¿Por qué EE. UU. bloqueó el paper cuántico de Google sobre Bitcoin?

El paper cuántico de Google sobre Bitcoin no demuestra que alguien pueda vaciar carteras mañana por la mañana, café en mano y ordenador encendido. Lo que sí demuestra, y por eso ha levantado polvo, es bastante más incómodo: los cálculos necesarios para atacar la criptografía de curva elíptica que protege Bitcoin, Ethereum y buena parte del ecosistema cripto serían mucho menores de lo que se estimaba hace unos años. La puerta no está abierta, pero el plano de la cerradura acaba de hacerse más fino.

La polémica por el bloqueo de EE. UU. gira alrededor de los circuitos cuánticos que Google no publicó. La versión oficial de la compañía habla de divulgación responsable y de contactos con el Gobierno estadounidense antes de enseñar los resultados. Varios expertos del sector, entre ellos voces vinculadas a Ethereum y Ledger, han ido más lejos y sostienen que Washington impidió la publicación completa. El motivo probable es claro: esos circuitos no son un adorno académico, sino la parte que podría ayudar a un actor hostil a optimizar un ataque futuro contra claves criptográficas reales. No es censura de una receta de cocina. Es, más bien, esconder el molde de una ganzúa matemática.

El paper que puso números al susto cuántico

El documento se titula Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations y aparece firmado por investigadores de Google Quantum AI junto a nombres vinculados a la Ethereum Foundation, UC Berkeley y Stanford. Entre los autores figuran Ryan Babbush, Adam Zalcman, Craig Gidney, Hartmut Neven, Justin Drake y Dan Boneh, una alineación que en criptografía pesa bastante más que un hilo viral con calaveras y cohetes.

El núcleo del estudio es el problema del logaritmo discreto en curvas elípticas sobre secp256k1, la curva criptográfica que usa Bitcoin para demostrar que quien mueve unas monedas posee la clave privada correspondiente. Traducido al castellano de calle: Bitcoin no guarda una contraseña en una caja; guarda una relación matemática entre una clave pública visible en ciertos momentos y una clave privada que debe permanecer secreta. Esa relación es inviable de romper con ordenadores clásicos bien diseñados. Con un ordenador cuántico suficientemente grande y estable, la historia cambia.

Google estima que el algoritmo de Shor, el viejo fantasma de la criptografía moderna, podría resolver ese problema con dos variantes de circuito: una con alrededor de 1.200 cúbits lógicos y 90 millones de puertas Toffoli, y otra con unos 1.450 cúbits lógicos y 70 millones de esas operaciones. La cifra que más titulares ha provocado es la traducción a hardware físico: en una arquitectura superconductora con corrección de errores, el ataque podría ejecutarse con menos de medio millón de cúbits físicos y en cuestión de minutos.

La diferencia entre cúbits lógicos y cúbits físicos importa. Mucho. Un cúbit físico es la pieza real, ruidosa, delicada, casi temperamental, del ordenador cuántico. Un cúbit lógico es una construcción más robusta hecha a partir de muchos cúbits físicos para corregir errores. La máquina capaz de hacer lo que describe el paper no existe todavía. Conviene repetirlo porque el mercado cripto suele pasar del bostezo al apocalipsis con la elegancia de una puerta de garaje: no hay hoy un ordenador cuántico capaz de romper Bitcoin.

Pero el estudio cambia el calendario mental. Antes se hablaba con cierta comodidad de décadas. Ahora la conversación se acerca a años, a ciclos de actualización, a gobernanza, a carteras dormidas, a usuarios que reutilizan direcciones y a redes descentralizadas que no se pueden actualizar como quien instala una app del tiempo. La seguridad poscuántica deja de ser un futurible con bata blanca y empieza a parecer una reforma estructural pendiente, de esas que nadie quiere pagar hasta que aparece la primera grieta.

Qué significa realmente romper Bitcoin

Romper Bitcoin, en este contexto, no significa apagar la red, falsificar bloques a voluntad o convertir la minería en confeti. El paper se concentra en las firmas digitales, no en el mecanismo de prueba de trabajo que ordena la cadena. Es una distinción crucial. El ataque cuántico más preocupante no consiste en minar mejor que todos, sino en derivar una clave privada a partir de una clave pública expuesta.

