Google les advirtió a la industria de Bitcoin y de las criptomonedas que tiene menos tiempo del que creía para adaptarse al impacto de la computación cuántica. En un informe técnico publicado el 31 de marzo, investigadores de IA cuántica de Google demostraron que romper la criptografía de curva elíptica que protege a Bitcoin, Ether y a la mayoría de las principales criptos podría exigir menos de 500.000 cúbits físicos en una computadora cuántica superconductora. La cifra implica una baja de cerca de 20 veces respecto de las estimaciones previas, que la ubicaban en millones.
El artículo tiene una fuerte relevancia institucional. Entre los coautores aparecen Justin Drake, de la Fundación Ethereum; Dan Boneh, de Stanford; y seis investigadores de IA cuántica de Google, bajo la conducción de Ryan Babbush y Hartmut Neven. Google, además, señaló que trabajó con el gobierno de Estados Unidos antes de la publicación y mencionó a Coinbase, al Instituto Stanford para la Investigación de Blockchain y a la Fundación Ethereum como colaboradores.
Es importante tener en cuenta que hoy ninguna computadora cuántica puede ejecutar ese ataque. El chip más avanzado de Google, Willow, tiene 105 cúbits. Pero la brecha entre el hardware actual y una máquina capaz de descifrar la criptografía de Bitcoin se redujo más rápido de lo previsto.
"Mi confianza en que el día de la computación cuántica llegará en 2032 aumentó significativamente", escribió Drake, quien se sumó al artículo como coautor en una etapa avanzada, en X. Además, estimó que existe al menos un 10% de probabilidad de que una computadora cuántica recupere una clave privada a partir de una clave pública expuesta para ese año.
¿Por qué la computación cuántica amenaza a las criptomonedas?
La seguridad de Bitcoin se apoya en una sola premisa matemática: derivar una clave privada a partir de una clave pública resulta computacionalmente imposible para cualquier máquina actual. Ese problema matemático específico se conoce como problema del logaritmo discreto en curvas elípticas. Cada vez que alguien envía bitcoins, deja expuesta su clave pública. Una computadora clásica necesitaría más tiempo que la edad del universo para descifrar la clave privada a partir de esa información.
Pero las computadoras cuánticas ponen en crisis esa premisa. Un algoritmo que publicó el matemático Peter Shor en 1994 resuelve el problema ECDLP de forma exponencialmente más rápida que cualquier método clásico. Una computadora cuántica con suficientes cúbits estables, sumados a un sistema de corrección de errores, que ejecute el algoritmo de Shor podría derivar una clave privada, falsificar una firma digital y vaciar una billetera.
El impacto de la computación cuántica no alcanzará a la minería de prueba de trabajo de Bitcoin, que utiliza la función de hash SHA-256. Drake lo expresó con claridad: "La prueba de trabajo de Bitcoin comercialmente viable mediante el algoritmo de Grover no se materializará pronto. Estamos hablando de décadas, posiblemente siglos". La vulnerabilidad sí afecta a los esquemas de firma digital ECDSA y Schnorr, ambos basados en la curva elíptica secp256k1.
El informe técnico de Google plantea que las criptomonedas figuran entre los sistemas más expuestos dentro de este tipo de criptografía. Las cadenas de bloques usan claves de curva elíptica, casi un orden de magnitud más pequeñas que las claves RSA con niveles de seguridad comparables, lo que implica que una computadora cuántica de menor tamaño puede descifrarlas.
A eso se suma otro punto sensible: a diferencia de las finanzas tradicionales, que aplican varias capas de seguridad, las cadenas de bloques carecen de recursos para frenar transacciones fraudulentas. Por eso, una sola firma falsificada podría derivar en un robo irreversible.
Tres tipos de ataque cuántico
El artículo clasifica los ataques cuánticos contra las criptomonedas en tres categorías, según la velocidad con la que deba actuar el atacante: ataques durante el gasto, ataques en reposo y ataques durante la configuración.
Los ataques de gasto en transacciones apuntan a operaciones en tránsito. Cuando alguien transmite una transacción de Bitcoin, su clave pública queda expuesta en la mempool. Un atacante la intercepta, obtiene la clave privada y emite una transacción fraudulenta antes de que se confirme la original. El tiempo promedio de bloque de Bitcoin es de 10 minutos.
El artículo de Google estima que una computadora cuántica superconductora podría completar el descifrado en cerca de nueve minutos, con una técnica en la que la máquina calcula de antemano la mitad del algoritmo y queda en un estado "preparado" hasta que aparece un objetivo. Con 11 máquinas preparadas en paralelo, la aceleración llega a 6,5 veces, una marca que la deja muy por debajo del tiempo de bloque.
Según CoinDesk, el escenario de una sola máquina le da a un atacante una probabilidad cercana al 41% de ganarle a la confirmación de la transacción original.
