A IonQ, empresa norte-americana de computação quântica listada na Bolsa de Nova York, divulgou em 8 de setembro um estudo com a primeira estimativa de recursos totalmente compilada de ponta a ponta para resolver o problema do logaritmo discreto em curvas elípticas de 256 bits na secp256k1, a curva usada pelo Bitcoin para assinatura de transações.
Segundo o estudo, um computador quântico tolerante a falhas com 19.397 qubits físicos e cerca de 1.450 qubits lógicos completaria o cálculo em 25,7 dias por tentativa, executando aproximadamente 39 milhões de portas Toffoli — a operação que serve de unidade de custo nesse tipo de cálculo.
O artigo completo foi submetido ao arXiv em 4 de setembro sob o título "Computing 256-bit elliptic curve discrete logarithms in 26 days on a fault-tolerant trapped-ion quantum computer with 20,000 qubits" e é assinado por 14 pesquisadores, entre eles Martin Roetteler, vice-presidente de P&D em Aplicações Quânticas da IonQ.
A própria empresa reconhece os limites do trabalho. "Nenhuma carteira, chave, rede ou sistema em produção foi tocado em qualquer momento desta pesquisa, e não existe, hoje, computador quântico tolerante a falhas capaz de rodar este algoritmo", afirma a IonQ na postagem que acompanha a divulgação. "Este é um estudo de arquitetura e de estimativa de recursos, não uma demonstração." A empresa diz ter seguido práticas de divulgação responsável, compartilhando cópias do trabalho antecipadamente com parceiros do governo dos Estados Unidos e do setor privado antes da publicação.
Em depoimento exclusivo ao WB3News, João Wedson, CEO da Alphractal, plataforma brasileira de análise on-chain e de dados de mercado, avalia que o estudo é apenas uma projeção e que suas conclusões não representam risco concreto à segurança da rede:
"Esse estudo é importante e merece atenção, mas é preciso separar risco futuro de realidade atual. Até hoje, a segurança criptográfica da rede Bitcoin nunca foi quebrada. O que já vimos ao longo dos anos foram ataques a exchanges, carteiras, serviços de custódia, phishing e roubo de chaves privadas, que são coisas completamente diferentes de quebrar a criptografia do próprio Bitcoin."
A distinção tem lastro no histórico recente do setor. Os incidentes de maior impacto para a comunidade cripto em 2026 foram causados por vulnerabilidades em carteiras, e não por ataques diretos ao protocolo: uma falha na geração de chaves da Coldcard resultou no maior roubo de bitcoin do ano, e vazamentos em fornecedores da Trezor e da SafePal expuseram dados de mais de 53 mil clientes. Em nenhum deles a criptografia de curva elíptica foi quebrada.
Wedson acrescenta que um computador quântico "não é simplesmente um computador convencional absurdamente mais rápido, nem uma máquina criada para 'hackear tudo'", mas sim um tipo de máquina que utiliza "fenômenos como superposição, interferência e entrelaçamento para resolver determinados tipos de problemas de uma forma diferente."
Aí reside o risco quântico para o Bitcoin, mas, por enquanto, trata-se de uma ameaça teórica:
"O ponto que interessa ao Bitcoin é que existem algoritmos quânticos, como o algoritmo de Shor, que teoricamente poderiam atacar a matemática usada nas assinaturas digitais atuais. Isso poderia permitir, em determinadas condições, descobrir uma chave privada a partir de uma chave pública. Mas entre demonstrar isso matematicamente e existir uma máquina quântica capaz de executar esse ataque de forma prática, confiável e em escala existe uma distância enorme."
Os 25,7 dias citados no estudo não são o tempo supostamente necessário para quebrar a criptografia que protege o Bitcoin, mas sim o tempo de uma tentativa de ataque cuja probabilidade de sucesso é estimada em 63% por execução.
Há uma segunda razão para não ler os 25,7 dias como um prazo fixo, e ela não está na probabilidade, mas na origem do número: o tempo de execução não é uma característica da máquina, e sim o resultado de quantas operações o algoritmo exige e de quanto tempo cada tentativa consome.
No estudo da IonQ, a operação que determina essa conta é a porta Toffoli — uma operação lógica que envolve três qubits, invertendo o valor do terceiro apenas quando os dois primeiros estão ativos. Em um computador quântico com correção de erros, ela não sai de graça: depende da produção de estados quânticos auxiliares em uma etapa dedicada do próprio equipamento, o que a torna a parte mais cara do cálculo. Por isso a contagem de portas Toffoli virou a unidade de medida padrão do custo de um algoritmo quântico tolerante a falhas, e é por meio delas que os trabalhos da área são comparados, em vez de por tempo bruto.
O algoritmo compilado pela IonQ exige aproximadamente 39 milhões dessas portas. Do outro lado da conta está a velocidade: a empresa afirma que sua fábrica de estados auxiliares tornou a execução de cada porta Toffoli 31 vezes mais rápida, chegando a 29,5 milissegundos por operação. A IonQ argumenta ter avançado em duas frentes: reduziu a quantidade de portas e acelerou cada uma delas.
A própria empresa descreve a estimativa como "uma alavanca, não um limite": mais qubits físicos, aplicados da forma certa, encurtariam substancialmente o tempo de execução. Os 25,7 dias, portanto, não são o pior cenário — são o cenário de uma arquitetura específica, conforme o hardware que a empresa projetou.
