Квантовая гонка началась: обзор готовности основных блокчейнов

Оригинал | Odaily News (@OdailyChina)

Автор | jk

Перед чтением: сначала разберитесь в пяти вещах

Этот отчёт не предполагает, что читатель знаком с криптографией или квантовой физикой; если вас интересуют только выводы, можно сразу перейти к разделу «Ключевые выводы»; прежде чем перейти к основной части, мы объясним пять ключевых понятий с помощью повседневных аналогий.

1. Как работают «ключи» в криптовалюте

Ваши биткоины или эфиры не хранятся в каком-то файле, а записаны на определённый адрес в блокчейне. Чтобы потратить эти средства, вы должны предъявить «цифровую подпись», доказывающую всей сети, что вы владелец этого адреса. Для создания подписи используется закрытый ключ, который известен только вам; для проверки подписи используется открытый ключ, который публичен и доступен каждому для сверки.

Это можно представить как образец подписи, хранящийся в банке: у банка есть образец вашей подписи (открытый ключ), и когда кто-то приходит за деньгами, банк сверяет почерк с образцом (проверяет подпись), но никто, глядя на образец, не может в точности воспроизвести вашу собственноручную подпись (вывести закрытый ключ). Эта система сегодня надёжна потому, что вывести закрытый ключ из открытого математически считается невыполнимо сложной задачей. Угроза квантовых компьютеров в том, что они могут сделать это «невозможное» возможным.

2. Что меняют квантовые компьютеры

Обычный компьютер взламывает шифр, как человек, перебирающий огромную связку ключей один за другим, — даже при очень быстром переборе это занимает астрономическое время. Квантовый компьютер не перебирает быстрее, а использует другой подход: для определённого класса математических задач алгоритм Шора, предложенный в 1994 году, может сократить время с «возраста Вселенной» до «нескольких минут или часов».

Важно подчеркнуть, что квантовый компьютер не всемогущ. Для большинства повседневных вычислительных задач у него нет преимущества. Но, к сожалению, тот класс задач, в котором он силён, как раз лежит в основе криптографии с открытым ключом (включая RSA и эллиптические кривые), на которую сегодня опираются интернет и блокчейн. В отличие от этого, хеш-функции (которые можно представить как одностороннюю мясорубку, превращающую любой вход в отпечаток фиксированной длины) лишь незначительно ускоряются квантовыми алгоритмами, поэтому механизмы безопасности, построенные на хешах, относительно устойчивы. Это объясняет, почему большинство постквантовых решений тяготеют к «хеш-ориентированным» подходам.

3. Почему «паниковать не нужно, но и бездействовать нельзя»

Современные квантовые компьютеры ещё далеки от угрозы биткоину. Для взлома одного биткоин-ключа требуется около 500 000 физических кубитов, а самые передовые публично известные чипы имеют лишь около сотни, то есть разрыв в тысячи раз. Поэтому сегодня никто не сможет украсть ваши монеты с помощью квантового компьютера.

Однако в графике есть два тревожных фактора. Во-первых, сама миграция чрезвычайно трудоёмка: чтобы перевести весь блокчейн на новую систему подписей, нужно написать код, провести аудит, тестирование, скоординировать обновление всей сети и заставить сотни миллионов пользователей переместить активы; в отрасли считается, что на это уйдёт от пяти до десяти лет. Во-вторых, оценки быстро снижаются: год назад требовались миллионы кубитов (это можно упрощённо понимать как вычислительную мощность, необходимую квантовому компьютеру для взлома блокчейна), а в этом году уже менее 500 000. Это как строить мост, на который уходит десять лет, не зная, когда придёт наводнение: разумно начать строительство сейчас, а не ждать, пока вода поднимется.

4. Почему некоторые монеты более уязвимы

Уязвимость монет на адресе зависит от того, был ли уже раскрыт открытый ключ. Это можно представить как запечатанный конверт: многие адреса хранят не сам открытый ключ, а его хеш-отпечаток, то есть открытый ключ как бы запечатан в конверт, который вскрывается только при трате средств. Пока конверт не вскрыт, квантовому компьютеру не за что зацепиться.

Проблема в том, что у части адресов конверты уже вскрыты. В раннем биткоине (включая эпоху Сатоси) один тип адресов записывал открытый ключ прямо в цепочку, без конверта; кроме того, многие пользователи повторно используют один и тот же адрес: при первой трате конверт вскрывается, а оставшиеся монеты остаются на том же адресе, и открытый ключ остаётся публичным. Это те самые «раскрытые» активы, о которых неоднократно говорится в отчёте, — примерно треть всего предложения биткоина. Кроме того, даже для запечатанного конверта в короткий промежуток между отправкой транзакции и её подтверждением открытый ключ транслируется в сеть — это мимолётная, но не невозможная возможность для атаки.

5. Что именно решает «постквантовая» криптография

Идея решения не сложна: заменить замок на новый, который квантовый компьютер не сможет взломать. Научное сообщество уже предложило несколько классов кандидатов, таких как подписи на основе хешей и подписи на основе решёток, и американский NIST завершил их стандартизацию в 2024 году. По-настоящему сложны три следующие вещи: новые замки больше и тяжелее, размер подписи в 10–40 раз больше нынешнего, что напрямую замедляет транзакции и повышает стоимость; замена замка требует согласия всей сети, а децентрализованным сетям как раз труднее всего достичь консенсуса; и, наконец, что делать с монетами, владельцы которых потеряли связь и никогда не придут менять замок, — заморозить, уничтожить или оставить как есть, — ни одно решение не устроит всех.

