Yellow.com

Computação quântica já deixou de ser um problema teórico para o mercado de criptomoedas.

A combinação de avanços acelerados de hardware em IBM, Google e Microsoft, da definição dos padrões de criptografia pós-quântica pelo National Institute of Standards and Technology (NIST) em agosto de 2024, e da ausência quase total de planos coordenados de migração nos principais blockchains criou uma lacuna de segurança crescente – e que se alarga a cada trimestre.

Em resumo

Em agosto de 2024, o NIST concluiu três padrões de criptografia pós-quântica, sinalizando formalmente que a migração dos esquemas clássicos deixou de ser tema de futuro e passou a ser prioridade imediata.

Bitcoin, Ethereum e a maior parte dos grandes blockchains ainda dependem de criptografia de curva elíptica, que pode ser quebrada por um computador quântico suficientemente poderoso, expondo trilhões de dólares em valor on-chain.

A estratégia plausível de ataque “coletar agora, decifrar depois” indica que adversários podem já estar arquivando dados criptografados hoje, planejando quebrá-los quando o hardware quântico amadurecer.

A espinha dorsal criptográfica das criptos já é um passivo conhecido

Praticamente toda grande criptomoeda depende de dois pilares criptográficos diretamente ameaçados pela computação quântica. O primeiro é o Elliptic Curve Digital Signature Algorithm (ECDSA), que protege a assinatura de transações no Bitcoin, Ethereum (ETH) e em centenas de cadeias derivadas. O segundo é a função de hash SHA-256, usada no proof-of-work e na geração de endereços do Bitcoin. Ambos já têm vetores de ataque quântico bem documentados na literatura revisada por pares.

Um estudo de referência de 2022, conduzido por Mark Webber e colegas da Universidade de Sussex, estimou que um computador quântico com cerca de 317 qubits lógicos poderia quebrar uma única transação de Bitcoin em menos de uma hora, e que seriam necessários aproximadamente 13 milhões de qubits lógicos para fazê-lo dentro da janela de 10 minutos de um bloco de Bitcoin.

Esse patamar ainda está além do hardware atual, mas a trajetória de crescimento do número de qubits já não é confortavelmente distante.

A estimativa de Webber et al. de 317 qubits lógicos para quebrar ECDSA em até uma hora enquadra a ameaça em termos de hardware alcançáveis ainda nesta década, considerando os roadmaps de escala atuais.

O motor teórico por trás da ameaça à ECDSA continua sendo o algoritmo de Shor, descoberto em 1994. Ele resolve o problema do logaritmo discreto em tempo polinomial em um computador quântico, versus o tempo exponencial exigido por máquinas clássicas. A distância entre vulnerabilidade teórica e exploração prática diminui a cada marco de qubits anunciado pelos fornecedores de hardware. Investidores que tratam isso como risco distante estão precificando mal um risco estrutural já reconhecido de forma explícita por reguladores e órgãos de padronização.

Os padrões pós-quânticos do NIST soam o tiro de largada regulatório

Em 13 de agosto de 2024, o NIST publicou seus três primeiros padrões finais de criptografia pós-quântica: FIPS 203 (ML-KEM, antigo CRYSTALS-Kyber), FIPS 204 (ML-DSA, antigo CRYSTALS-Dilithium) e FIPS 205 (SLH-DSA, antigo SPHINCS+).

No comunicado, o NIST foi explícito ao orientar que as organizações comecem a migração imediatamente, sem aguardar novos padrões.

Isso representa um sinal regulatório relevante. Os padrões do NIST funcionam, na prática, como referência obrigatória para a infraestrutura financeira dos EUA, e diversas agências, incluindo a Cybersecurity and Infrastructure Security Agency (CISA), já emitiram orientações para que operadores de infraestrutura crítica façam o inventário de seus sistemas criptográficos.

