Riesgo de la Computación Cuántica: Cómo Podría Afectar a la Criptografía de Bitcoin

El riesgo de la computación cuántica es la posibilidad de que un ordenador cuántico lo bastante grande y fiable pueda debilitar la criptografía en la que se basa Bitcoin. Un ordenador cuántico es una máquina que usa la física cuántica para resolver ciertos problemas mucho más rápido de lo que pueden hacerlo los ordenadores actuales. La criptografía es la matemática que Bitcoin utiliza para comprobar quién puede gastar BTC y para enlazar sus bloques.

¿Qué Algoritmos Cuánticos Son Relevantes para Bitcoin?

La computación cuántica afecta a Bitcoin principalmente a través de dos algoritmos: el algoritmo de Shor y el algoritmo de Grover. Un algoritmo es un conjunto fijo de pasos para resolver un problema.

¿Qué le Hace el Algoritmo de Shor a las Firmas de Bitcoin?

El algoritmo de Shor podría permitir que un ordenador cuántico suficientemente grande y fiable derive una clave privada de Bitcoin a partir de la clave pública correspondiente. Quien opere ese ordenador podría entonces firmar en nombre del propietario de la clave.

Una clave privada es el número secreto que crea firmas digitales, las cuales demuestran que su titular autorizó un gasto. Bitcoin utiliza el algoritmo de firma digital de curva elíptica (ECDSA) o las firmas Schnorr. Una clave privada de Bitcoin es un número de 256 bits, es decir, se escribe con 256 bits, y un bit es un dígito que es 0 o 1.

Una clave pública es el valor compartible calculado a partir de la clave privada mediante un paso unidireccional. Una curva elíptica es una curva definida por una ecuación, y el cálculo de la clave se realiza sobre sus puntos. Las firmas de Bitcoin usan una curva elíptica llamada secp256k1.

En una curva elíptica, el problema del logaritmo discreto consiste en encontrar una clave privada conociendo solo la clave pública correspondiente. En los ordenadores clásicos, es decir, los que no usan efectos cuánticos, el problema está diseñado para ser inviable. El algoritmo de Shor es un algoritmo cuántico que resuelve ese problema, en un ordenador cuántico suficientemente grande, en un número de pasos que crece a un ritmo manejable a medida que la clave se alarga.

¿Qué le Hace el Algoritmo de Grover al Hashing de Bitcoin?

El algoritmo de Grover podría reducir la búsqueda de una entrada que produce un hash de Bitcoin determinado a aproximadamente la raíz cuadrada del número original de pasos. La raíz cuadrada de un número es el número que, multiplicado por sí mismo, da el original, así que la raíz cuadrada de 1 millón es 1.000.

El algoritmo de Grover es un algoritmo cuántico que busca en un conjunto no estructurado de N elementos en aproximadamente la raíz cuadrada de N pasos. Un conjunto no estructurado no tiene un orden que aprovechar, por lo que una búsqueda clásica debe probar los elementos uno por uno y necesita alrededor de N dividido entre 2 pasos. La reducción de N pasos a la raíz cuadrada de N pasos se denomina aceleración cuadrática.

Una función hash es una función que convierte una entrada de cualquier longitud en una salida de tamaño fijo llamada hash. SHA-256 es una función hash con una salida de 256 bits, y Bitcoin depende de ella para el hash de bloques, los identificadores de transacciones y las direcciones de clave única. Encontrar una entrada que produzca un hash determinado es una búsqueda, porque una función hash está diseñada para ejecutarse hacia adelante, no hacia atrás.

Un hash de 256 bits tiene 2 elevado a 256 salidas posibles, un número de 78 dígitos. En la lectura más simple, la raíz cuadrada de 2 elevado a 256 es 2 elevado a 128, por lo que una aceleración cuadrática podría reducir esa búsqueda a aproximadamente 2 elevado a 128 pasos, lo que disminuye el esfuerzo sin eliminarlo.

Un organismo de normalización señala que, en el caso general del algoritmo de Grover, la aceleración completa requiere que los pasos se ejecuten uno tras otro en un cómputo serial largo difícil de lograr, por lo que los ataques repartidos entre muchas máquinas obtienen menos ventaja.

¿Pueden los Ordenadores Cuánticos Romper Bitcoin?

Los ordenadores cuánticos podrían romper las firmas de Bitcoin si uno llegara a ser lo bastante grande y fiable como para ejecutar el algoritmo de Shor sobre una curva elíptica de 256 bits. La respuesta depende del tamaño y la fiabilidad de la máquina, por lo que no es una cuestión de sí o no.

Un qubit es la versión cuántica de un bit: mientras que un bit es 0 o 1, un qubit también puede contener una combinación de ambos. Un qubit físico es un qubit de hardware real.

Una página de un organismo de normalización, actualizada por última vez en mayo de 2026, describe las máquinas que cubre como con cientos de qubits interconectados, con un error aproximadamente cada 1.000 operaciones. Una operación es un paso que una máquina realiza sobre sus qubits.

Una estimación de 2022, publicada en una investigación, sitúa la máquina necesaria para romper una clave de curva elíptica de 256 bits en unos 317 millones de qubits físicos si el ataque debe completarse en 1 hora, y en unos 13 millones si puede tardar 1 día. La estimación supone una tasa de error de aproximadamente 1 por cada 1.000 operaciones y, en el caso de 1 hora, un tiempo de ciclo de 1 microsegundo. Un ciclo es una ronda repetida de operaciones de una máquina, y un microsegundo es una millonésima de segundo.

