Чи може квантове обчислення зламати біткойн? Все, що потрібно знати про Q-Day та найнебезпечніші гаманці

Q-Day наближається, але ще не настав.

Автор: Джейсон Нельсон

Переклад: Байтова блокчейн

Сьогодні квантові комп'ютери не можуть зламати криптосистему біткойна, але останні досягнення Google та IBM свідчать про те, що розрив між ними, можливо, скорочується швидше, ніж очікувалося.

З розвитком систем квантового обчислення з помилками, важливість «Q-Day» швидко зростає. Q-Day – це момент, коли достатньо потужна машина зможе зламати старі адреси біткойна, піддаючи ризику понад 452 мільярди доларів у вразливих гаманцях.

Протягом тривалого часу Q-Day вважався віддаленою загрозою на горизонті. Але в березні 2026 року публікація Google зробила це питання терміновим. У документі стверджується, що час, коли квантові комп'ютери зможуть зламати криптосистеми, може настати раніше, ніж очікувалося.

Оновлення біткойна до «постквантового» стану займе багато років, що означає, що відповідні роботи повинні розпочатися задовго до того, як справжня загроза настане. Проблема в тому, що експерти вказують на те, що ніхто не знає, коли саме настане цей день, і спільнота досі не може дійти згоди щодо того, «як саме рухатися вперед».

Ця невизначеність викликає тривогу: квантовий комп'ютер, здатний атакувати біткойн, можливо, з'явиться раніше, ніж мережа буде готова.

У цій статті розглядаються квантові загрози, з якими стикається біткойн, а також зміни, які потрібно внести, щоб ця провідна блокчейн-технологія була справді готова.

Як відбувається квантова атака

Успішна квантова атака на перший погляд може не виглядати драматично. Злодій з квантовими можливостями спочатку просканує всю блокчейн-мережу, шукаючи будь-які адреси, які колись розкривали публічний ключ. Старі гаманці, повторно використовувані адреси, ранні видобутки та багато довготривалих сплячих рахунків підпадають під цю категорію.

У так званій атаці «збирай зараз, розшифровуй пізніше» (harvest now, decrypt later) зловмисник копіює цільовий публічний ключ і вводить його в квантовий комп'ютер, використовуючи алгоритм Шора для розв'язання. Цей алгоритм, запропонований математиком Пітером Шором у 1994 році, дозволяє квантовим машинам виконувати факторизацію великих чисел з набагато вищою ефективністю, ніж класичні комп'ютери, а також розв'язувати задачі дискретного логарифму. Механізм підпису біткойна на основі еліптичних кривих ґрунтується на тому, що ці задачі достатньо складні для розв'язання. Як тільки буде достатньо коригованих квантових бітів, квантовий комп'ютер може використати алгоритм Шора, щоб відновити відповідний приватний ключ з уже розкритого публічного ключа.

Дослідник Andreessen Horowitz, доцент Джорджтаунського університету Джастін Тейлер сказав Decrypt, що як тільки приватний ключ буде відновлено, зловмисник зможе безпосередньо перевести ці монети.

Тейлер зазначив: «Квантові комп'ютери можуть це зробити, і саме в цьому полягає зв'язок з біткойном: вони можуть підробляти цифрові підписи, які використовуються сьогодні в біткойні. Той, хто має квантовий комп'ютер, може ініціювати транзакцію, яка переведе всі біткойни з вашого рахунку без вашого дозволу — як би ви це не розуміли. Це справді те, що викликає занепокоєння».

Ця підробка підпису виглядатиме «справжньою» для мережі біткойн. Вузли приймуть її, майнери внесуть її до блоку, а сама ланцюг не залишить жодних «підозрілих» позначок для цієї транзакції. Якщо зловмисник одночасно вразить велику кількість вже розкритих адрес, то десятки мільярдів доларів можуть бути переведені за кілька хвилин. Ринок може навіть відреагувати різко, ще до того, як хтось підтвердить, що «квантова атака відбувається».

З посиленням занепокоєння щодо Q-Day Coinbase у січні 2026 року створила незалежну консультативну раду, яка спеціально зосередилася на питаннях квантового обчислення та безпеки блокчейну.

У березні 2026 року дослідження Caltech і Google ще більше підкреслило, що майбутні квантові комп'ютери можуть потребувати менше квантових бітів і кроків обчислення для зламу криптографії на основі еліптичних кривих, ніж раніше оцінювалося.

Ці документи викликали сильний резонанс у криптоспільноті. Дослідник безпеки біткойна Джастін Дрейк написав у X, що до 2032 року ймовірність відновлення приватного ключа секп256к1 ECDSA з одного розкритого публічного ключа становитиме щонайменше 10%.

Його основна оцінка полягала в тому, що сьогодні є знаковий момент для квантового обчислення та криптографії; дві проривні статті щойно з'явилися; обидві покращили алгоритм Шора, який «знаменитий» тим, що може зламати RSA та криптографію на основі еліптичних кривих, і обидва досягнення оптимізували різні рівні, що в сукупності підвищить ефективність атак.

