BIP-360 y las monedas de Bitcoin que no pueden moverse

Introducción

Mover un Bitcoin hacia un output resistente a la computación cuántica exige producir una firma de curva elíptica con la clave que un computador cuántico podría romper. Esa es la trampa estructural en el centro de todo plan de migración. Las monedas con la exposición más aguda son las que tienen dueños ausentes, y un dueño ausente no puede firmar una transacción de barrido. Ninguna cantidad de mejoras en wallets, coordinación con exchanges o actualizaciones del lado del cliente cambia esa realidad. Cualquier tratamiento a nivel de protocolo para esas monedas requiere una decisión de consenso, no una acción del usuario.

Alex Pruden, CEO de Project Eleven, planteó públicamente el argumento de coordinación en Consensus Miami a principios de mayo de 2026, y su formulación sirve de ancla para el problema: esta migración será más difícil que Taproot, porque Taproot era opcional y la adopción parcial era aceptable, mientras que una migración post-cuántica solo entrega su beneficio de seguridad si prácticamente todos participan. Situó el despliegue de Taproot en cerca de cinco años como referencia y argumentó que Bitcoin debería sacar un esquema de firma post-cuántico de la fase de investigación y llevarlo a producción antes de que se resuelvan los plazos de hardware, por motivos de riesgo asimétrico más que por pronósticos con certeza.

Nuestras fuentes sobre este tema llegan hasta principios de mayo de 2026 y siguen siendo más escasas de lo que el tema merece. BIP-360 se propuso en 2025 para agregar un tipo de output resistente a la computación cuántica, con estilo Taproot, y eso sí está documentado. Las afirmaciones que circulan sobre una fusión en Bitcoin Core en febrero de 2026, sobre la fase específica de una propuesta BIP complementaria de migración, sobre un resultado de Google Quantum AI en 2026 que reduciría la estimación de recursos necesarios para romper secp256k1, y sobre un equipo dedicado de Ethereum a temas post-cuánticos, no son cosas que pudiéramos verificar contra documentos primarios. Las tratamos como no confirmadas y razonamos a partir del mecanismo en su lugar, señalando cada vacío donde aparece. La mecánica de la exposición de claves públicas, de las transacciones de barrido, del peso de bloque y del modelo UTXO es verificable a partir del propio protocolo, y es ahí donde se ve dónde se rompe esta migración.

La exposición es despareja, y tiene que ver con las claves públicas

El algoritmo de Shor, publicado en 1994, es la razón por la que esto es una cuestión de ingeniería vigente y no una abstracción teórica. Un computador cuántico suficientemente capaz que lo ejecute podría derivar una clave privada a partir de una clave pública conocida en una curva elíptica como secp256k1. El activo relevante en riesgo, entonces, no es la dirección. Es la clave pública, y los tipos de output de Bitcoin difieren en si la publican o no.

Tres categorías importan. Los outputs pay-to-public-key tempranos, incluyendo los outputs coinbase asociados al patrón de minería Patoshi, llevan una clave pública sin procesar directamente en el script. Han estado a la vista desde 2009. Pay-to-public-key-hash y su variante witness publican solo un hash de la clave mientras está sin gastar, pero revelan la clave en el momento en que se gasta, así que cualquier dirección que alguna vez haya sido gastada y luego reutilizada queda totalmente expuesta. Los outputs Taproot comprometen una clave pública ajustada (tweaked) de 32 bytes directamente en el scriptPubKey, lo que significa que un output Taproot sin gastar está expuesto en su clave pública por construcción. El tipo de output diseñado más recientemente y de uso más amplio es, en este eje, uno de los menos protegidos.

La protección basada en hash es más débil de lo que parece a primera vista. No brinda secreto duradero; es una demora que dura exactamente hasta que el dueño intenta gastar. La transacción de gasto revela la clave pública y la firma en el mismo mensaje, y ese mensaje permanece en el mempool por un período antes de confirmarse. Pruden describió la condición de carrera resultante: una vez que exista un computador cuántico criptográficamente relevante, un atacante observando el mempool podría derivar la clave privada a partir de la clave pública revelada, construir una transacción competidora que se pague a sí mismo, adjuntar una comisión más alta y ganar la inclusión en el bloque antes que el dueño legítimo. La ventana de defensa es un intervalo de confirmación, y se reduce a medida que cae el tiempo de recuperación de clave del atacante.

