Introduction
Moving a Bitcoin to a quantum-resistant output requires producing an elliptic-curve signature with the key that a quantum computer would break. That is the structural trap at the center of every migration plan. The coins facing the most acute exposure are the ones whose owners are absent, and an absent owner cannot sign a sweep transaction. No amount of wallet tooling, exchange coordination, or client-side upgrade work changes that reality. Any protocol-level treatment of those coins requires a consensus decision rather than a user action.
Alex Pruden, CEO of Project Eleven, made the coordination argument publicly at Consensus Miami in early May 2026, and his framing serves as an anchor for the problem: this migration will be harder than Taproot, because Taproot was opt-in and partial adoption was acceptable, while a post-quantum migration only delivers its security benefit if effectively everyone participates. He put Taproot’s rollout at roughly five years as a benchmark and argued that Bitcoin should move a post-quantum signature scheme out of research and into production before hardware timelines resolve, on asymmetric-risk grounds rather than on confident forecasting.
Our sourcing on this topic runs through early May 2026 and remains thinner than the subject deserves. BIP-360 was proposed in 2025 to add a quantum-resistant Taproot-style output type, and that much is on the record. Claims circulating about a February 2026 merge into Bitcoin Core, about the specific phasing in a companion migration BIP, about a 2026 Google Quantum AI result cutting the resource estimate for breaking secp256k1, and about a dedicated Ethereum post-quantum team are not things we could verify against primary documents. We treat them as unconfirmed and reason from mechanism instead, flagging each gap where it appears. The mechanics of public-key exposure, of sweep transactions, of block weight, and of the UTXO model are verifiable from the protocol itself, and they show where this migration breaks.
The exposure is uneven, and it is about public keys
Shor’s algorithm, published in 1994, is the reason this is a live engineering question rather than a theoretical abstraction. A sufficiently capable quantum computer running it could derive a private key from a known public key on an elliptic curve such as secp256k1. The relevant asset at risk is therefore not the address. It is the public key, and Bitcoin’s output types differ in whether they publish one.
Three categories matter. Early pay-to-public-key outputs, including the coinbase outputs associated with the Patoshi mining pattern, carry a raw public key in the script itself. They have been sitting in plain view since 2009. Pay-to-public-key-hash and its witness variant publish only a hash of the key while unspent, but reveal the key the moment they are spent, so any address that has ever been spent from and then reused is fully exposed. Taproot outputs commit a 32-byte tweaked public key directly in the scriptPubKey, which means an unspent Taproot output is pubkey-exposed by construction. The most recently designed output type in wide use is, on this axis, among the least protected.
Hash-based protection is weaker than it first appears. It does not provide durable secrecy; it is a delay that lasts exactly until the owner attempts to spend. The spending transaction reveals the public key and the signature in the same message, and that message sits in the mempool for some period before confirmation. Pruden described the resulting race condition: once a cryptographically relevant quantum computer exists, an attacker watching the mempool could derive the private key from the revealed public key, construct a competing transaction paying itself, attach a higher fee, and win block inclusion ahead of the legitimate owner. The defense window is one confirmation interval, and it shrinks as the attacker’s key-recovery time falls.
That mechanism has an immediate implication for migration sequencing. A holder who waits until a quantum computer is known to exist and then rushes to sweep coins into a quantum-resistant output broadcasts exactly the information the attacker needs, at the moment the attacker is watching. Sweeps must happen while key recovery remains infeasible, which means the migration’s timing cannot be driven by evidence of an active attack. It must be driven by a forecast, and that forecast is contested.
Pruden characterized Bitcoin Core developer sentiment on the threat as mixed rather than monolithic, with some contributors believing capable quantum computers will never arrive, against what he described as majority physicist opinion that they will and that timelines may be compressing. That disagreement is not a minor detail. A migration whose primary justification is a probability distribution over hardware progress cannot generate a hard deadline by technical argument alone, and Bitcoin has no mechanism for imposing deadlines by other means.
What an opt-in output type does and does not solve
BIP-360’s contribution, as proposed in 2025, is a new output type that authenticates spends with a post-quantum signature scheme rather than with Schnorr or ECDSA. Conceptually this is the tractable half of the problem. Adding an output type is a soft fork of the familiar kind. Nodes that do not upgrade see spends from the new type as anyone-can-spend under older rules and rely on upgraded nodes to enforce the real conditions, which is the same pattern that shipped SegWit and Taproot. Nothing about existing UTXOs changes. Wallets that want the new type use it; wallets that do not, do not.
We were not able to review the current specification text, and the precise scheme selection, script format, and activation mechanism remain gaps in our sourcing rather than settled facts we are withholding. What is on the record is the shape of the cryptographic choice. NIST has standardized post-quantum signature families based on hash functions and on lattices, and Bitcoin developer discussion has reportedly trended toward the hash-based option. The stated reasons are not in our sources, though the general tradeoff is well understood in the cryptography literature: hash-based constructions rest on weaker and older assumptions about hash function security rather than on newer structured-lattice problems, at the cost of larger signatures and, in some constructions, statefulness that complicates key management. Conservatism about assumptions is a defensible priority for a protocol whose failure mode is irreversible.
Blockstream has already deployed a hash-based signature scheme on the Liquid network, which gives the debate something rare in this area: a production system carrying real value under a post-quantum scheme, with observable operational behavior. Liquid is a federated sidechain with a very different trust and throughput profile from Bitcoin’s base layer, so it cannot answer questions about mainnet fee markets or block weight. It can answer narrower questions about implementation maturity, signing performance, and whether the key-management model survives contact with custody operations.
The part an opt-in output type cannot solve is coverage. Every coin that is not moved into a quantum-resistant output stays exposed, and nothing in a new-output-type soft fork causes coins to move. Migration of the existing UTXO set is a separate problem with a separate political economy, which is where proposals for phased deprecation of legacy output types come in. Our sourcing does not describe the phasing in any such proposal, and we decline to reconstruct it. The mechanism question worth stating plainly is that any real deprecation means a consensus rule that eventually rejects otherwise-valid ECDSA and Schnorr spends. That is the only enforcement lever the protocol has, and it permanently destroys the spendability of anything left behind.
Opt-in works until the unmigrated coins become everyone’s problem
Taproot’s partial adoption was tolerable because the cost of not adopting fell entirely on the non-adopter, and the cost was mild: slightly larger transactions, no script-path privacy, no key aggregation. Adoption curves could run for years without imposing externalities on others.
Post-quantum migration inverts that dynamic. The first-order loss from staying on an exposed output type falls on the holder, but the second-order effects do not stay contained, and three channels carry them.
The first is collateral. BTCFi has spent years building lending markets, staking systems, and wrapped representations on top of the assumption that a Bitcoin UTXO is a settled claim. A quantum-vulnerable UTXO used as collateral is a claim with a probabilistic expiry, and the protocols holding it have no way to price that risk. If the exposure of a lender’s collateral base depends on whether unrelated counterparties completed a key rotation, migration status becomes a credit parameter, and no lending protocol currently tracks it as one.
The second is custodial concentration. Exchanges and custodians hold coins in cold storage structures designed for infrequent access, often multisig setups with geographically distributed key shards and signing ceremonies measured in days. Rotating those keys to a new output type is not a simple software upgrade; it requires repeating the original key ceremony across the entire book, plus proof-of-reserves reconciliation afterward. The institutions holding the largest concentrations of coins are the ones for whom moving is operationally slowest.
The third is monetary. A successful theft of long-dormant coins, particularly Satoshi-attributed coins, would not read as an isolated loss. It would read as evidence that Bitcoin’s issuance schedule and its property guarantees are conditional, and the market would reprice that interpretation across every coin, migrated or not. This channel turns an individual security decision into a collective one, which is why voluntary migration fails as a comprehensive defense.
Pruden’s asymmetry argument follows from this. Waiting costs relatively little if quantum hardware stalls, because a post-quantum output type sitting unused is a modest maintenance burden. Waiting costs a great deal if hardware arrives while the UTXO set is still mostly on secp256k1, because the migration itself becomes unsafe once attackers watch the mempool. The counterargument deserves a fair statement: Bitcoin’s history includes a long list of urgently forecast threats that did not materialize on schedule, consensus changes carry their own tail risks, and a scheme chosen under time pressure in 2026 could turn out to be the wrong choice for 2040. Developers who believe the threat is remote are not being careless by declining to spend Bitcoin’s limited coordination capacity on it now. They are making a different calculation about which risk is larger.
The sweep is the operation, and the operation has a cost
A migration is not a software update. It is an on-chain event in which a large fraction of the UTXO set gets spent into new outputs, and specific ordering constraints follow from that.
Wallet and library support must land first, because nothing downstream can move until there is a tested implementation that can generate post-quantum keys, construct the new output type, sign, and verify. Next come hardware signers, which have long firmware review cycles and, for hash-based schemes with state, may need storage and state-tracking behavior that existing devices were not designed for. Hot-wallet infrastructure at exchanges follows, which is the easiest institutional layer to move because keys are already online. Cold storage and custody follow, which is the slowest institutional layer and holds the largest balances. Finally, the long tail of self-custodied coins in paper backups, inherited seed phrases, and dormant wallets must migrate. We infer this sequence from the technical dependency structure rather than reporting it from a published plan; no source we reviewed specifies an operational order, and any real schedule would be determined by participants rather than by protocol rules.
Two economic features of the sweep phase require examination. First, it represents a demand shock to block space concentrated in whatever window the migration actually occupies. Every migrating UTXO needs an input, and consolidation only partly offsets that footprint. If a deprecation deadline exists, rational holders wait until close to the cutoff, compressing demand further and driving fees up exactly when the least sophisticated holders attempt to move. Second, the sweep transaction reveals the old public key, so a holder who migrates late is exposed during the interval when attacker capabilities are most likely to exist. Late migration is more expensive and less safe simultaneously, creating a steep penalty for anyone who misses the window.
Signature size meets a fixed block weight
Bitcoin’s block weight limit does not adjust to accommodate a heavier signature scheme. Schnorr signatures under Taproot are 64 bytes, and a single-input, single-output key-path spend is among the smallest transactions the protocol supports. Post-quantum signature schemes, in both the hash-based and lattice-based families NIST standardized, carry substantially larger signatures and in several cases larger public keys. We do not have verified figures for the specific parameter sets under consideration for Bitcoin, and quoting sizes for an unconfirmed scheme would be irresponsible. The directional conclusion holds without the exact numbers.
Two distinct effects follow. The migration itself is a one-time cost: a large volume of transactions spending old outputs, each still authenticated by a compact ECDSA or Schnorr signature, meaning the sweep phase is expensive primarily because of transaction count rather than signature size. The permanent cost arrives afterward, when every spend from a quantum-resistant output carries the larger signature in its witness. Effective transactions per block falls by whatever ratio the new witness data imposes, and the fee required to occupy a given fraction of block space rises correspondingly. The witness discount introduced with SegWit softens this, since witness data is weighted at one quarter relative to non-witness data, but it does not remove the overhead.
The consequences reach beyond base-layer fee levels. Lightning channel operations, coinjoin constructions, and batching schemes with many inputs all scale their on-chain footprint with per-signature size. Multisig experiences the sharpest increase, since a threshold structure multiplies the signature count. If post-quantum signatures are sufficiently large, some multisig configurations that are economically routine today become expensive enough to alter how custody is structured, pushing institutional holders toward fewer, larger signing quorums or toward aggregation schemes that may not yet exist for the chosen primitive. Modeling this properly requires the actual parameter set and an assumption about migrated-UTXO composition. Neither is available, and the throughput cost of post-quantum Bitcoin remains unquantified in public research.
Five million coins nobody can move
Inside the CoinDesk account of Pruden’s remarks, a figure of upward of five million dormant coins appears, attributed to a person identified only as Harper and including Patoshi-pattern coins. We have no methodology for that number and no independent confirmation, and dormancy definitions vary widely depending on the lookback window chosen, so we treat it as an order-of-magnitude indication rather than a precise measurement. The qualitative claim is defensible regardless: a large, monetarily significant block of coins sits in output types that publish public keys and has not moved in over a decade.
By definition, those coins cannot migrate. Migration requires a signature; a signature requires a key; a coin dormant because the key is lost stays dormant. The set of coins that will remain quantum-vulnerable after any voluntary migration is therefore nearly identical to the set of coins whose owners are gone. Every policy option is a decision about what to do with them.
Leaving them untouched means that whoever first builds a cryptographically relevant quantum computer can spend them. There is an argument, which appears in no source we reviewed and which we present as an open theoretical position, that this is consistent with Bitcoin’s permissionless design. Coins have historically gone to whoever solved the applicable computational problem, as with proof-of-work mining. The counterargument is direct: mining allocates newly issued coins under rules established in advance; a quantum attack reallocates coins already owned, under rules nobody agreed to, and the first entity with a capable machine is far likelier to be a nation-state or a major enterprise than an individual user. That does not represent a permissionless outcome.
Freezing them requires a consensus rule that refuses to accept spends from quantum-vulnerable output types after a designated block height, protecting dormant supply from theft by making it permanently unspendable. The fixed supply narrative survives intact because no coins are created, but a protocol rule change permanently strips spending rights from identifiable outputs. If a private key is later recovered legitimately, the coins remain locked.
Pruden’s own preference is a third option. He argued for allowing dormant coins to be recycled back into the end of the supply curve, extending miner incentives after the subsidy approaches zero, and he explicitly characterized this as confiscation while stressing that the market and community must decide. The engineering appeal is clear: Bitcoin’s long-run security budget depends on fee revenue replacing block subsidy, a transition that lacks a proven outcome. Recycling dormant coins converts a quantum vulnerability into decades of additional issuance to fund hashrate.
The cost is that it establishes a precedent that the protocol can reassign ownership of specific balances when a compelling reason exists. Bitcoin’s monetary credibility does not rest solely on the 21 million cap; it rests on the guarantee that consensus rules do not reassign balances. A precedent that dormancy plus vulnerability justifies reallocation invites future arguments about other justifications. On the question of which option damages monetary credibility less, freezing provides a narrower precedent than recycling, because it removes spendability without transferring value to anyone, and because a frozen output could theoretically be unfrozen by a subsequent rule change, whereas reissued coins cannot be recalled. Freezing still requires deciding whose coins get frozen, and any threshold drawn by address type or age risks catching live holders who were simply inactive.
This dynamic makes the comparison to Taproot especially clear in the direction Pruden intended. Taproot was a complex engineering problem with a straightforward social consensus. Post-quantum migration is a complex engineering problem tied to a social question Bitcoin has never resolved, and the decision cannot be deferred indefinitely, because leaving it unaddressed defaults to letting an attacker resolve it.
Why the UTXO model makes this harder than an account model
The structural difference between Bitcoin and account-based chains explains why the same cryptographic threat produces fundamentally different migration challenges. To be explicit about the boundary of our evidence: claims regarding a dedicated Ethereum post-quantum team and specific account-abstraction migration roadmaps are not confirmed in our sources, and we reason strictly from underlying data models rather than reporting specific project timelines.
In Bitcoin, the authentication condition is part of the output itself. A UTXO is a script combined with a value amount, and the only mechanism for changing how that value is authenticated is to spend it and construct a new output with a different script. No protocol operation exists to modify a coin’s spending condition while leaving the UTXO in place. The spend requires the existing private key signature, which forms the core vulnerability trap, and it requires an active owner.
