Autor: Bitcoin Security Consortium
Traducción: Deep Tide TechFlow
Introducción de Deep Tide: En los últimos años, la llegada del chip Willow de Google y la publicación de varios estudios sobre optimizaciones del algoritmo de Shor han reavivado el debate sobre si la computación cuántica amenaza la seguridad de Bitcoin. Bitcoin Security Consortium y Presidio Bitcoin publican conjuntamente este informe, que ofrece un análisis sistemático de los avances tecnológicos y los límites del riesgo.
El informe señala que todavía existe una enorme brecha de hardware antes de que haya computadoras cuánticas realmente capaces de romper la criptografía, pero que los mecanismos de firma de Bitcoin sí enfrentan dos superficies de ataque: la «exposición estática» y las «transacciones en tránsito». Para aclarar los malentendidos habituales que llevan a sobrestimar o subestimar la amenaza, el artículo analiza además la migración de direcciones, las firmas resistentes a la computación cuántica SHRINCS y las opciones para gestionar las monedas antiguas en direcciones P2PK.
Este informe fue publicado conjuntamente por Bitcoin Security Consortium y Presidio Bitcoin.
Puntos clave (TL;DR)
· Los avances recientes en computación cuántica son reales, pero siguen siendo progresos graduales: el chip Willow de Google y las recientes optimizaciones del algoritmo de Shor han generado preocupación en el mercado, pero todavía no existe una computadora cuántica criptográficamente relevante (CRQC).
· El riesgo cuántico para Bitcoin se limita a su mecanismo de firma y se manifiesta en dos tipos de ataque: ataques en reposo (at-rest) contra monedas vulnerables ya almacenadas y ataques en tránsito (in-flight) contra transacciones en el mempool.
· Las soluciones están claras y la comunidad trabaja activamente para ponerlas en práctica: trasladar los fondos fuera de direcciones reutilizadas, desarrollar esquemas de firma resistentes a la computación cuántica y alcanzar un consenso en la red sobre los bitcoins de direcciones P2PK que probablemente ya se hayan perdido.
¿Ha resurgido la computación cuántica?
Tras años de aparente estancamiento, en los últimos años han aparecido cada vez más artículos académicos y reportajes que anuncian avances en el campo de la computación cuántica. Esto ha generado preocupación entre los inversores por la seguridad de Bitcoin. Entre los avances más destacados figuran:
· El chip Willow de Google (diciembre de 2024): por primera vez, se demostró experimentalmente que añadir cúbits físicos (physical qubit) para proteger un único cúbit «lógico» con corrección de errores (logical qubit) aumenta su fiabilidad en lugar de reducirla.
· Optimizaciones del algoritmo de Shor de Google Quantum AI, Oratomic/Caltech y ECDSA.fail (2026): Google Quantum AI, junto con la Fundación Ethereum y la Universidad de Stanford, redujo aproximadamente 20 veces el tamaño del circuito necesario para que el algoritmo de Shor rompa la curva elíptica de Bitcoin.
Los equipos de Oratomic y el Instituto de Tecnología de California (Caltech) también propusieron que su versión optimizada del algoritmo de Shor podría romper una clave privada de Bitcoin en cuestión de días. En los meses siguientes, ECDSA.fail, un proyecto de clasificación impulsado por Eigen Labs, reunió a investigadores y agentes de IA, y redujo casi un 70 % adicional el tamaño del circuito de Google.
· Optimización de extremo a extremo del algoritmo de Shor de IonQ (septiembre de 2026): se publicó un plan integral, compilable y ejecutable, que incorpora estimaciones de software y hardware. En teoría, cada intento necesitaría unos 26 días para resolver una clave privada, con una tasa de éxito del 63,3 % por intento.
· Tecnología de Google para generar «estados mágicos» (octubre de 2026): la computación cuántica depende de estados auxiliares llamados «estados mágicos» (magic states), que se consumen con cada uso y son costosos de preparar. Google demostró en Willow que su protocolo de filtrado puede reducir unas 40 veces la tasa de error de estos estados y alcanzar una fidelidad lógica del 99,99 %.
· Fidelidad lógica de «cinco nueves» de Quantinuum (octubre de 2026): la computadora Helios comete solo 5 errores por cada millón de operaciones (una fidelidad lógica del 99,9995 %). Su tasa de error es unas 100 veces menor que la demostrada por Google y, cada vez que se aumenta un nivel el código de corrección de errores, la tasa de error disminuye 12 veces (λ = 12).
