Informe panorámico: ¿Está el mundo cripto preparado para enfrentar ataques cuánticos?

Original  Odaily Planet Daily (@OdailyChina)

Autor｜jk

Lo que debes saber antes de leer: aclara cinco cosas primero

Este informe no asume que los lectores tengan conocimientos de criptografía o física cuántica; si solo te interesan las conclusiones, puedes saltar directamente a "Hallazgos clave"; antes de entrar en el contenido principal, primero explicaremos cinco conceptos clave usando analogías cotidianas.

1. ¿Qué es la "clave" en las criptomonedas?

Tus bitcoins o ethers no están almacenados en un archivo, sino que están registrados bajo una dirección en la blockchain. Para gastar este dinero, debes presentar una "firma digital" que demuestre a toda la red que eres el propietario de esa dirección. Para generar la firma, se utiliza una clave privada, que solo tú conoces; para verificar la firma, se utiliza una clave pública, que es pública y cualquiera puede usar para verificar.

Puedes imaginarlo como una muestra de firma que tiene el banco: el banco tiene tu muestra de firma (clave pública), cuando alguien quiere retirar dinero, el banco verifica la firma (verifica la firma), pero nadie puede imitar exactamente la firma original solo mirando la muestra (derivar la clave privada). Este mecanismo es confiable hoy en día porque derivar la clave privada a partir de la clave pública se considera matemáticamente imposible. La amenaza de las computadoras cuánticas radica en que podrían hacer que esta "imposibilidad" se vuelva factible.

2. ¿Qué cambia con las computadoras cuánticas?

Las computadoras clásicas rompen contraseñas como si una persona estuviera probando una gran cantidad de llaves una por una; incluso si lo hacen rápidamente, el tiempo requerido es astronómico. Las computadoras cuánticas no son más rápidas en probar, sino que utilizan un enfoque diferente para resolver problemas: para un tipo específico de problema matemático, el algoritmo de Shor propuesto en 1994 puede reducir el tiempo de "la edad del universo" a "unos minutos a unas horas".

Es importante enfatizar que las computadoras cuánticas no son omnipotentes. Para la gran mayoría de las tareas de cálculo diarias, no tienen ventaja. Pero, desafortunadamente, el tipo de problemas en los que son buenas es precisamente la base de la criptografía de clave pública en la que se basa hoy en día Internet y la blockchain (incluyendo RSA y curvas elípticas). En contraste, las funciones hash (que se pueden entender como una máquina de un solo sentido que convierte cualquier entrada en una huella digital de longitud fija) solo se aceleran ligeramente con los algoritmos cuánticos, por lo que los mecanismos de seguridad basados en hash son relativamente sólidos. Esto también explica por qué la mayoría de los esquemas post-cuánticos se están orientando hacia soluciones "basadas en hash".

3. ¿Por qué decir "no hay que entrar en pánico, pero no se puede ignorar"?

Las computadoras cuánticas actuales aún no representan una amenaza para Bitcoin. Para romper una clave de Bitcoin se requieren aproximadamente 500,000 qubits físicos, mientras que los chips más avanzados disponibles públicamente solo tienen alrededor de cien, lo que representa una diferencia de miles de veces. Así que hoy nadie puede robar tus monedas con una computadora cuántica.

Sin embargo, hay dos factores inquietantes en el cronograma. Primero, la migración en sí es extremadamente lenta: cambiar toda la blockchain a un nuevo sistema de firmas requiere escribir código, auditoría, pruebas, coordinar una actualización de toda la red y hacer que cientos de millones de usuarios transfieran sus activos; se estima que esto tomará de cinco a diez años. Segundo, la estimación de la cantidad de qubits necesarios está disminuyendo rápidamente: hace un año se necesitaban millones de qubits (que se pueden entender como la potencia de cálculo que una computadora cuántica necesita para romper la blockchain), este año ya ha bajado a menos de 500,000. Esto es como construir un puente que necesita diez años, pero no se puede predecir cuándo llegará la inundación; la forma razonable de proceder es comenzar ahora, en lugar de esperar a que suba el agua.

4. ¿Por qué algunas monedas son más peligrosas?

Si una dirección tiene monedas peligrosas depende de si la clave pública ya ha sido divulgada. Puedes imaginarlo como un sobre sellado: muchas direcciones no almacenan la clave pública en sí, sino el hash de la clave pública, lo que equivale a tener la clave pública sellada en un sobre, que solo se abrirá cuando gastes ese dinero. Mientras el sobre no esté abierto, las computadoras cuánticas no pueden hacer nada.

El problema es que algunas direcciones ya han abierto sus sobres. Ciertas direcciones de Bitcoin de la era temprana (incluyendo la era de Satoshi Nakamoto) tienen la clave pública escrita directamente en la cadena, sin sobre; además, muchos usuarios reutilizan la misma dirección, y la primera vez que gastan dinero, el sobre se abre, dejando el resto de las monedas en la misma dirección, lo que significa que la clave pública permanece expuesta. Estos son los activos "expuestos" que se mencionan repetidamente en el informe, que representan aproximadamente un tercio del total de Bitcoin. Además, incluso los sobres sellados, en la breve ventana de tiempo en que inicias una transferencia y la transacción aún no ha sido confirmada, la clave pública también se transmitirá, lo que representa una oportunidad de ataque fugaz pero no imposible.

5. ¿Qué es exactamente el "post-cuántico" y qué problema está resolviendo?

La solución no es complicada: cambiar a una nueva cerradura que no pueda ser abierta por una computadora cuántica. La academia ya ha propuesto varias categorías de candidatos, como firmas basadas en hash y firmas basadas en reticulados, y el NIST de EE. UU. completará la estandarización en 2024. Lo verdaderamente difícil son las siguientes tres cosas: la nueva cerradura es más grande y pesada, el tamaño de la firma es de 10 a 40 veces mayor que el actual, lo que ralentiza directamente la velocidad de las transacciones y aumenta los costos; cambiar la cerradura requiere el consentimiento de toda la red, y las redes descentralizadas son precisamente las más difíciles de unificar; y en cuanto a las monedas cuyos propietarios ya han desaparecido y nunca volverán a cambiar la cerradura, no hay ninguna solución que satisfaga a todos.