Bitcoin funciona con una coreografía bastante sobria. Para gastar unas monedas, el usuario firma una transacción. Esa firma permite a la red comprobar que tiene derecho a mover esos fondos. En algunos tipos de direcciones, la clave pública queda visible desde el principio. En otros, aparece cuando se gasta. En los casos más prudentes, el sistema solo muestra una huella, un hash, hasta que llega el momento de firmar. Ahí aparece la grieta: si una transacción está en la mempool esperando confirmación y un atacante cuántico pudiera derivar la clave privada en minutos, podría intentar emitir otra transacción con una comisión más alta y llevarse el dinero antes de que el bloque cierre la escena.

El propio paper describe un escenario de ataque on-spend, es decir, durante el gasto. Con un tiempo medio de derivación cercano a los nueve minutos y un bloque de Bitcoin que llega, de media, cada diez, el margen no es ciencia ficción decorativa. Bajo supuestos favorables al atacante, el riesgo teórico de éxito ronda el 41 %. La palabra importante aquí es teórico. No porque sea irrelevante, sino porque depende de una máquina que aún no está en el mundo real.

También hay un riesgo at-rest, sobre fondos quietos, especialmente cuando la clave pública ya está visible en la cadena. El paper identifica alrededor de 6,9 millones de BTC en situaciones vulnerables si algún día existiera un ordenador cuántico criptográficamente relevante. Entre ellos hay monedas antiguas en formatos como P2PK, muy usados en la primera etapa de Bitcoin, cuando Satoshi y compañía aún caminaban por una red casi vacía, sin los rascacielos especulativos de después.

El matiz que evita el pánico

El matiz sano, el que separa la información del susto rentable, es que Bitcoin no está roto hoy. Las carteras no están siendo abiertas por una entidad cuántica escondida debajo de una montaña de Nevada. Lo que ha ocurrido es más sutil y, quizá por eso, más serio: el coste estimado de un ataque futuro ha bajado. La distancia entre la teoría y la práctica sigue siendo grande, pero ya no parece una línea en el horizonte pintada con acuarela. Tiene números, tiempos y rutas técnicas.

Ahí está la incomodidad. La seguridad no se rompe solo cuando cae el muro; también se debilita cuando aparece una excavadora a pocos kilómetros y los ingenieros descubren que el cemento era más fino de lo previsto. Google no ha anunciado el fin de Bitcoin. Ha avisado de que la migración poscuántica ya no pertenece al cajón de las rarezas para conferencias.

Por qué EE. UU. quiso frenar los circuitos

La pregunta política del asunto es la más jugosa: por qué el Gobierno de EE. UU. habría frenado la publicación completa del trabajo. La respuesta razonable nace de una tensión clásica en ciberseguridad: cuánto se debe contar cuando se descubre una vulnerabilidad que aún no se puede explotar masivamente, pero que podría convertirse en una guía para quien tenga recursos, paciencia y pocos escrúpulos.

Google publicó los resultados generales y las estimaciones, pero no los circuitos concretos. Esos circuitos son la parte operativa del diseño: la secuencia optimizada de pasos que permite convertir una idea matemática en un procedimiento ejecutable en una futura máquina cuántica. Publicarlos habría dado a la comunidad científica un material verificable de primera mano, sí, pero también habría entregado a Estados, empresas opacas o grupos con acceso a tecnología avanzada una base de trabajo más directa. El mundo académico ama la transparencia; los servicios de seguridad, no siempre. Sorpresa moderada.

La compañía eligió una fórmula intermedia: demostrar que tiene esos circuitos sin enseñarlos. Su blog habló de contactos con el Gobierno estadounidense y de una divulgación responsable para evitar ofrecer una hoja de ruta a actores maliciosos. Después, investigadores y especialistas del ecosistema cripto denunciaron que la decisión no fue una simple autocontención elegante, sino un bloqueo gubernamental. Hasta ahora, no hay una orden pública detallada ni una agencia identificada que permita afirmar con precisión administrativa quién dijo qué, cuándo y con qué instrumento jurídico. Lo sólido es esto: Google no publicó los circuitos reales y presentó la omisión como una medida de seguridad coordinada.