Aunque todavía no existe una computadora cuántica criptográficamente relevante (CRQC) y la tecnología sigue enfrentándose a numerosos desafíos de ingeniería, como escalar físicamente los cúbits con corrección de errores, ¿por qué estos informes han puesto en alerta a la comunidad Bitcoin? ¿Qué relación hay entre Bitcoin y las computadoras cuánticas? A continuación, lo analizamos.
Breve explicación de los principios de la computación cuántica
El elemento central de la computación cuántica es el cúbit (qubit). A diferencia de un bit clásico tradicional, que solo puede almacenar uno de dos estados, 0 o 1, los cúbits poseen dos propiedades propias del mundo de la mecánica cuántica:
· Superposición (Superposition): un cúbit puede estar en una combinación de 0 y 1 al mismo tiempo y, al observarlo y medirlo, colapsa en un único valor definido según probabilidades ponderadas.
· Entrelazamiento cuántico (Entanglement): dos o más cúbits pueden compartir un mismo estado conjunto. Por muy lejos que estén entre sí, medir uno determina de inmediato el valor del otro.
Gracias a estas propiedades, las computadoras cuánticas pueden explorar simultáneamente una gran cantidad de respuestas posibles y cancelar entre sí las opciones incorrectas. Sin embargo, los cúbits físicos son muy frágiles y sufren con facilidad decoherencia (decoherence), es decir, la pérdida de información cuántica.
Por este motivo, muchas empresas de computación cuántica están fijando los objetivos de sus hojas de ruta en alcanzar un número mínimo de cúbits lógicos (logical qubits). Estos cúbits se construyen mediante corrección de errores a partir de varios cúbits físicos redundantes, lo que permite detectar y corregir errores y, así, garantizar la fiabilidad de los cálculos y la información.
Para encontrar la proporción mínima de cúbits físicos y lógicos, los laboratorios de computación cuántica estudian las arquitecturas de hardware más eficientes. Entre las principales opciones se encuentran, entre otras, estas cuatro:
· Circuitos superconductores (Google, IBM): se enfrían pequeños circuitos de cables hasta temperaturas cercanas al cero absoluto, de modo que la corriente se comporta como un cúbit. Esta tecnología calcula con bastante rapidez, pero su expansión a gran escala avanza relativamente despacio.
· Átomos neutros (Oratomic): se utilizan matrices de láseres, llamadas «pinzas ópticas», para atrapar átomos sin carga; sus electrones actúan como cúbits. Esta tecnología se escala con bastante rapidez, pero, en teoría, los cálculos tardan más.
· Trampas de iones (Quantinuum, IonQ): se manipulan átomos con carga (es decir, iones) mediante láseres en campos electromagnéticos, y se usan sus estados de energía fundamental o excitado como cúbits. Esta vía calcula relativamente despacio y su velocidad de escalado es intermedia.
· Fotónica cuántica (PsiQuantum, Xanadu): se hacen pasar fotones por chips y dispositivos ópticos, y las propiedades físicas de cada fotón sirven como cúbit. Esta vía calcula muy rápido, pero el desarrollo y la puesta en práctica general de la tecnología también avanzan con lentitud por ahora.
La superficie de ataque cuántico de Bitcoin
En teoría, una computadora cuántica criptográficamente relevante que ejecute el algoritmo de Shor podría romper el algoritmo de firma digital de curva elíptica de Bitcoin (ECDSA). Este mecanismo de firma sustenta la titularidad y la propiedad dentro de la red: permite demostrar a la contraparte de una transacción que se posee la clave privada, sin revelar dicha clave.
Cabe destacar que la gran mayoría de las reglas económicas y de teoría de juegos fundamentales de Bitcoin no forman parte de esta superficie de ataque. Por ejemplo, los mecanismos de consenso de las transacciones, el calendario de emisión y el límite de suministro total no se ven afectados.
Los ataques cuánticos contra las claves privadas de Bitcoin crearían dos tipos de superficie de ataque para la red:
· Exposición prolongada (ataque en reposo): los bitcoins almacenados en direcciones reutilizadas o en direcciones antiguas con menor seguridad (como las direcciones de pago con clave pública P2PK) tienen la clave pública expuesta. Una computadora cuántica podría usarla para deducir la clave privada correspondiente.