In an account model, the balance resides at a persistent identifier, and the authentication logic is state associated with that identifier. If that logic is executed as smart contract code rather than as a hardcoded protocol rule, the verification method can be updated while the balance remains stationary. Smart contract accounts already use this capability to rotate signers and alter verification logic without moving underlying assets. A post-quantum upgrade for such an account is a logic migration rather than a transfer of funds, eliminating the fee pressure of a mass sweep and avoiding the need to broadcast an exposed legacy public key.
Three qualifications prevent this from being a complete solution. Externally owned accounts, where the authentication rule is fixed at the protocol level as ECDSA, face the same fundamental challenge as Bitcoin and still represent a substantial share of value on account-based networks. Upgradable authentication logic introduces its own attack surface, and an upgrade mechanism that a quantum attacker could manipulate presents severe risks. Finally, in both architectures, an owner who has lost their keys cannot initiate an upgrade, meaning the dormant-coin dilemma persists across both paradigms. The account model simplifies the migration path for active holders, but it does not resolve the governance dilemma for abandoned assets.
What would actually indicate progress
The concrete indicators worth monitoring are narrower than the general discussion around them.
First, whether a post-quantum output type receives a concrete activation pathway rather than remaining a draft specification. A merged BIP and an active consensus rule represent distinct milestones, and verified reporting confirms only that BIP-360 was proposed in 2025. Confirmation of its current standing in Bitcoin Core, along with the specifics of any phased-migration proposal, remains the central gap in public tracking.
Second, whether the selected signature scheme is published with formal parameter sets and empirical witness sizes. Until these benchmarks are available, assertions regarding post-quantum Bitcoin’s throughput capacity remain speculative. Liquid’s operational hash-based deployment offers the closest empirical reference, and verifiable data from it concerning signing performance and key-state tracking would inform the technical debate more than further timeline forecasts.
Third, whether major custodians publish formal migration schedules with explicit dates. Cold storage key rotation across deep institutional reserves represents the critical path, and institutions managing the largest balances face the slowest operational procedures alongside the strongest incentives to begin early. Their absence from public discussions as of mid-2026 provides a clearer signal of near-term urgency than informal developer surveys.
Fourth, whether the dormant-coin question finds an institutional venue for discussion. It currently has none. Pruden presented his coin-recycling proposal as an individual position and noted that the market would decide, which accurately reflects that no formal mechanism exists to make such a determination. A consensus change altering the spendability of five million coins cannot be resolved through a standard soft fork activation cycle, and the absence of a forum for that debate presents a more immediate constraint on migration than the underlying cryptographic challenges.
One analytical discrepancy remains unresolved. Pruden’s estimate of roughly $2.3 trillion in at-risk digital assets represents a broad framing without an articulated methodology, and it contrasts with the approximately $700 billion estimate frequently cited for quantum-exposed Bitcoin specifically. These two figures evaluate different asset scopes, and neither is accompanied by a public ledger accounting specifying which output types were evaluated at which date. Any institution evaluating exposure risk requires that accounting baseline first, because a migration whose exact parameters remain unmeasured is difficult to budget and impossible to schedule reliably.
References
서론
비트코인을 양자내성 출력으로 옮기려면, 양자컴퓨터가 뚫을 수 있는 바로 그 키로 타원곡선 서명을 만들어야 한다. 모든 마이그레이션 계획의 한복판에 있는 구조적 함정이 바로 이것이다. 가장 심각하게 노출된 코인은 소유자가 부재한 코인들인데, 부재한 소유자는 스윕 트랜잭션에 서명할 수 없다. 지갑 툴링을 아무리 개선하고 거래소들이 조율하고 클라이언트 측 업그레이드 작업을 아무리 해도 이 현실은 바뀌지 않는다. 이런 코인들을 프로토콜 차원에서 처리하려면 사용자 행동이 아니라 컨센서스 차원의 결정이 필요하다.
Project Eleven CEO 알렉스 프루든(Alex Pruden)은 2026년 5월 초 Consensus Miami에서 이 조율 문제를 공개적으로 제기했고, 그의 논지는 이 문제 전체를 이해하는 데 하나의 준거점이 된다. 이번 마이그레이션은 탭루트보다 어려울 것이라는 것이다. 탭루트는 옵트인 방식이었고 부분적 채택만으로도 충분했지만, 포스트퀀텀 마이그레이션은 사실상 모든 사람이 참여해야만 보안상의 이득을 얻을 수 있다. 그는 탭루트 도입에 약 5년이 걸렸다는 점을 기준점으로 제시하면서, 비트코인은 하드웨어 발전의 타임라인이 확정되기 전에 포스트퀀텀 서명 방식을 연구 단계에서 프로덕션 단계로 옮겨야 한다고 주장했다. 이는 확신에 찬 예측이 아니라 비대칭적 리스크에 근거한 논리다.
이 주제에 대한 우리의 취재는 2026년 5월 초까지이며, 주제가 요구하는 만큼 두텁지는 못하다. BIP-360이 2025년 양자내성 탭루트 스타일 출력 유형을 추가하기 위해 제안된 것은 확인된 사실이다. 다만 2026년 2월 Bitcoin Core로의 머지, 후속 마이그레이션 BIP의 구체적인 단계별 구성, secp256k1을 깨는 데 필요한 자원 추정치를 낮췄다는 2026년 구글 퀀텀 AI의 결과, 이더리움의 전담 포스트퀀텀 팀에 관한 주장들은 1차 문서로 검증할 수 없었다. 이런 내용들은 미확인으로 처리하고 메커니즘에 근거해 추론하며, 해당되는 대목마다 공백을 명시한다. 공개키 노출, 스윕 트랜잭션, 블록 무게, UTXO 모델의 작동 방식은 프로토콜 자체에서 검증 가능하며, 이 마이그레이션이 어디서 깨지는지를 보여준다.
노출은 균일하지 않으며, 문제의 핵심은 공개키다
1994년 발표된 쇼어 알고리즘이 이 문제를 이론적 추상이 아니라 살아 있는 엔지니어링 과제로 만드는 이유다. 충분한 성능의 양자컴퓨터가 이 알고리즘을 돌리면 secp256k1 같은 타원곡선 상의 공개키로부터 개인키를 도출할 수 있다. 따라서 위험에 처한 자산은 주소가 아니라 공개키이며, 비트코인의 출력 유형들은 공개키를 노출하는지 여부에서 차이가 난다.
여기서 세 가지 범주가 중요하다. Patoshi 채굴 패턴과 연관된 코인베이스 출력을 포함한 초기 pay-to-public-key 출력은 스크립트 자체에 원시 공개키를 담고 있다. 이 코인들은 2009년부터 훤히 노출된 채로 놓여 있었다. pay-to-public-key-hash와 그 witness 변형은 미사용 상태에서는 키의 해시만 공개하지만, 소비되는 순간 키를 드러낸다. 따라서 소비된 적이 있고 이후 재사용된 주소는 완전히 노출된 상태다. 탭루트 출력은 32바이트 트윅된 공개키를 scriptPubKey에 직접 커밋하는데, 이는 미사용 탭루트 출력이 애초부터 공개키가 노출되어 있다는 뜻이다. 가장 최근에 설계되어 널리 쓰이는 출력 유형이 이 기준에서는 오히려 가장 보호가 취약한 축에 속한다.
해시 기반 보호는 겉보기보다 약하다. 이는 영구적인 비밀성을 제공하는 게 아니라, 소유자가 소비를 시도하는 순간까지만 유효한 지연에 불과하다. 소비 트랜잭션은 같은 메시지 안에서 공개키와 서명을 동시에 드러내고, 이 메시지는 확정되기 전까지 일정 시간 동안 멤풀에 머문다. 프루든은 이로 인해 발생하는 경쟁 상황을 이렇게 설명했다. 암호학적으로 의미 있는 성능의 양자컴퓨터가 존재하게 되면, 멤풀을 지켜보던 공격자가 드러난 공개키로부터 개인키를 도출하고, 자신에게 지불하는 경쟁 트랜잭션을 만들어 더 높은 수수료를 붙여서 정당한 소유자보다 먼저 블록에 포함시킬 수 있다는 것이다. 방어 가능한 시간은 확정 간격 한 번뿐이며, 공격자의 키 복구 시간이 짧아질수록 이 시간은 더 줄어든다.
이 메커니즘은 마이그레이션 시점 설정에 즉각적인 함의를 갖는다. 양자컴퓨터의 존재가 알려진 뒤에야 서둘러 코인을 양자내성 출력으로 스윕하려는 보유자는, 공격자가 지켜보고 있는 바로 그 순간에 공격자가 필요로 하는 정보를 그대로 방송하는 셈이 된다. 스윕은 키 복구가 아직 실현 불가능한 동안에 이루어져야 하며, 이는 마이그레이션 타이밍이 실제 공격의 증거로 정해질 수 없다는 뜻이다. 예측에 따라 정해져야 하는데, 이 예측 자체가 논쟁의 대상이다.
프루든은 비트코인 코어 개발자들의 이 위협에 대한 정서가 단일하지 않고 엇갈린다고 설명했다. 일부 기여자는 실용적인 양자컴퓨터가 결코 등장하지 않을 것이라 믿는 반면, 그가 전한 물리학자들 다수의 견해는 등장할 것이며 그 시점이 앞당겨지고 있을 수도 있다는 쪽이다. 이 의견 불일치는 사소한 디테일이 아니다. 하드웨어 발전에 대한 확률 분포가 주된 근거인 마이그레이션은 기술적 논증만으로는 명확한 마감시한을 만들어낼 수 없고, 비트코인에는 다른 방식으로 마감시한을 강제할 메커니즘이 없다.
옵트인 출력 유형이 해결하는 것과 해결하지 못하는 것
2025년 제안된 BIP-360의 핵심은 Schnorr나 ECDSA가 아니라 포스트퀀텀 서명 방식으로 소비를 인증하는 새로운 출력 유형이다. 개념적으로 보면 이는 문제의 절반, 즉 다룰 수 있는 절반에 해당한다. 새로운 출력 유형 추가는 익숙한 종류의 소프트포크다. 업그레이드하지 않은 노드는 새 유형에서 나온 소비를 기존 규칙 하의 anyone-can-spend로 간주하고, 실제 조건 집행은 업그레이드된 노드에 맡긴다. SegWit과 탭루트를 출시했던 것과 같은 패턴이다. 기존 UTXO는 아무것도 바뀌지 않는다. 새 유형을 쓰고 싶은 지갑은 쓰고, 원치 않는 지갑은 쓰지 않는다.
우리는 현재 스펙 문서 자체는 검토할 수 없었고, 정확한 방식 선정, 스크립트 포맷, 활성화 메커니즘은 우리가 감추고 있는 확정 사실이 아니라 취재상의 공백으로 남아 있다. 확인된 부분은 암호학적 선택의 큰 틀이다. NIST는 해시 함수 기반과 격자 기반의 포스트퀀텀 서명 계열을 표준화했고, 알려진 바로는 비트코인 개발자 논의는 해시 기반 쪽으로 기울고 있다. 구체적인 이유는 우리 취재원에는 없지만, 일반적인 트레이드오프는 암호학 문헌에서 잘 알려져 있다. 해시 기반 구성은 더 새롭고 구조화된 격자 문제보다 더 약하고 오래된 해시 함수 보안 가정에 의존하는 대신, 서명 크기가 크고 일부 구성에서는 상태 관리(statefulness)로 인해 키 관리가 복잡해진다는 대가를 치른다. 실패가 돌이킬 수 없는 프로토콜에서 가정에 대해 보수적으로 접근하는 것은 정당화될 수 있는 우선순위다.
Blockstream은 이미 Liquid 네트워크에 해시 기반 서명 방식을 배포했고, 이는 이 논의에서 흔치 않은 것을 제공한다. 실제 가치를 담고 포스트퀀텀 방식으로 돌아가는 프로덕션 시스템에서의 관측 가능한 운영 데이터다. Liquid는 연합형 사이드체인으로 비트코인 베이스 레이어와는 신뢰 구조와 처리량 프로필이 크게 다르기 때문에 메인넷 수수료 시장이나 블록 무게에 관한 질문에는 답할 수 없다. 다만 구현 성숙도, 서명 성능, 키 관리 모델이 커스터디 운영과 실제로 맞부딪혔을 때 버텨내는지에 관한 더 좁은 질문에는 답할 수 있다.
옵트인 출력 유형이 풀 수 없는 부분은 커버리지다. 양자내성 출력으로 옮겨지지 않은 코인은 계속 노출된 상태로 남고, 새 출력 유형을 도입하는 소프트포크 자체는 코인을 움직이게 만드는 아무 힘이 없다. 기존 UTXO 세트의 마이그레이션은 별개의 정치경제학을 가진 별개의 문제이고, 여기서 레거시 출력 유형의 단계적 폐지 제안들이 등장한다. 우리 취재원에는 이런 제안의 구체적인 단계 구성이 나와 있지 않으며, 이를 임의로 재구성하지는 않겠다. 분명히 짚어야 할 메커니즘상의 요점은, 진정한 의미의 폐지란 결국 ECDSA와 Schnorr 소비를, 그 자체로는 유효한데도 거부하는 컨센서스 규칙을 의미한다는 것이다. 이것이 프로토콜이 가진 유일한 집행 수단이며, 남겨진 것의 소비 가능성을 영구히 파괴한다.
옵트인은 남겨진 코인이 모두의 문제가 되기 전까지만 통한다
탭루트의 부분적 채택이 용인될 수 있었던 이유는 채택하지 않은 데 따르는 비용이 온전히 미채택자 본인에게 돌아갔고, 그 비용도 크지 않았기 때문이다. 트랜잭션이 조금 더 크고, 스크립트 경로 프라이버시가 없고, 키 집계가 안 되는 정도였다. 채택 곡선은 다른 사람에게 외부성을 지우지 않으면서 몇 년이고 이어질 수 있었다.
포스트퀀텀 마이그레이션은 이 역학을 뒤집는다. 노출된 출력 유형에 남아 있음으로써 생기는 1차 손실은 보유자에게 돌아가지만, 2차 효과는 거기서 멈추지 않는다. 세 가지 경로가 이 효과를 실어 나른다.
첫째는 담보다. BTCFi는 비트코인 UTXO가 확정된 청구권이라는 가정 위에 대출 시장, 스테이킹 시스템, 래핑된 표현물을 몇 년에 걸쳐 쌓아 올렸다. 담보로 쓰이는 양자취약 UTXO는 만료 시점이 확률적인 청구권이며, 이를 담보로 잡은 프로토콜에는 이 리스크를 가격에 반영할 방법이 없다. 대출 프로토콜 담보 풀의 노출 정도가 무관한 거래상대방들이 키 교체를 완료했는지 여부에 좌우된다면, 마이그레이션 상태 자체가 신용 파라미터가 되어야 하는데, 현재 어떤 대출 프로토콜도 이를 그런 식으로 추적하지 않는다.
둘째는 커스터디 집중이다. 거래소와 커스터디언은 접근이 드물게 설계된 콜드 스토리지 구조, 즉 지리적으로 분산된 키 조각과 며칠 단위로 걸리는 서명 의식을 갖춘 멀티시그 설정에 코인을 보관한다. 이런 키를 새 출력 유형으로 교체하는 것은 단순한 소프트웨어 업그레이드가 아니다. 전체 장부에 걸쳐 원래의 키 의식을 다시 수행하고, 그 뒤에 준비금 증명 대조 작업까지 해야 한다. 가장 많은 코인을 보유한 기관일수록 이동 속도가 운영상 가장 느리다.
