A computação quântica ainda não consegue quebrar o Bitcoin, mas o prazo estimado encolheu e o risco agora tem número. Em 15 de outubro de 2026, a recém-criada Quantum Alliance calculou que cerca de 6,4 milhões de BTC, ou 30,2% da oferta, estão em endereços com chave pública exposta. Nesta versão revisada do guia, explicamos o que isso significa, quando o perigo pode ficar real e como a rede se prepara.
O debate sobre computação quântica esquentou ao longo de 2026. Primeiro, um artigo do Google Quantum AI publicado em março reduziu drasticamente a estimativa de máquina necessária para atacar a criptografia do Bitcoin. Em seguida, empresas do setor criaram grupos para financiar pesquisa e definir padrões. Por isso, vale separar o que é fato, o que é projeção e o que continua em aberto.
O que é a Quantum Alliance e por que ela fala em 6,4 milhões de BTC?
A Quantum Alliance é um grupo de nove empresas de blockchain que quer criar padrões abertos contra a computação quântica. Ela foi lançada em 15 de outubro de 2026. Entre os membros confirmados pela imprensa estão Hacken, Midnight Foundation (ligada a Charles Hoskinson), Quantus, Postquant Labs e The Vault. Além disso, a proposta segue o modelo do IETF: em vez de lançar uma blockchain nova, a aliança publica critérios de teste e guias de migração.
Segundo a aliança, cerca de 6,4 milhões de BTC (30,2% da oferta) estão em endereços cuja chave pública já aparece na blockchain. Desse total, aproximadamente 1,1 milhão de BTC é atribuído a Satoshi Nakamoto. Contudo, o próprio grupo reconhece que nenhum computador quântico atual consegue explorar essas chaves. Além disso, algumas reportagens citam 6,04 milhões em vez de 6,4 milhões, o que mostra como essas contagens ainda variam.
Na prática, o trabalho está dividido em quatro frentes: migração de blockchains, provas de conhecimento zero pós-quânticas, segurança de carteiras e compatibilidade entre redes. No entanto, os membros divergem sobre o calendário. Richard Carback, CTO da Postquant Labs, disse à CoinDesk que considera 2028 “uma data realista” para uma máquina capaz de quebrar a criptografia atual. Já Bryn Bennett, da The Vault, foi mais cauteloso: “Ninguém sabe a data, mas as estimativas continuam caindo, e é um risco para o qual já dá para se planejar.”
Quantum Alliance não é o Bitcoin Security Consortium
Por outro lado, vale não confundir os dois grupos, que por coincidência também têm nove fundadores. O Bitcoin Security Consortium nasceu em 23 de julho de 2026 com Strategy, BlackRock, Coinbase, Fidelity Digital Assets, Blockstream, Block, Galaxy, ARK Invest e Anchorage Digital. De acordo com o anúncio, os membros prometeram US$ 15 milhões em três anos para desenvolvedores e pesquisadores de segurança do Bitcoin, com a criptografia pós-quântica como primeiro foco. Contudo, o consórcio diz que não vai defender mudanças específicas no código. Ou seja, um financia pesquisa no Bitcoin; o outro tenta padronizar testes para várias blockchains.
Como a computação quântica ameaça a criptografia do Bitcoin?
A computação quântica ameaça as assinaturas digitais do Bitcoin, não a mineração. Um computador clássico trabalha com bits que valem 0 ou 1. Já a computação quântica usa qubits, que exploram superposição e emaranhamento. Na prática, isso não acelera qualquer tarefa, mas acelera muito alguns problemas matemáticos específicos.
Na computação quântica, o problema central é o algoritmo de Shor. De fato, ele resolve com eficiência o logaritmo discreto em curvas elípticas, a base das assinaturas ECDSA e Schnorr usadas pelo Bitcoin na curva secp256k1. Assim, quem tivesse um computador quântico grande e estável poderia calcular a chave privada a partir da chave pública. Logo, com a chave privada em mãos, o atacante assina transações e move as moedas como se fosse o dono.
Já o SHA-256, usado na mineração e nos hashes de endereço, sofre um impacto bem menor. O algoritmo de Grover oferece só um ganho quadrático em buscas, o que reduz a margem de segurança sem quebrar a função. Além disso, os ASICs de mineração atuais são muito mais rápidos que qualquer máquina quântica prevista. Por isso, consideramos o risco à mineração secundário: o ponto fraco real está nas chaves públicas expostas.