La mayoría de las direcciones activas actuales utilizan tipos de salida modernos que ocultan la clave pública hasta que se gastan los fondos, por lo que no son vulnerables a este tipo de ataque. No obstante, Project Eleven estima que, si hoy apareciera una computadora cuántica con suficiente capacidad de cálculo, unos 7,1 millones de BTC (alrededor del 35 % del suministro total) estarían en riesgo de robo.
Alrededor de tres cuartas partes de esa cantidad se encuentran en direcciones reutilizadas, principalmente en grandes plataformas de intercambio. Estas podrían reducir considerablemente el riesgo trasladando los fondos a direcciones de un solo uso y aplicando normas de custodia más estrictas. Otros 1,8 millones de BTC permanecen inactivos en direcciones P2PK; probablemente ya se hayan perdido y sea difícil trasladarlos de forma proactiva a direcciones seguras.
Tanto las computadoras cuánticas rápidas como las lentas podrían aprovechar estas claves públicas expuestas para deducir, una por una, las claves privadas que controlan los fondos de los inversores.
· Exposición breve (ataque en tránsito): en la red Bitcoin, la clave pública de los fondos suele hacerse visible solo cuando se gastan, lo que crea una ventana vulnerable de unos 10 minutos (más exactamente, el tiempo entre el envío de una transacción y su inclusión en un bloque).
Una computadora cuántica lo bastante rápida podría aprovechar esta ventana para robar fondos durante la transacción. Google estimó que un dispositivo cuántico listo para operar y con una frecuencia de reloj alta podría calcular una clave privada en tan solo 9 minutos. Esto significa que, al iniciar una transferencia habitual, los bitcoins podrían quedar expuestos a un robo por adelantamiento, incluso si estaban guardados en una dirección segura.
Errores comunes que pueden llevar a sobreestimar la amenaza
· «El hardware cuántico ya se ha escalado y está listo para usarse». El sistema más potente presentado públicamente hasta ahora es de Quantinuum y solo ha producido 48 cúbits lógicos con corrección de errores. Para romper la curva elíptica de Bitcoin se necesitan al menos unos 1.200.
· «Las demostraciones cuánticas recientes ya han probado que existe capacidad de computación cuántica criptográficamente relevante». No es así. El chip Willow validó el almacenamiento cuántico con corrección de errores, no los cálculos a gran escala con corrección de errores.
Los artículos publicados en 2026 por Google, Oratomic e IonQ son diseños teóricos, no máquinas físicas en funcionamiento. Lograr operaciones con bajas tasas de error entre un gran número de cúbits lógicos sigue siendo un obstáculo sin resolver.
· «Todos los bitcoins serán robados de golpe». La mayoría de los bitcoins no son vulnerables mientras permanecen guardados, porque la clave pública está oculta tras un hash hasta que se gastan. Además, el mayor riesgo, la reutilización de direcciones, puede solucionarse hoy usando direcciones nuevas que no se hayan utilizado antes.
Incluso si se produjera un ataque cuántico hoy, los atacantes solo podrían intentar descifrar una clave privada a la vez; no podrían saquear de golpe todo el suministro vulnerable.
Errores comunes que pueden llevar a subestimar la amenaza
· «Las optimizaciones del algoritmo de Shor son solo exageraciones sin importancia». En marzo de este año, Google redujo unas 20 veces el número de cúbits lógicos que se necesitarían, en teoría, para romper el ECDSA de Bitcoin. También señaló que los algoritmos de curva elíptica han recibido mucha menos atención en materia de optimización que el sistema criptográfico RSA (Rivest-Shamir-Adleman), lo que deja un margen considerable para reducir aún más los requisitos.
Los hechos lo confirman: el proyecto ECDSA.fail optimizó después el tamaño del circuito de Google en casi un 70 % adicional.
· «La amenaza cuántica tardará décadas en llegar; ¿por qué preocuparse ahora?». Encuestas recientes a expertos indican que hay aproximadamente un 50 % de probabilidades de que aparezca una máquina cuántica capaz de romper la criptografía entre 2030 y 2035. Los gobiernos también han fijado sus objetivos de migración poscuántica entre principios y mediados de la década de 2030, mientras que Google y Cloudflare establecieron sus plazos internos antes de 2029.
Cabe señalar que los gobiernos y las empresas fijan estos plazos principalmente para proteger datos privados que seguirán siendo sensibles en el futuro frente a los ataques de «capturar ahora y descifrar después» (harvest now, decrypt later).
