El chip Willow de Google y Bitcoin: ¿está cerca la amenaza cuántica?

Hace diez días, el 9 de diciembre, Google presentó Willow, un procesador cuántico de 105 cúbits que logró algo que el campo persigue desde hace casi tres décadas: tasas de error que caen a medida que la máquina crece. El anuncio reavivó de inmediato la pregunta más antigua en la intersección entre la computación cuántica y Bitcoin: ¿la criptografía que protege la red vive ya con los días contados? La respuesta corta: Willow es un hito científico genuino y no cambia nada sobre la seguridad práctica de tus monedas hoy.

La respuesta larga merece nueve minutos, porque la distancia entre «hito» y «amenaza» se mide en órdenes de magnitud, y porque un subconjunto concreto e identificable de bitcoin está más expuesto que el resto. A continuación repasamos qué demostró Willow en realidad, qué haría falta para romper la criptografía de curva elíptica de Bitcoin, qué monedas serían las primeras de la fila y qué debería cambiar —si acaso algo— un poseedor prudente a fecha de diciembre de 2024.

Qué demostró Willow en realidad

Willow es un chip cuántico superconductor con 105 cúbits físicos, fabricado en la planta de Google en Santa Bárbara. Google publicó dos resultados destacados, y el menos célebre importa mucho más. El primero es la corrección cuántica de errores por debajo del umbral. Los bits cuánticos son frágiles: el calor, la vibración y el ruido electromagnético parásito los corrompen constantemente, y por eso los ordenadores cuánticos han producido históricamente errores más rápido de lo que producían trabajo útil. La solución habitual es codificar un cúbit «lógico» fiable a través de muchos cúbits físicos poco fiables, pero eso solo ayuda si la tasa de error físico se sitúa por debajo de un umbral crítico. Por encima de él, añadir cúbits añade más ruido del que elimina.

Willow cruzó esa línea. A medida que Google ampliaba su código de superficie corrector de errores de una cuadrícula de 3×3 cúbits físicos a 5×5 y luego a 7×7, la tasa de error lógico se reducía aproximadamente a la mitad en cada paso. La corrección de errores por debajo del umbral significa que añadir más cúbits físicos a un cúbit lógico codificado hace que la tasa de error lógico baje en lugar de subir. Los investigadores llevan intentando demostrar esto de forma convincente desde los años noventa. Es un avance real, revisado por pares, y merece tomarse en serio.

El segundo resultado generó los titulares. Willow completó en menos de cinco minutos una prueba de muestreo de circuitos aleatorios que, según la propia estimación de Google, le llevaría a uno de los superordenadores más rápidos de la actualidad unos 10²⁵ años. Esa comparación es el marco de Google y debe leerse como tal: el muestreo de circuitos aleatorios es una tarea elegida precisamente porque el hardware cuántico es bueno en ella por naturaleza y el hardware clásico es malísimo por naturaleza. No tiene ninguna aplicación comercial o criptográfica conocida. Es una prueba de esfuerzo, no un descifrador de códigos.

Una prueba de rendimiento no es el algoritmo de Shor

El ataque cuántico que importa para Bitcoin es concreto: ejecutar el algoritmo de Shor contra secp256k1, la curva elíptica que hay detrás de cada firma de Bitcoin, para derivar una clave privada a partir de una clave pública conocida. Ese cálculo debe ejecutarse sobre cúbits lógicos con corrección de errores, durante horas, sin colapsar bajo el ruido acumulado.

Romper secp256k1 con el algoritmo de Shor requeriría del orden de miles de cúbits lógicos con corrección de errores, lo que a tasas de error realistas se traduce en millones de cúbits físicos, según estimaciones de investigación ampliamente citadas. Willow tiene 105 cúbits físicos y demostró aproximadamente un cúbit lógico bueno. La distancia no es un ciclo de producto; es de unos cuatro órdenes de magnitud en el número de cúbits físicos, más problemas de ingeniería sin resolver en criogenia, cableado de control y rendimiento de fabricación que se vuelven más difíciles —no más fáciles— a medida que las máquinas crecen.

Ningún investigador creíble afirma que hoy exista un ordenador cuántico criptográficamente relevante, y la propia hoja de ruta publicada por Google sitúa las máquinas a gran escala con corrección de errores a varios hitos importantes de distancia. Las estimaciones serias sobre cuándo podría la computación cuántica alcanzar esa escala van desde aproximadamente una década hasta varias décadas o nunca. Esas estimaciones podrían comprimirse —el sentido mismo de Willow es que ahora escalar ayuda en lugar de perjudicar—, pero cualquier compresión sería visible con mucha antelación, porque los recuentos de cúbits lógicos son resultados de investigación publicados, no secretos.

Qué bitcoin serían los primeros de la fila

Esta es la parte que la mayoría de la cobertura omite: un atacante cuántico que ejecute el algoritmo de Shor necesita tu clave pública, y no todas las monedas exponen una. Las salidas de Bitcoin se dividen en dos grandes clases.

