Q-Day: o Bitcoin na corrida contra o computador quantico
A criptografia que protege quase US$ 470 bilhoes em Bitcoin tem prazo de validade. A questao nao e se a fechadura sera arrombada — e se trocamos a tempo.
- O Bitcoin se apoia em dois pilares matematicos: a assinatura ECDSA (que prova que a moeda e sua) e o hash SHA-256 (a mineracao). O computador quantico ameaca sobretudo o primeiro.
- A Glassnode estima que cerca de 6 milhoes de BTC — perto de 30% da oferta, ou ~US$ 469 bilhoes — estao em enderecos cuja chave publica ja foi revelada e, portanto, exposta a um ataque futuro.
- Em 2026, o Google Quantum AI reduziu a estimativa de qubits necessarios para quebrar a assinatura do Bitcoin de ~20 milhoes para menos de 500 mil. O maior processador publico conhecido tem ~1.500.
- A rede ja reage: BIP-360 e BIP-361, custodia pos-quantica em corretoras e padroes do NIST. O desafio e migrar ~6 milhoes de BTC — incluindo os de Satoshi — sem quebrar o que torna o Bitcoin o Bitcoin.
A fechadura invisivel que protege cada satoshi
Quando voce guarda Bitcoin, nao guarda um arquivo com moedas dentro. Guarda uma chave privada: um numero secreto a partir do qual se deriva, por uma funcao de mao unica, uma chave publica e um endereco. Gastar uma moeda significa produzir uma assinatura digital que prova, sem revelar o segredo, que voce conhece a chave privada correspondente. O algoritmo que faz isso no Bitcoin chama-se ECDSA, assentado sobre a curva eliptica secp256k1.
A seguranca de tudo isso repousa sobre uma assimetria: derivar a chave publica a partir da privada e trivial, mas o caminho inverso — descobrir a chave privada a partir da publica — exigiria, de um computador classico, mais tempo do que a idade do universo. Nao e um segredo bem escondido; e um segredo matematicamente caro de encontrar. Toda a confianca na autocustodia, no fundo, e confianca de que esse problema continua caro.
Em 1994, o matematico Peter Shor mostrou que um computador quantico suficientemente grande resolveria exatamente esse tipo de problema — fatoracao e logaritmo discreto — em tempo util. O algoritmo de Shor nao tornaria a chave privada um pouco mais facil de achar: a tornaria encontravel. A fechadura que custa um universo para um computador comum custaria minutos para a maquina certa.
Nem toda moeda corre o mesmo risco
Aqui mora uma distincao que separa o panico da prudencia. Sua chave publica so fica exposta depois que voce gasta de um endereco — e nos formatos mais antigos (P2PK), ela sempre esteve a vista na blockchain. Enquanto um endereco nunca foi movimentado, o que aparece publicamente e apenas o hash da chave publica, protegido por uma segunda camada que o computador quantico quase nao arranha.
Por isso as estimativas de exposicao variam tanto, e e honesto mostrar o leque. A Glassnode calcula cerca de 6,04 milhoes de BTC vulneraveis (chaves em enderecos P2PK somadas as de enderecos reutilizados). A Deloitte fala em ~4 milhoes (cerca de 25% da oferta em circulacao). A corretora de analise K33 estimou, em dezembro de 2025, ate ~6,8 milhoes. A Benchmark, mais cautelosa, fala em apenas 1 a 2 milhoes realmente expostos. Nao ha consenso no numero — ha consenso de que o numero nao e pequeno.
Cerca de 1,1 milhao de BTC atribuidos a Satoshi Nakamoto estao em enderecos P2PK antigos, com a chave publica exposta desde 2009. Jamais foram movimentados — e, se a lenda for verdade, jamais serao defendidos. Sao o alvo mais simbolico e mais indefeso de todos: a prova de que, numa blockchain imutavel, o passado nao pode ser corrigido, apenas superado.
Colher agora, decifrar depois
O Bitcoin tem uma vulnerabilidade que nenhum banco possui: seu livro-razao e publico e permanente. Um adversario — um Estado, por exemplo — nao precisa esperar o computador quantico para comecar. Pode copiar hoje todas as chaves publicas ja reveladas e guarda-las, aguardando o dia em que a maquina exista. E a estrategia chamada harvest now, decrypt later (colher agora, decifrar depois).
Em criptografia tradicional, voce pode trocar as chaves e tornar o material colhido inutil. No Bitcoin, a chave publica ja esta gravada em pedra na blockchain e nao pode ser apagada. Um artigo do Federal Reserve em 2025 e alertas de agencias de inteligencia ocidentais ja tratam essa coleta antecipada como algo em curso, nao hipotetico. O relogio do Q-Day, portanto, comecou a contar antes de o Q-Day chegar.
Quantos qubits para arrombar a porta?
A boa noticia e que estamos muito longe da maquina necessaria — e vale medir essa distancia com numeros, nao com adjetivos. Em 2019, Craig Gidney e Martin Ekera estimaram que quebrar a secp256k1 exigiria cerca de 20 milhoes de qubits fisicos. Em 2026, novas tecnicas do Google Quantum AI derrubaram essa conta para menos de 500 mil — uma reducao de cerca de 20 vezes — e um estudo de Cain e colegas sugeriu arquiteturas de atomos reconfiguraveis que precisariam de ainda menos. O alvo esta encolhendo.