El motivo de fondo encaja con la lógica de seguridad nacional. La criptografía de curva elíptica no protege solo monederos de Bitcoin. Está o ha estado presente en firmas digitales, comunicaciones, sistemas de autenticación, infraestructuras y herramientas de identidad. Bitcoin es el escaparate más visible porque su contabilidad es pública y sus recompensas son líquidas. Una especie de caja fuerte transparente en mitad de la plaza. Pero el problema cuántico no termina en las criptomonedas; empieza ahí porque se ve mejor.

La solución elegida por Google fue una prueba de conocimiento cero, conocida en el sector como ZK proof. La idea parece magia de feria, pero es criptografía seria: permite demostrar que sabes algo sin revelar ese algo. Como enseñar que tienes la llave de una habitación sin sacar la llave del bolsillo. O como probar que sabes resolver un laberinto sin dibujar el camino para los demás.

En el paper, Google usa esa técnica para sostener que posee circuitos con los recursos declarados sin publicar el diseño completo. El apéndice técnico explica que la prueba se generó con una máquina virtual de conocimiento cero, SP1, y un esquema Groth16. En términos menos ásperos: Google entregó una forma de comprobar que sus números no salían de una servilleta, pero ocultó la receta exacta del circuito.

La prueba validaba, entre otras cosas, que el circuito calculaba correctamente operaciones de suma de puntos sobre la curva secp256k1 en miles de entradas pseudoaleatorias. Esa operación no es todo el ataque, pero sí una pieza crítica del engranaje. De ahí la delicadeza: no se trataba de ocultar una opinión, sino de no publicar una optimización concreta que podría acelerar el trabajo de terceros.

Hay una ironía hermosa, casi literaria, en todo esto. Para demostrar una amenaza contra la criptografía de curva elíptica, Google recurrió a una prueba criptográfica que también vive dentro de un ecosistema matemático expuesto a la llegada de ordenadores cuánticos suficientemente potentes. El paper reconoce ese detalle con una frialdad bastante académica: mientras esos ordenadores no existan, la prueba sigue siendo válida. La serpiente aún no se muerde la cola, pero ya la mira.

La reconstrucción independiente que cambió el clima

El asunto se volvió más serio cuando investigadores externos empezaron a reconstruir lo que Google había preferido no publicar. André Schrottenloher, investigador asociado al ecosistema académico francés, presentó una construcción con costes similares e incluso alguna mejora en el recuento de operaciones. Craig Gidney, uno de los autores del paper de Google, reconoció públicamente que Schrottenloher había conseguido emparejar las ideas clave en apenas dos meses. El dato es importante porque rebaja el consuelo de “si no se publica, nadie lo encontrará”.

La reconstrucción no significa que mañana aparezca un atacante cuántico en la mempool de Bitcoin como un ladrón con guantes blancos. Significa otra cosa: las optimizaciones algorítmicas circulan, se intuyen, se recomponen. La ciencia tiene goteras por diseño, y normalmente eso es una virtud. El conocimiento avanza porque alguien lee, conecta puntos, prueba, falla, mejora. En seguridad, esa misma virtud puede convertirse en una cinta transportadora hacia el riesgo.

Este episodio deja una lección incómoda para los calendarios oficiales. Si Google guarda los circuitos y otro investigador se acerca a ellos en pocas semanas, el margen entre la investigación clasificada, la investigación pública y la ingeniería práctica se estrecha. No porque el hardware esté listo, sino porque el software del ataque se está volviendo más eficiente.

Aquí conviene no confundir dos velocidades. Una cosa es optimizar un circuito en papel o en código verificable. Otra, mucho más brutal, es construir una máquina cuántica tolerante a fallos con miles de cúbits lógicos y cientos de miles de cúbits físicos funcionando de manera estable. La primera carrera se acelera con papers, repositorios y cerebros brillantes. La segunda exige fábricas, física, criogenia, control de errores, dinero y una paciencia que no cabe en un tuit.

