Computação quântica e suas moedas: o que está realmente em risco
Computação quântica é o assunto cripto sobre o qual se fala mal com admirável constância. Um lado diz que tudo está prestes a quebrar; o outro diz que faltam décadas e para de pensar. Ambos pulam a parte de fato útil, que é saber qual parte do sistema é vulnerável e quais das suas moedas estão expostas.
Porque a resposta não é uniforme. Algumas saídas correm um risco sensivelmente maior que outras, e essa diferença é algo sobre o que você pode agir hoje.
Dois algoritmos, dois problemas bem diferentes
Quase toda a preocupação se reduz a dois resultados dos anos 1990.
O algoritmo de Shor resolve com eficiência os problemas em que a criptografia de chave pública se apoia: a fatoração e o logaritmo discreto sobre o qual as assinaturas secp256k1 são construídas. Um computador quântico suficientemente grande rodando Shor conseguiria derivar uma chave privada a partir de uma chave pública. Essa é a ameaça real, e não é pequena: quebra as assinaturas por completo, em vez de enfraquecê-las.
O algoritmo de Grover acelera a busca não estruturada, mas apenas de forma quadrática. Contra uma função de hash, corta aproximadamente pela metade a segurança efetiva. O SHA-256 cai de 256 bits para cerca de 128 bits de resistência, o que continua muito fora de alcance. A mineração ganha uma aceleração teórica que importa bem menos do que parece, porque a prova de trabalho é uma corrida contra outros mineradores, não contra um alvo fixo.
Então o resumo que realmente importa: o hash está bem, as assinaturas não. Toda preocupação séria decorre dessa única frase.
Por que um endereço não é uma chave pública
Aqui está a parte que a maioria das discussões pula, e é justamente ela que determina a sua exposição.
Endereços de Bitcoin não são chaves públicas. São hashes de chaves públicas ou, nos endereços baseados em script, hashes de um script. A chave pública não aparece na cadeia quando você recebe fundos. Ela aparece quando você os gasta, porque gastar exige publicar uma assinatura e a chave que a valida.
Isso cria duas categorias de moeda:
Com hash e não gasta. A cadeia mostra apenas um hash. Para atacá-la, um adversário quântico precisaria quebrar o hash primeiro, e Grover não o leva até lá. Essas saídas estão protegidas por uma camada extra que nada tem a ver com assinaturas.
Com chave pública exposta. Assim que você gasta de um endereço, a chave fica pública para sempre. Tudo que continuar ali depois está protegido apenas pelo esquema de assinatura em si.
Essa distinção é o motivo pelo qual «não reutilize endereços» acaba sendo um conselho relevante diante do quântico, depois de anos sendo recomendado apenas por razões de privacidade. Reutilizar um endereço significa que o segundo pagamento fica atrás de uma chave pública exposta em vez de um hash.
O que está realmente exposto hoje
As primeiras saídas do Bitcoin. As transações mais antigas pagavam diretamente a chaves públicas em vez de a hashes. Essas chaves em bruto estão visíveis na cadeia agora mesmo. Uma fatia grande de moedas muito antigas e nunca movimentadas — incluindo boa parte do que se presume ser de Satoshi — cai nessa categoria.
Qualquer endereço reutilizado. Gaste uma vez e tudo que você receber ali depois fica atrás de uma chave publicada.
Todo endereço Ethereum que já transacionou. Vale dizer isso com clareza porque surpreende as pessoas: nas cadeias EVM a chave pública é recuperável a partir de qualquer assinatura. Se um endereço enviou uma única transação, sua chave é efetivamente pública. O Ethereum não tem equivalente da categoria «com hash e não gasta» do Bitcoin.
As saídas Taproot. O Taproot coloca uma chave pública diretamente na saída em vez de um hash dela. É um projeto elegante, com ganhos reais de privacidade e eficiência, e de fato significa que as saídas por caminho de chave expõem uma chave desde o momento em que são financiadas. Vale saber; hoje não é motivo de alarme.
A janela do mempool. Quando você gasta, sua chave pública se torna visível no instante em que você transmite, antes da confirmação. Um atacante quântico rápido o bastante para derivar uma chave e conseguir minerar uma transação concorrente dentro dessa janela poderia roubar fundos em trânsito. É um ataque teórico real e exige capacidades muito além de qualquer coisa demonstrada.
