Yellow.com

Квантовые вычисления перестают быть теоретической темой для криптоиндустрии.

Сочетание ускоряющегося прогресса в «железе» у IBM, Google и Microsoft, утверждения набора стандартов постквантовой криптографии Национальным институтом стандартов и технологий США (NIST) в августе 2024 года и фактического отсутствия скоординированных планов миграции у крупных блокчейнов сформировали нарастающий разрыв в безопасности, который с каждым кварталом только увеличивается.

Кратко

В августе 2024 года NIST утвердил три стандарта постквантовой криптографии и тем самым дал понять: переход с классических схем шифрования – срочная практическая задача, а не отдалённый проект.

Bitcoin, Ethereum и большинство крупных блокчейнов по‑прежнему завязаны на эллиптических кривых, которые при появлении достаточно мощного квантового компьютера могут быть взломаны, что открывает путь к атаке на триллионы долларов ончейн‑активов.

Реалистичная стратегия «собирать зашифрованное сейчас, расшифровать потом» уже сегодня позволяет противникам накапливать блокчейн‑данные с прицелом на их взлом по мере созревания квантового железа.

Криптографический фундамент крипто уже признан уязвимым

Практически любая крупная криптовалюта опирается на две криптографические примитивы, напрямую находящиеся под ударом квантовых вычислений. Во‑первых, это алгоритм цифровой подписи на эллиптических кривых ECDSA, который обеспечивает подписание транзакций в Bitcoin, Ethereum (ETH) и сотнях производных сетей. Во‑вторых, это хеш‑функция SHA‑256, используемая в механизме proof‑of‑work и при генерации адресов в Bitcoin. Для обеих схем в рецензируемых научных работах давно описаны квантовые векторы атак.

Знаковое исследование Марка Уэббера и его коллег из Университета Сассекса (2022 год) оценило, что квантовый компьютер примерно с 317 логическими кубитами смог бы взломать одну транзакцию Bitcoin менее чем за час, а порядка 13 миллионов логических кубитов было бы достаточно для взлома в 10‑минутное окно формирования блока Bitcoin.

Формально это заметно выше возможностей текущего железа, но с учётом траектории роста числа кубитов такой порог уже перестал выглядеть отдалённым.

Оценка Webber и соавторов в 317 логических кубитов для взлома ECDSA за час переводит угрозу в измеримую «аппаратную» плоскость, достижимую в текущем десятилетии, если реализуются заявленные дорожные карты масштабирования.

Теоретической основой угрозы для ECDSA остаётся алгоритм Шора, предложенный ещё в 1994 году. Он решает задачу дискретного логарифмирования на квантовом компьютере за полиномиальное время, тогда как классическим алгоритмам требуется экспоненциальное. И с каждым новым анонсом прогресса по числу и качеству кубитов разрыв между теорией и практикой сужается. Инвесторы, воспринимающие риск квантового взлома как «далёкую историю», фактически неверно оценивают структурную угрозу, которую уже официально зафиксировали регуляторы и разработчики стандартов.

Стандарты NIST запускают регуляторный обратный отсчёт

13 августа 2024 года NIST опубликовал первые три финальных стандарта постквантовой криптографии: FIPS 203 (ML‑KEM, ранее CRYSTALS‑Kyber), FIPS 204 (ML‑DSA, ранее CRYSTALS‑Dilithium) и FIPS 205 (SLH‑DSA, ранее SPHINCS+).

В сопроводительном релизе институт прямо рекомендовал организациям начинать миграцию немедленно, не ожидая завершения всех оставшихся работ по стандартизации.

Для финансового сектора это серьёзный регуляторный сигнал. Стандарты NIST де‑факто задают рамки комплаенса для значительной части финансовой инфраструктуры США, а ряд ведомств, включая Агентство по кибербезопасности и безопасности инфраструктуры (CISA), уже выпустили инструкции, обязывающие критические инфраструктурные операторы провести инвентаризацию используемой криптографии.

