Cроки факторизации приватных ключей RSA и Bitcoin немного приблизились

В марте 2026 году криптографы из Google Quantum AI опубликовали доказательство, что сверхпроводящий квантовый компьютер с 500 000 физических кубитов (это 1200 кубитов с коррекцией ошибок) способен взломать приватные ключи Bitcoin максимум за 9 минут (быстрее, чем 10-минутное время генерации новых блоков). Хотя опасность квантовых вычислений для традиционных шифров известна давно, ранее для этого предполагалась более серьёзная конфигурация, чем 500 тыс. кубитов.

Новое доказательство поднимает перед финансовой индустрией несколько вопросов:

1. Когда будут разработаны и поступят в продажу квантовые компьютеры на 500 тыс. кубитов, если сейчас у самого мощного около 150 кубитов.

2. Какие меры необходимо предпринять для обновления протоколов (постквантовая криптография).

3. Как перевести деньги на новые кошельки, защищённые от квантовых вычислений.

Исследователи Google Quantum AI в техническом отчёте дают рекомендации по минимизации ущерба.

---

Приватные ключи Bitcoin

В научной статье идёт речь о решении задачи дискретного логарифмирования в группе точек эллиптической кривой 256-бит (256-bit Elliptic Curve Discrete Logarithm Problem или ECDLP). Это фундаментальная криптографическая задача, заключающаяся в нахождении целого числа по заданным точкам и кривой, чтобы , где и — известные точки на кривой.

Для 256-битных кривых типа secp256k1 в Bitcoin задача считается вычислительно неразрешимой классическими методами, так как требуемое время растёт экспоненциально с длиной ключа.

Как работает атака

Специалисты Google Quantum AI доказали, что алгоритм Шора на сверхпроводящем квантовом компьютере может вычислить личный приватный ключ за 70 млн вычислительных шагов, тем самым разрушив криптографическую основу безопасности Bitcoin. Закрытый ключ вычисляется на основе открытого.

В доказательство своих выводов исследователи сгенерировали доказательство с нулевым разглашением, то есть Zero Knowledge Proof (ZKP), которое позволяет проверить результаты расчётов без публикации самих формул (чтобы не помогать потенциальным злоумышленникам):

Вычисление закрытого ключа выполняется с помощью алгоритма Шора, разработанного в 1994 году математиком Петером Шором. Этот квантовый алгоритм факторизации (разложения числа на простые множители) может напрямую распознавать и использовать определённые математические структуры, лежащие в основе классической криптографии. То, что кажется бесконечной задачей поиска для обычных компьютеров, становится разрешимой задачей для достаточно большого квантового компьютера (CRQC).

Когда пользователь Bitcoin отправляет транзакцию, она сначала попадает в мемпул, это публично видимый для всех фрагмент неподтверждённых транзакций. Там виден открытый ключ отправителя. В среднем через десять минут транзакция будет сохранена в блокчейне. Именно этот отрезок времени эксплуатируется в опубликованной атаке. Десяти минут хватит, чтобы CRQC считал открытый ключ, вычислил закрытый ключ и отправил поддельную транзакцию с более высокой комиссией. Майнеры обработают её первой, а оригинальная транзакция будет вытеснена.

Эффективная продолжительность атаки может быть сокращена до примерно девяти минут, поскольку часть вычислений можно выполнить заранее — затем квантовый компьютер ждёт, подготовленный, открытого ключа жертвы.

Кроме того, открытыми для атаки становятся старые адреса, чей открытый ключ уже постоянно виден в блокчейне. Например, старые, никогда не перемещавшиеся кошельки, для взлома которых у злоумышленника есть дни или недели.

Ключевое достижение статьи заключается в эффективности нового метода. Предыдущие оценки предполагали около 200 млн вычислительных шагов и 9 млн физических кубитов. Инженерам Google удалось оптимизировать алгоритм Шора до 70 млн вычислительных шагов и менее чем 500 тыс. кубитов.

Такой оптимизации удалось достичь благодаря применению двух методов:

1. Пакетная арифметика (Windowed Arithmetic). Суть атаки заключается в многократном сложении точек на эллиптической кривой. В наивном подходе сложение требует 512 отдельных операций, а исследователи сгруппировали их по 16 шагов в каждое «окно» и заранее вычислили возможные результаты классическим способом. Это сократило количество необходимых квантовых операций с 512 до 28.

2. Продвинутая коррекция ошибок. Google использовала «связанные поверхностные коды» (Yoked Surface Codes) — особенно плотную упаковку коррекционных цепей, что снизило потребность в физических кубитах с 9 млн до 500 тыс. В этой системе работают 1200 надёжных логических кубитов, каждый из которых в реальном оборудовании требует около 400 обычных сбойных физических кубитов.

Кроме того, исследователи внедрили ряд более мелких, но эффективных оптимизаций, таких как «обратные вычисления на основе измерений» Measurement-Based Uncomputation, где сложные обратные вычислительные шаги заменяются целевыми измерениями, тем самым сокращая некоторые вычислительные шаги вдвое.