Mas a realidade do hardware ainda esta a eras de distancia. O chip Willow, do Google (dezembro de 2024), tinha 105 qubits; o maior processador publicamente conhecido em 2026 ronda os 1.500. Em abril de 2026, o pesquisador Giancarlo Lelli quebrou uma chave de curva eliptica de 15 bits em hardware quantico acessivel e levou o premio de 1 BTC do Q-Day Prize, do Project Eleven. Impressionante — e, ao mesmo tempo, revelador da escala do abismo: a chave do Bitcoin tem 256 bits, e cada bit a mais dobra a dificuldade. De 15 para 256 bits nao e uma escada; e um precipicio.
Q-Day: a data que ninguem sabe marcar
Quando chega o computador quantico capaz? Aqui as vozes mais respeitadas divergem tanto que a propria divergencia e a informacao mais util. A orientacao da NSA (2022) projeta uma maquina criptograficamente relevante entre 2030 e 2035; o Quantum Threat Timeline do Global Risk Institute (2024) ve mais de 50% de probabilidade ate 2035. Ja a Benchmark, em janeiro de 2026, classificou a ameaca como “long-dated and manageable” — de prazo longo e administravel, “decadas, nao anos”. Adam Back estima “20 a 40 anos, se tanto”; Chamath Palihapitiya, no extremo oposto, falou em “2 a 5 anos”.
O investidor sofisticado faz aqui o que faz com qualquer risco de cauda: nao confunde incerteza sobre a data com duvida sobre a direcao. Que a maquina chegue em 2032 ou em 2045 muda o cronograma, nao o dever de casa. E, dada a estrategia do “colher agora”, a defesa precisa estar pronta antes, nao depois.
Trocar a fechadura sem parar o trem
A engenharia da defesa ja existe. Em agosto de 2024, o NIST publicou os primeiros padroes de criptografia pos-quantica — ML-KEM (FIPS 203), ML-DSA (FIPS 204) e SLH-DSA (FIPS 205) — esquemas baseados em reticulados e em hashes que resistem tanto ao computador classico quanto ao quantico. No Bitcoin, a proposta BIP-360 (de Hunter Beast e coautores, incorporada ao repositorio de BIPs em fevereiro de 2026) desenha enderecos resistentes; a BIP-361, rascunhada por Jameson Lopp em abril de 2026, propoe aposentar em fases as assinaturas antigas.
O mercado tambem se mexe por conta propria. O conselho consultivo quantico da Coinbase (abril de 2026, com nomes como Scott Aaronson e Dan Boneh) concluiu que a maquina sera construida um dia e que a migracao deve comecar agora, prometendo custodia “quantum-proof” ate o fim de 2026. A Ethereum Foundation montou um time pos-quantico com premio de US$ 1 milhao; Vitalik Buterin desenhou um roteiro mirando resistencia por volta de 2030. Nem tudo e calma: o estrategista Christopher Wood, da Jefferies, chegou a retirar o Bitcoin de sua carteira-modelo chamando o risco de “existencial”.
A migracao esbarra num problema que e menos de engenharia e mais de filosofia politica. Para blindar a rede, uma proposta como a BIP-361 pode exigir congelar as moedas que nao migrarem — inclusive as perdidas e as de Satoshi — antes que um atacante as roube. Mas confiscar, ainda que para proteger, colide com o principio que da sentido ao Bitcoin: ninguem pode tomar o que e seu num livro imutavel. Ha quem prefira o risco do roubo a abrir esse precedente. A resposta ate aqui tem sido descentralizada e voluntaria — propostas, debate, adesao de custodiantes —, e ha merito nisso; o contraponto e que a coordenacao de ~6 milhoes de BTC sem uma autoridade central e, justamente, o problema mais dificil de todos.
A confianca como matematica datada
Ha uma licao mais funda sob a tecnica. O Bitcoin costuma ser descrito como “confianca sem intermediarios”, mas isso nunca foi confianca em ninguem — foi confianca na dificuldade de um problema matematico num dado momento da historia da computacao. E dificuldades matematicas nao sao leis eternas; sao fronteiras moveis. O que Shor mostrou em 1994 e que a muralha tinha, desde o inicio, uma data de validade escrita em tinta invisivel.
O que distingue um sistema fragil de um resiliente nao e nunca ser ameacado — e saber trocar de pele enquanto corre. O Bitcoin ja fez isso antes, com o Taproot, sem traumas. A ameaca quantica e, nesse sentido, menos um apocalipse anunciado e mais um teste de governanca: a prova de que uma rede sem dono consegue decidir, a tempo, abandonar a propria fechadura que a protegeu por quinze anos. Quem acompanha cripto com seriedade nao perde noites com o Q-Day. Perde-as, talvez, com a pergunta de quem tera coragem de assinar a troca.
- O computador quantico ameaca sobretudo a assinatura do Bitcoin (ECDSA), nao tanto a mineracao (SHA-256). Entender essa diferenca ja separa o leitor informado do alarmista.
- O risco e real, mas desigual: moedas em enderecos nunca reutilizados e com chave publica nao revelada estao muito mais protegidas. Reutilizar endereco e, hoje, um habito a abandonar.
- A distancia entre os ~1.500 qubits de hoje e os ~500 mil estaveis necessarios e enorme — mas a estrategia de colher agora significa que a defesa precisa vir antes da ameaca.
- A pergunta decisiva nao e tecnica (a fechadura pos-quantica existe), e politica: como migrar ~6 milhoes de BTC, incluindo moedas perdidas, sem ferir o principio da imutabilidade.