Půl milionu qubitů a pár minut: Google přiblížil kvantový útok na Bitcoin

Když se mluví o kvantové hrozbě pro kryptoměny, většinou to zní jako sci-fi pro příští dekádu. Jenže nová práce výzkumníků z Google Quantum AI, na které se podíleli i lidé z Ethereum Foundation a Stanfordovy univerzity, posouvá celou debatu o kus blíž k realitě. V číslech, která dosud nikdo takto konkrétně neviděl, popisují, kolik výpočetního výkonu by kvantový počítač skutečně potřeboval k prolomení Bitcoinu — a výsledek je výrazně nižší, než se doposud předpokládalo.

1200 qubitů místo miliard: co se změnilo

Bezpečnost Bitcoinu stojí na eliptické křivce s označením secp256k1. Zjednodušeně: váš veřejný klíč se z ní dá snadno odvodit z privátního klíče, ale zpátky to na běžném počítači nejde — tedy aspoň ne za lidský život. Kvantový počítač by to ale uměl, konkrétně pomocí Shorova algoritmu, který dokáže problém diskrétního logaritmu řešit řádově rychleji než cokoli klasického.

Problém dosud byl, kolik qubitů by takový výpočet reálně potřeboval. Starší odhady mluvily o stovkách tisíc až milionech logických qubitů, což působilo jako vzdálená budoucnost. Nová analýza z Google Quantum AI — publikovaná 21. srpna 2026 v recenzovaném časopise PRX Quantum — přichází se dvěma scénáři: prolomení křivky secp256k1 je podle autorů možné buď s nejvýše 1200 logickými qubity a 90 miliony Toffoliho hradel, nebo s nejvýše 1450 logickými qubity a 70 miliony Toffoliho hradel. To je řádový rozdíl oproti dřívějším číslům.

Logický versus fyzický qubit: klíč k pochopení celé věci

Tady je důležité rozlišit dva pojmy, které se snadno pletou. Fyzický qubit je ten skutečný, hardwarový — a je hlučný a náchylný k chybám. Logický qubit je „opravený“ qubit, který vznikne, když spoustu fyzických qubitů svážete chybovou korekcí tak, aby se choval spolehlivě. Je to podobné, jako když jeden bezpečný digitální záznam uložíte na diskové pole s redundancí: jednotlivých disků je víc, ale navenek máte jeden spolehlivý výsledek.

Autorům vyšlo, že oněch 1200 logických qubitů by na supravodivé architektuře s fyzickou chybovostí 10⁻³ a planárním propojením znamenalo méně než půl milionu fyzických qubitů. A tady přichází ten nepříjemný detail: celý výpočet by na takovém stroji proběhl v řádu minut. Dosavadní odhady přitom pracovaly s miliardami fyzických qubitů a hodinami či dny výpočtu. Posun je dramatický.

Proč na rychlosti najednou tolik záleží

Autoři studie dělí kvantové počítače na dvě kategorie. „Fast-clock“ architektury — tedy supravodivé a fotonické systémy — provádějí operace rychle. „Slow-clock“ systémy, jako jsou stroje na neutrálních atomech nebo iontových pastech, jsou pomalejší, i když mají jiné výhody. Právě fast-clock systémy podle výzkumníků jako první dosáhnou měřítka potřebného k reálnému útoku.

Rychlost je klíčová kvůli takzvaným „on-spend“ útokům. Když posíláte bitcoiny, transakce se nejdřív objeví ve veřejném mempoolu — čekárně, kde visí, než ji těžaři zapíšou do bloku. V té chvíli je váš veřejný klíč odhalený. Kvantový útočník, který by dokázal privátní klíč dopočítat za pár minut, by mohl transakci přehrát s vlastní adresou a peníze převést k sobě dřív, než se ta vaše vůbec potvrdí. Prostor pro obranu je extrémně krátký.

Netýká se to jen Bitcoinu

Studie jde výrazně dál než k jedné kryptoměně. Křivku secp256k1 používají i mnohé další projekty, a autoři navíc upozorňují na systémová rizika v pokročilejších funkcích blockchainů — konkrétně u smart kontraktů, proof-of-stake konsenzu a mechanismů vzorkování dostupnosti dat. Jinými slovy, nejde jen o „jednu měnu, jeden klíč“, ale o vrstvy, na kterých dnes běží decentralizované finance a tokenizace aktiv.

Zvláštní kapitolou jsou takzvané opuštěné („abandoned“) adresy — peněženky, ke kterým se majitelé dávno nedostanou, nebo patří lidem, kteří už nejsou mezi námi. Ty představují trvalý problém, protože u nich není nikdo, kdo by podnikl migraci na bezpečnější kryptografii. Autoři proto navrhují rámce „digitální záchrany“, tedy pravidel, jak takové spící prostředky spravovat či ničit tak, aby je neukradl první útočník s dostatečně silným kvantovým strojem.

Zodpovědný přístup místo paniky

Zajímavý je i samotný způsob, jak Google studii publikoval. Konkrétní útočné postupy autoři záměrně nezveřejnili — místo toho validovali své výsledky pomocí zero-knowledge důkazu. Tedy matematicky dokázali, že jejich čísla sedí, aniž by komukoli prozradili, jak přesně útok postavit. Je to vyvážení mezi varováním komunity a tím, že byste útočníkům nechtěli předat hotový návod.

Co to znamená pro držitele v Česku a v Evropě

Dobrá zpráva je, že se nic nemění z hodiny na hodinu. Kvantové počítače, které by disponovaly půl milionem spolehlivých fyzických qubitů, dnes nikdo nemá — nejmodernější stroje se pohybují o několik řádů níže. Studie ale posouvá časový horizont blíž, a proto autoři vyzývají zranitelné kryptoměnové komunity k migraci na post-kvantovou kryptografii (PQC) bez odkladu.

Na to už existuje standardní základna. Americký institut NIST v roce 2024 schválil první post-kvantové standardy (mj. algoritmy ML-KEM a ML-DSA) a na přechod se připravuje i Evropa. Pro běžného českého držitele to prakticky znamená jediné: sledovat, jestli projekt, do kterého jste investovali, migraci aktivně řeší. U Bitcoinu i Etherea debata o post-kvantovém upgradu probíhá, ale je politicky i technicky složitá — shoda se hledá pomalu. V horizontu let, ne měsíců, tak může být rozdíl mezi „bezpečnou“ a „rizikovou“ měnou právě to, zda její komunita stihla přejít na odolnější kryptografii dřív, než první CRQC (kvantový počítač schopný reálného krypto útoku) spatří světlo světa.