Computação quântica e a integridade do Bitcoin: o que está em risco

Resposta direta

Hoje, setembro de 2026, nenhum computador quântico existente é capaz de quebrar a criptografia que protege o Bitcoin. A ameaça real tem nome técnico — um "computador quântico criptograficamente relevante" (CRQC) — e significa uma máquina com qubits suficientes, e estáveis o bastante, para rodar o algoritmo de Shor contra uma curva elíptica em tempo útil. Essa máquina ainda não existe, mas as estimativas de quantos recursos ela exigiria caíram de forma acentuada em 2026, o que reacendeu o debate sobre quando — não se — a rede precisa migrar para assinaturas resistentes a ataques quânticos. Este texto explica o que está de fato exposto, o que não está, os números por trás das manchetes recentes e o caminho de mitigação que a comunidade do Bitcoin já começou a construir.

Os dois algoritmos que importam: Shor e Grover

A ameaça quântica ao Bitcoin não é uma coisa só — são dois algoritmos com efeitos bem diferentes sobre partes diferentes do protocolo.

• Algoritmo de Shor: resolve, em tempo polinomial, o problema do logaritmo discreto sobre curvas elípticas — a base matemática da assinatura ECDSA que o Bitcoin usa, sobre a curva secp256k1. Quem tem a chave pública de um endereço e um computador quântico grande o bastante consegue calcular a chave privada correspondente. Isso quebra a assinatura, não "o dinheiro" em si: o risco concreto é alguém forjar uma assinatura e gastar moedas que não são dele.
• Algoritmo de Grover: só acelera buscas de força bruta de forma quadrática — por exemplo, contra funções de hash como o SHA-256. Um ganho quadrático é sério contra senhas curtas, mas contra o SHA-256 ele reduz a segurança efetiva de 256 para cerca de 128 bits, um patamar que a criptografia ainda considera seguro. Bastaria dobrar o tamanho do hash para neutralizar Grover — e o Bitcoin nem precisa fazer isso hoje.

Essa distinção importa porque a cobertura sobre "Bitcoin e computação quântica" costuma tratar as duas ameaças como uma só. Não são: a mineração por prova de trabalho está, na prática, protegida; o que está em risco são as assinaturas que autorizam o gasto de moedas.

O que no Bitcoin depende de cada primitiva

Duas famílias de criptografia sustentam o protocolo, e cada uma tem uma relação diferente com a computação quântica:

• ECDSA sobre secp256k1 autoriza o gasto de cada UTXO — a "moeda" não gasta que uma transação pode consumir. É essa assinatura que o algoritmo de Shor ameaça.
• SHA-256 e RIPEMD-160 fazem duas coisas: encadeiam blocos (mineração) e transformam a chave pública em um endereço, aplicando um hash sobre ela. Um hash não se reverte com o algoritmo de Shor; ele protege a chave pública enquanto ela não é revelada.

Esse segundo ponto é a chave para entender a exposição real: enquanto a chave pública de um endereço permanecer escondida atrás do hash, ela está fora do alcance de Shor. O problema é que, no Bitcoin, a chave pública fica visível assim que o dono gasta pela primeira vez — ela precisa aparecer na transação para que a rede confirme a assinatura.

Quem está exposto agora — e quem não está

Não existe uma resposta única para "quanto Bitcoin está vulnerável"; depende do critério usado. Levantamentos recentes convergem numa faixa, mas divergem no detalhe:

A diferença entre "8%" e "32%" não é erro de cálculo — é escolha de critério. Vale separar duas categorias:

• Exposição estrutural (em repouso): endereços cujo formato revela a chave pública mesmo sem gasto, como os antigos P2PK (Pay-to-Public-Key), comuns nos blocos de 2009–2010. Cerca de 1,7 milhão de BTC estão nesse formato, e aproximadamente 1,1 milhão são atribuídos a Satoshi Nakamoto — parados desde a mineração, sem nenhum sinal de atividade.
• Exposição operacional: endereços modernos (P2PKH, P2WPKH, P2TR) cuja chave pública só aparece quando o dono gasta — e que ficou exposta porque o dono reutilizou o mesmo endereço em vez de gerar um novo a cada recebimento. Entre as maiores carteiras vulneráveis por saldo, a reutilização de endereço, não o tipo de script, costuma ser a causa, o que atinge inclusive carteiras de grandes corretoras.

