Computación cuántica y Bitcoin: qué está realmente en riesgo
Hace años que se habla de la amenaza de la computación cuántica para Bitcoin, y casi siempre desde un extremo: o cunde el pánico o se descarta el tema por completo. Ninguna de las dos posturas se acerca a la realidad.
Bitcoin no corre un peligro inmediato. Pero el riesgo a largo plazo es lo bastante real como para que investigadores, desarrolladores y mineros lo sigan de cerca. Para entenderlo, hay que separar dos sistemas criptográficos muy distintos: las firmas digitales que protegen las billeteras y el algoritmo de hash que hace funcionar la minería. Tienen vulnerabilidades distintas y plazos distintos.
Puntos clave
- Bitcoin enfrenta dos riesgos cuánticos distintos: el de las firmas digitales, que protegen las billeteras, y el del algoritmo SHA-256, que sostiene la minería. No están igual de expuestos.
- Una computadora cuántica suficientemente potente podría, con el algoritmo de Shor, obtener claves privadas a partir de claves públicas expuestas. Ese es el riesgo principal.
- Contra SHA-256, el algoritmo de Grover solo da una aceleración cuadrática: la minería resiste mucho mejor.
- Las computadoras cuánticas actuales tienen cientos o pocos miles de qubits físicos y muchos errores. Atacar a Bitcoin requeriría millones de qubits físicos con corrección de errores.
- Ya existen estándares de firma poscuántica, y hay propuestas para incorporarlos a Bitcoin. El mayor desafío no es técnico, sino coordinar el cambio en toda la red.
Dos riesgos distintos
Las firmas: el riesgo principal. Cada vez que envías bitcoin, firmas la transacción con tu clave privada. Una computadora cuántica suficientemente potente podría deducir esa clave privada a partir de la clave pública y gastar tus fondos.
La minería: un riesgo mucho menor. La minería usa SHA-256, una función hash que resiste mucho mejor a las computadoras cuánticas. Además, Bitcoin ajusta la dificultad automáticamente, así que absorbería cualquier aumento de potencia.
Los plazos. Ninguna computadora cuántica actual está cerca de amenazar ninguno de los dos. La pregunta no es si Bitcoin tiene que prepararse, sino cuánto tiempo tiene para hacerlo.
Las firmas: por qué son el punto débil
Bitcoin usa criptografía de curva elíptica, con la curva secp256k1, para las firmas digitales (ECDSA y, desde la actualización Taproot, también firmas Schnorr). Su seguridad se basa en que, con una computadora clásica, obtener la clave privada a partir de la clave pública llevaría un tiempo prácticamente infinito.
El algoritmo de Shor cambia eso. Una computadora cuántica lo bastante grande podría resolver ese problema matemático con rapidez. Un atacante podría entonces tomar una clave pública visible en la blockchain, calcular la clave privada y gastar los fondos.
Qué direcciones están más expuestas
Lo importante es si tu clave pública ya es visible en la blockchain:
| Tipo de dirección | ¿Clave pública visible? | Exposición cuántica |
| P2PK, de los primeros años, incluidas las monedas de Satoshi | Sí, desde que reciben fondos | Muy alta |
| Taproot (P2TR) | Sí, desde que reciben fondos | Alta |
| Direcciones que ya enviaron fondos al menos una vez | Sí | Alta |
| Direcciones con hash (P2PKH, P2WPKH) que solo recibieron | No, solo se revela al gastar | Baja mientras no gastes |
Un detalle que suele pasarse por alto: en las direcciones con hash, la clave pública queda expuesta en el momento en que envías una transacción. Si después vuelves a recibir fondos en esa misma dirección, esos fondos quedan protegidos por una clave pública ya visible. Por eso, una buena práctica es no reutilizar direcciones.
Dos personas con el mismo saldo pueden tener niveles de riesgo muy distintos según el tipo de dirección que usan y cómo la usaron. Las monedas de los primeros años, incluidas las atribuidas a Satoshi, están entre las más expuestas: te contamos su historia en cómo se creó Bitcoin.
La minería: por qué SHA-256 resiste mejor
Los mineros compiten por encontrar un hash por debajo de un objetivo, probando una y otra vez con SHA-256. Te explicamos el proceso en qué es el hashrate y por qué importa para Bitcoin.
