Защита Bitcoin от квантовых компьютеров

Получив достаточно мощный квантовый компьютер, злоумышленник мог бы вычислить приватный ключ по публичному и перевести себе чужие монеты. Доступ к вашему аппаратному кошельку или seed-фразе для этого не нужен, поскольку атака использует слабое место в способе подписи транзакций. Google Quantum AI оценила, какое оборудование потребовалось бы для такого взлома.

Защита Bitcoin от квантовых компьютеров требует изменений в самой сети, в том числе новых способов подписи транзакций. Пока их не внедрили, вы можете проверить адреса, на которых храните средства, и выбрать те, что скрывают публичный ключ до отправки монет. В блокчейне сначала виден только хеш — короткий цифровой отпечаток этого ключа. Ниже объясняем, какие адреса работают именно так, почему их стоит менять после перевода и чего аппаратный кошелёк в этом случае не решает.

Почему защита Bitcoin от квантовых компьютеров требует новых подписей

Приватный ключ — это секретное число, с помощью которого кошелёк подписывает транзакции, поэтому тот, кто его знает, может потратить монеты. Из приватного ключа вычисляют публичный, по которому сеть проверяет подпись. Знание публичного ключа не позволяет потратить средства на обычном компьютере, однако достаточно мощный квантовый компьютер мог бы использовать его для восстановления приватного ключа. Все обычные вычисления кошелёк выполняет автоматически, поэтому вам не нужно работать с ключами вручную.

Публичный ключ легко вычислить из приватного, но восстановить приватный ключ из публичного на современном обычном компьютере практически невозможно. Перебор огромного количества возможных ключей занял бы слишком много времени, чтобы стать реальным способом взлома.

Bitcoin и обычные аккаунты Ethereum используют одинаковую математическую основу для подписей. При этом в этих сетях публичные ключи становятся доступными при разных условиях. Поэтому для оценки квантовой угрозы важны не только название сети, но и тип адреса и его предыдущие переводы.

Как алгоритм Шора позволяет восстановить приватный ключ

В 1994 году математик Питер Шор предложил квантовый алгоритм, с помощью которого можно вычислить приватный ключ из публичного без перебора всех возможных значений. Для этого злоумышленнику понадобился бы достаточно мощный и надёжный квантовый компьютер.

Кубиты — это единицы информации, с которыми работает квантовый компьютер. Физические кубиты — его реальные аппаратные элементы, подверженные ошибкам. Чтобы надёжнее выполнять долгие вычисления, множество физических кубитов объединяют в логический кубит и исправляют ошибки внутри этой группы.

Тысяча физических кубитов не равна тысяче логических: на один логический кубит могут понадобиться сотни физических или больше. Поэтому само количество кубитов, заявленное производителем процессора, не показывает, способен ли он восстановить приватный ключ Bitcoin.

Какой квантовый компьютер понадобился бы злоумышленнику

30 марта 2026 года Google Quantum AI вместе с исследователями Ethereum Foundation и Стэнфорда опубликовала исследование квантовых уязвимостей криптовалют. Авторы пересчитали, сколько кубитов и времени потребовалось бы для восстановления приватного ключа Bitcoin по публичному.

Исследователи рассмотрели два варианта вычислений:

• Менее 1200 логических кубитов — вариант, которому нужно меньше кубитов, но больше вычислений.
• Менее 1450 логических кубитов — вариант с большим количеством кубитов, но меньшим объёмом вычислений.

По расчётам авторов, для любого из этих вариантов хватило бы менее 500 000 физических кубитов, если оборудование обеспечит нужную скорость и надёжность. Это примерно в двадцать раз меньше, чем в предыдущих расчётах. Результат зависит от характеристик оборудования и того, насколько эффективно система будет исправлять ошибки во время вычислений.

Полный расчёт занял бы примерно 18–23 минуты. Часть вычислений можно было бы выполнить заранее, ещё до получения публичного ключа жертвы. Если сохранить результат этой подготовки на квантовом компьютере, после получения ключа осталось бы около 9 или 12 минут работы, в зависимости от выбранного варианта.

Злоумышленник мог бы попытаться перехватить монеты, пока ваш перевод ожидает подтверждения. Когда вы отправляете средства с адреса, который скрывал публичный ключ, он становится виден в транзакции. До включения в блок она находится в мемпуле — очереди неподтверждённых транзакций. За это время достаточно быстрый квантовый компьютер мог бы вычислить приватный ключ, после чего злоумышленник отправил бы те же монеты себе и предложил майнеру более высокую комиссию.