В широком смысле криптоинфраструктура вполне подпадает под определение критической финансовой инфраструктуры в ряде юрисдикций. Тем не менее ни один крупный блокчейн первого уровня до сих пор не представил обязательный график постквантовой миграции в ответ на эти сигналы.

Августовский призыв NIST к «немедленной миграции» — пока самый однозначный официальный маркер того, что постквантовая криптография стала операционной задачей настоящего, а не предметом академических дискуссий о будущем.

Утверждённые стандарты опираются на математические задачи, которые считаются сложными как для классических, так и для квантовых компьютеров. ML‑KEM базируется на задаче Module Learning With Errors (MLWE). ML‑DSA и SLH‑DSA используют, соответственно, решётки и хеш‑конструкции. Впоследствии был подтверждён и четвёртый стандарт — FALCON (ныне FN‑DSA, FIPS 206). Почти полное молчание блокчейн‑индустрии по поводу этих документов — как минимум управленческий провал и, вероятнее всего, уже материальный риск для держателей активов.

3. Угроза «собери сейчас — расшифруй потом» уже реализуется

Один из самых недооценённых постквантовых сценариев атаки не требует наличия мощного квантового компьютера сегодня. Стратегия «harvest now, decrypt later» (HNDL — «собирай сейчас, расшифровывай потом») предполагает, что противник заранее копит и архивирует зашифрованные данные и подписанные транзакции, чтобы взломать их в будущем, когда появятся подходящие квантовые ресурсы. Для блокчейнов, изначально публичных и неизменяемых по дизайну, эта схема — не теория, а рабочая реальность.

Каждая транзакция в сетях Bitcoin или Ethereum навсегда прописана на тысячах узлов по всему миру. Любой субъект — включая государства — может развернуть полный архив истории транзакций по относительно низкой цене. В отчёте 2023 года Global Risk Institute оценил, что вероятность появления «квантово‑релевантной» машины, способной ломать действующие криптосхемы, составляет 17% к 2030 году и 50% к 2034‑му.

Для активов, чьи ончейн‑записи принципиально неизгладимы, эти проценты слишком высоки, чтобы их игнорировать.

В отчёте Global Risk Institute за 2023 год вероятность появления криптографически релевантного квантового компьютера к 2034 году оценивается в 50% — это уже внутри инвестиционного горизонта многих текущих держателей.

В блокчейн‑контексте HNDL в меньшей степени касается уже подтверждённых переводов, где и так известны и публичный ключ, и объём перевода. Глубинная проблема в другом: в повторном использовании адресов, в мультиподписных схемах с раскрытыми публичными ключами и в любых конструкциях, где атакующий, накопив публичный ключ, сможет позже вывести из него приватный ключ и опустошить кошелёк. Поскольку во многих пользовательских интерфейсах адреса по‑прежнему проектируются с расчётом на многократное использование, пул уже «подсвеченных» публичных ключей весьма велик.

Сколько биткоин‑адресов уже под ударом?

Квантовую уязвимость Bitcoin можно описать в ончейн‑показателях. Исследование 2023 года, опубликованное на arXiv специалистами Deloitte Netherlands, показало, что около 4 млн BTC — примерно 25% монет в обращении на тот момент — хранятся на адресах формата Pay‑to‑Public‑Key (P2PK) или на повторно использованных Pay‑to‑Public‑Key‑Hash (P2PKH), по которым публичный ключ уже был раскрыт в блокчейне.

Формат P2PK, применявшийся в ранних выходах Bitcoin, включая монеты, добытые Сатоши Накамото, хранит полный публичный ключ прямо в scriptPubKey. Для квантового атакующего это прямой вход для запуска алгоритма Шора против ECDSA‑ключа.

В случае повторно используемых P2PKH‑адресов публичный ключ становится виден в момент первой траты с адреса. За годы эксплуатации и на фоне слабого UX большинство биткоин‑кошельков лишь поощряли массовое переиспользование адресов, существенно расширив квантовую поверхность атаки.

