Computación cuántica: amenaza real para Bitcoin y XRP en los próximos 20 años

En agosto de 2024, el NIST publicó los primeros estándares criptográficos post-cuánticos de la historia. No fue un acto preventivo de bajo riesgo: fue la respuesta institucional a una amenaza que los criptógrafos llevan dos décadas advirtiendo. Los algoritmos de firma digital que protegen Bitcoin, XRP y la práctica totalidad de las blockchains actuales —ECDSA secp256k1 y Ed25519— son vulnerables al algoritmo de Shor, que un ordenador cuántico suficientemente potente podría ejecutar para derivar claves privadas desde claves públicas en horas o minutos. La pregunta ya no es si esto es posible en teoría, sino cuándo será posible en práctica, y qué margen de maniobra tiene el sector antes de que ese momento llegue.

El estado real de la computación cuántica en 2025

Conviene separar el hype de los hechos. En diciembre de 2024, Google presentó Willow, un procesador de 105 qubits que resolvió un cálculo de referencia en cinco minutos^[1], una tarea que habría llevado 10 septillones de años a un supercomputador clásico. IBM tiene en producción su procesador Condor con 1.386 qubits físicos, y su hoja de ruta apunta a sistemas de más de 100.000 qubits para finales de esta década. Sin embargo, ninguno de estos hitos representa todavía una amenaza criptográfica directa.

El problema está en la distinción entre qubits físicos y qubits lógicos. Los qubits físicos actuales son extremadamente frágiles: el ruido ambiental, las vibraciones térmicas y las interferencias electromagnéticas introducen errores a una tasa que hace imposibles los cálculos largos. Para corregir estos errores se necesita la corrección de errores cuánticos (QEC, Quantum Error Correction), que requiere aproximadamente entre 1.000 y 10.000 qubits físicos por cada qubit lógico utilizable, según el código de superficie más extendido.

Para ejecutar el algoritmo de Shor contra ECDSA secp256k1 de forma efectiva hacen falta alrededor de 4.000 qubits lógicos. A la ratio actual de corrección de errores, eso implica entre 4 y 40 millones de qubits físicos de alta calidad. El mejor sistema disponible en 2025 está al menos tres órdenes de magnitud por debajo de ese umbral. Lo que Google, IBM e IonQ están construyendo son demostradores tecnológicos, no máquinas de rotura criptográfica. Pero la trayectoria de progreso, medida en coherencia de qubits y reducción de tasas de error, es sostenida.

El consenso científico —según el informe NIST IR 8413 y el análisis del BIS Working Paper 1081— sitúa el «Q-Day» —el momento en que un ordenador cuántico pueda romper ECDSA en tiempo razonable— en algún punto entre 2030 y 2040, con 2033-2035 como horizonte más citado en las estimaciones de inteligencia de EE.UU. e instituciones financieras.

Cómo el algoritmo de Shor destruye ECDSA

La criptografía de curva elíptica —sobre la que se asienta tanto Bitcoin como XRP— descansa en el problema del logaritmo discreto sobre curvas elípticas (ECDLP). Dada una clave pública Q = k·G, donde G es el punto generador de la curva y k es la clave privada, un ordenador clásico no puede derivar k desde Q en tiempo útil. El mejor algoritmo clásico conocido —el de Pollard rho— requeriría 2^128 operaciones contra secp256k1, equivalentes a toda la energía del sol durante milenios.

El algoritmo de Shor, publicado en 1994 por Peter Shor en los Laboratorios Bell, cambia completamente este paisaje. Ejecutado sobre un ordenador cuántico con qubits lógicos suficientes, Shor resuelve el logaritmo discreto en tiempo polinomial, no exponencial. Para secp256k1 con clave de 256 bits, el algoritmo de Shor necesita aproximadamente 2.330 qubits lógicos según las estimaciones de Roetteler et al. (2017), aunque las implementaciones más eficientes desarrolladas desde entonces elevan ese número a cerca de 4.000 al incluir circuitos de corrección de errores completos.

