کوانتوم و بیت کوین؛ کامپیوتر کوانتومی تهدید واقعی است؟

کوانتوم و بیت کوین امروز یک تهدید واقعی اما هنوز غیرعملی است. هیچ کامپیوتر کوانتومی فعلی نمی‌تواند کلید خصوصی بیت کوین را بشکند، ولی برآورد مارس 2026 گوگل نشان داد این کار با کمتر از نیم میلیون کیوبیت فیزیکی ممکن می‌شود. خطر اصلی متوجه امضای دیجیتال است، نه ماینینگ، و پیشنهادهای مقاوم‌سازی BIP-360 و BIP-361 هنوز پیش‌نویس‌اند.

کوانتوم و بیت کوین: تهدید دقیقاً به کدام بخش است؟

کامپیوتر کوانتومی به امضای دیجیتال بیت کوین تهدید جدی دارد، ولی به ماینینگ نه. برای اینکه فرقش روشن شود، باید دو ستون امنیتی شبکه را از هم جدا کرد: امضای منحنی بیضوی (ECDSA و Schnorr روی منحنی secp256k1) که مالکیت کوین را ثابت می‌کند، و تابع هش SHA-256 که هم در اثبات کار و هم در ساخت بیشتر آدرس‌ها به کار می‌رود. اگر با سازوکار پایه‌ای شبکه آشنا نیستید، اول بیت کوین چیست و چطور کار می‌کند را مرور کنید.

الگوریتم شور و امضای دیجیتال

الگوریتم شور روی یک کامپیوتر کوانتومی بزرگ و خطاپذیر می‌تواند از روی کلید عمومی، کلید خصوصی را به دست بیاورد. امنیت امضای بیت کوین دقیقاً بر سختی همین مسئله، یعنی لگاریتم گسسته روی منحنی بیضوی، تکیه دارد. یعنی کسی که چنین دستگاهی داشته باشد و کلید عمومی شما را ببیند، در عمل می‌تواند به جای شما امضا کند و کوین‌ها را جابه‌جا کند.

نکتهٔ مهم این است که حمله فقط وقتی ممکن است که کلید عمومی دیده شود. در بسیاری از انواع آدرس، کلید عمومی تا اولین خرج پنهان می‌ماند و فقط هش آن روی زنجیره است. همین جزئیات است که بعداً تعیین می‌کند کدام کوین‌ها زودتر در خطرند.

الگوریتم گروور و ماینینگ SHA-256

الگوریتم گروور جست‌وجو را فقط با شتاب جذری سریع‌تر می‌کند و برای ماینینگ تهدید جدی شمرده نمی‌شود. مقالهٔ پژوهشگران Google Quantum AI در بخش مربوط به اثبات کار نتیجه می‌گیرد که کامپیوترهای کوانتومی رمزشکن «تهدید مستقیمی برای ماینینگ بیت کوین» نیستند و ماینینگ کوانتومی فعلاً بیشتر علمی‌تخیلی است تا خطر عینی. بحث مفصل‌تر دربارهٔ ماینرهای کوانتومی و رقابت با دستگاه‌های ASIC را جداگانه نوشته‌ایم.

کامپیوتر کوانتومی چقدر به شکستن بیت کوین نزدیک است؟

طبق برآورد منتشرشده در 30 مارس 2026 (10 فروردین 1405)، شکستن یک کلید 256 بیتی منحنی بیضوی به کمتر از 1,200 کیوبیت منطقی و 90 میلیون گیت Toffoli، یا کمتر از 1,450 کیوبیت منطقی و 70 میلیون گیت نیاز دارد. این عددها از مقالهٔ arXiv:2603.28846 با عنوان «Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities» است که رایان بابوش، کریگ گیدنی و دن بونه از نویسندگانش هستند.

به گفتهٔ همین تیم، چنین مداری روی سخت‌افزار ابررسانا با کمتر از 500,000 کیوبیت فیزیکی در چند دقیقه اجرا می‌شود؛ وبلاگ رسمی Google Research این را حدود بیست برابر کمتر از برآوردهای قبلی توصیف می‌کند. گوگل خود مدارها را منتشر نکرد و به جای آن یک اثبات دانش صفر داد تا ادعا قابل بررسی باشد بی‌آنکه نقشهٔ حمله لو برود.

