Quem pode congelar 6,4 milhões de BTC e com que legitimidade
No dia 16 de outubro, nove empresas cripto — entre elas Hacken, a Midnight Foundation de Charles Hoskinson, Quantus e Postquant Labs — apresentaram a Quantum Alliance com um número concreto: 6,4 milhões de bitcoin, 30,2% do suprimento, já têm sua chave pública exposta na cadeia. Desses, aproximadamente 1,1 milhão são atribuídos a Satoshi Nakamoto. Aos 81.600 dólares em que o BTC era negociado naquela mesma semana, falamos de cerca de 520 bilhões de dólares que, no dia em que existir um computador quântico criptograficamente relevante, estarão matematicamente à disposição de quem o tiver.
O mais interessante do lançamento não foi o consenso, e sim a divergência. Os membros não concordam quanto à data — Richard Carback, CTO da Postquant Labs, defende 2028 como prazo realista; outros apontam 2035 ou declaram que é incognoscível — mas essa divergência é a menos relevante. A que importa é a outra: se essas moedas vulneráveis devem ser congeladas, movidas à força ou depositadas em um fundo fiduciário do qual os proprietários possam resgatá-las comprovando titularidade. Ou seja, se um consórcio privado pode propor a expropriação de bens alheios para o bem deles.
Ninguém é dono do problema
Bryn Bennett, diretor de receitas da The Vault, formulou a questão com uma precisão que a cobertura habitual deixou passar:
Ninguém é dono desse problema, e esse é o problema. Um custodiante protege os ativos de seus clientes, não os abandonados. Congelar moedas é uma decisão de governança da rede Bitcoin, não da indústria. Qualquer congelamento trocaria risco quântico por um precedente sobre direitos de propriedade e neutralidade.
Essa frase descreve um buraco institucional, não técnico. A criptografia pós-quântica existe: o NIST padronizou algoritmos de assinatura resistentes e há propostas sobre a mesa para o Bitcoin. O que não existe é um sujeito com legitimidade para decidir o que fazer com UTXOs cujos donos não podem ou não querem responder. Changpeng Zhao sugeriu congelar os 1,1 milhão de Satoshi se seguirem imóveis quando a tecnologia avançar. Jameson Lopp já propôs restrições sobre moedas vulneráveis. Ambas as propostas são defensáveis do ponto de vista da segurança do sistema e ambas violam a promessa que define o ativo: que ninguém pode confiscar os seus bitcoin.
Há uma assimetria cruel no desenho. Os formatos de pagamento modernos escondem a chave pública atrás de um hash até o momento do gasto, o que dá certa proteção. Mas as moedas mais antigas — as da era Satoshi, pagas diretamente à chave pública — carregam sua chave exposta desde que foram mineradas. E, para movê-las para um esquema resistente, é preciso a chave privada atual. Se ela foi perdida, o proprietário não pode migrar nem que queira. A vulnerabilidade é, para esse subconjunto, estruturalmente irreparável sem intervenção externa. É aí que a decisão técnica vira uma decisão sobre propriedade.
O hardware avança sem emitir sinal de preço
No mesmo dia, o Google publicou na Science um resultado sobre seu chip Willow que a indústria cripto leu rápido demais: uma redução de erros de cerca de 40 vezes na preparação dos chamados estados mágicos, com fidelidade em torno de 99,99% entre os estados que passaram pela inspeção.
Vale entender o que é isso, porque não significa que atacar o Bitcoin ficou quarenta vezes mais barato. Um computador quântico agrupa muitos qubits físicos em qubits lógicos capazes de detectar e corrigir erros. Para certas operações, esses qubits lógicos consomem estados mágicos, que se gastam ao serem usados e precisam ser fabricados continuamente durante o cálculo. A analogia do artigo original é boa: uma cozinha em que cada prato precisa de um molho que não pode ser reaproveitado e parte da equipe nunca cozinha, só faz molho. O hardware dedicado a produzir estados mágicos é hardware que não está executando o ataque.
Por isso o gargalo real de um ataque modelado não é apenas o número de qubits, mas sustentar cerca de 500.000 estados mágicos confiáveis por segundo. O experimento do Google teve uma taxa de sucesso na preparação de apenas 8%. Estamos longe. Mas o avanço é de método, não de escala: melhora justamente a parte que quase ninguém contabilizava ao estimar o tamanho da máquina necessária. As estimativas de recursos vêm caindo, e caem justamente por onde não se olhava.
Aqui entra o problema epistêmico que transforma isso em um assunto geopolítico e não apenas de engenharia. O mercado precifica informação pública. Um Estado que alcançasse capacidade criptograficamente relevante antes de todos teria todos os incentivos para não anunciar: o valor dessa capacidade está em seu sigilo. Christopher Smith, CEO da Quantus, disse sem rodeios: o mais provável é que quem conseguir o primeiro CRQC fique com essas moedas, «provavelmente com a bênção do governo nacional correspondente». Sua coda — «tomara que seja um governo que goste de bitcoin» — é menos uma piada do que a descrição de um regime de risco: a proteção do ativo passaria a depender da preferência política de um ator estatal.