El ataque es posible porque la mecánica cuántica permite calcular la fase asociada a una función periódica de forma exponencialmente más rápida que cualquier método clásico. Shor usa la transformada de Fourier cuántica para extraer el periodo de la función f(x) = g^x mod N, y desde ese periodo deriva el logaritmo discreto. La consecuencia práctica: una clave privada Bitcoin o XRP podría derivarse en cuestión de horas desde la clave pública correspondiente.

El algoritmo de Grover, el otro algoritmo cuántico relevante, tiene un impacto mucho menor sobre las criptomonedas. Grover permite buscar en un espacio no estructurado en O(√N) tiempo en lugar de O(N), lo que efectivamente reduce a la mitad la seguridad en bits de los algoritmos simétricos y de hash. SHA-256, usado como función de hash en Bitcoin, pasa de 256 bits de seguridad a 128 bits efectivos —un nivel todavía considerado seguro por todos los estándares actuales. Las direcciones derivadas de hashes (P2PKH, P2SH, direcciones XRP derivadas de hash160) tienen una capa de protección adicional que las hace más resistentes.

El reloj cuántico: estado real y proyecciones

La hoja de ruta de los principales actores del sector cuántico en 2025 dibuja un panorama de progreso acelerado pero no lineal. Google ha logrado reducir las tasas de error de sus qubits por debajo del umbral de corrección de errores en circuitos de hasta 70 qubits. IBM publica métricas de «Quantum Volume» y «CLOPS» (Circuit Layer Operations Per Second) que muestran mejoras del orden de 10x cada dos años en ciertos parámetros. IonQ, Quantinuum e Atom Computing trabajan con qubits de trampa de iones que ofrecen mayor fidelidad a expensas de menor velocidad de ciclo.

Los gobiernos son actores determinantes en este desarrollo. China tiene programas de inversión cuántica que superan los 15.000 millones de dólares según el Center for Security and Emerging Technology de Georgetown. EE.UU. financia el programa nacional cuántico con más de 2.000 millones anuales entre DARPA, DOE y NSF. La Unión Europea tiene el Quantum Flagship con 1.000 millones para la década 2018-2028. Este nivel de inversión pública sugiere que los cronogramas podrían acortarse si emergen avances en corrección de errores o arquitecturas de qubits más estables.

Un factor crítico que raramente aparece en los análisis de medios es la existencia de programas clasificados. La NSA, el GCHQ y sus equivalentes rusos y chinos llevan décadas trabajando en hardware criptográfico avanzado. La migración obligatoria a criptografía post-cuántica que la NSA impuso a todos los sistemas del gobierno de EE.UU. para antes de 2035 (Directiva CNSA 2.0, 2022) no se explica únicamente como preparación preventiva genérica: sugiere que la agencia tiene estimaciones internas de Q-Day que justifican esa urgencia específica.

Bitcoin bajo el microscopio cuántico

Bitcoin tiene una vulnerabilidad cuántica estructural que no existe en la misma medida en otras criptomonedas: las direcciones P2PK (Pay-to-Public-Key) de los primeros bloques. Satoshi Nakamoto y los primeros mineros —incluyendo Hal Finney— usaron este formato porque era el más directo disponible. En una dirección P2PK, la clave pública está expuesta en el script de salida de la UTXO sin aplicar ningún hash. Un ordenador cuántico puede atacarla directamente sin necesidad de esperar a que el propietario firme una transacción.

La estimación más citada es que aproximadamente 4 millones de BTC (cerca del 20% del suministro total de 21 millones) están en direcciones P2PK o en sus equivalentes con clave pública expuesta, incluyendo algunos bloques P2PKH donde la clave fue reutilizada en transacciones anteriores. Esto incluye una cantidad significativa de monedas atribuidas a Satoshi Nakamoto, que nunca se han movido desde los primeros bloques minados en 2009.

Las direcciones P2PKH modernas tienen mejor postura cuántica. En estas direcciones, la clave pública no se revela hasta el momento del gasto. El hash de la clave pública (HASH160 = RIPEMD160(SHA256(pubkey))) sería la única información disponible para un atacante antes de que la transacción sea emitida. El riesgo existe en la ventana de tiempo entre la emisión de la transacción y su confirmación: si un atacante puede computar la clave privada desde la clave pública que aparece en el script de entrada antes de que la transacción llegue a un bloque, podría crear una transacción alternativa que desvíe los fondos. Con tiempos de bloque de 10 minutos y el estado actual del hardware cuántico, esta ventana sería suficiente protección durante años. Pero si Q-Day llega de verdad, esa ventana de 10 minutos podría ser el único margen disponible.

