Preguntamos a nuestros lectores por correo si la computación cuántica podría romper Bitcoin para 2035. La semana pasada, el 28 de julio, un modelo de IA aún no publicado descubrió una vulnerabilidad en un esquema de firma poscuántica que dos años de revisión manual no habían detectado. Y no se utilizó una computadora cuántica. Este informe examina qué parte de Bitcoin está realmente en riesgo para $BTC y por qué los eventos de la semana pasada añaden una dimensión completamente nueva a la línea de tiempo de la computación cuántica.
Dónde se situaron nuestros lectores
Si sumamos a quienes respondieron "sí, probablemente suceda" al grupo "antes de 2030", resulta que el 47% de los lectores ven potencial para un ataque cuántico a Bitcoin en los próximos nueve años. Hasta la fecha, la clave de curva elíptica más grande rota con hardware cuántico real es de 15 bits, lograda en abril de este año por un investigador que compite por el premio Q-Day del Proyecto Once. En comparación, las claves de Bitcoin son de 256 bits, y avanzar bit a bit en nueve años requeriría innovaciones de ingeniería increíbles. Aproximadamente un tercio de esta audiencia ve actualmente esto como una posibilidad real.
¿Qué parte de $BTC está realmente en riesgo?
Antes de entrar en una discusión detallada de los resultados de la encuesta, es importante aclarar que Bitcoin no cifra nada. No se cifra ningún mensaje secreto, y cada transacción en la red siempre ha sido pública desde su creación. Bitcoin solo realiza firma y hashing. Dos tareas diferentes, dos operaciones matemáticas diferentes, dos líneas de tiempo cuánticas completamente distintas.
La parte responsable de la firma es la vulnerable. Cuando gastas Bitcoin, tu billetera genera una firma que demuestra tu propiedad de las monedas, y esto se hace usando criptografía de curva elíptica llamada secp256k1. A lo largo de los años, Bitcoin ha utilizado dos métodos de firma: ECDSA desde el principio y Schnorr desde 2021. La seguridad de ambos se basa en una suposición: es imposible derivar la clave privada a partir de la clave pública.
Aquí es donde entra en juego el algoritmo de Shor, que apunta a esa suposición. Con una computadora cuántica lo suficientemente grande, podría funcionar al revés, desde la clave pública hasta la clave privada que la generó. En marzo de este año, investigadores de Google publicaron estimaciones que sugieren que esto requiere menos de 1200 qubits lógicos y menos de 500,000 qubits físicos. En un artículo posterior de Caltech y la compañía Oratomic, ese número se redujo a 10,000 qubits usando una arquitectura basada en átomos neutros. Nadie ha construido nada parecido todavía. Pero antes estas cifras estaban en los millones, y es la dirección de la tendencia lo que hace que Bitcoin haya dejado de ver esto como un problema de la década de 2040.
El hashing está en una posición mucho mejor. Bitcoin usa SHA-256 para la minería, generación de direcciones y enlazado de bloques. El mejor ataque cuántico contra él es el algoritmo de Grover, que solo proporciona una aceleración cuadrática. En la práctica, esto reduce la seguridad de un código de 256 bits a algo parecido a uno de 128 bits, lo que sigue siendo inalcanzable para cualquier máquina que alguien haya diseñado siquiera en papel. La minería no es el punto débil aquí, ni tampoco la estructura de la cadena de bloques.
Por lo tanto, la formulación exacta de la pregunta es más estrecha que "la tecnología cuántica rompe Bitcoin". Lo que está en riesgo son las monedas cuyas claves públicas ya están en la cadena de bloques a la vista de todos. Esto ocurre cuando los fondos en una dirección ya se han gastado antes, o cuando los fondos se almacenan en formatos de dirección antiguos que revelan la clave por defecto. La estimación actual es de entre 6.5 y 6.9 millones de $BTC, aproximadamente entre un cuarto y un tercio de la oferta total, y esa cifra incluye alrededor de 1.7 millones de monedas en direcciones tempranas que se cree ampliamente que pertenecieron a Satoshi.
Las monedas almacenadas en direcciones modernas y nunca usadas en una transacción no revelan su clave pública en absoluto. En el caso de esas monedas, un atacante cuántico solo tendría una oportunidad de acceder a la clave durante unos minutos mientras la transacción está en el mempool esperando confirmación. Aun así, es un problema que vale la pena resolver. Y es mucho menor de lo que sugiere la cifra declarada.
La respuesta de Bitcoin al problema cuántico
El 11 de febrero de 2026, el BIP-360 fue incluido en los BIPs oficiales de Bitcoin, convirtiéndose en la primera propuesta formal de la red para la resistencia cuántica en alcanzar ese nivel. Introduce un nuevo tipo de salida llamado Pago-a-Raíz-Merkle, o P2MR, de los autores Hunter Beast, Ethan Heilman e Isabelle Fokken Dyke.