셋째는 통화적 측면이다. 오랫동안 잠자던 코인, 특히 사토시 귀속 코인의 절도가 성공한다면 이는 고립된 손실로 읽히지 않을 것이다. 비트코인의 발행 스케줄과 재산권 보장이 조건부라는 증거로 읽힐 것이고, 시장은 이 해석을 이전이든 아니든 모든 코인에 걸쳐 재가격화할 것이다. 이 경로는 개별 보안 결정을 집단적 결정으로 바꿔놓으며, 이것이 자발적 마이그레이션이 포괄적 방어책으로는 실패하는 이유다.
프루든의 비대칭성 논증은 여기서 나온다. 양자 하드웨어 발전이 정체된다면 기다리는 비용은 상대적으로 작다. 쓰이지 않고 놓여 있는 포스트퀀텀 출력 유형은 그저 소소한 유지보수 부담일 뿐이기 때문이다. 반면 UTXO 세트 대부분이 여전히 secp256k1에 머무는 동안 하드웨어가 등장한다면 기다리는 비용은 막대하다. 공격자들이 멤풀을 지켜보는 순간 마이그레이션 자체가 안전하지 않아지기 때문이다. 반대 논증도 공정하게 짚을 필요가 있다. 비트코인의 역사에는 예정대로 실현되지 않았던 긴급 예측된 위협들의 목록이 길게 이어져 있고, 컨센서스 변경 자체도 나름의 꼬리 리스크를 지니며, 2026년에 시간 압박 속에서 선택한 방식이 2040년에는 잘못된 선택으로 판명 날 수도 있다. 위협이 멀다고 믿는 개발자들이 지금 이 문제에 비트코인의 한정된 조율 역량을 쓰지 않기로 하는 것은 부주의한 판단이 아니다. 이들은 어느 리스크가 더 큰지에 대해 다른 계산을 하고 있을 뿐이다.
스윕이 곧 그 작업이고, 그 작업에는 비용이 든다
마이그레이션은 소프트웨어 업데이트가 아니다. UTXO 세트의 상당 부분이 소비되어 새로운 출력으로 옮겨가는 온체인 이벤트이며, 여기서 특정한 순서 제약이 따른다.
가장 먼저 지갑과 라이브러리 지원이 갖춰져야 한다. 포스트퀀텀 키를 생성하고 새 출력 유형을 구성하고 서명하고 검증할 수 있는 검증된 구현이 없으면 그 이후 단계는 아무것도 움직일 수 없기 때문이다. 다음은 하드웨어 서명기다. 펌웨어 심사 주기가 길고, 상태를 갖는 해시 기반 방식의 경우 기존 기기가 설계할 때 고려하지 않았던 스토리지와 상태 추적 동작이 필요할 수 있다. 그 다음은 거래소의 핫월렛 인프라다. 키가 이미 온라인 상태이므로 기관 계층 중 가장 옮기기 쉽다. 이어서 콜드 스토리지와 커스터디가 따라온다. 기관 계층 중 가장 느리며 가장 큰 잔고를 보유한다. 마지막으로 종이 백업, 상속받은 시드 문구, 잠자는 지갑에 남아 있는 긴 꼬리의 자기보관 코인들이 옮겨져야 한다. 이 순서는 발표된 계획을 보고하는 게 아니라 기술적 의존 구조에서 추론한 것이다. 우리가 검토한 어떤 출처도 운영상의 순서를 명시하지 않으며, 실제 일정은 프로토콜 규칙이 아니라 참여자들에 의해 결정될 것이다.
스윕 단계의 두 가지 경제적 특징을 살펴볼 필요가 있다. 첫째, 이는 마이그레이션이 실제로 일어나는 구간에 집중되는 블록 공간 수요 충격이다. 마이그레이션되는 UTXO마다 입력이 필요하고, 통합(consolidation)은 이 부담을 부분적으로만 상쇄한다. 폐지 마감시한이 존재한다면 합리적인 보유자는 마감이 임박할 때까지 기다릴 것이고, 이는 수요를 더욱 압축시켜 가장 미숙한 보유자들이 이동을 시도하는 바로 그 시점에 수수료를 치솟게 만든다. 둘째, 스윕 트랜잭션은 기존 공개키를 드러내므로, 늦게 옮기는 보유자는 공격자의 능력이 가장 존재할 가능성이 높은 구간에서 노출된다. 늦은 마이그레이션은 비용이 더 들면서 동시에 더 위험해지며, 이 창을 놓치는 사람에게는 가파른 페널티가 생긴다.
서명 크기와 고정된 블록 무게의 충돌
비트코인의 블록 무게 상한선은 더 무거운 서명 방식을 수용하도록 조정되지 않는다. 탭루트 하의 Schnorr 서명은 64바이트이며, 단일 입력·단일 출력의 키 경로 소비는 프로토콜이 지원하는 트랜잭션 중 가장 작은 축에 속한다. NIST가 표준화한 해시 기반과 격자 기반 두 계열 모두, 포스트퀀텀 서명 방식은 서명이 상당히 크고 여러 경우 공개키도 더 크다. 비트코인에서 검토 중인 구체적인 파라미터 세트에 대한 검증된 수치는 우리에게 없으며, 미확인 방식의 크기를 인용하는 것은 무책임할 것이다. 정확한 수치가 없더라도 방향성 결론은 성립한다.
여기서 두 가지 별개 효과가 따라온다. 마이그레이션 자체는 일회성 비용이다. 기존 출력을 소비하는 대량의 트랜잭션들이 여전히 간결한 ECDSA나 Schnorr 서명으로 인증되므로, 스윕 단계가 비싼 주된 이유는 서명 크기가 아니라 트랜잭션 개수 때문이다. 영구적인 비용은 그 이후에 온다. 양자내성 출력으로부터의 모든 소비가 witness에 더 큰 서명을 담게 되면서다. 새 witness 데이터가 부과하는 비율만큼 블록당 유효 트랜잭션 수가 줄어들고, 블록 공간의 일정 비율을 차지하는 데 필요한 수수료가 그에 상응해 올라간다. SegWit이 도입한 witness 할인, 즉 witness 데이터가 non-witness 데이터 대비 4분의 1의 가중치를 받는다는 점이 이를 완화하지만, 오버헤드를 없애지는 못한다.
그 여파는 베이스 레이어 수수료 수준을 넘어선다. 라이트닝 채널 운영, 코인조인 구성, 다수의 입력을 쓰는 배칭 방식은 모두 서명 하나당 크기에 비례해 온체인 발자국이 늘어난다. 멀티시그는 가장 급격한 증가를 겪는다. 임계값 구조가 서명 개수를 곱셈으로 늘리기 때문이다. 포스트퀀텀 서명이 충분히 크다면, 오늘날 경제적으로 일상적인 일부 멀티시그 구성이 커스터디 구조 자체를 바꿀 만큼 비싸질 수 있고, 이는 기관 보유자들을 더 적고 더 큰 서명 쿼럼 쪽으로, 혹은 선택된 프리미티브에 대해 아직 존재하지 않을 수도 있는 집계 방식 쪽으로 밀어붙일 것이다. 이를 제대로 모델링하려면 실제 파라미터 세트와 마이그레이션된 UTXO 구성에 대한 가정이 필요하다. 둘 다 아직 없으며, 포스트퀀텀 비트코인의 처리량 비용은 공개 연구에서 여전히 정량화되지 않은 채 남아 있다.
아무도 옮길 수 없는 500만 개의 코인
프루든의 발언을 다룬 CoinDesk 보도에는 Harper라고만 밝혀진 인물이 언급한 500만 개 이상의 잠자는 코인이라는 수치가 등장하며, 여기에는 Patoshi 패턴 코인이 포함된다. 우리는 이 수치의 산출 방법론을 갖고 있지 않고 독립적으로 확인하지도 못했으며, 잠자는 코인의 정의 자체도 어떤 조회 기간을 선택하느냐에 따라 크게 달라지므로, 이를 정확한 측정치가 아니라 규모의 크기를 보여주는 지표 정도로 취급한다. 정성적 주장 자체는 그럼에도 성립한다. 통화적으로 상당한 규모의 코인 덩어리가 공개키를 노출하는 출력 유형에 놓여 있고, 10년 넘게 움직이지 않았다는 것이다.
정의상 이 코인들은 마이그레이션할 수 없다. 마이그레이션에는 서명이 필요하고, 서명에는 키가 필요하며, 키를 잃어버려서 잠자는 코인은 계속 잠잔다. 따라서 어떤 자발적 마이그레이션 이후에도 계속 양자취약 상태로 남는 코인의 집합은 소유자가 사라진 코인의 집합과 사실상 일치한다. 모든 정책 선택지는 결국 이 코인들을 어떻게 할 것인가에 대한 결정이다.
건드리지 않고 놔둔다는 것은 암호학적으로 유의미한 양자컴퓨터를 가장 먼저 만드는 자가 이 코인들을 소비할 수 있다는 뜻이다. 우리가 검토한 어떤 출처에도 등장하지 않고, 열린 이론적 입장으로서 제시하는 논거가 있다. 이는 비트코인의 허가 없는(permissionless) 설계와 일관된다는 것이다. 채굴에서처럼 코인은 역사적으로 해당 계산 문제를 먼저 푼 자에게 돌아갔다는 논리다. 반론은 직접적이다. 채굴은 사전에 정해진 규칙에 따라 새로 발행되는 코인을 배분하는 것이지만, 양자 공격은 아무도 동의하지 않은 규칙 아래에서 이미 소유된 코인을 재배분하는 것이며, 성능 있는 기계를 가장 먼저 갖는 주체는 개인 사용자보다는 국가나 대기업일 가능성이 훨씬 높다. 이는 허가 없는 결과라고 볼 수 없다.
동결한다는 것은 지정된 블록 높이 이후 양자취약 출력 유형으로부터의 소비를 거부하는 컨센서스 규칙이 필요하다는 뜻이며, 잠자는 공급량을 영구히 소비 불가능하게 만듦으로써 절도로부터 보호한다는 것이다. 코인이 새로 생성되는 것은 아니므로 고정 공급 서사는 온전히 유지되지만, 프로토콜 규칙 변경이 식별 가능한 출력의 소비 권리를 영구히 박탈한다는 점은 변함없다. 훗날 개인키가 합법적으로 복구되더라도 그 코인은 계속 잠긴 채로 남는다.
프루든 본인의 선호는 세 번째 선택지다. 그는 잠자는 코인을 공급 곡선 끝단으로 재활용해 채굴자 인센티브를 서브시디가 0에 가까워진 이후까지 연장하자고 주장하면서도, 이것이 명백히 몰수(confiscation)에 해당한다고 스스로 규정했고 시장과 커뮤니티가 결정해야 할 문제라고 강조했다. 엔지니어링 측면의 매력은 분명하다. 비트코인의 장기 보안 예산은 결국 수수료 수익이 블록 서브시디를 대체하는 데 달려 있는데, 이 전환은 아직 검증된 결과가 없다. 잠자는 코인을 재활용하면 양자 취약성을 해시레이트를 자금 지원할 수십 년치 추가 발행으로 전환할 수 있다.
대가는 압도적인 이유가 있으면 프로토콜이 특정 잔고의 소유권을 재배정할 수 있다는 선례를 세운다는 것이다. 비트코인의 통화적 신뢰성은 2,100만 개 상한에만 의존하는 게 아니라, 컨센서스 규칙이 잔고를 재배정하지 않는다는 보장에도 의존한다. 잠자는 상태에 취약성이 더해지면 재배분이 정당화된다는 선례는 훗날 다른 정당화 논거들을 초대한다. 어느 선택지가 통화적 신뢰성에 덜 해로운가라는 질문에서는, 동결이 재활용보다 더 좁은 선례를 남긴다. 동결은 아무에게도 가치를 이전하지 않은 채 소비 가능성만 제거하고, 이론상 동결된 출력은 이후 규칙 변경으로 다시 풀릴 수 있는 반면, 재발행된 코인은 회수할 수 없기 때문이다. 그럼에도 동결 역시 누구의 코인을 동결할지 결정해야 하고, 주소 유형이나 나이로 그은 어떤 임계값이든 단지 활동이 뜸했을 뿐인 살아 있는 보유자를 잘못 걸러낼 위험이 있다.
이 역학은 프루든이 의도한 방향에서 탭루트와의 비교를 특히 선명하게 만든다. 탭루트는 복잡한 엔지니어링 문제였지만 사회적 합의는 단순했다. 포스트퀀텀 마이그레이션은 복잡한 엔지니어링 문제가 비트코인이 한 번도 풀어본 적 없는 사회적 질문과 얽혀 있고, 이 결정을 무기한 미룰 수 없다. 방치하는 것 자체가 결국 공격자가 이를 해결하도록 내버려두는 셈이 되기 때문이다.
UTXO 모델이 이 문제를 더 어렵게 만드는 이유
비트코인과 계정 기반 체인 사이의 구조적 차이는 동일한 암호학적 위협이 왜 근본적으로 다른 마이그레이션 과제를 만들어내는지를 설명해준다. 증거의 경계를 분명히 하자면, 이더리움의 전담 포스트퀀텀 팀과 구체적인 계정 추상화 마이그레이션 로드맵에 관한 주장은 우리 취재원에서 확인되지 않았으며, 우리는 특정 프로젝트의 타임라인을 보고하는 것이 아니라 근본적인 데이터 모델로부터 엄격히 추론하고 있다.
비트코인에서는 인증 조건이 출력 자체의 일부다. UTXO는 스크립트와 가치 총액이 결합된 것이고, 그 가치가 인증되는 방식을 바꾸는 유일한 메커니즘은 그것을 소비하고 다른 스크립트를 가진 새 출력을 구성하는 것뿐이다. UTXO를 그대로 놔둔 채 코인의 소비 조건을 수정하는 프로토콜 작업은 존재하지 않는다. 소비를 하려면 기존 개인키의 서명이 필요하고, 이것이 핵심 취약성의 함정을 형성하며, 능동적인 소유자가 필요하다.
계정 모델에서는 잔고가 영속적인 식별자에 위치하고, 인증 로직은 그 식별자와 연관된 상태다. 이 로직이 프로토콜에 하드코딩된 규칙이 아니라 스마트 컨트랙트 코드로 실행된다면, 잔고는 그대로 둔 채 검증 방식만 업데이트할 수 있다. 스마트 컨트랙트 계정은 이미 이런 능력을 활용해 기초 자산을 옮기지 않고도 서명자를 교체하고 검증 로직을 바꾼다. 이런 계정에 대한 포스트퀀텀 업그레이드는 자금 이전이 아니라 로직 마이그레이션이며, 대규모 스윕에 따른 수수료 압박도 없고 노출된 레거시 공개키를 방송할 필요도 없다.
이것이 완전한 해법이 되지 못하게 만드는 세 가지 단서가 있다. 인증 규칙이 프로토콜 차원에서 ECDSA로 고정된 외부 소유 계정(externally owned accounts)은 비트코인과 동일한 근본적 문제에 직면하며, 여전히 계정 기반 네트워크 가치의 상당 부분을 차지한다. 업그레이드 가능한 인증 로직은 그 자체로 공격 표면을 만들어내고, 양자 공격자가 조작할 수 있는 업그레이드 메커니즘은 심각한 위험을 내포한다. 마지막으로, 두 아키텍처 모두에서 키를 잃어버린 소유자는 업그레이드를 개시할 수 없으며, 이는 잠자는 코인 딜레마가 두 패러다임 모두에 그대로 남는다는 뜻이다. 계정 모델은 능동적인 보유자의 마이그레이션 경로는 단순화하지만, 방치된 자산에 대한 거버넌스 딜레마는 해결하지 못한다.