Algunos malentendidos comunes

Uno de los malentendidos es que "una vez que aparezcan las computadoras cuánticas, todas las criptomonedas se volverán cero". De hecho, lo que está amenazado es la parte de la firma; la red puede responder actualizando el esquema de firma, y el progreso varía entre las diferentes cadenas, por lo que el riesgo no es uniforme.

Otro malentendido es que "las computadoras cuánticas harán que la minería sea completamente irrelevante". La minería depende del cálculo hash, y los algoritmos cuánticos solo ofrecen una aceleración limitada, no derrocarán la prueba de trabajo.

Un tercer malentendido es que "esto es ciencia ficción y no me concierne". Actualmente, las computadoras cuánticas no pueden romper Bitcoin, pero las autoridades reguladoras, las instituciones de custodia y los emisores de ETF ya lo han incluido en sus listas de riesgos formales, y la ventana de tiempo para la migración ya se ha incorporado en las políticas de varios países.

Hallazgos clave

El nivel de preparación de la industria cripto para ataques cuánticos ha mejorado notablemente en comparación con hace un año, pero las protecciones post-cuánticas que se pueden utilizar en la red principal siguen siendo muy escasas, y en general, no están preparadas.

La blockchain depende de firmas con claves privadas para probar la propiedad de los activos, la seguridad de la firma se basa en el problema matemático del logaritmo discreto en curvas elípticas. Las computadoras clásicas no pueden resolver este problema en un tiempo razonable, mientras que una computadora cuántica de tamaño suficiente y con capacidad de corrección de errores, utilizando el algoritmo de Shor, teóricamente podría derivar la clave privada a partir de la clave pública expuesta, y así transferir los activos de otros. La criptografía post-cuántica se refiere a esquemas de firma y cifrado que se consideran seguros incluso frente a computadoras cuánticas.

"Logaritmo discreto en curvas elípticas" suena muy abstracto, pero se puede entender con una analogía de la vida cotidiana. Imagina que hay un punto de partida público en una cuadrícula de forma especial, y siguiendo reglas fijas, saltas desde el punto de partida varias veces, terminando en una posición específica. Tu clave privada es el número de saltos, un número aleatorio extremadamente grande; tu clave pública es la posición final, que será pública. Conociendo el número de saltos, calcular la posición final es fácil, se puede hacer en unos pocos cientos de pasos; pero al revés, solo viendo la posición final, saber cuántos saltos se hicieron es un problema sin una mejor solución que probar todas las posibilidades una por una. Las curvas utilizadas por Bitcoin y Ethereum tienen un número posible de saltos de aproximadamente 2 a la 256, que es un número astronómico; incluso utilizando todas las computadoras del mundo, no se puede completar en la vida humana o incluso en la vida del universo. Esta es la razón por la que la clave privada no puede ser derivada por otros a partir de la clave pública.

Las computadoras cuánticas representan una amenaza porque no necesitan probar cada posibilidad una por una. El algoritmo de Shor utiliza la superposición cuántica para examinar simultáneamente muchas posibilidades y extraer patrones ocultos en el proceso de saltos, comprimiendo lo que normalmente requeriría un número astronómico de pasos en una cantidad de cálculo manejable. En otras palabras, las computadoras clásicas están buscando una aguja en un pajar, mientras que las computadoras cuánticas encuentran el patrón donde está la aguja.

En un ataque real, el proceso se divide en tres pasos: primero, el atacante lee la clave pública ya expuesta de una dirección en la blockchain; segundo, utiliza una computadora cuántica lo suficientemente grande para calcular la clave privada correspondiente; tercero, utiliza esta clave privada para falsificar una firma legítima y transferir las monedas de esa dirección a su propia cuenta. La red no puede distinguir si esta firma es verdadera o falsa, porque matemáticamente es idéntica a la que firmó el propietario. Esta es también la razón por la que se enfatiza repetidamente "si la clave pública ya ha sido expuesta": si la clave pública no está expuesta, el primer paso del ataque no puede comenzar.

¿Cuándo llegará la amenaza?

En el último año, las estimaciones académicas sobre los recursos cuánticos necesarios para romper criptomonedas han disminuido drásticamente. El libro blanco publicado por Google Quantum AI en marzo de 2026 (coautores incluyen a Dan Boneh de Stanford y Justin Drake de la Fundación Ethereum) presentó dos circuitos de ataque para la curva secp256k1, que requieren no más de 1,200 y 1,450 qubits lógicos, respectivamente. Los qubits lógicos se refieren a qubits que han sido corregidos y pueden calcular de manera confiable; en términos de hardware real, en una línea superconductora con una tasa de error de aproximadamente uno en mil, los qubits físicos necesarios son menos de 500,000, y la ejecución completa tomaría entre 18 y 23 minutos. Dado que aproximadamente la mitad de los cálculos pueden completarse de antemano, una vez que se divulgue una clave pública durante la transmisión de la transacción, el atacante solo necesitaría alrededor de 9 minutos para derivar la clave privada. CoinDesk mencionó que esto significa que el atacante tiene aproximadamente un 41% de probabilidad de desviar fondos antes de que la transacción original sea confirmada. Forbes considera que este resultado ha reducido la estimación anterior de millones de qubits físicos en aproximadamente 20 veces.

Los qubits cuánticos se pueden entender simplemente como la potencia de cálculo que una computadora cuántica necesita para romper la blockchain, y el Q-day se refiere al día en que aparecerá una computadora cuántica lo suficientemente poderosa.

Craig Gidney señaló en un preprint de mayo de 2025 que los qubits cuánticos necesarios para romper RSA-2048 han disminuido a menos de 1 millón, mientras que su estimación junto a Ekerå en 2019 era de 20 millones. Otra preimpresión presentada el mismo día que el libro blanco por el Instituto de Tecnología de California, Oratomic y la Universidad de California en Berkeley afirma que con la ruta de átomos neutros, entre 10,000 y 26,000 qubits podrían ser suficientes, pero esta conclusión proviene de simulaciones y aún no tiene verificación de hardware. Además, Google no ha hecho pública la circuitería de ataque en sí, solo utilizó pruebas de conocimiento cero para demostrar la validez del circuito, lo que es un enfoque de "divulgación responsable" inédito en este campo.