Se você está começando no assunto, nosso guia sobre o que é blockchain explica como chaves, assinaturas e blocos se encaixam antes de entrar na parte quântica.
Quão perto estamos de um computador quântico capaz de quebrar o Bitcoin?
Ainda estamos longe, mas bem mais perto do que se calculava até 2025. Em março de 2026, o Google Quantum AI publicou, com pesquisadores da Ethereum Foundation e de Stanford, um artigo sobre a curva secp256k1. Segundo o estudo, o ataque exigiria entre 1.200 e 1.450 qubits lógicos e menos de 500 mil qubits físicos supercondutores. Antes, as estimativas mais citadas falavam em milhões de qubits físicos.
Além disso, o mesmo trabalho estima que, com o hardware pronto, o cálculo levaria poucos minutos a partir de um estado pré-calculado. Inclusive, o Google optou por não publicar os circuitos do ataque. Em vez disso, divulgou uma prova de conhecimento zero que permite verificar as contas sem revelar o método. Por fim, a empresa fixou 2029 como meta interna para migrar os próprios sistemas para criptografia pós-quântica.
O que existe de hardware hoje
O chip Willow, apresentado pelo Google em dezembro de 2024, tem 105 qubits físicos. Na prática, seu mérito foi mostrar que a correção de erros melhora conforme o sistema cresce, um marco importante para a área. Da mesma forma, a IBM prevê para 2029 o Starling, uma máquina tolerante a falhas com cerca de 200 qubits lógicos. No entanto, mesmo esse alvo ainda fica bem abaixo dos 1.200 qubits lógicos do cenário de ataque.
Portanto, a distância diminuiu, mas não sumiu. Nossa visão é que o número a acompanhar não é o total de qubits físicos anunciado em cada chip. Afinal, o sinal relevante da computação quântica é a quantidade de qubits lógicos estáveis, com taxa de erro baixa, operando por tempo suficiente. Assim, enquanto esse número estiver na casa das dezenas ou poucas centenas, o ataque continua teórico.
Do lado da defesa contra a computação quântica, a padronização já andou. Em agosto de 2024, o NIST publicou os padrões FIPS 203 (ML-KEM, antigo Kyber), FIPS 204 (ML-DSA, antigo Dilithium) e FIPS 205 (SLH-DSA, baseado em hash). Em seguida, em 2025, o instituto escolheu também o HQC como algoritmo reserva. Além disso, o cronograma proposto pelo NIST prevê aposentar RSA e curvas elípticas em sistemas do governo americano entre 2030 e 2035.
Quais bitcoins estão expostos e o que muda para quem tem BTC?
Ficam expostos os bitcoins cuja chave pública já está visível na blockchain. Por isso, a exposição à computação quântica depende do tipo de endereço e do histórico de uso. Na maioria dos formatos, o endereço guarda apenas um hash da chave pública. Logo, a chave só aparece quando você gasta a partir dele, e é aí que mora o detalhe.
| Tipo de endereço | Como começa | Chave pública visível? | Exposição quântica |
|---|---|---|---|
| P2PK (2009-2010) | Sem endereço (script direto) | Sim, desde o recebimento | Alta |
| P2PKH (legado) | 1… | Só depois do primeiro gasto | Baixa se nunca gastou |
| P2SH / P2WPKH (SegWit) | 3… ou bc1q… | Só depois do primeiro gasto | Baixa se nunca gastou |
| P2TR (Taproot) | bc1p… | Sim, desde o recebimento | Alta |
| Qualquer endereço reutilizado | Qualquer prefixo | Sim, após o 1º gasto | Alta para o saldo restante |
Os endereços P2PK, comuns nos primeiros anos da rede, gravam a chave pública diretamente na saída. Consequentemente, boa parte das moedas atribuídas a Satoshi entra na conta de risco. Por outro lado, o Taproot, ativado em 2021, trouxe ganhos de privacidade e eficiência, mas também deixa a chave pública visível desde o recebimento. Ou seja, endereços bc1p não protegem contra um atacante quântico de longo prazo.
Existe ainda um risco de curta exposição. Por exemplo, quando você transmite uma transação, a chave pública fica visível na mempool até a confirmação, em média 10 minutos. Assim, com estimativas de ataque na casa dos minutos, esse intervalo deixa de ser irrelevante em tese. Contudo, esse cenário exige um computador quântico que ainda não existe.