O que continua protegido: um endereço P2PKH, P2WPKH (SegWit) ou P2TR (Taproot) que nunca recebeu um gasto — e cujo dono nunca reutilizou o endereço — mantém a chave pública escondida atrás do hash. Não há chave pública para atacar até o primeiro gasto.

O ataque em tempo real: a janela dos 10 minutos

Mesmo um endereço "seguro" tem uma janela de exposição temporária: no instante em que o dono transmite uma transação, a chave pública entra no witness (ou no script de desbloqueio) e fica visível para qualquer nó da rede antes mesmo de a transação ser confirmada. O Bitcoin leva, em média, dez minutos para confirmar um bloco — tempo suficiente, em teoria, para um computador quântico calcular a chave privada, montar uma transação concorrente com taxa maior e tentar roubar os fundos antes da confirmação original.

O whitepaper de Google Quantum AI, Stanford e Ethereum Foundation, publicado em 31 de março de 2026, modelou esse cenário e estimou uma taxa de sucesso de cerca de 41% para esse "sequestro de transação em tempo real" contra o Bitcoin, em condições favoráveis ao atacante — número que cai para menos de 3% em redes com blocos mais rápidos, como Litecoin, e para menos de 0,08% no caso do Zcash. O mesmo estudo reduziu em cerca de 20 vezes a estimativa de recursos necessários para essa classe de ataque em relação a trabalhos anteriores, afirmando que um computador supercondutor com menos de 500 mil qubits físicos — ainda inexistente — poderia, em tese, resolver a chave em cerca de nove minutos usando entre 1.200 e 1.450 qubits lógicos (com correção de erro) e dezenas de milhões de portas Toffoli.

É importante separar dois planos aqui. Os qubits lógicos citados pelo estudo pressupõem correção de erro plenamente funcional — algo que a indústria ainda não demonstrou em escala. Traduzir "1.200 qubits lógicos" para hardware real hoje exigiria uma quantidade muito maior de qubits físicos ruidosos; estimativas de anos anteriores, como o trabalho de Gidney e Ekerå sobre fatoração com o algoritmo de Shor, falavam em muitos milhões de qubits físicos para tarefas comparáveis. A redução de 2026 é significativa porque mostra a direção da pesquisa — menos recursos a cada novo estudo —, não porque o ataque já seja praticável.

Quanto falta, de fato

Os maiores processadores quânticos públicos de 2026 operam na casa de centenas a poucos milhares de qubits físicos ruidosos, sem a correção de erro completa que os cálculos acima pressupõem — muito longe dos milhões de qubits físicos que boa parte das estimativas ainda considera necessários para chegar aos 1.200–1.450 qubits lógicos citados. Relatórios do setor financeiro, como o da Citigroup, de janeiro de 2026, seguem projetando o surgimento de um computador quântico criptograficamente relevante para algo entre o fim desta década e meados da década de 2030, sem uma data que reúna consenso. Trate qualquer previsão pontual — inclusive as citadas neste artigo — como uma estimativa sujeita a revisão, não como um cronograma confiável.

O caminho de mitigação: BIP-360 e os padrões pós-quânticos

Em agosto de 2024, o NIST (o instituto de padrões dos Estados Unidos) finalizou os três primeiros padrões de criptografia pós-quântica, depois de um processo de seleção de oito anos: FIPS 203 (ML-KEM, para troca de chaves), FIPS 204 (ML-DSA, assinatura digital baseada em reticulados) e FIPS 205 (SLH-DSA, assinatura baseada em hash, pensada como alternativa caso o ML-DSA se mostre vulnerável). São essas famílias — mais o esquema FALCON, também de reticulados — que embasam as propostas de assinatura pós-quântica para o Bitcoin.

