Bitcoin ante el ordenador cuántico: 6,7 millones de monedas podrían quedar congeladas para siempre

Entre los desarrolladores de Bitcoin circula una propuesta que dejaría inservible de forma permanente cerca de un tercio de todos los bitcoins. No por un robo ni por la incautación de un Estado: quedarían bloqueados sin más por las propias reglas de la red. También se verían afectados unos 1,7 millones de monedas que, según la interpretación más extendida, pertenecen al creador anónimo de Bitcoin.

No se trata de una opinión marginal. Entre los autores figura Jameson Lopp, cofundador del servicio de custodia Casa y uno de los investigadores de seguridad más consolidados del sector. La propuesta lleva un número oficial en el sistema de propuestas de Bitcoin. Y existe por un peligro que en el último año y medio ha pasado de teoría lejana a cuestión de calendario.

Este artículo explica qué se propone en concreto, por qué la amenaza se considera creíble y por qué el remedio planteado resulta más polémico que la propia enfermedad.

¿En qué consiste exactamente la propuesta?

Las modificaciones del protocolo Bitcoin se publican en un sistema numerado. Cada propuesta se denomina Bitcoin Improvement Proposal, abreviado BIP. Un número no implica ni aprobación ni calendario. Solo significa que una idea se ha documentado en un formato uniforme para que la comunidad pueda examinarla. La mayoría de los BIP nunca llegan a aplicarse.

Dos de ellos son relevantes aquí, y uno se apoya en el otro.

• El primero, BIP-360, crea un nuevo tipo de dirección que un ordenador cuántico no podría descifrar. Es la parte constructiva. Añade una opción sin quitar nada y, por tanto, apenas genera controversia.
• El segundo, BIP-361, titulado oficialmente «Post Quantum Migration and Legacy Signature Sunset», es la parte conflictiva. Fija un plazo. Las monedas que no hayan migrado al nuevo tipo de dirección resistente a la computación cuántica en esa fecha límite ya no podrían moverse después. La propuesta recibió su número el 11 de febrero de 2026 y sigue en fase de borrador. No se ha activado nada y no hay una fecha fijada.

Hay un detalle decisivo que suele pasar desapercibido en la cobertura informativa: BIP-361 solo funciona si BIP-360 está activado. El plazo, por tanto, no empieza a correr antes de que exista realmente el destino seguro.

¿Por qué un ordenador cuántico podría robar bitcoins?

Para seguir el argumento hace falta un concepto técnico.

Cada monedero de Bitcoin guarda dos números vinculados entre sí matemáticamente. La clave privada es el secreto que autoriza un pago. La clave pública se deriva de ella y puede compartirse sin riesgo. Esta relación solo funciona en un sentido: calcular la clave pública a partir de la privada es trivial. El camino inverso mantendría ocupado a un ordenador convencional más tiempo del que tiene el universo.

Es justo esa vía de sentido único la que protege a Bitcoin. Y es justo la que anularía un ordenador cuántico lo bastante potente. Las máquinas cuánticas pueden ejecutar procedimientos que trasladan ese cálculo inverso de lo imposible a lo factible.

Que una dirección sea vulnerable depende así de una sola pregunta: ¿ha llegado a verse alguna vez su clave pública en la blockchain?

En la mayoría de las direcciones modernas la respuesta es no. La dirección que tú compartes es una versión abreviada y cifrada de la clave pública. La clave en sí solo queda a la vista cuando pagas desde esa dirección. Hay, sin embargo, dos categorías de monedas expuestas de forma permanente. La primera es el formato de dirección más antiguo, el de 2009 y 2010, que publicaba la clave pública directamente en la blockchain. La segunda es cualquier dirección desde la que ya se haya pagado y que después haya vuelto a recibir fondos. Esta reutilización de direcciones sigue siendo habitual hoy y deja la clave expuesta de forma duradera.

Otro punto vuelve el asunto especialmente incómodo: puede que un ataque ni siquiera llegue a detectarse. Quien descifra una clave no tiene por qué actuar de inmediato. Los autores de la propuesta describen un escenario en el que las claves privadas se calculan en silencio y los saldos se van retirando poco a poco durante semanas o meses para no alertar a nadie. En ese caso, el sector se enteraría de un ataque cuántico mucho después de su inicio.