La actualización de Bitcoin a criptografía post-cuántica es técnicamente posible pero políticamente compleja. Requeriría un soft fork o hard fork dependiendo del diseño elegido, consenso entre mineros, exchanges y nodos completos, y un período de migración en el que los usuarios deben mover sus fondos a nuevas direcciones PQC. El principal obstáculo son las carteras inactivas: los BTC de Satoshi, los perdidos por olvido de clave, y los especulativamente bloqueados durante años. Si esas direcciones no se migran voluntariamente, el protocolo tendría que decidir qué hacer con ellas en un eventual escenario post-cuántico, lo que implica debates filosóficos y de gobernanza sin precedentes en el ecosistema.

Según investigadores del Instituto de Computación Cuántica de Waterloo, una transición ordenada de Bitcoin requeriría un período mínimo de 5-7 años para que los usuarios puedan migrar sus fondos de forma segura, lo que significa que el proceso debería comenzar no más tarde de 2028 para tener margen suficiente ante una posible Q-Day en 2035.

XRP Ledger: una arquitectura más preparada para la migración

XRP Ledger tiene características arquitectónicas que lo hacen estructuralmente más adaptable a una migración post-cuántica que Bitcoin, aunque no menos vulnerable en el presente. El Ledger soporta dos tipos de cuentas: las basadas en secp256k1 (compatible con Bitcoin) y las basadas en Ed25519, una curva elíptica diferente de Bernstein que ofrece firmas más compactas y verificación más rápida. Ambas son igualmente vulnerables al algoritmo de Shor.

La diferencia está en el mecanismo de actualización. XRPL utiliza enmiendas (amendments) para introducir cambios de protocolo: si el 80% de los validadores del UNL votan a favor durante 14 días consecutivos, la enmienda se activa. Este mecanismo es considerablemente más ágil que el proceso de fork de Bitcoin, que requiere coordinación entre miners, nodos y la comunidad económica sin un mecanismo de votación formal. Ripple ha discutido públicamente la posibilidad de introducir un nuevo tipo de clave PQC mediante una enmienda, lo que permitiría a las cuentas XRPL migrar a firmas post-cuánticas de forma progresiva y no disruptiva.

El protocolo Multi-Signing de XRPL ya permite esquemas de N-de-M firmas, y su integración con firmas PQC es técnicamente más limpia que en Bitcoin debido a la separación entre la capa de protocolo y la capa de scripting. Una enmienda que introdujera ML-DSA (FIPS 204) o SLH-DSA (FIPS 205) como tipo de firma adicional en XRPL requeriría cambios relativamente contenidos en el core del servidor rippled, sin afectar a la estructura de las UTXOs (que no existen en XRPL: usa cuentas y balances directamente).

El riesgo principal para XRP sigue siendo el período de transición. Los ~50 millones de cuentas activas en XRPL tendrían que migrar sus fondos a nuevas cuentas PQC antes de Q-Day. Las cuentas inactivas o con fondos bloqueados en escrow tendrían que gestionarse mediante políticas de protocolo específicas. Ripple Labs, como desarrollador principal de rippled, ha la posición privilegiada de poder proponer y liderar técnicamente esta migración, algo que no tiene ningún equivalente centralizado en Bitcoin.

Los estándares NIST y la criptografía post-cuántica

En agosto de 2024, el NIST completó el proceso de estandarización de criptografía post-cuántica que había iniciado en 2016 con la convocatoria de candidatos. El resultado fueron cuatro estándares finales que cualquier sistema de seguridad moderno puede adoptar ahora:

• FIPS 203 — ML-KEM (Module-Lattice Key Encapsulation Mechanism): derivado de CRYSTALS-Kyber, para intercambio de claves y cifrado. Basado en la dureza del problema de aprendizaje con errores sobre retículos modulares (Module-LWE). Tamaños de clave: 800 bytes (nivel 1) a 1.568 bytes (nivel 5).
• FIPS 204 — ML-DSA (Module-Lattice Digital Signature Algorithm): derivado de CRYSTALS-Dilithium, para firmas digitales. Resistente tanto a ordenadores clásicos como cuánticos. Firmas de 2.420 a 4.595 bytes según el nivel de seguridad, considerablemente más grandes que los 64 bytes de Ed25519.
• FIPS 205 — SLH-DSA (Stateless Hash-Based Digital Signature Algorithm): derivado de SPHINCS+, para firmas basadas únicamente en funciones de hash. Más conservador y seguro que los esquemas de retículo, pero con firmas más grandes (8 KB o más). Ideal como respaldo ante vulnerabilidades inesperadas en los retículos.
• FIPS 206 — FN-DSA (Fast Fourier Lattice-Based Compact Signatures over NTRU): derivado de FALCON, para firmas compactas. Firmas de solo 666-1.280 bytes, comparable en tamaño a las firmas actuales de Bitcoin y XRP, pero con implementación más compleja (susceptible a ataques de canal lateral).

La implicación directa para las blockchains es que los algoritmos de firma digital actuales —ECDSA y EdDSA— deben ser reemplazados por ML-DSA, SLH-DSA o FN-DSA. El impacto en el tamaño de las transacciones será significativo: una firma ML-DSA nivel 2 ocupa 2.420 bytes frente a los 64-72 bytes de una firma ECDSA/Ed25519. Para una blockchain como Bitcoin, con límites de tamaño de bloque, esto implica un throughput de transacciones PQC aproximadamente 30 veces menor que el actual, lo que exige un rediseño paralelo de la estructura de bloques para no colapsar la capacidad de la red.

Para XRPL, cuyas transacciones no tienen límite de bloque en el mismo sentido que Bitcoin (el ledger no tiene bloques con límite de tamaño fijo, sino límites por consenso de validadores), la integración de firmas más grandes es operativamente más manejable. El impacto en fees y en el almacenamiento histórico del ledger sería considerable, pero no estructuralmente bloqueante.

HNDL: el ataque que ya está ocurriendo

«Harvest Now, Decrypt Later» (HNDL) es la estrategia que convierte la amenaza cuántica en un problema del presente, no del futuro. La lógica es sencilla: si un adversario con capacidades cuánticas futuras puede descifrar registros cifrados hoy, tiene incentivos para recopilar y almacenar ahora todo el tráfico cifrado que pueda obtener, aunque no pueda descifrarlo hasta dentro de 10 o 15 años.

Para los sistemas de pago y las comunicaciones financieras, esta amenaza ya es real. El FBI, la NSA y el CISA han emitido advertencias conjuntas indicando que actores de estados nación están ejecutando operaciones HNDL activas. El informe del CISA Quantum Readiness de diciembre de 2023 confirma que la migración a PQC debe completarse para datos con sensibilidad a largo plazo antes de que Q-Day sea técnicamente factible.

Para las blockchains públicas como Bitcoin y XRP, HNDL tiene un significado específico: todas las transacciones históricas, con sus claves públicas expuestas en el ledger, están siendo y serán preservadas para análisis post-Q-Day. El historial completo de la blockchain —incluyendo direcciones, importes y metadata— estará disponible para cualquier actor con un ordenador cuántico suficientemente potente. Esto no expone claves privadas directamente en la mayoría de los casos modernos (porque el gasto ya fue realizado), pero permite la reconstrucción del grafo transaccional completo con precisión criptográfica.

El caso más preocupante son las direcciones con grandes saldos que llevan años inactivas y cuya clave pública fue expuesta en alguna transacción pasada. Cualquier BTC o XRP en esas condiciones es técnicamente «reclamable» por un actor con Q-Day. La estrategia de seguridad correcta para fondos de larga duración —instituciones, tesorerías, fondos de reserva— ya debería incluir la migración periódica a nuevas direcciones frescas cuya clave pública nunca haya sido expuesta.

