Квантовая угроза биткоину: Google сократил ошибки в 40 раз, девять компаний создали альянс, 6 млн BTC под риском

За одну неделю квантовая угроза перешла из докладов на конференциях в рабочую повестку. 13 октября Coinbase, у которой в кастоди около 5% всех монет, опубликовала документ с призывом начать миграцию уже сейчас. 15 октября Google сообщил в журнале Science, что метод культивации магических состояний сократил ключевой класс ошибок на чипе Willow примерно в 40 раз. В тот же день девять криптокомпаний объявили о создании Quantum Alliance, органа стандартизации, который должен определить, что вообще значит «квантово устойчивый». Тем временем Glassnode насчитал 6,26 млн BTC, 31,2% предложения, на адресах, публичный ключ которых уже виден в блокчейне. Ничего из этого не означает, что квантовый компьютер способен забрать монеты сегодня. Это означает, что отрасль перестала считать вопрос фантастикой. Разбираем, что изменилось, что измеряют цифры и что держатель биткоина может сделать, не дожидаясь обновления протокола.

Что сделал Google 15 октября

Главная новость из области квантовых вычислений касается не взлома, а коррекции ошибок. Квантовому компьютеру нужны операции двух типов: простые защищаются стандартной коррекцией, а сложные расходуют ресурс, который физики называют магическими состояниями, одноразовые ингредиенты, которые нужно изготовить чистыми перед каждой операцией. Их производство остаётся самой дорогой частью машины: по оценкам Google, подготовка может съедать до 95% вычислительной мощности. В 2024 году исследователи квантовой лаборатории Google предложили вместо дистилляции культивацию: грубое состояние впрыскивается в крошечный участок чипа, проходит цепочку проверок, попытки с дефектом отбрасываются, выжившие растут дальше.

Октябрьская статья в Science показывает этот фильтр на реальном железе. На Willow он выдал T-состояния с логической точностью 99,99% и примерно в 40 раз меньшим числом ошибок, чем без культивации; проверки прошли лишь около 8% попыток, то есть чип выбрасывает больше девяти из десяти заходов ради одного.

Чем это не является: атакой на что-либо. В эксперименте участвовали максимум 54 кубита из 105. Для взлома RSA-2048 нужны состояния с частотой ошибок порядка одной на десять миллиардов. Культивация входит в число приёмов, на которых держится оценка Крейга Гидни 2025 года, что RSA-2048 может пасть перед машиной менее чем из миллиона шумных кубитов, и мартовский документ Google 2026 года, написанный вместе с Джастином Дрейком из Ethereum Foundation и криптографом Дэном Боне, который оценил стоимость атаки на подписи биткоина менее чем в 500 тысяч физических кубитов. Это оценки стоимости машины, которую никто не построил, а не расписание. Классические компьютеры такую задачу не решат ни за какое разумное время, и в этом вся разница.

Почему уязвимы монеты с видимым публичным ключом

Адреса биткоина это хеши. Пока монеты лежат на адресе, с которого ни разу не тратили, публичный ключ не записан в реестр, и квантовому компьютеру пришлось бы сначала взломать хеш-функцию, чего ни один известный алгоритм не делает эффективно. Уязвимость начинается в момент, когда ключ становится видимым: в самых старых выходах формата pay-to-public-key эпохи Сатоши Накамото, на любом адресе, который использовали повторно после траты, и в те минуты, пока транзакция ждёт подтверждения в мемпуле. Именно здесь применим алгоритм Шора: вывести приватный ключ из публичного на эллиптических кривых и подписать конкурирующую транзакцию.

Около двух третей этих монет уязвимы по привычке, а не по конструкции: владелец повторно использовал адрес, и эта часть может сократиться без изменений протокола. Glassnode относит примерно 1,66 млн BTC к кошелькам бирж, которые используют горячие адреса многократно. Монеты из иска о брошенных монетах Сатоши относятся к структурной категории: старые выходы, чьи ключи видны с первого дня. Квантовая угроза касается именно этого слоя, а не каждого биткоина в обращении; для остальных монет угроза наступает только в момент траты.