A proposta mais avançada é a BIP-360, publicada como rascunho formal em fevereiro de 2026 por Hunter Beast, Ethan Heilman e Isabel Foxen Duke, depois de discussão pública desde meados de 2024. Ela cria um novo tipo de saída — apelidada de Pay-to-Quantum-Resistant-Hash (P2QRH), com relatos recentes descrevendo o mesmo mecanismo também como Pay-to-Merkle-Root — que só compromete um hash de 32 bytes de uma árvore de scripts, em vez de expor diretamente uma chave pública ECDSA. Alguns detalhes técnicos ainda estão em fluxo (fontes divergem até no prefixo do endereço, bc1r ou bc1z), mas a arquitetura já é consistente entre as versões:

• Soft fork: implantada como uma nova versão de witness do SegWit, sem exigir hard fork nem invalidar endereços atuais. Nós desatualizados continuam validando os blocos; só não enxergam as regras novas.
• Migração voluntária: quem quiser passa a receber em um novo formato de endereço; quem não migrar continua operando normalmente, ao menos por enquanto.
• Custo em espaço de bloco: assinaturas pós-quânticas são muito maiores que as atuais — de cerca de 666 bytes no FALCON-512 a mais de 7.800 bytes no SPHINCS+, contra 64 bytes de uma assinatura Schnorr hoje. Isso reduziria a capacidade de transações por bloco em algo como quatro a cinco vezes, pressionando taxas para cima.

Uma implementação de teste da BTQ Technologies rodou em uma rede de testes dedicada a partir de março de 2026, atraindo dezenas de mineradores e passando de 100 mil blocos minerados — um sinal de que a proposta saiu do papel, não de que ela está pronta para a rede principal. A própria comunidade reconhece que falta trabalho de especificação, revisão de segurança e consenso antes de qualquer ativação.

O dilema das moedas antigas: BIP-361 e o "pôr do sol"

Migrar quem está ativo é a parte relativamente fácil. O problema são as moedas paradas em endereços vulneráveis cujo dono não vai — ou não pode — movê-las: carteiras perdidas, herdeiros sem acesso, e os cerca de 1,1 milhão de BTC atribuídos a Satoshi Nakamoto, intocados desde 2009–2010. Uma proposta complementar, a BIP-361, em discussão desde abril de 2026, sugere um mecanismo de "pôr do sol" (sunset): depois de um prazo definido, a rede deixaria de reconhecer gastos vindos de formatos vulneráveis, congelando de forma permanente qualquer saldo que não tenha migrado — inclusive, hipoteticamente, moedas ligadas a Satoshi.

A proposta expõe uma tensão real dentro da comunidade: congelar coloca em xeque o princípio de que ninguém — nem os próprios criadores do protocolo — pode revogar a posse de um saldo; não congelar deixa para sempre uma reserva de moedas que um computador quântico suficientemente forte poderia roubar em massa, com efeito potencial sobre o preço e a confiança na rede. Não existe uma data de ativação definida, e prazos de migração citados na cobertura do tema vão de 2029 a 2035, variando por instituição e por quem está fazendo a estimativa. Trate esse calendário como ponto de partida do debate, não como decisão tomada.

O que fazer agora, na prática

Nada aqui exige ação de emergência — mas alguns hábitos reduzem exposição sem custo real:

• Não reutilize endereços. Use uma carteira que gere um endereço novo a cada recebimento — padrão em praticamente toda carteira moderna (HD, derivada de uma única seed). É a única causa de exposição totalmente sob seu controle.
• Evite manter saldo relevante em formatos P2PK ou em qualquer endereço legado que você saiba que já teve a chave pública exposta; avalie mover para um endereço novo, nunca usado, quando fizer sentido operacionalmente.
• Não trate a janela de confirmação como um risco do seu dia a dia. O ataque de "sequestro em tempo real" descrito acima depende de hardware que ainda não existe; é um cenário de pesquisa, não uma ameaça presente em cada transação sua.
• Mantenha a carteira, software ou hardware, atualizada para poder adotar endereços pós-quânticos quando eles amadurecerem, sem precisar trocar de ferramenta às pressas.
• Sua frase de recuperação (seed) não é o alvo deste risco específico — ela gera as chaves, mas o ataque quântico mira a chave pública já exposta on-chain, não a semente guardada offline.

Riscos e cuidados

Golpes explorando o medo do tema já existem. Em 2026, usuários da Ledger e da Trezor foram alvo de e-mails e até cartas físicas falsas pedindo uma "atualização de segurança quântica" com QR code — uma tentativa de phishing para capturar a frase de recuperação de 24 palavras, sem qualquer relação com uma atualização real. Nenhuma fabricante de carteira de hardware pede sua seed phrase por e-mail, carta ou QR code, em nenhuma circunstância. Se receber uma comunicação assim, ignore e verifique diretamente no site oficial da fabricante.

