Kwantisatierisico voor crypto: paniek is voorbarig

Toen het quantumonderzoeksteam van Google in maart een artikel publiceerde waarin het de benodigde middelen om elliptische krommecryptografie te kraken opnieuw inschatte, reageerde de crypto-industrie nogal overdreven. Sommigen gingen zelfs zo ver dat ze het einde van Bitcoin aankondigden.

Eerdere schattingen kwamen tot de conclusie dat voor het kraken van 256-bits elliptische krommecryptografie met Shors algoritme tienduizenden logische qubits nodig zouden zijn. Het team van Google bracht dat aantal echter terug tot minder dan 1.200 logische qubits: een twintigvoudige verlaging van de geschatte kosten van de aanval.

Nu de aanval in theorie minder kostbaar is, wat betekent dat over tien jaar voor de Bitcoin in je wallet? Per slot van rekening kan geen enkele quantumcomputer op aarde ook maar in de buurt komen van het stabiel inzetten van 1.200 fouttolerante logische qubits.

Niet om te klinken als de heer die slechts 9 dagen voordat de gebroeders Wright het luchtruim kozen beweerde dat de mens pas over een miljoen jaar zou vliegen, maar om dat niveau te bereiken zijn doorbraken nodig zoals je die in de derde akte van sciencefictionfilms ziet.

Laten we er dus van uitgaan dat die doorbraak nabij is. Voor iedereen met bezittingen op een blockchain die met elliptische krommecryptografie is beveiligd, rest dan nog maar één vraag: hoeveel tijd hebben we?

Volgens mij is dat een nuttiger manier om naar het probleem te kijken: niet of quantumcomputers uiteindelijk de cryptografie van vandaag zullen kraken, maar of de sector kan overstappen voordat dat mogelijk wordt.

Niet alle crypto

Shors algoritme kan een privésleutel afleiden uit een openbare sleutel. Als de openbare sleutel niet op de blockchain zichtbaar is, heeft het algoritme niets om mee te werken.

Bij de meeste moderne Bitcoin-adrestypen blijft de openbare sleutel verborgen totdat er geld wordt uitgegeven. P2PKH en P2WPKH hashen de sleutel, terwijl P2PK en Taproot deze meteen zichtbaar maken. Het risico concentreert zich bij adressen waarvan de sleutel al door een eerdere transactie is onthuld.

Uit on-chainanalyses blijkt dat van alle Bitcoin in omloop de openbare sleutel is blootgesteld voor meer dan 34%. Dat komt neer op ongeveer 1,7 miljoen BTC, verdeeld over circa 20.000 blootgestelde sleutels in verouderde adressen.

Ethereum kampt met een bredere variant van hetzelfde probleem. Elk account dat door de eigenaar zelf wordt beheerd en ooit een transactie heeft ondertekend, heeft genoeg informatie prijsgegeven om de openbare sleutel ervan te achterhalen. Ook validatorhandtekeningen op basis van BLS, KZG-commitments en sommige zero-knowledge-proofsysteem zijn afhankelijk van cryptografie die een krachtig genoeg quantumcomputer zou kunnen kraken.

De migratie is al aan de gang

Quantumcomputers vormen een bedreiging voor RSA en elliptische krommecryptografie in de bankensector, overheidsinfrastructuur met openbare-sleutelcryptografie (PKI) en beveiligde communicatie. Blockchains zijn dus slechts onderdeel van een veel bredere transitie.

NIST heeft in augustus 2024 de eerste drie post-kwantumcryptografiestandaarden definitief vastgesteld: ML-KEM voor het vaststellen van sleutels en ML-DSA en SLH-DSA voor digitale handtekeningen. Op blockchaingebied heeft Bitcoin BIP-360, dat in februari 2026 aan de officiële repository is toegevoegd. Dit voorstel maakte het overbodig om een klassieke openbare sleutel on-chain bloot te stellen.

De protocolcluster van Ethereum streeft naar een kwantumbestendige basislaag in december 2029, voor de uitvoeringslaag, consensus en data.

Om dit te realiseren zijn vijf hard forks nodig, met telkens een tussenpoos van ongeveer zeven maanden.

Deze tijdlijnen zijn niet uniek voor crypto. Google heeft zichzelf als interne doelstelling gesteld om in 2029 de eigen migratie naar post-kwantumcryptografie af te ronden, terwijl het Britse National Cyber Security Centre de voltooiing uiterlijk in 2035 nastreeft. Blockchainnetwerken migreren dus als onderdeel van een veel bredere cryptografische transitie, niet als reactie op een dreiging die alleen crypto treft.

De rekensom achter de tijdlijn

Een rapport van Citigroup eerder dit jaar schatte de kans dat er vóór 2034 een cryptografisch relevante quantumcomputer verschijnt op 19–34%.

De meeste blockchainnetwerken mikken met hun migratieplannen op voltooiing vóór 2034, dus de race pakt voorlopig gunstig uit voor de verdedigers.

Volgens mij schat de crypto-industrie met haar huidige paniek de tijdlijn verkeerd in. De quantumdreiging is reëel, maar de relevante deadline is niet de dag waarop een quantumcomputer operationeel wordt. Het gaat om de deadline voor het verplaatsen van kwetsbare bezittingen en infrastructuur, voordat dat gebeurt.

De enige zorg op dit moment is de maas in de wet van nu verzamelen, later ontsleutelen. Een aanvaller kan vandaag blootgestelde openbare sleutels registreren en proberen de privésleutels terug te halen zodra er een geschikte computer bestaat.

Daarom kan de migratieplanning niet wachten tot quantumcomputers er zijn. Tegen de tijd dat ze er zijn, loopt elke blootgestelde sleutel al risico.

Wat we nu kunnen doen

Voor de meeste gebruikers is de kans dat ze vandaag geld verliezen door phishing, het ondertekenen van schadelijke dApp-transacties, gecompromitteerde firmware of gebrekkige entropie bij het genereren van sleutels veel groter dan door een quantumcomputer.

Het verstandigst is om beide feiten tegelijk voor ogen te houden. Versterk de verdediging tegen aanvallen die nu plaatsvinden. Gebruik adressen niet opnieuw. Kies walletsoftware die standaard uitvoertypen gebruikt waarbij openbare sleutels verborgen blijven. En houd de migratietijdlijnen in de gaten.