Quién puede congelar 6,4 millones de BTC y con qué legitimidad

El 16 de octubre, nueve empresas cripto —entre ellas Hacken, la Midnight Foundation de Charles Hoskinson, Quantus y Postquant Labs— presentaron la Quantum Alliance con una cifra concreta: 6,4 millones de bitcoin, el 30,2% del suministro, tienen su clave pública ya expuesta en la cadena. De esos, aproximadamente 1,1 millones se atribuyen a Satoshi Nakamoto. A los 81.600 dólares a los que cotizaba BTC esa misma semana, hablamos de unos 520.000 millones de dólares que, el día que exista un ordenador cuántico criptográficamente relevante, estarán matemáticamente a disposición de quien lo tenga.

Lo interesante del lanzamiento no fue el consenso, sino la discrepancia. Los miembros no coinciden en la fecha —Richard Carback, CTO de Postquant Labs, defiende 2028 como plazo realista; otros lo sitúan en 2035 o lo declaran incognoscible— pero esa discrepancia es la menos relevante. La que importa es la otra: si esas monedas vulnerables deben congelarse, moverse a la fuerza o depositarse en un fideicomiso del que los propietarios puedan rescatarlas probando titularidad. Es decir, si un consorcio privado puede proponer que se expropien bienes ajenos por su bien.

Nadie es dueño del problema

Bryn Bennett, director de ingresos de The Vault, lo formuló con una precisión que la cobertura habitual pasó por alto:

Nadie es dueño de ese problema, y ese es el problema. Un custodio protege los activos de sus clientes, no los abandonados. Congelar monedas es una decisión de gobernanza de la red Bitcoin, no de la industria. Cualquier congelación intercambiaría riesgo cuántico por un precedente sobre derechos de propiedad y neutralidad.

Esa frase describe un agujero institucional, no técnico. La criptografía post-cuántica existe: el NIST estandarizó algoritmos de firma resistentes y hay propuestas sobre la mesa para Bitcoin. Lo que no existe es un sujeto con legitimidad para decidir qué se hace con UTXOs cuyos dueños no pueden o no quieren responder. Changpeng Zhao sugirió congelar los 1,1 millones de Satoshi si siguen inmóviles cuando la tecnología avance. Jameson Lopp ha planteado restricciones sobre monedas vulnerables. Ambas propuestas son defendibles desde la seguridad del sistema y ambas vulneran la promesa que define el activo: que nadie puede confiscarte tus bitcoin.

Hay una asimetría cruel en el diseño. Los formatos de pago modernos ocultan la clave pública tras un hash hasta el momento del gasto, lo que da cierta protección. Pero las monedas más antiguas —las de la era Satoshi, pagadas a clave pública directamente— llevan su clave expuesta desde que se minaron. Y para moverlas a un esquema resistente hace falta la clave privada actual. Si se perdió, el propietario no puede migrar aunque quiera. La vulnerabilidad es, para ese subconjunto, estructuralmente irreparable sin intervención externa. Ahí es donde la decisión técnica se convierte en una decisión sobre propiedad.

El hardware se mueve sin emitir señal de precio

El mismo día, Google publicó en Science un resultado sobre su chip Willow que la industria cripto leyó demasiado rápido: una reducción de errores de unas 40 veces en la preparación de los llamados estados mágicos, con fidelidad en torno al 99,99% entre los estados que pasaron la inspección.

Conviene entender qué es eso, porque no significa que atacar Bitcoin sea cuarenta veces más barato. Un ordenador cuántico agrupa muchos qubits físicos en qubits lógicos capaces de detectar y corregir errores. Para ciertas operaciones, esos qubits lógicos consumen estados mágicos, que se gastan al usarse y hay que fabricar continuamente durante el cálculo. La analogía del artículo original es buena: una cocina donde cada plato necesita una salsa que no se puede reutilizar y parte del personal no cocina nunca, solo hace salsa. El hardware dedicado a producir estados mágicos es hardware que no está ejecutando el ataque.

Por eso el cuello de botella real de un ataque modelado no es solo el número de qubits, sino sostener alrededor de 500.000 estados mágicos fiables por segundo. El experimento de Google tuvo una tasa de éxito en la preparación de apenas el 8%. Estamos lejos. Pero el avance es de método, no de escala: mejora precisamente la parte que casi nadie contabilizaba al estimar el tamaño de la máquina necesaria. Las estimaciones de recursos vienen bajando, y bajan por donde no se miraba.

Aquí entra el problema epistémico que convierte esto en un asunto geopolítico y no solo de ingeniería. El mercado descuenta información pública. Un Estado que alcanzara capacidad criptográficamente relevante antes que nadie tendría todos los incentivos para no anunciarlo: el valor de esa capacidad está en su secreto. Christopher Smith, CEO de Quantus, lo dijo sin rodeos: lo más probable es que quien consiga el primer CRQC se quede con esas monedas, «probablemente con la bendición del gobierno nacional que corresponda». Su coda —«ojalá sea un gobierno al que le guste bitcoin»— es menos una broma que una descripción del régimen de riesgo: la protección del activo pasaría a depender de la preferencia política de un actor estatal.

