La computación cuántica y tus monedas: qué está realmente en riesgo
La computación cuántica es el tema cripto del que peor se habla, con una fiabilidad admirable. Un bando dice que todo está a punto de romperse; el otro dice que faltan décadas y deja de pensar. Ambos se saltan la parte realmente útil, que es saber qué parte del sistema es vulnerable y cuáles de tus monedas están expuestas.
Porque la respuesta no es uniforme. Algunas salidas corren un riesgo notablemente mayor que otras, y esa diferencia es algo sobre lo que puedes actuar hoy.
Dos algoritmos, dos problemas muy distintos
Casi toda la inquietud se reduce a dos resultados de los años noventa.
El algoritmo de Shor resuelve de forma eficiente los problemas en los que se apoya la criptografía de clave pública: la factorización y el logaritmo discreto sobre el que se construyen las firmas de secp256k1. Un ordenador cuántico suficientemente grande ejecutando Shor podría derivar una clave privada a partir de una clave pública. Esa es la amenaza real, y no es menor: rompe las firmas por completo en lugar de debilitarlas.
El algoritmo de Grover acelera la búsqueda no estructurada, pero solo de forma cuadrática. Frente a una función hash reduce aproximadamente a la mitad la seguridad efectiva. SHA-256 baja de 256 bits a unos 128 bits de resistencia, algo que sigue estando muy fuera de alcance. La minería obtiene una aceleración teórica que importa mucho menos de lo que parece, porque la prueba de trabajo es una carrera contra otros mineros, no contra un objetivo fijo.
Así que el resumen que de verdad importa: el hash está bien, las firmas no. Toda preocupación seria se deriva de esa única frase.
Por qué una dirección no es una clave pública
Aquí está la parte que la mayoría de las discusiones omite, y es justo la que determina tu exposición.
Las direcciones de Bitcoin no son claves públicas. Son hashes de claves públicas o, en las direcciones basadas en script, hashes de un script. La clave pública no aparece en la cadena cuando recibes fondos. Aparece cuando los gastas, porque gastar exige publicar una firma y la clave que la valida.
Eso crea dos categorías de moneda:
Con hash y sin gastar. La cadena solo muestra un hash. Para atacarla, un adversario cuántico tendría que romper primero el hash, y Grover no le lleva hasta ahí. Estas salidas están protegidas por una capa adicional que no tiene nada que ver con las firmas.
Con la clave pública expuesta. En cuanto gastas desde una dirección, la clave queda pública para siempre. Todo lo que siga en esa dirección después está protegido únicamente por el esquema de firma.
Esa distinción es la razón por la que «no reutilices direcciones» resulta ser un consejo relevante frente a lo cuántico, después de años recomendándose solo por motivos de privacidad. Reutilizar una dirección significa que el segundo pago queda detrás de una clave pública expuesta en lugar de detrás de un hash.
Qué está realmente expuesto hoy
Las primeras salidas de Bitcoin. Las transacciones más antiguas pagaban directamente a claves públicas en vez de a hashes. Esas claves en bruto son visibles en la cadena ahora mismo. Una fracción grande de monedas muy antiguas que nunca se han movido —incluida buena parte de lo que se presume que es de Satoshi— entra en esta categoría.
Cualquier dirección reutilizada. Gasta una vez y todo lo que recibas allí después queda tras una clave publicada.
Toda dirección de Ethereum que haya transaccionado alguna vez. Vale la pena decirlo con claridad porque sorprende a mucha gente: en las cadenas EVM la clave pública se puede recuperar a partir de cualquier firma. Si una dirección ha enviado una sola transacción, su clave es efectivamente pública. Ethereum no tiene un equivalente de la categoría «con hash y sin gastar» de Bitcoin.
Las salidas Taproot. Taproot pone una clave pública directamente en la salida en lugar de un hash de ella. Es un diseño elegante con ventajas reales de privacidad y eficiencia, y sí implica que las salidas por vía de clave exponen una clave desde el momento en que se financian. Conviene saberlo; no es motivo de alarma hoy.
La ventana del mempool. Cuando gastas, tu clave pública se vuelve visible en el instante en que emites, antes de la confirmación. Un atacante cuántico lo bastante rápido como para derivar una clave y conseguir que se mine una transacción rival dentro de esa ventana podría robar fondos en vuelo. Es un ataque teórico real y exige capacidades muy por encima de todo lo demostrado.
