Захист Bitcoin від квантових комп’ютерів

Якби зловмисник отримав достатньо потужний квантовий комп’ютер, він міг би обчислити приватний ключ за публічним і переказати собі чужі монети. Доступ до вашого апаратного гаманця чи seed-фрази для цього не потрібен, оскільки атака використовує слабке місце в способі підпису транзакцій. Google Quantum AI оцінила, яке обладнання знадобилося б для такого зламу.

Захист Bitcoin від квантових комп’ютерів потребує змін у самій мережі, зокрема нових способів підпису транзакцій. Поки їх не впровадили, ви можете перевірити адреси, на яких зберігаєте кошти, та обрати ті, що приховують публічний ключ до надсилання монет. У блокчейні спочатку видно лише хеш — короткий цифровий відбиток цього ключа. Нижче пояснюємо, які адреси працюють саме так, чому їх варто змінювати після переказу та чого апаратний гаманець у цьому випадку не вирішує.

Чому захист Bitcoin від квантових комп’ютерів потребує нових підписів

Приватний ключ — це секретне число, за допомогою якого гаманець підписує транзакції, тому той, хто його знає, може витратити монети. Із приватного ключа обчислюють публічний, за яким мережа перевіряє підпис. Знання публічного ключа не дозволяє витратити кошти на звичайному комп’ютері, проте достатньо потужний квантовий комп’ютер міг би використати його для відновлення приватного ключа. Гаманець виконує всі звичайні обчислення автоматично, тож вам не потрібно працювати з ключами вручну.

Публічний ключ легко обчислити з приватного, але відновити приватний ключ із публічного на сучасному звичайному комп’ютері практично неможливо. Перебір величезної кількості можливих ключів зайняв би надто багато часу, щоб стати реальним способом зламу.

Bitcoin і звичайні рахунки Ethereum використовують однакову математичну основу для підписів. Водночас у цих мережах публічні ключі стають доступними за різних умов. Тому для оцінки квантової загрози важливі не лише назва мережі, а й тип адреси та її попередні перекази.

Як алгоритм Шора може відновити приватний ключ

У 1994 році математик Пітер Шор запропонував квантовий алгоритм, за допомогою якого можна обчислити приватний ключ із публічного без перебору всіх можливих значень. Для цього зловмиснику знадобився б достатньо потужний і надійний квантовий комп’ютер.

Кубіти — це одиниці інформації, з якими працює квантовий комп’ютер. Фізичні кубіти — його реальні апаратні елементи, схильні до помилок. Щоб виконувати довгі обчислення надійніше, багато фізичних кубітів об’єднують у логічний кубіт і виправляють помилки всередині цієї групи.

Тисяча фізичних кубітів не дорівнює тисячі логічних: на один логічний кубіт можуть знадобитися сотні фізичних або більше. Тому сама кількість кубітів, яку оголосив виробник процесора, не показує, чи здатен він відновити приватний ключ Bitcoin.

Який квантовий комп’ютер знадобився б зловмиснику

30 березня 2026 року Google Quantum AI разом із дослідниками Ethereum Foundation та Стенфорда опублікувала дослідження квантових вразливостей криптовалют. Автори перерахували, скільки кубітів і часу знадобилося б для відновлення приватного ключа Bitcoin за публічним.

Дослідники розглянули два варіанти обчислень:

• Менш ніж 1200 логічних кубітів — варіант, якому потрібно менше кубітів, але більше обчислень.
• Менш ніж 1450 логічних кубітів — варіант із більшою кількістю кубітів, але меншим обсягом обчислень.

За розрахунками авторів, для будь-якого з цих варіантів вистачило б менш ніж 500 000 фізичних кубітів, якщо обладнання забезпечить потрібну швидкість і надійність. Це приблизно у двадцять разів менше, ніж у попередніх розрахунках. Результат залежить від характеристик обладнання та того, наскільки ефективно система виправлятиме помилки під час обчислень.

