Drei Szenarien für Bitcoins Post-Quantum-Transition

Die Bedrohung von Bitcoins elliptic curve cryptography (ECC) durch Quantencomputer ist etabliert, und der Zeitplan für kryptografisch relevante Quantencomputer (CRQCs) deutet weiterhin auf die frühen 2030er-Jahre hin. Die Migration zu Post-Quantum-Kryptografie ist im Gange: Output-Typen und Signaturschemata werden aktiv verglichen, und Rescue-Protokolle entwickeln sich parallel dazu weiter. Was mit Coins geschieht, die nicht migrieren können, bleibt umstritten.

All dies sind Bestandteile der Transition. Keiner davon beantwortet jedoch, wie sich diese Bestandteile gemeinsam auflösen. Für Holder hängt das Ergebnis davon ab, ob die Koordinations-Timeline schneller vorankommt, als sich die Bedrohungs-Timeline verdichtet. Genau in dieser Lücke liegt Bitcoins tatsächliches Quantum-Computing-Risiko.

Zwei mögliche Antworten auf Konsensebene sind bereits gut dokumentiert: Ein Teil der verwundbaren Coins wird unabhängig von allem anderen unmigriert bleiben, und der Konsens könnte in einen umstrittenen Fork zerbrechen. Die drei folgenden Szenarien hängen weniger davon ab, was das Netzwerk entscheidet, sondern vor allem vom Timing.

Im ersten Szenario wird die Migration mit ausreichend Puffer abgeschlossen. Im zweiten preist der Markt das Quantum-Risiko lange neu ein, bevor eine fähige Maschine existiert. Im dritten entsteht diese Fähigkeit, ohne angekündigt zu werden, und die Migration verläuft auf Basis einer Bedrohungseinschätzung, die falsch ist. Jedes Szenario stellt andere Anforderungen an Holder, und jedes hat ein Signal, das zeigt, welcher Druck gerade die Führung übernimmt.

Dieses Szenario ist der Pfad, auf den Bitcoin-Entwickler aktiv hinarbeiten, und es bleibt mein Basisszenario. Es hängt jedoch von einer Reihe von Schritten ab, von denen der erste noch nicht abgeschlossen ist.

Zunächst muss sich das Netzwerk auf einen Post-Quantum-Output-Typ einigen. BIP-360 schlug P2MR vor, doch inzwischen ist es nicht mehr der einzige Kandidat: P2TRv2, P2TRH und P2QR werden ebenfalls geprüft. Die Wahl hat Folgen für die Migrationskosten und dafür, ob der Quantum-Schutz der Nutzer davon abhängt, dass das Netzwerk ECC rechtzeitig deaktiviert.

Anschliessend würde ein Soft Fork diesen Output-Typ einführen. Danach könnte ein zweiter Fork nötig sein, um das Signieren mit einem Post-Quantum-Schema zu ermöglichen. Mindestens ebenso wahrscheinlich ist jedoch, dass beides in einem einzigen Soft Fork gebündelt wird. Hash-basierte Kryptografie bleibt der führende Kandidat. Der Favorit ist derzeit SHRINCS, das kürzlich in einem BIP-Entwurf als erstes hash-basiertes Post-Quantum-Signaturschema formalisiert wurde, das auf Bitcoins Einschränkungen zugeschnitten ist. Erst danach beginnt die eigentliche Migration: Holder für Holder, über jede Wallet, jede Börse und jeden Custodian im Netzwerk hinweg.

Keiner dieser Schritte hat eine feste Dauer. Konsens ist am schwersten zu prognostizieren, und die Migration der Holder dauert am längsten, sobald sie begonnen hat. Deshalb ist das wichtigste Signal, ob sich die technische Diskussion verengt oder verbreitert. Der stärkste Hinweis wäre eine Annäherung an einen konkreten Upgrade-Vorschlag: welche Output-Typen und Signaturschemata eingeführt werden sollen und wie sie in einen Migrationsplan passen.

Dieser Pfad verlangt Holdern am wenigsten ab. Sie verfolgen das Upgrade, während es entsteht, und migrieren, sobald der Pfad offen ist. Bis dahin bleibt grundlegende gute Praxis im Umgang mit Address Reuse empfehlenswert.

Bitcoins Preis zeigt derzeit keine sichtbare Reaktion auf Quantum-Computing-Nachrichten. Ankündigungen zu Fortschritten bei Quantum-Hardware bewegen den Preis nicht, und Fortschritte von Bitcoin-Entwicklern bei der Migration tun dies ebenfalls nicht. Der Markt zeigt keine Anzeichen dafür, dass er seine Einschätzung des Risikos oder der Reaktion darauf anpasst.

Diese Gleichgültigkeit liegt über einer realen Exposure. Rund 7 Millionen BTC befinden sich in Adressen, deren Public Keys bereits on-chain sichtbar sind. Ein CRQC könnte für jede davon die Private Keys ableiten. Die Gefahr liegt nicht nur im Diebstahl. Wie in der Debatte über nicht migrierbare Coins beschrieben, würde bereits ein kleiner Teil dieses Angebots, der sich innerhalb weniger Blöcke bewegt, ausreichen, um das Vertrauen in das Netzwerk zu erschüttern. Diese Kosten treffen auch Holder, die rechtzeitig migriert sind und keinen einzigen Coin verloren haben. Dafür müsste sich nicht annähernd das gesamte Volumen von 7 Millionen BTC bewegen.

Drei Entwicklungen könnten den Markt zu einer Reaktion zwingen. Die erste wäre ein Hardware-Ergebnis, das begründete Zweifel ausräumt: nachhaltige Fehlerkorrektur über Operationen mit Toffoli-Gates hinweg, End-to-End über eine vollständige Berechnung gemessen. Das ist die Schwelle, die ich beobachte, und nichts, was bisher veröffentlicht wurde, hat sie überschritten.