El tiempo de bloque de 12 segundos de Ethereum y la ventana de 400 milisegundos de Solana complican los ataques de gasto en esas cadenas, aunque no los vuelven imposibles con un hardware más veloz.
Los ataques a claves en reposo apuntan a claves públicas que ya quedaron expuestas en la cadena de bloques: billeteras inactivas, direcciones reutilizadas y criptomonedas protegidas con scripts antiguos. En esos casos, el atacante dispone de días, semanas o incluso más tiempo. Para eso alcanzan arquitecturas cuánticas más lentas.
Los ataques durante la configuración son los más sofisticados. Apuntan a parámetros fijos del protocolo para crear una puerta trasera reutilizable que después funciona en una computadora común. Bitcoin es inmune a este tipo de ataques. Sin embargo, el documento advierte que el mecanismo de muestreo de disponibilidad de datos de Ethereum y protocolos de privacidad como Tornado Cash no cuentan con esa protección.
Los números y el hermetismo
El equipo compiló dos circuitos cuánticos que aplican el algoritmo de Shor sobre la curva secp256k1. Uno usa menos de 1200 cúbits lógicos y 90 millones de puertas Toffoli. El otro usa menos de 1450 cúbits lógicos y 70 millones de puertas Toffoli.
En una arquitectura superconductora, bajo supuestos estándar, esos circuitos equivalen a menos de medio millón de cúbits físicos. La estimación previa más avanzada, publicada en un artículo de Litinski en 2023, exigía cerca de 9 millones de cúbits físicos en una arquitectura fotónica para un ataque de instancia única.
El documento señala que supuestos más ambiciosos sobre el hardware podrían bajar la cifra a menos de 100.000. Sin embargo, esos diseños exigen patrones de conectividad que todavía no se demostraron en dispositivos reales. Por eso, el equipo eligió estimaciones conservadoras, en línea con los procesadores actuales de Google.
Un detalle revelador de este nuevo anuncio es que Google no publicó los circuitos. En cambio, el equipo recurrió a una prueba de conocimiento cero para validar sus afirmaciones sin exponer los detalles del ataque.
Esa prueba, generada a través de la máquina virtual de conocimiento cero SP1, permite que cualquier persona confirme que el equipo posee circuitos del tamaño indicado y que calculan de forma correcta la suma de puntos de una curva elíptica con 9000 entradas de prueba aleatorias, sin necesidad de ver los circuitos.
Es la primera vez que una prueba ZK se usa para dar a conocer un nuevo resultado de criptoanálisis cuántico. Google, además, afirmó que trabajó con el gobierno de Estados Unidos antes de la publicación y llamó a otros equipos de investigación a adoptar ese mismo criterio.
Qué hacen Ethereum y Bitcoin
Ethereum dedicó ocho años a prepararse para este momento. La fundación lanzó pq.ethereum.org como un sitio especializado en seguridad postcuántica, donde realiza pruebas semanales en redes y registra los hitos de las cuatro próximas bifurcaciones. La meta es completar la migración en 2029.
Bitcoin dio su primer paso en febrero, cuando la propuesta BIP-360 se incorporó al repositorio oficial de propuestas de mejora de Bitcoin. La iniciativa crea un nuevo tipo de salida, Pay-to-Merkle-Root, que oculta las claves públicas y admite futuras firmas postcuánticas. Aun así, no reemplaza ECDSA ni Schnorr por alternativas resistentes a la computación cuántica. Para eso harán falta más propuestas y un consenso más amplio.
Google fijó 2029 como fecha límite interna para migrar sus servicios de autenticación. A la vez, el marco CNSA 2.0 de la Agencia de Seguridad Nacional de EE.UU. exige sistemas resistentes a la computación cuántica para 2030.
Bitcoin, en cambio, no tiene una autoridad central que marque plazos ni un equipo de ingeniería coordinado. Su cultura de gobernanza mira la urgencia con desconfianza. La última gran actualización criptográfica, Taproot, requirió años de debate antes de activarse.
Qué pueden hacer ahora los usuarios de Bitcoin
Si los bitcoins están en una dirección que ya envió una transacción, la clave pública ya quedó expuesta. Pasar los fondos a una dirección nueva que nunca se usó los saca del grupo de direcciones en reposo. Eso no los vuelve inmunes a la computación cuántica, pero sí reinicia el plazo de exposición.
Dejá de reutilizar direcciones. Cada vez que una clave pública aparece en la cadena de bloques, pasa a ser un objetivo potencial.
También conviene seguir de cerca la compatibilidad postcuántica de las billeteras, los exchanges y los proveedores de custodia. Los primeros en adoptarla correrán con ventaja.
No caigas en el alarmismo: no será mañana, pero ya es momento de tomar medidas.
*Esta nota fue publicada originalmente en Forbes.com