Анализ Deloitte за 2023 год выявил около 4 млн BTC на адресах, прямо раскрывающих публичный ключ, — это наиболее уязвимый с точки зрения квантовой атаки сегмент сети Bitcoin.

В Ethereum масштаб риска сопоставим. Любой Ethereum‑кошелёк, совершивший хотя бы одну транзакцию, по определению уже «засветил» свой публичный ключ. Ethereum Foundation в своей дорожной карте публично признал квантовую уязвимость и включил постквантовую миграцию в раздел «future‑proofing» как долгосрочную цель. Но ни чётких сроков, ни тестнета под такие изменения до сих пор не представлено. Для сети, на которой размещены активы на сотни миллиардов долларов, формулировка «долгосрочная цель» в условиях 50‑процентной вероятности наступления квантового риска к 2034 году выглядит недостаточным ответом.

Прорывы в квантовом железе сжимают горизонт планирования

Теоретическая угроза квантовых атак существует с момента публикации работы Шора в 1994 году. Ключевым изменением последних двух лет стал темп развития аппаратной части: разрыв между теорией и возможной практической реализацией начал сокращаться настолько быстро, что прежние оценки сроков требуют пересмотра.

В декабре 2023 года квантовая команда Google DeepMind опубликовала результаты экспериментов на 70‑кубитной системе, впервые продемонстрировавшей исправление ошибок ниже порогового уровня — критически важное условие для наращивания логических кубитов, необходимых для запуска алгоритма Шора в реальных масштабах.

В ноябре 2024 года Google анонсировала квантовый чип Willow, заявив, что ему удалось выполнить специализированный бенчмарк‑расчёт менее чем за пять минут. …на выполнение которой классическим суперкомпьютерам потребовались бы десятисептиллионы лет.

Текущая дорожная карта IBM, опубликованная на сайте развития квантовых технологий, предполагает выход на «утилитарный» масштаб квантовых вычислений — с тысячами логических кубитов — к 2033 году.

Анонс чипа Willow от Google в ноябре 2024 года и обнародованная IBM дорожная карта с целевыми показателями в тысячи логических кубитов к 2033‑му — это уже вполне конкретные аппаратные вехи, которые сдвигают горизонт квантовой угрозы с «десятилетий» до «текущего десятилетия».

Подход Microsoft на базе топологических кубитов, который компания развивает через свое исследовательское подразделение Azure Quantum, нацелен на достижение уровней ошибок, на порядки меньших, чем у современных архитектур сверхпроводящих кубитов. Это потенциально ускоряет дорогу к машинам, представляющим угрозу для устоявшейся криптографии. Ни один из подобных анонсов сам по себе не доказывает, что угроза стала неминуемой.

Но в совокупности темпы прогресса сразу по нескольким независимым исследовательским программам заметно опережают базовые допущения, заложенные в большинство документов по управлению блокчейн‑сетями, написанных до 2023 года.

Проблема миграции: технический и политический тупик

Даже если бы индустрия блокчейна прямо сейчас приняла решение перейти на постквантовую криптографию, технические и управленческие барьеры оказались бы колоссальными. Биткоин, как наиболее децентрализованная из крупных сетей, сталкивается с самой жесткой версией этой дилеммы.

Смена схемы подписей в Bitcoin требует soft fork или hard fork. В обоих случаях необходима координация подавляющего большинства майнеров, операторов нод, разработчиков кошельков и бирж — процесс, который исторически растягивался на годы даже для куда менее радикальных апгрейдов.

Активация SegWit в 2017 году, по сути, относительно незначительная структурная правка протокола, заняла свыше двух лет острых дискуссий, прежде чем обновление достигло порога в 95% сигнализирующих майнеров. Миграция на новую схему подписей будет на порядки более разрушительной: она напрямую затронет каждый пользовательский кошелек, горячие кошельки бирж, прошивки аппаратных устройств и кастомные решения по хранению во всей экосистеме.

В работе 2021 года исследователи из IETF Crypto Forum Research Group отмечали, что ECDSA глубоко вшита в инфраструктуру интернета, и описывали скоординированный отказ от неё как «один из самых сложных криптографических переходов в истории».

