Квантовий апокаліпсис для біткоїна: реальна загроза чи далекий сценарій?
Питання про те, чи стане квантовий комп'ютер «могильником» біткоїна, давно вийшло за межі теоретичних дискусій у криптоспільноті. У центрі цих побоювань лежить алгоритм Шора, який радикально змінює саму математичну природу задачі відновлення приватного ключа з публічного. Якщо класичні обчислення роблять цю операцію практично неможливою, то квантові — переводять її до розряду розв'язуваних за хвилини, за умови наявності відповідного обладнання.
Реальна математика загрози
Суть проблеми не в прискоренні перебору, а в зміні класу складності. Безпека мережі ґрунтується на незворотності операції P = k ⋅ G на кривій secp256k1, де найкращі класичні алгоритми потребують близько 2¹²⁸ операцій. Алгоритм Шора розв'язує задачу дискретного логарифмування за поліноміальний час, що робить його теоретично здатним скомпрометувати і ECDSA, і підписи Шнорра.
Однак між теорією та практикою — прірва, яка вимірюється в кубітах. Сучасні процесори налічують близько 1100–1200 фізичних кубітів без корекції помилок. Для реальної атаки, за різними оцінками, потрібно від 500 тисяч до 13 мільйонів фізичних кубітів. Примітно, що дослідження Google Quantum AI, опубліковане в березні 2026 року, суттєво знизило цю планку: йдеться про менш ніж 500 000 фізичних кубітів (приблизно 1200 логічних) і 70 мільйонів обчислювальних кроків. У таких умовах приватний ключ можна відновити менш ніж за 9 хвилин — швидше, ніж добувається блок.
Хто в зоні ураження
Ключовий фактор вразливості — не розмір балансу, а цифрова гігієна власника. Найбільшому ризику піддаються адреси з уже розкритими публічними ключами: це виходи P2PK епохи Сатоші, архітектура Taproot і гаманці, скомпрометовані повторним використанням адрес. За оцінками Glassnode, у блокчейні розкриті ключі для 6,04 млн BTC (30,2% усього обсягу пропозиції), з яких 1,92 млн BTC — структурно вразливі P2PK, а 4,12 млн BTC — операційно вразливі через повторне використання.
Натомість виходи P2PKH, P2SH і SegWit залишаються захищеними до першої вихідної транзакції, оскільки приховані за криптографічним хешем. Це створює парадоксальну ситуацію: «сплячі» гаманці перших років біткоїна стають першою мішенню, і їхнім власникам уже ніхто не допоможе.
Стратегія HNDL: загроза без поспіху
Головний практичний ризик — не в завтрашній атаці, а в стратегії «harvest now, decrypt later» (HNDL). Зловмисникам не потрібно чекати появи криптографічно небезпечного квантового комп'ютера (CRQC). Достатньо вже зараз зберегти всі розкриті публічні ключі, а розшифрувати їх пізніше, коли технологія дозріє. Це підтверджується і дослідженням Федеральної резервної системи США, де біткоїн наводиться як приклад обмежень постквантової міграції: нові алгоритми захистять майбутні транзакції, але не приховають уже опубліковані дані.
Таймінг: техніка проти наративу
Тут важливо розрізняти два горизонти. Технологічний — це 10–20 років, навіть якщо IBM реалізує плани зі створення відмовостійкого IBM Quantum Starling до 2029 року, а IonQ — пристрою на 2 мільйони кубітів до 2030-го. Однак наративний горизонт може спрацювати набагато раніше: достатньо однієї гучної публікації про зниження вимог до кубітів, щоб ринок заклав ризики в ціну задовго до реальної загрози. Опитування 26 експертів Інституту глобальних ризиків показує ймовірність появи CRQC протягом 10 років на рівні 28–49%, а протягом 15 років — 51–70%.
Мій експертний висновок: панікувати рано, але аудит обов'язковий. Для власників це привід перевірити типи виходів і відмовитися від повторного використання адрес. Для інвесторів — пам'ятати, що ринок може відреагувати на заголовки раніше, ніж на реальні квантові потужності. Біткоїну доведеться пройти складний консенсусний процес постквантової міграції, і він триватиме довше, ніж оновлення дорожніх карт комерційних вендорів.