BTC:n Q-Day: mitä tapahtuu, jos kvanttitietokone murtaa Bitcoinin?

​Yli 6 miljoonan BTC:n julkiset avaimet ovat jo paljastuneet, joten nämä kolikot voivat olla haavoittuvia. Riittävän tehokas kvanttitietokone voisi teoriassa johtaa niitä vastaavat yksityiset avaimet, jolloin vaarassa olisi satojen miljardien dollarien edestä varoja. Mitä Bitcoinille tapahtuisi, jos tällainen teknologia kehittyisi ennen kuin verkko ehtisi siirtyä kvanttihyökkäyksiä kestävään kryptografiaan?

Kyse ei ole tilanteesta, jossa lohkoketju lakkaisi yhtäkkiä tuottamasta lohkoja tai joku murtaisi SHA-256-kryptografisen hajautusfunktion. Tässä tapauksessa suurin uhka kohdistuu digitaalisiin allekirjoituksiin.

Nykyisin vain yksityisen avaimen haltija voi allekirjoittaa BTC-tapahtuman pätevästi, ja verkko tarkistaa allekirjoituksen julkisen avaimen avulla. Shorin algoritmi mahdollistaa teoriassa sen, että riittävän tehokas kvanttitietokone johtaa yksityisen avaimen sitä vastaavasta julkisesta avaimesta, jolloin hyökkääjä voisi käyttää jonkun toisen kolikoita.

Bitcoin voisi siis jatkaa toimintaansa, vaikka ”vuosisadan hyökkäys” alkaisi.

Näytä julkaisu X:ssä Ladataan...

Tweetin poisti sen kirjoittaja.

Mutta me tallensimme kaiken 🙂.

Louhijat jatkaisivat lohkojen tuottamista ja solmut tapahtumien vahvistamista, mutta digitaaliset allekirjoitukset eivät enää todistaisi luotettavasti tiettyjen kolikoiden omistajuutta. Ongelma ulottuisi tällöin paljon yksittäisiä lompakoita laajemmalle: Bitcoinia on jo ETF-rahastoissa, yritysten reserveissä ja muissa perinteisissä rahoitustuotteissa.

Miten Bitcoiniin voisi murtautua?

Yksityisen avaimen arvaaminen tavanomaisella tietokoneella on nykyisin käytännössä mahdotonta. Tämä laskennallinen vaikeus on Bitcoinissa käytettyjen kahden digitaalisen allekirjoitusmenetelmän, ECDSA:n ja Schnorrin, turvallisuuden perusta. Molemmat pohjautuvat secp256k1-elliptiseen käyrään perustuvaan kryptografiaan.

Kvanttitietokoneet muuttavat tätä asetelmaa. Shorin algoritmi pystyy ratkaisemaan tämän kryptografian taustalla olevan matemaattisen ongelman huomattavasti nopeammin. Jos kvanttitietokoneesta tulee riittävän tehokas, hyökkääjän tarvitsee vain saada julkinen avain, johtaa sitä vastaava yksityinen avain ja allekirjoittaa tapahtuma, jolla jonkun toisen BTC:t siirretään.

Verkon näkökulmasta tällainen tapahtuma näyttäisi pätevältä. Lohkoketju ei tiedä, kuka alun perin hallitsi avainta, vaan tarkistaa ainoastaan allekirjoituksen matemaattisen pätevyyden.

Onnistuneen kvanttihyökkäyksen jälkeen nykyinen protokolla ei siis pystyisi erottamaan laillista omistajaa hyökkääjästä.

Kaikki lompakot eivät kuitenkaan ole yhtä haavoittuvia. Glassnoden mukaan julkiset avaimet olivat toukokuuhun 2026 mennessä paljastuneet pysyvästi noin 6,04 miljoonan BTC:n osalta, mikä vastasi 30,2 %:a liikkeeseen lasketusta tarjonnasta. BIP-361-ehdotuksessa esitetään suurempi, yli 34 %:n arvio, mutta laskentamenetelmät eroavat toisistaan, joten lukuja ei pidä pitää suoraan vertailukelpoisina.

Näytä julkaisu X:ssä Ladataan...

Tweetin poisti sen kirjoittaja.

Mutta me tallensimme kaiken 🙂.

Erityisen haavoittuvia ovat vanhat P2PK-tulosteet, jotka ovat käytettävissä olevien saldojen tietueita, sekä Taprootin P2TR-tulosteet, joissa julkinen avain on suoraan nähtävissä tulosteen rakenteessa. Vaarassa ovat myös kolikot, joiden osoitteiden julkiset avaimet ovat paljastuneet aiempien tapahtumien yhteydessä.

Tällaiseen lompakkoon voitaisiin hyökätä ennakolta ilman, että hyökkääjän tarvitsisi toimia niiden muutaman minuutin aikana, jotka kuluvat tapahtuman lähettämisestä sen vahvistamiseen. Tulosteiden kohdalla, joiden julkiset avaimet pysyvät tiivisteen takana piilossa, hyökkäysikkuna avautuu vasta kolikoita käytettäessä. Kun tapahtuma julkaistaan, hyökkääjän on johdettava yksityinen avain ja luotava kilpaileva tapahtuma ennen alkuperäisen vahvistamista.

