Новини криптоміра

Питання про те, чи стануть квантові обчислення фатальними для біткоїна, давно вийшло за межі теоретичних дискусій. У центрі дебатів — алгоритм Шора, який здатен радикально змінити складність задачі відновлення приватного ключа з публічного. Йдеться не про прискорення перебору, а про зміну класу складності: те, що вважалося неможливим, стає розв'язним за хвилини — за умови наявності відповідного обладнання.

У цьому аналітичному огляді я розбираю, наскільки реальною є загроза, які саме адреси перебувають у групі ризику та чому ринок може відреагувати на квантовий порядок денний набагато раніше, ніж з'явиться реальне залізо.

Короткий вердикт: загроза є, але не сьогодні

Теоретично алгоритм Шора дійсно ставить під удар безпеку ECDSA та Schnorr-підписів, які спираються на криву secp256k1. Однак поточне покоління квантових процесорів — це близько 1100–1200 фізичних кубітів без корекції помилок. Для реальної атаки на біткоїн потрібні мільйони стабільних логічних кубітів. Таким чином, поки це радше гіпотетичний сценарій, ніж практична загроза.

Чому це так

Безпека мережі тримається на незворотності операції P = k ⋅ G. Найкращі класичні алгоритми потребують близько 2¹²⁸ операцій, що недосяжно для сучасних систем. Алгоритм Шора змінює саму природу задачі, але «ціна питання» вимірюється в кубітах. Оцінки різняться: від 2330 логічних кубітів (що еквівалентно 1–13 млн фізичних) до більш консервативних прогнозів Університету Сассекса — близько 13 млн фізичних кубітів для зламу за добу.

Показово, що дослідження Google Quantum AI, опубліковане в березні 2026 року, суттєво переглянуло ці цифри в бік зниження. Згідно з їхніми розрахунками, достатньо менш ніж 500 000 фізичних кубітів і близько 70 млн обчислювальних кроків, щоб відновити ключ за 9 хвилин — швидше, ніж добувається блок. Це двадцятикратне покращення порівняно з прогнозами 2019 року.

До 2029 року IBM планує створити відмовостійку систему IBM Quantum Starling на 200 логічних кубітів, а IonQ націлена на 2 млн фізичних кубітів до 2030 року. Якщо ці плани реалізуються, у другій половині 2030-х ми можемо побачити машину, здатну зламувати ключі біткоїна. Однак такі експерти, як Адам Бек, вважають, що реальні строки — 20–40 років. Опитування 26 експертів Інституту глобальних ризиків оцінює ймовірність появи криптографічно значущого комп'ютера у 28–49% протягом десяти років і 51–70% протягом п'ятнадцяти.

Ключовий фактор уразливості — не розмір балансу, а цифрова гігієна. Під загрозою в першу чергу адреси з розкритими публічними ключами: P2PK епохи Сатоші, Taproot-архітектура та гаманці з повторним використанням адрес. За даними аналітиків, у блокчейні розкриті ключі для 6,04 млн BTC (30,2% від усієї пропозиції). З них 1,92 млн BTC — структурно вразливі P2PK, а 4,12 млн BTC — операційно вразливі через повторне використання.

Натомість P2PKH, P2SH та SegWit-виходи залишаються безпечними до першої вихідної транзакції, оскільки приховані за хешем. Звідси випливає стратегія HNDL (harvest now, decrypt later): зловмиснику не потрібне залізо сьогодні — достатньо зберегти ключі та дочекатися появи CRQC. Дослідження ФРС США прямо вказує на біткоїн як на приклад обмежень постквантової міграції: нові алгоритми не приховають уже опубліковані дані.

Що це означає для інвесторів

Це не привід для паніки, а привід для аудиту. Перевірте, чи не перебувають ваші кошти на P2PK-виходах або повторно використовуваних адресах. «Сплячим» гаманцям перших років мігрувати нікому — вони стануть першими цілями.

Але є й інший, не менш важливий ризик: ціна може відреагувати раніше за техніку. Достатньо однієї гучної публікації про зниження вимог до кубітів, щоб ринок почав закладати ризики задовго до реальної атаки. Тут діють два горизонти: технологічний (десять років і більше) та наративний (будь-який найближчий квартал). Регулятори — АНБ та NCSC — уже готують перехід на постквантову криптографію, і біткоїну доведеться узгоджувати міграцію через консенсус, а це процес повільний.

Ключові висновки

Моя експертна оцінка: квантова загроза — це не питання «якщо», а питання «коли». Однак найімовірніший сценарій — не раптова атака, а поступове знецінення старих монет через наратив і регуляторний тиск. Інвесторам варто диверсифікувати ризики вже зараз, а не чекати перших зламів.