Contra este tipo de búsqueda, una computadora cuántica solo puede usar el algoritmo de Grover, que da una aceleración cuadrática: en lugar de necesitar N intentos, necesitaría del orden de √N. En términos de seguridad, SHA-256 pasaría de 256 a unos 128 bits efectivos, un nivel que sigue considerándose seguro.
Además, en la práctica:
- los ASIC son extremadamente eficientes en SHA-256, y una computadora cuántica tendría que superarlos teniendo en cuenta su enorme costo de refrigeración, corrección de errores y energía;
- el ajuste de dificultad absorbería cualquier aumento de potencia, como ya lo hace cuando entran nuevas granjas de minería.
Por eso, la minería no enfrenta una amenaza cuántica inminente. En cualquier escenario realista, las firmas tendrían que reemplazarse mucho antes de que la minería se convirtiera en un problema.
Qué puede romper una computadora cuántica y qué no
| Componente | Uso en Bitcoin | Algoritmo cuántico | Riesgo |
| Firmas de curva elíptica (secp256k1) | Firmar transacciones | Shor | Alto |
| SHA-256 | Minería (Proof of Work) | Grover | Bajo |
| SHA-256 doble | Identificadores de transacciones y árboles de Merkle | Grover | Bajo |
| RIPEMD-160 | Generación de direcciones | Grover | Moderado, por su menor tamaño |
Plazos realistas: en qué punto está el hardware
A mediados de 2026, los procesadores cuánticos más avanzados tienen entre cientos y unos pocos miles de qubits físicos, con tasas de error todavía altas. El procesador Heron de IBM, de fines de 2023, tiene 133 qubits. El chip Willow de Google, presentado en diciembre de 2024, tiene 105 qubits y logró un hito importante: los errores disminuían a medida que se agregaban qubits.
Para atacar a Bitcoin no bastan los qubits físicos: se necesitan qubits lógicos, unidades estables construidas a partir de muchos qubits físicos con corrección de errores. Cada qubit lógico puede requerir cientos o miles de qubits físicos.
¿Cuántos harían falta?
- Las estimaciones académicas indican que romper una clave de curva elíptica de 256 bits requeriría alrededor de 2.300 qubits lógicos.
- En términos de qubits físicos, un estudio de la Universidad de Sussex de 2022 calculó unos 13 millones para romper una clave en un día, y unos 317 millones para hacerlo en una hora.
- Las estimaciones tienden a bajar con el tiempo: en 2025, una investigación de Google redujo de forma importante el número de qubits necesarios para romper otro algoritmo clásico, RSA-2048.
La hoja de ruta de IBM apunta a unos 200 qubits lógicos hacia 2029 y a unos 2.000 después de 2033. Por su parte, el NIST, el instituto de estándares de Estados Unidos, recomienda dejar de usar la criptografía de curva elíptica y RSA a partir de 2030 y prohibirla hacia 2035.
La conclusión: la amenaza no es inminente, pero los plazos se miden en una o dos décadas, no en siglos. Para una red que tarda años en coordinar cualquier cambio, eso no es tanto tiempo.
¿Qué significa «cosechar ahora, descifrar después»?
En otros sistemas, los atacantes pueden guardar hoy datos cifrados para descifrarlos cuando tengan computadoras cuánticas. En Bitcoin, el problema es más simple: las claves públicas ya expuestas quedan registradas para siempre en la blockchain. Cuando exista una computadora cuántica capaz, esas claves estarán ahí, disponibles para cualquiera. Por eso conviene que los fondos se muevan a direcciones seguras antes de que llegue ese momento.
Cómo puede adaptarse Bitcoin
Los estándares poscuánticos
En agosto de 2024, el NIST publicó sus primeros estándares de criptografía poscuántica:
- ML-DSA (antes CRYSTALS-Dilithium): firmas basadas en retículos.
- SLH-DSA (antes SPHINCS+): firmas basadas en funciones hash, con supuestos de seguridad muy conservadores.
- ML-KEM (antes CRYSTALS-Kyber): para el intercambio de claves, no para firmas.
Un cuarto estándar, FN-DSA (antes FALCON), estaba todavía en preparación. Produce firmas más pequeñas que ML-DSA, algo importante en una blockchain donde cada byte cuenta.