Kehittäjät kutsuvat näitä tilanteita pitkäksi ja lyhyeksi altistumiseksi. Ensimmäisessä tapauksessa julkinen avain tunnetaan etukäteen, mikä antaa hyökkääjälle huomattavasti enemmän aikaa. Toisessa tapauksessa lyhyt aikaikkuna kasvattaa tarvittavaa laskentatehoa huomattavasti.

Vanhimmat kolikot aiheuttavat toisenkin ongelman. Merkittävä osa Satoshi Nakamotolle kuuluvaksi arvioiduista BTC:istä on varhaisissa tulosteissa, joiden julkiset avaimet ovat jo paljastuneet.

Jos näitä kolikoita aletaan siirtää ensimmäistä kertaa vuosikymmeniin sen jälkeen, kun kryptografisesti merkityksellinen kvanttitietokone on kehitetty, markkinat eivät heti tietäisi, onko niiden laillinen omistaja palannut vai onko joku johtanut yksityiset avaimet.

Ensimmäiset tunnit: lompakoista Wall Streetille

Lohkoketju voisi jatkaa lohkojen tuottamista. Kriisi ei alkaisi verkon pysähtymisestä vaan siitä, ettei enää voitaisi luottaa siihen, että digitaalinen allekirjoitus kuuluu todella tietylle käyttäjälle.

Yksi suurten kaupankäyntialustojen ensimmäisistä toimista olisi todennäköisesti Bitcoin-tapahtumien rajoittaminen. Pörssien ja säilytyspalvelujen tarjoajien pitäisi selvittää, mitkä tulosteet on jo vaarannettu, voitaisiinko reservejä siirtää turvallisesti ja altistaisiko tapahtuman lähettäminen kolikot lisäriskeille.

Samaan aikaan omistajat alkaisivat siirtää varoja pois haavoittuvista osoitteista. Jos miljoonat käyttäjät yrittäisivät siirtää BTC:itä samanaikaisesti, mempool voisi ruuhkautua pahasti ja transaktiomaksut nousta jyrkästi.

Riittävän tehokkaalla kvanttitietokoneella osa näistä siirroista loisi itsessään lyhyen hyökkäysikkunan heti julkisen avaimen paljastumisen jälkeen.

Bitcoinin omistajuuteen kohdistuvan luottamuksen heikkeneminen vaikuttaisi nopeasti rahoitustuotteisiin, jotka pitävät omaisuuserää sijoittajien puolesta. Yhdysvaltalaisissa spot-Bitcoin-ETF-rahastoissa on noin 1,5 miljoonaa BTC:tä. Rahasto-osuudet eivät oikeudellisesti katoaisi, mutta rahastojen toiminta riippuu siitä, että säilytyspalvelujen tarjoajat pystyvät säilyttämään ja siirtämään kohde-etuuden turvallisesti.

Kvanttihyökkäys voisi häiritä ETF-osuuksien luomista ja lunastamista. Jos säilyttäjä ei pystyisi siirtämään varoja turvallisesti tai takaamaan määräysvaltaansa niihin, Bitcoinin arvon ja ETF-hintojen yhdistävä arbitraasimekanismi voisi lakata toimimasta.

Rahastot joutuisivat todennäköisesti rajoittamaan toimintaansa, kunnes ne pystyisivät varmistamaan varojensa turvallisuuden.

Pörssiyhtiöt kohtaisivat samanlaisia ongelmia. Strategyn omistuksessa on yli 848 000 BTC:tä, joten jyrkkä hinnanlasku tai osaan sen varannoista kohdistuva tietomurto vaikuttaisi muuhunkin kuin yhtiön taseeseen.

Myös yhtiön kantaosakkeet, etuoikeutetut arvopaperit, velkasitoumukset ja muut instrumentit, joiden kautta sijoittajat saavat epäsuoraa altistusta Bitcoinille, joutuisivat paineen alle.

Näytä julkaisu X:ssä Ladataan...

Tweetin poisti sen kirjoittaja.

Mutta me tallensimme kaiken 🙂.

Myös johdannaiset jäisivät markkinoille. CME:n futuurisopimus ei katoaisi vain siksi, että luottamus digitaalisiin allekirjoituksiin olisi romahtanut. Kohde-etuuden viitehinnan luotettavuus joutuisi kuitenkin paineen alle, jos eri kaupankäyntialustat alkaisivat rajoittaa BTC-kaupankäyntiä.

Louhinta ei myöskään välttämättä pysähtyisi. Digitaalisia allekirjoituksia vastaan hyökkäävä kvanttitietokone ei saisi samanlaista etua SHA-256:ta vastaan. Jos Bitcoinin hinta kuitenkin romahtaisi, osa louhintalaitteista muuttuisi kannattamattomiksi, hashrate laskisi ja verkon turvallisuus joutuisi paineen alle louhinnan taloudellisten kannustimien heikentyessä.