Infraestrutura cripto, de forma ampla, já se enquadra em múltiplas jurisdições como infraestrutura financeira crítica. Mesmo assim, nenhum grande blockchain de camada 1 publicou até agora um cronograma vinculante de migração em resposta a esse alerta.

A diretriz do NIST em agosto de 2024 para “migrar imediatamente” é o sinal oficial mais claro de que a criptografia pós-quântica é um tema operacional presente, não apenas tópico acadêmico de longo prazo.

Os três padrões finalizados se baseiam em problemas matemáticos considerados difíceis tanto para computadores clássicos quanto para quânticos. O ML-KEM se apoia no problema Module Learning With Errors (MLWE). ML-DSA e SLH-DSA são, respectivamente, baseados em estruturas de reticulados e em funções de hash. Um quarto padrão, FALCON (agora FN-DSA, FIPS 206), foi finalizado nos meses seguintes. O silêncio quase completo da indústria de blockchain diante dessas publicações é, no mínimo, uma falha de governança e, no limite, um risco material para detentores de ativos.

3. A ameaça “coletar agora, decifrar depois” já está em curso

Um dos vetores de risco quântico mais subestimados não exige hardware avançado hoje. A estratégia, conhecida como “harvest now, decrypt later” (HNDL) – coletar agora, decifrar depois – consiste em adversários armazenarem dados criptografados e transações assinadas hoje para decodificá-los quando os computadores quânticos forem capazes disso. Para redes blockchain, públicas e imutáveis por design, HNDL está longe de ser mera hipótese.

Toda transação já enviada em Bitcoin ou Ethereum está registrada permanentemente em milhares de nós ao redor do mundo. Qualquer entidade, inclusive Estados nacionais, pode arquivar o histórico completo de transações a custo irrisório. Um relatório de 2023 do Global Risk Institute estimou que uma máquina “relevante para criptografia”, capaz de quebrar os esquemas atuais, tem 17% de probabilidade de existir até 2030 e 50% até 2034.

Esses percentuais não são triviais quando falamos de ativos cujos registros on-chain são permanentes.

O cronograma de ameaças do Global Risk Institute em 2023 atribui 50% de probabilidade à existência de um computador quântico relevante para criptografia até 2034, prazo que cabe dentro do horizonte de investimento de muitos detentores atuais.

No contexto de blockchains, a preocupação central com HNDL não são tanto as transações passadas em si, já que uma transação de Bitcoin confirmada revela a chave pública e o valor transferido.

O risco mais grave envolve endereços reutilizados, esquemas de múltiplas assinaturas com chaves públicas expostas e qualquer arquitetura em que um adversário possa usar uma chave pública coletada hoje para, no futuro, derivar a chave privada e esvaziar uma carteira. Como o design de muitas carteiras e interfaces incentiva a reutilização de endereços, o universo de chaves públicas já expostas é significativo.

Quantos endereços de Bitcoin já estão expostos?

A superfície de ataque quântico específica do Bitcoin pode ser mensurada com análise on-chain. Um estudo de 2023 publicado no arXiv por pesquisadores da Deloitte Netherlands apurou que cerca de 4 milhões de BTC – aproximadamente 25% de todas as moedas em circulação à época – estavam em endereços Pay-to-Public-Key (P2PK) ou em endereços Pay-to-Public-Key-Hash (P2PKH) reutilizados, nos quais a chave pública já foi exposta on-chain.

O formato P2PK, usado em saídas antigas do Bitcoin – incluindo moedas mineradas por Satoshi Nakamoto – grava a chave pública integral diretamente no scriptPubKey. Isso fornece ao atacante quântico o insumo exato para aplicar o algoritmo de Shor contra a chave ECDSA.

Já endereços P2PKH reutilizados expõem a chave pública assim que o titular faz o primeiro gasto a partir deles – algo que uma grande parcela dos usuários de Bitcoin fez ao longo dos anos por força de uma UX de carteiras que historicamente não desincentivou a reutilização de endereços.

