La computación cuántica dejó de ser una promesa de laboratorio para convertirse en una variable de riesgo con plazos medibles. Lo que hasta hace poco se medía en décadas —la llegada de una máquina capaz de romper la criptografía de curva elíptica que sostiene a Bitcoin— ahora se cuenta en una horquilla de 10 a 15 años, y cada nuevo artículo científico la acorta.
El problema no es solo tecnológico: es que la única defensa conocida exige a la red aceptar hoy una pérdida de capacidad del 50-70 %, tarifas multiplicadas por dos o tres y un inflado permanente del estado (state bloat) de 59 veces por cuenta, a cambio de cero beneficios inmediatos. Esa asimetría —costos ciertos ahora, seguridad hipotética mañana— crea un callejón sin salida de gobernanza que puede hacer que la amenaza llegue antes que la cura.
Qué es la computación cuántica y por qué rompe las reglas del juego
A diferencia de los bits clásicos, que valen 0 o 1 de forma exclusiva, un cúbit (bit cuántico) explota la superposición y el entrelazamiento para representar combinaciones de estados simultáneamente. Con 30 cúbits se alcanza la potencia de 10 teraflops; con 300, el espacio de estados supera el número de átomos del universo observable. La idea nació en 1981 de la mano de Paul Benioff, pero el punto de inflexión llegó en 1994 cuando Peter Shor demostró que un ordenador cuántico suficientemente grande factoriza enteros y resuelve logaritmos discretos en tiempo polinómico. Eso pulveriza RSA y la criptografía de curva elíptica (ECC), incluyendo el algoritmo secp256k1 que firma cada transacción de Bitcoin y Ethereum.
Mientras que la computación clásica escala linealmente añadiendo transistores, la cuántica lo hace exponencialmente añadiendo cúbits lógicos. La inteligencia artificial, por su parte, optimiza patrones sobre hardware clásico o cuántico, pero no cambia el paradigma computacional. La convergencia reciente —modelos de IA diseñando códigos de corrección de errores cuánticos o compiladores para algoritmos post-cuánticos— acelera ambos frentes, pero la amenaza criptográfica sigue dependiendo de hardware cuántico tolerante a fallos.
La carrera de los estándares: NIST, FIPS y el reloj de 2035
El Instituto Nacional de Estándares y Tecnología (NIST) lanzó en 2016 un proceso abierto para elegir algoritmos resistentes a cuánticos. Tras cuatro rondas, publicó en 2024 tres estándares de firma digital —CRYSTALS-Dilithium (ML-DSA), FALCON (FN-DSA) y SPHINCS+ (SLH-DSA)— y uno de encapsulamiento de claves —CRYSTALS-Kyber (ML-KEM)—. En marzo de 2025 sumó HQC como respaldo de Kyber. La administración federal estadounidense fijó 2035 como fecha límite de migración; Google marcó 2029 como objetivo interno. Los nuevos esquemas, basados en redes (lattices), hash y códigos correctores, exigen órdenes de magnitud más de cómputo, memoria y ancho de banda que ECDSA.
Bitcoin y Ethereum en la mira: cuánto y qué está expuesto
Bitcoin ofrece cierta protección natural con su modelo UTXO: las direcciones de un solo uso (P2PKH/P2WPKH) ocultan la clave pública hasta el gasto. Aun así, entre el 25 % y el 30 % de la oferta total —4 a 6 millones de BTC— yace en direcciones P2PK históricas o reutilizadas con clave pública expuesta. Ethereum, con su modelo de cuentas, expone el 65 % del ETH circulante y todos los tokens ERC-20 y NFTs asociados a esas cuentas tras la primera transacción. Las cadenas basadas en Ed25519 (Solana, entre otras) no tienen capa de hash: el 100 % de su valor está expuesto desde el génesis.
Romper secp256k1 requiere hoy entre 2.100 y 2.400 cúbits lógicos, según optimizaciones de Häner et al. (2020) que redujeron la cota de 2.330 a 2.124. Cada cúbit lógico necesita miles o decenas de miles de cúbits físicos para corrección de error. Los sistemas actuales rondan los 100 cúbits lógicos. Pero hay un segundo motor: las mejoras algorítmicas recortan el requisito ~3 % anual. En la última década, el umbral bajó un 9 %; extrapolando, podría caer otro 20-30 % en los próximos diez años, adelantando la zona de peligro a 2035-2040.
El vector de ataque en tránsito: la ventana de 10 minutos
Más allá del robo de fondos en direcciones expuestas, existe un vector en tiempo real: un atacante cuántico monitoriza el mempool, extrae la clave pública de una transacción pendiente y debe forjar la firma antes de que el bloque se confirme (10 minutos en Bitcoin, 12 segundos en Ethereum). Es una carrera de latencia que vuelve crítica la velocidad de verificación post-cuántica. Mitigaciones como commit-reveal, time-locks o mempools privados añaden complejidad y latencia propia.