Повний розрахунок тривав би приблизно 18–23 хвилини. Частину обчислень можна було б виконати заздалегідь, ще до отримання публічного ключа жертви. Якщо зберегти результат цієї підготовки на квантовому комп’ютері, після отримання ключа залишилося б близько 9 або 12 хвилин роботи, залежно від обраного варіанта.

Зловмисник міг би спробувати перехопити монети, поки ваш переказ очікує підтвердження. Коли ви надсилаєте кошти з адреси, яка приховувала публічний ключ, він стає видимим у транзакції. До включення в блок вона перебуває в мемпулі — черзі непідтверджених транзакцій. За цей час достатньо швидкий квантовий комп’ютер міг би обчислити приватний ключ, після чого зловмисник надіслав би ті самі монети собі та запропонував майнеру вищу комісію.

За умови, що обчислення тривають дев’ять хвилин, а блоки Bitcoin з’являються в середньому раз на десять хвилин, автори оцінили шанс перехопити монети до підтвердження переказу приблизно у 41%. Цей розрахунок передбачає, що зловмисник одразу отримує публічний ключ, мережа не перевантажена, а його транзакція може потрапити в блок замість вашої. За тією самою моделлю для Litecoin шанс становить менш ніж 3%, а для Dogecoin — менш ніж один із восьми тисяч. Йдеться про можливі майбутні атаки, коли з’явиться потрібне обладнання.

Коли публічний ключ стає видимим у блокчейні

Для атаки за алгоритмом Шора потрібен публічний ключ. Адреса Bitcoin і публічний ключ — різні речі: одні формати адрес одразу розкривають ключ, а інші спочатку показують лише його цифровий відбиток. Є й формати, де за таким відбитком приховані правила витрачання монет — наприклад, вимога кількох підписів.

Для адрес P2PKH і P2WPKH публічний ключ спочатку прихований за хешем, а сам ключ стає видимим, коли ви надсилаєте з адреси монети. Алгоритму Шора потрібен саме публічний ключ, тому одного його відбитка недостатньо для такої атаки. Після переказу ця перевага зникає: якщо на тій самій адресі залишилися монети або ви знову отримали на неї кошти, зловмисник вже може побачити потрібний йому публічний ключ.

У форматі P2PK зберігається частина монет, видобутих у перші роки існування Bitcoin. У Taproot публічний ключ також видно одразу, хоча цей формат має переваги для приватності й гнучкіші правила витрачання монет. Отже, новіший формат адреси не обов’язково приховує публічний ключ, а перших символів bc1q недостатньо, щоб відрізнити P2WPKH від P2WSH.

У публікації від 24 квітня 2026 року Project Eleven оцінив, що приблизно 6,9 млн BTC зберігаються так, що публічні ключі, потрібні для перевірки їхніх переказів, вже видно в блокчейні.

Навіщо Bitcoin-гаманець створює нову адресу для решти

В Ethereum кошти надходять на рахунок і витрачаються з нього. Для звичайного рахунку, яким керують через приватний ключ, вже перша надіслана транзакція дозволяє відновити публічний ключ із підпису. Переходячи на іншу адресу, потрібно перенести активи та окремо розібратися з коштами й дозволами в DeFi-сервісах, тому користувачі часто залишаються на старій адресі.

У Bitcoin баланс складається з окремих сум, отриманих у попередніх транзакціях і ще не витрачених. Їх називають UTXO, або невитраченими виходами транзакцій. Припустімо, ви отримали одним переказом 5 BTC і хочете надіслати 1 BTC. Гаманець використає всю отриману суму: 1 BTC піде отримувачу, а трохи менше ніж 4 BTC повернуться вам як решта, оскільки частина суми піде на комісію.