Não existe hoje uma "carteira quântica-resistente" pronta para uso no Bitcoin. Qualquer produto comercial vendido com essa promessa, antes de a BIP-360 (ou proposta equivalente) estar ativa na rede principal, deve ser tratado com ceticismo.

O risco de governança é tão real quanto o risco técnico. Propostas como a BIP-361 mudariam uma regra fundamental do Bitcoin — a impossibilidade de confiscar saldo alheio. Debates assim tendem a ser longos, controversos e imprevisíveis; não presuma que a solução técnica virá acompanhada de um consenso social rápido.

Os números deste artigo mudam com o tempo. Estimativas de qubits necessários, cronogramas e até a fatia de BTC "exposta" já variaram bastante em poucos anos, inclusive dentro de 2026. Trate qualquer estimativa, desta ou de outra fonte, como um retrato do estado atual da pesquisa, não como previsão definitiva.

Checklist

Não reutilize endereços — gere um novo a cada recebimento. Verifique se tem saldo em formatos antigos (P2PK ou endereços conhecidos como reutilizados) e avalie migrar quando fizer sentido. Mantenha software e firmware da carteira atualizados para poder adotar assinaturas pós-quânticas quando estiverem prontas. Desconfie de qualquer contato — e-mail, carta ou QR code — pedindo sua seed phrase por causa de "segurança quântica". Acompanhe fontes técnicas, como o repositório de BIPs do Bitcoin e a Bitcoin Optech, em vez de manchetes isoladas.

Perguntas frequentes

Um computador quântico pode quebrar o Bitcoin hoje?

Não. Nenhum computador quântico existente tem qubits suficientes, com correção de erro funcional, para rodar o algoritmo de Shor contra uma chave ECDSA em tempo útil. As estimativas de quando isso poderá acontecer variam de "fim desta década" a "meados da década de 2030", sem consenso.

Minhas moedas em uma carteira de hardware estão seguras?

Sim, no que diz respeito a este risco específico. O algoritmo de Shor ataca a chave pública exposta on-chain, não a sua frase de recuperação nem o dispositivo físico. Se você nunca reutiliza endereços, sua chave pública só fica exposta durante a breve janela de uma transação.

A mineração do Bitcoin vai parar de funcionar?

Não. A prova de trabalho usa SHA-256, que só sofre uma aceleração quadrática limitada com o algoritmo de Grover — insuficiente para dar vantagem a um minerador quântico sobre a rede clássica atual, mesmo em cenários otimistas para a tecnologia.

As moedas de Satoshi Nakamoto correm risco?

Correm o mesmo risco estrutural de qualquer endereço P2PK antigo: a chave pública já está visível on-chain. Também são o centro do debate sobre propostas como a BIP-361, que discutem se — e como — a rede deveria lidar com saldos parados que nunca migrarem para um formato seguro.

Preciso trocar de carteira agora por causa disso?

Não há necessidade de ação emergencial. Priorize não reutilizar endereços e mantenha sua carteira atualizada; a migração para formatos pós-quânticos, quando existir na rede principal, deve ser um processo voluntário e gradual, não uma corrida.

Conteúdo informativo e educacional. Não constitui recomendação de investimento, oferta ou solicitação de compra ou venda de ativos.

Fontes: NIST — primeiros padrões finalizados de criptografia pós-quântica (FIPS 203, 204 e 205); Forbes — whitepaper do Google Quantum AI reduz estimativa de recursos para atacar o Bitcoin; postquantum.com — mapa da superfície de ataque quântico ao Bitcoin; CoinShares — vulnerabilidade quântica no Bitcoin, um risco administrável; crypto.news — BIP-360, BIP-361 e o plano de migração pós-quântica do Bitcoin; Citigroup — a corrida de segurança de um trilhão de dólares contra a ameaça quântica; Cybernews — golpistas se passam por "especialistas em quântica" para atingir usuários de Bitcoin; Cryptopolitan — golpistas enviam cartas falsas de "atualização quântica" a usuários da Ledger. Consulta realizada em 11 set. 2026.