Captura de pantalla del documento de Google, fuente: arxiv

Sin embargo, la razón para no entrar en pánico es que aún hay una gran brecha entre el estado actual del hardware y estas estimaciones. El chip Willow de Google solo tiene 105 qubits; en la demostración pública, la clave de curva elíptica más grande que se logró romper tenía solo 15 bits, mientras que Bitcoin utiliza una clave de 256 bits. El premio Q-Day otorgado por Project Eleven también es objeto de controversia, ya que los desarrolladores de Bitcoin consideran que esta salida no es significativamente diferente de una suposición aleatoria.

Sobre cuándo aparecerán máquinas con capacidad real de romper criptografía, los expertos coinciden en que esto podría suceder entre principios y mediados de la década de 2030, y también hay riesgos antes de 2030. El consejo asesor de Coinbase ha declarado que no se puede estar seguro de que no existan tales máquinas para la fecha límite de migración establecida por el NIST en 2035. Charles Hoskinson estima que hay más de un 50% de probabilidad de que aparezcan computadoras cuánticas de nivel comercial antes de 2033, mientras que Nic Carter estima que la probabilidad de que Bitcoin sea vulnerable para 2035 es del 70% al 80%. Google ha establecido su cronograma de migración post-cuántica para 2029.

Naturaleza del riesgo y escala de exposición

Para los libros de contabilidad públicos, el principal riesgo es la falsificación de firmas, es decir, que un atacante derive la clave privada a partir de una clave pública ya expuesta y robe activos, en lugar de lo que comúnmente se dice en la industria: "primero recopilar, luego descifrar". Las claves públicas que ya han aparecido en direcciones en la cadena están en un estado de "exposición estática" desde el día en que aparece una gran computadora cuántica; los activos que solo tienen un valor hash como dirección y nunca han sido gastados están expuestos solo durante la breve ventana en que la transacción se transmite hasta que es confirmada. La amenaza de "primero recopilar, luego descifrar" recae principalmente sobre las monedas de privacidad, ya que las transacciones registradas hoy podrían ser desanonimizadas retrospectivamente en el futuro. La función hash en sí no es el eslabón débil: SHA-256 y Keccak solo pierden un nivel de seguridad de raíz cuadrada frente a los algoritmos cuánticos, y la minería basada en prueba de trabajo y los compromisos basados en hash siguen siendo en general seguros, lo que también es la razón por la que la mayoría de las soluciones post-cuánticas tienden a basarse en hash.

La escala de los activos expuestos es bastante considerable. El consejo asesor de Coinbase estima que aproximadamente 6.9 millones de BTC (alrededor del 32% del suministro total) tienen claves públicas expuestas en la cadena, de los cuales aproximadamente 1.7 millones se encuentran en unas 20,000 direcciones P2PK tempranas, y alrededor de 5 millones provienen de la reutilización de direcciones, incluidas algunas billeteras frías de grandes intercambios. El autor de BIP-361 da una proporción ligeramente más alta, afirmando que más del 34% estaba expuesto hasta el 1 de marzo de 2026. En comparación, Ripple afirma que solo el 0.03% de XRP está almacenado en cuentas inactivas con claves públicas expuestas. Las diferencias en los números de las partes se deben principalmente a diferentes enfoques estadísticos sobre P2PK, reutilización de direcciones y salidas de Taproot.

Progreso y diferenciación de las cadenas

En términos de progreso real, las cadenas han mostrado una clara diferenciación. QRL ha estado funcionando con firmas post-cuánticas nativas desde 2018, Algorand lanzará cuentas nativas de Falcon en agosto de 2026, NEAR lanzará cuentas ML-DSA en julio de 2026, las cuentas Falcon de Starknet ya están funcionando en la red principal pero aún no han sido auditadas, y el código relacionado de Tezos ha entrado en la red principal con la actualización, aunque está desactivado por defecto. Ethereum (alrededor de 2029), XRPL (2028), Sui (primer trimestre de 2027), Stellar y Hedera (alrededor de 2027) ya tienen hojas de ruta con fechas, Solana ha elegido Falcon pero no ha establecido un cronograma, y Cosmos SDK ha publicado soporte, aunque debe ser habilitado por cada cadena. Las dos propuestas relacionadas con Bitcoin aún están en fase de borrador y carecen de un camino de activación; Cardano sigue en fase de investigación; Monero, Avalanche y BNB Chain no tienen planes formales.

La abstracción de cuentas es la diferencia estructural más importante. Las cuentas pueden cambiar su esquema de firma por sí mismas, sin necesidad de que toda la cadena realice un fork unificado (Starknet, Algorand, NEAR, Sui, Aptos, y Ethereum después de la implementación de EIP-8141), lo que permite a los usuarios migrar uno por uno; el modelo de cuenta de Bitcoin no tiene esta flexibilidad, la migración solo puede depender de nuevos tipos de direcciones y de transferencias voluntarias durante años.

La dificultad radica en la gobernanza: ¿cómo asegurar que todos actúen de manera coherente?

Los esquemas criptográficos ya tienen estándares a seguir, lo que realmente queda por resolver son los problemas de gobernanza e ingeniería.

Primero, ¿cómo coordinar un soft fork o hard fork para que toda la red se actualice de manera sincronizada? En segundo lugar, ¿qué hacer con los activos que nunca migraron, incluyendo aproximadamente 1.7 millones de BTC de la era de Satoshi? ¿Se congelan, se revocan o se mantienen como están? Actualmente, solo unas pocas cadenas han hecho declaraciones claras al respecto. En tercer lugar, las nuevas firmas son de 10 a 40 veces más grandes que las firmas existentes de 64 bytes, lo que afectará directamente el rendimiento de las transacciones y aumentará los costos. Ripple señala que la firma de Dilithium es aproximadamente 40 veces más grande que las firmas actuales; el consejo asesor de Coinbase advierte que el tamaño de los bloques podría aumentar hasta 38 veces después del cambio; Hoskinson advierte que un cambio prematuro en Cardano podría reducir la velocidad de la red en aproximadamente 10 veces.