Новизна статьи заключается в последовательном объединении всех известных оптимизаций в общей архитектуре схемы. Результатом стала квантовая схема, которая более компактна, быстрее и требует меньше аппаратных ресурсов.

Какие сроки?

Ни один существующий квантовый компьютер не может выполнить описанную атаку. Текущий процессор IBM Nighthawk работает со 120 физическими кубитами, а финская компания IQM анонсировала 150-кубитный чип с системой Halocene. Процессор Google Willow работает в аналогичных пределах.

Некоторые производители нацелены на создание систем с 2 млн физических кубитов к 2030 году. Если эти планы будут выполнены хотя бы приблизительно, порог, необходимый для атаки на Bitcoin, теоретически может быть достигнут во второй половине 2030-х. Но вполне возможно, что реальные сроки находятся ближе к 2050 или 2100 г.

Однако исследователи из Google предупреждают, что могут появиться очередные оптимизации, способные сдвинуть сроки. Нельзя исключать, что эти важные прорывы останутся неизвестными для широкой публики.

Рекомендации по минимизации ущерба

Согласно документу, в настоящее время около 6,9 млн BTC находятся в кошельках с раскрытыми открытыми ключами, включая около 1,7 миллиона BTC в так называемых адресах P2PK. Это устаревший формат адресов из ранних дней Bitcoin, где открытый ключ хранится непосредственно в блокчейне. Среди них есть монеты, приписываемые Сатоши Накамото.

Около 2,3 млн BTC не перемещались минимум пять лет. Эти «спящие» монеты не могут быть перемещены на безопасные адреса — их владельцы недоступны или приватные ключи утеряны. Таким образом, они остаются постоянной целью для атаки, которая может воскресить эти монеты и вывести на рынок, обрушив цену.

Хотя Bitcoin в первую очередь подвержен риску, у Ethereum структурно более широкий профиль атаки. Как и Bitcoin, эта сеть использует цифровые подписи на основе алгоритма цифровой подписи с эллиптической кривой (ECDSA), но более широкий вектор атак обусловлен архитектурой системы. Платформа выполняет не только транзакции, но и смарт-контракты. Учётные записи Ethereum постоянно раскрывают свой открытый ключ после первой транзакции. Под угрозой около 20,5 млн ETH в тысяче самых ценных аккаунтов. Ситуация особенно опасна со смарт-контрактами, которые часто управляются несколькими привилегированными аккаунтами: кто знает их приватный ключ, контролирует весь контракт — на данный момент это около $200 млрд в стейблкоинах и токенизированных активах.

Ещё 37 млн ETH находятся в стейкинге, и они тоже под угрозой из-за уязвимых подписей. С механизмом доступности данных Ethereum одной квантовой атаки будет достаточно, чтобы создать постоянно используемую лазейку, которая затем будет функционировать без квантового компьютера.

Миграция на защищённые адреса

Перенос монет на защищённые адреса требует изменений в протоколе, которые должны быть приняты путём консенсуса в децентрализованной сети.

Только на блокчейне Bitcoin перенос всех монет на квантоустойчивые адреса потребует несколько месяцев при текущей пропускной способности транзакций.

В качестве краткосрочных защитных мер авторы также рекомендуют не использовать повторно публичные ключи и отправлять транзакции в приватные мемпулы, где они не видны публично.

Авторы технического отчёта упоминают факт, что в данный момент идёт активная токенизация реальных физических активов: золота и других материальных ресурсов, акций и других ценных бумаг. По некоторым прогнозам, токенизация откроет рынки на более $16 трлн к 2030 году. В то же время криптографические протоколы, лежащие в основе токенизации, остаются уязвимыми для квантовых атак. На самом деле, обновления и новые функции продолжают разрабатываться на основе квантово-уязвимой криптографии и в некоторых случаях даже ослабляют существующие меры защиты.

Подводя итог, авторы отчёта рекомендуют как можно быстрее обратить внимание на проблему и внедрять новые протоколы только на постквантовой криптографии. Возможно, понадобится даже политическое вмешательство, чтобы принудить публичные блокчейны перейти на защищённые протоколы.

Оставшееся время до появления CRQC всё ещё превышает необходимое время для миграции публичных блокчейнов, но запаса времени становится всё меньше, говорится в отчёте. Авторы отмечают многочисленные текущие усилия по переходу на постквантовую криптографию, разработку постквантовых блокчейнов, таких как QRL и Abelian, интеграцию протоколов на Algorand, постквантовые эксперименты на Solana и XRP Ledger, а также активные исследовательские и разработческие инициативы, возглавляемые Фондом Ethereum. Все эти новаторские проекты «демонстрируют, что переход к постквантовой криптографии реален и внушают надежду, что он будет завершён до того, как первые CRQC станут доступны».