Kvantové počítače versus Bitcoin: Mohou jednou prolomit jeho zabezpečení?

Kvantové počítače bývají označovány za jednu z technologií, které by jednou mohly ohrozit zabezpečení Bitcoinu. Neznamená to ale, že by současné kvantové stroje dokázaly bitcoinovou síť prolomit nebo že by majitelé kryptoměny měli začít panikařit. Riziko je zatím především teoretické. Zároveň je natolik reálné, že se na něj připravují vlády, technologické společnosti i samotní vývojáři Bitcoinu.

Bitcoin stojí na kryptografii. Právě díky ní může uživatel prokázat, že má právo se svými bitcoiny nakládat, aniž by musel někomu sdělovat svůj soukromý klíč. Současné správně implementované kryptografické metody používané Bitcoinem jsou při použití klasických počítačů prakticky neprolomitelné. Dostatečně výkonný kvantový počítač by ale některé matematické problémy mohl řešit zásadně rychleji.

Otázka proto nezní, zda dnešní kvantové počítače dokážou Bitcoin napadnout. Nedokážou. Podstatnější je, zda se v budoucnu objeví stroj dostatečně výkonný a stabilní na to, aby některou z jeho klíčových ochran skutečně překonal.

Ne každou část Bitcoinu by kvantový počítač ohrozil stejně

Pod pojmem „prolomení Bitcoinu“ se často skrývá několik rozdílných věcí. Bitcoin totiž nevyužívá pouze jeden kryptografický mechanismus.

Pro samotné podepisování transakcí Bitcoin tradičně používá digitální podpisy ECDSA založené na eliptické křivce secp256k1. Modernější Taproot používá Schnorrovy podpisy rovněž postavené nad křivkou secp256k1. Právě tato část systému patří k částem Bitcoinu, které by dostatečně výkonný kvantový počítač mohl ohrozit.

Za normálních okolností lze ze soukromého klíče jednoduše vypočítat klíč veřejný. Opačný postup je však pro klasické počítače prakticky nemožný. Na tom stojí bezpečnost digitálních podpisů.

Výkonný kvantový počítač využívající takzvaný Shorův algoritmus by ale teoreticky mohl matematický problém, na kterém tato ochrana stojí, vyřešit. Z veřejného klíče by tak mohl odvodit klíč soukromý. Útočník by následně mohl vytvořit platný podpis a bitcoiny převést, přestože by jejich původní soukromý klíč nikdy nevlastnil.

Jiná situace panuje u hashovacích funkcí, například SHA-256, která hraje důležitou roli také při těžbě Bitcoinu. Kvantový Groverův algoritmus by sice teoreticky dokázal některé operace urychlit, neznamenal by však stejné úplné prolomení jako Shorův algoritmus v případě digitálních podpisů. Podle Bitcoin Optech by se teoretická bezpečnost 256bitového hashe proti některým útokům snížila přibližně na úroveň 128 bitů, což stále představuje mimořádně vysokou úroveň zabezpečení.

Největší kvantové riziko pro Bitcoin tak není v tom, že by někdo jednoduše „rozbil blockchain“, ale v možnosti získat soukromé klíče k některým bitcoinům.

Veřejný klíč hraje zásadní roli

Ani v tomto případě však nejsou všechny bitcoiny vystaveny stejnému riziku. U některých typů bitcoinových adres není veřejný klíč přímo viditelný, dokud majitel prostředky neutratí. Na blockchainu může být do té doby uložen pouze jeho hash. Jakmile ale uživatel z takového výstupu odešle transakci, veřejný klíč se musí zveřejnit, aby síť mohla podpis ověřit.

Pokud je následně stejný klíč používán dál, zůstává na blockchainu veřejně dostupný. Jiné typy bitcoinových výstupů navíc veřejný klíč odhalují už před samotným utracením prostředků. Právě rozdíl mezi dlouhodobě a krátkodobě vystavenými veřejnými klíči řeší také návrhy na budoucí zvýšení kvantové odolnosti Bitcoinu.

V hypotetické budoucnosti s dostatečně výkonným kvantovým počítačem by tedy existovaly dva základní scénáře. V jednodušším případě by útočník měl na prolomení veřejného klíče dostatek času, protože je už dlouhodobě zapsaný v blockchainu. Složitější útok by vyžadoval získání soukromého klíče během krátkého období mezi zveřejněním transakce a jejím potvrzením v bloku.

Právě tento druhý scénář by vyžadoval nejen dostatečně výkonný kvantový počítač, ale také schopnost provést výpočet mimořádně rychle.

Současné kvantové počítače Bitcoin prolomit neumějí

Zásadní je, že uvedený scénář dnes není prakticky proveditelný. Americký Národní institut pro standardy a technologie NIST v červenci 2026 uvedl, že současné kvantové počítače jsou stále příliš malé a nestabilní na to, aby představovaly hrozbu pro dnešní kryptografii. Nikdo přitom nedokáže přesně říct, kdy – nebo zda vůbec – vznikne takzvaný kryptograficky relevantní kvantový počítač schopný současné systémy skutečně napadat. Vývoj se ale posouvá.

Výzkumníci společnosti Google a několika univerzit v roce 2026 zveřejnili nový odhad potřebného výkonu pro prolomení 256bitové kryptografie založené na eliptických křivkách, mezi které patří i secp256k1 používaná Bitcoinem. Podle jejich práce by optimalizovaný Shorův algoritmus mohl vyžadovat zhruba 1 200 až 1 450 logických qubitů a desítky milionů kvantových operací.