Прецедент с SegWit показывает, что принятие решений по управлению Bitcoin измеряется годами. Это означает, что постквантовая миграция, которая даже не начата, вполне может не завершиться до момента наступления окна угрозы.

Модель аккаунтов в Ethereum формально даёт немного больше гибкости. Постквантовая дорожная карта Ethereum Foundation включает концепцию «квантово‑устойчивой абстракции аккаунтов», при которой кошельки смогут переходить на новые схемы подписей без необходимости проводить хардфорк базового уровня для уже существующих адресов.

Однако такой подход требует активных действий от каждого пользователя: каждый обязан сам мигрировать свой кошелек. Исторические данные об участии в апгрейдах Ethereum показывают, что пассивные пользователи систематически игнорируют «ломающие» изменения, если в протоколе нет механизмов принудительной депрекации старых путей.

Постквантовые блокчейны уже есть, но остаются на периферии рынка

Небольшая группа проектов восприняла квантовую угрозу достаточно всерьёз, чтобы изначально заложить постквантовую криптографию в базовый слой. Эти сети остаются нишевыми, но служат лучшим практическим доказательством того, что квантово‑устойчивый блокчейн технически реализуем.

QRL (Quantum Resistant Ledger) стартовал в 2018 году как первый промышленный блокчейн, строящийся на eXtended Merkle Signature Scheme (XMSS) — хэш‑базированном алгоритме подписей, попавшем в шорт‑лист NIST. Протокол QRL принципиально не использует эллиптические кривые ни на одном уровне. IOTA, в рамках своей новой архитектуры Rebased, движется к интеграции постквантовых схем подписей, включая Ed448 и решёточные конструкции. Algorand публиковал исследования по постквантовым state proofs и добавил вариант подписи на базе Falcon в свой криптографический стек.

Запуск основной сети QRL в 2018 году показал, что блокчейн, использующий исключительно хэш‑подписи, работоспособен в продакшене. Однако рыночная капитализация проекта меньше $100 млн — наглядный разрыв между технической состоятельностью и реальным спросом.

Ключевая проблема этих проектов — не криптографическая надёжность, а сетевые эффекты. Биткоин и Ethereum доминируют за счёт ликвидности, развитых экосистем разработчиков, институциональной инфраструктуры кастодиального хранения и регуляторной узнаваемости. Всё это крайне сложно воспроизвести в квантово‑безопасной, но малоликвидной сети. Более реалистичный сценарий для отрасли — не замена, а дооснащение существующих цепочек постквантовыми вариантами подписей. Именно под такой сценарий изначально проектировались стандарты вроде NIST FIPS 204 (ML‑DSA). Вопрос в том, появится ли политическая воля реализовать этот ретрофит раньше, чем созреет аппаратная угроза.

Биржи и кастодианы: особые квантовые риски

Квантовой экспозицией ограничиваются не только розничные инвесторы. Централизованные биржи и институциональные кастодианы сталкиваются с отдельной, а по ряду параметров — ещё более острой версией той же угрозы. Их модели безопасности опираются на ту же инфраструктуру ECDSA, что и пользовательские кошельки, но при неизмеримо более высокой концентрации активов.

Крупная биржа, управляющая горячими кошельками Bitcoin и Ethereum на миллиарды долларов, вынуждена по операционным причинам держать приватные ключи в зоне досягаемости автоматизированных систем, подписывающих транзакции. Эти ключи, хранящиеся в аппаратных модулях безопасности (HSM) и системах управления ключами, спроектированных под классические крипто‑допущения, в постквантовом мире становятся приоритетной целью. По данным Chainalysis, взломы бирж уже привели к совокупным потерям свыше $10 млрд начиная с 2012 года — и все эти атаки обходились без квантовых компьютеров. Добавление к модели угроз сценария восстановления ключей квантовыми методами радикально усложняет задачу кастодиальной безопасности.