حالا این عدد را کنار سخت‌افزار واقعی بگذاریم. IBM در نقشهٔ راه خود (10 ژوئن 2025) هدف گذاشته تا سال 2029 دستگاه Starling را بسازد که 100 میلیون گیت را روی 200 کیوبیت منطقی اجرا کند. این یک هدف است، نه دستگاه موجود، و همان هم حدود یک‌ششم کیوبیت منطقی لازم در برآورد گوگل را دارد. پیشرفت تراشه‌هایی مثل ویلو را هم در مطلب تراشهٔ کوانتومی ویلو گوگل و اثرش بر بیت کوین بررسی کرده‌ایم.

پس «روز Q» دقیقاً کی است؟ هیچ نهاد رسمی تاریخی برای ساخت کامپیوتر کوانتومی رمزشکن اعلام نکرده است. چیزی که اعلام شده، ضرب‌الاجل‌های مهاجرت است: گوگل برای زیرساخت خودش جدول زمانی 2029 دارد و متن BIP-360 به الزام CNSA 2.0 برای ارتقای تجهیزات تا 2030 و برنامهٔ NIST برای کنار گذاشتن ECC در دولت فدرال آمریکا پس از 2035 اشاره می‌کند.

کدام آدرس‌های بیت کوین در معرض خطرند؟

طبق جدول BIP-360، خروجی‌های P2PK، آدرس‌هایی که دوباره استفاده شده‌اند و خروجی‌های Taproot یا P2TR (آدرس‌های bc1p) در برابر حملهٔ «طولانی‌مدت» آسیب‌پذیرند، چون کلید عمومی‌شان از قبل روی زنجیره دیده می‌شود. این یعنی برخلاف تصور رایج، Taproot از نظر کوانتومی امن‌ترین نوع آدرس نیست.

در مقابل، آدرس‌های P2PKH (شروع با 1)، P2SH (شروع با 3)، P2WPKH و P2WSH (bc1q) تا وقتی خرج نشده‌اند فقط هش کلید را نشان می‌دهند. به محض اینکه از چنین آدرسی خرج کنید و باقی‌مانده را همان‌جا نگه دارید، کلید عمومی افشا شده و آن آدرس هم در دستهٔ پرخطر قرار می‌گیرد.

یک مثال ساده: فرض کنید 0.5 بیت کوین در یک آدرس bc1q دارید و 0.1 آن را خرج می‌کنید. اگر کیف پول باقی‌مانده را به یک آدرس تغییر تازه بفرستد، کلید افشاشده دیگر چیزی برای محافظت ندارد. اما اگر 0.4 باقی‌مانده در همان آدرس بماند، کلید عمومی‌اش برای همیشه روی زنجیره ثبت شده و هدف حملهٔ طولانی‌مدت است.

چقدر بیت کوین در این وضعیت است؟ مقالهٔ گوگل می‌گوید کمی بیش از 1.7 میلیون بیت کوین، نزدیک 9٪ کل عرضه، در خروجی‌های P2PK قفل است و در زمان نگارش، حدود 6.9 میلیون بیت کوین در همهٔ انواع خروجی آسیب‌پذیر بوده است. بخش بزرگی از کوین‌های P2PK به سال‌های اول شبکه برمی‌گردد و احتمالاً صاحبش دیگر به آن دسترسی ندارد.

یک خطر دیگر هم هست: حملهٔ «کوتاه‌مدت» یا هنگام خرج. وقتی تراکنشی می‌فرستید، کلید عمومی تا تأیید در ممپول دیده می‌شود. برآورد گوگل برای این حمله حدود 9 دقیقه است، در حالی که میانگین زمان بلاک بیت کوین حدود 10 دقیقه است؛ احتمال موفقیت را با فرض‌های ایده‌آل به نفع مهاجم، کمی کمتر از 41٪ حساب کرده‌اند. BIP-360 هم صریحاً می‌گوید خروجی‌های بیت کوین عموماً در برابر این نوع حمله آسیب‌پذیرند.