실제 진전을 보여줄 지표는 무엇인가
주목할 만한 구체적인 지표들은 그것을 둘러싼 일반적 논의보다 훨씬 좁다.
첫째, 포스트퀀텀 출력 유형이 초안 스펙에 머물지 않고 구체적인 활성화 경로를 확보하는지 여부다. 머지된 BIP와 활성화된 컨센서스 규칙은 서로 다른 이정표이며, 검증된 보도는 BIP-360이 2025년 제안되었다는 사실만 확인해준다. Bitcoin Core에서의 현재 위상과, 단계적 마이그레이션 제안이 있다면 그 세부 사항의 확인이 공개적으로 추적할 수 있는 것들 중 핵심 공백으로 남아 있다.
둘째, 선택된 서명 방식이 정식 파라미터 세트와 실증적 witness 크기와 함께 발표되는지 여부다. 이런 벤치마크가 나오기 전까지 포스트퀀텀 비트코인의 처리량 능력에 관한 주장은 여전히 추측에 머문다. Liquid의 운영 중인 해시 기반 배포가 가장 가까운 실증적 참고 자료이며, 서명 성능과 키 상태 추적에 관한 검증 가능한 데이터가 나온다면 더 많은 타임라인 예측보다 기술적 논의에 훨씬 도움이 될 것이다.
셋째, 주요 커스터디언들이 명시적인 날짜가 담긴 공식 마이그레이션 일정을 발표하는지 여부다. 심층 기관 준비금 전체에 걸친 콜드 스토리지 키 교체가 크리티컬 패스이며, 가장 큰 잔고를 관리하는 기관일수록 운영 절차는 가장 느리면서도 조기에 시작할 동기는 가장 강하다. 2026년 중반 시점 이들이 공개 논의에서 보이지 않는다는 사실은 비공식 개발자 설문조사보다 단기적 시급성에 대해 훨씬 분명한 신호를 준다.
넷째, 잠자는 코인 문제가 논의를 위한 제도적 장을 찾는지 여부다. 현재는 그런 장이 전혀 없다. 프루든은 자신의 코인 재활용 제안을 개인적인 입장으로 제시했고 시장이 결정할 것이라고 언급했는데, 이는 그런 결정을 내릴 공식적인 메커니즘이 존재하지 않는다는 사실을 정확히 반영한다. 500만 개 코인의 소비 가능성을 바꾸는 컨센서스 변경은 표준적인 소프트포크 활성화 주기로는 해결될 수 없으며, 이 논쟁을 위한 포럼의 부재는 근본적인 암호학적 과제 자체보다 마이그레이션에 더 즉각적인 제약을 가한다.
한 가지 분석상의 불일치는 아직 풀리지 않았다. 위험에 처한 디지털 자산이 약 2조 3천억 달러에 이른다는 프루든의 추정치는 방법론이 명시되지 않은 광범위한 프레임이며, 이는 양자 노출 비트코인만을 특정해 흔히 인용되는 약 7,000억 달러 추정치와 대비된다. 이 두 수치는 서로 다른 자산 범위를 평가하고 있으며, 어느 쪽도 어떤 출력 유형을 어느 시점에 평가했는지를 명시하는 공개 장부 회계를 동반하지 않는다. 노출 리스크를 평가하려는 기관이라면 이런 회계 기준선이 먼저 필요하다. 정확한 파라미터가 측정되지 않은 마이그레이션은 예산을 짜기도 어렵고 안정적으로 일정을 잡기도 불가능하기 때문이다.
참고 자료
はじめに
ビットコインを量子耐性のあるアウトプットに移すには、量子コンピュータが破ることになる鍵を使って楕円曲線署名を生成する必要がある。これがあらゆる移行計画の中心にある構造的な罠だ。最も深刻なリスクにさらされているコインは、所有者が不在のコインであり、不在の所有者はスイープトランザクションに署名できない。ウォレットツールをどれだけ整備しても、取引所間で調整しても、クライアント側のアップグレード作業を重ねても、この現実は変わらない。こうしたコインをプロトコルレベルで扱うには、ユーザーの行動ではなくコンセンサスによる決定が必要になる。
Project ElevenのCEOであるAlex Pruden氏は、2026年5月初旬のConsensus Miamiでこの調整の難しさを公に指摘しており、彼の整理はこの問題を捉える出発点になる。すなわち、この移行はTaprootより困難になる。Taprootはオプトインであり、部分的な採用でも許容されたのに対し、ポスト量子移行はほぼ全員が参加して初めてセキュリティ上の利益が得られるからだ。彼はTaprootの展開に要した期間を目安としておよそ5年と見積もり、ビットコインはハードウェアの進展が明らかになる前に、ポスト量子署名方式を研究段階から実運用へ移すべきだと主張した。これは確度の高い予測に基づくものではなく、リスクの非対称性に基づく議論である。
このテーマに関する我々の情報源は2026年5月初旬までのものであり、扱っている主題の重さに対して薄いと言わざるを得ない。BIP-360は2025年に、量子耐性を持つTaproot型のアウトプットタイプを追加する提案として出された。ここまでは記録として確認できる。2026年2月にBitcoin Coreへマージされたという主張、付随する移行BIPにおける具体的な段階分けについての主張、secp256k1を破るためのリソース見積もりを引き下げたとされる2026年のGoogle Quantum AIの成果についての主張、そしてEthereumに専任のポスト量子チームが存在するという主張については、一次資料で検証することができなかった。これらは未確認として扱い、代わりにメカニズムから推論を進め、ギャップがある箇所ではその都度明示する。公開鍵の露出、スイープトランザクション、ブロックウェイト、UTXOモデルの仕組みはプロトコル自体から検証可能であり、この移行がどこで破綻するのかを示している。
リスクは一様ではなく、問題は公開鍵にある
1994年に発表されたShorのアルゴリズムこそが、この問題が理論上の抽象論ではなく現実の工学的課題である理由だ。十分な能力を持つ量子コンピュータがこのアルゴリズムを実行すれば、secp256k1のような楕円曲線上で、既知の公開鍵から秘密鍵を導出できる可能性がある。したがって危険にさらされている資産はアドレスではなく公開鍵であり、ビットコインのアウトプットタイプは公開鍵を公開するかどうかで性質が異なる。
重要なのは3つのカテゴリだ。Patoshiのマイニングパターンに紐づくコインベースアウトプットを含む初期のpay-to-public-keyアウトプットは、スクリプト自体に生の公開鍵を含んでいる。これらは2009年からずっと公開状態のまま置かれてきた。pay-to-public-key-hashとそのwitness版は、未使用の間はハッシュのみを公開するが、使用された瞬間に鍵が露出する。したがって、一度でも使用されて再利用されたアドレスは完全に露出していることになる。Taprootアウトプットは32バイトのtweak済み公開鍵をscriptPubKeyに直接コミットするため、未使用のTaprootアウトプットは構造上、公開鍵が露出している。設計上最も新しく、広く使われているアウトプットタイプが、この観点では最も保護が薄いものの一つになっている。
ハッシュによる保護は見た目ほど強くない。永続的な秘匿性を提供するわけではなく、所有者が使用しようとするまでの猶予にすぎない。使用のためのトランザクションは公開鍵と署名を同じメッセージ内で露出し、そのメッセージは確認されるまでの間、一定期間メンプールに滞留する。Pruden氏はここで生じる競争条件について説明している。暗号学的に有効な量子コンピュータが存在するようになれば、メンプールを監視している攻撃者は露出した公開鍵から秘密鍵を導出し、自分宛てに支払う競合トランザクションを組み立て、より高い手数料を付けて、正当な所有者より先にブロックへの取り込みを勝ち取ることができる。防御可能な猶予は1回の確認間隔分しかなく、攻撃者の鍵回復時間が短くなるほどその猶予は縮む。
このメカニズムは移行のタイミングに直接的な意味を持つ。量子コンピュータの存在が明らかになってから慌ててコインを量子耐性アウトプットへスイープしようとする保有者は、まさに攻撃者が必要とする情報を、攻撃者が監視しているその瞬間に発信することになる。スイープは鍵回復が実現不可能なうちに行わなければならず、つまり移行のタイミングは実際の攻撃の証拠によって決めることができない。予測によって決めるほかなく、その予測自体に議論の余地がある。
Pruden氏は、この脅威に対するBitcoin Core開発者の見解を一枚岩ではなく賛否が分かれるものだと表現した。実現可能な量子コンピュータは決して現れないと考える貢献者がいる一方で、大多数の物理学者は実現すると考えており、そのタイムラインは前倒しになりつつある可能性があるという見方も紹介した。この意見の相違は些細な話ではない。ハードウェアの進展に関する確率分布を主な根拠とする移行は、技術的な議論だけで厳密な期限を作り出すことはできない。そしてビットコインには、他の手段で期限を課す仕組みがない。
オプトインのアウトプットタイプで解決できること、できないこと
2025年に提案されたBIP-360の貢献は、SchnorrやECDSAではなくポスト量子署名方式で使用を認証する新しいアウトプットタイプの追加だ。概念的にはこれは問題全体のうち扱いやすい半分にあたる。アウトプットタイプの追加は、おなじみの種類のソフトフォークである。アップグレードしていないノードは、新しいタイプからの使用を旧ルールの下ではだれでも使用できるものとして扱い、実際の条件の強制はアップグレード済みノードに任される。これはSegWitやTaprootを実現したのと同じパターンだ。既存のUTXOには何も変化が起きない。新しいタイプを使いたいウォレットは使い、使いたくないウォレットは使わない。
現行の仕様文書そのものは確認できておらず、具体的な方式の選定、スクリプトのフォーマット、有効化のメカニズムは、我々が伏せているというより、情報源のギャップとして残っている。記録として確認できるのは、暗号方式の選択の輪郭だけだ。NISTはハッシュベースと格子ベースのポスト量子署名ファミリーを標準化しており、ビットコイン開発者の議論はハッシュベースの選択肢に傾いていると伝えられている。その理由自体は情報源にないが、一般的なトレードオフとしては暗号理論の文献でよく知られている。ハッシュベースの構成は、新しい構造化格子問題ではなく、より弱く古いハッシュ関数のセキュリティ前提に依拠する一方、署名サイズが大きくなり、構成によっては状態管理が複雑になるステートフル性という代償を伴う。前提について保守的であることは、失敗が取り返しのつかないプロトコルにとって妥当な優先事項だ。
Blockstreamは既にLiquidネットワークでハッシュベースの署名方式を実運用に投入しており、この議論にこの分野では珍しいものをもたらしている。実際の価値を扱いながら稼働しているポスト量子方式の本番システムと、そこから得られる観測可能な運用実績だ。Liquidは連合型のサイドチェーンであり、信頼モデルもスループットもビットコインのベースレイヤーとは大きく異なるため、メインネットの手数料市場やブロックウェイトに関する疑問には答えられない。答えられるのは、実装の成熟度、署名パフォーマンス、鍵管理モデルがカストディ運用に耐えるかどうかといった、より狭い範囲の疑問だ。
オプトインのアウトプットタイプでは解決できないのがカバレッジの問題だ。量子耐性アウトプットに移されなかったコインはすべて露出したままであり、新しいアウトプットタイプを追加するソフトフォークだけではコインが動くことはない。既存UTXOセットの移行は別の政治経済的問題であり、そこで登場するのが旧アウトプットタイプの段階的な廃止案だ。我々の情報源はこうした提案の段階分けを説明しておらず、その内容を推測で再構築することは控える。ここではっきり述べておくべきメカニズム上の論点は、実質的な廃止とは最終的に、それ以外の点では有効なECDSAやSchnorrの使用を拒否するコンセンサスルールを意味するということだ。それがこのプロトコルが持つ唯一の強制手段であり、取り残されたものの使用可能性を恒久的に破壊する。
オプトインは、未移行のコインが全員の問題になるまでしか機能しない
Taprootの部分的な採用が許容されたのは、採用しないことのコストが完全に非採用者自身にとどまり、しかもそのコストが軽微だったからだ。トランザクションがやや大きくなる、スクリプトパスのプライバシーが得られない、鍵の集約ができないといった程度である。採用曲線は他者に外部性を及ぼすことなく何年もかけて緩やかに伸びることができた。
ポスト量子移行はこの力学を逆転させる。露出したアウトプットタイプに留まることによる一次的な損失は保有者本人に帰属するが、二次的な影響はそこにとどまらず、3つの経路で広がっていく。
第一は担保だ。BTCFiは何年もかけて、ビットコインのUTXOが確定した債権であるという前提の上にレンディング市場、ステーキングシステム、ラップされた表象を構築してきた。担保として使われている量子脆弱なUTXOは確率的な失効期限を持つ債権であり、それを保有するプロトコルにはそのリスクを価格づける手段がない。ある貸し手の担保基盤の露出度が、無関係なカウンターパーティが鍵のローテーションを完了したかどうかに左右されるのであれば、移行状況は与信パラメータになるが、現状これを追跡しているレンディングプロトコルは存在しない。
第二はカストディの集中だ。取引所やカストディアンは、頻繁なアクセスを想定しない設計のコールドストレージ構造でコインを保有しており、多くは地理的に分散した鍵シャードと数日規模の署名儀式を伴うマルチシグ構成だ。これらの鍵を新しいアウトプットタイプへローテーションするのは単純なソフトウェアアップグレードではなく、帳簿全体にわたって元の鍵儀式を繰り返し、その後にプルーフオブリザーブの照合を行う必要がある。最大量のコインを保有する機関ほど、移行が運用上最も遅くなるのだ。
第三はマネタリーな要因だ。長期休眠していたコイン、とりわけSatoshi帰属コインの盗難が成功すれば、それは孤立した損失としては受け止められない。ビットコインの発行スケジュールとその財産権保証が条件付きのものであるという証拠として読まれ、市場はその解釈を、移行済みかどうかにかかわらずすべてのコインに対して再評価する。この経路によって、個人のセキュリティ判断が集団的な問題に転化する。だからこそ、自発的な移行は包括的な防御としては機能しない。
Pruden氏の非対称性についての議論はここから導かれる。量子ハードウェアの進展が停滞するなら、待つことのコストは比較的小さい。使われないポスト量子アウトプットタイプは、ほどほどの維持負担で済むからだ。しかしUTXOセットの大半がsecp256k1のままの状態でハードウェアが実現すれば、待つことのコストは非常に大きくなる。攻撃者がメンプールを監視するようになった時点で、移行そのものが安全でなくなるからだ。とはいえ反対意見も公平に述べておくべきだろう。ビットコインの歴史には、緊急だと予測されながら予定通りには実現しなかった脅威が数多くある。コンセンサス変更にはそれ自体テールリスクが伴い、時間的な圧力の中で2026年に選ばれた方式が2040年には誤った選択だったと判明する可能性もある。脅威が遠いと考える開発者たちは、今それにビットコインの限られた調整能力を割かないという判断において不用意なわけではない。どちらのリスクが大きいかについて、別の計算をしているだけだ。
スイープこそが本体であり、そこにはコストが伴う
移行はソフトウェアアップデートではない。UTXOセットの大部分が使用されて新しいアウトプットへ移されるオンチェーンの出来事であり、そこには特有の順序制約が伴う。
まずウォレットとライブラリのサポートが整わなければならない。ポスト量子鍵を生成し、新しいアウトプットタイプを構築し、署名・検証を行うテスト済み実装がなければ、それより下流の何も動かせないからだ。次にくるのがハードウェア署名デバイスで、ファームウェアの審査サイクルが長く、状態を持つハッシュベース方式の場合は、既存デバイスが想定していなかったストレージや状態追跡の挙動が必要になるかもしれない。その次が取引所のホットウォレットインフラで、鍵が既にオンラインにあるため機関レイヤーとしては最も動かしやすい。続いてコールドストレージとカストディが来るが、これは機関レイヤーとしては最も遅く、最大の残高を保有している。最後に、紙のバックアップや相続されたシードフレーズ、休眠ウォレットに残る自己管理コインのロングテールが移行しなければならない。この順序は技術的な依存構造から推測したものであって、公表された計画から報告しているわけではない。我々が確認した情報源には運用上の順序を示すものはなく、実際のスケジュールはプロトコルルールではなく参加者によって決まることになる。
スイープ段階には検討すべき経済的特徴が2つある。第一に、移行が実際に占める期間に集中してブロックスペースへの需要ショックが生じる。移行するUTXOはそれぞれインプットを必要とし、統合によってこのフットプリントは一部しか相殺されない。廃止の期限が存在する場合、合理的な保有者は締め切り間際まで待つため需要がさらに圧縮され、最も知識の浅い保有者が動こうとするまさにそのタイミングで手数料が急騰する。第二に、スイープトランザクションは旧公開鍵を露出させるため、移行が遅い保有者ほど、攻撃者の能力が存在する可能性が最も高い期間に露出することになる。移行が遅くなるほどコストは高く、安全性は低くなるという二重の罰則が、期限を逃した者に重くのしかかる。
署名サイズは固定されたブロックウェイトとぶつかる
ビットコインのブロックウェイト上限は、より重い署名方式に合わせて調整されない。TaprootにおけるSchnorr署名は64バイトであり、単一インプット・単一アウトプットのキーパス使用は、プロトコルがサポートするトランザクションの中で最小級のものだ。NISTが標準化したハッシュベースと格子ベースの両方のポスト量子署名方式は、署名がかなり大きくなり、場合によっては公開鍵も大きくなる。ビットコインで検討されている具体的なパラメータセットについて検証済みの数値は持ち合わせておらず、未確定の方式についてサイズを引用することは無責任だろう。方向性としての結論は、正確な数値がなくても成り立つ。
ここには2つの異なる影響がある。移行そのものは一時的なコストだ。旧アウトプットを使用する大量のトランザクションは、それぞれ依然としてコンパクトなECDSAまたはSchnorr署名によって認証されるため、スイープ段階のコストが高くなる主因は署名サイズではなくトランザクション数だ。恒久的なコストはその後にやってくる。量子耐性アウトプットからの使用がすべて、より大きな署名をwitnessに含むようになったときだ。1ブロックあたりの実効トランザクション数は新しいwitnessデータが課す比率に応じて低下し、ブロックスペースの一定割合を占めるために必要な手数料はそれに応じて上昇する。SegWitで導入されたwitness割引がこれを和らげる。witnessデータは非witnessデータに対して4分の1の重みで扱われるためだが、それでもオーバーヘッドが消えるわけではない。