Статистика Chainalysis фиксирует свыше $10 млрд потерь от взломов бирж с 2012 года при использовании исключительно классических методов атаки — это база уязвимости кастодиальной инфраструктуры, которую квантовое восстановление ключей способно многократно усугубить.

Поставщики HSM, доминирующие на рынке институционального крипто‑хранения, включая Thales, AWS CloudHSM и Entrust, осведомлены о необходимости постквантового перехода. Руководства NIST по миграции прямо затрагивают сроки замены HSM. Но реальная операционная задача — перестроить инфраструктуру управления ключами в масштабах глобальной биржи с миллионами клиентских кошельков — остаётся проектом, о начале которого ни одна крупная площадка публично не заявляла и не объявляла сроки. Отсутствие регуляторных требований по раскрытию информации о квантовой готовности означает, что инвесторы лишены инструментов оценки кастодиальных квантовых рисков на основе открытой отчётности.

Государства и геополитика квантовых атак на криптоактивы

Квантовая угроза для криптовалют — это не только техническая, но и геополитическая проблема, которую инвесторы и политические аналитики в публичной дискуссии в значительной степени игнорируют. Национальные квантовые программы — прежде всего Китая и США, а также в меньшей степени России и ЕС — финансируются на порядки масштабнее частных R&D‑инициатив, а их реальные возможности засекречены.

Китайская национальная программа по квантовым вычислениям закреплена в 14‑м пятилетнем плане (2021–2025 годы) и его преемниках. По оценке Center for Security and Emerging Technology при Университете Джорджтауна, госинвестиции Китая в квантовые исследования превышают $15 млрд за период действия плана. Исследовательское подразделение Народного банка Китая (PBoC) публиковало работы по таймлайнам квантовых атак на финансовую криптографию. Если засекреченная государственная программа достигнет криптографически значимого уровня раньше открытой академической науки, первым признаком может стать «тихий» слив средств с уязвимых биткоин‑адресов — событие, внешне неотличимое от крайне продвинутого классического взлома до момента, когда форензика установит подлинный вектор атаки.

CSET при Джорджтаунском университете документирует, что китайские госинвестиции в квантовые технологии превышают $15 млрд за один пятилетний цикл — уровень финансирования, способный обеспечить секретные возможности раньше, чем это отразится в публичных академических дорожных картах.

Американские госведомства реагируют на угрозу быстрее, чем частный крипто‑сектор. Office of Management and Budget (OMB) в ноябре 2022 года издал меморандум M‑23‑02, предписывающий всем федеральным агентствам завершить инвентаризацию используемой криптографии к 2023 году и начать планирование миграции. Агентство национальной безопасности США (NSA) опубликовало собственные рекомендации по постквантовому переходу для систем нацбезопасности. Контраст между степенью срочности, проявляемой государством, и заметной самоуспокоенностью частной крипто‑инфраструктуры выглядит предельно резким.и это стоит как минимум осознать — и усвоить.

Также по теме: Kalshi выходит на криптотрейдинг, нацеливаясь на Coinbase с бессрочными фьючерсами

Как должна выглядеть адекватная реакция индустрии — и насколько она от неё далека

Если разложить по шагам, как должен выглядеть ответственный план «квантовой миграции» для блокчейн‑индустрии, становится видно, насколько велик разрыв между текущим положением дел и должным уровнем готовности. Опираясь на рекомендации NIST, академические работы и опыт аналогичных инфраструктурных переходов, можно сказать: убедительная программа должна состоять как минимум из пяти отдельных этапов и занять примерно от восьми до десяти лет.

Первый этап — криптографический аудит: каждой команде протокола, каждой бирже и каждому кастодиану необходимо составить полный реестр используемых криптографических примитивов, размеров ключей, статуса экспонирования публичных ключей и графа зависимостей систем, которые потребуют изменений.

Второй этап — выбор постквантового алгоритма: между ML-DSA, SLH-DSA и FN-DSA в зависимости от компромисса между производительностью и уровнем безопасности для конкретного сценария использования. Доступное академическое сравнение было опубликовано исследователями в IACR Cryptology ePrint Archive в 2022 году и даёт бенчмарки по финалистам стандартизации NIST.