Распространённые заблуждения

Одно из заблуждений: «Как только появится квантовый компьютер, все криптовалюты обесценятся». На самом деле под угрозой находится только звено подписи, и сеть может ответить обновлением схемы подписи; прогресс у разных цепочек разный, и риски не равны.

Второе заблуждение: «Квантовый компьютер сделает майнинг бессмысленным». Майнинг опирается на хеш-вычисления, а квантовые алгоритмы дают лишь ограниченное ускорение и не отменяют доказательство работы.

Третье заблуждение: «Это научная фантастика, меня не касается». Сейчас квантовые компьютеры действительно не могут взломать биткоин, но регуляторы, кастодианы и эмитенты ETF уже включили это в официальные списки рисков, а временные рамки миграции уже прописаны в политике разных стран.

Ключевые выводы

Готовность криптоиндустрии к квантовым атакам за последний год заметно выросла, но постквантовой защиты, реально работающей в основной сети, всё ещё крайне мало, и в целом отрасль пока не готова.

Блокчейн опирается на подписи закрытым ключом для подтверждения принадлежности активов, а безопасность подписи основана на математической задаче дискретного логарифма на эллиптической кривой. Классические компьютеры не могут решить эту задачу за приемлемое время, а достаточно большой квантовый компьютер с коррекцией ошибок, используя алгоритм Шора, теоретически может вывести закрытый ключ из публичного открытого ключа и затем перевести чужие активы. Постквантовая криптография — это как раз схемы подписи и шифрования, которые считаются безопасными даже перед лицом квантового компьютера.

«Дискретный логарифм на эллиптической кривой» звучит абстрактно, но его можно понять через бытовую аналогию. Представьте, что на сетке особой формы есть публичная начальная точка, и по фиксированным правилам из неё совершается несколько последовательных «прыжков», после чего вы оказываетесь в некоторой позиции. Ваш закрытый ключ — это число прыжков, огромное случайное число; ваш открытый ключ — это конечная позиция, которая становится публичной. Зная число прыжков, вычислить конечную точку легко — достаточно нескольких сотен операций; наоборот, видя только конечную точку и желая узнать, сколько было прыжков, не остаётся ничего лучше, как перебирать все возможные числа одно за другим. У кривых, используемых в биткоине и эфириуме, число возможных вариантов составляет около 2 в 256-й степени — астрономическое число, которое невозможно перебрать за время существования человечества или даже Вселенной, даже задействовав все компьютеры мира. Именно поэтому закрытый ключ нельзя вывести из открытого.

Квантовый компьютер представляет угрозу, потому что ему не нужно перебирать по одному. Алгоритм Шора использует свойство квантовой суперпозиции, одновременно рассматривая огромное количество возможных чисел и извлекая закономерность, скрытую в процессе прыжков, сжимая поиск, требующий астрономического числа шагов, до вычислительной нагрузки управляемого размера. Иными словами, классический компьютер ищет иголку в стоге сена по капле, а квантовый находит закономерность, по которой расположена иголка.

Применительно к реальной атаке процесс состоит примерно из трёх шагов: первый — атакующий считывает с блокчейна уже раскрытый открытый ключ какого-либо адреса; второй — с помощью достаточно большого квантового компьютера вычисляет соответствующий закрытый ключ; третий — с помощью этого закрытого ключа подделывает легитимную подпись и переводит монеты с этого адреса на свой. Сеть не может отличить такую подпись от настоящей, потому что математически она полностью идентична подписи, сделанной владельцем. Именно поэтому далее в тексте неоднократно подчёркивается, «раскрыт ли уже открытый ключ»: если открытый ключ не раскрыт, первый шаг атаки невозможен.

Когда наступит угроза?

За последний год оценки квантовых ресурсов, необходимых для взлома криптовалют, значительно снизились. В белой книге Google Quantum AI, опубликованной в марте 2026 года (соавторы — Дэн Боне из Стэнфордского университета и Джастин Дрейк из Ethereum Foundation), приведены две схемы атаки на кривую secp256k1, требующие не более 1200 и 1450 логических кубитов соответственно. Логические кубиты — это кубиты с коррекцией ошибок, способные к надёжным вычислениям; в пересчёте на реальное оборудование при уровне ошибок около одной тысячной на сверхпроводящей платформе требуется менее 500 000 физических кубитов, а полное выполнение занимает около 18–23 минут. Поскольку примерно половину вычислений можно выполнить заранее, как только открытый ключ раскрывается при трансляции транзакции, атакующему нужно всего около 9 минут, чтобы вывести закрытый ключ. CoinDesk в своём материале отметил, что это означает примерно 41% вероятность того, что атакующий успеет перенаправить средства до подтверждения исходной транзакции. Forbes считает, что этот результат примерно в 20 раз меньше прежних оценок в миллионы физических кубитов.

Кубиты можно упрощённо понимать как вычислительную мощность, необходимую квантовому компьютеру для взлома блокчейна; соответственно, Q-day — это день, когда появится достаточно мощный квантовый компьютер.