BIP-360 و BIP-361 چه راهکاری پیشنهاد می‌کنند؟

BIP-360 یک نوع خروجی تازه برای پنهان ماندن کلید عمومی تعریف می‌کند و BIP-361 برنامه‌ای برای غروب امضاهای قدیمی است؛ هر دو در مخزن رسمی bips وضعیت Draft دارند. یعنی هیچ‌کدام تصویب یا فعال نشده و تاریخ فعال‌سازی برایشان اعلام نشده است. تحلیل عمیق‌تر گزینه‌های فنی را در مقاومت کوانتومی بلاک چین و راهکارهای امنیتی آن بخوانید.

BIP-360 یا P2MR؛ Taproot بدون مسیر کلید

متن BIP-360 در مخزن رسمی بیت کوین امروز با نام Pay-to-Merkle-Root یا P2MR شناخته می‌شود؛ نام‌های قبلی آن P2QRH و P2TSH بود. شمارهٔ آن در دسامبر 2024 تخصیص یافت و نسخهٔ فعلی 0.12.1 است. P2MR تقریباً مثل Taproot کار می‌کند، اما مسیر «key path» را که کلید عمومی را افشا می‌کرد حذف می‌کند و فقط به ریشهٔ درخت اسکریپت تعهد می‌دهد. آدرس‌هایش با bc1z شروع می‌شوند.

این پیشنهاد خودش امضای پساکوانتومی اضافه نمی‌کند و طبق متن خودش، به‌تنهایی جلوی حملهٔ کوتاه‌مدت را نمی‌گیرد. هدفش بستن در حملهٔ طولانی‌مدت و آماده کردن زمین برای امضاهای جدید در آینده است.

BIP-361؛ مهاجرت و غروب امضاهای قدیمی

متن BIP-361 با عنوان «Post Quantum Migration and Legacy Signature Sunset» در فوریهٔ 2026 شماره گرفت، طبق خبرنامهٔ Bitcoin Optech در آوریل 2026 در مخزن منتشر شد و جیمسون لاپ یکی از نویسندگان آن است. این پیشنهاد دو فاز دارد و پیش‌نیازش یک BIP امضای پساکوانتومی است که هنوز مشخص نشده:

• فاز A: حدود 160,000 بلاک (نزدیک 3 سال) پس از فعال‌سازی، ارسال به آدرس‌های آسیب‌پذیر کوانتومی ممنوع می‌شود و فقط می‌توان از خروجی قدیمی به خروجی پساکوانتومی منتقل کرد.
• فاز B: دو سال بعد، یعنی پنج سال پس از فعال‌سازی، خرج با امضای ECDSA یا Schnorr فقط از راه یک «پروتکل نجات» مقاوم کوانتومی ممکن است و کوین مهاجرت‌نکرده از مسیر عادی قابل خرج نیست.
• کوین‌های P2PK: متن BIP-361 می‌گوید برای آن‌ها پروتکل نجات شناخته‌شده‌ای وجود ندارد و نویسندگان از یک BIP جداگانه به نام Hourglass حمایت می‌کنند.

پروتکل نجات مثلاً می‌تواند اثبات دانستن کلید والد در کیف‌های BIP-32 یا یک اثبات دانش صفر باشد. یک نمونهٔ عملی این ایده را در خبر ابزار نجات کیف پول‌های آسیب‌پذیر کوانتومی پوشش داده‌ایم. بخش «مسدود ماندن کوین‌های مهاجرت‌نکرده» بحث‌برانگیزترین قسمت پیشنهاد است و درباره‌اش اجماعی اعلام نشده است.

امضای پساکوانتومی از کجا می‌آید؟

جایگزین‌های اصلی از استانداردهای NIST می‌آیند که در 13 اوت 2024 نهایی شدند: FIPS 203 برای رمزگذاری (ML-KEM)، و FIPS 204 (ML-DSA) و FIPS 205 (SLH-DSA) برای امضا. اطلاعیهٔ رسمی NIST SLH-DSA را پشتیبان ML-DSA معرفی می‌کند. BIP-360 این دو را گزینه‌های در حال بررسی می‌داند، اما هنوز هیچ BIP مشخصی برای افزودن امضای پساکوانتومی به بیت کوین به مرحلهٔ نهایی نرسیده است. بحث هم داغ است: Bitcoin Optech در سپتامبر 2026 از پیش‌نویس BIP تازه‌ای به نام SHRINCS و در اکتبر از ادامهٔ بحث دربارهٔ نوع خروجی‌های پساکوانتومی خبر داده است.