При условии, что вычисления занимают девять минут, а блоки Bitcoin появляются в среднем раз в десять минут, авторы оценили шанс перехватить монеты до подтверждения перевода примерно в 41%. Этот расчёт предполагает, что злоумышленник сразу получает публичный ключ, сеть не перегружена, а его транзакция может попасть в блок вместо вашей. В той же модели для Litecoin шанс составляет менее 3%, а для Dogecoin — менее одного из восьми тысяч. Речь идёт о возможных будущих атаках, когда появится нужное оборудование.

Когда публичный ключ становится виден в блокчейне

Для атаки по алгоритму Шора нужен публичный ключ. Адрес Bitcoin и публичный ключ — разные вещи: одни форматы адресов сразу раскрывают ключ, а другие сначала показывают только его цифровой отпечаток. Есть и форматы, где за таким отпечатком скрыты правила расходования монет, например требование нескольких подписей.

Для адресов P2PKH и P2WPKH публичный ключ сначала скрыт за хешем, а сам ключ становится виден, когда вы отправляете с адреса монеты. Алгоритму Шора нужен именно публичный ключ, поэтому одного его отпечатка недостаточно для такой атаки. После перевода это преимущество исчезает: если на том же адресе остались монеты или вы снова получили на него средства, злоумышленник уже может увидеть нужный ему публичный ключ.

В формате P2PK хранится часть монет, добытых в первые годы существования Bitcoin. В Taproot публичный ключ тоже виден сразу, хотя этот формат даёт преимущества для приватности и более гибкие правила расходования монет. Поэтому более новый формат адреса не обязательно скрывает публичный ключ, а первых символов bc1q недостаточно, чтобы отличить P2WPKH от P2WSH.

В публикации от 24 апреля 2026 года Project Eleven оценивала, что примерно 6,9 млн BTC хранятся так, что публичные ключи для проверки их переводов уже видны в блокчейне.

Зачем Bitcoin-кошелёк создаёт новый адрес для сдачи

В Ethereum средства поступают на аккаунт и расходуются с него. Для обычного аккаунта, которым управляют через приватный ключ, уже первая отправленная транзакция позволяет восстановить публичный ключ из подписи. При переходе на другой адрес нужно перенести активы и отдельно разобраться со средствами и разрешениями в DeFi-сервисах, поэтому пользователи часто остаются на старом адресе.

В Bitcoin баланс состоит из отдельных сумм, полученных в предыдущих транзакциях и ещё не потраченных. Их называют UTXO, или неизрасходованными выходами транзакций. Допустим, вы получили одним переводом 5 BTC и хотите отправить 1 BTC. Кошелёк использует всю полученную сумму: 1 BTC уйдёт получателю, а чуть меньше 4 BTC вернутся вам как сдача, поскольку часть суммы пойдёт на комиссию.

Для сдачи кошелёк может создать новый адрес с другим публичным ключом. Если это P2WPKH-адрес и этот ключ не опубликовали другим способом, в блокчейне его ещё не будет видно. Так сдача не останется на старом адресе, с которого вы уже отправляли монеты.

Новый адрес для сдачи ещё не означает защиты от квантовой атаки: в Taproot публичный ключ виден сразу. Если же кошелёк возвращает сдачу на старый адрес, с которого уже отправляли монеты, его публичный ключ тоже будет известен. Проверьте тип счёта и формат адресов сдачи в своём приложении, даже если пользуетесь аппаратным кошельком Ledger, Trezor, Keystone или BitBox. Например, Trezor Suite создаёт адреса сдачи автоматически, но их формат зависит от выбранного счёта.

Как проверить адреса своего кошелька

Для предварительной проверки можно воспользоваться quantumrekt.com, который оценивает адрес по его типу и открытым данным блокчейна. Нужен только публичный адрес: не вводите seed-фразу или приватный ключ, не подключайте кошелёк и не подписывайте сообщения для такой проверки.

В вашем кошельке может быть много адресов, включая отдельные адреса для сдачи. Проверяйте все, на которых есть монеты, поскольку результат для одного адреса не показывает состояние остальных.

1. Скопируйте адрес из своего приложения и определите его тип. Например, bc1p в начале адреса означает Taproot: публичный ключ такого адреса уже виден в блокчейне.
2. Прочитайте результат проверки. Метка REKT означает, что сервис считает монеты на этом адресе потенциально уязвимыми для квантовой атаки. Это может быть связано с форматом адреса или тем, что с него уже отправляли средства. Метка не означает, что монеты украли.
3. Сверьте историю в блокчейн-обозревателе. Это сайт, где можно посмотреть транзакции адреса. Для обычных P2PKH и P2WPKH показатель «Total sent» («Всего отправлено») больше нуля означает, что с адреса уже отправляли монеты и публичный ключ стал виден в транзакции. Если такого показателя нет, проверьте, были ли переводы с этого адреса.
4. Проверьте все остальные адреса с монетами, включая адреса сдачи. Если в приложении есть список адресов или просмотр UTXO, найдите в нём адреса, на которых остались средства.