To však neznamená, že stačí postavit počítač s 1 200 dnešními qubity. Logické qubity musejí být chráněny proti chybám a jejich realizace může vyžadovat mnohem větší počet fyzických qubitů. Právě stabilita a korekce chyb zůstávají jednou z největších překážek praktického kvantového počítání.

Novější odhady tedy ukazují, že kvantový útok nemusí být navždy nemožný. Zároveň ale nejde o schopnost, kterou by dnes některý existující počítač disponoval.

Kryptografie se na kvantovou éru připravuje už dnes

Bitcoin navíc není jediným systémem, kterého by se problém týkal. Dostatečně výkonné kvantové počítače by mohly ohrozit velkou část kryptografie používané na internetu, ve finančním systému, ve státní správě nebo při zabezpečení komunikace. Proto již několik let vzniká takzvaná postkvantová kryptografie.

Americký NIST v roce 2024 schválil první tři standardy postkvantové kryptografie, které jsou navrženy tak, aby odolávaly útokům budoucích kvantových počítačů. Patří mezi ně také nové systémy digitálních podpisů ML-DSA a SLH-DSA.

Institut dnes zároveň organizace vyzývá, aby s přechodem na nové technologie nečekaly. Na své stránce věnované postkvantové kryptografii uvádí, že právě nyní je čas začít migrovat k novým standardům ještě předtím, než kvantové počítače začnou představovat praktickou hrozbu.

U Bitcoinu je situace složitější. Nelze jednoduše vyměnit jeden algoritmus za druhý aktualizací na centrálním serveru. Změna by musela projít bitcoinovým vývojovým procesem a následně ji musí podporovat peněženky, burzy, custody služby a další části ekosystému.

Postkvantové podpisy navíc mohou mít jiné parametry a vyšší datové nároky než podpisy používané v Bitcoinu dnes, což je při případném návrhu změny potřeba zohlednit.

Bitcoin už připravuje možné řešení

Diskuse ale není pouze akademická. V současnosti existují konkrétní návrhy na změny Bitcoinu.

Jedním z nich je BIP 360, který navrhuje nový typ bitcoinového výstupu Pay-to-Merkle-Root, zkráceně P2MR. Jedním z jeho cílů je zvýšit odolnost proti budoucím útokům na kryptografii založenou na eliptických křivkách tím, že veřejný klíč nemusí být dlouhodobě vystavený.

Samotný návrh ale upozorňuje, že jde především o ochranu proti útokům, při nichž má útočník na prolomení veřejného klíče delší dobu. Pro ochranu proti velmi rychlému útoku na klíč zveřejněný například během čekání transakce v mempoolu by pravděpodobně bylo nutné zavést skutečně postkvantové podpisové schéma.

BIP 360 je přitom stále veden jako draft a není součástí aktivních pravidel bitcoinové sítě.

Další návrh, BIP 361, zveřejněný v roce 2026, jde ještě dál. Po případném zavedení postkvantového typu výstupu navrhuje postupně ukončit používání zranitelných ECDSA a Schnorrových podpisů. Majitelé bitcoinů by tak měli dostat dostatek času své prostředky přesunout do kvantově odolnějšího systému.

Také BIP 361 je ale zatím pouze návrhem. Je veden jako draft a jeho přijetí není jisté.

Smyslem podobných návrhů je připravit možnost migrace dříve, než by vznikla akutní hrozba. Změna základní kryptografie Bitcoinu by totiž musela být připravena a otestována s velkým předstihem.

Kvantové počítače nejsou důvodem k panice. Ignorovat je ale nelze

Představa kvantového počítače, který během několika minut ukradne bitcoiny z peněženek po celém světě, dnes patří spíše do oblasti hypotetických scénářů než praktických rizik.

Současné kvantové stroje nemají výkon ani stabilitu potřebnou k prolomení kryptografie Bitcoinu. Ani NIST dnes nedokáže určit, kdy vznikne počítač dostatečně výkonný na to, aby současné kryptografické metody skutečně ohrozil.

Na druhou stranu samotný matematický princip útoku je známý. Pokud by jednou vznikl dostatečně výkonný kvantový počítač, současné podpisové mechanismy Bitcoinu by skutečně mohly být ohroženy.

Výhodou je, že problém není pro vývojáře překvapením. Postkvantové algoritmy již existují, světová kryptografie na jejich zavádění pracuje a první návrhy možného přechodu vznikají také přímo u Bitcoinu.

Kvantové počítače tak dnes nepředstavují bezprostřední hrozbu pro majitele bitcoinu. Jsou však jedním z technologických rizik, na která se bude muset největší kryptoměna světa připravit dříve, než se z teoretické otázky stane praktický problém.

Obsah tohoto článku slouží pouze k informačním účelům a nepředstavuje investiční poradenství ani doporučení k nákupu konkrétního aktiva. Investice do kryptoaktiv jsou spojeny s vysokým rizikem. Hodnota kryptoměnových aktiv může klesat i růst a můžete přijít o celou investovanou částku. Kryptoaktiva nejsou chráněna schématy záruky vkladů. Minulé výnosy nejsou zárukou budoucích výsledků.