¿Cuántos bitcoins están realmente afectados?

La propuesta aporta su propia cifra: a 1 de marzo de 2026, más del 34 % de todos los bitcoins habían expuesto su clave pública en la blockchain. Un estudio encargado por Google cifra en unos 6,7 millones de $BTC los saldos alojados en direcciones vulnerables.

De ese total, unos 1,7 millones de monedas corresponden al formato de dirección más antiguo, el de los dos primeros años. Se atribuyen de forma generalizada a los fondos de Satoshi Nakamoto y nunca se han movido. Si las claves están perdidas, como se da por supuesto, la migración queda descartada de todos modos, porque ya no hay nadie que pueda llevarla a cabo.

A los precios actuales, los saldos vulnerables equivalen a unos 425.000 millones de dólares. Esta magnitud convierte una cuestión criptográfica en una cuestión de mercado. Un ataque con éxito no se limitaría a transferir monedas a un atacante. Traería al mercado una oferta adicional enorme y demostraría sobre todo una cosa: que la promesa de seguridad de Bitcoin no se sostiene.

¿Qué grado de realismo tiene la amenaza cuántica?

Hoy no existe una máquina capaz de hacerlo. Conviene subrayarlo, porque con los ordenadores cuánticos se exagera mucho.

Lo que ha cambiado es el horizonte temporal. McKinsey sitúa la aparición de un ordenador cuántico criptográficamente relevante, es decir, una máquina capaz de romper realmente este cifrado, entre 2027 y 2030 como muy pronto. Las encuestas entre especialistas cifran en más del 50 % la probabilidad de que se alcance ese punto antes de finales de la década de 2030.

Más llamativa resulta la evolución en el terreno del software. Los investigadores de seguridad de Google han documentado avances de hasta veinte veces en los algoritmos cuánticos. Eso reduce de forma considerable las necesidades de hardware para un ataque. Dicho de otro modo: el objetivo se acerca incluso cuando los ordenadores cuánticos no dan grandes saltos.

Los organismos de normalización ya han reaccionado. La agencia estadounidense NIST aprobó en 2024 tres estándares de criptografía poscuántica y pone así a disposición del sector procedimientos de sustitución contrastados. El problema de Bitcoin no es, por tanto, la falta de solución. Es que ninguna gran blockchain ha completado hasta ahora una transición así y que las estructuras de decisión de Bitcoin dificultan los cambios de forma deliberada.

¿Cómo se desarrollaría la migración?

BIP-361 prevé tres fases. El siguiente resumen recoge el texto de la propuesta.

De la fase C depende lo dura que resulte la medida al final, y justo esa parte es la menos elaborada. Si la prueba funciona, los titulares podrían volver a acceder a su dinero con su frase de recuperación incluso después de la fecha límite. El bloqueo se convertiría entonces en una molestia considerable en lugar de una pérdida definitiva. Si no funciona, la fase B es irreversible. La propuesta presenta la fase C expresamente como abierta: depende de la investigación, la demanda y el consenso.

Hay un detalle del calendario relevante para todo el que siga el tema. Según la propuesta, la votación de los mineros no empezaría antes del 1 de enero de 2027 y exigiría una aprobación del 90 %. Es un listón deliberadamente alto. A modo de comparación: BIP-110, cuya ventana de votación se alcanzó este agosto, no llega al 2 % de apoyo entre los mineros.

¿Por qué la propuesta genera tanta polémica?

Porque choca con la promesa central de Bitcoin.

La frase «Not your keys, not your coins» resume la idea de que la clave privada es absoluta y de que ninguna instancia puede interponerse entre tú y tu dinero. BIP-361 plantea que sea la propia red la que declare inmovilizables determinados saldos. Los críticos ven ahí una expropiación de hecho, aunque formalmente nadie reciba nada, porque las monedas no pasan a manos de nadie. Su argumento más fuerte es el precedente: si la red puede bloquear un grupo de saldos por un buen motivo, el mecanismo existe también para motivos peores.

A eso se suma la cuestión de la competencia. ¿Quién determina qué se considera vulnerable y con qué calendario? Bitcoin no tiene consejo de administración ni fundación que pueda imponer un cambio de consenso. El último fue Taproot, en noviembre de 2021. Desde entonces no se ha modificado ninguna regla.