جدول تهدیدها، راهکارها و وضعیت هرکدام

جدول زیر خلاصهٔ نقشهٔ مقاوم‌سازی تا اکتبر 2026 است و وضعیت هر ردیف از متن خود BIPها و مقالهٔ گوگل گرفته شده است.

کاربر عادی امروز چه کند؟

مهم‌ترین کاری که امروز از دست یک دارندهٔ معمولی برمی‌آید، استفاده نکردن دوباره از آدرس و به‌روز نگه داشتن کیف پول است؛ گوگل هم در توصیه‌های کوتاه‌مدتش همین را می‌گوید. لازم نیست امروز دارایی‌تان را با عجله جابه‌جا کنید، چون هنوز مقصد پساکوانتومی تصویب‌شده‌ای وجود ندارد. این گام‌ها کافی است:

1. هر دریافت را با آدرس تازه بگیرید: کیف‌های جدید برای هر واریز آدرس نو می‌سازند. آدرسی را که یک بار از آن خرج کرده‌اید، برای نگهداری بلندمدت به کار نبرید.
2. کیف پول و نرم‌افزار را به‌روز نگه دارید: اگر روزی BIP-360 یا امضای پساکوانتومی فعال شود، کیف‌های به‌روز اولین جایی هستند که امکان مهاجرت را می‌دهند.
3. نوع آدرس نگهداری بلندمدت را بشناسید: آدرس bc1q تا قبل از خرج کلید عمومی را نشان نمی‌دهد، ولی bc1p از همان ابتدا کلید را روی زنجیره دارد.
4. عبارت بازیابی را امن نگه دارید: هر مهاجرتی، چه داوطلبانه چه طبق BIP-361، به کنترل کامل کلیدها نیاز دارد؛ اصول پشتیبان‌گیری درست از عبارت بازیابی را جدی بگیرید.
5. به «کیف پول ضدکوانتوم» و توکن‌های تازه اعتماد نکنید: هر خبری را با مخزن رسمی bips بسنجید و برای پرهیز از کلاهبرداری، نکات امنیت کیف پول ارز دیجیتال را مرور کنید.
6. تصمیم مالی را با ترس نگیرید: اگر قصد خرید دارید، روش‌هایی مثل استراتژی خرید پله‌ای یا DCA ریسک زمان‌بندی را کم می‌کند و مقالهٔ الان بیت کوین بخرم یا صبر کنم هم به همین پرسش می‌پردازد.

اگر بیت کوین را در کیف شخصی نگه می‌دارید، مسئولیت مهاجرت در آینده با خودتان است. در ارزینجا هم می‌توانید قیمت و خرید بیت کوین را با تومان دنبال کنید و پیش از هر تصمیم، اخبار فنی را کنار داده‌های بازار ببینید. این مطلب آموزشی است و توصیهٔ سرمایه‌گذاری نیست.

جمع‌بندی

رابطهٔ کوانتوم و بیت کوین را می‌شود در یک جمله خلاصه کرد: تهدید علیه امضاها جدی است و فاصله‌اش با برآورد مارس 2026 کمتر شده، اما دستگاهی که بتواند آن را اجرا کند هنوز ساخته نشده و تاریخی هم برایش اعلام نشده است. ماینینگ تقریباً بیرون از خطر است و بیشترین ریسک متوجه حدود 6.9 میلیون بیت کوین در خروجی‌های با کلید عمومی افشاشده است. BIP-360 و BIP-361 هر دو پیش‌نویس‌اند و بیت کوین هنوز امضای پساکوانتومی تصویب‌شده ندارد. برای مرور تاریخچه و سناریوهای حمله، مقالهٔ خطر کامپیوتر کوانتومی برای بیت کوین را هم بخوانید.

سوالات متداول