Для P2WSH и кошельков с несколькими подписями, или multisig, проверьте правила перевода в приложении или обозревателе: quantumrekt.com поддерживает не все такие адреса. В multisig перевод подтверждают несколькими подписями, поэтому нужно проверить, какие публичные ключи использует кошелёк и доступны ли они посторонним.

Нулевой «Total sent» не означает, что публичный ключ скрыт. В Taproot и P2PK он виден даже без отправки монет. Кроме того, вы могли передать стороннему сервису xpub — расширенный публичный ключ, из которого можно вычислить публичные ключи многих адресов одного счёта.

Если вы передавали xpub стороннему сервису или публиковали его, учитывайте это при проверке. Даже когда в блокчейне публичного ключа ещё не видно, получатель xpub может вычислить его самостоятельно. Для проверки отдельного адреса xpub не нужен.

Уязвимы ли Solana, XRP и Cardano для квантовых атак

Solana, XRP Ledger и Cardano используют несколько другие способы подписи транзакций, но они опираются на математические задачи, которые также может решить алгоритм Шора. Поэтому различия в нынешних подписях не делают эти сети устойчивыми к квантовым атакам. Им также нужна постквантовая криптография — методы защиты, разработанные с учётом возможностей квантовых компьютеров.

27 апреля 2026 года Solana Foundation сообщила, что команды Anza и Firedancer независимо исследовали переход на постквантовые подписи и выбрали Falcon для первых реализаций. Это один из способов подписи, разработанных для защиты от квантовых атак. Его выбрал для стандартизации NIST — Национальный институт стандартов и технологий США, но окончательный стандарт ещё разрабатывается. План Solana предусматривает дальнейшие исследования и подготовку кошельков к обновлению подписей, если развитие квантовых компьютеров сделает такой переход необходимым.

В экосистеме также есть Winternitz Vault от Blueshift, который использует другой способ подписи, рассчитанный на защиту от квантовых атак. Google упомянула его как пример существующего решения, однако это отдельное хранилище, защита которого не распространяется автоматически на обычный кошелёк Solana.

В Solana адрес обычного аккаунта уже является его публичным ключом, поэтому злоумышленнику не нужно ждать первого перевода, чтобы получить этот ключ. В Bitcoin некоторые форматы адресов скрывают публичный ключ до отправки монет. Несмотря на это различие, обеим сетям нужны подписи, устойчивые к квантовым компьютерам.

Q-Day и подготовка к квантовой угрозе

Q-Day — условное название момента, когда появится квантовый компьютер, способный на практике взламывать распространённые способы защиты, в том числе цифровые подписи. Дата пока неизвестна, а часто упоминаемые 2029 и 2035 годы относятся к подготовке систем к этой угрозе:

• 2029 год: Google установила этот срок для перехода собственных систем на постквантовую криптографию.
• 2035 год: NIST определяет этот срок для исключения квантово уязвимых алгоритмов из своих стандартов, а системы с высоким риском должны перейти раньше.

Эти даты не указывают, когда злоумышленники смогут красть монеты с помощью квантовых компьютеров. С более медленным компьютером злоумышленник мог бы начать с адресов, публичные ключи которых давно видны в блокчейне. С достаточно быстрым оборудованием он мог бы также успеть перехватить монеты во время перевода, поэтому оба способа кражи могут стать возможными примерно одновременно.

В апреле 2026 года Project Eleven присудила Q-Day Prize Джанкарло Лелли за восстановление приватного ключа на общедоступном квантовом компьютере. Для эксперимента использовали значительно более простую 15-битную задачу, тогда как в Bitcoin размер ключей составляет 256 бит. Этот результат подтверждает работу метода на небольшом примере, но не показывает, что так можно восстановить приватный ключ Bitcoin на существующем оборудовании.

Четыре шага для более безопасного хранения своих монет

Менять правила работы Bitcoin должны разработчики и участники сети. Вы со своей стороны можете проверить адреса, на которых храните монеты, настройки кошелька и то, появляются ли обновления с поддержкой новых подписей.

Шаг 1. Проверьте адреса, на которых есть монеты

Определите тип каждого адреса и проверьте, отправляли ли вы с него средства раньше. В Taproot и P2PK публичный ключ виден сразу, а в P2PKH и P2WPKH он появляется в блокчейне после отправки монет. Отдельно учтите, передавали ли вы кому-нибудь xpub. Проверять нужно адреса, где ещё есть средства: с пустого старого адреса переносить нечего.