Boas práticas que já fazem sentido hoje
Nenhuma delas exige pânico ou venda por causa da computação quântica. Sobretudo, são hábitos de segurança que já eram recomendados antes do debate quântico. Recomendamos quatro cuidados práticos:
- Não reutilize endereços: carteiras modernas geram um endereço novo a cada recebimento; use esse recurso.
- Prefira guardar o saldo de longo prazo em endereços que nunca gastaram: formatos com hash (bc1q, 3 ou 1) mantêm a chave pública oculta até o gasto.
- Mantenha a chave privada offline: carteiras de hardware continuam sendo a proteção mais efetiva contra os riscos reais de hoje, como phishing e malware.
- Acompanhe as propostas de migração: quando houver um formato pós-quântico ativado, a mudança vai depender de cada usuário mover as próprias moedas.
Na prática, o maior trade-off está entre conveniência e exposição. Por exemplo, endereços Taproot reduzem taxas em alguns usos, enquanto que formatos SegWit v0 escondem a chave até o gasto. Para quem só guarda, a diferença de taxa pesa pouco; para quem movimenta com frequência, a conta muda.
Como o Bitcoin pode migrar para a criptografia pós-quântica?
A migração depende de um soft fork que crie endereços resistentes e de cada dono mover suas moedas para eles. No entanto, nenhuma proposta está ativada hoje. A mais avançada é a BIP-360, incorporada ao repositório oficial de BIPs como rascunho em fevereiro de 2026. Inclusive, na versão atual, ela virou Pay-to-Merkle-Root (P2MR): cria um tipo de saída sem o gasto por chave do Taproot, mas ainda não adiciona assinaturas pós-quânticas.
Em seguida veio a BIP-361, assinada por Jameson Lopp e outros cinco autores, também em rascunho. Ela propõe primeiro impedir envios para formatos vulneráveis e, anos depois, restringir gastos com assinaturas antigas, salvo por um protocolo de resgate. Consequentemente, moedas nunca migradas, como as de Satoshi, ficariam congeladas. Além disso, ela ainda depende de uma BIP separada que escolha o esquema de assinatura pós-quântico, algo sem consenso.
Na prática, o congelamento é o ponto mais polêmico. Changpeng Zhao, fundador da Binance, já sugeriu congelar as moedas de Satoshi se elas continuarem paradas. Por sua vez, Carback, da Postquant Labs, prefere mover os fundos vulneráveis para uma espécie de custódia recuperável por quem provar a posse. Já Bennett argumenta que congelar troca o risco quântico por um precedente sobre propriedade e neutralidade, e que essa decisão cabe à rede, não às empresas.
Defendemos que a discussão técnica avance antes da urgência, porque coordenar carteiras, corretoras, custodiantes e mineradores leva anos. Afinal, o Taproot levou cerca de quatro anos entre a proposta e a ativação, em 2021. Logo, um soft fork pós-quântico, com assinaturas maiores e impacto em taxas, tende a ser mais lento.
E as outras blockchains?
O Ethereum enfrenta o mesmo problema com a computação quântica, já que suas contas usam a mesma curva secp256k1. Em março de 2026, a Ethereum Foundation lançou um portal dedicado ao tema, com um roteiro que mira 2029 para a proteção pós-quântica completa da camada de consenso. Na prática, o plano troca as assinaturas BLS por assinaturas baseadas em hash, maiores, e usa provas para agregá-las. Para entender o ritmo das atualizações da rede, veja nosso texto sobre o hard fork Glamsterdam.
Outras redes nasceram com esse cuidado. O QRL (Quantum Resistant Ledger), por exemplo, usa desde o lançamento o esquema XMSS, baseado em hash. Por sua vez, redes focadas em privacidade também discutem a transição, tema que aparece no nosso guia de privacy coins. De fato, o desafio vai muito além das criptomoedas: bancos, governos e a própria web dependem das mesmas curvas elípticas.
Conclusão
A computação quântica é um risco real e mensurável para o Bitcoin, mas não imediato. O artigo do Google mostrou que a barreira é menor do que se pensava, e a Quantum Alliance colocou um número no problema: 6,4 milhões de BTC com chave exposta. Contudo, o hardware de computação quântica disponível está longe dos mais de mil qubits lógicos necessários.
Por isso, o debate se deslocou de “se” para “como migrar a tempo”. Primeiro, acompanhe a evolução da BIP-360 e da BIP-361. Em seguida, revise seus hábitos: endereços novos a cada recebimento e chave privada offline. Por fim, desconfie de manchetes que prometem o fim do Bitcoin em meses; o cenário mais provável é uma transição longa e negociada.