Precisamente por eso el debate se ha desplazado de la criptografía a la cuestión de cómo se decide. Detrás está la pregunta de fondo: ¿puede un sistema diseñado para resistir el cambio ponerse de acuerdo sobre una gran actualización antes de que sea urgente?

¿Qué argumentos hay a favor de congelar las monedas?

Los partidarios describen una disyuntiva entre dos malos desenlaces, sin ninguna opción claramente buena sobre la mesa.

• Su argumento principal: no hacer nada no preserva las monedas vulnerables. Las deja en manos de quien disponga primero de capacidad cuántica. La propuesta esboza tres caminos posibles. O bien cualquiera puede acceder a esas monedas, o bien el acceso se limita, o bien nadie llega hasta ellas. No hay una cuarta variante en la que las monedas sigan simplemente intactas y a salvo. La congelación, según esta lectura, preserva la propiedad en lugar de retirarla, sobre todo si la vía de rescate de la fase C llega a construirse.
• El segundo argumento tiene que ver con los motivos. Un atacante movido por el dinero quiere pasar desapercibido y sustraer con discreción. Uno de motivación política quizá solo busque destruir la confianza en Bitcoin. Como no se puede saber de antemano a quién se enfrenta uno, la defensa debe estar lista mucho antes del ataque, según los autores.
• El tercer argumento es el tiempo. Poner de acuerdo a proveedores de monederos, exchanges, fabricantes de hardware y custodios ha llevado años históricamente en Bitcoin. Solo una fecha límite firme y conocida por todos convierte un problema colectivo, aplazable de forma indefinida, en un problema privado que cada cual debe resolver por su cuenta. Ese es el verdadero mecanismo de la propuesta: hoy no obliga a nadie a nada, pero elimina la posibilidad de esperar eternamente.

¿Qué significa esto para quien tiene bitcoins?

Hoy no hay nada que hacer. BIP-361 es un borrador. No está activado, depende de un requisito previo que tampoco lo está y, según el texto de la propuesta, la votación no podría empezar antes de 2027. Quien afirme que debes actuar de inmediato está mal informado o quiere venderte algo.

Aun así, la dirección está lo bastante clara para un par de observaciones.

Las monedas en formatos de dirección modernos desde los que nunca se ha pagado no son vulnerables ahora mismo, porque la clave pública no se ha publicado. Es la reutilización de direcciones la que convierte una dirección segura en una dirección expuesta. Evitarla es una costumbre sensata al margen de los ordenadores cuánticos. Quien invierte a través de un custodio o de productos cotizados se enfrenta de todos modos a una cuestión institucional más que privada, porque la transición correspondería entonces al proveedor.

Más importante es el horizonte largo. Los bitcoins destinados a permanecer intactos una década o más arrastran ya una obligación de migración que hace dos años no existía. Eso afecta tanto a las disposiciones sucesorias como a los saldos empresariales de largo plazo. Quien dé por hecho que una frase de recuperación guardada en una caja fuerte basta por tiempo indefinido debería revisar esa suposición.

¿Qué hay que vigilar a partir de ahora?

Tres puntos indicarán si el debate se traduce en aplicación.

• El primero es el avance de BIP-360, porque sin esa pieza BIP-361 no llega a ninguna parte. Ha alcanzado la red de pruebas, lo que supone un paso real, pero queda lejos de la activación.
• El segundo es la investigación sobre la fase C. Si puede demostrarse una vía de rescate operativa, la parte contraria pierde su argumento más fuerte, porque la pérdida definitiva se convierte en un obstáculo subsanable.
• El tercero es la ventana de votación fijada en la propuesta a partir de enero de 2027 y, en concreto, si el apoyo de los mineros se acerca al 90 %. Las experiencias recientes con decisiones de consenso en Bitcoin invitan a poco optimismo.

El resultado más probable de los próximos dos años no es ni la aprobación ni el rechazo, sino un estancamiento persistente mientras se acerca la fecha estimada de la capacidad cuántica. Es una situación incómoda. Y es exactamente en la que Bitcoin se encuentra ahora.

(12 de agosto de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)