Крейг Гидни в препринте от мая 2025 года указал, что для взлома RSA-2048 требуется уже менее 1 миллиона шумных кубитов, тогда как его оценка с Экеро в 2019 году составляла 20 миллионов. Другой препринт, поданный Калифорнийским технологическим институтом, Oratomic и Калифорнийским университетом в Беркли в день публикации белой книги, утверждает, что при использовании нейтральных атомов может хватить от 10 000 до 26 000 кубитов, но этот вывод основан на моделировании и не подтверждён аппаратно. Кроме того, Google не раскрыла сами схемы атаки, а лишь с помощью доказательства с нулевым разглашением показала их работоспособность — это первый в данной области случай «ответственного раскрытия».

Скриншот статьи Google, источник: arxiv

Однако паниковать не стоит, потому что между текущим состоянием оборудования и этими оценками всё ещё огромный разрыв. Чип Willow от Google имеет всего 105 кубитов, а самый большой ключ на эллиптической кривой, который удалось взломать в публичной демонстрации, — всего 15 бит, тогда как биткоин использует 256-битные ключи. Награда Q-Day, выданная Project Eleven, также вызывает споры: разработчики биткоина считают, что полученный результат не отличается значимо от случайного угадывания.

Что касается сроков появления машин, реально способных взламывать, оценки экспертов в основном сосредоточены на начале–середине 2030-х годов, причём риск существует и до 2030 года. Консультативный совет Coinbase заявил, что не может быть уверен, что к установленному NIST сроку миграции 2035 года такие машины не появятся. Чарльз Хоскинсон считает, что вероятность появления коммерческого квантового компьютера до 2033 года превышает 50%, а Ник Картер оценивает вероятность уязвимости биткоина к 2035 году в 70–80%. Google установила собственный график постквантовой миграции на 2029 год.

Природа риска и масштаб раскрытия

Для публичного реестра основной риск — подделка подписи, то есть атакующий, имея раскрытый открытый ключ, выводит закрытый ключ и крадёт активы, а не часто упоминаемая в отрасли схема «сначала собрать, потом расшифровать». Активы на адресах, где открытый ключ уже появился в цепочке, находятся в состоянии «статического раскрытия» с момента появления крупного квантового компьютера; активы, представленные только хешем адреса и никогда не тратившиеся, раскрываются лишь в короткий промежуток между трансляцией транзакции и её подтверждением. Угроза «сначала собрать, потом расшифровать» в основном касается приватных монет, поскольку записанные сегодня транзакции в будущем могут быть ретроспективно деанонимизированы. Сами хеш-функции не являются слабым звеном: SHA-256 и Keccak перед квантовыми алгоритмами теряют лишь безопасность на уровне квадратного корня, майнинг на доказательстве работы и обязательства на основе хешей в целом остаются безопасными, поэтому большинство постквантовых решений склоняются к хеш-ориентированным.

Масштаб раскрытых активов весьма значителен. Консультативный совет Coinbase оценивает, что открытые ключи примерно 6,9 млн BTC (около 32% общего предложения) уже раскрыты в цепочке, из них около 1,7 млн находятся на примерно 20 000 ранних P2PK-адресах, а около 5 млн — результат повторного использования адресов, включая холодные кошельки некоторых крупных бирж. Авторы BIP-361 дают несколько более высокую долю — более 34% по состоянию на 1 марта 2026 года. Для сравнения, Ripple утверждает, что лишь 0,03% XRP хранится на спящих счетах с раскрытыми открытыми ключами. Расхождения в цифрах в основном объясняются разными подходами к учёту P2PK, повторного использования адресов и выходов Taproot.

Прогресс и расхождение между цепочками

С точки зрения реального прогресса цепочки уже заметно разошлись. QRL с 2018 года работает на нативных постквантовых подписях, Algorand в августе 2026 года запустил нативные Falcon-аккаунты, NEAR в июле 2026 года — ML-DSA-аккаунты, Falcon-аккаунты Starknet уже работают в основной сети, но ещё не прошли аудит, соответствующий код Tezos попал в основную сеть с обновлением, но по умолчанию отключён. У Ethereum (около 2029 года), XRPL (2028 год), Sui (первый квартал 2027 года), Stellar и Hedera (около 2027 года) есть дорожные карты с датами, Solana выбрала Falcon, но не установила сроков, Cosmos SDK выпустил поддержку, но её должна включать каждая цепочка самостоятельно. Два соответствующих предложения для биткоина всё ещё находятся на стадии черновиков и не имеют пути активации; Cardano всё ещё на стадии исследований; у Monero, Avalanche и BNB Chain официальных планов нет.

Абстракция аккаунтов — самое важное структурное различие. Сети, где аккаунт может самостоятельно менять схему подписи без необходимости единого форка всей цепочки (Starknet, Algorand, NEAR, Sui, Aptos, а также Ethereum после внедрения EIP-8141), позволяют пользователям мигрировать по одному; модель аккаунтов биткоина такой гибкости не имеет, и миграция возможна только через новые типы адресов и многолетний добровольный перевод средств.

Сложность в управлении: как обеспечить согласованные действия всех?

Сами криптографические решения уже имеют стандарты, по-настоящему нерешёнными остаются вопросы управления и инженерии.

Во-первых, как скоординировать софтфорк или хардфорк, чтобы вся сеть обновилась синхронно. Во-вторых, что делать с активами, которые так и не будут перенесены, включая около 1,7 млн BTC эпохи Сатоси: заморозить, отозвать или оставить как есть — пока лишь немногие цепочки высказались определённо. В-третьих, новые подписи в 10–40 раз больше нынешних 64-байтовых, что напрямую снизит пропускную способность транзакций и повысит стоимость. Ripple отмечает, что подпись Dilithium примерно в 40 раз больше существующей; Консультативный совет Coinbase предупреждает, что после перехода размер блока может вырасти до 38 раз; Хоскинсон напоминает, что преждевременный переход Cardano может замедлить сеть примерно в 10 раз.