• Claves públicas expuestas. Las monedas más antiguas —incluido el millón aproximado de BTC que suele atribuirse a la minería de la era Satoshi— se pagaron directamente a claves públicas en bruto (P2PK), que están on-chain a la vista de todos. Toda dirección que conserva un saldo después de haber gastado desde ella también queda expuesta, porque el primer gasto revela su clave pública. Las salidas Taproot, del mismo modo, colocan por diseño una clave pública ajustada (tweaked) on-chain.
• Salidas protegidas por hash. Una dirección de Bitcoin desde la que nunca se ha gastado expone solo el hash de su clave pública, no la clave pública en sí, y el algoritmo de Shor no puede apuntarse contra un hash. Para estas monedas, la única oportunidad del atacante es el breve intervalo entre la difusión de una transacción, que revela la clave, y la confirmación de esa transacción: una carrera mucho más difícil contra la red.

La clase expuesta no es pequeña. Un análisis de Deloitte ampliamente citado estimó que las salidas con claves públicas expuestas contienen aproximadamente una cuarta parte de todo el bitcoin, en su mayoría monedas P2PK tempranas y direcciones reutilizadas. Si alguna vez llega una máquina criptográficamente relevante, esas monedas —muchas demostrablemente inactivas, con sus dueños desaparecidos hace tiempo— son el canario en la mina. Serían atacadas primero, de forma pública e inconfundible, y la red tendría un aviso inequívoco antes de que las monedas protegidas por hash fueran alcanzables.

La solución existe; la migración es la parte difícil

La criptografía poscuántica ya no es teórica. En agosto de 2024, el NIST finalizó sus tres primeros estándares poscuánticos —FIPS 203, 204 y 205—, que cubren el encapsulado de claves y las firmas digitales diseñadas para resistir un ataque cuántico. Bitcoin podría adoptar un tipo de salida resistente a la computación cuántica mediante un soft fork, la misma vía de actualización que trajo SegWit y Taproot.

Los problemas genuinamente difíciles son prácticos, no matemáticos. Las firmas poscuánticas son grandes —kilobytes, frente a los aproximadamente 70 bytes de una firma secp256k1—, lo que tensiona el espacio de bloque. La migración exige que cada poseedor mueva sus monedas a nuevos tipos de salida, un ejercicio de coordinación entre decenas de millones de participantes. Y los millones de monedas cuyas claves están perdidas no podrán migrar jamás, lo que a la larga forzará una decisión comunitaria incómoda: dejarlas como un botín cuántico o congelarlas a nivel de protocolo. Son cuestiones de gobernanza, y la gobernanza se mueve más despacio que las matemáticas. Ese es el argumento honesto para prestar atención pronto: no pánico, sino margen de anticipación.

Qué cambia Willow sobre cómo custodias tus claves: nada, y ese es el punto

A fecha de hoy, las amenazas que de verdad le cuestan bitcoin a la gente no han cambiado: phishing, robo de la seed phrase, malware en dispositivos conectados, fallo de un custodio y la simple pérdida. Una lectura serena de Willow deja tu lista de seguridad exactamente donde estaba, aunque conviene notar que una buena higiene de claves y una buena higiene cuántica son en gran medida la misma lista:

• No reutilices direcciones. La reutilización filtra tu clave pública de forma permanente y traslada tus monedas a la clase expuesta ante cualquier hardware que exista dentro de décadas. Las billeteras modernas rotan direcciones por defecto; déjalas hacerlo.
• Mantén las claves offline. Sea lo que sea que depare el futuro lejano, los ataques de hoy llegan por la red. El flujo de billetera fría de Ownbit convierte un teléfono de repuesto en un firmante aislado (air-gapped) que intercambia transacciones sin firmar y firmas únicamente mediante código QR, y nuestro modelo de seguridad está construido para que la recuperación nunca dependa de los servidores de Ownbit.
• Elimina los puntos únicos de fallo. Una sola seed phrase está a un robo, un incendio en casa o un heredero confundido de la pérdida total: un riesgo que es real cada día, a diferencia del algoritmo de Shor.

Aquí cabe una advertencia honesta. Ningún esquema de gestión de claves cambia la curva subyacente: la multisig, la MPC y las billeteras de hardware terminan todas en firmas verificadas por la misma matemática de curva elíptica on-chain, algo que también señalamos en nuestra comparación entre MPC y MultiSig. Lo que cambia la MultiSig de Ownbit es todo lo que te amenaza antes de que exista ninguna máquina cuántica: reparte el control entre varias seed phrases BIP39 estándar e independientes, de modo que ni el compromiso de un único dispositivo ni una copia de seguridad perdida pueden mover los fondos. Y como está construida sobre estándares abiertos con contratos de código abierto, se sitúa en la misma vía de actualización que el resto del ecosistema cuando lleguen los tipos de firma poscuánticos.

Preguntas frecuentes