Bitcoins Vulnerables a la Computació Quàntica

Els bitcoins vulnerables a la computació quàntica són aquells que corren el risc de ser robats per un adversari quàntic pel fet d’estar emmagatzemats en una adreça vulnerable a la computació quàntica.

Amenaça de la computació quàntica

Aquest tipus d’ordinadors difereixen dels actuals —que d’ara endavant anomenarem «clàssics»—. En el món «clàssic», la seguretat es basa en problemes matemàtics «complexos». Es considera que aquests problemes són impossibles de resoldre en un temps raonable a causa de la manca d’algorismes eficients per fer-ho. No és que siguin impossibles en sentit estricte —per exemple, es podria obtenir la resposta mitjançant la força bruta—, però el temps necessari per aconseguir-ho superaria probablement l’edat de la Terra. Un d’aquests reptes és el DLP (problema del logaritme discret), que constitueix la base de gairebé tots els algorismes criptogràfics. Tanmateix, en el món «quàntic», alguns d’aquests problemes són «fàcils» de resoldre. Això significa que deixen de ser segurs i que ja no ens hi podem refiar. El matemàtic Peter Shor va desenvolupar un algorisme per resoldre el DLP de manera eficient aprofitant la potència dels ordinadors quàntics. Tot i l’amenaça, la tecnologia necessària per executar aquest algorisme supera l’actual; no obstant això, teòricament, l’amenaça és real.

Bitcoin és un dels sistemes que es basen en aquesta mena de problemes per garantir la seguretat; per això, l’existència d’un ordinador quàntic sacseja la comunitat. Bàsicament, les monedes de Bitcoin estan protegides mitjançant una signatura digital. Per desbloquejar-les, només cal signar la transacció que fa la despesa utilitzant la clau privada associada a la clau pública.

Tipus d’adreces vulnerables a la computació quàntica

La diferència rau en el moment en què els usuaris revelen la clau pública. Això genera dos grups d’adreces: les que mostren la clau pública directament al scriptPubKey —fet que les fa vulnerables des del moment en què reben monedes— i les que utilitzen funcions hash per ocultar-la. Les anomenarem «exposades» i «no exposades».

Una altra possible distinció es refereix al moment en què es produeix aquesta revelació. De nou, trobem dues categories: a llarg termini i a curt termini. En la primera categoria hi ha les adreces que exposen la clau pública a la mateixa adreça, la qual cosa deixa un ampli marge de temps perquè un adversari quàntic calculi la clau privada. L’altre grup només mostra la clau pública quan la transacció està pendent de ser minada, fet que deixa un marge de temps més reduït. És evident que, com més gran és el marge de temps, menors són els requisits de càlcul necessaris.

Podríem pensar que n’hi ha prou amb utilitzar adreces hash per estar protegits durant molt de temps. I és cert, però en el moment en què es fa servir una adreça hash, aquesta es converteix automàticament en una adreça sense hash; per tant, reutilitzar-la pot donar als usuaris una falsa sensació de seguretat. Tot i que la reutilització d’adreces és molt desaconsellable —no només per aquest motiu, sinó per molts altres—, avui dia molts usuaris continuen fent-ho. Això fa que hi hagi una quantitat de monedes vulnerables superior a la que havíem previst inicialment.

A la taula següent podem veure com classificar cada tipus d’adreça.

Mesurar les monedes vulnerables a la computació quàntica

Determinar el valor exacte de les monedes vulnerables a la computació quàntica no és una tasca trivial. En primer lloc, cal tenir en compte les monedes emmagatzemades en adreces vulnerables a llarg termini; aquesta és la part «fàcil» de la feina. En segon lloc, cal considerar les adreces vulnerables a curt termini que s’han reutilitzat. En tercer lloc, cal plantejar escenaris menys convencionals, com ara situacions en què es produeix la revelació d’una clau pública; un exemple és la bifurcació de Bitcoin que va donar lloc a Bitcoin Cash. Aquesta cadena de blocs alternativa utilitza les mateixes adreces que Bitcoin, de manera que l’ús d’una adreça en qualsevol de les dues cadenes revela la clau pública. Una situació similar es dona a la Lightning Network: un cop obert el canal, la sortida roman sense gastar per evitar tancar-lo. Com que els pagaments entre usuaris requereixen signar transaccions, la clau pública queda al descobert; si un usuari volgués forçar el tancament del canal per evitar perdre els fons, un adversari quàntic podria començar a calcular la clau privada.

Identificació de les monedes vulnerables a atacs quàntics de llarg abast

En aquest treball, ens centrarem únicament a calcular el nombre de monedes a llarg termini. Per obtenir aquest valor, primer hem identificat els escenaris en què, a causa del comportament dels usuaris, les monedes queden bloquejades en aquestes adreces.