Стандарты и регулирование

Традиционные финансы и государственные органы уже дали чёткие графики миграции, и именно на этом фоне криптоиндустрия вынуждена действовать. Важнейшим из них является постквантовый стандарт американского NIST, который определяет как допустимые для блокчейнов схемы подписи, так и сроки вывода из эксплуатации старых алгоритмов.

Отраслевой золотой стандарт: стандарты NIST

NIST — Национальный институт стандартов и технологий США, входящий в Министерство торговли США и отвечающий за разработку технических стандартов. Его стандарты в области криптографии (такие как AES, хеши SHA) широко применяются во всём мире. В августе 2024 года он опубликовал первые постквантовые криптографические стандарты, поэтому большинство постквантовых решений блокчейнов ориентируются на них.

13 августа 2024 года NIST официально выпустил три постквантовых стандарта, четвёртый ещё разрабатывается. FIPS 203 (ML-KEM) — это механизм инкапсуляции ключей, используемый для шифрования коммуникаций, а не схема подписи. FIPS 204 (ML-DSA, ранее Dilithium) — подпись на основе решёток, размер подписи около 2,4–4,6 КБ, на сегодняшний день самый распространённый выбор по умолчанию. FIPS 205 (SLH-DSA, ранее SPHINCS+) — подпись на основе хешей, с наиболее консервативными предположениями безопасности, но размер подписи достигает примерно 7,8–50 КБ. Ещё не финализированный FIPS 206 (FN-DSA, ранее Falcon) также основан на решётках; подпись Falcon-512 составляет всего около 0,7 КБ, что делает её самой компактной из трёх, и Hedera в анализе от апреля 2026 года ожидает её завершения примерно к началу 2027 года. Для сравнения, подписи Schnorr в биткоине и Ed25519 в Solana имеют размер всего 64 байта.

Стандарты, опубликованные NIST, источник: официальный сайт NIST

Переходное руководство NIST предусматривает, что алгоритмы с открытым ключом, уязвимые для квантовых атак, будут выведены из употребления в 2030 году и запрещены в 2035 году. Именно отсюда происходит часто упоминаемый в отрасли срок «2035 год».

Раскрытие информации институциональными игроками

На институциональном уровне квантовые риски уже начали включать в официальные документы. BlackRock 9 мая 2025 года расширил раздел о квантовых рисках в проспекте iShares Bitcoin Trust (IBIT), аналогичные формулировки есть и в его продуктах на эфириум, с предупреждением, что квантовые вычисления могут сделать криптографию биткоина неэффективной. VanEck в проспекте BNB ETF 2026 года сделал аналогичное предупреждение в отношении BNB Smart Chain. Такие раскрытия являются стандартными предупреждениями о рисках, а не прогнозами, но они показывают, что квантовая готовность стала частью due diligence кастодианов и эмитентов ETF.

Подготовка отдельных игроков

Coinbase: задаёт тон всей отрасли через независимый консультативный совет

Coinbase — один из важнейших институтов, которые в 2026 году вывели квантовую тему в мейнстрим. Её подход — пригласить внешних экспертов в независимый совет, публиковать аналитику и требовать от цепочек как можно более ранних заявлений.

Независимый консультативный совет Coinbase по квантовым вычислениям и блокчейну был создан в январе 2026 года, первая статья опубликована 21 апреля 2026 года, объёмом около 50 страниц. В состав вошли Скотт Ааронсон, Дэн Боне, Джастин Дрейк, Срирам Каннан, Йехуда Линделл и Далия Малки. Боне и Дрейк также являются соавторами упомянутой выше белой книги Google, поэтому выводы двух документов перекликаются.

Основной вывод статьи: отказоустойчивый квантовый компьютер в конечном итоге будет создан, и совет выражает в этом высокую уверенность, но при этом подчёркивает, что такой машины пока не существует. Что касается того, появится ли она до 2035 года, совет считает, что гарантировать её отсутствие нельзя, поэтому призывает начинать подготовку уже сейчас, а не ждать появления тревожных сигналов. По масштабу раскрытия в статье оценивается, что открытые ключи примерно 6,9 млн BTC уже раскрыты; в июньском последующем отчёте эта цифра разбита: около 1,7 млн находятся на примерно 20 000 старых P2PK-адресах, около 5 млн — результат повторного использования адресов, в основном принадлежащих активным пользователям, включая холодные кошельки крупных бирж. Статья также предупреждает, что переход на постквантовые подписи может увеличить размер блока до 38 раз. В отличие от белой книги Google, совет относительно меньше обеспокоен атаками с опережением до подтверждения транзакции, тогда как 9-минутное окно атаки, приведённое Google, делает этот класс атак реальной проблемой.

Ключевая рекомендация для цепочек — как можно раньше принять решение и публично объявить: что делать с активами, которые так и не будут перенесены на постквантовые подписи, — заморозить, отозвать или оставить как есть. Сам совет не выбирает сторону для таких сетей, как биткоин, но считает, что затягивание с решением само по себе является риском.

Значение этого документа в том, что Coinbase, будучи публичной компанией и одним из крупнейших кастодианов, таким образом выполняет свою продуктовую ответственность и предоставляет отрасли цитируемый сторонний анализ, делая квантовую готовность вопросом, на который обязаны отвечать биржи, кастодианы и эмитенты ETF. Следует отметить, что совет финансируется Coinbase, его мнение имеет большой вес, но читателю не стоит считать его полностью нейтральным арбитром.