Ese mecanismo tiene una implicancia inmediata para la secuencia de la migración. Un holder que espera hasta que se sepa que existe un computador cuántico y luego se apura a barrer sus monedas hacia un output resistente a la computación cuántica transmite exactamente la información que el atacante necesita, en el momento en que el atacante está observando. Los barridos deben ocurrir mientras la recuperación de claves siga siendo inviable, lo que significa que el momento de la migración no puede estar impulsado por evidencia de un ataque activo. Tiene que estar impulsado por un pronóstico, y ese pronóstico es disputado.

Pruden caracterizó el sentir de los desarrolladores de Bitcoin Core sobre la amenaza como mixto y no monolítico, con algunos colaboradores creyendo que los computadores cuánticos capaces nunca llegarán, frente a lo que describió como la opinión mayoritaria de los físicos de que sí llegarán y de que los plazos podrían estarse acortando. Ese desacuerdo no es un detalle menor. Una migración cuya justificación principal es una distribución de probabilidad sobre el avance del hardware no puede generar un plazo fijo solo con argumentos técnicos, y Bitcoin no tiene ningún mecanismo para imponer plazos por otros medios.

Lo que un tipo de output opcional resuelve y lo que no

El aporte de BIP-360, tal como se propuso en 2025, es un nuevo tipo de output que autentica los gastos con un esquema de firma post-cuántico en lugar de Schnorr o ECDSA. Conceptualmente, esta es la mitad manejable del problema. Agregar un tipo de output es un soft fork del tipo conocido. Los nodos que no se actualizan ven los gastos del nuevo tipo como gastables por cualquiera bajo las reglas antiguas, y dependen de los nodos actualizados para hacer cumplir las condiciones reales, el mismo patrón que se usó para lanzar SegWit y Taproot. Nada cambia respecto a los UTXO existentes. Las wallets que quieren usar el nuevo tipo lo usan; las que no, no.

No pudimos revisar el texto de especificación actual, y la selección precisa del esquema, el formato del script y el mecanismo de activación siguen siendo vacíos en nuestras fuentes, no hechos consolidados que estemos omitiendo. Lo que sí está documentado es la forma de la elección criptográfica. El NIST ha estandarizado familias de firmas post-cuánticas basadas en funciones hash y en retículas (lattices), y la discusión de los desarrolladores de Bitcoin supuestamente se ha inclinado hacia la opción basada en hash. Las razones expuestas no aparecen en nuestras fuentes, aunque el trade-off general es bien conocido en la literatura de criptografía: las construcciones basadas en hash descansan en suposiciones más débiles y antiguas sobre la seguridad de las funciones hash en lugar de en problemas de retículas estructuradas más nuevos, a costa de firmas más grandes y, en algunas construcciones, de un manejo con estado que complica la gestión de claves. El conservadurismo respecto a las suposiciones es una prioridad defendible para un protocolo cuyo modo de falla es irreversible.

Blockstream ya ha desplegado un esquema de firma basado en hash en la red Liquid, lo que le da al debate algo poco común en esta área: un sistema en producción que maneja valor real bajo un esquema post-cuántico, con comportamiento operativo observable. Liquid es una sidechain federada con un perfil de confianza y rendimiento muy distinto al de la capa base de Bitcoin, así que no puede responder preguntas sobre los mercados de comisiones en mainnet ni sobre el peso de bloque. Sí puede responder preguntas más acotadas sobre la madurez de la implementación, el desempeño de la firma y si el modelo de gestión de claves sobrevive al contacto con operaciones de custodia.

La parte que un tipo de output opcional no puede resolver es la cobertura. Toda moneda que no se mueva hacia un output resistente a la computación cuántica sigue expuesta, y nada en un soft fork de nuevo-tipo-de-output hace que las monedas se muevan. La migración del conjunto de UTXO existente es un problema separado con una economía política separada, y ahí es donde entran las propuestas de deprecación gradual de tipos de output antiguos. Nuestras fuentes no describen la fase de ninguna propuesta de ese tipo, y nos abstenemos de reconstruirla. La pregunta de mecanismo que vale la pena plantear con claridad es que cualquier deprecación real implica una regla de consenso que eventualmente rechace gastos ECDSA y Schnorr que de otro modo serían válidos. Esa es la única palanca de aplicación que tiene el protocolo, y destruye permanentemente la posibilidad de gastar cualquier cosa que quede atrás.