A maior contribuição do estudo está em levar essa conta até o fim, e não em ter reduzido a quantidade de portas. Essa contagem já vinha caindo havia anos: em 2023, o pesquisador Daniel Litinski calculou que quebrar a criptografia do Bitcoin exigiria 50 milhões de portas Toffoli e que, num computador quântico de arquitetura diferente da que a IonQ projeta, o ataque levaria 10 minutos, e não semanas. A IonQ afirma ter baixado o número para 39 milhões, mas não cita o trabalho de Litinski nem outros publicados antes.
"Este resultado é mais bem compreendido como um marco de capacidade primeiro e um achado de segurança em segundo lugar: um problema de três décadas, rearquitetado ponta a ponta", afirmou Jordan Shapiro, presidente de Plataforma Quântica da IonQ, em comunicado oficial.
O artigo foi divulgado junto de outros quatro anúncios da IonQ, todos feitos durante um encontro com investidores. A empresa anunciou um novo computador quântico, revelou um contrato de US$ 8,18 milhões para proteção de redes contra ataques quânticos e revisou para cima a projeção de receita para 2026, que passou de US$ 280-290 milhões para US$ 450-460 milhões. A ação da IonQ chegou a registrar alta intradiária de 12,4% em 8 de setembro.
"Uma computação que antes exigia milhões de qubits físicos agora cabe em uma máquina IonQ de 20 mil qubits prevista no nosso cronograma", afirmou Roetteler, um dos autores do artigo, no comunicado.
O número se refere à capacidade da máquina que a IonQ promete construir até 2028. A empresa encerrou o anúncio dizendo que o resultado "reforça por que as empresas devem acelerar agora a descoberta e a migração criptográfica".
A ameaça quântica recai especificamente sobre o ECDSA, o algoritmo de assinatura digital de curva elíptica que valida as transações e comprova a propriedade dos fundos. Um computador quântico suficientemente poderoso poderia usar o algoritmo de Shor para derivar chaves privadas a partir de chaves públicas expostas na blockchain.
A exposição ocorre quando o dono executa uma transação a partir de um endereço. Os bitcoins que permanecem nesse mesmo endereço se tornam vulneráveis. Nos endereços do formato original da rede, as chaves públicas estão visíveis desde sempre.
Mais de 34% de todos os bitcoins já tiveram suas chaves públicas expostas até 1º de março de 2026, segundo o BIP-361, uma das propostas de migração pós-quântica em discussão na comunidade. O BIP-361 estabelece um cronograma para aposentar as assinaturas legadas: cerca de três anos até que a rede bloqueie envios a endereços vulneráveis, e mais dois até que os nós rejeitem transações assinadas com ECDSA ou Schnorr. A implementação da proposta levaria pelo menos cinco anos a partir de uma eventual aprovação.
Já o BIP-360 cria um tipo de saída batizado Pay-to-Merkle-Root (P2MR), semelhante ao P2TR introduzido pelo Taproot, mas sem o gasto por caminho de chave, impedindo a exposição prolongada da chave pública.
Um relatório da Project Eleven, que pesquisa o impacto da computação quântica sobre redes blockchain, estima que aproximadamente 6,9 milhões de BTC estejam armazenados em endereços vulneráveis. O reuso de endereço responde por 72,3% dessa exposição, e as saídas P2PK, formato usado nos primeiros anos da rede, por outros 24,8%.
Esse mesmo relatório projeta três cenários para o Q-Day, data em que um computador quântico se tornaria capaz de efetivar um ataque bem-sucedido: 2030 no otimista, 2033 no caso-base e 2042 no pessimista.
"A história da criptografia sempre foi uma corrida entre ataque e defesa", avalia Leonardo Maximiliano, CEO e cofundador da DSec Labs, empresa brasileira de infraestrutura blockchain e segurança de ativos digitais:
"Quando o avanço computacional tornou o DES vulnerável, evoluímos para padrões como o AES, e o mesmo já acontece no Bitcoin. No início, algumas transações deixavam a chave pública diretamente exposta, depois surgiram estruturas que permitem protegê-la por um hash enquanto os bitcoins permanecem parados, e hoje propostas como o BIP-360 avançam nessa direção, evitando a exposição prolongada da chave pública e preparando o caminho para soluções pós-quânticas. O estudo da IonQ mostra que a capacidade de ataque está avançando, mas não podemos comparar o ataque de amanhã apenas com as defesas de hoje."
Enquanto a comunidade não chega a um consenso sobre a melhor forma de lidar com a ameaça quântica, cabe aos usuários reduzir sua exposição ao risco, afirma Maximiliano:
"Enquanto isso, já podemos separar a custódia das transações do dia a dia, usando carteiras diferentes para guardar e gastar (isolando o patrimônio principal em um cofre 100% offline). É a mesma lógica que usamos no mundo físico, ninguém sai de casa carregando todo o patrimônio no bolso."
Wedson reforça que não se deve tratar o estudo como uma sentença nem tampouco ignorá-lo:
"Não vejo esse estudo como 'o fim do Bitcoin'. Vejo como mais um sinal de que a indústria precisa começar a tratar seriamente a migração para criptografia resistente à computação quântica. E esse desafio não é exclusivo do Bitcoin. Bancos, governos, empresas de tecnologia e grande parte da infraestrutura digital mundial utilizam sistemas criptográficos que também precisarão evoluir."
A substituição do ECDSA já tem padrão definido. O NIST (Instituto Nacional de Padrões e Tecnologia dos EUA) aprovou o ML-DSA e o SLH-DSA como algoritmos de assinatura resistentes à computação quântica, os mesmos que a IonQ indica como defesa efetiva contra o ataque que descreve.