Project Eleven: лидер отрасли в области квантовой безопасности

Project Eleven — самый активный вендор безопасности в этой области, который занимается как исследованиями и прототипами, так и продвижением темы в публичное поле. Его доходы и влияние в значительной степени зависят от того, станет ли квантовая угроза реальностью.

В январе 2026 года компания завершила раунд серии A на 20 миллионов долларов. Учреждённая ею награда Q-Day составляет 1 BTC и вручается первому, кто взломает ключ на эллиптической кривой с помощью квантового компьютера. 24 апреля 2026 года награда была присуждена Джанкарло Лелли, который взломал 15-битный ключ на эллиптической кривой на облачном квантовом оборудовании IBM. В этом результате важно понимать две вещи: во-первых, реальный биткоин-ключ имеет длину 256 бит, и демонстрация с 15 битами ещё очень далека от реальной угрозы; во-вторых, разработчики биткоина считают, что полученный результат не отличается значимо от случайного угадывания, и под соответствующим объявлением была добавлена пометка сообщества.

Оценка Project Eleven по BTC под риском, источник: Project Eleven

Project Eleven также сотрудничает с Ripple и Solana в области оценки угроз и разработки прототипов; например, Денис Анжелл из Ripple вместе с ними завершил прототип ML-DSA в тестовой сети AlphaNet XRPL. Компания также предоставила оценку, что открытые ключи примерно 7,1 млн BTC уже раскрыты.

В целом Project Eleven предоставляет публично обсуждаемые вехи и прототипный код, который могут тестировать различные фонды; в то же время, исходя из коммерческих интересов, компания склонна подчёркивать срочность.

Подготовка основных публичных цепочек и ключевые команды

Уровень готовности цепочек сильно различается. Проект Ethereum организован наиболее полно, у биткоина больше всего споров и меньше всего реализации, Solana выбрала алгоритм, но не установила сроков. Ниже сначала рассмотрим три крупнейшие по капитализации цепочки, затем обсудим другие сети с соответствующей квантовой подготовкой.

Биткоин: есть предложения, но нет пути активации

У биткоина нет фонда, любые изменения требуют предложения разработчиков (BIP) и консенсуса сообщества майнеров и узлов. Сейчас есть два основных предложения, связанных с квантовой безопасностью, и один аварийный план.

BIP-360 (Pay-to-Merkle-Root, сокращённо P2MR) написан Хантером Бистом (MARA), Итаном Хейлманом и Изабель Фоксен Дьюк и 11 февраля 2026 года включён как черновик в официальный репозиторий предложений. Он добавляет новый тип выхода, похожий на Taproot, но убирает путь траты напрямую ключом, чтобы монеты в состоянии покоя не раскрывали открытый ключ; адреса начинаются с bc1z. Предложение намеренно не вводит никакой постквантовой схемы подписи — эта часть оставлена для последующего софтфорка, и Хейлман уже начал обсуждение алгоритмической гибкости в списке рассылки. BIP-360 также не защищает от атак с опережением до подтверждения транзакции.

BIP-361 (постквантовая миграция и закат старых подписей) написан Джеймсоном Лоппом и ещё пятью авторами, опубликован 14 апреля 2026 года и предлагает поэтапный вывод из эксплуатации старых подписей. Примерно через 3 года после активации запрещается отправлять новые средства на уязвимые типы адресов; примерно через 5 лет старые траты ECDSA и Schnorr становятся недействительными, а соответствующие активы замораживаются; позже может быть предложен путь восстановления на основе доказательств с нулевым разглашением. Критики называют это предложение авторитарным, а сам Лопп говорит, что не хотел бы, чтобы оно реально применялось, и что сейчас оно не находится в состоянии, пригодном для принятия.

Говоря простыми словами, BIP-360 лишь добавляет тип адреса, скрывающий открытый ключ, но не может защитить старые адреса с уже раскрытыми открытыми ключами: эти монеты по-прежнему защищены исходными подписями ECDSA/Schnorr, и после появления квантового компьютера их можно будет украсть, подделав подпись. Единственное, что можно сделать, — до Q-day владельцу самостоятельно перевести монеты на новый P2MR-адрес, после чего открытый ключ перестанет быть раскрытым. Монетам, владельцы которых потеряли связь и не могут перевести средства (например, P2PK эпохи Сатоси), BIP-360 не поможет, поэтому BIP-361 и предлагает заморозку.

Кроме того, Авиху Леви из StarkWare разработал Quantum-Safe Bitcoin (QSB), первая транзакция которого была включена в цепочку 26 августа 2026 года через MARA Slipstream. Он добавляет к транзакции хеш-ориентированный замок с помощью grinding подписи, не требует софтфорка, но стоимость каждой транзакции достигает сотен долларов, требует прямой подачи майнерам и не помогает уже раскрытым ключам — его можно рассматривать лишь как аварийный план.

Даже если BIP-360 будет активирован завтра, каждому держателю всё равно придётся самостоятельно переводить активы на новый адрес, что займёт годы блочного пространства и никак не повлияет на активы эпохи Сатоси. Иными словами, если в ближайшие 5 лет у биткоина не появится основного решения, достигшего консенсуса, возникнет риск атаки на все адреса эпохи Сатоси. Тогда для решения проблемы может потребоваться раскол консенсуса уровня хардфорка.