Estándares y regulación

Las finanzas tradicionales y los organismos gubernamentales ya han proporcionado un cronograma claro de migración, y las diferentes cadenas de la industria de las criptomonedas están siendo impulsadas a actuar en este contexto. Lo más crucial es el estándar post-cuántico del NIST de EE. UU., que no solo define los esquemas de firma que pueden ser seleccionados por la blockchain, sino que también establece el plazo para la eliminación de los algoritmos antiguos.

El estándar dorado de la industria: el estándar del NIST

El NIST es el Instituto Nacional de Estándares y Tecnología de EE. UU., que forma parte del Departamento de Comercio de EE. UU. y es responsable de establecer estándares técnicos. Sus estándares en el campo de la criptografía (como AES, SHA hash) son ampliamente adoptados en todo el mundo. En agosto de 2024, publicará los primeros estándares de criptografía post-cuántica, por lo que la mayoría de las soluciones post-cuánticas de blockchain se basan en él.

El NIST publicó oficialmente tres estándares post-cuánticos el 13 de agosto de 2024, y un cuarto aún está en desarrollo. FIPS 203 (ML-KEM) es un mecanismo de encapsulación de claves utilizado para comunicaciones encriptadas, no es un esquema de firma. FIPS 204 (ML-DSA, anteriormente Dilithium) es una firma basada en reticulados, con un tamaño de firma de aproximadamente 2.4 a 4.6 KB, que es la opción predeterminada más común en la actualidad. FIPS 205 (SLH-DSA, anteriormente SPHINCS+) es una firma basada en hash, con la suposición de seguridad más conservadora, pero su tamaño de firma alcanza aproximadamente 7.8 a 50 KB. El FIPS 206 (FN-DSA, anteriormente Falcon), que aún no está finalizado, también se basa en reticulados, y la firma de Falcon-512 es de aproximadamente 0.7 KB, siendo la más compacta de las tres; Hedera prevé que se completará alrededor de principios de 2027 en un análisis realizado en abril de 2026. Como referencia, las firmas Schnorr de Bitcoin y las firmas Ed25519 de Solana solo tienen 64 bytes.

Los estándares publicados por el NIST, fuente: sitio web del NIST

Las guías de transición del NIST establecen que los algoritmos de clave pública vulnerables a ataques cuánticos serán descontinuados en 2030 y prohibidos en 2035. La fecha límite comúnmente mencionada en la industria de "2035" proviene de esto.

Divulgación institucional

A nivel institucional, ya se ha comenzado a incluir el riesgo cuántico en documentos oficiales. BlackRock amplió el 9 de mayo de 2025 los factores de riesgo cuántico en el prospecto del fideicomiso de Bitcoin de iShares (IBIT), y su producto de Ethereum también contiene un lenguaje similar, advirtiendo que la computación cuántica podría hacer que la criptografía de Bitcoin sea ineficaz. VanEck, en el prospecto del ETF de BNB de 2026, también hizo una advertencia similar sobre la BNB Smart Chain. Este tipo de divulgaciones son advertencias de riesgo estándar y no predicciones sobre el futuro, pero indican que la preparación cuántica se ha convertido en parte de la debida diligencia de las instituciones de custodia y los emisores de ETF.

Preparativos de las empresas

Coinbase: estableciendo el tono para toda la industria con un consejo asesor independiente

Coinbase es una de las instituciones más importantes que ha llevado el tema cuántico a la discusión principal en 2026. Su enfoque ha sido invitar a expertos externos a formar un consejo independiente, publicar análisis públicamente y exigir a las diferentes cadenas que se pronuncien lo antes posible.

El Consejo Asesor Independiente de Computación Cuántica y Blockchain de Coinbase se estableció en enero de 2026, y su primer documento se publicó el 21 de abril de 2026, con una extensión de aproximadamente 50 páginas. Sus miembros incluyen a Scott Aaronson, Dan Boneh, Justin Drake, Sreeram Kannan, Yehuda Lindell y Dahlia Malkhi. Boneh y Drake también son coautores del mencionado documento de Google, por lo que las evaluaciones de ambos documentos se complementan.

La evaluación básica del documento es que eventualmente se construirán computadoras cuánticas tolerantes a fallos, y el consejo está altamente seguro de esto, pero también enfatiza que actualmente no existe tal máquina. En cuanto a si aparecerán antes de 2035, el consejo considera que no se puede garantizar que no ocurrirá, por lo que aboga por comenzar a prepararse ahora, en lugar de esperar a que aparezcan señales urgentes. En cuanto a la escala de exposición, el documento estima que aproximadamente 6.9 millones de BTC tienen claves públicas expuestas; el informe posterior publicado en junio desglosó esta cifra, indicando que aproximadamente 1.7 millones se encuentran en unas 20,000 direcciones P2PK antiguas, y alrededor de 5 millones provienen de la reutilización de direcciones, principalmente pertenecientes a usuarios activos, incluidas las billeteras frías de grandes intercambios. El documento también advierte que cambiar a firmas post-cuánticas podría hacer que el tamaño de los bloques aumente hasta 38 veces. A diferencia del documento de Google, el consejo no está tan preocupado por los ataques anticipados antes de la confirmación de transacciones, mientras que la ventana de ataque de 9 minutos presentada por Google convierte este tipo de ataques en un punto de atención real.

La recomendación central para las diferentes cadenas es que tomen decisiones y las anuncien públicamente lo antes posible: ¿qué hacer con los activos que nunca migraron a firmas post-cuánticas? ¿Congelar, revocar o mantener el estado actual? El consejo no toma partido por redes como Bitcoin, pero considera que no pronunciarse es en sí mismo un riesgo.

La importancia de este documento radica en que Coinbase, como empresa cotizada y una de las mayores instituciones de custodia, cumple con su responsabilidad de producto y proporciona un análisis de terceros que puede ser citado, haciendo que la preparación cuántica sea una cuestión que los intercambios, las instituciones de custodia y los emisores de ETF deben abordar. Cabe señalar que este consejo fue financiado por Coinbase, lo que le otorga un peso considerable a sus opiniones, pero los lectores no deben considerarlo como un juicio completamente neutral.

Project Eleven: líder en seguridad cuántica en la industria

Project Eleven es actualmente el proveedor de seguridad más activo en este campo, realizando investigaciones y prototipos, y también desempeñando un papel en llevar el tema a la atención pública. Sus ingresos e influencia dependen en gran medida de la creencia de que la amenaza cuántica se convertirá en una realidad.