Lo opcional funciona hasta que las monedas no migradas se convierten en problema de todos

La adopción parcial de Taproot era tolerable porque el costo de no adoptarlo caía enteramente sobre quien no adoptaba, y era un costo leve: transacciones ligeramente más grandes, sin privacidad de script-path, sin agregación de claves. Las curvas de adopción podían extenderse durante años sin imponer externalidades a terceros.

La migración post-cuántica invierte esa dinámica. La pérdida de primer orden por permanecer en un tipo de output expuesto recae sobre el holder, pero los efectos de segundo orden no se quedan contenidos, y hay tres canales que los transmiten.

El primero es el colateral. BTCFi ha pasado años construyendo mercados de préstamos, sistemas de staking y representaciones envueltas sobre la base de que un UTXO de Bitcoin es un reclamo asentado. Un UTXO vulnerable a la computación cuántica usado como colateral es un reclamo con vencimiento probabilístico, y los protocolos que lo sostienen no tienen forma de fijarle precio a ese riesgo. Si la exposición de la base de colateral de un prestamista depende de si contrapartes ajenas completaron una rotación de claves, el estado de migración se convierte en un parámetro de crédito, y ningún protocolo de préstamos lo rastrea así hoy.

El segundo es la concentración custodial. Los exchanges y custodios mantienen monedas en estructuras de almacenamiento en frío diseñadas para acceso poco frecuente, a menudo configuraciones multisig con fragmentos de clave distribuidos geográficamente y ceremonias de firma que toman días. Rotar esas claves hacia un nuevo tipo de output no es una simple actualización de software; requiere repetir la ceremonia original de claves sobre todo el libro contable, más la reconciliación de prueba de reservas después. Las instituciones que sostienen las mayores concentraciones de monedas son las que operativamente se mueven más lento.

El tercero es monetario. Un robo exitoso de monedas dormidas desde hace mucho tiempo, en particular monedas atribuidas a Satoshi, no se leería como una pérdida aislada. Se leería como evidencia de que el calendario de emisión de Bitcoin y sus garantías de propiedad son condicionales, y el mercado repreciaría esa interpretación a lo largo de todas las monedas, migradas o no. Este canal convierte una decisión de seguridad individual en una colectiva, y por eso la migración voluntaria fracasa como defensa integral.

El argumento de asimetría de Pruden se desprende de esto. Esperar cuesta relativamente poco si el hardware cuántico se estanca, porque un tipo de output post-cuántico sin usar es una carga de mantenimiento modesta. Esperar cuesta mucho si el hardware llega mientras el conjunto de UTXO todavía está mayoritariamente en secp256k1, porque la migración misma se vuelve insegura una vez que los atacantes observan el mempool. El contraargumento merece una exposición justa: la historia de Bitcoin incluye una larga lista de amenazas pronosticadas con urgencia que no se materializaron en el plazo previsto, los cambios de consenso conllevan sus propios riesgos de cola, y un esquema elegido bajo presión de tiempo en 2026 podría resultar ser la opción equivocada para 2040. Los desarrolladores que creen que la amenaza es remota no están siendo descuidados al negarse a gastar ahora la capacidad limitada de coordinación de Bitcoin en esto. Están haciendo un cálculo distinto sobre cuál riesgo es mayor.

El barrido es la operación, y la operación tiene un costo

Una migración no es una actualización de software. Es un evento on-chain en el que una fracción grande del conjunto de UTXO se gasta hacia nuevos outputs, y de ahí se derivan restricciones específicas de orden.

El soporte de wallets y librerías debe llegar primero, porque nada río abajo puede moverse hasta que exista una implementación probada capaz de generar claves post-cuánticas, construir el nuevo tipo de output, firmar y verificar. Después vienen los firmantes de hardware, que tienen ciclos largos de revisión de firmware y, para esquemas basados en hash con estado, quizás necesiten un comportamiento de almacenamiento y seguimiento de estado que los dispositivos existentes no fueron diseñados para manejar. Sigue la infraestructura de hot wallet en los exchanges, que es la capa institucional más fácil de mover porque las claves ya están en línea. Luego vienen el almacenamiento en frío y la custodia, que son la capa institucional más lenta y sostienen los saldos más grandes. Finalmente, debe migrar la larga cola de monedas autocustodiadas en respaldos en papel, frases semilla heredadas y wallets dormidas. Inferimos esta secuencia a partir de la estructura de dependencia técnica y no la reportamos a partir de un plan publicado; ninguna fuente que revisamos especifica un orden operativo, y cualquier calendario real lo determinarían los participantes y no las reglas del protocolo.