Ethereum: наиболее полная организация среди крупных цепочек, цель — около 2029 года

Ethereum Foundation поставил постквантовую безопасность в число главных приоритетов, создал специальную команду, отдельный сайт и еженедельное тестирование интероперабельности. В январе 2026 года фонд сформировал постквантовую команду под руководством Томаса Коратжера и учредил две криптографические награды по 1 миллиону долларов каждая; pq.ethereum.org запущен 25 марта 2026 года; более десятка клиентских команд еженедельно запускают постквантовую тестовую сеть интероперабельности для разработки.

Согласно ethereum.org, обновить необходимо четыре компонента: консенсусные подписи BLS, обязательства доступности данных KZG, подписи аккаунтов ECDSA и системы доказательств с нулевым разглашением, от которых зависят сети второго уровня. На уровне консенсуса схема Lean Ethereum заменяет BLS на хеш-ориентированные подписи leanXMSS и с помощью минималистичного zkVM под названием leanVM агрегирует множество подписей в доказательство очень малого размера, чтобы смягчить проблему больших подписей. На уровне аккаунтов EIP-8141 (Frame Transactions), подготовленный Виталиком Бутериным и другими 29 января 2026 года, даёт аккаунтам нативную способность к абстракции, позволяя каждому аккаунту самостоятельно определять, как проверять подпись, включая переход на постквантовые схемы; это предложение уже включено в запланированное обновление Hegotá. Мира Беленький из Circle также предложила постквантовый путь для ecrecover, при котором frame transaction несёт постквантовую подпись для чтения контрактом.

EIP-8141, источник: официальный сайт Ethereum

Что касается сроков, ключевая постквантовая инфраструктура намечена примерно на 2029 год, в некоторых материалах упоминается декабрь 2029 года. Данные о сроках самого обновления Hegotá расходятся: ранние материалы говорили о второй половине 2026 года, а формулировка ethereum.org в июле 2026 года уже изменена на 2027 год.

В целом это самый продвинутый проект среди крупных сетей. Но до запуска EIP-8141 и поддержки постквантовых подписей кошельками у держателей ETH нет протокольного постквантового варианта; старые аккаунты с раскрытыми открытыми ключами сталкиваются с той же дилеммой, что и биткоин, однако в целом, если не произойдёт непредвиденного квантового риска, обновлённая сеть Ethereum не должна пострадать от квантовых атак.

Solana: алгоритм выбран, сроков нет

Защита Solana в настоящее время в основном находится на уровне приложений. Winternitz Vault от Blueshift — это одноразовое хранилище подписей на основе хешей, доступное пользователям на добровольной основе примерно с января 2025 года; это приложение, а не обновление протокола.

На уровне протокола Solana Foundation 27 апреля 2026 года опубликовал план подготовки, в котором сообщается, что две клиентские команды — Anza и Firedancer — независимо выбрали Falcon, поскольку Falcon-512 имеет наименьший размер подписи среди решений NIST, и у обеих команд уже есть ранние реализации. План состоит из трёх этапов: продолжение исследований; если угроза станет правдоподобной, сначала предоставить постквантовые подписи для новых кошельков; затем мигрировать существующие кошельки. 8 октября 2026 года технический вице-президент Джейкоб Крич дополнительно заявил, что в настоящее время не будет активироваться так называемый бункерный режим и не будет проводиться массовая миграция.

Риск такой позиции в том, что адреса Solana сами по себе являются исходными открытыми ключами Ed25519, и каждый счёт с средствами раскрыт даже в состоянии покоя. Подход «действовать только при достоверной угрозе» фактически является ставкой на то, что удастся получить достаточное время для предупреждения.

Одновременно Solana и Project Eleven в декабре 2025 года объявили о сотрудничестве, в рамках которого Project Eleven провела полную оценку квантовых угроз для Solana, охватывающую ключевую инфраструктуру, пользовательские кошельки, безопасность валидаторов и долгосрочные криптографические предположения, а также описала пути смягчения и варианты миграции. Помимо отчёта об оценке, Project Eleven развернула в тестовой сети Solana рабочую постквантовую систему подписей, чтобы продемонстрировать техническую осуществимость сквозных квантово-устойчивых транзакций. Технический вице-президент Solana Foundation Мэтт Сорг заявил, что цель — сохранить сеть безопасной в ближайшие десятилетия.

Algorand: хотя цепочка и «остыла», это самая зрелая постквантовая реализация среди основных публичных цепочек

Algorand с 2022 года использует подписи Falcon для защиты своих State Proofs (доказательств состояния, используемых для межцепочечной проверки). 3 ноября 2025 года в основной сети появилась первая транзакция Falcon-1024; в августе 2026 года с обновлением v5.0.0 нативные аккаунты Falcon-1024 запущены в основной сети, поддержка обеспечена в Pera Wallet, SDK и AlgoKit. По состоянию на июнь 2026 года сеть обработала более 140 000 постквантовых транзакций.

Согласно дорожной карте, опубликованной в июне 2026 года, Algorand планирует до конца 2026 года реализовать Falcon-512, постквантовую мультиподпись и стейкинг, а до конца 2027 года — широкую квантовую устойчивость. Основной пробел сейчас — VRF (проверяемая случайная функция) в ядре консенсуса, которая всё ещё является классическим алгоритмом; сама Algorand называет её замену самым сложным шагом. В её криптографическую команду входят Крис Пейкерт и Чжэньфэй Чжан, участвовавший в разработке Falcon.