Die zweite wäre eine weitere Kompression der Anforderungen selbst. Der geschätzte Aufwand, RSA zu brechen, fiel von rund 20 Millionen physischen Qubits im Jahr 2021 auf etwa eine Million vier Jahre später. Die Zahl der logischen Qubits, die für Shors Algorithmus benötigt werden, sank Anfang dieses Jahres von mehreren Tausend auf rund Tausend. Ein weiterer Rückgang in dieser Grössenordnung würde die Bedrohungseinschätzung verschieben, ohne dass eine neue Maschine gebaut werden müsste.

Die dritte Entwicklung ist institutionell, und sie wird am wenigsten diskutiert. Jefferies nannte Quantum Computing als einen der Gründe für die vollständige Auflösung seiner Bitcoin-Position. Wenn sich diese Argumentation in Allokationskomitees verbreitet, könnte die Neubewertung über Mandate erfolgen, lange bevor ein einzelner technischer Meilenstein das Thema erzwingt.

Nicht alle sind der Ansicht, dass der Grossteil der möglichen Neubewertung noch bevorsteht. In einem unserer Podcasts argumentierte Charles Edwards, dass ein Teil davon bereits stattgefunden hat. Er verwies auf Bitcoins Underperformance gegenüber Gold im Jahr 2025 als Hinweis darauf, dass institutionelle Allokatoren das Risiko in Abhängigkeit von der Nähe zu «Q-Day» bereits einpreisen.

Ich sehe das nicht in den Daten, schliesse aber einen relativ stabilen Quantum-Risk-Discount-Faktor nicht aus, der bestehen bleiben könnte, bis Post-Quantum-Readiness erreicht ist. Reaktionen sind leichter zu lesen. Wenn zum ersten Mal eine Quantum-Schlagzeile den Preis in die eine oder andere Richtung bewegt, könnte dies signalisieren, dass Quantum-Risiko von einem Hintergrundthema zu einer wiederkehrenden Quelle von Volatilität wird.

Die beiden oben beschriebenen Szenarien gehen davon aus, dass Fortschritt sichtbar bleibt. Diese Annahme ist im vergangenen Jahr schwächer geworden.

Als Google Quantum AI seine Optimierung von Shors Algorithmus für secp256k1 veröffentlichte, also die Kurve, auf der Bitcoins Signaturen beruhen, hielt das Team den entscheidenden Implementierungsschritt hinter einem Zero-Knowledge-Proof zurück: genug, um das Ergebnis zu belegen, aber nicht genug, um es zu reproduzieren. Ziel war es, Verteidigern ausreichend Informationen für die Planung der Migration zu geben, ohne Angreifern die Implementierung offenzulegen.

Ein unabhängiger Researcher rekonstruierte den zurückgehaltenen Schritt innerhalb weniger Monate. Der praktische Effekt war also Verzögerung, nicht Verhinderung. Dennoch ist dies ein konkreter Hinweis darauf, dass Quantum-Kryptoanalyse zunehmend zu einem Offenlegungsdilemma wird, je plausibler praktische Angriffe werden.

Die Anreize sind klar. Zu den Akteuren mit den Ressourcen, als Erste einen CRQC zu erreichen, gehören staatliche Programme, deren Zweck gerade darin besteht, Fähigkeiten zu halten, von denen Gegner nichts wissen. Während akademische und kommerzielle Labore durch Veröffentlichung Anerkennung erhalten, arbeiten Nachrichtendienste nicht nach dieser Logik.

In diesem Szenario läuft die Migrationsuhr weiter gegen eine Bedrohungseinschätzung, die auf öffentlichen Informationen basiert, den tatsächlichen Stand der Technik aber nicht mehr beschreibt. Ich habe bereits früher geschrieben: Wenn ein Quantencomputer sichtbar beweist, dass er heutige Kryptografie brechen kann, ist die Chance auf eine geordnete Migration bereits vorbei. Hier wäre dieses Ergebnis strukturell angelegt und nicht nur wahrscheinlich.

Das erfordert Vorbereitung, die nicht davon abhängt, den Zeitplan allein auf Basis öffentlicher Informationen möglichst genau schätzen zu wollen. Neben dem Schutz vor offengelegten Public Keys und der Vermeidung von Address Reuse bedeutet das auch, grosse Bestände nicht in einer einzigen exponierten Adresse zu konzentrieren. Denn jeder Angreifer mit einem CRQC würde zuerst die grössten Ziele angehen.

Diese Szenarien schliessen sich nicht gegenseitig aus, und ihre Gewichtung ist eher eine Frage der Einschätzung als der Berechnung. Die geordnete Migration bleibt das wahrscheinlichste Szenario, und die in diesem Jahr geleistete Arbeit stützt diese Annahme. Eine Neubewertung durch den Markt könnte am frühesten eintreten, weil dafür weder eine Maschine existieren noch eine Protokollentscheidung getroffen werden muss. Stealth Capability ist das Szenario, das eine abwartende Haltung scheitern lässt, weil das Signal zum Handeln in diesem Fall nie rechtzeitig kommt.

Die Vorbereitung ist für alle drei Szenarien dieselbe, und das ist die wichtigste Schlussfolgerung. Public Keys sollten nicht offengelegt werden, Address Reuse sollte vermieden werden, Konzentrationsrisiken sollten reduziert werden, und Holder sollten mit einem Custodian arbeiten, der Konsenssignale liest, während sie entstehen, statt erst zu reagieren, wenn Entscheidungen bereits gefallen sind.

Das Titelbild ist AI-generiert.