Relatório da Cryptopolitan: Quase Metade de Nossos Leitores Acha que a Quebra Quântica do Bitcoin Ocorrerá Até 2035

Perguntamos aos leitores de nossa newsletter se a computação quântica seria capaz de quebrar o Bitcoin até 2035. Na semana passada, em 28 de julho, um modelo de IA que não foi lançado publicamente encontrou uma falha em um esquema de assinatura pós-quântica que dois anos de revisão humana haviam perdido. Nenhum computador quântico esteve envolvido aqui. Este relatório passa pelo que o Bitcoin realmente depende, a ameaça real ao BTC e por que o que aconteceu na semana passada adiciona uma nova dimensão inteira junto com a linha do tempo quântica.

Onde Nossos Leitores Chegaram

Some aqueles que responderam “sim, eles provavelmente vão” à coorte “antes de 2030” e o que você obtém é 47% dos leitores veem o potencial de uma quebra quântica no Bitcoin nos próximos nove anos. Até hoje, a maior chave de curva elíptica quebrada em hardware quântico real tem 15 bits, o que aconteceu em abril deste ano por um pesquisador que alega o Prêmio Q-Day do Project Eleven. Para contexto, as chaves do Bitcoin têm 256 bits e passar de uma para a outra no espaço de nove anos exigirá uma corrida extraordinária de inovação de engenharia. Aproximadamente um terço desse público está vendo isso como uma possibilidade real. 

O Que Está Realmente em Risco para o BTC

Antes de prosseguir para discutir em profundidade o que a pesquisa revela, é importante esclarecer que o Bitcoin não criptografa nada. Não há nenhuma mensagem secreta sendo embaralhada e todas as transações na rede sempre foram públicas desde o início. O que o Bitcoin faz é assinar e fazer hash. Dois trabalhos diferentes, duas peças diferentes de matemática, duas linhas do tempo quânticas muito diferentes. 

A parte de assinatura é a parte exposta e onde há uma vulnerabilidade. Quando você gasta Bitcoin, sua carteira produz uma assinatura provando que você possui as moedas e isso é feito em uma criptografia de curva elíptica chamada secp256k1. O Bitcoin usou dois métodos de assinatura ao longo dos anos, ECDSA desde o início e Schnorr desde 2021. A segurança em ambos os métodos repousa em uma suposição, que é que derivar uma chave privada de uma chave pública é impossível. 

É aqui que o algoritmo de Shor entra em cena e visa essa suposição. Dado um computador quântico grande o suficiente, ele pode trabalhar de trás para frente a partir de uma chave pública para a chave privada que a gerou. Em março deste ano, pesquisadores do Google publicaram estimativas colocando o requisito em menos de 1.200 qubits lógicos e menos de 500.000 qubits físicos. Um artigo posterior da Caltech e da Oratomic reduziu isso para apenas 10.000 qubits usando uma arquitetura de átomos neutros. Ninguém construiu nada próximo. Mas esses números costumavam chegar a milhões, e a direção da viagem é a razão pela qual os desenvolvedores do Bitcoin pararam de tratar isso como um problema para a década de 2040.

O lado do hash está em muito melhor forma. O Bitcoin usa SHA-256 para mineração, geração de endereços e vinculação de blocos. O melhor ataque quântico contra ele é o algoritmo de Grover, que oferece apenas uma aceleração quadrática. Na prática, isso reduz a segurança de 256 bits para algo como 128 bits, o que permanece bem além do alcance de qualquer máquina que alguém tenha esboçado no papel. A mineração não é o ponto fraco aqui, nem é a estrutura da cadeia.

Então, o enquadramento preciso é mais estreito do que “a quântica quebra o Bitcoin”. O que está em risco são moedas cujas chaves públicas já estão sentadas na cadeia à vista. Isso acontece quando um endereço foi gasto antes, ou quando os fundos estão em formatos de endereço mais antigos que expõem a chave por padrão. A estimativa atual está entre 6,5 e 6,9 milhões de BTC, aproximadamente um quarto a um terço do fornecimento total, e essa figura inclui cerca de 1,7 milhão de moedas em endereços iniciais amplamente acreditados pertencerem a Satoshi. 

Moedas mantidas em endereços modernos que nunca foram gastos não expõem uma chave pública em absoluto. Para essas, um atacante quântico teria apenas uma janela durante os poucos minutos em que uma transação fica no mempool esperando para ser confirmada. Ainda um problema que vale a pena resolver. Um muito menor do que o número da manchete sugere.