Dos rasgos económicos de la fase de barrido merecen examen. Primero, representa un shock de demanda sobre el espacio de bloque concentrado en la ventana que la migración efectivamente ocupe. Cada UTXO que migra necesita un input, y la consolidación solo compensa parcialmente esa huella. Si existe un plazo de deprecación, los holders racionales esperan hasta cerca del corte, comprimiendo aún más la demanda y elevando las comisiones justo cuando los holders menos sofisticados intentan moverse. Segundo, la transacción de barrido revela la clave pública antigua, así que un holder que migra tarde queda expuesto durante el intervalo en que es más probable que existan capacidades de ataque. Migrar tarde es más caro y menos seguro al mismo tiempo, lo que crea una penalidad pronunciada para quien pierda la ventana.

El tamaño de la firma choca con un peso de bloque fijo

El límite de peso de bloque de Bitcoin no se ajusta para acomodar un esquema de firma más pesado. Las firmas Schnorr bajo Taproot pesan 64 bytes, y un gasto de key-path con una sola entrada y una sola salida está entre las transacciones más pequeñas que soporta el protocolo. Los esquemas de firma post-cuántica, tanto en las familias basadas en hash como en las basadas en retículas estandarizadas por el NIST, llevan firmas sustancialmente más grandes y, en varios casos, claves públicas también más grandes. No tenemos cifras verificadas para los conjuntos de parámetros específicos que se consideran para Bitcoin, y citar tamaños para un esquema no confirmado sería irresponsable. La conclusión direccional se sostiene sin las cifras exactas.

Se derivan dos efectos distintos. La migración misma es un costo puntual: un gran volumen de transacciones que gastan outputs antiguos, cada una todavía autenticada con una firma compacta ECDSA o Schnorr, lo que significa que la fase de barrido es cara sobre todo por la cantidad de transacciones y no por el tamaño de la firma. El costo permanente llega después, cuando cada gasto desde un output resistente a la computación cuántica lleva la firma más grande en su witness. Las transacciones efectivas por bloque caen en la proporción que imponga el nuevo dato de witness, y la comisión requerida para ocupar una fracción dada del espacio de bloque sube correspondientemente. El descuento de witness introducido con SegWit suaviza esto, dado que los datos de witness se ponderan a un cuarto respecto a los datos que no son de witness, pero no elimina la sobrecarga.

Las consecuencias van más allá de los niveles de comisión en la capa base. Las operaciones de canales Lightning, las construcciones coinjoin y los esquemas de batching con muchas entradas escalan todos su huella on-chain con el tamaño por firma. El multisig sufre el aumento más agudo, dado que una estructura de umbral multiplica la cantidad de firmas. Si las firmas post-cuánticas resultan suficientemente grandes, algunas configuraciones multisig que hoy son económicamente rutinarias se vuelven lo bastante caras como para alterar cómo se estructura la custodia, empujando a los holders institucionales hacia quorums de firma más pequeños en número pero más grandes en tamaño, o hacia esquemas de agregación que quizás todavía no existan para la primitiva elegida. Modelar esto correctamente requiere el conjunto de parámetros real y un supuesto sobre la composición del UTXO migrado. Ninguno de los dos está disponible, y el costo de rendimiento (throughput) de un Bitcoin post-cuántico sigue sin cuantificarse en la investigación pública.

Cinco millones de monedas que nadie puede mover

En el relato de CoinDesk sobre las declaraciones de Pruden aparece una cifra de más de cinco millones de monedas dormidas, atribuida a una persona identificada solo como Harper e incluyendo monedas del patrón Patoshi. No tenemos metodología para esa cifra ni confirmación independiente, y las definiciones de dormancia varían mucho según la ventana de retrospección elegida, así que la tratamos como una indicación de orden de magnitud y no como una medición precisa. La afirmación cualitativa es defendible de todos modos: un bloque grande y monetariamente significativo de monedas está en tipos de output que publican claves públicas y no se ha movido en más de una década.

Por definición, esas monedas no pueden migrar. Migrar requiere una firma; una firma requiere una clave; una moneda dormida porque la clave se perdió sigue dormida. El conjunto de monedas que seguirá vulnerable a la computación cuántica después de cualquier migración voluntaria es, entonces, casi idéntico al conjunto de monedas cuyos dueños ya no están. Toda opción de política es una decisión sobre qué hacer con ellas.