A análise on-chain da Deloitte em 2023 identificou aproximadamente 4 milhões de BTC em formatos de endereço que expõem diretamente a chave pública – o alvo mais imediato para um ataque quântico à rede Bitcoin.

A superfície de risco no Ethereum é de escala semelhante. Toda carteira Ethereum que já enviou ao menos uma transação expôs, por definição, sua chave pública. A própria Ethereum Foundation já reconheceu a vulnerabilidade quântica em seu roadmap público, listando a migração pós-quântica como meta de longo prazo na seção de “future-proofing”. Mas não há cronograma firme nem implementação em testnet. Para uma rede que mantém centenas de bilhões de dólares em ativos de usuários, tratar o tema como “objetivo de longo prazo” é uma resposta insuficiente frente a uma curva de probabilidade de 50% até 2034.

Marcos de hardware quântico estão comprimindo o cronograma

A ameaça teórica da computação quântica existe desde o artigo de Shor, em 1994. O que mudou nos últimos 24 meses é o ritmo de evolução do hardware, que começou a encurtar a distância entre capacidade teórica e implantação prática em um nível que exige reavaliação séria dos prazos.

Em dezembro de 2023, a equipe de computação quântica do Google DeepMind divulgou resultados mostrando um sistema de 70 qubits atingindo erro abaixo do limiar crítico para correção – pré-requisito fundamental para chegar às contagens de qubits lógicos necessárias para executar o algoritmo de Shor em escala.

Em novembro de 2024, o Google anunciou o chip quântico Willow, alegando que ele realizou um benchmark específico em menos de cinco minutos. que levaria 10 septilhões de anos em supercomputadores clássicos.

O roadmap atual da IBM, publicado em seu site de desenvolvimento quântico, projeta computação quântica em escala de utilidade, com milhares de qubits lógicos, até 2033.

O anúncio do chip Willow do Google em novembro de 2024 e o roadmap público da IBM, que mira milhares de qubits lógicos até 2033, são marcos de hardware concretos que encurtam o horizonte da ameaça quântica de “algo para daqui a décadas” para “dentro desta década”.

A estratégia da Microsoft com qubits topológicos, apresentada pela divisão de pesquisa Azure Quantum, busca atingir taxas de erro ordens de grandeza menores do que as arquiteturas atuais de qubits supercondutores, o que pode acelerar a chegada de máquinas relevantes do ponto de vista criptográfico. Nenhum anúncio isolado de hardware é prova de que a ameaça seja iminente.

Tomados em conjunto, porém, o ritmo de avanço em múltiplos programas de pesquisa independentes é materialmente mais rápido do que as premissas de base embutidas na maioria dos documentos de governança de blockchains redigidos antes de 2023.

O Problema Da Migração É Tecnicamente E Politicamente Difícil

Mesmo que a indústria de blockchain decidisse hoje migrar para criptografia pós-quântica, os desafios técnicos e de governança seriam gigantescos. O Bitcoin, como a rede mais descentralizada entre as grandes, enfrenta a versão mais dura desse problema.

Alterar o esquema de assinaturas do Bitcoin exige um soft fork ou hard fork, ambos dependendo de uma coordenação de supermaioria entre mineradores, operadores de nós, desenvolvedores de carteiras e exchanges — processo que, historicamente, levou anos mesmo para upgrades muito mais simples.

A ativação do SegWit em 2017, uma mudança estrutural relativamente pequena, demandou mais de dois anos de debate acalorado até atingir o limiar de 95% de sinalização por mineradores. Uma migração de esquema de assinatura seria incomparavelmente mais disruptiva, afetando todas as carteiras, hot wallets de exchanges, firmwares de hard wallets e soluções de custódia customizadas em todo o ecossistema.

Um artigo de 2021 de pesquisadores do IETF Crypto Forum Research Group ressaltou a profunda integração estrutural do ECDSA em toda a infraestrutura da internet e classificou uma migração coordenada como “uma das transições criptográficas mais complexas da história”.