У квітні 2026 року італійський дослідник Джанкарло Леллі використав відкритий квантовий комп'ютер, щоб зламати спрощений ключ криптографії на основі еліптичних кривих. У травні 2026 року Міністерство торгівлі США оголосило про інвестиції в розробку квантових технологій у розмірі 2 мільярдів доларів.

У червні 2026 року Франція оголосила про припинення сертифікації технологій, які «не вважаються квантово-безпечними», ставши одним з перших урядів, які офіційно пов'язали сертифікацію безпеки з вимогами до постквантової криптографії. Пізніше того ж місяця президент США Дональд Трамп підписав два укази, спрямовані на розширення квантових можливостей США та прискорення переходу до системи криптографії, стійкої до квантових загроз.

На якому етапі розвиток квантового обчислення

До 2025 року квантове обчислення нарешті почало виглядати не лише теоретично, а й поступово переходити до практичного використання.

Січень 2025 року: Квантовий чіп Willow з 105 квантовими бітами від Google показав значне зниження помилок і досяг результатів тестування, що перевищують класичні суперкомп'ютери.

Лютий 2025 року: Microsoft запустила платформу Majorana 1 і разом з Atom Computing повідомила про рекордні результати заплутування логічних квантових бітів.

Квітень 2025 року: Національний інститут стандартів і технологій США (NIST) подовжив час когерентності надпровідних квантових бітів до 0,6 мілісекунди.

Червень 2025 року: IBM поставила мету: до 2029 року досягти 200 логічних квантових бітів і на початку 2030-х років перевищити 1000.

Вересень 2025 року: Caltech представила квантовий комп'ютер на основі нейтральних атомів, який може працювати з 6100 квантовими бітами з точністю 99,98%.

Жовтень 2025 року: IBM досягла заплутування 120 квантових бітів; Google підтвердила перевірене квантове прискорення.

Листопад 2025 року: IBM випустила новий чіп і програмне забезпечення, з метою досягти квантової переваги в 2026 році та створити систему з помилками до 2029 року.

Січень 2026 року: Coinbase створила незалежну консультативну раду, зосереджену на квантовому обчисленні та безпеці блокчейну.

Березень 2026 року: Публікація Caltech і Google показала, що загроза квантових комп'ютерів для криптосистеми біткойна може настати раніше, ніж очікувалося; один з дослідників безпеки біткойна дав оцінку «10% ймовірності відновлення приватного ключа до 2032 року». Google також встановила термін для «підготовки до квантових загроз» на 2029 рік.

Квітень 2026 року: Італійський дослідник Джанкарло Леллі зламав спрощений ключ криптографії на основі еліптичних кривих за допомогою відкритого квантового комп'ютера.

Травень 2026 року: Міністерство торгівлі США оголосило про інвестиції в розробку квантових технологій у розмірі 2 мільярдів доларів.

Червень 2026 року: Дональд Трамп підписав два укази, що сприяють розширенню квантових можливостей США та прискоренню переходу до системи криптографії, стійкої до квантових загроз.

Президент BTQ Technologies Крістофер Там зазначив, що хоча уряд США вимагає від федеральних установ перенести цінні активи до постквантової криптографії до 2031 року, темп, з яким просувається галузь, і ризики, пов'язані з квантовими обчисленнями, роблять цей графік занадто повільним.

Там сказав Decrypt: «Якби це було моє рішення, я б зробив це більш терміновим. Федеральний уряд, здається, відстає на два роки від галузі, що виглядає дивно».

Чому біткойн стає вразливим

Підписи біткойна використовують криптографію на основі еліптичних кривих. Коли адреса здійснює витрату, її публічний ключ стає видимим, і це розкриття є постійним. У ранньому форматі біткойна pay-to-public-key багато адрес навіть до першої витрати вже розкрили свої публічні ключі на ланцюгу. Пізніший формат pay-to-public-key-hash приховав публічний ключ до моменту першого використання.

Оскільки публічні ключі найстаріших монет ніколи не були приховані, вони — включаючи близько 1 мільйона біткойнів епохи Сатоші — будуть під загрозою майбутніх квантових атак. Тейлер зазначив, що перехід до системи цифрових підписів, стійких до квантових загроз, вимагатиме активної участі власників монет.

Він сказав: «Якщо Сатоші хоче захистити свої монети, він повинен перевести їх у нові гаманці, які мають постквантову безпеку. Найбільша тривога полягає в тих покинутих монетах, вартість яких становить близько 180 мільярдів доларів, з яких близько 100 мільярдів доларів вважаються належними Сатоші. Це величезний обсяг, але вони залишаються в забутті, і це справжній ризик».

Ризик також походить від біткойнів, приватні ключі яких вже втрачені. Багато з цих монет не рухалися протягом більше десяти років, і без приватного ключа їх ніколи не можна буде перенести до гаманців, стійких до квантових загроз, тому вони природно стануть потенційними цілями для майбутніх квантових комп'ютерів.