Onde a SSP se situa, honestamente
Os endereços Bitcoin da SSP são P2WSH — um hash de um script de testemunha. Isso coloca suas moedas não gastas na categoria do hash: o que está na cadeia antes de você gastar é um hash, não chaves. Quando você gasta, o script e ambas as chaves públicas são revelados, exatamente como em qualquer outra saída baseada em script.
E agora a parte em que seria fácil prometer demais, então não vamos. O multisig 2-de-2 ajuda contra o quântico? Mal.
Um atacante rodando Shor contra o seu script já gasto precisa derivar duas chaves em vez de uma. Isso é aproximadamente o dobro do trabalho. O dobro é um fator constante, e fatores constantes não são segurança: quem tem capacidade de quebrar uma chave secp256k1 quase certamente tem capacidade de quebrar duas. O multisig dois-de-dois é excelente proteção contra comprometimento de dispositivo, phishing, roubo e coerção sobre uma única chave. Contra um computador quântico criptograficamente relevante ele é quase irrelevante, e quem lhe vender multisig como proteção quântica está enganando você.
O que realmente importa é a migração para assinaturas pós-quânticas no nível da cadeia, e isso não é algo que uma carteira possa fazer sozinha.
Quão perto está tudo isso?
Nada perto, em qualquer leitura honesta.
Quebrar secp256k1 com Shor exige um computador quântico grande e com correção de erros. Como os qubits físicos são ruidosos, são necessários muitos deles para produzir um qubit lógico confiável, e as estimativas publicadas para atacar tamanhos de chave reais chegam a milhões de qubits físicos. As máquinas atuais estão atrás por muitas ordens de grandeza — não é questão de mais uma geração de hardware.
Duas coisas impedem que isso seja motivo para ignorar o assunto.
Primeiro, o calendário é genuinamente incerto. «Muitas ordens de grandeza de distância» descreve o hoje com honestidade e serve mal como base para previsões confiantes sobre 2040.
Segundo, e mais importante: chaves expostas não expiram. Com dados cifrados existe a preocupação de «colher agora, decifrar depois». Com moedas, o equivalente é mais simples e pior — uma chave pública visível hoje continua visível, e as moedas atrás dela podem ser tomadas assim que a capacidade chegar. Não há janela que se feche. Esse é o argumento para se importar agora com em qual categoria suas moedas estão, mesmo que a ameaça siga distante.
O que está sendo feito
O alicerce criptográfico já existe. O NIST padronizou esquemas de assinatura pós-quânticos — ML-DSA e SLH-DSA, derivados das propostas Dilithium e SPHINCS+ — e eles são implantáveis hoje em software comum.
As blockchains são o caso difícil. Mudar o esquema de assinatura é uma mudança de consenso: cada nó, cada carteira, cada corretora, cada peça de infraestrutura precisa concordar e migrar. As assinaturas pós-quânticas também são bem maiores que as em uso, o que tem consequências diretas sobre espaço de bloco e taxas. E alguém terá de decidir o que acontece com moedas cujos donos nunca migrarem — incluindo saídas antigas cujos donos podem estar inalcançáveis ou mortos. É um problema de governança pelo menos tão difícil quanto o técnico.
O trabalho está acontecendo. Ainda não é urgente, e levará anos quando for.
O que fazer
Não reutilize endereços. Você já deveria fazer isso por privacidade. Além disso, mantém suas moedas na categoria do hash em vez de atrás de chaves expostas. É a única coisa significativa que uma pessoa pode fazer hoje, e é de graça.
Não reorganize suas posições por causa disso. Nenhum movimento de pânico se justifica. Quem estiver lhe pressionando a mover fundos com urgência por causa da computação quântica está aplicando um golpe ou lhe vendendo algo.
Mantenha a ameaça em proporção. Realisticamente, é muito mais provável que você perca cripto por uma frase semente extraviada, um site de phishing ou uma aprovação que não leu do que por um computador quântico. Esses são os riscos de hoje e merecem a atenção de hoje.
Espere que isso seja resolvido na camada do protocolo. Quando a migração vier, virá como uma atualização de cadeia com uma transição longa, não como algo que sua carteira conserta em silêncio.
A posição honesta não tem glamour: um problema real, corretamente identificado, ainda distante, sendo trabalhado — e que no momento não é o que está entre você e a perda do seu dinheiro.