En enero de 2026, la empresa completó una ronda de financiamiento Serie A de 20 millones de dólares. Estableció un premio Q-Day de 1 BTC, otorgado a la primera persona que logre romper una clave de curva elíptica utilizando una computadora cuántica. El 24 de abril de 2026, el premio fue otorgado a Giancarlo Lelli, quien rompió una clave de curva elíptica de 15 bits en el hardware cuántico en la nube de IBM. Hay dos puntos que deben aclararse: primero, la clave real de Bitcoin tiene 256 bits de longitud, y la demostración de 15 bits está muy lejos de representar una amenaza real; segundo, los desarrolladores de Bitcoin consideran que este resultado no es significativamente diferente de una conjetura aleatoria, y el anuncio relacionado fue acompañado de una nota de la comunidad.

BTC de riesgo estimado por Project Eleven, fuente: Project Eleven

Project Eleven también ha colaborado con Ripple y Solana en la evaluación de amenazas y el desarrollo de prototipos, por ejemplo, Denis Angell de Ripple trabajó con ellos para completar un prototipo de ML-DSA en la red de prueba AlphaNet de XRPL. Al mismo tiempo, la empresa ha estimado que aproximadamente 7.1 millones de claves públicas de BTC han sido expuestas.

En general, Project Eleven ha proporcionado hitos discutibles públicamente y código de prototipo para que las diversas fundaciones lo prueben; al mismo tiempo, en términos de intereses comerciales, la empresa también tiende a enfatizar la urgencia.

Preparación de las cadenas públicas y el equipo central

El nivel de preparación de cada cadena varía considerablemente. El proyecto de Ethereum está más organizado, Bitcoin es el que más debate genera y menos implementaciones tiene, mientras que Solana ha seleccionado un algoritmo pero no tiene un cronograma. A continuación, se examinan las tres cadenas con mayor capitalización de mercado, antes de discutir otras redes con preparación cuántica relevante.

Bitcoin: hay propuestas, pero no hay camino de activación

Bitcoin no tiene una fundación, cualquier cambio debe ser aprobado a través de propuestas de desarrolladores (BIP) y obtener consenso de la comunidad de mineros y nodos. Actualmente, hay dos propuestas principales relacionadas con lo cuántico, además de un plan de emergencia.

BIP-360 (Pay-to-Merkle-Root, abreviado P2MR) fue redactado por Hunter Beast (MARA), Ethan Heilman e Isabel Foxen Duke, y fue incorporado como borrador en el repositorio oficial de propuestas el 11 de febrero de 2026. Introduce un nuevo tipo de salida similar a Taproot, pero elimina la ruta de gasto directo con la clave, de modo que las monedas no expongan la clave pública durante el tiempo de inactividad, comenzando con direcciones que inician con bc1z. Esta propuesta no tiene la intención de introducir ningún esquema de firma post-cuántica, dejando esa parte para un futuro manejo de bifurcaciones suaves; Heilman ya ha iniciado una discusión sobre la agilidad algorítmica en la lista de correos. BIP-360 tampoco puede defenderse de ataques de adelantamiento antes de la confirmación de transacciones.

BIP-361 (Migración post-cuántica y eliminación de firmas antiguas) fue redactado por Jameson Lopp y otros seis, y fue publicado el 14 de abril de 2026, abogando por la eliminación gradual de firmas antiguas. Aproximadamente tres años después de la activación, se prohibirá enviar nuevos fondos a tipos de direcciones vulnerables; aproximadamente cinco años después, el gasto antiguo de ECDSA y Schnorr quedará obsoleto, los activos correspondientes serán congelados; posteriormente, podría ofrecerse un camino de recuperación basado en pruebas de conocimiento cero. Los críticos han calificado este plan de autoritario, y Lopp ha declarado que no desea que se implemente realmente, y que actualmente no está en una posición adoptable.

En términos simples, BIP-360 solo introduce un nuevo tipo de dirección que oculta la clave pública; no puede proteger las direcciones antiguas que ya han expuesto su clave pública: esas monedas aún dependen de las firmas ECDSA/Schnorr originales, que pueden ser falsificadas por computadoras cuánticas. Lo único que se puede hacer es que antes del Q-Day, los poseedores transfieran sus monedas a nuevas direcciones P2MR, de modo que la clave pública ya no esté expuesta. Las monedas que ya no pueden ser transferidas (como las P2PK de la era de Satoshi) no pueden ser ayudadas por BIP-360, y esa es la razón por la que BIP-361 propone su congelación.

Además, Avihu Levy de StarkWare diseñó Bitcoin Cuánticamente Seguro (QSB), y la primera transacción se registró el 26 de agosto de 2026 a través de MARA Slipstream. Utiliza un pulido de firmas para agregar un bloqueo basado en hash a las transacciones, sin necesidad de bifurcaciones suaves, pero cada transacción cuesta cientos de dólares, y debe ser enviada directamente a los mineros, sin poder ayudar a las claves ya expuestas, considerándose solo como un plan de emergencia.

Incluso si BIP-360 se activa mañana, cada poseedor aún debe transferir sus activos a nuevas direcciones, lo que ocupará años de espacio en bloques, y no tendrá ningún efecto sobre los activos de la era de Satoshi. En otras palabras, si en los próximos cinco años no hay un plan principal consensuado para Bitcoin, habrá un riesgo de que todas las direcciones de la era de Satoshi sean atacadas. En ese momento, podría ser necesaria una bifurcación dura para resolver la división de consenso.

Ethereum: la cadena más organizada entre las grandes, objetivo alrededor de 2029

La Fundación Ethereum ha clasificado la seguridad post-cuántica como una prioridad máxima, con un equipo dedicado, un sitio web específico y pruebas de interoperabilidad semanales. En enero de 2026, la fundación estableció un equipo post-cuántico liderado por Thomas Coratger, y estableció dos premios de criptografía de 1 millón de dólares cada uno; pq.ethereum.org se lanzó el 25 de marzo de 2026; más de diez equipos de clientes ejecutan pruebas de desarrollo de interoperabilidad post-cuántica semanalmente.