O precedente do SegWit mostra que a governança do Bitcoin se move em escalas de tempo medidas em anos, o que implica que uma migração pós-quântica que ainda nem começou pode não ser concluída antes da abertura efetiva da janela de ameaça.

O modelo de contas do Ethereum oferece um pouco mais de flexibilidade. O roadmap pós-quântico da Ethereum Foundation inclui o conceito de “abstração de contas resistente a quântica”, em que carteiras poderiam migrar para novos esquemas de assinatura sem exigir um hard fork na camada base para contas já existentes.

Na prática, porém, essa abordagem exige que cada usuário migre ativamente a própria carteira, e dados históricos de participação em upgrades do Ethereum mostram que usuários passivos sistematicamente deixam de adotar mudanças disruptivas na ausência de mecanismos de depreciação forçada.

Blockchains Pós-Quânticas Estão Surgindo, Mas Continuam De Nicho

Um pequeno grupo de projetos de blockchain levou a ameaça quântica a sério o bastante para incorporar criptografia pós-quântica na própria camada base desde a gênese. Esses projetos seguem nichados, mas são a demonstração mais clara do setor de que blockchains resistentes a quântica são tecnicamente viáveis.

A QRL (Quantum Resistant Ledger) foi lançada em 2018 como a primeira blockchain em produção a usar o eXtended Merkle Signature Scheme (XMSS), um algoritmo de assinatura baseado em hash que integrou o processo de avaliação do NIST. O protocolo da QRL não utiliza criptografia de curva elíptica em nenhuma camada. A IOTA, sob sua arquitetura Rebased, avançou na direção de incorporar esquemas de assinatura pós-quânticos, incluindo Ed448 e construções baseadas em redes (lattices). A Algorand publicou pesquisas sobre state proofs pós-quânticas e incluiu uma opção de assinatura baseada em Falcon em seu toolkit criptográfico.

O lançamento da mainnet da QRL em 2018 provou que uma blockchain em produção usando exclusivamente assinaturas baseadas em hash é viável — mas o valor de mercado abaixo de US$ 100 milhões ilustra o abismo entre solidez técnica e adoção de mercado.

O problema central desses projetos não é a credibilidade técnica, mas o efeito de rede. Bitcoin e Ethereum dominam por causa de liquidez, ecossistemas de desenvolvedores, infraestrutura de custódia institucional e familiaridade regulatória — atributos difíceis de replicar em uma chain quântica-segura porém ilíquida. O caminho de migração mais realista para o ecossistema passa por adaptar as redes existentes com opções de assinatura pós-quântica, processo para o qual projetos como o NIST FIPS 204 (ML-DSA) foram explicitamente desenhados. A dúvida é se a vontade política para executar esse retrofit chegará antes do avanço do hardware.

Exchanges E Custodiantes Enfrentam Riscos Quânticos Específicos

Detentores de varejo não são os únicos expostos. Exchanges centralizadas e custodiantes institucionais encaram uma versão distinta — e em certos aspectos mais aguda — da mesma ameaça, porque seus modelos de segurança se apoiam na mesma infraestrutura ECDSA das carteiras individuais, mas com uma concentração de valor muito maior.

Uma grande exchange com bilhões em Bitcoin e Ethereum em hot wallets precisa, por necessidade operacional, manter chaves privadas acessíveis a sistemas automatizados de assinatura de transações. Essas chaves, armazenadas em módulos de segurança de hardware (HSMs) e sistemas de gestão de chaves construídos sobre suposições de criptografia clássica, tornam-se alvos prioritários em um mundo pós-quântico. Dados da Chainalysis mostram que hacks a exchanges já resultaram em perdas acumuladas superiores a US$ 10 bilhões desde 2012 — sem qualquer computador quântico envolvido. Acrescentar recuperação de chaves por ataques quânticos a esse modelo de ameaça torna o problema de segurança de custódia substancialmente mais difícil.