この影響はベースレイヤーの手数料水準にとどまらない。ライトニングチャネルの操作、コインジョインの構成、多くのインプットを伴うバッチ処理はすべて、署名1つあたりのサイズに応じてオンチェーンのフットプリントがスケールする。マルチシグは最も急激な増加を経験する。閾値構造は署名数を掛け算的に増やすからだ。ポスト量子署名が十分に大きければ、現在は経済的にごく普通に使われているマルチシグ構成の一部が、コスト面で成り立たなくなるほど高くなり、カストディの構造を作り替える圧力が生じる。機関の保有者は、より少数で大規模な署名クォーラムへ、あるいは選定された暗号プリミティブにはまだ存在していないかもしれない集約方式へと押しやられる可能性がある。これを適切にモデル化するには実際のパラメータセットと、移行後のUTXOの構成に関する仮定が必要だ。どちらも入手できておらず、ポスト量子ビットコインのスループットコストは公開研究において依然として定量化されていない。
誰も動かせない500万枚のコイン
CoinDeskによるPruden氏の発言の記述には、Patoshiパターンのコインを含め、休眠コインが500万枚を超えるという数字が登場し、Harperという名でのみ特定される人物に帰属するとされている。この数字の算出方法は不明であり、独立した確認も取れていない。休眠の定義自体、どの遡及期間を採用するかによって大きく変わるため、これを正確な測定値ではなく大まかな規模感の指標として扱う。定性的な主張自体は、それでも十分に成り立つ。公開鍵を公開しているアウトプットタイプに、マネタリーに見て重要な意味を持つ大きなコインの塊が存在し、10年以上動いていないということだ。
定義上、これらのコインは移行できない。移行には署名が必要で、署名には鍵が必要で、鍵が失われたために休眠しているコインは休眠したままになる。したがって、あらゆる自発的な移行が終わった後にも量子脆弱なまま残るコインの集合は、所有者がいなくなったコインの集合とほぼ一致する。あらゆる政策上の選択肢は、これらをどう扱うかについての判断ということになる。
手を付けずに放置すれば、暗号学的に有効な量子コンピュータを最初に構築した者がそれを使えることになる。我々が確認した情報源にはこの見解は登場しないが、開かれた理論的立場として提示しておくと、これはビットコインの許可不要な設計と整合的だという議論がありうる。プルーフオブワークのマイニングのように、コインは歴史的に該当する計算問題を解いた者に渡ってきたという理屈だ。これに対する反論は明快だ。マイニングはあらかじめ定められたルールの下で新規発行されたコインを配分するものだが、量子攻撃は既に所有されているコインを、誰も合意していないルールの下で再配分するものであり、能力のある機器を最初に手にする主体は個人ユーザーよりも国家か大企業である可能性がはるかに高い。それは許可不要な結果とは呼べない。
凍結するには、指定したブロック高以降、量子脆弱なアウトプットタイプからの使用を受け付けないコンセンサスルールが必要になる。これにより休眠している供給を盗難から守り、恒久的に使用不能にする。コインは新たに生成されないため、供給上限の物語自体は無傷のまま残るが、プロトコルのルール変更が特定のアウトプットから使用権を恒久的に剥奪することになる。後になって正当に秘密鍵が回収されたとしても、そのコインはロックされたままだ。
Pruden氏自身が好むのは第三の選択肢だ。彼は休眠コインを供給曲線の末尾に再投入し、サブシディがゼロに近づいた後もマイナーへのインセンティブを延長するべきだと主張しており、これは明確に没収にあたると認めた上で、市場とコミュニティが決めるべき問題だと強調した。この工学的な魅力は明らかだ。ビットコインの長期的なセキュリティ予算は、ブロックサブシディに代わって手数料収入が担う構造への移行にかかっているが、この移行が成功するという確証はまだない。休眠コインの再投入は、量子脆弱性をハッシュレートを支える数十年分の追加発行に変換することになる。
そのコストは、説得力のある理由さえあればプロトコルが特定の残高の所有権を再割り当てできるという前例を作ってしまうことだ。ビットコインの通貨としての信頼性は2100万枚の上限だけに支えられているわけではなく、コンセンサスルールが残高を再割り当てしないという保証にも支えられている。休眠と脆弱性が組み合わされば再配分が正当化されるという前例は、将来別の理由による議論を招く。どちらの選択肢が通貨としての信頼性への損傷がより小さいかという点では、凍結の方が再投入よりも前例として狭いと言える。凍結は誰にも価値を移転することなく使用可能性を除去するだけであり、理論上は後のルール変更によって凍結を解除することもできるが、再発行されたコインを回収することはできない。とはいえ凍結にも、誰のコインを凍結するかを決める必要があり、アドレスタイプや保有期間によって線引きをすれば、単に活動していなかっただけの生存中の保有者を巻き込むリスクがある。
この力学は、Pruden氏が意図した方向でTaprootとの比較を特にはっきりさせる。Taprootは複雑な工学的課題ではあったが、社会的な合意は単純だった。ポスト量子移行は複雑な工学的課題であると同時に、ビットコインがこれまで解決したことのない社会的な問いに結びついており、その決定を無期限に先送りすることはできない。手を付けないままにすることは、結局のところ攻撃者にその決定を委ねることになるからだ。
UTXOモデルがアカウントモデルより難しい理由
ビットコインとアカウントベースのチェーンの間にある構造的な違いは、同じ暗号学的脅威が根本的に異なる移行課題を生む理由を説明する。証拠の範囲をはっきりさせておくと、Ethereumに専任のポスト量子チームがあるという主張や、具体的なアカウント抽象化による移行ロードマップについての主張は情報源で確認できておらず、我々は特定のプロジェクトのタイムラインを報告するのではなく、根底にあるデータモデルから厳密に推論している。
ビットコインでは、認証条件はアウトプットそのものの一部である。UTXOはスクリプトと金額を組み合わせたものであり、その価値がどう認証されるかを変える唯一の手段は、それを使用して異なるスクリプトを持つ新しいアウトプットを構築することだ。UTXOをそのままにしてコインの使用条件を変更するプロトコル操作は存在しない。使用には既存の秘密鍵による署名が必要であり、これが中核的な脆弱性の罠を形成しており、なおかつ能動的な所有者を必要とする。
アカウントモデルでは、残高は永続的な識別子上に存在し、認証ロジックはその識別子に紐づく状態である。このロジックがハードコードされたプロトコルルールではなくスマートコントラクトのコードとして実行される場合、残高を動かすことなく検証方法を更新できる。スマートコントラクトアカウントは既にこの能力を利用して、基礎となる資産を動かすことなく署名者をローテーションしたり検証ロジックを変更したりしている。こうしたアカウントにとってポスト量子アップグレードは資金移転ではなくロジックの移行であり、大量スイープによる手数料圧力を回避し、露出した旧公開鍵をブロードキャストする必要もなくなる。
これが完全な解決策にならない理由が3つある。認証ルールがプロトコルレベルでECDSAに固定されているexternally owned accountsは、ビットコインと同じ根本的な課題に直面しており、アカウントベースのネットワーク上でも依然として価値の相当な割合を占めている。アップグレード可能な認証ロジックはそれ自体新たな攻撃対象領域を生み、量子攻撃者が操作しうるアップグレードメカニズムは深刻なリスクをもたらす。最後に、どちらのアーキテクチャでも、鍵を失った所有者はアップグレードを開始できないため、休眠コインのジレンマは両方のパラダイムを通じて残り続ける。アカウントモデルは能動的な保有者にとっての移行経路を単純化するが、放棄された資産をめぐるガバナンス上のジレンマを解決するわけではない。
実際に進展を示すことになるもの
注目すべき具体的な指標は、それを取り巻く一般的な議論よりも狭い。
第一に、ポスト量子アウトプットタイプが草案の仕様のままにとどまらず、具体的な有効化の道筋を得るかどうかだ。マージされたBIPと稼働中のコンセンサスルールは別の節目であり、検証済みの報道が確認しているのはBIP-360が2025年に提案されたという事実だけだ。Bitcoin Coreにおける現在の位置づけと、段階的移行案の具体的な内容の確認が、公開情報の追跡における最大のギャップとして残っている。
第二に、選定された署名方式が正式なパラメータセットと実測されたwitnessサイズとともに公表されるかどうかだ。これらのベンチマークが得られるまで、ポスト量子ビットコインのスループット能力に関する主張は憶測の域を出ない。Liquidの稼働中のハッシュベース実装は最も近い実証的な参照点であり、そこから得られる署名パフォーマンスや鍵状態追跡についての検証可能なデータは、さらなるタイムライン予測よりも技術的な議論に資するだろう。
第三に、主要なカストディアンが明確な日付を伴う正式な移行スケジュールを公表するかどうかだ。深い機関準備金にわたるコールドストレージの鍵ローテーションはクリティカルパスであり、最大の残高を管理する機関ほど運用手続きが最も遅くなる一方で、早く着手すべき最も強い動機を持つ。2026年半ばの時点でこれらが公の議論に登場していないことは、非公式な開発者の意識調査よりも、目先の緊急性についてはるかに明確なシグナルを与える。
第四に、休眠コインの問題が議論のための制度的な場を得るかどうかだ。現時点でそうした場は存在しない。Pruden氏はコイン再投入の提案を個人的な立場として提示し、市場が決めることになると述べたが、これは実際にそのような決定を下す正式なメカニズムが存在しないことを正確に反映している。500万枚のコインの使用可能性を変えるコンセンサス変更は、通常のソフトフォーク有効化サイクルでは解決できず、その議論のための場が存在しないことが、根底にある暗号学的な課題そのものよりも、移行に対するより直接的な制約となっている。
分析上、未解決の食い違いが一つ残っている。Pruden氏によるリスクにさらされているデジタル資産のおよそ2.3兆ドルという見積もりは、明確な方法論を伴わない大まかな枠組みであり、量子リスクにさらされているビットコインに特化してよく引用されるおよそ7000億ドルという見積もりと対照をなしている。この2つの数字は評価対象とする資産の範囲が異なっており、どちらの数字にも、どのアウトプットタイプをいつの時点で評価したのかを示す公開の台帳集計は付いていない。エクスポージャーのリスクを評価しようとする機関は、まずこの集計の基準を必要とする。正確なパラメータが測定されないままの移行は、予算を組むのが難しく、信頼できるスケジュールを立てることも不可能だからだ。
参考文献
引言
要把一枚比特币迁移到抗量子输出类型,需要用一把量子计算机能够破解的密钥生成一个椭圆曲线签名。这是所有迁移方案核心的结构性陷阱。面临风险最严峻的那些币,恰恰是主人已经不在场的那些——而不在场的主人无法签署清扫交易(sweep transaction)。无论钱包工具多完善、交易所协调多到位、客户端升级做得多好,都无法改变这个现实。任何针对这些币的协议层处理方案,都需要一次共识决策,而不是用户端的操作。
Project Eleven首席执行官Alex Pruden在2026年5月初的Consensus Miami大会上公开提出了协调难题这一论点,他的表述可以作为理解这个问题的一个锚点:这次迁移会比Taproot更难,因为Taproot是可选启用的,部分采用即可接受;而后量子迁移只有在几乎所有人都参与的情况下才能带来真正的安全收益。他以Taproot大约五年的推广周期作为参照基准,主张比特币应该在硬件发展时间线明朗之前,就把某种后量子签名方案从研究阶段推向生产环境——这个论证依据的是风险不对称,而不是对未来的自信预测。
我们对这一话题的信息来源截至2026年5月初,而且比这个议题应得的报道深度要单薄。BIP-360在2025年被提出,旨在增加一种抗量子的Taproot风格输出类型,这一点是有据可查的。但坊间流传的说法——包括2026年2月合并进Bitcoin Core、某个配套迁移BIP中的具体分阶段方案、2026年谷歌量子AI团队某项将破解secp256k1所需资源估算大幅降低的成果、以及以太坊内部存在专门的后量子团队——这些我们都无法通过一手文献加以核实。我们将其视为未确认信息,转而从机制本身进行推理,并在每处信息缺口出现时予以标注。公钥暴露、清扫交易、区块权重以及UTXO模型的运作机制,都可以从协议本身得到验证,而正是这些机制暴露了这次迁移会在哪里出问题。
风险敞口并不均匀,关键在于公钥
1994年发表的Shor算法,是这个问题成为现实工程课题而非纯理论假设的原因。一台足够强大的量子计算机运行该算法,能够从secp256k1等椭圆曲线上已知的公钥反推出对应的私钥。因此真正处于风险中的资产不是地址,而是公钥,而比特币各类输出类型的区别就在于是否公开了公钥。
这里有三类输出值得关注。早期的pay-to-public-key输出——包括与”Patoshi”挖矿模式相关的coinbase输出——直接在脚本中携带原始公钥,自2009年以来就一直暴露在外。Pay-to-public-key-hash及其隔离见证变体,在未花费状态下只公开密钥的哈希值,但一旦被花费就会暴露公钥,因此任何曾经被花费过又被重复使用的地址都是完全暴露的。Taproot输出则直接在scriptPubKey中承诺一个32字节的调整后公钥,这意味着任何未花费的Taproot输出天生就暴露了公钥。也就是说,协议设计上最新的这种输出类型,在这个维度上反而是保护最弱的之一。
基于哈希的保护比表面看起来要脆弱。它提供的并非持久的保密性,而只是一段延迟——一直延续到主人尝试花费为止。花费交易会在同一条消息中同时暴露公钥和签名,而这条消息在确认前会在内存池中停留一段时间。Pruden描述了由此产生的竞速情形:一旦具备密码学威胁能力的量子计算机出现,监视内存池的攻击者就能从暴露的公钥反推出私钥,构造一笔支付给自己的竞争交易,附上更高手续费,抢在合法主人之前被打包进区块。防御窗口只有一个确认间隔的时长,而且随着攻击者密钥恢复速度的提升,这个窗口还会不断缩短。
这一机制对迁移时机的选择有直接影响。如果持有者等到量子计算机已知存在之后才匆忙将币清扫到抗量子输出中,那么恰恰是在攻击者正在监视之时,广播出了攻击者所需要的全部信息。清扫操作必须在密钥恢复仍不可行的阶段完成,这意味着迁移的时机不能由”存在活跃攻击”的证据来驱动,而只能由一个预测来驱动——而这个预测本身充满争议。
Pruden将Bitcoin Core开发者对这一威胁的态度描述为分歧而非一致:一些贡献者认为具备实战能力的量子计算机永远不会出现,而据他所说,多数物理学家的看法是量子计算机会出现,且时间线可能正在被压缩。这种分歧不是无关紧要的细节。一次主要依据是”硬件进展的概率分布”来论证正当性的迁移,单靠技术论证是无法产生硬性截止日期的,而比特币也没有其他机制能够强制设定截止日期。
一种可选启用的输出类型能解决什么,不能解决什么
按照2025年提出的方案,BIP-360的贡献在于引入一种新的输出类型,用后量子签名方案而非Schnorr或ECDSA来验证花费。从概念上看,这是这个问题中相对可解的那一半。增加一种输出类型属于常见的软分叉。未升级的节点会将新类型的花费视为在旧规则下”任何人可花费”,并依赖已升级的节点去执行真正的验证条件——这与SegWit和Taproot上线时的模式一致。现有UTXO不受任何影响,想用新类型的钱包可以用,不想用的钱包保持不变。
我们未能查阅到目前的规范文本,具体方案选择、脚本格式和激活机制仍是我们信息来源中的空白,而非我们刻意隐瞒的既定事实。目前有据可查的是这次密码学选择的大致方向。NIST已经标准化了基于哈希函数和基于格(lattice)的后量子签名族,据报道比特币开发者的讨论倾向于基于哈希的方案。具体理由不在我们掌握的资料范围内,但密码学文献中对这一权衡有普遍共识:基于哈希的构造依赖的是更薄弱、更古老的哈希函数安全假设,而不是较新的结构化格问题假设,代价是签名更大,某些构造还带有状态性(statefulness),这会使密钥管理复杂化。对于一个失败后果不可逆的协议来说,在假设选择上保守是站得住脚的优先项。
Blockstream已经在Liquid网络上部署了一种基于哈希的签名方案,这为这场争论提供了一个这个领域里颇为稀缺的东西:一个承载真实价值、运行在生产环境中的后量子签名系统,可以观察其实际运作表现。Liquid是一条联邦制侧链,信任模型和吞吐量特性都与比特币主链大不相同,所以它回答不了关于主网手续费市场或区块权重的问题。但它能回答一些更具体的问题:实现的成熟度、签名性能,以及密钥管理模型在实际托管运营中能否经受住考验。
一种可选启用的输出类型解决不了的是覆盖率问题。任何没有被迁移到抗量子输出中的币仍然处于暴露状态,而一次”新增输出类型”式的软分叉本身并不会让任何币发生移动。现有UTXO集合的迁移是一个独立的问题,牵涉独立的政治经济学,这正是”分阶段淘汰旧输出类型”提案登场的地方。我们的信息来源没有描述任何此类提案的具体分阶段方案,我们也不打算凭空重构。这里值得明确指出的机制性问题是:任何真正意义上的淘汰,都意味着需要一条共识规则,最终拒绝那些本来完全有效的ECDSA和Schnorr花费交易。这是协议手中唯一的强制执行手段,而它会永久摧毁被遗留在外的资产的可花费性。
可选启用是行得通的,直到未迁移的币变成所有人的问题
Taproot的部分采用之所以是可以接受的,是因为不采用的成本完全由不采用者自己承担,而且成本很轻微:交易略大一些,没有脚本路径隐私,没有密钥聚合。采用曲线可以拖延多年而不会给其他人带来外部性。
后量子迁移把这个动态完全颠倒了过来。留在暴露输出类型上的一阶损失确实由持有者自己承担,但二阶效应不会止步于此,它通过三条渠道向外扩散。
第一条是抵押品渠道。BTCFi多年来一直在构建借贷市场、质押系统以及各种包裹资产表示形式,而这一切都建立在”一枚比特币UTXO是一个已结算的债权”这个假设之上。一枚作为抵押品使用的量子脆弱UTXO,实际上是一个带有概率性到期日的债权,而持有这类抵押品的协议根本没有办法为这种风险定价。如果一名借款人抵押品的风险敞口取决于毫不相干的其他持币者是否完成了密钥轮换,那么”迁移状态”就变成了一个信用参数,而目前没有任何借贷协议把它当作参数来追踪。
第二条是托管集中度渠道。交易所和托管机构将币存放在为低频访问设计的冷存储结构中,通常是多签方案,密钥分片分布在不同地理位置,签名仪式往往需要数天时间。把这些密钥轮换到新的输出类型不是一次简单的软件升级,而是需要在整本账目上重新走一遍最初的密钥仪式流程,事后还要进行储备证明的核对。持有最大量币的机构,恰恰是行动最迟缓的那些。
第三条是货币性渠道。一次针对长期休眠币(尤其是被归为中本聪相关的币)的成功盗窃,不会被解读为一起孤立的损失事件。它会被解读为证据,说明比特币的发行时间表和产权保证是有条件的,市场会把这种解读重新定价到所有币上,无论迁移与否。这条渠道把一个个体层面的安全决策,变成了一个集体性的问题,这正是自愿迁移无法作为完整防御手段的原因。
