Riesgo cuántico en las criptomonedas: es prematuro entrar en pánico

Cuando el equipo de investigación cuántica de Google publicó en marzo un artículo que revisaba la estimación de recursos necesarios para quebrar la criptografía de curva elíptica, la industria de las criptomonedas reaccionó con bastante dramatismo. Algunos llegaron incluso a calificarlo como el fin de Bitcoin.

Las estimaciones anteriores concluían que quebrar la criptografía de curva elíptica de 256 bits con el algoritmo de Shor requeriría decenas de miles de cúbits lógicos. Sin embargo, el equipo de Google redujo esa cifra a menos de 1.200 cúbits lógicos: una reducción de 20 veces en el costo estimado del ataque.

Ahora que, en teoría, el ataque es más barato, ¿qué efecto tendrá eso en los Bitcoin de tu cartera dentro de una década? Al fin y al cabo, ningún ordenador cuántico del planeta está ni remotamente cerca de mantener 1.200 cúbits lógicos tolerantes a fallos.

No quiero parecerme a aquel caballero que afirmó que el ser humano no volaría en un millón de años apenas 9 días antes de que los hermanos Wright alzaran el vuelo, pero alcanzar ese nivel requeriría avances como los que se ven en el tercer acto de las películas de ciencia ficción.

Así que supongamos que el avance está cerca. Para quienes poseen activos en una cadena de bloques protegida por criptografía de curva elíptica, la única pregunta es: ¿cuánto tiempo tenemos?

A mi juicio, esta es una forma más útil de abordar el problema: no preguntarse si la computación cuántica acabará quebrando la criptografía actual, sino si la industria podrá migrar antes de que eso sea posible.

No todas las criptomonedas

El algoritmo de Shor recupera una clave privada a partir de una clave pública. Si la clave pública no está expuesta en la cadena, el algoritmo no tiene con qué operar.

La mayoría de los tipos modernos de direcciones de Bitcoin mantienen oculta la clave pública hasta que se gastan los fondos. P2PKH y P2WPKH la cifran mediante un hash, mientras que P2PK y Taproot la exponen de inmediato. El riesgo se concentra en las direcciones cuya clave ya quedó expuesta en una transacción anterior.

El análisis de la cadena muestra que más del 34 % de todos los Bitcoin en circulación han tenido sus claves públicas expuestas. Eso equivale aproximadamente a 1,7 millones de BTC repartidos entre unas 20.000 claves expuestas que se encuentran en direcciones antiguas.

Ethereum afronta una versión más amplia del mismo problema. Todas las cuentas de propiedad externa que han firmado alguna vez una transacción han expuesto suficiente información para que se pueda recuperar su clave pública. Además de las cuentas individuales, las firmas BLS de los validadores, los compromisos KZG y algunos sistemas de prueba de conocimiento cero también dependen de criptografía que un ordenador cuántico lo bastante potente podría quebrar.

La migración ya está en marcha

Los ordenadores cuánticos amenazan el RSA y la criptografía de curva elíptica en los sectores bancario y gubernamental —incluida la infraestructura de clave pública (PKI)— y en las comunicaciones seguras, por lo que las cadenas de bloques son solo una parte de una transición mucho más amplia.

En agosto de 2024, el NIST finalizó sus tres primeros estándares de criptografía poscuántica: ML-KEM para el establecimiento de claves, y ML-DSA y SLH-DSA para las firmas digitales. En el ámbito de las cadenas de bloques, Bitcoin cuenta con la BIP-360, incorporada al repositorio oficial en febrero de 2026. Esta propuesta eliminó la necesidad de exponer en la cadena una clave pública clásica.

El grupo de Protocolo de Ethereum apunta a tener una capa base resistente a la computación cuántica para diciembre de 2029, en las áreas de ejecución, consenso y datos.

Para llevarlo a cabo se necesitarán cinco bifurcaciones duras, de aproximadamente siete meses cada una.

Estos plazos no son exclusivos del sector de las criptomonedas. Google se ha fijado como objetivo interno completar su propia migración poscuántica en 2029, mientras que el Centro Nacional de Ciberseguridad del Reino Unido se ha propuesto completarla para 2035. Por tanto, las redes de cadenas de bloques están migrando como parte de una transición criptográfica mucho más amplia, en lugar de responder a una amenaza exclusiva de las criptomonedas.

Los cálculos de los plazos

Un informe de Citigroup publicado a principios de este año estimó en un 19-34 % la probabilidad de que aparezca, para 2034, un ordenador cuántico con relevancia criptográfica.

Los planes de migración de la mayoría de las cadenas de bloques apuntan a completarse antes de 2034, así que, por ahora, la carrera favorece a quienes se defienden.

Creo que aquí es donde el pánico actual de la industria de las criptomonedas calcula mal los plazos. La amenaza cuántica es real, pero la fecha límite importante no es el día en que entre en funcionamiento un ordenador cuántico. Es el plazo para migrar los activos y la infraestructura vulnerables antes de que eso ocurra.

La única preocupación ahora es la estrategia de recopilar datos hoy para descifrarlos más adelante. Un atacante puede catalogar hoy las claves públicas expuestas e intentar recuperarlas cuando exista una máquina capaz de hacerlo.

Por eso, la planificación de la migración no puede esperar a que lleguen los ordenadores cuánticos. Para cuando estén aquí, todas las claves expuestas ya correrán peligro.

Qué podemos hacer ahora

Hoy, para la mayoría de los usuarios, es mucho más probable que pierdan dinero por phishing, por firmar transacciones maliciosas en aplicaciones descentralizadas (dApp), por un firmware comprometido o por generar claves con poca entropía que por un ordenador cuántico.

Lo sensato es tener presentes ambas cosas a la vez. Refuerza las defensas contra los ataques actuales. Deja de reutilizar direcciones. Usa programas de cartera que seleccionen de forma predeterminada tipos de salida que oculten las claves públicas. Y sigue de cerca los plazos de migración.