Третий этап — развёртывание на тестнетах и стейджинге. Четвёртый — координированный запуск в мейннете. Пятый — длительная «хвостовая» миграция пользователей, особенно для сетей с адресными форматами, где публичный ключ раскрывается на чейне.

Исследование по бенчмаркингу IACR 2022 года даёт конкретные показатели производительности для постквантовых алгоритмов‑финалистов и уже сейчас предоставляет командам протоколов данные, необходимые для выбора алгоритмов, не дожидаясь дальнейшей стандартизации.

В биткоин‑сообществе разработчиков подготовлены два релевантных Bitcoin Improvement Proposal. BIP-360, предложенный в конце 2024 года Хантером Бистом и соавторами, описывает формат адреса Pay to Quantum Resistant Hash (P2QRH) с использованием CRYSTALS-Dilithium в качестве базовой схемы подписи.

По состоянию на апрель 2026 года BIP-360 остаётся в статусе драфта, без предложенного механизма активации. Постквантовая дорожная карта Ethereum, опубликованная на странице дорожной карты Ethereum Foundation, признаёт необходимость Winternitz One-Time Signatures или аутентификации на базе STARK как долгосрочных решений, но относит их к категории «splurge» — наименее приоритетному классу улучшений в текущей рамке планирования.

С учётом горизонтов развития «железа», описанных в пятом разделе, такой уровень приоритета нуждается в жёстком пересмотре.

Читайте далее: 35% европейских инвесторов готовы уйти из банка ради доступа к криптоактивам

Заключение

Угроза квантовых вычислений для криптовалют — реальна, подробно описана и развивается по таймлайну, который индустрия до сих пор не осознала в полной мере.

NIST завершил стандартизацию постквантовых алгоритмов в августе 2024 года и рекомендовал немедленный старт миграции. Государственные квантовые программы финансируются на уровне, обеспечивающем появление засекреченных возможностей раньше, чем они фиксируются в открытой академической среде. Между 25% и 40% находящегося в обращении биткоина удерживается на адресах, публичные ключи которых уже раскрыты в блокчейне и доступны для «сбора урожая». Это не гипотезы. Все эти оценки подтверждены, количественно описаны и представлены в первичных источниках, с которыми уже давно могли ознакомиться команды протоколов, комплаенс‑подразделения бирж и институциональные кастодианы.

Индустрии не хватает не информации, а чувства срочности. Модель поведения хорошо знакома по другим вялотекущим кризисам кибербезопасности.

Организации не уходят с уязвимых систем до тех пор, пока либо катастрофический инцидент не заставит их это сделать, либо регуляторный дедлайн не оставит им иного выбора.

В случае квантовой угрозы катастрофический инцидент — скрытая «просушка» уязвимых биткоин‑адресов государственным актором, располагающим засекреченным квантовым компьютером, — может произойти без предупреждения и без достаточной форензической ясности, чтобы спровоцировать скоординированный ответ до того, как будет нанесён существенный ущерб.

Управленческие конструкции Bitcoin и Ethereum не рассчитаны на выработку консенсуса в кризисном режиме, а значит, окно для организованной миграции сужается, даже если сам аппаратный риск ещё не материализовался.

Конструктивный вывод из этого анализа в том, что квантовый переход создаёт подлинное окно возможностей для R&D. Команды протоколов, которые первыми интегрируют постквантовые подписи, биржи, которые опубликуют прозрачные дорожные карты квантовой готовности, и кастодианы, которые модернизируют свою HSM‑инфраструктуру до введения жёстких регуляторных требований, окажутся в существенно более выгодной конкурентной позиции, когда игнорировать угрозу станет невозможно. Исследования проведены. Стандарты опубликованы. Осталась управленческая работа — и начинать её нужно сейчас.

Квантовые вычисления и криптобезопасность: 10 ключевых угроз и защитных стратегий, которые инвесторам нужно понимать к 2026 году