El Q-Day aún no tiene fecha: por qué QRL se adelantó

1. La amenaza es un problema de firmas, no una cadena rota

La pregunta clave no es si la computación cuántica destruirá Bitcoin, sino qué supuesto atacaría. Bitcoin valida su propiedad mediante firmas digitales: ECDSA para transferencias heredadas y SegWit, y Schnorr para Taproot, ambas sobre la curva secp256k1. Una computadora cuántica tolerante a fallos con el algoritmo de Shor resolvería el logaritmo discreto y derivaría claves privadas de claves públicas expuestas. Esto permitiría forjar pagos, sin alterar bloques pasados ni revertir hashes SHA-256.^[1][2]

Esta vulnerabilidad convierte las direcciones en una frontera de seguridad crítica. En salidas heredadas P2PKH y SegWit P2WPKH, el libro mayor registra solo un hash de la clave pública hasta el gasto. Si una dirección no se reutiliza, un atacante pierde su ventana al confirmarse el bloque. La reutilización expone permanentemente claves públicas de saldos no gastados, mientras que los formatos P2PK originales las exponían desde su creación.^[2][1]

Taproot adopta un compromiso de diseño diferente. Su testigo de 32 bytes incluye directamente la clave pública de salida, mejorando la verificación y la uniformidad de scripts. Los autores del BIP 341 señalaron que el hash de claves públicas ofrece una defensa débil: las transacciones quedan expuestas en la mempool al esperar confirmación y gran suministro reside bajo claves visibles. Ocultar mediante hash brinda un margen temporal, no una firma poscuántica.^[2]

Por ello, las cifras de «bitcoin cuánticamente vulnerable» exigen contexto. El riesgo depende de si las claves son visibles en la cadena, expuestas en la mempool, reutilizadas y de la velocidad del adversario. El informe de Google Quantum AI de marzo de 2026 distingue entre ataques en reposo a claves expuestas y ataques en tiempo de gasto a transferencias pendientes. Esta clasificación aporta un análisis realista sin presumir una vulnerabilidad uniforme.^[1]

«La clave pública se incluye directamente en la salida, a diferencia de las construcciones anteriores típicas que almacenan un hash de la clave pública o del script en la salida».^[2]

— Pieter Wuille, Jonas Nick, and Anthony Towns, BIP 341

2. Un reloj sin fecha cierta

Los análisis de riesgo cuántico suelen confundir modelos de recursos con calendarios fijos. El estudio de marzo de 2026 de Google Quantum AI modeló dos circuitos para secp256k1: uno con máximo de 1,200 cúbits lógicos y 90 millones de puertas Toffoli, y otro con 1,450 cúbits lógicos y 70 millones de puertas. Asumiendo cúbits superconductores y códigos de superficie, estimaron menos de 500,000 cúbits físicos. Son referencias condicionales para hardware tolerante a fallos hipotético, no pruebas de máquinas existentes.^[1]

El tiempo de ejecución es tan determinante como los cúbits. Google estimó que un atacante con reloj rápido y estados precalculados derivaría una clave privada entre 9 y 12 minutos tras publicarse la clave. Esto disputaría el bloque de diez minutos de Bitcoin, pero asume velocidades ideales y grandes máquinas. Hardware más lento solo amenazaría claves expuestas durante días o años, haciendo de estos modelos métricas de ingeniería y no plazos fatales.^[1]

El NIST mantiene una postura prudente. Su proyecto poscuántico indica que computadoras cuánticas relevantes pueden estar a «años o décadas de distancia», recordando que las transiciones toman tiempo. El plan del NIST prevé retirar algoritmos vulnerables para 2035, priorizando antes sistemas de alto riesgo. El hito de 2035 es un objetivo administrativo para estándares, no una predicción del Q-Day ni una fecha límite para Bitcoin.^[3]

Una postura sólida evita la alarma y la complacencia. No hay pruebas de máquinas cuánticas capaces de romper secp256k1 a escala operativa hoy. Diseñar, probar y adoptar firmas poscuánticas en nodos descentralizados y billeteras exigirá años de consenso. El reloj real de Bitcoin mide el tiempo necesario para la preparación y migración de la red, no una cuenta atrás hacia un avance de laboratorio.^[3][1]

«Pueden y deben ponerse en uso ahora».^[3]