Bitcoinin pelastaminen edellyttää vanhojen kolikoiden kohtalosta päättämistä

Valmistautumiseen tähän skenaarioon on jo olemassa työkaluja. NIST:n asiantuntijat ovat standardoineet kvanttiturvallisia digitaalisia allekirjoitusmenetelmiä, ja Bitcoin-kehittäjät keskustelevat siitä, miten protokolla voidaan valmistella siirtymään uuteen kryptografiaan.

Esimerkiksi BIP-360 ehdottaa välivaihetta: uutta P2MR-tulostyyppiä, jossa ei ole kvanttihyökkäyksille alttiita Taproot-avainpolkua. Sen avulla voitaisiin luoda pitkään altistuvia hyökkäyksiä kestäviä tulosteita ja valmistella infrastruktuuria kvanttiturvallisten allekirjoitusten mahdollista käyttöönottoa varten. Tämä lähestymistapa ei kuitenkaan yksin suojaisi yksityisavaimen nopealta selvittämiseltä transaktion julkaisun jälkeen.

Uuden tulostusformaatin käyttöönotto ei myöskään riittäisi. Miljoonat nykyiset kolikot jäisivät vanhoihin tulosteisiin, ja tässä alkaa kiistanalaisin kysymys.

BIP-361-luonnoksessa ehdotetaan kaksivaiheista siirtymää. Noin kolme vuotta käyttöönoton jälkeen vanhoista tulosteista peräisin olevia varoja saisi siirtää vain kvanttiturvallisiin tulosteisiin. Kaksi vuotta myöhemmin jäljellä olevien ECDSA- ja Schnorr-suojattujen kolikoiden käyttöön liittyvät säännöt tiukentuisivat huomattavasti.

Joillekin lompakoille ehdotetaan erityisiä palautusmekanismeja, joiden avulla lailliset omistajat voisivat todistaa omistajuutensa turvautumatta nykyisiin haavoittuviin allekirjoituksiin.

Tämä lähestymistapa suojaisi verkkoa hyökkääjiltä, mutta aiheuttaisi uuden ongelman. Jos omistaja ei ehtisi siirtää kolikoitaan ajoissa, menettäisi pääsyn varmuuskopiotietoihin tai käyttäisi niin vanhaa lompakkoa, ettei se tue palautusta, hänen BTC:nsä voisivat käytännössä jäätyä protokollan omien sääntöjen nojalla.

Vielä jyrkempi vaihtoehto olisi jättää säännöt ennalleen ja antaa riittävän tehokkaan kvanttitietokoneen ensimmäisenä haltuunsa saavan viedä haavoittuvat kolikot. Kadonneiden bitcoinien tai Satoshin varhaisten tulosteiden kohdalla verkolla ei olisi automaattista keinoa selvittää, kuka on oikea omistaja ja kuka on johtanut avaimen vuosikymmeniä myöhemmin.

Näytä julkaisu X:ssä Ladataan...

Tweetin poisti sen kirjoittaja.

Mutta me tallensimme kaiken 🙂.

Kehittäjät käyvät tästä valinnasta aktiivista keskustelua. Osa kannattaa kvanttiturvallisten ominaisuuksien varhaista käyttöönottoa ilman pakollista varojen jäädyttämistä. Toiset puoltavat tiukkaa siirtymäaikaa ja perustelevat kantaansa sillä, ettei järjestelmälliselle päivitykselle ole enää aikaa, kun aidosti kyvykäs kvanttitietokone ilmestyy.

Myös monimutkaisempia palautusehdotuksia tutkitaan.

Vuonna 2026 Project Eleven esitteli prototyypin, jossa vanhan lompakon omistajuus osoitetaan nollatietotodistuksilla turvautumatta sen nykyiseen allekirjoitusjärjestelmään. Menetelmä on kuitenkin kokeellinen, eikä se ratkaise kaikkien varhaisten osoitteiden ongelmaa – etenkään ennen nykyaikaisia siemenlauseita ja standardoituja varmuuskopioiden palautusmenetelmiä luotujen osoitteiden osalta.

Kvanttitietokoneen ei siis välttämättä tarvitsisi pysäyttää Bitcoinia. Paljon vaarallisempi olisi tilanne, jossa lohkojen tuottaminen jatkuu, mutta nykyiset digitaaliset allekirjoitukset eivät enää pysty takaamaan, että kolikoita käyttävät niiden oikeat omistajat.

Jos siirtymä kvanttiturvalliseen kryptografiaan aloitetaan ajoissa, verkolla on aikaa toteuttaa siirtymä vaiheittain. Jos ensimmäinen suuri varkaus tapahtuu ennen siirtymää, teknisestä ongelmasta tulee hetkessä taloudellinen ja poliittinen: Bitcoinin on päätettävä paitsi siitä, miten uudet transaktiot suojataan, myös siitä, kenellä on oikeus miljooniin vanhoihin BTC:ihin.