Como los participantes de la red Bitcoin pueden protegerse migrando a nuevas direcciones que ocultan la clave pública, estos plazos deberían considerarse una referencia de «buenas prácticas» para la red, no fechas en las que necesariamente se desencadenará una crisis.
· «Sin duda podremos detectar una gran innovación cuántica con antelación». Los avances tecnológicos podrían mantenerse en secreto o ser clasificados por Estados soberanos. También podrían producirse robos cuánticos aislados en una fase temprana, que serían muy difíciles de distinguir de la reorganización habitual de fondos por parte de custodios o de transferencias de pago ordinarias.
¿Qué medidas está tomando actualmente el sector?
Los participantes del ecosistema Bitcoin, incluidas las plataformas de intercambio, las instituciones y los inversores, ya están tomando medidas preventivas ante la amenaza cuántica. En términos generales, debaten activamente y promueven soluciones según las siguientes prioridades:
· Trasladar los fondos vulnerables de direcciones reutilizadas a direcciones que nunca se hayan usado: es la medida más sencilla y rápida de implementar, y no requiere consenso de toda la red ni una bifurcación suave.
Esta medida depende por completo de que las grandes plataformas de intercambio, los custodios y los inversores que gestionan sus propios fondos apliquen prácticas de seguridad modernas, como cambiar las direcciones de salida de cambio y evitar en la medida de lo posible reutilizar una misma dirección.
· Desarrollar esquemas de firma resistentes a la computación cuántica: actualmente, la propuesta más destacada de pagos de Bitcoin resistente a la computación cuántica es SHRINCS, de Blockstream (abreviatura de «Shrunken SPHINCS»), basada en SHA-256.
SHRINCS puede procesar hasta 3 transacciones por segundo, frente a las 0,36 transacciones por segundo del estándar SPHINCS+ del Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST). Blockstream probó este esquema en la red Liquid en marzo de 2026 y, en agosto, publicó una propuesta de mejora de Bitcoin (BIP) junto con sus colaboradores.
La demostración formal de seguridad del esquema aún está en curso, y su implementación en toda la red requeriría una bifurcación suave.
· Llegar a un consenso sobre qué hacer con los bitcoins vulnerables y probablemente perdidos que están en direcciones P2PK: esta podría ser la cuestión más controvertida para Bitcoin en los próximos años ante la amenaza cuántica. Actualmente, unas 20.000 direcciones P2PK contienen alrededor de 1,7 millones de BTC, de los cuales se estima que 1,1 millones pertenecen a Satoshi Nakamoto.
Según el análisis de Presidio Bitcoin, hay tres propuestas principales en debate: mantener la validez del gasto de las transacciones antiguas (es decir, permitir que los atacantes cuánticos «roben» los fondos) o limitar la velocidad a la que se pueden retirar fondos de direcciones antiguas (es decir, «restringir el flujo» de los fondos vulnerables).
La tercera opción es congelarlos con una vía de recuperación: deshabilitar todos los gastos antiguos, pero permitir que los titulares originales reclamen los fondos mediante una prueba de conocimiento cero de su frase mnemotécnica (es decir, un «congelamiento suave»).
Para profundizar en esta cuestión fundamental, consulta la guía introductoria de Presidio Bitcoin, que se actualiza continuamente (haz clic para ver el material original).
Aviso legal: este material se ofrece únicamente con fines informativos y educativos y no debe servir de base para ninguna decisión de inversión. Las referencias a empresas, valores o criptomonedas expresan las opiniones del autor y no constituyen un respaldo ni una recomendación de compra, venta o tenencia.
Parte del contenido de este material puede consistir en previsiones de futuro o declaraciones prospectivas basadas en las opiniones y suposiciones actuales del autor. Estas están sujetas a riesgos e incertidumbres conocidos y desconocidos, por lo que los resultados reales podrían diferir sustancialmente de lo expresado.
Parte de la información procede de fuentes que se consideran fiables, pero no se garantiza la exactitud ni la integridad de la información procedente de terceros.
Además de los riesgos descritos en este artículo, Bitcoin está expuesto a una fuerte volatilidad de precios, manipulación del mercado, robos y posibles restricciones de liquidez cuando el mercado atraviesa tensiones.
Aunque la participación institucional y la mejora de la regulación han impulsado la evolución del mercado de Bitcoin, su valor sigue sujeto a las condiciones del mercado, los cambios en la oferta y la demanda y la evolución de la regulación. No se puede garantizar que conserve su valor a largo plazo.