— National Institute of Standards and Technology, on the finalized PQC standards

3. QRL eligió árboles de Merkle y asumió el coste del estado

Quantum Resistant Ledger (QRL) abordó la seguridad desde la premisa opuesta. En su libro blanco de octubre de 2016, propuso un libro mayor con firmas basadas en hashes en vez de curvas elípticas. QRL lanzó su red principal en junio de 2018 con XMSS. Este esquema combina firmas de un solo uso Winternitz (WOTS+) en un árbol de Merkle, donde la raíz actúa como clave pública y cada gasto revela una firma de hoja y su ruta de autenticación.^[8][9][5]

La ventaja de XMSS reside en funciones hash y no en problemas como el logaritmo discreto. RFC 8391 confirma que las firmas hash resisten ataques cuánticos conocidos. Luego, el NIST aprobó perfiles de XMSS y LMS en SP 800-208 para entornos estrictamente controlados. Sin embargo, advirtió que esquemas con estado no son aptos para uso general por riesgos de desincronización. Fue una validación técnica acotada, no un aval a QRL.^[5][4]

El coste de esta elección radica en la estricta gestión del estado. Como cada clave secreta WOTS+ solo firma una vez, reutilizar índices está prohibido. La documentación de QRL señala que una altura de árbol de 10 provee 1,024 firmas de un solo uso por dirección. Las billeteras deben rastrear hojas gastadas tras respaldos o caídas. Reutilizar un índice destruye las garantías criptográficas y transforma un diseño poscuántico en una falla fácilmente falsificable.^[6][5]

Las firmas con estado conllevan compromisos de tamaño y capacidad. Requieren más bytes que las firmas compactas ECDSA o Schnorr, aumentando la carga del libro mayor. Además, las direcciones tienen firmas finitas. Aunque QRL diseñó agilidad criptográfica reservando campos descriptores para futuros algoritmos y opciones de hash, la agilidad estructural no garantiza migraciones automáticas: exige código verificado, consenso y adopción activa.^[7][6][5]

«Si el estado de una clave secreta se utiliza dos veces, no queda ninguna garantía de seguridad criptográfica».^[5]

— RFC 8391, CFRG note on XMSS

4. La migración es la parte difícil

Los estándares del NIST amplían las opciones más allá de árboles con estado. En agosto de 2024, publicó FIPS 203 (ML-KEM) para encapsulación de claves, FIPS 204 (ML-DSA) para firmas de retículos y FIPS 205 (SLH-DSA) para firmas hash sin estado. Para Bitcoin, la evaluación se enfoca en firmas: balancear tamaños de clave y firma, velocidad de verificación, ancho de banda, soporte en billeteras físicas y bifurcaciones suaves.^[3]

La migración criptográfica divide a los usuarios en dos grupos. Los activos pueden adoptar direcciones poscuánticas y transferir sus UTXO antes de que aparezcan máquinas cuánticas a gran escala. En contraste, las monedas inactivas —claves perdidas, almacenamiento frío o scripts antiguos con claves expuestas— no pueden migrar solas. Como subraya Google en 2026, los fondos inactivos plantean un dilema de gobernanza que las bifurcaciones suaves no resuelven sin intervenciones complejas.^[1]

QRL demuestra que las firmas hash pueden operar en una red en producción, evidenciando costes de gestión de estado y sobrecarga de datos. A su vez, Bitcoin muestra que ocultar claves mediante hashes solo ofrece mitigación parcial, y la inclusión directa en Taproot asume esta realidad. Ningún sistema respalda la complacencia ni sugiere catástrofes inminentes; ambos confirman que la preparación cuántica es un reto de ingeniería y gobernanza.^[6][7][2]

Una migración ordenada sigue pasos metódicos: catalogar salidas expuestas en la cadena, evaluar firmas candidatas, diseñar reglas de consenso y actualizar billeteras. Evitar reutilizar direcciones reduce la exposición en formatos heredados, pero no protege salidas Taproot ni sustituye actualizar las firmas. Debatir públicamente el destino de fondos inactivos previene bifurcaciones duras de emergencia cuando cambien los umbrales criptográficos.^[2][1][3]

La computación cuántica convierte una posibilidad teórica en una prueba de coordinación colectiva. QRL aplicó firmas hash documentando sus costes, mientras el NIST formalizó primitivas poscuánticas. Bitcoin dispone de tiempo para deliberar e implementar su transición. La respuesta adecuada no es el pánico ante un hipotético Q-Day ni la inacción, sino un trabajo disciplinado de ingeniería iniciado antes de que la incertidumbre derive en crisis.^[9][3][1]