando permanentemente moedas vulneráveis à computação quântica dois anos depois disso. A Fase C oferece um caminho opcional de recuperação por meio de prova de conhecimento zero de posse da seed BIP-39.
A proposta QRAMP de Agustin Cruz adota uma linha mais rígida. Ela proposes um prazo de migração obrigatório via hard fork, após o qual moedas não migradas se tornam impossíveis de gastar. A proposta Hourglass, de Hunter Beast e Michael Casey da Marathon Digital, oferece um caminho intermediário — limitando a taxa de movimentação de moedas expostas à computação quântica a um UTXO por bloco, estendendo um potencial ataque de horas para aproximadamente oito meses.
No front de padronização, o NIST finalized seus três primeiros padrões de criptografia pós-quântica em agosto de 2024: ML-KEM (baseado em CRYSTALS-Kyber) para encapsulamento de chaves, ML-DSA (baseado em CRYSTALS-Dilithium) para assinaturas digitais e SLH-DSA (baseado em SPHINCS+) como padrão de assinatura de backup.
Um quinto algoritmo, HQC, foi selected em março de 2025 como mecanismo de encapsulamento de chaves de backup.
O principal desafio para integração ao Bitcoin é o tamanho das assinaturas. Assinaturas Dilithium têm aproximadamente 2.420 bytes contra cerca de 72 bytes do ECDSA — um aumento de 33 vezes que pressionaria o espaço em bloco e elevaria significativamente os custos de transação.
Além do Bitcoin, o ecossistema mais amplo está avançando rapidamente.
A Ethereum Foundation designated a segurança pós-quântica como prioridade central em janeiro de 2026, lançando um roadmap de hard forks em quatro fases com meta de médio prazo de resistência quântica até 2029. A Coinbase formed um Conselho Consultivo Independente em Computação Quântica com participação de Scott Aaronson, Dan Boneh e Justin Drake.
Also Read: Cardano Whales Grab $53M In ADA But Price Stays Flat
O Que os Detentores de Bitcoin Devem Fazer Agora
Para detentores individuais de Bitcoin, as orientações práticas são diretas, mesmo enquanto o debate em nível de protocolo continua. Moedas armazenadas em endereços P2WSH (SegWit witness script hash, bc1q com 62 caracteres) ou P2WPKH (SegWit, bc1q com 42 caracteres) que nunca foram usados para transações de saída offer a proteção mais forte atualmente disponível.
Apenas um hash da chave pública fica visível on-chain.
Endereços P2TR/Taproot (bc1p) devem ser evitados para holdings grandes ou de longo prazo. Eles expõem a chave pública por design.
A prática mais crítica é nunca reutilizar endereços. Uma vez que o Bitcoin é gasto a partir de qualquer endereço, a chave pública é revelada e fundos restantes ou futuros nesse endereço se tornam vulneráveis à computação quântica. Usuários podem verificar sua exposição usando a lista aberta Bitcoin Risq List do Project Eleven, que tracks todos os endereços de Bitcoin vulneráveis à computação quântica na rede.
Mover fundos de um endereço exposto para um endereço novo, nunca usado e baseado em hash elimina a vulnerabilidade em repouso.
Como a Unchained, uma empresa de custódia de Bitcoin, alerta: cuidado com golpistas que podem usar o medo da computação quântica para pressionar transferências apressadas. Nenhuma ação emergencial imediata é necessária.
O problema mais profundo permanece nos aproximadamente 1,7 milhão de BTC em endereços P2PK — incluindo os estimados 1,1 milhão de Satoshi — cujas chaves estão irreversivelmente expostas e cujos donos quase certamente são incapazes de migrá-las. Decidir se essas moedas devem ser congeladas, ter sua movimentação limitada ou permanecer expostas a eventual furto quântico está se configurando como um dos debates de governança mais consequentes na história do Bitcoin.
Como Jameson Lopp frames, permitir a recuperação de Bitcoin por computação quântica equivale a redistribuição de riqueza em direção àqueles que vencerem a corrida tecnológica para adquirir computadores quânticos.
Also Read: Saylor Quiet On Bitcoin After 13-Week Buying Spree
Conclusão
O whitepaper do Google de março de 2026 não revelou uma ameaça iminente. Nenhum computador quântico hoje consegue quebrar a criptografia do Bitcoin. O que ele fez foi comprimir dramaticamente os requisitos de recursos estimados e formalizar um cronograma que torna a preparação urgente em vez de apenas teórica.
A redução para menos de 500.000 qubits físicos, combinada com a queda de quatro a cinco ordens de magnitude nas estimativas ao longo dos últimos 15 anos, significa que a margem entre a capacidade atual e a relevância criptográfica está se estreitando em uma trajetória que se cruza com os roadmaps da indústria para o final da década de 2020 e início da década de 2030. A vulnerabilidade em repouso de 6,9 milhões de BTC é um risco conhecido e quantificado, sem correção retroativa para endereços P2PK com chaves perdidas.
A ameaça quântica ao Bitcoin não é primariamente um problema de hardware. É um problema de governança e migração. As atualizações de protocolo e os processos de consenso social necessários historicamente levaram cinco a 10 anos no ecossistema do Bitcoin. O relógio começou a contar no momento em que o Google publicou esses números.
Read Next: Crypto Funds Bleed $414M In First Outflows Over Five Weeks: CoinShares