Kvantefare i krypto: Panikken er prematur

Da Googles kvanteforskningsteam i mars publiserte en artikkel som justerte anslaget over ressursene som kreves for å bryte elliptisk kurvekryptografi, reagerte kryptobransjen temmelig overdrevent. Reaksjonen gikk så langt som å erklære at dette var slutten for Bitcoin.

Tidligere anslag konkluderte med at det ville kreve titusenvis av logiske kvantebiter å knekke 256-bits elliptisk kurvekryptografi med Shors algoritme. Googles team reduserte imidlertid anslaget til færre enn 1 200 logiske kvantebiter – en 20 ganger lavere beregnet angrepskostnad.

Når angrepet nå er billigere i teorien, hvilken betydning får det for bitcoinene i lommeboken din om ti år? Tross alt er ingen kvantedatamaskin på jorden i nærheten av å kunne opprettholde 1 200 feiltolerante logiske kvantebiter.

Jeg vil ikke være som mannen som hevdet at mennesket ikke kom til å fly på en million år, bare ni dager før brødrene Wright tok til vingene, men å nå dette nivået ville kreve gjennombrudd av den typen man ser i tredje akt av science fiction-filmer.

La oss derfor anta at gjennombruddet er nært forestående. For alle som eier verdier på en blokkjede sikret med elliptisk kurvekryptografi, gjenstår bare spørsmålet: Hvor mye tid har vi?

Etter min mening er dette en mer nyttig måte å tenke på problemet på: ikke om kvantedatabehandling før eller siden vil bryte dagens kryptografi, men om bransjen rekker å gå over til noe nytt før det blir mulig.

Ikke all krypto

Shors algoritme kan utlede en privatnøkkel fra en offentlig nøkkel. Hvis den offentlige nøkkelen ikke er eksponert på blokkjeden, har algoritmen ingenting å arbeide med.

De fleste moderne Bitcoin-adressetyper holder den offentlige nøkkelen skjult fram til midlene brukes. P2PKH og P2WPKH hasher nøkkelen, mens P2PK og Taproot eksponerer den umiddelbart. Risikoen er konsentrert rundt adresser der en tidligere transaksjon allerede har avslørt nøkkelen.

Analyse av blokkjeden viser at over 34 % av alle bitcoin i omløp har fått de offentlige nøklene sine eksponert. Det tilsvarer omtrent 1,7 millioner BTC fordelt på rundt 20 000 eksponerte nøkler i eldre adresser.

Ethereum står overfor en bredere variant av det samme problemet. Alle eksternt eide kontoer som noen gang har signert en transaksjon, har eksponert nok informasjon til at den offentlige nøkkelen kan gjenopprettes. I tillegg til enkeltkontoer bygger også validatorenes BLS-signaturer, KZG-forpliktelser og enkelte systemer for nullkunnskapsbevis på kryptografi som en tilstrekkelig kraftig kvantedatamaskin kan bryte.

Overgangen er allerede i gang

Kvantedatamaskiner utgjør en trussel mot RSA og elliptisk kurvekryptografi innen bank, myndighetenes PKI og sikker kommunikasjon. Blokkjeder er derfor bare en del av en mye større overgang.

NIST ferdigstilte sine tre første standarder for postkvantekryptografi i august 2024: ML-KEM for etablering av nøkler, og ML-DSA og SLH-DSA for digitale signaturer. På blokkjedefronten har Bitcoin BIP-360, som ble innlemmet i det offisielle kodearkivet i februar 2026. Forslaget fjernet behovet for å eksponere en klassisk offentlig nøkkel på blokkjeden.

Ethereums Protocol-klynge har som mål å få på plass et kvantemotstandsdyktig basislag innen desember 2029, på tvers av utførelse, konsensus og data.

Dette vil kreve fem hardforker, på omtrent sju måneder hver.

Disse tidsplanene er ikke unike for kryptobransjen. Google har satt seg et internt mål om å være ferdig innen 2029 med sin egen overgang til postkvantekryptografi, mens Storbritannias National Cyber Security Centre har satt 2035 som frist for å fullføre sin overgang. Blokkjedenettverk går altså over som del av en langt bredere kryptografisk omstilling, ikke som svar på en trussel som bare gjelder krypto.

Regnestykket for tidslinjen

En rapport fra Citigroup tidligere i år anslo en sannsynlighet på 19–34 % for at en kvantedatamaskin med praktisk betydning for kryptografi dukker opp innen 2034.

Overgangsplanene for de fleste blokkjeder legger opp til at arbeidet skal være fullført før 2034, så kappløpet ser foreløpig ut til å gå i forsvarernes favør.

Jeg mener det er her kryptobransjens nåværende panikk bygger på en feil tidslinje. Kvantetrusselen er reell, men den relevante fristen er ikke dagen en kvantedatamaskin blir tilgjengelig. Fristen er når sårbare verdier og infrastrukturer må være flyttet før det skjer.

Den eneste bekymringen nå er smutthullet «samle inn nå, dekryptere senere». En angriper kan katalogisere eksponerte offentlige nøkler i dag og forsøke å gjenopprette nøklene når en tilstrekkelig kraftig maskin finnes.

Derfor kan ikke planleggingen av overgangen vente til kvantedatamaskinene kommer. Når de først er her, er alle eksponerte nøkler allerede i fare.

Hva vi kan gjøre nå

For de fleste brukere er phishing, signering av ondsinnede dApp-er, kompromittert fastvare og dårlig entropi ved nøkkelgenerering langt mer sannsynlige årsaker til økonomiske tap enn en kvantedatamaskin.

Det fornuftige er å holde fast ved begge disse forholdene samtidig: Styrk forsvaret mot dagens angrep. Slutt å gjenbruke adresser. Bruk lommebokprogramvare som som standard velger utdataformater som skjuler offentlige nøkler. Og følg med på tidsplanene for overgangen.