Os dados da Chainalysis registram mais de US$ 10 bilhões em perdas com hacks de exchanges desde 2012 usando apenas técnicas clássicas, estabelecendo um piso de vulnerabilidade de custódia que a recuperação quântica de chaves ampliaria de forma dramática.

Os fabricantes de HSM que dominam a custódia institucional de cripto, entre eles Thales, AWS CloudHSM e Entrust, estão cientes da necessidade de transição pós-quântica. As diretrizes de migração do NIST abordam explicitamente prazos para substituição de HSMs. Ainda assim, a complexidade operacional de girar toda a infraestrutura de gestão de chaves de uma exchange global com milhões de carteiras de clientes é um empreendimento para o qual nenhuma grande plataforma cripto assumiu compromisso público ou divulgou cronograma. A ausência de exigências regulatórias de transparência sobre prontidão quântica deixa investidores sem meios de avaliar o risco quântico de custódia a partir de documentos públicos.

Atores Estatais E A Dimensão Geopolítica Dos Ataques Quânticos À Cripto

A ameaça quântica às criptomoedas não é apenas um problema técnico. Há uma dimensão geopolítica que investidores e analistas de políticas públicas em grande medida ignoraram no debate aberto. Programas quânticos estatais — em especial os da China, dos Estados Unidos e, em menor escala, da Rússia e da União Europeia — contam com níveis de financiamento que eclipsam a pesquisa privada, e suas capacidades são classificadas.

A iniciativa nacional chinesa em computação quântica está formalizada no 14º Plano Quinquenal (2021–2025) e no plano sucessor, com investimentos estatais em pesquisa quântica estimados pelo Center for Security and Emerging Technology da Universidade de Georgetown em mais de US$ 15 bilhões ao longo do período. O próprio departamento de pesquisa do PBoC publicou estudos sobre cronogramas de ataque quântico à criptografia financeira. Se um programa quântico classificado atingisse relevância criptográfica antes dos esforços acadêmicos públicos, o primeiro sinal poderia ser a drenagem silenciosa de endereços de Bitcoin expostos — evento indistinguível, à primeira vista, de um hack clássico sofisticado, até que uma análise forense identificasse o vetor de ataque.

O CSET de Georgetown documentou investimento estatal chinês em tecnologias quânticas superior a US$ 15 bilhões em um único ciclo de planejamento quinquenal, um nível de financiamento capaz de produzir capacidades classificadas à frente das linhas do tempo acadêmicas conhecidas.

Agências do governo americano se moveram mais rápido que o setor cripto privado na resposta a essa ameaça. O Office of Management and Budget (OMB) emitiu o Memorando M-23-02 em novembro de 2022, determinando que todas as agências federais concluíssem inventários criptográficos até 2023 e iniciassem o planejamento de migração. A National Security Agency (NSA) publicou suas próprias diretrizes de transição pós-quântica para sistemas de segurança nacional. O contraste entre a urgência da resposta governamental e a complacência da infraestrutura cripto privada é gritante.e vale a pena ser absorvido de vez.

Como seria uma resposta séria da indústria – e o quão longe ainda estamos disso

Desenhar como deveria ser um plano responsável de migração quântica para o setor de blockchain ajuda a tornar palpável a distância entre o estágio atual e um nível minimamente aceitável de preparo. Com base nas diretrizes do NIST, em pesquisas acadêmicas e em cronogramas de migrações de infraestrutura análogas, uma resposta crível exige cinco fases distintas, concluídas em algo entre oito e dez anos.

A primeira fase é uma auditoria criptográfica: cada equipe de protocolo, cada exchange e cada custodiante precisa levantar todos os primitivos criptográficos em uso, tamanhos de chaves, grau de exposição das chaves públicas e o mapa de dependências dos sistemas que precisarão de mudanças. A segunda fase é a escolha dos algoritmos pós-quânticos – uma decisão entre ML-DSA, SLH-DSA e FN-DSA, de acordo com os compromissos entre desempenho e segurança de cada caso de uso. Uma comparação acadêmica acessível foi publicada por pesquisadores no IACR Cryptology ePrint Archive em 2022, com benchmarks entre os algoritmos finalistas do NIST. A terceira fase é a implementação em testnets e ambientes de staging. A quarta é a ativação coordenada em mainnet. A quinta é a longa cauda da migração de usuários, em especial para redes cujos formatos de endereço já expõem chaves públicas.