Pruden的不对称性论证正是由此而来。如果量子硬件的发展停滞不前,等待的代价相对较小,因为一种闲置不用的后量子输出类型只是一项温和的维护负担。但如果硬件在UTXO集合仍大部分停留在secp256k1上的时候就已经就绪,等待的代价会非常巨大,因为一旦攻击者开始监视内存池,迁移本身就变得不安全了。反方论点也应当被公正地陈述:比特币历史上有过一长串被紧急预警却最终未按预期到来的威胁,共识层面的改动本身也带有自己的尾部风险,而在2026年在时间压力下选定的方案,到2040年可能被证明是错误的选择。那些认为威胁遥远的开发者现在拒绝把比特币有限的协调能力投入到这件事上,并非草率,而是在对哪种风险更大做出不同的判断。
清扫本身就是这场操作,而操作是有代价的
一次迁移不是一次软件更新。它是一次链上事件,其中UTXO集合的很大一部分需要被花费到新输出中,由此产生了特定的顺序约束。
钱包和库支持必须最先落地,因为在有经过测试、能够生成后量子密钥、构造新输出类型、签名和验证的实现之前,下游任何环节都无法推进。接下来是硬件签名设备,它们的固件评审周期很长,对于带状态的哈希签名方案,可能还需要现有设备原本没有设计过的存储和状态跟踪能力。再之后是交易所的热钱包基础设施,这是最容易迁移的机构层面,因为密钥本来就已经在线。冷存储和托管紧随其后,这是最迟缓的机构层面,却持有着最大的余额。最后是长尾的自托管币:纸质备份、继承而来的助记词、休眠钱包,这些必须最后才能迁移。这个顺序是我们从技术依赖结构中推演出来的,而不是根据某份公开计划报道的;我们查阅的资料中没有任何一份明确给出操作顺序,而任何真实的时间表都将由参与者自行决定,而非由协议规则决定。
清扫阶段有两个经济特征值得细看。第一,它会在迁移实际发生的那段窗口期内,对区块空间造成集中的需求冲击。每一枚要迁移的UTXO都需要一个输入,而合并输入(consolidation)只能部分抵消这种占用。如果存在一个淘汰截止日期,理性的持有者会等到接近截止期限才行动,这会进一步压缩需求窗口,把手续费推高——而恰好是在最不成熟的持有者试图行动的时候。第二,清扫交易会暴露旧公钥,所以晚迁移的持有者恰好是在攻击者能力最有可能已经具备的那段时间窗口内暴露自己的。晚迁移意味着成本更高、安全性更低同时发生,这对错过窗口期的人构成了严厉的惩罚。
签名尺寸撞上了固定的区块权重
比特币的区块权重上限不会为了适应更重的签名方案而调整。Taproot下的Schnorr签名只有64字节,单输入单输出的密钥路径花费(key-path spend)是协议支持的最小交易之一。而NIST标准化的后量子签名方案——无论是基于哈希还是基于格的家族——签名普遍大得多,在若干情况下公钥也更大。我们没有针对比特币正在考虑的具体参数集的核实数据,对一个尚未确认的方案引用具体大小数字是不负责任的做法。但即使没有具体数字,方向性的结论依然成立。
由此产生两个不同的效应。迁移本身是一次性成本:大量交易花费旧的输出,每一笔仍然由紧凑的ECDSA或Schnorr签名验证,这意味着清扫阶段的高昂成本主要来自交易数量,而非签名尺寸。永久性的成本则在此之后到来——每一笔从抗量子输出发起的花费,其witness中都会携带更大的签名。每个区块能容纳的有效交易数量,会按新witness数据带来的比例而下降,占用给定区块空间比例所需的手续费也会相应上升。SegWit引入的witness折扣(witness数据按四分之一权重计算)能缓解这一影响,但无法消除这项开销。
这一后果的影响不局限于基础层的手续费水平。闪电网络的通道操作、CoinJoin构造以及各种多输入的批量方案,它们的链上占用都随每个签名的尺寸而扩大。多签方案受到的冲击最大,因为门限结构会让签名数量成倍增加。如果后量子签名足够大,一些今天在经济上司空见惯的多签配置就会变得代价高昂到足以改变托管结构的地步,推动机构持有者转向更少、更大规模的签名法定人数,或者转向针对所选原语可能尚不存在的聚合方案。要恰当地建模这一切,需要实际的参数集,以及关于已迁移UTXO构成的假设。二者目前均不可得,后量子比特币的吞吐量成本至今仍是公开研究中未被量化的问题。
五百万枚谁也动不了的币
在CoinDesk对Pruden言论的报道中,出现了一个数字——“逾五百万枚”休眠币,包括Patoshi模式的币,归因于一个只被称为”Harper”的人。我们没有关于这个数字的方法论,也没有独立的核实来源,而且”休眠”的定义会随着回溯窗口的选择而大幅变化,所以我们将其视为量级层面的参考,而非精确测量。但定性的结论无论如何是站得住脚的:有一大批具有货币意义的币,存放在会公开公钥的输出类型中,而且十年以上没有移动过。
按定义,这些币无法迁移。迁移需要签名,签名需要密钥,而因为密钥丢失才休眠的币,只会继续休眠下去。因此,任何自愿迁移之后仍将保持量子脆弱的那批币,与其主人已经不在场的那批币,基本上是同一个集合。每一个政策选项,本质上都是在决定该拿这些币怎么办。
放任不管意味着,谁第一个造出具备密码学威胁能力的量子计算机,谁就能花掉这些币。有一种论点——我们查阅的资料中并未出现,我们将其作为一种开放的理论立场提出——认为这与比特币的无需许可设计是一致的。历史上,币确实一直流向那些解出了相应计算难题的人,就像工作量证明挖矿一样。反方论点也很直接:挖矿分配的是按预先设定规则新发行的币;而量子攻击重新分配的是已经有主人的币,依据的是没有人同意过的规则,而且第一个拥有此类算力机器的实体,更可能是某个民族国家或大型企业,而非个人用户。这算不上一个无需许可的结果。
冻结这些币则需要一条共识规则,在指定区块高度之后拒绝接受来自量子脆弱输出类型的花费,通过使其永久不可花费来保护休眠供应免遭盗窃。固定供应量的叙事因此得以完整保留,因为没有创造出任何新币,但一次协议规则变更永久剥夺了可识别输出的花费权。如果日后合法地找回了私钥,这些币仍将保持锁定状态。
Pruden本人倾向于第三种方案。他主张允许休眠币被回收,重新计入供应曲线的末端,在区块补贴趋近于零之后延长矿工的激励,并明确将这一做法称为”没收”,同时强调这应当由市场和社区来决定。这一方案的工程学吸引力显而易见:比特币长期的安全预算依赖于手续费收入取代区块补贴,而这一转变尚未被证明能够成功。回收休眠币,相当于把一个量子漏洞转化为数十年额外发行的算力资金来源。
代价在于,这会树立一个先例:只要理由足够充分,协议就可以重新分配特定余额的所有权。比特币的货币可信度不仅仅建立在2100万枚上限之上,更建立在”共识规则不会重新分配余额”这一保证之上。一旦”休眠加上脆弱性即可构成重新分配的正当理由”这一先例成立,未来就会招来关于其他正当理由的争论。就”哪个选项对货币可信度损害更小”这个问题而言,冻结所树立的先例范围比回收更窄,因为它只是取消了可花费性,而没有把价值转移给任何人,而且理论上一次被冻结的输出可以通过后续的规则变更被解冻,而重新发行的币却无法被追回。不过冻结方案仍然需要决定”冻结谁的币”,而任何按输出类型或币龄划出的门槛,都有可能误伤那些只是单纯不活跃、但主人依然健在的持有者。
这一动态让与Taproot的对比在Pruden想要表达的方向上格外清晰。Taproot是一个复杂的工程问题,配上一个相对简单的社会共识。后量子迁移则是一个复杂的工程问题,绑定着一个比特币从未真正解决过的社会性问题,而这个决定无法无限期地被搁置,因为搁置不处理,本质上就是把决定权拱手让给了攻击者。
为什么UTXO模型让这件事比账户模型更难
比特币与账户模型链之间的结构性差异,解释了为什么同一种密码学威胁会在不同链上产生截然不同的迁移难题。为了明确我们证据的边界:关于以太坊存在专门后量子团队、以及具体账户抽象迁移路线图的说法,我们的资料来源均未予以证实,我们仅严格从底层数据模型出发进行推理,而不是转述任何具体项目的时间表。
在比特币中,验证条件是输出本身的一部分。一枚UTXO就是一段脚本加上一个金额,而改变这份价值的验证方式的唯一手段就是花费它,再构造一个带有不同脚本的新输出。协议中不存在任何一种操作,能够在保留UTXO本身的情况下修改其花费条件。花费操作需要现有私钥的签名,这构成了核心的漏洞陷阱,同时也需要一个仍在活动的主人。
在账户模型中,余额存放在一个持久化的标识符上,而验证逻辑是与该标识符关联的状态。如果这套逻辑是以智能合约代码的形式执行,而非硬编码在协议规则中,那么验证方式就可以在余额保持不动的情况下被更新。智能合约账户已经在利用这一能力来轮换签名者、修改验证逻辑,而不需要移动底层资产。对这样一个账户进行后量子升级,是一次逻辑迁移,而不是一次资金转移,既消除了大规模清扫带来的手续费压力,也避免了广播暴露旧公钥的必要。
有三点限制使这不能成为一个完整的解决方案。外部拥有账户(externally owned accounts)——其验证规则在协议层面被固定为ECDSA——面临着与比特币相同的根本性难题,而且在账户模型网络上依然占据相当大比例的价值。可升级的验证逻辑本身也带来了新的攻击面,如果升级机制本身能被量子攻击者操纵,风险将极为严重。最后,在两种架构下,一个已经丢失密钥的主人都无法发起升级,这意味着”休眠币困境”在两种范式下都同样存在。账户模型简化了活跃持有者的迁移路径,但并没有解决被遗弃资产的治理难题。
什么样的迹象才真正说明有了进展
值得追踪的具体指标,比围绕这个话题的泛泛讨论要窄得多。
第一,后量子输出类型是否获得了明确的激活路径,而不是停留在草案规范阶段。一份被合并的BIP和一条被激活的共识规则是两个不同的里程碑,而经过核实的报道目前只能确认BIP-360在2025年被提出。它在Bitcoin Core中目前的实际状态,以及任何分阶段迁移提案的具体内容,仍是公开追踪信息中最核心的空白。
第二,所选定的签名方案是否连同正式的参数集和实测witness尺寸一并公开。在这些基准数据出现之前,任何关于后量子比特币吞吐能力的断言都仍属推测。Liquid网络已投入运行的基于哈希方案的部署,提供了最接近的实证参考,来自其中的关于签名性能和密钥状态跟踪的可核实数据,会比进一步的时间线预测更能推动这场技术辩论。
第三,大型托管机构是否公布带有明确日期的正式迁移时间表。深度机构储备的冷存储密钥轮换是这条路径上的关键环节,持有最大余额的机构面临着最迟缓的操作流程,同时也拥有最强的动机尽早启动。截至2026年年中,它们在公开讨论中的缺席,比非正式的开发者调查更能清楚说明近期迫切性的真实程度。
第四,休眠币问题是否找到一个正式的讨论场所。目前它没有。Pruden把自己关于币回收的提案作为个人立场提出,并指出这应由市场决定,这恰恰准确反映了目前不存在任何正式机制来做出这类决定。一次改变五百万枚币可花费性的共识变更,无法通过标准的软分叉激活周期来解决,而这场辩论缺乏一个讨论场所,这本身构成了比底层密码学难题更为紧迫的迁移障碍。
还有一处分析上的差异尚未解决。Pruden估计约有2.3万亿美元的数字资产处于风险之中,这是一个笼统的框定,没有给出具体方法论,与经常被引用的、专门针对量子暴露比特币的约7000亿美元估算形成对照。这两个数字评估的是不同范围的资产,而且都没有附带一份公开的账本核算,说明具体评估了哪些输出类型、截至哪个日期。任何评估风险敞口的机构,首先都需要这样一份核算基线,因为一场连确切参数都尚未测量清楚的迁移,很难做预算,也不可能可靠地排出时间表。
参考资料
Introducción
Mover un Bitcoin hacia un output resistente a la computación cuántica exige producir una firma de curva elíptica con la clave que un computador cuántico podría romper. Esa es la trampa estructural en el centro de todo plan de migración. Las monedas con la exposición más aguda son las que tienen dueños ausentes, y un dueño ausente no puede firmar una transacción de barrido. Ninguna cantidad de mejoras en wallets, coordinación con exchanges o actualizaciones del lado del cliente cambia esa realidad. Cualquier tratamiento a nivel de protocolo para esas monedas requiere una decisión de consenso, no una acción del usuario.
Alex Pruden, CEO de Project Eleven, planteó públicamente el argumento de coordinación en Consensus Miami a principios de mayo de 2026, y su formulación sirve de ancla para el problema: esta migración será más difícil que Taproot, porque Taproot era opcional y la adopción parcial era aceptable, mientras que una migración post-cuántica solo entrega su beneficio de seguridad si prácticamente todos participan. Situó el despliegue de Taproot en cerca de cinco años como referencia y argumentó que Bitcoin debería sacar un esquema de firma post-cuántico de la fase de investigación y llevarlo a producción antes de que se resuelvan los plazos de hardware, por motivos de riesgo asimétrico más que por pronósticos con certeza.
Nuestras fuentes sobre este tema llegan hasta principios de mayo de 2026 y siguen siendo más escasas de lo que el tema merece. BIP-360 se propuso en 2025 para agregar un tipo de output resistente a la computación cuántica, con estilo Taproot, y eso sí está documentado. Las afirmaciones que circulan sobre una fusión en Bitcoin Core en febrero de 2026, sobre la fase específica de una propuesta BIP complementaria de migración, sobre un resultado de Google Quantum AI en 2026 que reduciría la estimación de recursos necesarios para romper secp256k1, y sobre un equipo dedicado de Ethereum a temas post-cuánticos, no son cosas que pudiéramos verificar contra documentos primarios. Las tratamos como no confirmadas y razonamos a partir del mecanismo en su lugar, señalando cada vacío donde aparece. La mecánica de la exposición de claves públicas, de las transacciones de barrido, del peso de bloque y del modelo UTXO es verificable a partir del propio protocolo, y es ahí donde se ve dónde se rompe esta migración.
La exposición es despareja, y tiene que ver con las claves públicas
El algoritmo de Shor, publicado en 1994, es la razón por la que esto es una cuestión de ingeniería vigente y no una abstracción teórica. Un computador cuántico suficientemente capaz que lo ejecute podría derivar una clave privada a partir de una clave pública conocida en una curva elíptica como secp256k1. El activo relevante en riesgo, entonces, no es la dirección. Es la clave pública, y los tipos de output de Bitcoin difieren en si la publican o no.
Tres categorías importan. Los outputs pay-to-public-key tempranos, incluyendo los outputs coinbase asociados al patrón de minería Patoshi, llevan una clave pública sin procesar directamente en el script. Han estado a la vista desde 2009. Pay-to-public-key-hash y su variante witness publican solo un hash de la clave mientras está sin gastar, pero revelan la clave en el momento en que se gasta, así que cualquier dirección que alguna vez haya sido gastada y luego reutilizada queda totalmente expuesta. Los outputs Taproot comprometen una clave pública ajustada (tweaked) de 32 bytes directamente en el scriptPubKey, lo que significa que un output Taproot sin gastar está expuesto en su clave pública por construcción. El tipo de output diseñado más recientemente y de uso más amplio es, en este eje, uno de los menos protegidos.
