Bitcoins Quantum-Debatte: Was passiert mit den Coins, die nicht migrieren können?

Die Quantum-Bedrohung für Bitcoins ECC ist inzwischen breit dokumentiert. Der Zeithorizont für kryptografisch relevante Quantencomputer (CRQCs) verkürzt sich weiter. Die grundlegenden Mechanismen einer Migration zu Post-Quantum-Kryptografie sind technisch verstanden, auch wenn sie politisch noch nicht gelöst sind. Andere Blockchain-Ökosysteme haben Roadmaps veröffentlicht und mit der Umsetzung begonnen.

Weniger geklärt war bislang, wie die Bitcoin-Community selbst mit dieser Entwicklung umgeht. Diese Diskussion hat sich im vergangenen Jahr deutlich verschoben, da Quantencomputing von einem theoretischen Risiko zu einem aktiven Bereich der Bitcoin-Protokollentwicklung geworden ist.

Über weite Teile des vergangenen Jahres drehte sich die lauteste Quantum-Bitcoin-Debatte vor allem um Dringlichkeit und Einsatz. Eine Seite argumentierte zunächst, die Bedrohung stehe unmittelbar bevor und Entwickler würden sie ignorieren. Die andere Seite bezeichnete diese Warnungen als kommerziell motiviertes Rauschen auf Basis spekulativer Zeithorizonte.

Nic Carter, Partner bei Castle Island Ventures, äusserte sich beispielsweise sehr deutlich dazu, dass Bitcoin-Entwickler das Quantum-Risiko seiner Ansicht nach nicht ernst genug nähmen. Er trug klar dazu bei, das Bewusstsein für dieses Risiko zu erhöhen. Seine Einschätzung zur Aufmerksamkeit der Entwickler hat sich in den letzten Monaten jedoch verändert: Heute sieht er den wichtigsten Engpass eher im Fehlen einer Organisation, die die Anstrengungen koordinieren und Finanzierung bereitstellen kann. Galaxys Bitcoin Quantum Readiness Initiative und das neue Bitcoin Security Consortium sind vielversprechende Initiativen, um diese Rolle zu übernehmen.

Auf der anderen Seite wirkte Adam Back, Mitgründer von Blockstream, zunächst zurückhaltender, was die Dringlichkeit der Migration betrifft – obwohl Blockstream bereits an Post-Quantum-Signaturen arbeitete. Auch seine öffentliche Haltung hat sich verändert. Zwar geht er weiterhin eher von längeren Zeithorizonten aus und verweist auf Expertenschätzungen, die CRQCs noch Jahrzehnte entfernt sehen. Dennoch ist er der Meinung, dass die Vorbereitung unabhängig davon beginnen sollte. In unserem Podcast sprach er sich dafür aus, jetzt ein konservatives Signaturschema einzuführen und dieses später zu aktualisieren.

Ich bin überzeugt, dass es ausreichend Hinweise dafür gibt, dass Bitcoin-Entwickler bereits ab Mitte 2025 aufmerksam waren und daran arbeiteten, Post-Quantum-Lösungen zu entwerfen. Gleichzeitig denke ich, dass die Notwendigkeit mit der Zeit zugenommen hat – und schliesslich unübersehbar wurde.

Die Quantum-Debatte dreht sich inzwischen vor allem um eine andere Frage: Wie lässt sich die Migration organisieren? Die Einführung neuer Post-Quantum-Signaturschemata aktualisiert nicht automatisch und rückwirkend alle Coins. Um eine geordnete Migration sicherzustellen, müssen alle BTC-Halter genügend Zeit und Anreize haben, ihre Coins auf Post-Quantum-Adressen zu verschieben.

Im Zentrum dieser Debatte steht eine unvermeidbare und kontroverse Frage: Was passiert mit quantum-verwundbaren verlorenen Coins, bei denen niemand mehr den privaten Schlüssel besitzt? Diese Frage tangiert die zentrale Überzeugungen über Bitcoins Wertversprechen und betrifft eine bedeutende Menge an BTC.

Mehr als ein Drittel aller im Umlauf befindlichen Bitcoin liegt auf Adressen mit offengelegten öffentlichen Schlüsseln, die für Shors Algorithmus anfällig wären, sobald ein ausreichend leistungsfähiger Quantencomputer existiert. Ein erheblicher Teil davon wurde seit über einem Jahrzehnt nicht mehr bewegt, darunter eine Million BTC, die Satoshi Nakamoto zugeschrieben werden. Es ist plausibel zu schätzen, dass 2 bis 3 Millionen BTC in Wallets feststecken, deren Schlüssel verloren gegangen sind.

Es gibt keine Möglichkeit, verwundbare verlorene Coins auf Post-Quantum-Adressen zu migrieren. Was mit ihnen geschieht, ist der Kern der aktuellen Debatte – und drei breite Positionen haben sich herausgebildet.

BIP-361, verfasst von Jameson Lopp und fünf Co-Autoren, schlägt einen Plan vor, der das Ausgeben von Coins, die für die Transaktionsautorisierung auf ECC-Signaturen angewiesen sind, letztlich nicht mehr zulassen würde. Dies ist ein Beispiel für Migrationsstrategien, die ECC deaktivieren wollen – entweder ab einer vordefinierten Blockhöhe oder abhängig von Bedingungen wie dem Nachweis der Existenz eines CRQC. Coins auf Adressen, die nicht migrieren, würden nicht mehr ausgabefähig: entweder dauerhaft verbrannt oder vorübergehend eingefroren.