A pesquisa de benchmarking do IACR, de 2022, oferece comparações de desempenho bem concretas entre os algoritmos pós-quânticos finalistas, dando às equipes de protocolo os dados necessários para decidir hoje sobre algoritmos, sem precisar esperar por mais padronização.

A comunidade de desenvolvimento de núcleo do Bitcoin já produziu duas propostas relevantes de melhoria da rede. A BIP-360, apresentada no fim de 2024 por Hunter Beast e colaboradores, descreve um formato de endereço Pay to Quantum Resistant Hash (P2QRH), usando CRYSTALS-Dilithium como esquema de assinatura padrão.

Em abril de 2026, a BIP-360 segue em rascunho, sem qualquer mecanismo de ativação proposto. A rota pós-quântica do Ethereum, publicada na página de roadmap da Ethereum Foundation, reconhece a necessidade de assinaturas do tipo Winternitz One-Time Signatures ou autenticação baseada em STARKs como soluções de longo prazo, mas aloca esses itens na categoria “splurge” de melhorias – o balde de menor prioridade dentro da atual estrutura de roadmap.

Diante dos cronogramas de hardware apresentados na seção cinco, essa priorização precisa ser questionada de forma contundente.

Leia a seguir: 35% dos investidores europeus trocariam seu banco por acesso a cripto

Conclusão

A ameaça da computação quântica para o mercado de criptomoedas é real, está documentada e avança em um cronograma que o setor ainda não incorporou plenamente.

O NIST finalizou seus padrões pós-quânticos em agosto de 2024 e recomendou migração imediata. Programas quânticos de Estados nacionais recebem recursos em escala suficiente para gerar capacidades classificadas à frente dos resultados acadêmicos públicos. Algo entre 25% e 40% do Bitcoin em circulação está em endereços cujas chaves públicas já foram expostas on-chain e podem ser coletadas. Nada disso é especulação. Tudo é citável, quantificado e acessível em documentação primária que equipes de protocolo, departamentos de compliance de exchanges e custodiante institucionais já tiveram tempo de ler.

O que falta à indústria não é informação, é senso de urgência. O padrão se parece com outros casos de crises de segurança de evolução lenta.

As organizações não abandonam sistemas vulneráveis até que um incidente catastrófico as force a fazê-lo ou até que um prazo regulatório torne a migração inevitável.

No caso quântico, o incidente catastrófico – um esvaziamento silencioso de endereços de Bitcoin com chaves expostas por um ator estatal com uma máquina quântica classificada – chegaria sem aviso e sem a clareza forense necessária para disparar uma reação coordenada antes que um dano substancial fosse causado.

As estruturas de governança de Bitcoin e Ethereum não foram desenhadas para consenso em ritmo de crise, o que significa que a janela para uma migração ordeira está se fechando, mesmo que a ameaça de hardware ainda não tenha se materializado totalmente.

O aspecto construtivo dessa análise é que a transição quântica abre uma oportunidade concreta de pesquisa e desenvolvimento. Equipes de protocolo que se moverem primeiro na integração de assinaturas pós-quânticas, exchanges que publiquem roadmaps transparentes de prontidão quântica e custodiante que atualizarem sua infraestrutura de HSM antes de exigências regulatórias estarão em posição competitiva significativamente mais forte quando a ameaça se tornar impossível de ignorar. A pesquisa já está feita. Os padrões já foram publicados. O trabalho de governança é o que falta – e ele precisa começar agora.

Computação quântica e segurança cripto: 10 ameaças críticas e defesas que investidores precisam dominar em 2026