Quantum Alliance, Coinbase и Starknet: кто что предлагает

Сегодня любая сеть может назвать себя квантово устойчивой: нет согласованного определения, стандартного теста и правила, как двум мигрировавшим цепочкам общаться друг с другом. Альянс запущен 15 октября, чтобы закрыть этот разрыв; учредители: Quantus, Postquant Labs, Midnight Foundation, Keystone, Abelian, Hacken, The Vault, American Fortress и Intmax. Орган устроен по образцу IETF: предложения продвигаются на публичных доказательствах и работающих реализациях, всё лежит в открытом доступе, работа разделена на миграцию блокчейнов, системы с нулевым разглашением, защиту кошельков и кросс-чейн совместимость. Точка отсчёта это первые стандарты постквантовой криптографии, которые NIST утвердил в августе 2024 года; два года спустя у отрасли так и нет общего способа их внедрить. Так отрасль готовится к миграции: сначала словарь и тесты, потом код. Основатель Quantus Кристофер Смит сформулировал амбицию так: слово «постквантовая» отпадёт, останется просто криптография. Альянс ссылается на прогнозы с ранним окном в марте 2028 года, оговаривая, что ни один квантовый компьютер пока на это не способен.

Coinbase хранит для клиентов примерно миллион BTC, около 5% всего добытого биткоина. Документ от 13 октября подан как вклад в дискуссию: новые типы выходов, разделяющие место хранения монет и способ их траты (P2MR из BIP-360 и P2TRv2); гибридная трата на переходный период, когда монету можно разблокировать подписью ECDSA или Шнорра либо подписью нового поколения; кандидаты в криптографические алгоритмы ML-DSA, SLH-DSA, FN-DSA и SHRINCS, причём замена ECDSA новыми алгоритмами с состоянием помечена как операционно опасная; отдельный трек для спящих монет и утерянных ключей. Coinbase уже строит PQ-CoreKMS, защищённую от квантовых атак версию системы хранения секретов, а консорциум при поддержке BlackRock, Strategy и Coinbase выделил на проблему $15 млн. Логика простая: угроза не доказана, но до появления квантового компьютера нужной мощности у отрасли есть годы, и миграция блокчейна с триллионной капитализацией тоже занимает годы.

8 октября глава StarkWare Эли Бен-Сассон заявил, что Starknet рассматривает уход с Ethereum в собственный первый уровень, чтобы стать первой полностью квантово устойчивой сетью к 2027 году: роллап защищён от квантовых атак ровно настолько, насколько защищена цепочка, в которой он рассчитывается, а цель Ethereum это 2029 год. Защита сети Starknet уже опирается на хеш-функции, устойчивость которых к алгоритму Шора не оспаривается. Днём раньше Джастин Дрейк просил спланировать «режим бункера» на случай, если математика с помощью ИИ ослабит ECDSA раньше, чем появится квантовое железо. STRK за неделю вырос более чем на 80%, а к 18 октября отдал около 41%: в протоколе ничего не изменилось, квантовую угрозу рынок торгует как нарратив.

Что делать держателю биткоина сейчас

• Перестать использовать адреса повторно. Каждая трата раскрывает публичный ключ; сдачу и новые поступления отправляйте на свежие адреса, что любой современный кошелёк делает по умолчанию.
• Переместить старые монеты один раз. Средства в выходах pay-to-public-key или на адресах, с которых уже тратили, можно отправить на новый адрес сегодня: это выводит их из тех 6 миллионов до следующей траты.
• Не ждать, что аппаратный кошелёк решит проблему. Устройство защищает закрытый ключ от кражи, а не от математики; наш разбор безопасности аппаратного кошелька показывает, какие сценарии оно закрывает, а приватные ключи там так же уязвимы для алгоритма Шора, как и в любом другом месте.
• Смотреть, где лежит кастоди. Горячие кошельки бирж держат около 1,66 млн таких BTC по подсчёту Glassnode, и план миграции кастодиана теперь честный вопрос для проверки, потому что квантовая угроза для биржевых кошельков структурная.
• Следить за BIP-360 и рабочими группами альянса, а не за анонсами токенов. Обновление, которое имеет значение, будет софтфорком биткоина, обсуждённым публично, а не листингом, и пока квантовый компьютер остаётся проектом, время на это есть.