Для решти гаманець може створити нову адресу з іншим публічним ключем. Якщо це P2WPKH-адреса й цей ключ не оприлюднили іншим способом, у блокчейні його ще не буде видно. Так решта не залишиться на старій адресі, з якої ви вже надсилали монети.

Нова адреса для решти ще не означає захисту від квантової атаки: у Taproot публічний ключ видно одразу. Якщо ж гаманець повертає решту на стару адресу, з якої вже надсилали монети, її публічний ключ також буде відомий. Перевірте тип рахунку та формат адрес решти у своєму застосунку, навіть якщо користуєтеся апаратним гаманцем Ledger, Trezor, Keystone чи BitBox. Наприклад, Trezor Suite створює адреси решти автоматично, проте їхній формат залежить від обраного рахунку.

Як перевірити адреси свого гаманця

Для попередньої перевірки можна скористатися quantumrekt.com, який оцінює адресу за її типом та відкритими даними блокчейну. Потрібна лише публічна адреса: не вводьте seed-фразу чи приватний ключ, не підключайте гаманець і не підписуйте повідомлення для такої перевірки.

У вашому гаманці може бути багато адрес, зокрема окремі адреси для решти. Перевіряйте всі, на яких є монети, оскільки результат для однієї адреси не показує стан інших.

1. Скопіюйте адресу з власного застосунку та визначте її тип. Наприклад, bc1p на початку адреси означає Taproot: публічний ключ такої адреси вже видно в блокчейні.
2. Прочитайте результат перевірки. Позначка REKT означає, що сервіс вважає монети на цій адресі потенційно вразливими до квантової атаки. Це може бути пов’язано з форматом адреси або тим, що з неї вже надсилали кошти. Позначка не означає, що монети викрали.
3. Звірте історію в блокчейн-оглядачі. Це сайт, де можна переглянути транзакції адреси. Для звичайних P2PKH і P2WPKH показник «Total sent» («Усього надіслано») понад нуль означає, що з адреси вже надсилали монети й публічний ключ став видимим у транзакції. Якщо такого показника немає, перевірте, чи були перекази з цієї адреси.
4. Перевірте всі інші адреси з монетами, зокрема адреси решти. Якщо в застосунку є список адрес або перегляд UTXO, знайдіть у ньому адреси, на яких залишилися кошти.

Для P2WSH і гаманців із кількома підписами, або multisig, перевірте правила переказу в застосунку чи оглядачі: quantumrekt.com підтримує не всі такі адреси. У multisig переказ підтверджують кількома підписами, тому потрібно перевірити, які публічні ключі використовує гаманець і чи доступні вони стороннім.

Нульовий «Total sent» не означає, що публічний ключ прихований. У Taproot і P2PK його видно навіть без надсилання монет. Крім того, ви могли передати сторонньому сервісу xpub — розширений публічний ключ, з якого можна обчислити публічні ключі багатьох адрес одного рахунку.

Якщо ви передавали xpub сторонньому сервісу або публікували його, враховуйте це під час перевірки. Навіть коли в блокчейні публічного ключа ще не видно, отримувач xpub може обчислити його самостійно. Для перевірки окремої адреси xpub не потрібен.

Чи вразливі Solana, XRP та Cardano до квантових атак

Solana, XRP Ledger і Cardano використовують дещо інші способи підпису транзакцій, але вони спираються на математичні задачі, які також може розв’язати алгоритм Шора. Тому відмінності в нинішніх підписах не роблять ці мережі стійкими до квантових атак. Їм також потрібна постквантова криптографія — методи захисту, розроблені з урахуванням можливостей квантових комп’ютерів.

27 квітня 2026 року Solana Foundation повідомила, що команди Anza та Firedancer незалежно дослідили перехід на постквантові підписи й обрали Falcon для початкових реалізацій. Це один зі способів підпису, розроблених для захисту від квантових атак. Його відібрав для стандартизації NIST — Національний інститут стандартів і технологій США, проте остаточний стандарт ще розробляють. План Solana передбачає подальші дослідження та підготовку гаманців до оновлення підписів, якщо розвиток квантових комп’ютерів зробить такий перехід необхідним.