XRP Ledger (Ripple): четырёхэтапная дорожная карта с датами, цель — 2028 год

Айо Акиньеле из RippleX 20 апреля 2026 года опубликовал четырёхэтапную дорожную карту. Первый этап — план аварийного восстановления на случай Q-day; второй этап (первая половина 2026 года) — тестирование ML-DSA, Денис Анжелл уже завершил прототип с Project Eleven в AlphaNet; третий этап (вторая половина 2026 года) — тестирование в devnet, включая гибридные подписи; четвёртый этап — выпуск нативной поправки до 2028 года. XLS-295 (ML-DSA-44) пока остаётся черновиком, в основной сети изменений нет.

Структурное преимущество XRPL — нативная ротация ключей: активные пользователи могут менять ключи без смены адреса, а спящие XRP с раскрытыми открытыми ключами составляют лишь 0,03%.

Cardano: всё ещё на стадии исследований

Основатель Хоскинсон в феврале 2026 года предложил план из трёх шагов: сначала завершить исследовательскую повестку (2025–2026 годы); затем создать отдельную постквантовую цепочку доказательств, которая с помощью сертификатов Mithril и постквантовых подписей будет делать контрольные точки исторического состояния; после созревания аппаратного ускорения объединить её с основной цепочкой. Он также предупредил, что преждевременная миграция может замедлить сеть примерно в 10 раз. В мае 2026 года он сообщил, что решения на основе решёток и FIPS 203–206 включены в дорожную карту, идёт голосование по управлению квантовым проектом, и упомянул проект Nightstream в сотрудничестве с исследователями из Google, Microsoft Research и Linux. На данный момент нет публично подтверждённых работ по подписям в тестовой сети.

Sui и Aptos: добровольные механизмы постквантовых аккаунтов

Sui в августе 2026 года объявила, что для обычных аккаунтов будет использоваться ML-DSA-65, а для высокоценных хранилищ в Move-контрактах — SLH-DSA-SHA2-128s. Оба варианта включаются пользователями добровольно и могут быть выведены из существующих мнемонических фраз; цель сертификации в основной сети — первый квартал 2027 года.

Подход Sui — «два замка, два риска». Эти две схемы относятся к разным математическим семействам: ML-DSA-65 — это стандарт FIPS 204 на основе решёток с уровнем безопасности NIST 3, используемый для обычных аккаунтов; SLH-DSA-SHA2-128s — стандарт FIPS 205 на основе хешей с уровнем безопасности 1, используемый для высокоценных хранилищ. Размещение последнего в Move-контракте, а не в ядре протокола, с одной стороны, позволяет Sui не обновлять ядро протокола, чтобы следовать стандартам, которые в итоге примет отрасль, а с другой — означает, что даже если решёточная криптография будет взломана, хеш-ориентированный путь не пострадает.

AIP-137 от Aptos, опубликованный руководителем криптографии Алином Томеску 18 декабря 2025 года, добавляет SLH-DSA-SHA2-128s как опциональный тип аккаунта, выбранный из-за консервативных предположений безопасности, зависящих только от хешей. Предложение требует одобрения управления для активации и не обязывает пользователей мигрировать.

NEAR: постквантовые аккаунты уже в основной сети

NEAR 20 июля 2026 года в релизе Protocol 2.13 официально добавила подписи ML-DSA в основную сеть; по сообщениям СМИ, конкретный уровень — ML-DSA-65. Это делает NEAR ещё одной публичной цепочкой после QRL и Algorand, где обычные пользователи могут держать постквантовые аккаунты в основной сети, и одной из немногих крупных сетей, рассмотренных в этом отчёте, которая уже передала постквантовые возможности в руки пользователей.

Механически пользователю достаточно отправить одну ончейн-транзакцию, чтобы переключить ключ аккаунта на постквантовый, не создавая новый аккаунт и не переводя активы на новый адрес. Аккаунт также может одновременно поддерживать несколько схем подписи, то есть сосуществование старых и новых ключей. Для обычного пользователя преимущество такой конструкции — низкая стоимость миграции: не требуется одновременный форк всей сети и не нужно, как в биткоине, ждать новых типов адресов и многолетнего перевода активов; каждый пользователь может переключаться в своём темпе. Это конкретное проявление структурного преимущества абстракции аккаунтов, о котором говорилось выше, применительно к NEAR.

В плане продвижения Near One сотрудничает с Ledger, что означает, что постквантовые ключи могут храниться на аппаратных устройствах; Meteor Wallet уже предоставляет поддержку.

У этой схемы есть несколько ограничений. Во-первых, она добровольная: аккаунты, которые ещё не переключились, по-прежнему используют исходные подписи Ed25519, их открытые ключи уже публичны в цепочке и останутся раскрытыми при появлении крупного квантового компьютера. Во-вторых, цена размера: подпись ML-DSA составляет примерно 2,4–4,6 КБ, тогда как Ed25519 — всего 64 байта, транзакции станут заметно больше; конкретное влияние на пропускную способность сети и комиссии в данном исследовании не удалось найти в публичных данных NEAR. Наконец, самое важное: подписи, используемые валидаторами для достижения консенсуса, всё ещё являются классическими алгоритмами, цель по постквантовому консенсусу — вторая половина 2027 года (в некоторых источниках — не позднее 31 декабря 2027 года), и до этого защита на уровне сети неполна.