Qué deben hacer inversores, desarrolladores y custodios ahora

La respuesta razonable a la amenaza cuántica no es el pánico ni la inacción. Es la planificación estructurada con un horizonte de 10 años. Las acciones diferenciadas según el perfil son las siguientes:

Inversores individuales con holdings a largo plazo: La prioridad inmediata es no reutilizar direcciones. Cada transacción de salida expone la clave pública; una dirección usada solo una vez y con saldo cero no tiene clave pública registrada en la blockchain. Hardware wallets modernos (Ledger, Trezor, Coldcard) siguen siendo seguros porque gestionan cuentas HD con derivación fresca de claves. El riesgo a monitorizar es cuándo los fabricantes integrarán soporte para firmas PQC, algo que requerirá actualizaciones de firmware cuando los estándares sean adoptados por las redes subyacentes. Para consultar el estándar de custodia actual puedes revisar la guía de seguridad de MundoXRP.

Desarrolladores de aplicaciones sobre XRPL: La preparación correcta hoy incluye diseñar las arquitecturas de clave con capacidad de migración futura. Sistemas que implementan la generación de claves como componente intercambiable (abstrayendo el algoritmo de firma de la lógica de negocio) serán considerablemente más fáciles de actualizar cuando XRPL introduzca soporte PQC via enmienda. El repositorio oficial de xrpl.org sobre pares de claves criptográficas documenta la arquitectura actual y está siendo actualizado con referencias a futuros esquemas.

Custodios institucionales y exchanges: La directiva más urgente es el inventario de exposición: qué porcentaje de los fondos bajo custodia está en direcciones con clave pública histórica expuesta, y qué procedimientos de migración preventiva se pueden ejecutar. Los exchanges deben además empezar a preparar actualizaciones de infraestructura para soportar transacciones PQC cuando las redes las activen: los cambios en tamaño de transacción y en la validación de firmas afectarán a sistemas de indexación, sistemas de riesgo y APIs.

Equipos de protocolo (Bitcoin Core, Ripple Engineering): Las propuestas de mejora para integración PQC deben comenzar el proceso de revisión comunitaria con suficiente antelación para que el debate técnico, la implementación y el período de migración puedan completarse antes de 2033. En Bitcoin, esto podría tomar la forma de un nuevo tipo de script que soporte firmas ML-DSA junto a las ECDSA existentes durante un período de convivencia. En XRPL, una enmienda específica para añadir ML-DSA como tipo de firma adicional podría activarse con el mecanismo de votación estándar sin disrupciones. Puedes ver el análisis del ecosistema técnico de XRPL en nuestra sección especializada.

Conclusión

La computación cuántica no es ciencia ficción, pero tampoco es una amenaza inminente para Bitcoin y XRP en 2025. El gap entre el hardware cuántico actual —105 qubits físicos en el mejor caso— y los 4 millones de qubits físicos necesarios para un ataque real a ECDSA es enorme. Lo que sí es real e inmediato es la necesidad de planificación: los ecosistemas financieros tienen ciclos de adopción que se miden en décadas, y la migración de criptografía en infraestructuras críticas no puede hacerse en meses.

El NIST ya entregó las herramientas: ML-DSA, SLH-DSA, ML-KEM y FN-DSA son estándares listos para su adopción. La NSA ya dio el mandato: 2035 como fecha límite para sistemas gubernamentales de EE.UU. Lo que falta es que los protocolos de blockchain conviertan esta urgencia institucional en propuestas de mejora concretas con cronogramas realistas.

Para XRP Ledger, la situación es relativamente optimista: el mecanismo de enmiendas y la arquitectura de cuentas ofrecen una vía de migración más limpia que la de Bitcoin. Para Bitcoin, el desafío de gobernanza es tan grande como el técnico. En ambos casos, los fondos con clave pública histórica expuesta son el eslabón más débil, y la higiene preventiva —no reutilizar direcciones, migrar saldos a cuentas frescas— ya es una práctica recomendable hoy, independientemente del horizonte cuántico.

El escenario catastrófico —Q-Day llegando antes de que los protocolos estén preparados— es prevenible si el trabajo empieza ahora. El escenario optimista —migración ordenada completada en 2032-2034— requiere que las comunidades técnicas de Bitcoin y XRPL traten este problema con la misma seriedad con la que la industria bancaria tradicional está tratando la directiva CNSA 2.0. El reloj avanza, aunque todavía queda tiempo.

Preguntas frecuentes

Referencias