Según un desglose de ethereum.org, hay cuatro partes que necesitan actualización: firmas de consenso BLS, compromisos de disponibilidad de datos KZG, firmas de cuentas ECDSA, y el sistema de pruebas de conocimiento cero en el que se basa la red de segunda capa. En la capa de consenso, la solución Lean Ethereum reemplaza las firmas BLS con firmas leanXMSS basadas en hash, y agrega una prueba muy pequeña llamada leanVM que agrega muchas firmas en una prueba de tamaño reducido, para mitigar el problema del tamaño excesivo de las firmas. En la capa de cuentas, EIP-8141 (Frame Transactions), redactado por Vitalik Buterin y otros el 29 de enero de 2026, otorga a las cuentas la capacidad de abstracción nativa, permitiendo que cada cuenta decida cómo verificar las firmas, incluyendo el uso de esquemas post-cuánticos; esta propuesta ha entrado en estado programado para la actualización Hegotá. Mira Belenkiy de Circle también propuso un camino post-cuántico para ecrecover, donde las transacciones de marco llevan firmas post-cuánticas para que los contratos las lean.

EIP-8141, fuente: sitio web de Ethereum

En términos de cronograma, la infraestructura post-cuántica central tiene como objetivo estar lista alrededor de 2029, con algunos informes indicando diciembre de 2029. Las fuentes varían en cuanto al tiempo de la actualización Hegotá: materiales tempranos mencionaban la segunda mitad de 2026, mientras que la declaración de ethereum.org en julio de 2026 se modificó a 2027.

En general, este es el proyecto más avanzado entre las grandes redes. Sin embargo, antes de que EIP-8141 se implemente y las billeteras soporten firmantes post-cuánticos, los poseedores de ETH aún no tendrán opciones nativas post-cuánticas; las cuentas antiguas con claves públicas expuestas enfrentan la misma dificultad que Bitcoin, pero en general, si no ocurre un ataque cuántico de cisne negro, la red de Ethereum actualizada no debería verse afectada por ataques cuánticos.

Solana: algoritmo seleccionado, sin cronograma

La protección de Solana actualmente se limita principalmente a la capa de aplicación. El Vault de Winternitz de Blueshift es un seguro de firma de un solo uso basado en hash, disponible para los usuarios de forma voluntaria desde principios de enero de 2025, perteneciendo a la aplicación y no a la actualización del protocolo.

En la capa del protocolo, la Fundación Solana publicó un plan de preparación el 27 de abril de 2026, revelando que los equipos de clientes Anza y Firedancer habían elegido independientemente Falcon, argumentando que Falcon-512 es el más pequeño en términos de firma entre los esquemas de NIST, y ambos equipos ya tienen implementaciones tempranas. El plan se divide en tres etapas: continuar investigando; si la amenaza se vuelve creíble, primero proporcionar firmas post-cuánticas para nuevas billeteras; luego migrar billeteras existentes. El 8 de octubre de 2026, el vicepresidente técnico Jacob Creech declaró que no se activará el llamado modo búnker ni se realizará una migración a gran escala.

El riesgo de esta postura es que las direcciones de Solana son en sí mismas claves públicas Ed25519 originales, y cada cuenta con fondos está expuesta en estado de inactividad. La estrategia de actuar solo cuando la amenaza sea creíble, en realidad, es una apuesta a que se pueda obtener suficiente tiempo de advertencia.

Al mismo tiempo, Solana anunció una colaboración con Project Eleven en diciembre de 2025, donde Project Eleven realizó una evaluación completa de amenazas cuánticas para Solana, abarcando infraestructura central, billeteras de usuarios, seguridad de validadores y suposiciones criptográficas a largo plazo, y delineó rutas de mitigación y opciones de migración. Además del informe de evaluación, Project Eleven también implementó un sistema de firmas post-cuánticas funcional en la red de prueba de Solana, para demostrar que las transacciones resistentes a lo cuántico son técnicamente viables. El vicepresidente técnico de la Fundación Solana, Matt Sorg, declaró que el objetivo es mantener la seguridad de la red durante las próximas décadas.

Algorand: aunque la cadena está fría, es la más madura en implementación post-cuántica entre las principales cadenas

Algorand ha estado utilizando firmas Falcon para proteger sus State Proofs (pruebas de estado para validación entre cadenas) desde 2022. El 3 de noviembre de 2025, se registró la primera transacción Falcon-1024 en la red principal; en agosto de 2026, a través de la actualización v5.0.0, las cuentas nativas Falcon-1024 se lanzaron en la red principal, con soporte de Pera Wallet, SDK y AlgoKit. Hasta junio de 2026, la red había procesado más de 140,000 transacciones post-cuánticas.

Según la hoja de ruta publicada en junio de 2026, Algorand planea implementar Falcon-512, múltiples firmas post-cuánticas y staking antes de finales de 2026, y lograr una amplia resistencia cuántica antes de finales de 2027. Actualmente, la principal brecha en el núcleo de consenso es que el VRF (función aleatoria verificable) sigue siendo un algoritmo clásico, y Algorand mismo ha declarado que reemplazarlo es el paso más difícil. Su equipo criptográfico incluye a Chris Peikert y Zhenfei Zhang, quien participó en el diseño de Falcon.

XRP Ledger (Ripple): Hoja de ruta de cuatro fases con fecha objetivo para 2028

RippleX de Ayo Akinyele publicó el 20 de abril de 2026 una hoja de ruta dividida en cuatro fases. La primera fase es un plan de recuperación de emergencia para Q-Day; la segunda fase (primer semestre de 2026) prueba el ML-DSA, Denis Angell ha completado un prototipo con Project Eleven en AlphaNet; la tercera fase (segundo semestre de 2026) prueba en la red de desarrollo, incluyendo firmas mixtas; la cuarta fase se lanzará antes de 2028 con enmiendas nativas. XLS-295 (ML-DSA-44) sigue siendo un borrador, sin cambios en la red principal.

La ventaja estructural de XRPL radica en el cambio nativo de claves, los usuarios activos pueden cambiar sus claves sin cambiar de dirección, y el XRP inactivo con claves públicas expuestas representa solo el 0.03%.