В екосистемі також є Winternitz Vault від Blueshift, який використовує інший спосіб підпису, розрахований на захист від квантових атак. Google згадала його як приклад наявного рішення, проте це окреме сховище, захист якого не поширюється автоматично на звичайний гаманець Solana.

У Solana адреса звичайного рахунку вже є його публічним ключем, тому зловмиснику не потрібно чекати на перший переказ, щоб отримати цей ключ. Натомість у Bitcoin деякі формати адрес приховують публічний ключ до надсилання монет. Попри цю відмінність, обом мережам потрібні підписи, стійкі до квантових комп’ютерів.

Q-Day і підготовка до квантової загрози

Q-Day — умовна назва моменту, коли з’явиться квантовий комп’ютер, здатний на практиці зламувати поширені способи захисту, зокрема цифрові підписи. Дата поки невідома, а часто згадувані 2029 і 2035 роки стосуються підготовки систем до цієї загрози:

• 2029 рік: Google встановила цей строк для переходу власних систем на постквантову криптографію.
• 2035 рік: NIST визначає цей строк для вилучення квантово вразливих алгоритмів зі своїх стандартів, а системи з високим ризиком мають переходити раніше.

Ці дати не вказують, коли зловмисники зможуть викрадати монети за допомогою квантових комп’ютерів. Маючи повільніший комп’ютер, зловмисник міг би почати з адрес, публічні ключі яких давно видно в блокчейні. З достатньо швидким обладнанням він міг би також устигнути перехопити монети під час переказу, тому обидва способи крадіжки можуть стати можливими приблизно одночасно.

У квітні 2026 року Project Eleven присудив Q-Day Prize Джанкарло Леллі за відновлення приватного ключа на загальнодоступному квантовому комп’ютері. Для експерименту використали значно простішу 15-бітну задачу, тоді як у Bitcoin ключі мають розмір 256 бітів. Цей результат підтверджує роботу методу на невеликому прикладі, але не показує, що так можна відновити приватний ключ Bitcoin на наявному обладнанні.

Чотири кроки для безпечнішого зберігання своїх монет

Змінювати правила роботи Bitcoin мають розробники та учасники мережі. Ви зі свого боку можете перевірити адреси, на яких зберігаєте монети, налаштування гаманця та те, чи з’являються оновлення з підтримкою нових підписів.

Крок 1. Перевірте адреси, на яких є монети

Визначте тип кожної адреси та перевірте, чи надсилали ви з неї кошти раніше. Для Taproot і P2PK публічний ключ видно одразу, а для P2PKH і P2WPKH він з’являється в блокчейні після надсилання монет. Окремо врахуйте, чи передавали ви комусь xpub. Перевіряти потрібно адреси, де ще є кошти: з порожньої старої адреси переносити нічого.

Крок 2. За потреби перекажіть монети на нову адресу

Якщо публічний ключ адреси, на якій є монети, вже доступний стороннім, можна переказати кошти на нову адресу, що приховує інший публічний ключ. Тоді зловмисник не зможе використати старий ключ для підготовки атаки на ці монети. Для звичайного гаманця з одним підписом підійде нова адреса Native SegWit типу P2WPKH, яка починається з bc1q. Перевірте тип рахунку в застосунку, адже з bc1q починаються також адреси P2WSH.

Якщо ви передавали комусь xpub, нової адреси того самого рахунку може бути недостатньо: її публічний ключ також можна обчислити з цього xpub. Один зі способів уникнути цього — переказати монети в новий гаманець із новою seed-фразою, створеною незалежно від попередньої. Інший рахунок із тією самою seed-фразою може допомогти лише тоді, коли переданий xpub не дозволяє отримати його публічні ключі; це потрібно перевірити окремо. Створюйте новий гаманець за інструкцією виробника та перед скиданням пристрою перевірте резервну копію поточного гаманця. Правила її зберігання — у гайді про безпечне зберігання seed-фрази. Вводити seed-фразу на сторонньому сайті для цього не потрібно.

