Especialistas da startup francesa Alice & Bob calcularam que um computador quântico hipotético poderia precisar de 29.588 qubits físicos e cerca de 62 minutos para recuperar uma chave privada de bitcoin a partir da chave pública.
$O número obtido é cerca de 17 vezes inferior à estimativa de menos de 500.000 qubits apresentada por pesquisadores do Google em março. No entanto, a comparação é condicional: os autores dos estudos consideram diferentes arquiteturas de hardware e usam premissas técnicas distintas.
A abordagem da Alice & Bob baseia-se no algoritmo de Shor. Ele permite que um computador quântico suficientemente potente resolva os problemas matemáticos nos quais se baseia a proteção dos sistemas criptográficos modernos.
Os autores estudaram a possibilidade de atacar a curva elíptica secp256k1, que o bitcoin usa para assinaturas digitais. Quebrá-la permitiria recuperar a chave privada a partir da chave pública conhecida e obter controle sobre os fundos correspondentes.
Como foi possível reduzir os requisitos
A Alice & Bob desenvolve computadores quânticos com qubits supercondutores de um tipo especial — os chamados qubits gato (cat qubits). Sua arquitetura permite suprimir um tipo de erro quântico e reduz os recursos necessários para corrigir os demais.
Diagrama da arquitetura de um computador quântico da Alice & Bob, com duas camadas. A camada superior LDPC é dividida em zonas de exponenciação, memória e computação. A camada inferior contém uma zona de acesso, roteamento, buffers do somador e fábricas de estados mágicos.
Diagrama simplificado de um chip quântico com «qubits gato». Fonte: Alice & Bob, Cryptology ePrint Archive (CC BY 4.0).
A configuração calculada usa 1462 qubits lógicos, formados a partir de 29 588 qubits físicos. O cálculo levará 61,8 minutos, considerando a probabilidade de executar o algoritmo novamente.
O modelo, no entanto, pressupõe uma determinada velocidade de correção de erros e uma frequência extremamente baixa de ocorrência desses erros.
Os autores calcularam em detalhes a configuração principal para quebrar o RSA-2048 e obtiveram os números para a secp256k1 com base nas mesmas operações computacionais. Por isso, o estudo descreve a estimativa para o bitcoin como um limite superior.
Gráfico em escala logarítmica: no eixo horizontal, o número de qubits físicos, de 10 mil a 1 bilhão; no eixo vertical, o tempo de cálculo, de 0,03 a 100 dias. As estimativas da Alice & Bob aparecem à esquerda das de estudos anteriores, incluindo pesquisas do Google de 2019 e 2025, ou seja, exigem menos qubits.
Estimativas do número de qubits físicos e do tempo necessários para quebrar o RSA-2048 em estudos de diferentes anos. Fonte: Alice & Bob, Cryptology ePrint Archive (CC BY 4.0).
Quais bitcoins estão em risco
De acordo com os cálculos da Alice & Bob, a recuperação da chave levaria muito mais do que o intervalo médio de dez minutos entre os blocos do bitcoin. Isso limita a possibilidade de atacar uma transação cuja chave pública só é revelada quando os fundos são enviados.
A situação é diferente para as moedas cujas chaves públicas já estão disponíveis na blockchain. O invasor não precisaria agir dentro do curto intervalo anterior à confirmação da transferência.
Os autores do estudo observaram que essas moedas estão ameaçadas até mesmo por uma configuração compacta com 28 183 qubits, que levaria 146 minutos. Como exemplos, eles citam saídas no formato P2PK e endereços reutilizados.
No início de outubro, o cofundador da Glassnode, Rafael Schultze-Kraft, estimou em 6,26 milhões de BTC o volume de bitcoins em endereços com chaves públicas expostas, ou 31,2% da oferta. Em maio, os analistas da empresa contabilizaram 6,04 milhões de BTC.
Cerca de 4,33 milhões de BTC estavam vulneráveis devido à reutilização de endereços. Outros 1,94 milhão de BTC estavam em endereços que expõem as chaves por sua própria estrutura.
Na opinião dos pesquisadores, os resultados obtidos exigem o início imediato da transição para a criptografia pós-quântica. Como etapa intermediária, eles propõem o uso de esquemas híbridos que combinem algoritmos clássicos e pós-quânticos.
Vale lembrar que, em setembro, especialistas da IonQ estimaram que seriam necessários 19 397 qubits físicos e 25,7 dias de cálculo para atacar a secp256k1.