La IA como arqueóloga de la confianza heredada

Que la opacidad estatal sobre capacidades criptográficas no es una hipótesis paranoica lo recordó esta semana un tercer suceso. Un modelo interno de Anthropic resolvió en menos de media hora un misterio de 25 años: el origen de las cinco semillas que la NSA entregó al NIST en los noventa para generar las curvas elípticas que hoy protegen buena parte de internet. La agencia nunca explicó de dónde salían esos números, y tras las revelaciones de Snowden la sospecha de una puerta trasera se volvió difícil de descartar. Koblitz y Menezes dedicaron un artículo al asunto en 2015; Steve Weis presentó solicitudes de acceso a documentos en 2018 sin resultado; Filippo Valsorda y otros ofrecieron una recompensa de 12.288 dólares que llegó a superar los 36.000. Jerry Solinas, el matemático de la NSA que entregó las semillas, murió en 2023 sin aclararlo.

Claude rastreó las semillas hasta lrand48, un generador de números aleatorios de las bibliotecas C antiguas, alimentado con marcas de tiempo de 1997 y 1998. Reprodujo la secuencia de P-256 y encontró coincidencia exacta en el candidato 1.842. Cualquiera puede reejecutar el programa. Conclusión: la puerta trasera es mucho menos probable.

El episodio corta en dos direcciones y conviene no quedarse solo con la que conviene. Confirma que durante un cuarto de siglo la infraestructura criptográfica global descansó sobre números que nadie podía auditar, y que la opacidad era deliberada. Pero también muestra que, cuando por fin se audita, el resultado puede ser benigno. Bitcoin, además, no estaba afectado: usa secp256k1, una curva con parámetros mucho más simples y poco margen para esconder una debilidad. La lección operativa es otra: los modelos están empezando a ser auditores eficaces de supuestos criptográficos heredados, y esa capacidad está disponible tanto para quien defiende como para quien ataca.

Dónde puede fallar esta lectura

El argumento de que el riesgo es institucional y no criptográfico tiene varios flancos. El primero: quizá el consenso llegue solo. Si en los próximos dieciocho meses aparece un BIP de firmas post-cuánticas con apoyo amplio de desarrolladores, mineros, monederos y exchanges, y la migración voluntaria avanza antes de que la amenaza se materialice, el dilema de la congelación nunca se vota. El mercado habría resuelto por adopción lo que parecía requerir una decisión soberana.

El segundo: los movimientos de monedas antiguas no prueban nada. El 7 de octubre se movieron 100,02 BTC inmóviles desde julio de 2010, unos 8,5 millones de dólares; en agosto, seis carteras inactivas desde 2011-2014 movieron 553,59 BTC, unos 40 millones. Es tentador leerlo como migración preventiva, pero mover monedas también puede significar cambio de custodia, reorganización o preparación de una venta. Atribuirlo al miedo cuántico es narrativa, no evidencia.

El tercero, el más serio: el salto del 8% de éxito en preparación de estados mágicos a 500.000 estados fiables por segundo es de varios órdenes de magnitud, y la historia de la computación cuántica está llena de avances de método que no se tradujeron en escala. Si en 2029 seguimos sin un CRQC, toda esta discusión habrá sido una externalidad reputacional para quienes la promovieron, con el coste añadido de haber normalizado la idea de que congelar monedas es una opción sobre la mesa.

Qué hacer con esto si construyes o inviertes

Hay una cola de riesgo que hoy no tiene instrumento de cobertura. Un ETF de bitcoin al contado, una empresa cotizada con BTC en balance o un custodio institucional pueden cubrir volatilidad de precio, pero no pueden cubrir riesgo de gobernanza de protocolo: la posibilidad de que las reglas del activo cambien por consenso social en respuesta a una amenaza técnica. No es un riesgo de mercado, es binario y jurídico, y no existe opción que lo replique.

Lo accionable es más mundano y nadie lo está publicando: saber qué porcentaje de las reservas propias está en direcciones con clave pública expuesta, desglosado por tipo de script. Esa cifra es calculable hoy, con datos on-chain, y debería estar en cualquier informe de reservas serio junto con una política explícita de no reutilización de direcciones. Un custodio que no pueda responder a esa pregunta en una due diligence está admitiendo que no ha mirado.

Para quien construye producto, el coste de la migración no está en la criptografía, como señalaba Bennett: está en coordinar monederos, exchanges, custodios y desarrolladores de protocolo. Las firmas post-cuánticas ocupan más espacio en bloque, lo que presiona comisiones y rendimiento. Cualquier roadmap que hoy asuma el tamaño actual de una firma ECDSA como constante hasta 2030 está haciendo una apuesta implícita que conviene hacer explícita. Y conviene mirar con escepticismo a todo proveedor que ya se anuncie como quantum-safe: la pregunta correcta no es qué algoritmo usa, sino cómo piensa migrar las claves que ya están expuestas en una cadena pública e inmutable.