Relatório Cryptopolitan : Quase metade dos nossos leitores acredita que a computação quântica irá desbancar Bitcoin até 2035

Perguntamos aos leitores da nossa newsletter se a computação quântica seria capaz de quebrar a segurança Bitcoin até 2035. Na semana passada, em 28 de julho, um modelo de IA ainda não divulgado publicamente encontrou uma falha em um esquema de assinatura pós-quântica que passou despercebida por dois anos de revisão humana. Nenhum computador quântico foi usado nesse caso. Este relatório analisa em que Bitcoin realmente se baseia, a ameaça real ao BTC e por que o que aconteceu na semana passada adiciona uma nova dimensão à linha do tempo quântica. 

Onde nossos leitores foram parar

Adicione aqueles que responderam "sim, provavelmente acontecerá" ao grupo "antes de 2030" e você terá 47% dos leitores que veem o potencial de uma quebra quântica no Bitcoin nos próximos nove anos. Até hoje, a maior chave de curva elíptica quebrada em hardware quântico real tem 15 bits, o que aconteceu em abril deste ano por um pesquisador que ganhou o Prêmio Q-Day do Projeto Eleven. Para contextualizar, as chaves do Bitcointêm 256 bits e chegar de um a um em um período de nove anos exigirá uma série extraordinária de inovações em engenharia. Aproximadamente um terço desse público atualmente vê isso como uma possibilidade real. 

O que está realmente em risco para o BTC?

Antes de analisarmos em detalhes o que a pesquisa revela, é importante esclarecer que Bitcoin não criptografa nada. Não há nenhuma mensagem secreta sendo codificada e todas as transações na rede sempre foram públicas desde sua criação. O que Bitcoin faz é assinar e gerar um hash. São duas funções diferentes, dois processos matemáticos distintos, duas linhas do tempo quânticas muito diferentes. 

A parte da assinatura é a mais vulnerável e onde reside o ponto de maior fragilidade. Quando você gasta Bitcoin, sua carteira gera uma assinatura que comprova a propriedade das moedas, e isso é feito por meio de criptografia de curva elíptica chamada secp256k1. Bitcoin utilizou dois métodos de assinatura ao longo dos anos: ECDSA desde o início e Schnorr desde 2021. A segurança de ambos os métodos se baseia em uma premissa: a de que é impossível derivar uma chave privada a partir de uma chave pública. 

É aqui que o algoritmo de Shor entra em cena e ataca essa premissa. Dado um computador quântico suficientemente grande, ele pode trabalhar de trás para frente, de uma chave pública para a chave privada que a gerou. Em março deste ano, pesquisadores do Google publicaram estimativas que apontavam para a necessidade de menos de 1.200 qubits lógicos e menos de 500.000 qubits físicos. Um artigo posterior do Caltech e da Oratomic reduziu esse número para 10.000 qubits, usando uma arquitetura de átomos neutros. Ninguém construiu nada próximo disso. Mas esses números costumavam chegar aos milhões, e a tendência atual é o motivo pelo qual Bitcoin deixaram de tratar isso como um problema para a década de 2040. 

A parte de hashing está em situação muito melhor. Bitcoin usa SHA-256 para mineração, geração de endereços e para conectar blocos. O melhor ataque quântico contra ele é o algoritmo de Grover, que oferece apenas um ganho de velocidade quadrático. Na prática, isso reduz a segurança de 256 bits para algo em torno de 128 bits, o que permanece muito além do alcance de qualquer máquina que alguém tenha projetado. A mineração não é o ponto fraco aqui, nem a estrutura da blockchain.

Portanto, a definição precisa é mais restrita do que "a computação quântica quebra Bitcoin". O que está em risco são as moedas cujas chaves públicas já estão expostas na blockchain. Isso acontece quando um endereço já foi gasto anteriormente ou quando os fundos estão em formatos de endereço antigos que expõem a chave por padrão. A estimativa atual está entre 6,5 e 6,9 milhões de BTC, aproximadamente um quarto a um terço da oferta total, e esse número inclui cerca de 1,7 milhão de moedas em endereços antigos, amplamente considerados pertencentes a Satoshi. 

Moedas mantidas em endereços modernos que nunca foram gastas não expõem nenhuma chave pública. Nesses casos, um atacante quântico só teria uma janela de oportunidade durante os poucos minutos em que uma transação permanece no mempool aguardando confirmação. Ainda assim, é um problema que vale a pena resolver. Muito menor do que o número divulgado sugere.

A resposta do Bitcoinao problema quântico

Em 11 de fevereiro de 2026, a BIP-360 foi incorporada ao Bitcoin repositório oficial de BIPs, a primeira proposta formal de resistência quântica da rede a chegar a esse ponto. Ela introduz um novo tipo de saída chamado Pay-to-Merkle-Root, ou P2MR, de autoria de Hunter Beast, Ethan Heilman e Isabel Foxen Duke.