Dejarlas intactas significa que quien construya primero un computador cuántico criptográficamente relevante puede gastarlas. Existe un argumento, que no aparece en ninguna fuente revisada y que presentamos como una postura teórica abierta, de que esto es consistente con el diseño sin permisos de Bitcoin. Históricamente, las monedas han ido a parar a quien resolviera el problema computacional aplicable, como ocurre con la minería de prueba de trabajo. El contraargumento es directo: la minería asigna monedas de nueva emisión bajo reglas establecidas de antemano; un ataque cuántico reasigna monedas ya poseídas, bajo reglas que nadie acordó, y la primera entidad con una máquina capaz tiene muchas más probabilidades de ser un Estado-nación o una gran empresa que un usuario individual. Eso no representa un resultado sin permisos.

Congelarlas requiere una regla de consenso que rechace aceptar gastos desde tipos de output vulnerables a la computación cuántica después de una altura de bloque designada, protegiendo la oferta dormida del robo al volverla permanentemente no gastable. La narrativa de oferta fija se mantiene intacta porque no se crea ninguna moneda, pero un cambio de regla de protocolo despoja permanentemente de derechos de gasto a outputs identificables. Si más adelante se recupera legítimamente una clave privada, las monedas siguen bloqueadas.

La preferencia del propio Pruden es una tercera opción. Argumentó a favor de permitir que las monedas dormidas se reciclen de vuelta hacia el final de la curva de oferta, extendiendo los incentivos de los mineros después de que el subsidio se acerque a cero, y caracterizó esto explícitamente como confiscación, subrayando que el mercado y la comunidad deben decidir. El atractivo de ingeniería es claro: el presupuesto de seguridad de largo plazo de Bitcoin depende de que los ingresos por comisiones reemplacen el subsidio de bloque, una transición que no tiene un resultado comprobado. Reciclar monedas dormidas convierte una vulnerabilidad cuántica en décadas de emisión adicional para financiar el hashrate.

El costo es que sienta un precedente de que el protocolo puede reasignar la propiedad de saldos específicos cuando existe una razón convincente. La credibilidad monetaria de Bitcoin no descansa solo en el tope de 21 millones; descansa en la garantía de que las reglas de consenso no reasignan saldos. Un precedente donde dormancia más vulnerabilidad justifica la reasignación invita a futuros argumentos sobre otras justificaciones. Sobre cuál opción daña menos la credibilidad monetaria, congelar ofrece un precedente más acotado que reciclar, porque elimina la posibilidad de gasto sin transferirle valor a nadie, y porque un output congelado podría en teoría descongelarse mediante un cambio de regla posterior, mientras que las monedas reemitidas no se pueden retirar. Congelar de todos modos exige decidir de quién son las monedas que se congelan, y cualquier umbral trazado por tipo de dirección o antigüedad corre el riesgo de atrapar a holders activos que simplemente estaban inactivos.

Esta dinámica hace que la comparación con Taproot sea especialmente clara en la dirección que Pruden pretendía. Taproot era un problema de ingeniería complejo con un consenso social directo. La migración post-cuántica es un problema de ingeniería complejo atado a una pregunta social que Bitcoin nunca ha resuelto, y la decisión no puede postergarse indefinidamente, porque dejarla sin abordar equivale, por defecto, a dejar que un atacante la resuelva.

Por qué el modelo UTXO hace esto más difícil que un modelo de cuentas

La diferencia estructural entre Bitcoin y las cadenas basadas en cuentas explica por qué la misma amenaza criptográfica produce desafíos de migración fundamentalmente distintos. Para ser explícitos sobre el límite de nuestra evidencia: las afirmaciones sobre un equipo dedicado de Ethereum a temas post-cuánticos y hojas de ruta específicas de migración por abstracción de cuentas no están confirmadas en nuestras fuentes, y razonamos estrictamente a partir de los modelos de datos subyacentes y no reportando cronogramas específicos de proyectos.

En Bitcoin, la condición de autenticación es parte del output mismo. Un UTXO es un script combinado con un monto de valor, y el único mecanismo para cambiar cómo se autentica ese valor es gastarlo y construir un nuevo output con un script distinto. No existe ninguna operación de protocolo para modificar la condición de gasto de una moneda dejando el UTXO en su lugar. El gasto requiere la firma con la clave privada existente, lo que constituye el núcleo de la trampa de vulnerabilidad, y requiere un dueño activo.