Шаг 2. При необходимости переведите монеты на новый адрес

Если публичный ключ адреса, на котором есть монеты, уже доступен посторонним, можно перевести средства на новый адрес, который скрывает другой публичный ключ. Тогда злоумышленник не сможет использовать старый ключ для подготовки атаки на эти монеты. Для обычного кошелька с одной подписью подойдёт новый адрес Native SegWit типа P2WPKH, начинающийся с bc1q. Проверьте тип счёта в приложении, ведь с bc1q начинаются также адреса P2WSH.

Если вы передавали кому-нибудь xpub, нового адреса того же счёта может быть недостаточно: его публичный ключ тоже можно вычислить из этого xpub. Один из способов избежать этого — перевести монеты в новый кошелёк с новой seed-фразой, созданной независимо от прежней. Другой счёт с той же seed-фразой может помочь лишь тогда, когда переданный xpub не позволяет получить его публичные ключи; это нужно проверить отдельно. Создавайте новый кошелёк по инструкции производителя и перед сбросом устройства проверьте резервную копию текущего кошелька. Правила её хранения — в гайде по безопасному хранению seed-фразы. Вводить seed-фразу на стороннем сайте для этого не нужно.

Сверьте новый адрес на экране аппаратного кошелька и учтите комиссию за перевод. После отправки монет на адрес с другим публичным ключом старый приватный ключ уже не позволит их потратить. Однако при следующем переводе новый публичный ключ тоже станет виден. Поэтому смена адреса не заменяет перехода сети на постквантовые подписи. В Taproot публичный ключ будет виден ещё до перевода.

Шаг 3. Следите за изменениями протокола Bitcoin

BIP — это предложение изменений в правила работы Bitcoin. В BIP-360 описан новый формат Pay-to-Merkle-Root, или P2MR, который, в отличие от Taproot, не будет записывать публичный ключ в блокчейн при получении монет. Вместо него будет храниться хеш правил их расходования. Предлагаемые адреса будут начинаться с bc1z.

Пока у злоумышленника нет публичного ключа, он не может использовать его для вычисления приватного ключа. P2MR должен помочь хранить монеты без публикации публичного ключа в блокчейне. Но предложение не добавляет постквантовых подписей: когда этот ключ появится в транзакции, злоумышленник с быстрым квантовым компьютером всё ещё мог бы попытаться перехватить монеты.

Отдельное предложение BIP-361 рассматривает переход на постквантовую защиту и ограничение нынешних способов подписи транзакций. Оба документа имеют статус черновика. Публикация предложения или его тестирование не означает, что Bitcoin уже работает по новым правилам; пользователям следует следить за принятыми обновлениями сети и их поддержкой в своих кошельках.

Шаг 4. Проверьте настройки кошелька и защиту устройства

Проверьте, создаёт ли кошелёк новый адрес для сдачи после перевода и какой у него формат. Сам аппаратный кошелёк помогает уберечь приватные ключи от вредоносных программ на компьютере или телефоне. Однако он не может изменить способ подписи транзакций в Bitcoin — для этого нужно обновление сети. Подробнее о защите устройства объясняем в статье о работе аппаратного кошелька.

Например, Trezor Safe 7 использует постквантовые подписи, чтобы проверять подлинность прошивки, защищать запуск устройства и подтверждать, что кошелёк настоящий. Обозначение «quantum-ready» относится к защите устройства; оно не меняет подписи транзакций Bitcoin. Сможет ли кошелёк поддерживать будущие способы подписи после обновления, зависит от их требований и возможностей устройства. Подробнее об этих механизмах — в обзоре Trezor Safe 7. Если выбираете кошелёк, сравните поддержку нужных сетей, работу с телефоном и способ проверки транзакций в гайде по выбору аппаратного кошелька.

Что можно сделать для защиты своих монет

Начните с адресов, на которых сейчас есть ваши монеты: проверьте их тип и отправляли ли вы с них средства раньше. После перевода больше не используйте тот же адрес для новых поступлений, а для сдачи выбирайте формат, который скрывает публичный ключ. Если на старом адресе остались монеты, при необходимости переведите их на новый P2WPKH-адрес, соблюдая описанные выше правила. Также учтите, передавали ли вы кому-нибудь xpub: в таком случае просто нового адреса может быть недостаточно.

Аппаратный кошелёк не защитит монеты, если злоумышленник сможет вычислить приватный ключ по публичному. Пока публичный ключ адреса не известен посторонним, они не могут заранее использовать его для такой атаки. После отправки монет это преимущество исчезает, поэтому для защиты переводов сеть должна перейти на постквантовые подписи; сроки такого перехода пока не определены.