La amenaza potencial de la computación cuántica para Bitcoin no se limita a sustituir sus algoritmos criptográficos. El 13 de octubre, el inversor en criptomonedas Nick Carter describió en una entrevista con Luke Martin un escenario extremo: un ordenador cuántico capaz de descifrar claves de Bitcoin podría recuperar las claves privadas de monedas inactivas y emitir una oleada de transferencias en unos 10 bloques. Los movimientos de grandes cantidades de bitcoin antiguos podrían poner en duda quién controla esas monedas y cómo gestiona la red su liquidación, incluso antes de que se vendiera ninguna.
Unos 6,04 millones de BTC tienen claves públicas expuestas
Un análisis de Glassnode del 20 de mayo estimó que unos 6,04 millones de bitcoin —el 30,2% de la oferta emitida hasta entonces— tenían claves públicas expuestas. El cálculo incluye monedas activas cuyas claves quedaron visibles después de gastarse o reutilizarse una dirección, salidas antiguas que las exponen por diseño, como las P2PK, y algunas salidas relacionadas con Taproot.
El escenario de riesgo presupone que un ordenador cuántico suficientemente potente podría utilizar el algoritmo de Shor para obtener una clave privada a partir de una clave pública y generar una autorización de gasto aparentemente válida. Google ha publicado investigaciones que modelan los recursos informáticos que podría requerir un ataque así. Sin embargo, no hay pruebas de que nadie haya recuperado claves de Bitcoin de esta manera. Los ataques cuánticos contra claves siguen siendo un riesgo futuro, no algo que haya ocurrido en la red.
La capacidad de los bloques podría permitir a un atacante mover un volumen considerable en poco tiempo. Por ejemplo, 50.000 salidas antiguas con 50 BTC cada una sumarían 2,5 millones de BTC. Según el ejemplo de entradas P2PK de la documentación para desarrolladores de Bitcoin, esas entradas ocuparían unos 5,7 millones de bytes, o aproximadamente 22,8 millones de unidades de peso, sin contar la sobrecarga de las transacciones. El límite de peso de Bitcoin permite un total de 40 millones de unidades en 10 bloques. Si las transacciones se dividieran en lotes y cada uno respetara el límite estándar de Bitcoin Core, de unas 400.000 unidades de peso, en teoría podrían caber en esa capacidad de 10 bloques.
Diez bloques no garantizan que las transferencias se confirmen
La inclusión de las transacciones dependería de las comisiones, la congestión de la red y las decisiones de selección de los mineros. Bitcoin produce un bloque cada 10 minutos de media, por lo que 10 bloques suelen tardar unos 100 minutos, aunque el tiempo real puede variar mucho. El tipo de script, las condiciones de gasto y el número de salidas receptoras también influirían en el espacio necesario para una transferencia masiva.
Un ataque cuántico transferiría el control de bitcoin existentes; no crearía nueva oferta. Los movimientos grandes y visibles podrían inquietar a los titulares antes de que se vendiera moneda alguna. Que eso provocara una volatilidad más amplia dependería de la respuesta de las plataformas de intercambio, la liquidez disponible y la interpretación del mercado sobre el origen de los fondos. Las claves públicas expuestas, los titulares inactivos, las claves privadas perdidas para siempre y la cuestión de si algunas monedas antiguas pertenecen a Satoshi Nakamoto son asuntos distintos.
El investigador de seguridad Jameson Lopp estimó en un análisis del 21 de mayo que unos 2,6 millones de bitcoin con claves públicas expuestas quizá no podrían migrarse. Su cálculo se basó en indicadores como largos periodos de inactividad y etiquetas de entidades conocidas. No demuestra que esas monedas estén definitivamente fuera del alcance de sus legítimos propietarios.
Las medidas de protección también podrían limitar a titulares legítimos
Mantener las reglas de gasto actuales permitiría que cualquiera que pudiera presentar una clave privada válida gastara las monedas asociadas, incluso si un atacante futuro hubiera recuperado esa clave. Restringir las firmas antiguas podría tener el efecto contrario: los titulares legítimos que no lograsen mover sus monedas a tiempo o cumplir nuevas condiciones de recuperación podrían quedarse sin acceso. Ese es el dilema central de las defensas cuánticas: mejorar la seguridad de las monedas no migradas también podría reducir las opciones de algunos propietarios legítimos.
El borrador actual de BIP-360 propone un tipo de salida Pay-to-Merkle-Root, pensado para eliminar una vía de gasto que podría exponer claves en Taproot y reducir la exposición a largo plazo mientras la clave pública permanezca oculta. BIP-361 plantea una aplicación por fases: restringir los nuevos destinos vulnerables de recepción unos tres años después de la activación y, aproximadamente dos años más tarde, limitar el uso de firmas antiguas mediante condiciones de recuperación. El calendario de migración criptográfica de Google fija 2029 como objetivo preventivo; no es una regla de consenso de Bitcoin.
Algunas propuestas de recuperación recurren a un secreto principal reforzado de la cartera. Aunque un atacante recuperase la clave de un gasto concreto, por lo general no obtendría con ello ese secreto adicional. En el caso de las salidas P2PK, sin embargo, los autores del borrador siguen considerando que demostrar la titularidad es un problema sin resolver.
Las propuestas siguen en debate
El 1 de mayo, Dan Robinson propuso el concepto PACT, que explora el uso de marcas de tiempo que preservan la privacidad para demostrar el control de una dirección. Si futuras reglas reconocieran esas pruebas, los titulares tendrían que prepararlas y conservarlas antes de que fuera viable recuperar claves mediante computación cuántica. Su utilidad dependería de que se establecieran estándares de verificación y se adoptaran en todo el ecosistema.
El borrador Hourglass V2, publicado en febrero, plantea un límite más directo a la velocidad de gasto: no más de un gasto P2PK por bloque y un gasto neto máximo de 1 bitcoin por bloque. Esos límites podrían frenar las salidas de un posible atacante, pero también se aplicarían a los titulares legítimos y podrían alargar las migraciones de gran tamaño.
Ninguna de estas propuestas se ha convertido en una regla común de la red Bitcoin. En el proceso BIP, cualquier cambio aún tendría que implementarse en el software, ejecutarse en los nodos y recibir aceptación en todo el ecosistema. El escenario de Carter plantea, en último término, una cuestión de titularidad: si una firma ordinaria no permite distinguir al propietario original de un atacante cuántico, ¿qué pruebas de control debería reconocer Bitcoin y cómo se protegería a los titulares legítimos que no pudieron migrar con antelación?