A IA como arqueóloga da confiança herdada
Que a opacidade estatal sobre capacidades criptográficas não é uma hipótese paranoica foi lembrado nesta semana por um terceiro episódio. Um modelo interno da Anthropic resolveu em menos de meia hora um mistério de 25 anos: a origem das cinco sementes que a NSA entregou ao NIST nos anos 1990 para gerar as curvas elípticas que hoje protegem boa parte da internet. A agência nunca explicou de onde saíram esses números e, após as revelações de Snowden, a suspeita de um backdoor ficou difícil de descartar. Koblitz e Menezes dedicaram um artigo ao tema em 2015; Steve Weis apresentou pedidos de acesso a documentos em 2018 sem resultado; Filippo Valsorda e outros ofereceram uma recompensa de 12.288 dólares que chegou a superar os 36.000. Jerry Solinas, o matemático da NSA que entregou as sementes, morreu em 2023 sem esclarecer o caso.
Claude rastreou as sementes até o lrand48, um gerador de números aleatórios das antigas bibliotecas C, alimentado com marcas de tempo de 1997 e 1998. Reproduziu a sequência da P-256 e encontrou coincidência exata no candidato 1.842. Qualquer pessoa pode reexecutar o programa. Conclusão: o backdoor é muito menos provável.
O episódio corta nas duas direções e convém não ficar só com a que interessa. Confirma que, durante um quarto de século, a infraestrutura criptográfica global repousou sobre números que ninguém podia auditar, e que a opacidade era deliberada. Mas também mostra que, quando finalmente se audita, o resultado pode ser benigno. O Bitcoin, além disso, não estava afetado: usa secp256k1, uma curva com parâmetros muito mais simples e pouca margem para esconder uma fragilidade. A lição operacional é outra: os modelos estão começando a ser auditores eficazes de pressupostos criptográficos herdados, e essa capacidade está disponível tanto para quem defende quanto para quem ataca.
Onde esta leitura pode falhar
O argumento de que o risco é institucional e não criptográfico tem vários flancos. O primeiro: talvez o consenso chegue sozinho. Se nos próximos dezoito meses surgir um BIP de assinaturas pós-quânticas com apoio amplo de desenvolvedores, mineradores, carteiras e exchanges, e a migração voluntária avançar antes de a ameaça se materializar, o dilema do congelamento nunca vai a voto. O mercado teria resolvido por adoção o que parecia exigir uma decisão soberana.
O segundo: as movimentações de moedas antigas não provam nada. Em 7 de outubro, 100,02 BTC parados desde julho de 2010 foram movimentados, cerca de 8,5 milhões de dólares; em agosto, seis carteiras inativas desde 2011-2014 moveram 553,59 BTC, algo como 40 milhões. É tentador ler isso como migração preventiva, mas mover moedas também pode significar troca de custódia, reorganização ou preparação de uma venda. Atribuir ao medo quântico é narrativa, não evidência.
O terceiro, o mais sério: o salto dos 8% de sucesso na preparação de estados mágicos para 500.000 estados confiáveis por segundo é de várias ordens de magnitude, e a história da computação quântica está cheia de avanços de método que não se traduziram em escala. Se em 2029 continuarmos sem um CRQC, toda essa discussão terá sido uma externalidade reputacional para quem a promoveu, com o custo adicional de ter normalizado a ideia de que congelar moedas é uma opção sobre a mesa.
O que fazer com isso se você constrói ou investe
Há uma cauda de risco que hoje não tem instrumento de hedge. Um ETF de bitcoin à vista, uma empresa listada com BTC em balanço ou um custodiante institucional podem cobrir volatilidade de preço, mas não podem cobrir risco de governança de protocolo: a possibilidade de que as regras do ativo mudem por consenso social em resposta a uma ameaça técnica. Não é um risco de mercado, é binário e jurídico, e não existe opção que o replique.
O acionável é mais prosaico e ninguém está publicando: saber qual porcentagem das próprias reservas está em endereços com chave pública exposta, segmentado por tipo de script. Esse número é calculável hoje, com dados on-chain, e deveria constar de qualquer relatório de reservas sério, junto com uma política explícita de não reutilização de endereços. Um custodiante que não consiga responder a essa pergunta em um due diligence está admitindo que não olhou.
Para quem constrói produto, o custo da migração não está na criptografia, como apontava Bennett: está em coordenar carteiras, exchanges, custodiantes e desenvolvedores de protocolo. As assinaturas pós-quânticas ocupam mais espaço no bloco, o que pressiona taxas e desempenho. Qualquer roadmap que hoje assuma o tamanho atual de uma assinatura ECDSA como constante até 2030 está fazendo uma aposta implícita que convém tornar explícita. E convém olhar com ceticismo para todo fornecedor que já se anuncia como quantum-safe: a pergunta certa não é qual algoritmo ele usa, mas como pretende migrar as chaves que já estão expostas em uma cadeia pública e imutável.