Ніхто не може безпосередньо «заморозити» біткойни в ланцюзі. Тому реальні заходи захисту від майбутніх квантових загроз зосереджуються на: перенесенні вразливих активів, використанні адрес, стійких до квантових загроз, або управлінні вже відомими ризиками.

Однак Тейлер також попереджає, що постквантова криптографія та системи цифрових підписів можуть мати значні витрати на продуктивність, оскільки їх обсяг значно перевищує сьогоднішні легкі 64-байтові підписи, а також споживають більше ресурсів.

Він сказав: «Сьогоднішні цифрові підписи мають обсяг близько 64 байтів, тоді як постквантові версії можуть бути в 10-100 разів більшими. У блокчейні це збільшення обсягу буде більшою проблемою, оскільки кожен вузол повинен постійно зберігати ці підписи. Управління цими витратами, тобто обсягом даних, тут значно складніше, ніж в інших системах».

Можливі шляхи захисту

Розробники вже запропонували кілька пропозицій щодо вдосконалення біткойна (BIP), намагаючись підготуватися до майбутніх квантових атак. Вони мають різні шляхи: деякі є легкими, необов'язковими заходами захисту; інші наближаються до повної міграції мережі.

BIP-360 (P2QRH): створення нових адрес «bc1r...», які поєднують сьогоднішні підписи на основі еліптичних кривих з постквантовими схемами, такими як ML-DSA, SLH-DSA. Це забезпечує змішану безпеку без жорсткого хардфорку, але більші підписи також означають вищі комісії.

BIP-361: ця пропозиція поступово відмовляється від існуючих підписних схем мережі та заморожує монети, які не змогли перейти на адреси, стійкі до квантових загроз.

Quantum-Safe Taproot: додавання прихованого постквантового гілки в Taproot. Якщо квантова атака стане реальністю, майнери можуть вимагати активації цієї постквантової гілки через м'який хардфорк, а до цього часу користувачі можуть продовжувати використовувати її звичайно.

Протокол міграції адрес, стійких до квантових загроз (QRAMP): це набір обов'язкових міграційних схем, які мають на меті перенести вразливі UTXO на адреси, стійкі до квантових загроз, ймовірно, через жорсткий хардфорк.

Pay to Taproot Hash (P2TRH): заміна видимого публічного ключа Taproot версією з подвійним хешуванням, що скорочує вікно розкриття публічного ключа без введення нової криптографії та без порушення сумісності.

Неперервна компресія транзакцій (NTC), реалізована через STARK: використання нульових знань для компресії великих постквантових підписів до одного доказу на блок, що знижує витрати на зберігання та комісії.

Схеми комітменту-розкриття: залежать від хеш-комітментів, які були опубліковані до появи квантової загрози; допоміжні UTXO супроводжуються малими постквантовими виходами для захисту витрат; «отруйні транзакції» дозволяють користувачам заздалегідь опублікувати шляхи відновлення; варіанти, подібні до Fawkescoin, залишатимуться в сплячому стані, поки не буде доведено, що квантові комп'ютери доступні.

В цілому ці пропозиції окреслюють поетапний шлях до квантової безпеки: спочатку впровадження таких швидких рішень, як P2TRH, які мають менший вплив, а потім, у міру зростання ризику, просування важчих оновлень, таких як BIP-360 або компресія на основі STARK. Проблема в тому, що всі рішення потребують широкої координації, і багато форматів адрес та механізмів підпису, стійких до квантових загроз, все ще перебувають на ранніх стадіях обговорення.

Тейлер зазначає, що децентралізація біткойна є його найбільшою перевагою, але це також ускладнює значні оновлення, оскільки будь-яка нова схема підпису потребує широкої згоди з боку майнерів, розробників та користувачів.

Він сказав: «У біткойна є дві особливі проблеми. По-перше, оновлення завжди повільні, і навіть можуть зовсім не відбутися. По-друге, це покинуті монети. Будь-яке рішення про міграцію до підписів, стійких до квантових загроз, повинно залежати від активних дій власників, а власники старих гаманців давно зникли. Спільнота повинна вирішити, що з ними робити: або погодитися вивести їх з обігу, або нічого не робити, дозволяючи зловмисникам з квантовими можливостями забрати їх. Останнє буде в юридичній сірій зоні, і ті, хто справді забере ці монети, напевно, не будуть цим перейматися».

Для більшості власників біткойнів наразі не потрібно терміново вживати заходів. Але деякі прості звички вже можуть значно знизити довгострокові ризики, наприклад: уникати повторного використання адрес, щоб ваш публічний ключ залишався прихованим до моменту фактичного витрачання; також намагайтеся використовувати сучасні формати гаманців.

Сьогоднішні квантові комп'ютери ще далекі від того, щоб зламати біткойн, і прогнози щодо того, коли це може статися, сильно варіюються. Деякі дослідники вважають, що загроза може з'явитися протягом наступних п'яти років, інші відсувають терміни до 2030-х років; але постійні інвестиції дійсно можуть прискорити графік.