Die Begründung ist klar: Wenn ECC-Signaturen gefälscht werden können, werden verwundbare Coins zur Belohnung für die erste Entität, die einen leistungsfähigen Quantencomputer baut. Dies zuzulassen, könnte einen erheblichen Teil des Bitcoin-Angebots an denjenigen umverteilen, der das Rennen im Quantencomputing gewinnt – womöglich an einen Nationalstaat ohne besondere Verpflichtung gegenüber dem Netzwerk.

Der Zielkonflikt ist ebenso direkt. ECC zu deaktivieren, während einige Coins weiterhin darauf angewiesen sind, um ausgegeben werden zu können, könnte den Präzedenzfall schaffen, dass sich das Netzwerk darauf einigen kann, einen Teil bestehender Bestände unzugänglich zu machen. Das steht in Spannung zu Bitcoins Identität als Inhabergeld – einer Spannung, mit der sich die Community bislang nicht auseinandersetzen musste.

Die gute Nachricht ist, dass einige Coins eingefroren statt verbrannt werden können. Bitcoin-Entwickler schlagen sogenannte Rescue-Protokolle vor und verbessern diese laufend. Sie sollen es Inhabern eingefrorener Coins ermöglichen, diese auszugeben, indem sie ihre Eigentümerschaft auf andere Weise nachweisen als über ihren privaten Schlüssel, der in Gegenwart von CRQCs bedeutungslos wäre. Leider ist dies nicht für alle Adresstypen möglich: unwiederbringlich verlorene Coins werden entweder dauerhaft unausgabbar gemacht oder bleiben für CRQCs verwundbar.

Einige Entwickler und ein Teil der breiteren Community argumentieren, dass die Priorität darin liegen sollte, Bitcoin als nicht konfiszierbares, zensurresistentes Geld zu bewahren. Wenn Quantencomputer eines Tages ermöglichen, eine gültige Signatur für die Coins einer anderen Person zu erzeugen, mag das Diebstahl darstellen – es wäre dann aber eine Frage für Gerichte und Strafverfolgungsbehörden, nicht für die Konsensregeln. Dieses Lager schlägt daher vor, ECC niemals zu deaktivieren.

Der Zielkonflikt ist wirtschaftlicher Natur. Wenn Quantencomputer Bitcoins ECC brechen können, würde bereits ein kleiner Teil der verwundbaren Coins, der innerhalb weniger Blöcke bewegt wird, ausreichen, um einen Preiseinbruch auszulösen, der das Vertrauen in das Netzwerk selbst untergräbt. Nicht zu handeln ist ebenfalls eine Entscheidung – und eine, die Halter bestraft, die alle verfügbaren Vorsichtsmassnahmen getroffen haben, nur um dann zu erleben, wie die Glaubwürdigkeit des Netzwerks um sie herum zusammenbricht.

Als Gegenargument weisen einige Befürworter dieses Ansatzes darauf hin, dass Bitcoins «Unkonfiszierbarkeit» nicht nur aus ideologischen Gründen geschützt werden sollte, sondern ganz praktisch, weil sie Bitcoins zentrales Wertversprechen ist. Diese Eigenschaft aufzugeben, könnte zwar einen Angebotschock am Markt verhindern, aber langfristig noch schwerwiegendere Folgen für den Wert von Bitcoin haben.

Klar ist auch: Auf Protokollebene nichts zu tun bedeutet nicht zwangsläufig, dass die meisten verwundbaren BTC am Markt verkauft würden. Nic Carter skizzierte beispielsweise ein staatlich verwaltetes Trust-Modell: Ein souveräner Akteur stellt die Coins wieder her und hält sie treuhänderisch, damit die ursprünglichen Eigentümer sie innerhalb eines definierten Zeitfensters beanspruchen können.

Eine dritte Gruppe von Vorschlägen versucht, einen Kompromiss zu finden: Das Ausgeben von ECC-geschützten Coins würde nicht vollständig deaktiviert, sondern mengenmässig begrenzt. Dadurch liesse sich Konfiskation vermeiden und gleichzeitig das Worst-Case-Szenario eines Quantum-Diebstahls abmildern.

Hourglass V2 schlägt beispielsweise vor, das Ausgeben verwundbarer Coins langfristig auf maximal 1 BTC pro Block zu begrenzen. Das würde bedeuten, dass die Bewegung aller betroffenen Coins mindestens 32 Jahre dauern würde – und damit die Marktrisiken durch Quantum-Diebstahl deutlich reduzieren. Konkret ist der Anwendungsbereich von Hourglass V2 auf P2PK-Adressen beschränkt, also auf jene Adressen, die am wahrscheinlichsten verloren gegangen sind.

Der Nachteil ist die Komplexität. Die richtige Abwägung der Designparameter erfordert Annahmen darüber, welche Entitäten zuerst Zugang zu CRQCs erhalten – und mit welcher Absicht. Das ist zwar auch für andere Migrationsstrategien ein wichtiger Punkt. Dennoch glaube ich, dass es schwieriger sein könnte, sich auf ein Rate Limit und dessen Anwendungsbereich zu einigen und beides in Konsensregeln zu verankern, als einen klaren Freeze umzusetzen.

Die Fortschritte bei Post-Quantum-Transaktionen sind eine positive Entwicklung. Die Finanzierung ist zugesagt, und die Aufmerksamkeit der Entwickler steht nicht mehr infrage.

Was mit Coins geschehen soll, die nicht migrieren können oder werden, ist der Punkt, an dem die nächste Phase dieser Debatte stattfinden wird. Es berührt Bitcoins monetäre Eigenschaften, sein Governance-Modell und die praktischen Interessen von Haltern, Custodians und Institutionen, die inzwischen ein erhebliches Exposure gegenüber dem Ausgang dieser Frage haben. Die Positionen formieren sich, doch von einer Lösung sind wir noch weit entfernt.