El primer escenari, i el més senzill, és aquell en què les monedes estan bloquejades en adreces exposades. Com hem vist, aquestes adreces són intrínsecament de llarg termini. El segon escenari, que també hem explicat, és quan els usuaris reutilitzen una adreça basada en hash; inicialment tenien un abast limitat, però en reutilitzar-les, passen a tenir un abast a llarg termini. Finalment, tenim un cas particular de reutilització d’adreces: de vegades, els usuaris reben diversos pagaments a la mateixa adreça i, tan bon punt s’utilitza una d’aquestes UTXO, totes les altres esdevenen vulnerables.

Un cop identificat on es generen les monedes, hem de desenvolupar un algorisme per comptar-les. Per fer el seguiment de la reutilització d’adreces, utilitzem filtres de Bloom. Aquesta estructura probabilística ens permet emmagatzemar una gran quantitat de dades en poc espai i, el que és més important, permet realitzar comprovacions ràpides de pertinença, una característica clau quan es tracta amb volums de dades tan elevats. L’algorisme és força senzill, tal com es pot veure a la imatge següent.

Per calcular la quantitat total de monedes vulnerables a l’ordinador quàntic a llarg termini, analitzem tota la cadena de blocs i examinem cada transacció de cada bloc. El procés es divideix en dues etapes: primer les sortides i després les entrades.

Començant per les sortides, comprovem per a cadascuna si l’adreça està exposada. Si ho està, en sumem directament l’import al comptador global, ja que, com hem comentat, les adreces exposades són vulnerables a la computació quàntica per definició. Si l’adreça no està exposada, utilitzem el filtre de Bloom per comprovar si s’ha reutilitzat anteriorment. Fem servir aquesta tècnica per evitar haver de cercar entre totes les adreces passades cada vegada, un procés que seria excessivament lent. Si trobem una coincidència, aquestes monedes també són vulnerables i les afegim al comptador. Si no en trobem cap, l’adreça és nova i no està exposada —fet que correspon al tercer escenari que hem descrit abans—, de manera que en guardem l’import en un diccionari per a més endavant.

Un cop processades totes les sortides, passem a analitzar les entrades seguint el mateix procediment. Si l’adreça d’entrada està exposada, en restem l’import del comptador global, ja que aquestes monedes deixen de ser vulnerables un cop gastades. Si no està exposada, tornem a consultar el filtre de Bloom per les mateixes raons que abans. Tant si resulta que l’adreça s’ha reutilitzat com si no, en restarem l’import del comptador global. Si no s’ha utilitzat anteriorment, ens trobem en el tercer escenari: recuperem qualsevol import emmagatzemat per a aquesta adreça al diccionari, l’afegim al comptador i inserim l’adreça al filtre de Bloom per fer un seguiment de futures reutilitzacions.

Amb aquest flux de processament, podem calcular de manera eficient totes les monedes vulnerables a la computació quàntica amb exposició a llarg termini presents a la cadena de blocs.

Resultats

A continuació, podem veure els resultats obtinguts després d’executar l’algorisme.

Tal com s’ha mostrat anteriorment, la quantitat de monedes vulnerables a la computació quàntica varia al llarg del temps i assoleix el seu màxim al voltant de l’altura de bloc 250.000. A partir d’aquest punt, la quantitat va disminuir gradualment fins a l’activació de Taproot, que va comportar una nova onada d’adreces exposades. Des d’aleshores, aquesta xifra ha anat augmentant de manera constant i ha arribat a prop de 5 milions de monedes actualment en risc de robatori.

El gràfic de barres anterior mostra la proporció de monedes vulnerables a la computació quàntica en relació amb l’oferta total en circulació. Aquesta ràtio s’ha mantingut relativament estable al llarg del temps: va començar representant al voltant d’un terç de totes les monedes en els blocs inicials i s’ha estabilitzat gradualment en aproximadament una quarta part de l’oferta total actual.

Conclusió

Aquest treball ens ha permès analitzar el risc real que la computació quàntica suposa per a la xarxa Bitcoin, i ha revelat que aproximadament una quarta part de totes les monedes en circulació estan actualment en risc de robatori. A més, hem constatat que la majoria d’aquestes monedes vulnerables provenen de la reutilització d’adreces, un fet que no només és motiu de preocupació pel que fa a la computació quàntica, sinó que també constitueix una qüestió de privadesa més àmplia que afecta tots els usuaris de la xarxa.

Aquest treball ha estat publicada a Jornadas Nacionales de Investigación en Ciberseguridad (JNIC) 2026