La protección basada en hash es más débil de lo que parece a primera vista. No brinda secreto duradero; es una demora que dura exactamente hasta que el dueño intenta gastar. La transacción de gasto revela la clave pública y la firma en el mismo mensaje, y ese mensaje permanece en el mempool por un período antes de confirmarse. Pruden describió la condición de carrera resultante: una vez que exista un computador cuántico criptográficamente relevante, un atacante observando el mempool podría derivar la clave privada a partir de la clave pública revelada, construir una transacción competidora que se pague a sí mismo, adjuntar una comisión más alta y ganar la inclusión en el bloque antes que el dueño legítimo. La ventana de defensa es un intervalo de confirmación, y se reduce a medida que cae el tiempo de recuperación de clave del atacante.
Ese mecanismo tiene una implicancia inmediata para la secuencia de la migración. Un holder que espera hasta que se sepa que existe un computador cuántico y luego se apura a barrer sus monedas hacia un output resistente a la computación cuántica transmite exactamente la información que el atacante necesita, en el momento en que el atacante está observando. Los barridos deben ocurrir mientras la recuperación de claves siga siendo inviable, lo que significa que el momento de la migración no puede estar impulsado por evidencia de un ataque activo. Tiene que estar impulsado por un pronóstico, y ese pronóstico es disputado.
Pruden caracterizó el sentir de los desarrolladores de Bitcoin Core sobre la amenaza como mixto y no monolítico, con algunos colaboradores creyendo que los computadores cuánticos capaces nunca llegarán, frente a lo que describió como la opinión mayoritaria de los físicos de que sí llegarán y de que los plazos podrían estarse acortando. Ese desacuerdo no es un detalle menor. Una migración cuya justificación principal es una distribución de probabilidad sobre el avance del hardware no puede generar un plazo fijo solo con argumentos técnicos, y Bitcoin no tiene ningún mecanismo para imponer plazos por otros medios.
Lo que un tipo de output opcional resuelve y lo que no
El aporte de BIP-360, tal como se propuso en 2025, es un nuevo tipo de output que autentica los gastos con un esquema de firma post-cuántico en lugar de Schnorr o ECDSA. Conceptualmente, esta es la mitad manejable del problema. Agregar un tipo de output es un soft fork del tipo conocido. Los nodos que no se actualizan ven los gastos del nuevo tipo como gastables por cualquiera bajo las reglas antiguas, y dependen de los nodos actualizados para hacer cumplir las condiciones reales, el mismo patrón que se usó para lanzar SegWit y Taproot. Nada cambia respecto a los UTXO existentes. Las wallets que quieren usar el nuevo tipo lo usan; las que no, no.
No pudimos revisar el texto de especificación actual, y la selección precisa del esquema, el formato del script y el mecanismo de activación siguen siendo vacíos en nuestras fuentes, no hechos consolidados que estemos omitiendo. Lo que sí está documentado es la forma de la elección criptográfica. El NIST ha estandarizado familias de firmas post-cuánticas basadas en funciones hash y en retículas (lattices), y la discusión de los desarrolladores de Bitcoin supuestamente se ha inclinado hacia la opción basada en hash. Las razones expuestas no aparecen en nuestras fuentes, aunque el trade-off general es bien conocido en la literatura de criptografía: las construcciones basadas en hash descansan en suposiciones más débiles y antiguas sobre la seguridad de las funciones hash en lugar de en problemas de retículas estructuradas más nuevos, a costa de firmas más grandes y, en algunas construcciones, de un manejo con estado que complica la gestión de claves. El conservadurismo respecto a las suposiciones es una prioridad defendible para un protocolo cuyo modo de falla es irreversible.
Blockstream ya ha desplegado un esquema de firma basado en hash en la red Liquid, lo que le da al debate algo poco común en esta área: un sistema en producción que maneja valor real bajo un esquema post-cuántico, con comportamiento operativo observable. Liquid es una sidechain federada con un perfil de confianza y rendimiento muy distinto al de la capa base de Bitcoin, así que no puede responder preguntas sobre los mercados de comisiones en mainnet ni sobre el peso de bloque. Sí puede responder preguntas más acotadas sobre la madurez de la implementación, el desempeño de la firma y si el modelo de gestión de claves sobrevive al contacto con operaciones de custodia.
La parte que un tipo de output opcional no puede resolver es la cobertura. Toda moneda que no se mueva hacia un output resistente a la computación cuántica sigue expuesta, y nada en un soft fork de nuevo-tipo-de-output hace que las monedas se muevan. La migración del conjunto de UTXO existente es un problema separado con una economía política separada, y ahí es donde entran las propuestas de deprecación gradual de tipos de output antiguos. Nuestras fuentes no describen la fase de ninguna propuesta de ese tipo, y nos abstenemos de reconstruirla. La pregunta de mecanismo que vale la pena plantear con claridad es que cualquier deprecación real implica una regla de consenso que eventualmente rechace gastos ECDSA y Schnorr que de otro modo serían válidos. Esa es la única palanca de aplicación que tiene el protocolo, y destruye permanentemente la posibilidad de gastar cualquier cosa que quede atrás.
Lo opcional funciona hasta que las monedas no migradas se convierten en problema de todos
La adopción parcial de Taproot era tolerable porque el costo de no adoptarlo caía enteramente sobre quien no adoptaba, y era un costo leve: transacciones ligeramente más grandes, sin privacidad de script-path, sin agregación de claves. Las curvas de adopción podían extenderse durante años sin imponer externalidades a terceros.
La migración post-cuántica invierte esa dinámica. La pérdida de primer orden por permanecer en un tipo de output expuesto recae sobre el holder, pero los efectos de segundo orden no se quedan contenidos, y hay tres canales que los transmiten.
El primero es el colateral. BTCFi ha pasado años construyendo mercados de préstamos, sistemas de staking y representaciones envueltas sobre la base de que un UTXO de Bitcoin es un reclamo asentado. Un UTXO vulnerable a la computación cuántica usado como colateral es un reclamo con vencimiento probabilístico, y los protocolos que lo sostienen no tienen forma de fijarle precio a ese riesgo. Si la exposición de la base de colateral de un prestamista depende de si contrapartes ajenas completaron una rotación de claves, el estado de migración se convierte en un parámetro de crédito, y ningún protocolo de préstamos lo rastrea así hoy.
El segundo es la concentración custodial. Los exchanges y custodios mantienen monedas en estructuras de almacenamiento en frío diseñadas para acceso poco frecuente, a menudo configuraciones multisig con fragmentos de clave distribuidos geográficamente y ceremonias de firma que toman días. Rotar esas claves hacia un nuevo tipo de output no es una simple actualización de software; requiere repetir la ceremonia original de claves sobre todo el libro contable, más la reconciliación de prueba de reservas después. Las instituciones que sostienen las mayores concentraciones de monedas son las que operativamente se mueven más lento.
El tercero es monetario. Un robo exitoso de monedas dormidas desde hace mucho tiempo, en particular monedas atribuidas a Satoshi, no se leería como una pérdida aislada. Se leería como evidencia de que el calendario de emisión de Bitcoin y sus garantías de propiedad son condicionales, y el mercado repreciaría esa interpretación a lo largo de todas las monedas, migradas o no. Este canal convierte una decisión de seguridad individual en una colectiva, y por eso la migración voluntaria fracasa como defensa integral.