Cardano: Aún en fase de investigación

El fundador Hoskinson presentó en febrero de 2026 un plan en tres pasos: primero completar la agenda de investigación (2025 a 2026); luego establecer una cadena de prueba post-cuántica independiente, utilizando certificados Mithril y firmas post-cuánticas para hacer puntos de control del estado histórico; una vez que el hardware acelerado esté maduro, se integrará a la cadena principal. También advirtió que una migración prematura podría reducir la velocidad de la red en aproximadamente 10 veces. En mayo de 2026, mencionó que las soluciones basadas en retículas y FIPS 203 a 206 se han incluido en la hoja de ruta, y se está llevando a cabo una votación de gobernanza sobre un plan cuántico, además de mencionar el proyecto Nightstream en colaboración con Google, Microsoft Research y otros investigadores relacionados. Actualmente no hay trabajos de firma de red de prueba confirmados públicamente.

Sui y Aptos: Mecanismo de cuentas post-cuánticas de participación voluntaria

Sui anunció en agosto de 2026 que las cuentas diarias adoptarán ML-DSA-65, mientras que las bóvedas de alto valor utilizarán SLH-DSA-SHA2-128s en contratos Move. Ambos son habilitados voluntariamente por los usuarios y pueden derivarse de las frases de recuperación existentes, con el objetivo de certificación de la red principal para el primer trimestre de 2027.

La idea de Sui es "dos cerraduras, dos riesgos". Estas dos soluciones provienen de diferentes familias matemáticas: ML-DSA-65 pertenece al estándar FIPS 204 basado en retículas, con un nivel de seguridad de nivel 3 de NIST, utilizado para cuentas diarias; SLH-DSA-SHA2-128s pertenece al estándar FIPS 205 basado en hash, con un nivel de seguridad de nivel 1, utilizado para bóvedas de alto valor. Colocar el segundo en contratos Move en lugar del núcleo del protocolo permite a Sui mantenerse al día con los estándares adoptados por la industria sin necesidad de actualizar el protocolo central, y también significa que en caso de que la criptografía de retículas sea comprometida, la ruta basada en hash no se verá afectada.

El AIP-137 de Aptos fue publicado por el responsable de criptografía Alin Tomescu el 18 de diciembre de 2025, añadiendo SLH-DSA-SHA2-128s como un tipo de cuenta opcional, valorando su suposición de seguridad conservadora que solo depende de hash. Esta propuesta necesita aprobación de gobernanza para ser activada, y no obliga a los usuarios a migrar.

NEAR: Cuentas post-cuánticas ya en línea en la red principal

NEAR lanzó el 20 de julio de 2026 el Protocol 2.13, incorporando oficialmente la firma ML-DSA en la red principal, con un nivel específico reportado por los medios de comunicación de ML-DSA-65. Esto convierte a NEAR en la tercera cadena pública que permite a los usuarios comunes mantener cuentas post-cuánticas en la red principal, siendo una de las pocas grandes redes mencionadas en este informe que ya ha entregado capacidades post-cuánticas a los usuarios.

En términos de mecanismo, los usuarios solo necesitan enviar una transacción en la cadena para cambiar la clave de su cuenta a una clave post-cuántica, sin necesidad de crear una nueva cuenta ni mover activos a una nueva dirección. Las cuentas también pueden mantener simultáneamente múltiples esquemas de firma, lo que significa que las nuevas y viejas claves pueden coexistir. Para los usuarios comunes, el beneficio de este diseño es el bajo costo de migración: no se necesita bifurcar toda la red al mismo tiempo, ni esperar nuevos tipos de direcciones y años de transferencia de activos como en Bitcoin, cada usuario puede cambiar a su propio ritmo. Esto es precisamente la ventaja estructural que ofrece la "abstracción de cuentas" mencionada anteriormente, concretamente en NEAR.

En cuanto a la forma de avanzar, Near One colabora con Ledger, lo que significa que las claves post-cuánticas podrían ser custodiadas por dispositivos de hardware; Meteor Wallet ya ofrece soporte.

Este conjunto de soluciones aún tiene algunas limitaciones. Primero, es de participación voluntaria: las cuentas que aún no han cambiado siguen utilizando la firma Ed25519 original, cuya clave pública ya está expuesta en la cadena, y seguirá expuesta cuando aparezcan grandes computadoras cuánticas. En segundo lugar, el costo de tamaño: la firma de ML-DSA es de aproximadamente 2.4 a 4.6 KB, mientras que Ed25519 solo tiene 64 bytes, lo que hará que las transacciones sean significativamente más grandes, y no se encontraron datos públicos de NEAR sobre el impacto específico en el rendimiento de la red y los costos en este estudio. Por último, y lo más crítico, las firmas utilizadas para alcanzar consenso entre los validadores siguen siendo algoritmos clásicos, y el objetivo del consenso post-cuántico es para el segundo semestre de 2027 (con algunas fuentes indicando como fecha límite el 31 de diciembre de 2027), antes de eso, la protección a nivel de red no será completa.

En general, en términos de usabilidad a nivel de usuario, NEAR está por delante de la mayoría de las grandes redes; pero la seguridad general depende en última instancia de dos variables: cuántos usuarios realmente completaron la migración y cuándo se completará la actualización del consenso de los validadores.

Hedera: Hoja de ruta oficial, aún sin firma post-cuántica

El hash (SHA-384) y la criptografía (AES-256) de Hedera ya cumplen con los requisitos post-cuánticos, lo que falta son las firmas. Leemon Baird, Rohit Sinha y Ed Marquez propusieron en el blog oficial de abril de 2026: adoptar FN-DSA (Falcon) una vez que se finalice el FIPS 206; primero implementar TLS post-cuántico entre nodos, luego expandirlo a clientes; los eventos de consenso utilizarán firmas híbridas de Ed25519 más Falcon; y lanzar tipos de claves de usuario post-cuánticas alrededor de 2027. Actualmente no se ha publicado el número correspondiente de HIP.