P2MR es esencialmente Taproot, pero sin gastar a través de la ruta de la clave. Taproot ancla las transacciones tanto en una clave pública interna como en una raíz de Merkle compuesta de scripts, lo que significa que la clave siempre se puede derivar de lo que está en la cadena de bloques. P2MR ancla las transacciones solo en la raíz de Merkle. La clave pública no se revela hasta que realmente gastas los fondos, e incluso entonces solo se revela la clave final que usaste. Esto cierra la vulnerabilidad de la divulgación prolongada.
El 14 de abril llegó una propuesta complementaria, BIP-361, que presenta un plan de tres fases para eliminar por completo ECDSA y gastar solo con Schnorr. Es esta la que es controvertida, ya que la tercera fase esencialmente congela monedas que nunca serán trasladadas.
Esto es en lo que hay que fijarse. Según la estimación del propio Heilman, desde la formación del consenso hasta la resistencia cuántica completa pasarán siete años, y él lo califica de optimista. Dos años y medio para revisión y pruebas. Medio año para la activación. Luego otros cinco años antes de que aproximadamente el 90% de las billeteras, custodios, nodos Lightning y software del tesoro se actualicen realmente. Es notable que BIP-360 no incluya en absoluto firmas poscuánticas. Fueron eliminadas en julio de 2025 y pospuestas para una propuesta futura. El esquema que Bitcoin adopte eventualmente probablemente será ML-DSA o SLH-DSA, algoritmos que el NIST ya ha finalizado.
Y así llegamos a los eventos de la semana pasada.
Un esquema poscuántico falló, y no se usó una computadora cuántica
El 28 de julio, el equipo Frontier Red Team de Anthropic publicó los resultados de una investigación con el modelo Claude Mythos Preview, que no está disponible públicamente. Operando en modo semiautónomo en un entorno de agente, descubrió un ataque previamente desconocido contra HAWK, uno de los nueve finalistas de la competencia adicional del NIST para firmas poscuánticas y el único esquema basado en retículos que avanzó a la tercera ronda en mayo.
El ataque utilizó una simetría en la estructura reticular de HAWK que nadie había aplicado antes. Para el conjunto de parámetros HAWK-256, el número estimado de operaciones para recuperar la clave se redujo de aproximadamente 2^64 a 2^38. En términos simples, es la diferencia entre afirmaciones de "ningún atacante en el mundo lo haría" y "un equipo bien financiado bien podría intentarlo".
Ahora, los detalles que hacen que esto sea incómodo. HAWK ya había pasado dos rondas de revisión por pares humanos durante dos años. El modelo descubrió la vulnerabilidad en unas 60 horas, gastando alrededor de $100,000 en API. El investigador principal del proyecto tenía una formación teórica en ciencias de la computación y no era un especialista en criptografía reticular.
Sophie Schmieg, criptógrafa poscuántica de Google, lo resumió en cinco palabras: "Esencialmente, con este artículo, HAWK está muerto". Al día siguiente, el equipo de HAWK retiró el esquema de la consideración del NIST, señalando que correcciones obvias como duplicar los parámetros o cambiar a módulos de rango superior lo harían no competitivo frente a las alternativas.
Las computadoras cuánticas no estuvieron involucradas en ninguna etapa. El problema fue con la criptografía poscuántica, que fue rota en un largo fin de semana por un modelo clásico de inteligencia artificial.
Lo que realmente mostró la encuesta
Cada opción de nuestra encuesta hacía la misma pregunta central: ¿cuándo llegará el hardware cuántico? Las opiniones de los lectores estaban casi divididas por la mitad, y el pronóstico del 47% dentro de nueve años es completamente razonable dado cómo han cambiado las estimaciones de qubits este año.
Sin embargo, los resultados del estudio de HAWK sugieren que el cronograma de desarrollo del hardware puede no ser el factor limitante. El 33% que votó por las opciones "no tan pronto" o "solo después de 2050" estaba apostando por la ingeniería cuántica, y bien podrían tener razón. Esa apuesta no los protege de un ataque clásico de IA contra el algoritmo de reemplazo.
El 20% que respondió "no tengo idea" merece algo de crédito aquí. En una audiencia que sigue esto de cerca, que uno de cada cinco se niegue a adivinar no es apatía. Es más bien una evaluación precisa de cuántos factores desconocidos se acumulan: progreso en el desarrollo del hardware, selección de algoritmos, cronogramas de consenso, y ahora criptoanálisis con IA que evoluciona más rápido que el proceso de verificación creado para detectarlo.
