Una computadora cuántica suficientemente avanzada podría comprometer las firmas que protegen determinados bitcoins. El peligro no es inmediato, pero cualquier migración exigiría años de preparación y decisiones controvertidas sobre fondos inactivos, claves expuestas y reglas de consenso.
La computación cuántica todavía no puede vulnerar Bitcoin, pero las investigaciones publicadas en 2026 han reducido las estimaciones sobre los recursos que necesitaría una máquina futura para atacar la criptografía de curva elíptica utilizada por la red.
El problema no implica que Bitcoin vaya a desaparecer repentinamente. La amenaza consiste en que una computadora cuántica tolerante a fallos pueda llegar a obtener claves privadas a partir de claves públicas antes de que usuarios, desarrolladores, exchanges, custodios y operadores de nodos hayan completado una migración criptográfica.
Ese cambio no sería una actualización convencional. Afectaría la forma en que se autorizan las transacciones, el tamaño de las firmas, las comisiones, el funcionamiento de las wallets y, especialmente, el tratamiento de millones de bitcoins que llevan años sin moverse.
Qué parte de Bitcoin podría romper una computadora cuántica
Bitcoin ha utilizado tradicionalmente firmas ECDSA sobre la curva secp256k1. Desde la activación de Taproot también admite firmas Schnorr basadas en esa misma curva. Ambos sistemas dependen de que resulte computacionalmente inviable calcular una clave privada a partir de su clave pública.
En ese escenario, un atacante que conociera la clave pública asociada a unas monedas podría intentar reconstruir la clave privada y firmar una transacción no autorizada. Google Quantum AI publicó en marzo de 2026 nuevas estimaciones para este ataque:
No todos los bitcoins tienen la misma exposición
El nivel de riesgo depende del tipo de salida en el que estén depositadas las monedas y de si su clave pública ya es visible. Elige un tipo para ver su exposición:
La red guarda inicialmente un hash de la clave pública, que suele revelarse solo al gastar las monedas. Eso añade una capa frente a ataques prolongados mientras la clave permanezca oculta — aunque no protege una transacción durante el periodo en que espera confirmación en la mempool.
La reutilización de direcciones elimina esa protección. Cuando una clave pública ya se ha revelado, cualquier otra salida controlada por la misma clave puede quedar expuesta durante un periodo indefinido.
La clave pública de salida de Taproot forma parte del scriptPubKey y está visible desde que se crea la salida. Esto no significa que Taproot sea inseguro hoy, pero sí que sus salidas serían objetivos de exposición prolongada frente a una futura computadora cuántica.
Las estimaciones sobre la cantidad comprometida varían considerablemente:
El riesgo para las firmas no equivale al riesgo para la minería
La discusión pública suele mezclar dos problemas diferentes. Shor amenaza la criptografía de clave pública; Grover, otro algoritmo cuántico, actúa sobre las funciones hash de la minería, pero con un alcance mucho menor.
🔓 Firmas — riesgo prioritario
Algoritmo de Shor · mejora exponencialAmenaza la criptografía de clave pública que demuestra la propiedad de las monedas. Permitiría falsificar firmas y mover bitcoins ajenos. Es el vector de riesgo dominante.
⛏️ Minería — riesgo secundario
Algoritmo de Grover · mejora solo cuadráticaAceleraría búsquedas sobre funciones hash, pero sin el salto de Shor. Un estudio de marzo de 2026 estima que dominar la minería exigiría una infraestructura extraordinaria; además, la dificultad se reajusta con la potencia de la red.
Las propuestas: BIP-360 y BIP-361
Bitcoin ya tiene posibles barreras en desarrollo, aunque ninguna ha sido aprobada ni activada. Ambas permanecen en estado de borrador; su publicación no implica consenso ni posición oficial de la red.
Una primera barrera: salidas P2MR
Propone, mediante una bifurcación suave, un nuevo tipo de salida Pay-to-Merkle-Root. Elimina la vía de gasto por clave de Taproot y conserva los árboles de scripts, protegiendo frente a ataques de exposición prolongada. No impediría necesariamente un ataque rápido contra una clave revelada mientras la transacción está en la mempool: para eso harían falta firmas auténticamente poscuánticas.
Retirar gradualmente las firmas antiguas
Aborda lo más controvertido: qué hacer con las salidas que sigan dependiendo de ECDSA o Schnorr. Primero impediría enviar nuevos fondos a direcciones vulnerables; después restringiría el gasto con firmas antiguas e introduciría un protocolo de rescate resistente a lo cuántico. Depende de otra BIP aún no definida que aporte las firmas poscuánticas.
El NIST ya ofrece algoritmos, pero integrarlos en Bitcoin es otra tarea
El Instituto Nacional de Estándares y Tecnología de EE. UU. finalizó en agosto de 2024 sus primeros tres estándares de criptografía poscuántica. Con una precisión importante: no son tres estándares de firma.
ML-KEM
Mecanismo de encapsulación de claves (no es una firma).
ML-DSA
Esquema de firma basado en retículos.
SLH-DSA
Esquema de firma basado en funciones hash.
La red tendría que definir qué esquemas aceptar, cómo introducirlos, cuánto costarían las transacciones y durante cuánto tiempo convivirían con las firmas actuales. También tendría que determinar qué ocurriría con los fondos cuyos propietarios nunca realicen la migración.
Las monedas perdidas crean el conflicto más difícil
Una transición voluntaria permitiría que los usuarios activos trasladaran sus bitcoins a salidas resistentes. El conflicto surge con las monedas perdidas, las wallets abandonadas y los fondos cuyos propietarios no puedan o no quieran actuar.