La paradoja del 'degradación defensiva'
Aquí reside el nudo del análisis. Migrar a firmas post-cuánticas no es una actualización como SegWit o Taproot, que trajeron eficiencia o privacidad. Es una "degradación defensiva": impone costos inmediatos y severos —pérdida del 50-70 % de throughput, latencia 1,8-2,2x, ancho de banda 2-3x, CPU +65-85 %, almacenamiento +35-50 % anual— sin beneficio tangible hoy. Los datos provienen de Hyperledger Fabric (sistemas permissioned con validadores conocidos y hardware homogéneo). En redes permissionless, donde cada nodo completo verifica cada firma y la propagación global depende del nodo más lento, la degradación realista será del 60-70 %.
Peor: el estado (UTXO set, cuentas) se infla 59 veces por cuenta resistente a cuánticos, acelerando la centralización al elevar el coste de correr un nodo completo. La migración también exige "crypto-agilidad" —capacidad de cambiar algoritmos sin hard forks traumáticos— porque la historia criptográfica enseña que los esquemas de respaldo (como FALCON o HQC) pueden ser preferibles mañana.
Gobernanza: el cuello de botella humano
JBBA (2026) lo cuantifica: desarrollo técnico 2-3 años, consenso 5-10 años, despliegue 2-3 años, migración de usuarios 2-3 años. Total realista: 11-19 años. El horizonte de amenaza optimista empieza en 2035. La ventana se cierra o ya está cerrada. SegWit, que mejoraba la red, tardó <2 años. Una migración puramente costosa no tiene precedente de éxito en plazos cortos. La comunidad Bitcoin debate BIP-360 (direcciones resistentes a cuánticos) desde marzo de 2026 en testnet con 50+ mineros, pero no hay cronograma de activación. Ethereum tiene propuestas (EIPs) en fase de investigación.
La apuesta de StarkWare: IA para abaratar la contingencia
Mientras el protocolo debate, StarkWare minó en mainnet (agosto 2026) la primera transacción "Quantum-Safe Bitcoin" (QSB) usando firmas basadas en hash (Winternitz/SPHINCS+) bajo las reglas de consenso actuales, sin soft fork. Coste inicial: 3.100 horas-GPU, 320 dólares. Un reto de optimización asistido por IA (62 propuestas, premios de 20.000 dólares) elevó la velocidad de verificación de 146 a 880 millones de candidatos/segundo en una RTX 4090, bajando el coste estimado a 66-67 dólares. Es una herramienta de emergencia puntual —solo mueve BTC elegible, no blinda la red— pero demuestra que la ingeniería puede comprimir costos dramáticamente cuando hay incentivos.
La advertencia de Boneh: prisa vs. catástrofe
Dan Boneh (Stanford, coautor del paper de Google Quantum AI de marzo 2026 que redujo 20x la estimación de qubits necesarios) advierte: una transición apresurada puede introducir un fallo catastrófico antes de que exista un ataque cuántico real. La tensión define el momento: la industria sabe que debe moverse, pero moverse mal en criptografía es peor que no moverse.
Qué hacen gobiernos y empresas: blindaje por capas
- NIST/FIPS: estándares vinculantes para proveedores federales; arrastre de mercado.
- Google/IBM/AWS: migración interna de TLS, KMS, HSMs a ML-KEM/ML-DSA; plazos 2029-2035.
- StarkWare / Matter Labs / Polygon: investigación de ZK-proofs post-cuánticos y account abstraction resistente.
- Miners (MARA, Foundry): infraestructura de prioridad de transacciones (Slipstream) para experimentos como QSB.
- Desarrolladores Bitcoin: BIP-360 (direcciones P2QRH), debates en lista de correo, sin BIP aprobado.
- Ethereum Foundation: EIPs para account abstraction (ERC-4337) con claves post-cuánticas, investigación de verkle trees + STARKs.
Conclusión: el reloj no espera al consenso
Tesis: la amenaza cuántica avanza por dos frentes —hardware y algoritmo— mientras la defensa avanza por uno solo —ingeniería— y frena en el tercero —gobernanza—. La asimetría de incentivos (costos hoy, beneficios mañana) hace que la migración protocolar sea el eslabón más débil. Las soluciones de capa 2, las firmas basadas en hash opt-in (QSB) y la crypto-agilidad compran tiempo, pero no sustituyen el hard fork que Bitcoin y Ethereum necesitarán. El riesgo no es que falle la criptografía post-cuántica; es que la red no logre ponerse de acuerdo para instalarla antes de que el primer ataque en tránsito demuestre que el reloj se adelantó.
