Nos últimos meses, a preocupação de longa data com a “resistência quântica” do Bitcoin deixou de ser uma curiosidade acadêmica e virou gestão prática de risco. Christopher Wood, da Jefferies, removeu o Bitcoin de sua carteira modelo de longo prazo por causa do risco quântico.
A Coinbase criou um “Conselho Consultivo Independente sobre Computação Quântica e Blockchain”. Na comunidade técnica, a BIP 360 (um tipo de saída resistente a quântica) foi mesclada como rascunho no repositório oficial de BIPs, e a Blockstream transmitiu as primeiras transações assinadas com pós-quântico em uma sidechain de produção.
Desde então, a compressão da linha do tempo só acelerou. Em 25 de março de 2026, o Google anunciou que todos os seus sistemas devem migrar para criptografia pós-quântica até 2029. Três artigos publicados entre maio de 2025 e março de 2026 reduziram o custo estimado em qubits para quebrar criptografia de chave pública em cerca de três ordens de magnitude, de ~20 milhões de qubits físicos para potencialmente menos de 100.000.
Um artigo do Google Quantum AI de março de 2026 estimou que a criptografia de curva elíptica poderia ser quebrada com menos de 500.000 qubits físicos em minutos; o Google reteve os circuitos de ataque e publicou apenas uma prova de conhecimento zero do resultado. Uma equipe Caltech/Oratomic sugeriu que ~26.000 qubits atômicos reconfiguráveis poderiam quebrar ECC-256 em cerca de dez dias. A lacuna entre “curiosidade de laboratório” e “ameaça criptográfica” está se fechando pelas duas pontas, com compressão algorítmica e escalonamento de hardware ao mesmo tempo.
Para entender a ameaça, ajuda olhar o que computadores quânticos podem e não podem fazer. Eles não “testam todas as chaves em paralelo”. O algoritmo de Shor dá acelerações exponenciais para log discreto e fatoração, os problemas nos quais se baseiam a criptografia de curva elíptica e RSA, enquanto cripto simétrica e funções de hash sofrem apenas uma aceleração de raiz quadrada pelo algoritmo de Grover, compensável com parâmetros maiores.
“Quântico quebra a criptografia” é ao mesmo tempo verdadeiro e enganoso: ele mira primitivas cuja segurança se reduz a problemas de estrutura de grupo, não é um milagre de força bruta indiscriminado. A criptografia pós-quântica já existe e pode ser implantada hoje; o NIST finalizou padrões (ML-KEM, ML-DSA, SLH-DSA) explicitamente para apoiar a migração para longe de ECC/RSA.
Especificamente no Bitcoin, o perigo é sobre assinaturas: se um atacante consegue ver sua chave pública, o algoritmo de Shor pode recuperar a chave privada. Para endereços de hash de chave pública (P2PKH/P2WPKH), a chave pública só é exposta quando você gasta; o principal risco é a reutilização de endereço. Mas saídas Taproot (P2TR) e antigas pay-to-pubkey expõem a chave pública no momento da criação, sem necessidade de gasto. A BIP 360, com Pay-to-Merkle-Root (P2MR), trata isso diretamente: um tipo de saída ao estilo Taproot que nunca coloca uma chave pública on-chain.
A prioridade não é aperfeiçoar a história pós-quântica do Bitcoin no papel; é começar a migração de usuários agora. Deixe os usuários anexarem um caminho de gasto pós-quântico ao lado do caminho existente de curva elíptica. Em tempos de paz, eles continuam usando Schnorr/ECDSA; a chave pós-quântica fica parada. Se surgir um “perigo claro e iminente”, a rede pode descontinuar assinaturas de curva elíptica sem esperar anos por uma migração em massa. Não precisa ser o esquema final — escolha algo conservador agora, melhore depois. O relógio da migração é medido em adoção, não em dificuldade de engenharia.
Minha visão é que o Bitcoin deveria escolher assinaturas baseadas em hash para essa rota de escape. Não porque lattice (ML-DSA) seja ruim, mas porque baseadas em hash são o mais próximo que a criptografia tem de “tão seguro quanto possível”: mínimo de estrutura, mínimo de mágica, mínimo espaço para backdoors. Também é surpreendentemente fácil de auditar e entender, o que está alinhado com o ethos do Bitcoin.
SPHINCS+ (SLH-DSA) é a escolha padrão, mas produz assinaturas bastante grandes, ~8 kB para alcançar “statelessness”. O Bitcoin não precisa realmente dessa propriedade. O modelo de UTXO é inerentemente de uso e descarte; a reutilização sistemática de endereços nunca fez parte do design, e a infraestrutura lida bem com isso. Esquemas com estado como XMSS produzem assinaturas dramaticamente menores (~2,5 KB) e o modelo de gasto do Bitcoin se encaixa naturalmente nessa restrição.
A construção SHRINCS da Blockstream Research oferece ambos: um modo primário com estado e um fallback sem estado SLH-DSA se você perder o estado. A extensão SHRIMPS de Jonas Nick resolve a assinatura em múltiplos dispositivos. Ambos são puramente baseados em hash e ambos já estão rodando na Liquid.
Se um limiar crível de “Shor chegou” for ultrapassado, o primeiro trabalho é impedir roubo irreversível, não salvar toda saída legada. O padrão mais seguro é um interruptor de desligamento: tornar assinaturas de curva elíptica não gastáveis no nível de consenso. Um bloqueio temporário é reversível; um roubo quântico não é. Para saídas em que a chave pública nunca foi exposta, uma prova ZK (por exemplo, um STARK) poderia permitir que o dono legítimo provasse conhecimento do testemunho de desbloqueio sem revelar a chave. Para chaves já expostas, o único resgate plausível depende de um segredo adicional como a seed de uma carteira HD. Moedas sem nenhum dos dois caminhos — moedas dormentes, moedas antigas, as moedas de Satoshi — permaneceriam bloqueadas. Melhor “ainda perdidas” do que “agora roubadas”.
Um artigo da StarkWare de abril de 2026 demonstra que transações de Bitcoin seguras contra quântica são possíveis hoje sob as regras de consenso existentes. É uma construção genuinamente engenhosa, mas infelizmente a reação a ela expõe um problema real na comunidade Bitcoin. Esse truque é amplamente impraticável e não substitui um softfork, mas a oposição a fazer qualquer coisa é tão arraigada que ele já é citado como motivo para não acionar o “interruptor que conserta tudo facilmente”.
Dê um colete salva-vidas a todo mundo. Não complique demais. A parte difícil não é a criptografia; é fazer milhões de usuários e todas as carteiras, custodiante, corretoras e dispositivos de assinatura migrarem. Essa é a abordagem que o Tezos está adotando: tratar a prontidão pós-quântica como duas frentes (migração de chaves de usuário vs criptografia de protocolo), permitir que usuários anexem uma chave pós-quântica de backup agora e descontinuar assinaturas de curva elíptica mais tarde se a ameaça se materializar. Comece a migração social enquanto não há urgência, porque urgência é quando ecossistemas cometem erros. Primeiro coloquem os coletes salva-vidas; debatam o design do barco depois.