La hoja de ruta se divide en cuatro pasos en orden de facilidad a dificultad: primero actualizar el TLS entre nodos a un esquema post-cuántico o híbrido, luego actualizar el TLS de conexión del cliente, después utilizar firmas híbridas de Ed25519 más FN-DSA en eventos de consenso, y finalmente lanzar nuevos tipos de claves de usuario. Colocar el TLS al principio es porque se puede completar principalmente actualizando bibliotecas de software, y Chrome ya ha habilitado por defecto el intercambio de claves híbridas X25519 más ML-KEM-768 desde abril de 2024; al mismo tiempo, Hedera señala que la seguridad de su red no depende de TLS, ya que el consenso de hash gráfico proporciona garantías de integridad independientes de la capa de transporte.

El costo también es un problema de tamaño. Según la interpretación de terceros de la hoja de ruta de Hedera, la firma de FN-DSA es de aproximadamente 1,280 bytes, alrededor de 20 veces más que Ed25519; si se utiliza ML-DSA-87, la firma sería de 4,627 bytes, lo que supera las 70 veces. Baird mencionó en 2022 que las transacciones de Hedera suelen tener solo entre 100 y 200 bytes, cambiar a Falcon haría que la firma alcanzara aproximadamente 1,300 bytes, lo que él considera un costo que hay que asumir.

Stellar: Plan por fases, votación del protocolo pendiente

La Fundación de Desarrollo de Stellar publicó el 9 de junio de 2026 un plan de preparación cuántica: en 2026 se proporcionará la verificación de ML-DSA-44/65 en forma de función anfitriona de Soroban, y antes de finales de 2027 se lanzará un tipo de firmante post-cuántico a nivel de protocolo. Según los medios de comunicación, la actualización del Protocol 30 (Bell) incluye CAP-87 (ML-DSA en Stellar Core), y la votación de los validadores está programada para el 23 de noviembre de 2026.

La ventaja estructural de Stellar radica en que la identidad de la cuenta y la clave de firma están separadas: los usuarios pueden agregar un firmante post-cuántico a la cuenta y luego eliminar la clave Ed25519 antigua, sin necesidad de transferir saldos o actualizar todos los sistemas relacionados. Sin embargo, cada dirección de Stellar (incluidas las cuentas inactivas que nunca han firmado) ya tiene su clave pública expuesta, lo que hace que las cuentas inactivas sean la parte más difícil, y la fundación abrirá una discusión comunitaria al respecto.

El contenido por fases es: la primera fase (2026) consiste en agregar funciones nativas de anfitrión a Soroban, apoyando la verificación de ML-DSA-44 y ML-DSA-65, permitiendo que las cuentas de contrato logren autenticación post-cuántica mediante la abstracción de cuentas de Soroban, las cuentas clásicas no requieren cambios a nivel de protocolo, las billeteras empresariales podrán migrar en 2026, y luego se agregarán FN-DSA y soporte HSM según la finalización de los estándares.

La segunda fase (2027) es la consolidación a nivel de protocolo y migración voluntaria, permitiendo a las cuentas comunes agregar firmantes post-cuánticos a través de la operación set_options existente, las billeteras, SDK y proveedores de servicios ancla deberán actualizarse, con el objetivo de que para finales de 2027 cada cuenta tenga esta capacidad. El plan se divide en tres fases, y no encontré detalles verificables de la tercera fase. Además, las aplicaciones de conocimiento cero que dependen de tecnologías como el emparejamiento también tienen brechas, y la fundación planea reunir a los equipos que trabajan en aplicaciones de conocimiento cero en Stellar para abordar esto. La fundación también mencionó que el hash SHA-256 utilizado por Stellar ha sido considerado seguro post-cuántico, y los poseedores de XLM no necesitan tomar ninguna acción en este momento, citando el CNSA 2.0 de EE. UU. y el DORA de la UE como contexto regulatorio.

Starknet: Enfoque en lo post-cuántico, parte ya entregada

La arquitectura de Starknet trae ventajas naturales: las pruebas STARK dependen de funciones hash, y cada cuenta es un contrato inteligente que puede cambiar su esquema de firma. Las cuentas post-cuánticas basadas en Falcon ya están en línea en la red principal (implementadas por S2morrow utilizando Falcon-512 en Cairo), pero esta implementación aún no ha sido auditada.

La hoja de ruta publicada en junio de 2026 se divide en tres fases. La primera fase reemplaza los compromisos de estado, la derivación de direcciones y la configuración que aún dependen de funciones hash de curvas elípticas, que ya se han entregado parcialmente; la segunda fase extiende esta protección a los contratos existentes; la tercera fase seguirá a Ethereum, ya que los puentes y la disponibilidad de datos aún heredan la criptografía de curvas elípticas de Ethereum L1.

Mientras tanto, la comunidad de Starknet llevó a cabo una votación no vinculante de Snapshot del 15 al 22 de octubre de 2026, aprobando con un 93.52% de apoyo la propuesta de migrar a un L1 cuántico independiente, con aproximadamente 3,236 votos que representan alrededor de 489 millones de STRK. El objetivo del CEO Eli Ben-Sasson es lograr una resistencia cuántica completa para 2027, con un libro blanco previsto para ser publicado en noviembre. Las críticas argumentan que separarse de Ethereum significa renunciar a la seguridad económica de Ethereum, dependiendo en su lugar de un mecanismo de staking propio de Starknet que aún no está maduro, el cual se encuentra en la segunda de cuatro fases, y los validadores aún no han comenzado a producir bloques.

Zcash: Primero garantizar la "recuperabilidad", luego actualizar

El principal riesgo de Zcash no es el robo, sino la posible destrucción retroactiva de la privacidad: los futuros ordenadores cuánticos podrían volver a asociar las transacciones anónimas en la cadena de hoy.

ZIP 2005 cambió la forma en que se construyen los recibos, de modo que si es necesario congelar el fondo de Orchard, los fondos pueden ser recuperados en el protocolo post-cuántico gracias a STARK. En la votación de NU7, la propuesta recibió el apoyo del 90.5% de ZCAP y del 94.6% de los tenedores de monedas (febrero de 2026), y la versión candidata se lanzó en la red de pruebas el 22 de mayo de 2026. Los siguientes pasos son introducir primero el intercambio de claves ML-KEM junto con Tachyon, y luego construir un fondo completamente post-cuántico, con el objetivo del CEO de ZODL de hacerlo en un plazo de 12 a 18 meses a partir de mayo de 2026.