Dónde queda SSP, con honestidad
Las direcciones de Bitcoin de SSP son P2WSH: un hash de un script testigo. Eso sitúa tus monedas sin gastar en la categoría del hash: lo que hay en la cadena antes de que gastes es un hash, no claves. Cuando gastas, se revelan el script y ambas claves públicas, exactamente igual que en cualquier otra salida basada en script.
Y ahora la parte donde sería fácil prometer de más, así que no lo haremos. ¿Ayuda el multifirma 2-de-2 frente a lo cuántico? Apenas.
Un atacante que ejecute Shor contra tu script ya gastado necesita derivar dos claves en lugar de una. Eso es aproximadamente el doble de trabajo. El doble es un factor constante, y los factores constantes no son seguridad: un adversario con capacidad para romper una clave secp256k1 casi con certeza tiene capacidad para romper dos. El multifirma 2-de-2 es una protección excelente contra el compromiso de un dispositivo, el phishing, el robo y la coacción sobre una sola clave. Frente a un ordenador cuántico criptográficamente relevante es casi irrelevante, y quien te venda multifirma como protección cuántica te está engañando.
Lo que de verdad importa es la migración a firmas poscuánticas a nivel de cadena, y eso no es algo que una cartera pueda hacer por su cuenta.
¿Cuán cerca está todo esto?
Nada cerca, en cualquier lectura honesta.
Romper secp256k1 con Shor requiere un ordenador cuántico grande y con corrección de errores. Como los cúbits físicos son ruidosos, hacen falta muchos para producir un cúbit lógico fiable, y las estimaciones publicadas para atacar tamaños de clave reales llegan a los millones de cúbits físicos. Las máquinas actuales se quedan cortas por muchos órdenes de magnitud: no es cuestión de una generación más de hardware.
Dos cosas impiden que eso sea una razón para ignorar el asunto.
Primero, el calendario es genuinamente incierto. «A muchos órdenes de magnitud de distancia» describe con honestidad el presente y sirve de mal fundamento para predicciones seguras sobre 2040.
Segundo, y más importante: las claves expuestas no caducan. Con datos cifrados existe la preocupación de «cosechar ahora, descifrar después». Con las monedas, el equivalente es más simple y peor: una clave pública visible hoy sigue visible, y las monedas que hay detrás pueden tomarse en cuanto llegue la capacidad. No hay ninguna ventana que se cierre. Ese es el argumento para preocuparse ahora por en qué categoría están tus monedas, aunque la amenaza siga siendo lejana.
Qué se está haciendo
El trabajo criptográfico de base ya existe. El NIST ha normalizado esquemas de firma poscuánticos —ML-DSA y SLH-DSA, derivados de las propuestas Dilithium y SPHINCS+— y son desplegables hoy en software corriente.
Las cadenas de bloques son el caso difícil. Cambiar el esquema de firma es un cambio de consenso: cada nodo, cada cartera, cada casa de cambio y cada pieza de infraestructura tiene que estar de acuerdo y migrar. Las firmas poscuánticas también son bastante más grandes que las actuales, lo que tiene consecuencias directas sobre el espacio de bloque y las comisiones. Y alguien tendrá que decidir qué pasa con las monedas cuyos dueños nunca migren, incluidas salidas antiguas cuyos dueños quizá sean ilocalizables o hayan muerto. Ese es un problema de gobernanza al menos tan duro como el técnico.
Se está trabajando en ello. No es urgente todavía, y llevará años cuando lo sea.
Qué hacer
No reutilices direcciones. Ya deberías hacerlo por privacidad. Además mantiene tus monedas en la categoría del hash en lugar de detrás de claves expuestas. Es lo único con sentido que una persona puede hacer hoy, y es gratis.
No reorganices tus tenencias por esto. Ningún movimiento de pánico está justificado. Quien te urja a mover fondos con urgencia por la computación cuántica está montando una estafa o vendiéndote algo.
Mantén la amenaza en proporción. Siendo realistas, es mucho más probable que pierdas cripto por una frase semilla extraviada, un sitio de phishing o una aprobación que no leíste que por un ordenador cuántico. Esos son los riesgos de hoy y merecen la atención de hoy.
Espera que se resuelva en la capa del protocolo. Cuando llegue la migración, llegará como una actualización de cadena con una transición larga, no como algo que tu cartera arregle en silencio.
La posición honesta no tiene glamour: un problema real, correctamente identificado, todavía lejano, en el que se está trabajando, y que ahora mismo no es lo que se interpone entre tú y perder tu dinero.