Una estimación de 2023, publicada en una investigación, sitúa la máquina necesaria para romper una clave de curva elíptica de 256 bits, calculando su logaritmo discreto con el algoritmo de Shor, en 126.133 qubits gato funcionando durante unas 9 horas. La estimación supone qubits gato, un diseño de qubit con protección de errores incorporada, y un tiempo de ciclo de 500 nanosegundos, es decir, medio microsegundo.

Las dos estimaciones usan diseños de qubits diferentes, por lo que sus cifras de qubits no son directamente comparables. Las estimaciones también difieren en el tiempo de ciclo y en el tiempo de ejecución permitido, y no indican en qué medida cada suposición explica la diferencia. Esta entrada no compara ninguna de las dos estimaciones con la máquina descrita anteriormente.

En octubre de 2026, estimaciones más recientes, publicadas como preprints que no han pasado revisión por pares, informan de máquinas más pequeñas que las cifras de 2022 y 2023, por lo que esas cifras no constituyen un límite estable. Ni la estimación de 2022 ni la de 2023 indican cuándo podría existir un ordenador cuántico del tamaño que describen, y esta definición no ofrece ninguna fecha.

¿Qué Partes de Bitcoin Dependen de las Firmas y Cuáles de los Hashes?

Las firmas y las claves dependen de la matemática de curvas elípticas, mientras que las direcciones de clave única, los enlaces entre bloques y la prueba de trabajo dependen de funciones hash. La prueba de trabajo es el sistema en el que los mineros gastan esfuerzo computacional para crear un bloque que otros ordenadores puedan verificar. Un output es una cantidad de BTC bloqueada por una condición, normalmente una firma de una clave.

Componente	Depende de	Efecto del algoritmo relevante
Firmas de transacciones (ECDSA y Schnorr)	El problema del logaritmo discreto de curva elíptica	Algoritmo de Shor: un ordenador cuántico suficientemente grande podría derivar una clave privada a partir de una clave pública.
Outputs que contienen una clave pública directamente	El mismo problema, con la clave pública almacenada en el propio output	Algoritmo de Shor: un ordenador cuántico suficientemente grande podría derivar la clave privada a partir de la clave pública que el output ya muestra.
Direcciones de clave única, que se construyen a partir de un hash de una clave pública	SHA-256, luego RIPEMD-160 (una segunda función hash) y, una vez gastado el output, una firma	Algoritmo de Grover: una aceleración cuadrática en la búsqueda de una entrada para un hash determinado.
Prueba de trabajo y enlaces entre bloques	SHA-256 aplicado dos veces	Algoritmo de Grover: una aceleración cuadrática para la búsqueda en general, y la aceleración completa requiere un cómputo serial largo.

¿Qué Claves Públicas Están Expuestas y Qué Cambia Eso?

Una clave pública expuesta es una clave pública visible en la blockchain, el registro público de las transacciones de Bitcoin. Una clave pública se vuelve visible cuando se gasta un output, porque los datos que desbloquean un output de clave única de tipo legacy o SegWit versión 0 incluyen la clave pública completa.

Un output de tipo pay-to-public-key, un tipo de output más antiguo, almacena una clave pública en el propio output. Un output Taproot, un tipo que Bitcoin añadió en noviembre de 2021, también almacena una clave pública en el propio output. Por ello, los outputs pay-to-public-key y Taproot muestran la clave desde el momento en que existen.

Una dirección de clave única de tipo legacy o SegWit versión 0 que solo ha recibido BTC una vez mantiene su clave pública oculta mediante hash hasta que se gastan por primera vez los fondos enviados a ella.

Un ataque cuántico, es decir, un ataque ejecutado en un ordenador cuántico, tiene que derivar una clave privada a partir de una clave pública. Para una clave que ya es visible, dicho ataque no necesita esperar a que se produzca un gasto.

Los nodos son ordenadores que se conectan a la red de Bitcoin y verifican los bloques. Un mempool es el área de espera donde los nodos mantienen las transacciones que aún no incluye ningún bloque. Para una clave protegida tras un hash, la clave aparece cuando su propietario transmite un gasto, y un ataque cuántico contra esa clave solo podría comenzar a partir de ese momento, mientras la transacción espera en el mempool.

¿Qué Haría que Bitcoin Fuera Resistente a la Computación Cuántica?

Bitcoin se consideraría resistente a la computación cuántica si adoptara la criptografía poscuántica. La criptografía poscuántica es la criptografía diseñada para resistir ataques de ordenadores cuánticos. La resistencia cuántica es un objetivo de diseño, no una prueba.

En agosto de 2024, un organismo de normalización publicó sus primeros estándares poscuánticos: uno para el establecimiento de claves, que permite a dos partes acordar una clave secreta compartida, y dos para firmas digitales. Los dos estándares de firma reciben el nombre de la matemática que utilizan: uno para firmas basadas en retículos (lattice-based) y otro para firmas basadas en hash. El mismo organismo de normalización describe su estándar de firma basado en retículos como capaz de resistir, según se cree, incluso ataques de un ordenador cuántico a gran escala.

Los estándares poscuánticos de 2024 son de propósito general: no se escribieron pensando en Bitcoin y no forman parte de sus reglas. Un cambio en las reglas de Bitcoin se realiza mediante un soft fork, que los nodos no actualizados siguen aceptando, o un hard fork, que pueden rechazar.

En octubre de 2026, las propuestas para Bitcoin revisadas para esta entrada no han sido adoptadas, y al menos una de ellas propone añadir un nuevo tipo de output, una nueva forma de bloquear BTC, mediante un soft fork.

¿Qué No Significa el Riesgo de la Computación Cuántica?

El riesgo de la computación cuántica, también llamado riesgo cuántico, no es una predicción. El término nombra una posibilidad y no lleva asociada ninguna fecha.