Bitcoin ante la migración poscuántica

La pregunta práctica es qué puede hacer Bitcoin. Y aquí el carácter de la red, tan celebrado para unas cosas, se vuelve espeso como alquitrán para otras. En una empresa centralizada, alguien puede fijar una fecha, cambiar librerías, rotar claves y mandar un correo con tono corporativo. En Bitcoin no hay director de sistemas ni botón rojo. Hay consenso, nodos, mineros, desarrolladores, usuarios, inercias, desconfianza y una filosofía política que suele mirar cualquier cambio como si entrara un inspector de Hacienda en una boda.

Ya existe debate técnico sobre soluciones poscuánticas. BIP-360, por ejemplo, propone un tipo de salida llamado Pay-to-Merkle-Root, pensado para reducir exposición de claves públicas y ofrecer una ruta hacia firmas resistentes a ataques cuánticos. Que una propuesta exista no significa que Bitcoin haya migrado. Ni de lejos. Primero hace falta consenso técnico, después implementación, luego adopción, y finalmente el paso más difícil: que los usuarios muevan fondos desde direcciones vulnerables hacia esquemas nuevos.

El gran problema son las monedas dormidas. Fondos antiguos, claves perdidas, carteras abandonadas, direcciones de la era inicial. Si algún día existe un ordenador cuántico capaz de derivar claves privadas desde claves públicas expuestas, esos activos podrían quedar a merced del primero que llegue con la máquina adecuada. ¿Se queman? ¿Se dejan? ¿Se establece una ventana de migración? ¿Quién decide eso en una red que presume, con razón, de no tener dueño? Ahí empieza la política, aunque algunos la disfracen de técnica con bata blanca.

Ethereum, por su parte, ha movido ficha con una hoja de ruta poscuántica más estructurada, apoyada en abstracción de cuentas, firmas alternativas y cambios progresivos en distintas capas del protocolo. No porque Ethereum sea inmune, sino porque su modelo de gobernanza y actualización es diferente. Bitcoin es más conservador, para bien y para mal. Su lentitud protege contra ocurrencias, pero también puede dejarlo mirando la tormenta con paraguas de papel.

La referencia de fondo es el trabajo del NIST, que ya finalizó estándares poscuánticos para cifrado y firmas digitales, como ML-KEM, ML-DSA y SLH-DSA. Esos nombres suenan a matrícula de nave industrial, pero marcan el camino de la transición: algoritmos diseñados para resistir tanto ordenadores clásicos como futuros ordenadores cuánticos. La industria tradicional ya ha empezado a moverse. Las blockchains van detrás, con una dificultad añadida: no basta con actualizar servidores; hay que mover riqueza, hábitos y confianza.

La caja fuerte aún no está abierta

La noticia no es que Google haya roto Bitcoin. Tampoco que EE. UU. haya descubierto una forma secreta de vaciar la blockchain desde un sótano federal con fluorescentes tristes. La noticia es más fina: Google ha reducido de forma notable las estimaciones de recursos para atacar la criptografía de curva elíptica, no ha publicado los circuitos completos por razones de divulgación responsable y seguridad, y la comunidad ya ha demostrado que parte de ese conocimiento puede reconstruirse desde fuera.

Eso cambia el clima. La amenaza cuántica deja de ser una nube abstracta sobre el año 2040 y se convierte en un problema de planificación: qué direcciones son vulnerables, qué usuarios reutilizan claves, qué fondos no podrán migrar, qué redes tienen capacidad de reforma y qué gobiernos consideran demasiado sensible publicar ciertos avances. Bitcoin sigue funcionando. Las transacciones siguen firmándose. La red sigue respirando con su mezcla habitual de matemática, ideología y mercado. Pero el reloj, ese aparato antipático, acaba de sonar un poco más cerca.

La mejor lectura no es el pánico. El pánico vende mal incluso cuando cotiza bien. La lectura seria es que la seguridad criptográfica no es una estatua de bronce, sino una obra pública: se revisa, se refuerza, se cambia antes de que el puente cruja. Google ha enseñado la sombra de una herramienta capaz de forzar una cerradura que todavía parece segura. EE. UU., según la interpretación más dura de los expertos, no quiso que se viera el instrumento entero. Y Bitcoin, orgulloso como una vieja fortaleza frente al mar, tiene por delante una pregunta que ya no puede aplazar eternamente: cómo prepararse para una máquina que aún no existe, pero cuya silueta empieza a verse con demasiada claridad.