Звірте нову адресу на екрані апаратного гаманця та врахуйте комісію за переказ. Після надсилання монет на адресу з іншим публічним ключем старий приватний ключ вже не дозволятиме їх витратити. Проте під час наступного переказу новий публічний ключ теж стане видимим. Тому зміна адреси не замінює переходу мережі на постквантові підписи. У Taproot публічний ключ буде видимим ще до переказу.

Крок 3. Стежте за змінами протоколу Bitcoin

BIP — це пропозиція змін до правил роботи Bitcoin. У BIP-360 описано новий формат Pay-to-Merkle-Root, або P2MR, який, на відміну від Taproot, не записуватиме публічний ключ у блокчейн під час отримання монет. Натомість зберігатиметься хеш правил їхнього витрачання. Запропоновані адреси починатимуться з bc1z.

Поки зловмисник не має публічного ключа, він не може використати його для обчислення приватного ключа. P2MR має допомогти зберігати монети без публікації публічного ключа в блокчейні. Але пропозиція не додає постквантових підписів: коли цей ключ з’явиться в транзакції, зловмисник зі швидким квантовим комп’ютером усе ще міг би спробувати перехопити монети.

Окрема пропозиція BIP-361 розглядає перехід на постквантовий захист та обмеження нинішніх способів підпису транзакцій. Обидва документи мають статус чернетки. Публікація пропозиції або її тестування не означає, що Bitcoin вже працює за новими правилами; користувачам слід стежити за схваленими оновленнями мережі та їхньою підтримкою у своїх гаманцях.

Крок 4. Перевірте налаштування гаманця та захист пристрою

Перевірте, чи створює гаманець нову адресу для решти після переказу та який формат цієї адреси. Сам апаратний гаманець допомагає вберегти приватні ключі від шкідливих програм на комп’ютері чи телефоні. Проте він не може змінити спосіб підпису транзакцій у Bitcoin — для цього потрібне оновлення мережі. Докладніше про захист пристрою пояснюємо у статті про роботу апаратного гаманця.

Наприклад, Trezor Safe 7 використовує постквантові підписи, щоб перевіряти справжність прошивки, захищати запуск пристрою та підтверджувати, що гаманець справжній. Позначка «quantum-ready» стосується захисту пристрою; вона не змінює підписи транзакцій Bitcoin. Чи зможе гаманець підтримувати майбутні способи підпису після оновлення, залежатиме від їхніх вимог і можливостей пристрою. Докладніше про ці механізми — в огляді Trezor Safe 7. Якщо обираєте гаманець, порівняйте підтримку потрібних мереж, роботу з телефоном і спосіб перевірки транзакцій у гайді з вибору апаратного гаманця.

Що можна зробити для захисту своїх монет

Почніть з адрес, на яких зараз є ваші монети: перевірте їхній тип і чи надсилали ви з них кошти раніше. Після переказу більше не використовуйте ту саму адресу для нових надходжень, а для решти обирайте формат, що приховує публічний ключ. Якщо на старій адресі залишилися монети, за потреби перекажіть їх на нову P2WPKH-адресу, дотримуючись описаних вище правил. Також врахуйте, чи передавали ви комусь xpub: у такому разі просто нової адреси може бути недостатньо.

Апаратний гаманець не захистить монети, якщо зловмисник зможе обчислити приватний ключ за публічним. Поки публічний ключ адреси не відомий стороннім, вони не можуть заздалегідь використати його для такої атаки. Після надсилання монет ця перевага зникає, тому для захисту переказів мережа має перейти на постквантові підписи; строки такого переходу поки не визначені.