Kvantdatorhotet mot krypto: paniken är förhastad

När Googles kvantforskargrupp i mars publicerade en artikel som reviderade uppskattningen av vilka resurser som krävs för att knäcka elliptisk-kurvekryptografi reagerade kryptobranschen något överdrivet. Reaktionen gick så långt att vissa kallade det slutet för Bitcoin.

Tidigare uppskattningar visade att det skulle krävas tiotusentals logiska kvantbitar för att knäcka 256-bitars elliptisk-kurvekryptografi med Shors algoritm. Men Googles grupp sänkte den siffran till färre än 1 200 logiska kvantbitar – en tjugofaldig minskning av den uppskattade kostnaden för attacken.

Nu när attacken i teorin är billigare, vad innebär det för de bitcoin du har i din plånbok om tio år? Det finns trots allt ingen kvantdator på jorden som ens är i närheten av att kunna upprätthålla 1 200 feltoleranta logiska kvantbitar.

Jag vill inte låta som den herre som hävdade att människan inte skulle kunna flyga på en miljon år, bara nio dagar innan bröderna Wright lyfte, men för att nå den nivån skulle det krävas genombrott av det slag man ser i tredje akten av science fiction-filmer.

Låt oss alltså anta att genombrottet är nära. För alla som har tillgångar på en blockkedja som skyddas med elliptisk-kurvekryptografi återstår då bara en fråga: hur mycket tid har vi?

Enligt min mening är det ett mer användbart sätt att se på problemet: inte om kvantdatorer till slut kommer att knäcka dagens kryptografi, utan om branschen hinner byta innan det blir möjligt.

Inte all krypto

Shors algoritm kan återskapa en privat nyckel utifrån en publik nyckel. Om den publika nyckeln inte har exponerats i blockkedjan har algoritmen inget att arbeta med.

De flesta moderna Bitcoin-adresstyper håller den publika nyckeln dold tills medel spenderas. P2PKH och P2WPKH hashar den, medan P2PK och Taproot exponerar den direkt. Risken är koncentrerad till adresser där en tidigare transaktion redan har avslöjat nyckeln.

Analyser av blockkedjan visar att mer än 34 % av alla bitcoin i omlopp har fått sina publika nycklar exponerade. Det motsvarar ungefär 1,7 miljoner BTC fördelade på cirka 20 000 exponerade nycklar i äldre adresser.

Ethereum står inför en mer omfattande variant av samma problem. Varje externt ägt konto som någon gång har signerat en transaktion har exponerat tillräckligt med information för att den publika nyckeln ska kunna återskapas. Utöver enskilda konton bygger även validatorernas BLS-signaturer, KZG-åtaganden och vissa system för nollkunskapsbevis på kryptografi som en tillräckligt kraftfull kvantdator skulle kunna knäcka.

Övergången är redan i gång

Kvantdatorer hotar RSA och elliptisk-kurvekryptografi inom banksektorn, offentlig nyckelinfrastruktur för myndigheter och säker kommunikation. Blockkedjor är därför bara en del av en mycket större omställning.

NIST färdigställde sina tre första standarder för postkvantkryptografi i augusti 2024: ML-KEM för etablering av nycklar samt ML-DSA och SLH-DSA för digitala signaturer. På blockkedjesidan har Bitcoin BIP-360, som införlivades i det officiella kodarkivet i februari 2026. Förslaget tog bort behovet av att exponera en klassisk publik nyckel i blockkedjan.

Ethereums protokollgrupp siktar på att ha ett kvantresistent baslager på plats i december 2029, för exekvering, konsensus och data.

För att genomföra detta krävs fem hårda forkar, med ungefär sju månader mellan varje.

Tidsplanerna är inte unika för kryptobranschen. Google har satt upp ett internt mål för 2029 för att slutföra sin egen övergång till postkvantkryptografi, medan Storbritanniens nationella cybersäkerhetscentrum har satt 2035 som mål för att bli klart. Blockkedjenätverk genomgår alltså övergången som en del av en mycket bredare kryptografisk omställning, snarare än som ett svar på ett hot som är unikt för krypto.

Så ser tidsplanen ut

En rapport från Citigroup tidigare i år uppskattade sannolikheten till 19–34 % för att en kvantdator med kryptografisk relevans ska finnas år 2034.

De flesta blockkedjors övergångsplaner siktar på att arbetet ska vara klart före 2034, så kapplöpningen går för närvarande försvararnas väg.

Jag tror att det är här kryptobranschens nuvarande panik bygger på en missuppfattning om tidsplanen. Kvantumhotet är verkligt, men den viktiga tidsfristen är inte dagen då en kvantdator tas i bruk. Det är tidsfristen för att flytta sårbara tillgångar och bygga om infrastrukturen innan dess.

Det enda orosmomentet nu är kryphålet ”samla in nu, dekryptera senare”. En angripare kan katalogisera exponerade publika nycklar i dag och försöka återskapa dem när en tillräckligt kapabel dator finns tillgänglig.

Därför kan planeringen av övergången inte vänta tills kvantdatorerna kommer. När de väl är här är alla exponerade nycklar redan i fara.

Vad vi kan göra nu

För de flesta användare är det i dag betydligt mer sannolikt att nätfiske, skadlig signering i decentraliserade appar, komprometterad fast programvara och bristfällig entropi vid nyckelgenerering kostar dem pengar än att en kvantdator gör det.

Det rimliga är att hålla två saker i åtanke samtidigt. Stärk skyddet mot dagens attacker. Återanvänd inte adresser. Använd plånboksprogram som som standard väljer utdataformat där publika nycklar hålls dolda. Och följ tidsplanerna för övergången.