O P2MR é essencialmente o Taproot sem a etapa de gasto do caminho da chave. O Taproot faz commits tanto em uma chave pública interna quanto em uma raiz Merkle de scripts, o que significa que a chave é sempre derivável do que está na cadeia. O P2MR faz commits apenas na raiz Merkle. Nenhuma chave pública aparece até que você realmente gaste a chave, e mesmo assim, apenas a chave folha que você usou. Isso elimina a vulnerabilidade de longa exposição.

Uma proposta complementar, a BIP-361, foi apresentada em 14 de abril com um plano de três fases para desativar completamente o ECDSA e os gastos Schnorr. Essa é a proposta que está causando controvérsias, porque a terceira fase efetivamente congela as moedas que nunca migram.

Eis a parte que vale a pena analisar. A estimativa do próprio Heilman é de sete anos desde o momento em que o consenso for formado até a resiliência quântica completa, e ele considera isso otimista. Dois anos e meio para revisão e testes. Meio ano para ativação. Depois, mais cinco anos até que aproximadamente 90% das carteiras, custodiantes, nós Lightning e softwares de tesouraria tenham sido atualizados. Notavelmente, o BIP-360 não inclui assinaturas pós-quânticas. Elas foram removidas em julho de 2025 e adiadas para uma proposta futura. O esquema Bitcoin eventualmente adotará provavelmente será o ML-DSA ou o SLH-DSA, os algoritmos que o NIST já finalizou.

O que nos leva à semana passada.

Um esquema pós-quântico falhou e nenhum computador quântico foi envolvido

Em 28 de julho, a equipe Frontier Red Team da Anthropic publicou uma descoberta do Claude Mythos Preview, um modelo que não está disponível publicamente. Operando de forma semiautônoma em uma configuração agentiva, ele encontrou um ataque até então desconhecido contra o HAWK, um dos nove finalistas na competição de assinaturas pós-quânticas adicionais do NIST e o único esquema baseado em reticulado a avançar para a terceira rodada em maio.

O ataque explorou uma simetria na estrutura da rede do HAWK que ninguém havia usado antes. Para o conjunto de parâmetros HAWK-256, reduziu o trabalho estimado para recuperação da chave de cerca de 2^64 operações para aproximadamente 2^38. Em termos simples, essa é a diferença entre "nenhum atacante no mundo está fazendo isso" e "uma equipe bem financiada poderia plausivelmente tentar"

Agora, os detalhes que tornam isso desconfortável. O HAWK já havia passado por duas rodadas de revisão humana especializada ao longo de dois anos. O modelo encontrou a falha em cerca de 60 horas, a um custo aproximado de US$ 100.000 em gastos com API. O pesquisador que supervisionava o projeto tinha formação em ciência da computação teórica e não era especialista em criptografia de reticulado.

Sophie Schmieg, criptógrafa pós-quântica do Google, resumiu a situação em cinco palavras: "Basicamente, com este artigo, o HAWK está morto." A equipe do HAWK retirou o esquema da consideração do NIST no dia seguinte, observando que as soluções óbvias, como dobrar os parâmetros ou migrar para módulos de classificação mais alta, o tornariam não competitivo em relação às alternativas.

Nenhum computador quântico foi envolvido em nenhum momento. O que foi quebrado foi a criptografia pós-quântica, e um modelo classicde IA (Inteligência Artificial) conseguiu quebrá-la durante um longo fim de semana.

O que a pesquisa realmente revelou 

Todas as opções em nossa enquete abordaram a mesma questão fundamental: quando o hardware quântico estará disponível. Os leitores se dividiram de forma razoável quanto a isso, e 47% prevendo que chegará em até nove anos é uma estimativa plausível, considerando a evolução das previsões para qubits neste ano.

Mas o resultado do HAWK sugere que o cronograma de hardware pode não ser a restrição determinante. Os 33% que votaram "não tão cedo" ou "somente depois de 2050" estavam apostando na engenharia quântica, e podem muito bem estar certos. Essa aposta, porém, não os protege de um ataque classicde IA ao algoritmo de substituição.

Os 20% que disseram "não faço ideia" merecem algum crédito. Em um público que acompanha isso de perto, o fato de um em cada cinco se recusar a dar um palpite não demonstra apatia. Parece mais uma avaliação precisa de quantas incógnitas se acumulam: o progresso do hardware, a seleção de algoritmos, os prazos para consenso e, agora, a criptoanálise assistida por IA avançando mais rápido do que o processo de revisão criado para detectá-la. 

As mentes mais brilhantes do mundo das criptomoedas já leem nossa newsletter. Quer participar? Junte-se a elas.