Debate sobre migração quântica do Bitcoin gira em torno de direitos de propriedade

O dilema central

O debate sobre como o Bitcoin deve reagir a um eventual computador quântico capaz de quebrar a criptografia de curvas elípticas (ECC) não é apenas técnico: é um conflito sobre quais princípios do sistema prevalecem. O autor, Jameson Lopp, argumenta que toda opção séria viola algum valor importante. Não fazer nada preserva as regras atuais, mas permite que atores quânticos futuros tomem moedas cujos donos nunca consentiram. Congelar moedas vulneráveis impede o roubo, mas invalida retroativamente condições de gasto legítimas. Uma migração forçada a assinaturas pós-quânticas pode parecer um regime de confisco com prazo. Para o autor, a questão real é como minimizar a violação total de direitos de propriedade quando as assinaturas ECDSA e Schnorr deixarem de autenticar a posse legítima.

A ameaça e as incertezas

O algoritmo de Shor, executado por um computador quântico suficientemente capaz, permitiria derivar chaves privadas a partir de chaves públicas, invalidando a base de segurança do ECDSA e do Schnorr. Há duas classes de ataque: de longo alcance, contra saídas cujas chaves públicas já estão expostas na blockchain (como saídas P2PK antigas e Taproot), e de curto alcance, no momento do gasto. O algoritmo de Grover, por sua vez, oferece apenas vantagem quadrática para mineração, considerada pouco prática.

Céticos não negam que Shor quebraria o ECC; eles questionam se um computador quântico tolerante a falhas será algum dia construído. Citações incluem Mikhail Dyakonov, que alega que o teorema do limiar de tolerância a falhas depende de condições idealizadas, e Gil Kalai, que argumenta que ruído correlacionado e acumulação de erros podem inviabilizar a correção de erros em escala. Os críticos também rejeitam extrapolações simples de contagem de qubits, já que os sistemas quânticos são analógicos e frágeis.

O tamanho do problema

Mesmo que todos os usuários ativos migrem para criptografia pós-quântica, a análise do autor estima cerca de 2,6 milhões de BTC vulneráveis (13% da oferta), incluindo cerca de 1,7 milhão de BTC em saídas P2PK antigas, uma fração minúscula dos UTXOs por contagem, mas com valor muito desproporcional. O BIP-361 propõe fases: impedir novos envios a endereços vulneráveis, desativar gastos legados após janela de anos e prever recuperação via provas de conhecimento (como zk-STARKs) para donos legítimos.

Pró e contra o congelamento

Pró-congelamento: um atacante quântico não é dono legítimo em sentido moral; um varredura redistribuiria riqueza para quem detiver capacidade quântica primeiro, ameaçando a segurança do ecossistema, inclusive com risco de ataques políticos ou de 51%. Moedas perdidas retomando circulação aumentaria a oferta efetiva. Pieter Wuille observa que a mera crença crível de que um computador quântico está próximo pode causar pânico, e um plano de desativação pode ser o suficiente para restaurar confiança. Matt Corallo defende adicionar capacidade pós-quântica com antecedência. Prazos também dão objetividade a custodiantes e ETFs com dever fiduciário.

Anti-congelamento: o contrato social do Bitcoin é que moeda válida permanece gastável pelo dono da chave. Congelar pune colecionadores de longo prazo, herdeiros, usuários em jurisdições hostis e detentores dormentes, e cria precedente para invalidações futuras. Há risco de fork, risco legal para desenvolvedores e incerteza sobre o prazo real da ameaça. Além disso, a criptografia pós-quântica traz assinaturas muito maiores, custos de transação maiores e questões de maturidade - NIST padronizou ML-DSA, SLH-DSA e ML-KEM, mas as restrições do Bitcoin são singulares.

Alternativas e governança

Propostas intermediárias incluem bloquear apenas novas saídas vulneráveis, bloqueios temporários com reativação futura (Boris Nagaev), limitação de taxa pelo Hourglass V2 (um BTC por bloco de saídas P2PK, estendendo o movimento por décadas, embora criticado por violar gasto sem permissão), commit-delay-reveal, e recuperação via provas zk-STARK de posse de seed - viável, mas com provas de ~200 KB e custos que podem inviabilizar UTXOs pequenos. A Chaincode estima que migrar todos os UTXOs consumiria 76 a 142 dias de block space total, com cronograma completo de cinco a quinze anos, ou dois em emergência.

O autor lembra o Value Overflow Incident de 2010, quando uma regra foi retroativamente invalidada por soft fork, como precedente de que direitos de propriedade já foram violados no Bitcoin. Ele compara a situação ao incidente do DAO no Ethereum e conclui que a melhor época para planejar a migração é antes da urgência - mas persuadir nessa fase é justamente o mais difícil. Como o protocolo não consegue ler intenções, a saída provável exige abordagem em múltiplas fases, provas de resgate e regras objetivas de script, em vez de listas discricionárias de endereços.