En un modelo de cuentas, el saldo reside en un identificador persistente, y la lógica de autenticación es un estado asociado a ese identificador. Si esa lógica se ejecuta como código de contrato inteligente en lugar de como una regla de protocolo fija, el método de verificación puede actualizarse mientras el saldo permanece estacionario. Las cuentas de contrato inteligente ya usan esta capacidad para rotar firmantes y alterar la lógica de verificación sin mover los activos subyacentes. Una actualización post-cuántica para una cuenta así es una migración de lógica y no una transferencia de fondos, lo que elimina la presión de comisiones de un barrido masivo y evita la necesidad de transmitir una clave pública antigua expuesta.

Tres salvedades impiden que esto sea una solución completa. Las cuentas de propiedad externa (externally owned accounts), donde la regla de autenticación está fijada a nivel de protocolo como ECDSA, enfrentan el mismo desafío fundamental que Bitcoin y siguen representando una porción sustancial del valor en redes basadas en cuentas. La lógica de autenticación actualizable introduce su propia superficie de ataque, y un mecanismo de actualización que un atacante cuántico pudiera manipular presenta riesgos severos. Finalmente, en ambas arquitecturas, un dueño que perdió sus claves no puede iniciar una actualización, lo que significa que el dilema de las monedas dormidas persiste en ambos paradigmas. El modelo de cuentas simplifica la ruta de migración para los holders activos, pero no resuelve el dilema de gobernanza para los activos abandonados.

Qué indicaría avance real

Los indicadores concretos que vale la pena monitorear son más acotados que la discusión general a su alrededor.

Primero, si un tipo de output post-cuántico recibe una ruta de activación concreta en lugar de seguir siendo una especificación en borrador. Un BIP fusionado y una regla de consenso activa son hitos distintos, y el reporte verificado solo confirma que BIP-360 se propuso en 2025. La confirmación de su estado actual en Bitcoin Core, junto con los detalles de cualquier propuesta de migración por fases, sigue siendo el vacío central en el seguimiento público.

Segundo, si el esquema de firma seleccionado se publica con conjuntos de parámetros formales y tamaños de witness empíricos. Hasta que estos parámetros de referencia estén disponibles, las afirmaciones sobre la capacidad de throughput de un Bitcoin post-cuántico siguen siendo especulativas. El despliegue operativo basado en hash de Liquid ofrece la referencia empírica más cercana, y datos verificables provenientes de él sobre desempeño de firma y seguimiento de estado de clave informarían el debate técnico más que nuevos pronósticos de plazos.

Tercero, si los grandes custodios publican calendarios formales de migración con fechas explícitas. La rotación de claves en almacenamiento en frío a través de reservas institucionales profundas representa el camino crítico, y las instituciones que gestionan los saldos más grandes enfrentan los procedimientos operativos más lentos junto con los incentivos más fuertes para empezar temprano. Su ausencia en las discusiones públicas hasta mediados de 2026 da una señal más clara de urgencia a corto plazo que las encuestas informales de desarrolladores.

Cuarto, si la cuestión de las monedas dormidas encuentra un espacio institucional de discusión. Actualmente no tiene ninguno. Pruden presentó su propuesta de reciclaje de monedas como una postura individual y señaló que el mercado decidiría, lo que refleja con precisión que no existe ningún mecanismo formal para tomar tal determinación. Un cambio de consenso que altere la posibilidad de gasto de cinco millones de monedas no puede resolverse mediante un ciclo estándar de activación de soft fork, y la ausencia de un foro para ese debate representa una limitación más inmediata para la migración que los propios desafíos criptográficos subyacentes.

Queda sin resolver una discrepancia analítica. La estimación de Pruden de aproximadamente $2.3 billones en activos digitales en riesgo representa un encuadre amplio sin metodología articulada, y contrasta con la estimación de aproximadamente $700.000 millones citada con frecuencia para Bitcoin específicamente expuesto a la computación cuántica. Estas dos cifras evalúan alcances de activos distintos, y ninguna viene acompañada de una contabilidad pública de libro mayor que especifique qué tipos de output se evaluaron y en qué fecha. Cualquier institución que evalúe el riesgo de exposición necesita esa línea base contable primero, porque una migración cuyos parámetros exactos siguen sin medirse es difícil de presupuestar e imposible de programar con fiabilidad.

Referencias

• Bitcoin’s post-quantum migration will be harder than Taproot and needs to start now, Project Eleven CEO says, CoinDesk, May 6, 2026.