A Resposta do Bitcoin ao Problema Quântico

Em 11 de fevereiro de 2026, o BIP-360 foi mesclado no repositório oficial de BIPs do Bitcoin, a primeira proposta formal de resistência quântica da rede a chegar a esse ponto. Ela introduz um novo tipo de saída chamado Pay-to-Merkle-Root, ou P2MR, criado por Hunter Beast, Ethan Heilman e Isabel Foxen Duke.

O P2MR é essencialmente o Taproot com o gasto do caminho da chave removido. O Taproot se compromete com uma chave pública interna e uma raiz de Merkle de scripts, o que significa que a chave é sempre derivável do que está na cadeia. O P2MR compromete-se apenas com a raiz de Merkle. Nenhuma chave pública aparece até que você realmente gaste, e mesmo assim apenas a folha que você usou. Ela fecha o longo buraco de exposição.

Uma proposta companheira, o BIP-361, chegou em 14 de abril com um plano de três fases para descontinuar os gastos ECDSA e Schnorr inteiramente. Essa é a que está causando argumentos, porque a fase três efetivamente congela moedas que nunca migrarem.

Aqui está a parte que vale a pena considerar. A própria estimativa de Heilman é de sete anos a partir do momento em que o consenso se forma até a resiliência quântica total, e ele chama isso de otimista. Dois anos e meio para revisão e teste. Meio ano para ativar. Então mais cinco anos antes de aproximadamente 90% das carteiras, custódias, nós Lightning e software de tesouraria realmente atualizarem. Notavelmente, o BIP-360 não inclui assinaturas pós-quânticas em absoluto. Elas foram removidas em julho de 2025 e adiadas para uma proposta futura. O esquema que o Bitcoin eventualmente adotará provavelmente será ML-DSA ou SLH-DSA, os algoritmos que o NIST já finalizou.

O que nos traz à semana passada.

Um Esquema Pós-Quântico Falhou e Nenhum Computador Quântico Estava Envolvido

Em 28 de julho, a Frontier Red Team da Anthropic publicou uma descoberta do Claude Mythos Preview, um modelo que não está disponível publicamente. Trabalhando semi-autonomamente em uma configuração agêntica, ela encontrou um ataque anteriormente desconhecido contra o HAWK, um dos nove finalistas na competição adicional de assinaturas pós-quânticas do NIST e o único esquema baseado em reticulação que avançou para a rodada três em maio.

O ataque explorou uma simetria na estrutura de reticulação do HAWK que ninguém havia usado antes. Para o conjunto de parâmetros HAWK-256, isso reduziu o trabalho estimado para recuperação de chave de cerca de 2^64 operações para aproximadamente 2^38. Em termos simples, essa é a lacuna entre “nenhum atacante na terra está fazendo isso” e “uma equipe bem financiada poderia plausivelmente tentar.”

Agora os detalhes que tornam isso desconfortável. O HAWK já havia sobrevivido a duas rodadas de revisão humana de especialistas ao longo de dois anos. O modelo encontrou a falha em cerca de 60 horas, com um custo de aproximadamente US$ 100.000 em gastos de API. O pesquisador que supervisionava o projeto tinha uma formação em ciência da computação teórica e não era especialista em criptografia de reticulação.

Sophie Schmieg, criptógrafa pós-quântica do Google, resumiu em cinco palavras: “Basicamente, com este artigo, o HAWK está morto.” A equipe do HAWK retirou o esquema da consideração do NIST no dia seguinte, observando que as correções óbvias, como dobrar os parâmetros ou migrar para módulos de ordem superior, o deixariam descompetitive em relação às alternativas.

Nenhum computador quântico esteve envolvido em nenhum momento. O que foi quebrado foi a criptografia pós-quântica, e um modelo de IA clássico a quebrou durante um fim de semana prolongado.

O que a Enquete Realmente Revelou 

Cada opção em nossa enquete fazia a mesma pergunta subjacente: quando o hardware quântico chegará. Os leitores dividiram-se razoavelmente sobre isso, e 47% apontando para nove anos é uma leitura defensável, dado como as estimativas de qubits mudaram este ano.

Mas o resultado do HAWK sugere que o cronograma do hardware pode não ser a restrição vinculativa. Os 33% que votaram “não tão cedo” ou “após 2050” estavam fazendo uma aposta sobre engenharia quântica, e podem muito bem estar certos sobre isso. Essa aposta não os protege de um ataque clássico ao algoritmo de substituição.

Os 20% que disseram “não tenho ideia” merecem algum crédito aqui. Em um público que acompanha isso de perto, um em cada cinco recusando-se a adivinhar não é apatia. Parece mais uma avaliação precisa de quantas incertezas estão empilhadas umas sobre as outras: progresso do hardware, seleção de algoritmos, cronogramas de consenso e, agora, criptoanálise assistida por IA avançando mais rápido do que o processo de revisão construído para detectá-la.