Как «поднять» $132 млрд

Не обязательно быть пиратом, чтобы наживаться на морском золоте: достаточно стать кладоискателем: на дне покоится достаточно затонувших кораблей. У большинства из них нет ни владельцев, ни наследников, вопрос только в том, как поднять золото на поверхность.

Такая же история с биткоином. Сегодня примерно 1,7 млн биткоинов все еще хранятся в скриптах образца 2009–2010 годов, где публичный ключ владельца записан в блокчейн открытым текстом. По текущему (упавшему) курсу это около $132 млрд. Среди них, в том числе и порядка 1,1 млн монет (почти $86 млрд), которые приписывают Сатоши Накамото: они разложены по 22 тысячам адресов и не двигались ни разу.

Это деньги, у которых с высокой вероятностью нет живого владельца. Не спрятанные, а именно брошенные, потерянные. Так что современному кладоискателю нужен не батискаф, а квантовый компьютер на ионных ловушках. И 8 сентября компания IonQ опубликовала полноценную смету на такую экспедицию.

Если упростить, публичный ключ — это номер ячейки, приватный — ключ от неё. Математика такова, что можно из ключа собрать номер, но нельзя из номера — ключ: обычному компьютеру на это нужно больше времени, чем существует Вселенная. Но для квантовых существует алгоритм Шора, который может это сделать на достаточно большом квантовом компьютер.

И вот IonQ посчитала, насколько большой он должен быть. Нужно 19 397 физических кубитов и 25,7 суток непрерывной работы на одну попытку. Вероятность успеха с попытки — от 41% до 63%, то есть реально на один ключ уходит полтора-два месяца, а для уверенности компания закладывает пять машин параллельно, около 97 тысяч ионов.

О квантовой уязвимости алгоритма шифрования, на котором основан биткоин говорят уже давно, новость не в этом. Просто это первая смета, доведённая до уровня железа: не «понадобится много кубитов», а конкретный перечень блоков, циклов и сроков.

Правда, пиар, как обычно, больше сути. Ключевое допущение схемы — точность операций, взятая только из одного эксперимента октября 2025 года на двух ионах. Из него экстраполируется надёжность памяти в масштабе, который на четыре порядка ниже всего, что вообще удавалось просчитать. Конструкция к этому числу крайне чувствительна: чуть хуже реальность — и шанс, что машина доживёт до конца расчёта, падает почти до нуля. Заявленная скорость операций выше, чем показал цитируемый опыт: удвойте — вместо 26 суток получите 51. Схема предполагает единый монолит, тогда как собственная дорожная карта IonQ описывает модульную систему, и стоимость стыков в расчёт не заложена. И главное: схемы вычислений, из которых получены итоговые цифры, компания не опубликовала. Проверить смету со стороны нельзя.

Для самой IonQ это часть пиар-стратегии. Её гендиректор Никколо де Маси заявляет, что «квантовый судный день» наступит в 2028 году, а не в 2030-м, как прогнозировалось ранее. Отказоустойчивую машину IonQ обещает к 2027-му, а к 2028-му — как раз те самые возможности. То есть цифра 19 397 — ровно та отметка, на которую компания планирует выйти через два года.

Документ, доказывающий срочность угрозы, откалиброван под собственный график продаж. Сегодня коммерческие системы IonQ — это десятки кубитов, ближайшее поколение на сотню отстоит от нужного примерно в 194 раза. Попутно компания торгует и защитой от этой угрозы, и в том же релизе перечисляет, какие схемы подписи ей не по зубам.

Надо сказать, Google недавно тоже сдвинул собственный переход на постквантовую криптографию на 2029-й. Так что проблема не высосана из пальца. Что не отменяет желания квантовых копаний заработать на ней.

Возвращаясь к битку: всего монет с раскрытыми ключами сегодня набирается 6,7 млн — треть всей эмиссии, больше полутриллиона долларов. Из них 2,3 млн не шевелились дольше пяти лет, так что станут легкой добычей, даже если квантовый компьютер взломает ключ не за месяц, а за три.

Дальше — юридические риски.

В морском праве спор о поднятом золоте решает суд. В биткоине решать придётся консенсусом разработчиков. Конечно можно просто заморозить старые уязвимые адреса — включая монеты Сатоши. Но можно и оставить их, как приз для квантовых кладоискателей. Почему нет?

Читайте «Неквантовать!» в Telegram и Максе!