El argumento de asimetría de Pruden se desprende de esto. Esperar cuesta relativamente poco si el hardware cuántico se estanca, porque un tipo de output post-cuántico sin usar es una carga de mantenimiento modesta. Esperar cuesta mucho si el hardware llega mientras el conjunto de UTXO todavía está mayoritariamente en secp256k1, porque la migración misma se vuelve insegura una vez que los atacantes observan el mempool. El contraargumento merece una exposición justa: la historia de Bitcoin incluye una larga lista de amenazas pronosticadas con urgencia que no se materializaron en el plazo previsto, los cambios de consenso conllevan sus propios riesgos de cola, y un esquema elegido bajo presión de tiempo en 2026 podría resultar ser la opción equivocada para 2040. Los desarrolladores que creen que la amenaza es remota no están siendo descuidados al negarse a gastar ahora la capacidad limitada de coordinación de Bitcoin en esto. Están haciendo un cálculo distinto sobre cuál riesgo es mayor.
El barrido es la operación, y la operación tiene un costo
Una migración no es una actualización de software. Es un evento on-chain en el que una fracción grande del conjunto de UTXO se gasta hacia nuevos outputs, y de ahí se derivan restricciones específicas de orden.
El soporte de wallets y librerías debe llegar primero, porque nada río abajo puede moverse hasta que exista una implementación probada capaz de generar claves post-cuánticas, construir el nuevo tipo de output, firmar y verificar. Después vienen los firmantes de hardware, que tienen ciclos largos de revisión de firmware y, para esquemas basados en hash con estado, quizás necesiten un comportamiento de almacenamiento y seguimiento de estado que los dispositivos existentes no fueron diseñados para manejar. Sigue la infraestructura de hot wallet en los exchanges, que es la capa institucional más fácil de mover porque las claves ya están en línea. Luego vienen el almacenamiento en frío y la custodia, que son la capa institucional más lenta y sostienen los saldos más grandes. Finalmente, debe migrar la larga cola de monedas autocustodiadas en respaldos en papel, frases semilla heredadas y wallets dormidas. Inferimos esta secuencia a partir de la estructura de dependencia técnica y no la reportamos a partir de un plan publicado; ninguna fuente que revisamos especifica un orden operativo, y cualquier calendario real lo determinarían los participantes y no las reglas del protocolo.
Dos rasgos económicos de la fase de barrido merecen examen. Primero, representa un shock de demanda sobre el espacio de bloque concentrado en la ventana que la migración efectivamente ocupe. Cada UTXO que migra necesita un input, y la consolidación solo compensa parcialmente esa huella. Si existe un plazo de deprecación, los holders racionales esperan hasta cerca del corte, comprimiendo aún más la demanda y elevando las comisiones justo cuando los holders menos sofisticados intentan moverse. Segundo, la transacción de barrido revela la clave pública antigua, así que un holder que migra tarde queda expuesto durante el intervalo en que es más probable que existan capacidades de ataque. Migrar tarde es más caro y menos seguro al mismo tiempo, lo que crea una penalidad pronunciada para quien pierda la ventana.
El tamaño de la firma choca con un peso de bloque fijo
El límite de peso de bloque de Bitcoin no se ajusta para acomodar un esquema de firma más pesado. Las firmas Schnorr bajo Taproot pesan 64 bytes, y un gasto de key-path con una sola entrada y una sola salida está entre las transacciones más pequeñas que soporta el protocolo. Los esquemas de firma post-cuántica, tanto en las familias basadas en hash como en las basadas en retículas estandarizadas por el NIST, llevan firmas sustancialmente más grandes y, en varios casos, claves públicas también más grandes. No tenemos cifras verificadas para los conjuntos de parámetros específicos que se consideran para Bitcoin, y citar tamaños para un esquema no confirmado sería irresponsable. La conclusión direccional se sostiene sin las cifras exactas.
Se derivan dos efectos distintos. La migración misma es un costo puntual: un gran volumen de transacciones que gastan outputs antiguos, cada una todavía autenticada con una firma compacta ECDSA o Schnorr, lo que significa que la fase de barrido es cara sobre todo por la cantidad de transacciones y no por el tamaño de la firma. El costo permanente llega después, cuando cada gasto desde un output resistente a la computación cuántica lleva la firma más grande en su witness. Las transacciones efectivas por bloque caen en la proporción que imponga el nuevo dato de witness, y la comisión requerida para ocupar una fracción dada del espacio de bloque sube correspondientemente. El descuento de witness introducido con SegWit suaviza esto, dado que los datos de witness se ponderan a un cuarto respecto a los datos que no son de witness, pero no elimina la sobrecarga.
Las consecuencias van más allá de los niveles de comisión en la capa base. Las operaciones de canales Lightning, las construcciones coinjoin y los esquemas de batching con muchas entradas escalan todos su huella on-chain con el tamaño por firma. El multisig sufre el aumento más agudo, dado que una estructura de umbral multiplica la cantidad de firmas. Si las firmas post-cuánticas resultan suficientemente grandes, algunas configuraciones multisig que hoy son económicamente rutinarias se vuelven lo bastante caras como para alterar cómo se estructura la custodia, empujando a los holders institucionales hacia quorums de firma más pequeños en número pero más grandes en tamaño, o hacia esquemas de agregación que quizás todavía no existan para la primitiva elegida. Modelar esto correctamente requiere el conjunto de parámetros real y un supuesto sobre la composición del UTXO migrado. Ninguno de los dos está disponible, y el costo de rendimiento (throughput) de un Bitcoin post-cuántico sigue sin cuantificarse en la investigación pública.
Cinco millones de monedas que nadie puede mover
En el relato de CoinDesk sobre las declaraciones de Pruden aparece una cifra de más de cinco millones de monedas dormidas, atribuida a una persona identificada solo como Harper e incluyendo monedas del patrón Patoshi. No tenemos metodología para esa cifra ni confirmación independiente, y las definiciones de dormancia varían mucho según la ventana de retrospección elegida, así que la tratamos como una indicación de orden de magnitud y no como una medición precisa. La afirmación cualitativa es defendible de todos modos: un bloque grande y monetariamente significativo de monedas está en tipos de output que publican claves públicas y no se ha movido en más de una década.
Por definición, esas monedas no pueden migrar. Migrar requiere una firma; una firma requiere una clave; una moneda dormida porque la clave se perdió sigue dormida. El conjunto de monedas que seguirá vulnerable a la computación cuántica después de cualquier migración voluntaria es, entonces, casi idéntico al conjunto de monedas cuyos dueños ya no están. Toda opción de política es una decisión sobre qué hacer con ellas.
Dejarlas intactas significa que quien construya primero un computador cuántico criptográficamente relevante puede gastarlas. Existe un argumento, que no aparece en ninguna fuente revisada y que presentamos como una postura teórica abierta, de que esto es consistente con el diseño sin permisos de Bitcoin. Históricamente, las monedas han ido a parar a quien resolviera el problema computacional aplicable, como ocurre con la minería de prueba de trabajo. El contraargumento es directo: la minería asigna monedas de nueva emisión bajo reglas establecidas de antemano; un ataque cuántico reasigna monedas ya poseídas, bajo reglas que nadie acordó, y la primera entidad con una máquina capaz tiene muchas más probabilidades de ser un Estado-nación o una gran empresa que un usuario individual. Eso no representa un resultado sin permisos.
Congelarlas requiere una regla de consenso que rechace aceptar gastos desde tipos de output vulnerables a la computación cuántica después de una altura de bloque designada, protegiendo la oferta dormida del robo al volverla permanentemente no gastable. La narrativa de oferta fija se mantiene intacta porque no se crea ninguna moneda, pero un cambio de regla de protocolo despoja permanentemente de derechos de gasto a outputs identificables. Si más adelante se recupera legítimamente una clave privada, las monedas siguen bloqueadas.
La preferencia del propio Pruden es una tercera opción. Argumentó a favor de permitir que las monedas dormidas se reciclen de vuelta hacia el final de la curva de oferta, extendiendo los incentivos de los mineros después de que el subsidio se acerque a cero, y caracterizó esto explícitamente como confiscación, subrayando que el mercado y la comunidad deben decidir. El atractivo de ingeniería es claro: el presupuesto de seguridad de largo plazo de Bitcoin depende de que los ingresos por comisiones reemplacen el subsidio de bloque, una transición que no tiene un resultado comprobado. Reciclar monedas dormidas convierte una vulnerabilidad cuántica en décadas de emisión adicional para financiar el hashrate.
El costo es que sienta un precedente de que el protocolo puede reasignar la propiedad de saldos específicos cuando existe una razón convincente. La credibilidad monetaria de Bitcoin no descansa solo en el tope de 21 millones; descansa en la garantía de que las reglas de consenso no reasignan saldos. Un precedente donde dormancia más vulnerabilidad justifica la reasignación invita a futuros argumentos sobre otras justificaciones. Sobre cuál opción daña menos la credibilidad monetaria, congelar ofrece un precedente más acotado que reciclar, porque elimina la posibilidad de gasto sin transferirle valor a nadie, y porque un output congelado podría en teoría descongelarse mediante un cambio de regla posterior, mientras que las monedas reemitidas no se pueden retirar. Congelar de todos modos exige decidir de quién son las monedas que se congelan, y cualquier umbral trazado por tipo de dirección o antigüedad corre el riesgo de atrapar a holders activos que simplemente estaban inactivos.
Esta dinámica hace que la comparación con Taproot sea especialmente clara en la dirección que Pruden pretendía. Taproot era un problema de ingeniería complejo con un consenso social directo. La migración post-cuántica es un problema de ingeniería complejo atado a una pregunta social que Bitcoin nunca ha resuelto, y la decisión no puede postergarse indefinidamente, porque dejarla sin abordar equivale, por defecto, a dejar que un atacante la resuelva.
Por qué el modelo UTXO hace esto más difícil que un modelo de cuentas
La diferencia estructural entre Bitcoin y las cadenas basadas en cuentas explica por qué la misma amenaza criptográfica produce desafíos de migración fundamentalmente distintos. Para ser explícitos sobre el límite de nuestra evidencia: las afirmaciones sobre un equipo dedicado de Ethereum a temas post-cuánticos y hojas de ruta específicas de migración por abstracción de cuentas no están confirmadas en nuestras fuentes, y razonamos estrictamente a partir de los modelos de datos subyacentes y no reportando cronogramas específicos de proyectos.
En Bitcoin, la condición de autenticación es parte del output mismo. Un UTXO es un script combinado con un monto de valor, y el único mecanismo para cambiar cómo se autentica ese valor es gastarlo y construir un nuevo output con un script distinto. No existe ninguna operación de protocolo para modificar la condición de gasto de una moneda dejando el UTXO en su lugar. El gasto requiere la firma con la clave privada existente, lo que constituye el núcleo de la trampa de vulnerabilidad, y requiere un dueño activo.
En un modelo de cuentas, el saldo reside en un identificador persistente, y la lógica de autenticación es un estado asociado a ese identificador. Si esa lógica se ejecuta como código de contrato inteligente en lugar de como una regla de protocolo fija, el método de verificación puede actualizarse mientras el saldo permanece estacionario. Las cuentas de contrato inteligente ya usan esta capacidad para rotar firmantes y alterar la lógica de verificación sin mover los activos subyacentes. Una actualización post-cuántica para una cuenta así es una migración de lógica y no una transferencia de fondos, lo que elimina la presión de comisiones de un barrido masivo y evita la necesidad de transmitir una clave pública antigua expuesta.
Tres salvedades impiden que esto sea una solución completa. Las cuentas de propiedad externa (externally owned accounts), donde la regla de autenticación está fijada a nivel de protocolo como ECDSA, enfrentan el mismo desafío fundamental que Bitcoin y siguen representando una porción sustancial del valor en redes basadas en cuentas. La lógica de autenticación actualizable introduce su propia superficie de ataque, y un mecanismo de actualización que un atacante cuántico pudiera manipular presenta riesgos severos. Finalmente, en ambas arquitecturas, un dueño que perdió sus claves no puede iniciar una actualización, lo que significa que el dilema de las monedas dormidas persiste en ambos paradigmas. El modelo de cuentas simplifica la ruta de migración para los holders activos, pero no resuelve el dilema de gobernanza para los activos abandonados.
Qué indicaría avance real
Los indicadores concretos que vale la pena monitorear son más acotados que la discusión general a su alrededor.
Primero, si un tipo de output post-cuántico recibe una ruta de activación concreta en lugar de seguir siendo una especificación en borrador. Un BIP fusionado y una regla de consenso activa son hitos distintos, y el reporte verificado solo confirma que BIP-360 se propuso en 2025. La confirmación de su estado actual en Bitcoin Core, junto con los detalles de cualquier propuesta de migración por fases, sigue siendo el vacío central en el seguimiento público.
Segundo, si el esquema de firma seleccionado se publica con conjuntos de parámetros formales y tamaños de witness empíricos. Hasta que estos parámetros de referencia estén disponibles, las afirmaciones sobre la capacidad de throughput de un Bitcoin post-cuántico siguen siendo especulativas. El despliegue operativo basado en hash de Liquid ofrece la referencia empírica más cercana, y datos verificables provenientes de él sobre desempeño de firma y seguimiento de estado de clave informarían el debate técnico más que nuevos pronósticos de plazos.
Tercero, si los grandes custodios publican calendarios formales de migración con fechas explícitas. La rotación de claves en almacenamiento en frío a través de reservas institucionales profundas representa el camino crítico, y las instituciones que gestionan los saldos más grandes enfrentan los procedimientos operativos más lentos junto con los incentivos más fuertes para empezar temprano. Su ausencia en las discusiones públicas hasta mediados de 2026 da una señal más clara de urgencia a corto plazo que las encuestas informales de desarrolladores.
Cuarto, si la cuestión de las monedas dormidas encuentra un espacio institucional de discusión. Actualmente no tiene ninguno. Pruden presentó su propuesta de reciclaje de monedas como una postura individual y señaló que el mercado decidiría, lo que refleja con precisión que no existe ningún mecanismo formal para tomar tal determinación. Un cambio de consenso que altere la posibilidad de gasto de cinco millones de monedas no puede resolverse mediante un ciclo estándar de activación de soft fork, y la ausencia de un foro para ese debate representa una limitación más inmediata para la migración que los propios desafíos criptográficos subyacentes.
Queda sin resolver una discrepancia analítica. La estimación de Pruden de aproximadamente $2.3 billones en activos digitales en riesgo representa un encuadre amplio sin metodología articulada, y contrasta con la estimación de aproximadamente $700.000 millones citada con frecuencia para Bitcoin específicamente expuesto a la computación cuántica. Estas dos cifras evalúan alcances de activos distintos, y ninguna viene acompañada de una contabilidad pública de libro mayor que especifique qué tipos de output se evaluaron y en qué fecha. Cualquier institución que evalúe el riesgo de exposición necesita esa línea base contable primero, porque una migración cuyos parámetros exactos siguen sin medirse es difícil de presupuestar e imposible de programar con fiabilidad.
Referencias
Read next다음으로 읽기次に読む继续阅读Leer a continuación
Follow the next market structure breakdown 다음 시장 구조 분석 받기 次の市場構造分析をフォロー 关注下一篇市场结构分析 Sigue el próximo análisis de estructura de mercado
New Steadyrain research is published several times a week across DeFi risk, BTCFi, stablecoins, and RWA. Steadyrain은 DeFi 리스크, BTCFi, 스테이블코인, RWA 분석을 매주 여러 차례 발행합니다. SteadyrainはDeFiリスク、BTCFi、ステーブルコイン、RWAの分析を毎週公開しています。 Steadyrain 每周发布 DeFi 风险、BTCFi、稳定币和 RWA 研究。 Steadyrain publica análisis sobre riesgo DeFi, BTCFi, stablecoins y RWA varias veces por semana.