¿Se congelan las monedas abandonadas para evitar el robo, o se mantienen disponibles aunque eso permita reconstruir sus llaves?
Mantener las reglas antiguas podría permitir que una máquina futura reclamara esas monedas; restringirlas evitaría el robo, pero impediría a un dueño legítimo que regresara años después gastarlas con normalidad.
Los fondos tempranos que habitualmente se atribuyen a Satoshi Nakamoto serían uno de los casos más sensibles, aunque la atribución de direcciones concretas no siempre puede establecerse con certeza. Una intervención sobre esos bitcoins alteraría expectativas de propiedad y tendría consecuencias económicas y políticas para toda la red. El propio trabajo de Google señala que las monedas abandonadas requieren no solo una solución técnica, sino una discusión pública sobre recuperación, destrucción o inmovilización de activos vulnerables.
Qué pueden hacer los usuarios mientras continúa el debate
No existe actualmente una ruta de migración poscuántica aprobada para Bitcoin. Tampoco hay motivos técnicos para realizar transferencias precipitadas o reaccionar ante anuncios no verificados. Las medidas prudentes:
- Evitar la reutilización de direcciones.
- Mantener actualizadas las wallets.
- Conservar copias de seguridad.
- Seguir únicamente instrucciones de desarrolladores y proveedores reconocidos.
- Ante una futura migración, verificar que herramientas, direcciones y comunicaciones sean auténticas (el phishing intentará aprovechar el cambio).
Los custodios y exchanges enfrentan una tarea mayor: identificar qué tipos de salidas controlan, estimar cuánto tardarían en mover sus reservas, probar nuevos sistemas de firma y planificar la migración sin producir errores operativos ni congestión innecesaria.
Cuándo podría llegar el llamado Q-Day
No existe una fecha aceptada para el momento en que una computadora cuántica pueda romper criptografía de curva elíptica a escala práctica. Un modelo preliminar publicado en junio de 2026 estimó estas probabilidades:
La incertidumbre depende de múltiples variables: corrección de errores, fidelidad de los qubits, velocidad de las puertas, arquitectura del equipo, costos operativos y tiempo requerido para completar un ataque. La cuestión crítica es que una migración global también podría tardar años. El periodo de preparación no comienza cuando una clave haya sido vulnerada públicamente, sino cuando existan alternativas suficientemente maduras para auditarlas, incorporarlas al protocolo y desplegarlas sin romper el consenso.
Qué observar a continuación
Los elementos más importantes serán la evolución de las BIP-360 y BIP-361, la aparición de una propuesta concreta de firmas poscuánticas, las auditorías de sus implementaciones y las pruebas realizadas por wallets, custodios y exchanges. También será necesario observar si la comunidad acepta una fecha límite para las firmas actuales y qué tratamiento propone para las monedas que no migren voluntariamente.
Bitcoin no enfrenta una sentencia de muerte inmediata. Enfrenta una prueba de anticipación y coordinación.
La criptografía alternativa ya existe, pero convertirla en reglas aceptadas por una red descentralizada será probablemente más difícil que seleccionar un nuevo algoritmo. El peligro no está solo en la potencia de una computadora futura, sino en llegar a ese momento sin una ruta técnica auditada y sin un acuerdo legítimo sobre quién puede mover las monedas que permanezcan atrás.
Aviso: este contenido tiene fines informativos y no constituye asesoría financiera.
El experimento de las llaves que el futuro podría copiar
Bienvenido a Laboratorio Cripto.
Hoy no colocaremos el precio de Bitcoin bajo el microscopio. Tampoco examinaremos gráficos, predicciones ni escenarios donde una computadora cuántica destruye la red en segundos.
Hoy observaremos algo más delicado: las llaves que demuestran quién puede mover cada bitcoin.
Imaginemos millones de cápsulas digitales cerradas con cerraduras matemáticas. Durante años, ningún equipo tradicional ha podido reconstruir una llave privada observando su versión pública. Esa dificultad protege la propiedad dentro del sistema.
Pero introduzcamos una nueva variable: una computadora cuántica suficientemente avanzada.
Con el algoritmo de Shor, esa máquina podría intentar reconstruir ciertas llaves privadas a partir de claves públicas expuestas. No podría hacerlo actualmente, pero nuevas investigaciones han reducido las estimaciones sobre los recursos que podría necesitar una máquina futura.
Bitcoin ya tiene posibles barreras en desarrollo. La BIP-360 propone un nuevo tipo de salida que reduce la exposición prolongada de determinadas claves. La BIP-361 intenta ir más lejos: retirar gradualmente las firmas antiguas y crear mecanismos para rescatar fondos legítimos. Ninguna de las dos propuestas ha sido activada ni representa todavía un acuerdo definitivo de la red.
Entonces aparece la verdadera reacción.
¿Qué ocurre con las monedas cuyos propietarios nunca migran? ¿Se congelan para evitar que una máquina futura las robe? ¿Se mantienen disponibles, aunque eso permita que alguien reconstruya sus llaves? ¿Quién decide cuándo una moneda abandonada deja de pertenecer a su dueño?
La criptografía poscuántica ya ofrece herramientas, incluidas firmas estandarizadas por el NIST. Pero instalar una nueva cerradura es más sencillo que convencer a toda una red descentralizada de qué hacer con las puertas antiguas.
La amenaza cuántica no demuestra que Bitcoin esté a punto de romperse.
Demuestra que incluso un sistema sin autoridad central necesita coordinación cuando las matemáticas que protegen la propiedad comienzan a envejecer.
En este experimento, el desafío más difícil quizá no sea construir una computadora capaz de copiar las llaves.
Será conseguir que millones de participantes acepten cambiar las cerraduras antes de que esa computadora exista.