El gran desafío técnico para Bitcoin es el tamaño: las firmas poscuánticas son mucho más grandes que las actuales, lo que afectaría la capacidad de los bloques y las comisiones.
Cómo sería la transición
Ya existen propuestas en borrador para incorporar firmas poscuánticas a Bitcoin, como BIP-360, que plantea un nuevo tipo de dirección resistente a ataques cuánticos. Ninguna está activada. Una transición probablemente incluiría:
- Elegir un esquema de firma poscuántica adecuado para las limitaciones de Bitcoin.
- Agregar un nuevo tipo de dirección, probablemente mediante un soft fork, sin invalidar las direcciones actuales.
- Migrar los fondos: billeteras, exchanges, custodios y usuarios tendrían que mover sus bitcoins a las nuevas direcciones.
- Decidir qué hacer con las monedas que nunca se muevan, como las de Satoshi o las de billeteras perdidas. Es la pregunta más difícil, y sigue abierta.
El desafío de la coordinación
La tecnología existe. Lo difícil es ponerse de acuerdo. Bitcoin no tiene una autoridad central que pueda ordenar una actualización, y los cambios polémicos han sido lentos y han llegado a dividir la red, como pasó en 2017 con Bitcoin Cash: lo contamos en cómo minar Bitcoin Cash.
En el mejor escenario, la migración sería gradual y empezaría años antes de que exista una amenaza real. En el peor, habría que reaccionar con prisa si una computadora cuántica capaz aparece antes de lo previsto.
Qué puedes hacer hoy
No necesitas hacer nada urgente, pero algunas buenas prácticas reducen tu exposición desde ya:
- No reutilices direcciones. Usa una dirección nueva para cada recepción; la mayoría de las billeteras modernas lo hacen automáticamente.
- Guarda tus fondos de largo plazo en una billetera de autocustodia bien configurada. Te explicamos cómo en cómo funciona una billetera fría.
- Sigue las novedades. Si en el futuro se activa un nuevo tipo de dirección resistente a ataques cuánticos, tu billetera debería permitirte migrar tus fondos.
Si minas, revisa tu dirección de pagos: si recibes las recompensas siempre en la misma dirección y ya enviaste fondos desde ella, su clave pública está expuesta. Cambiar de vez en cuando la dirección de pago en tu pool es una precaución sencilla. En el pool de Bitcoin de EMCD puedes actualizarla desde tu cuenta.
FAQ
¿Las computadoras cuánticas pueden romper Bitcoin hoy?
No. Las computadoras cuánticas actuales están muy lejos de la capacidad necesaria. La amenaza es real a largo plazo, pero se mide en una o dos décadas.
¿La computación cuántica puede afectar la minería?
Muy poco. SHA-256 resiste mucho mejor que las firmas, y el ajuste de dificultad absorbería cualquier aumento de potencia. El riesgo principal está en las firmas de las billeteras.
¿La computación cuántica destruirá Bitcoin?
No necesariamente. Ya existen esquemas de firma poscuántica y propuestas para incorporarlos a Bitcoin. El desafío es coordinar la actualización a tiempo, antes de que exista una amenaza creíble.
¿Qué direcciones corren más riesgo?
Las que ya tienen su clave pública visible en la blockchain: las antiguas direcciones P2PK, incluidas las monedas de Satoshi, las direcciones Taproot y cualquier dirección desde la que ya se hayan enviado fondos.
¿Cuántos qubits harían falta para romper Bitcoin?
Las estimaciones hablan de unos 2.300 qubits lógicos, lo que equivale a millones de qubits físicos con la tecnología actual. Las computadoras más avanzadas de hoy tienen apenas cientos o pocos miles de qubits físicos.
¿Bitcoin se está preparando?
Sí. Hay investigación activa y propuestas en borrador, como BIP-360, para agregar direcciones resistentes a ataques cuánticos. Ninguna está activada todavía, pero se están sentando las bases para la transición.
¿Qué puedo hacer para proteger mis bitcoins?
No reutilizar direcciones, guardar tus fondos de largo plazo en una billetera de autocustodia bien configurada y estar atento a las actualizaciones de tu billetera cuando haya opciones resistentes a ataques cuánticos.
Aviso: este artículo tiene fines informativos y educativos. No constituye asesoría financiera, de inversión ni técnica. Las estimaciones sobre el desarrollo de la computación cuántica son inciertas y pueden cambiar.