В целом, с точки зрения удобства для пользователей NEAR опережает большинство крупных сетей; но общая безопасность в конечном счёте зависит от двух переменных: сколько пользователей действительно завершат переключение и когда валидаторы завершат обновление консенсуса.

Hedera: есть официальная дорожная карта, но постквантовых подписей пока нет

Хеширование (SHA-384) и шифрование (AES-256) в Hedera уже соответствуют постквантовым требованиям, не хватает только подписей. Лимон Бэрд, Рохит Синха и Эд Маркес в официальном блоге в апреле 2026 года предложили: после финализации FIPS 206 принять FN-DSA (Falcon); сначала внедрить постквантовый TLS между узлами, затем распространить на клиентов; для событий консенсуса использовать гибридные подписи Ed25519 плюс Falcon; и примерно в 2027 году выпустить постквантовые типы пользовательских ключей. Соответствующий номер HIP пока не опубликован.

Дорожная карта разбита на четыре шага по возрастанию сложности: сначала обновить TLS между узлами до постквантового или гибридного, затем обновить TLS для клиентских подключений, потом использовать гибридные подписи Ed25519 плюс FN-DSA для событий консенсуса и, наконец, выпустить новые типы пользовательских ключей. TLS поставлен на первое место, потому что его можно реализовать в основном обновлением программных библиотек, а Chrome с апреля 2024 года по умолчанию включает гибридный обмен ключами X25519 плюс ML-KEM-768; при этом Hedera поясняет, что безопасность её сети не зависит от TLS, поскольку консенсус hashgraph сам обеспечивает гарантии целостности, независимые от транспортного уровня.

Цена — снова размер. Согласно сторонней интерпретации дорожной карты Hedera, подпись FN-DSA составляет около 1280 байт, что примерно в 20 раз больше Ed25519; при использовании ML-DSA-87 подпись составит 4627 байт, то есть более чем в 70 раз больше. Бэрд в 2022 году говорил, что транзакции Hedera обычно имеют размер 100–200 байт, а после перехода на Falcon подпись достигнет примерно 1300 байт, и называл это издержкой, которую придётся нести.

Stellar: поэтапный план, голосование по протоколу ожидается

Stellar Development Foundation 9 июня 2026 года опубликовал план квантовой готовности: в 2026 году сначала предоставить проверку ML-DSA-44/65 в виде хост-функций Soroban, а к концу 2027 года выпустить тип постквантового подписанта на уровне протокола. По сообщениям СМИ, обновление Protocol 30 (Bell) включает CAP-87 (ML-DSA в Stellar Core), голосование валидаторов назначено на 23 ноября 2026 года.

Структурное преимущество Stellar в том, что идентичность аккаунта и ключи подписи разделены: пользователь может добавить постквантового подписанта к аккаунту, а затем удалить старый ключ Ed25519, не переводя баланс и не обновляя все связанные системы. Однако открытый ключ каждого адреса Stellar (включая спящие аккаунты, которые никогда не подписывали) уже раскрыт, поэтому спящие аккаунты — самая сложная часть, и фонд намерен открыть общественное обсуждение.

Содержание этапов: первый этап (2026 год) — добавить в Soroban нативные хост-функции для поддержки проверки ML-DSA-44 и ML-DSA-65, благодаря чему контрактные аккаунты смогут реализовать постквантовую аутентификацию через абстракцию аккаунтов Soroban; классическим аккаунтам не потребуется изменений на уровне протокола, корпоративные кошельки смогут мигрировать уже в 2026 году, а позже, по мере финализации стандартов, будут добавлены FN-DSA и поддержка HSM. Второй этап (2027 год) — закрепление на уровне протокола и добровольная миграция: через существующую операцию set_options обычные аккаунты также смогут добавлять постквантовых подписантов; кошелькам, SDK и сервисам якорей потребуется обновление, цель — к концу 2027 года дать такую возможность каждому аккаунту. Всего план состоит из трёх этапов, но детали третьего этапа мне не удалось проверить. Кроме того, существуют пробелы в приложениях с нулевым разглашением, зависящих от таких технологий, как спаривания; фонд планирует собрать команды, работающие над ZK-приложениями на Stellar, для совместного решения. Фонд также заявляет, что хеш SHA-256, используемый Stellar, уже считается постквантово безопасным, держателям XLM сейчас не нужно предпринимать никаких действий, и ссылается в плане на американский CNSA 2.0 и европейский DORA как на регуляторный контекст.

Starknet: фокус именно на постквантовой безопасности, часть уже реализована

Архитектура Starknet даёт естественное преимущество: сами доказательства STARK опираются на хеш-функции, а каждый аккаунт является смарт-контрактом и может самостоятельно менять схему подписи. Постквантовые аккаунты на основе Falcon уже запущены в основной сети (Falcon-512, реализованный S2morrow на Cairo), но эта реализация ещё не прошла аудит.

Дорожная карта, опубликованная в июне 2026 года, состоит из трёх этапов. Первый этап — замена хешей, всё ещё зависящих от эллиптических кривых, в обязательствах состояния, деривации адресов и конфигурации; частично уже реализован. Второй этап — распространение этой защиты на существующие контракты. Третий этап — следовать за Ethereum, поскольку мосты и доступность данных по-прежнему наследуют криптографию на эллиптических кривых от L1 Ethereum.

Одновременно сообщество Starknet с 15 по 22 октября 2026 года провело необязывающее голосование Snapshot, на котором с поддержкой 93,52% было одобрено предложение исследовать миграцию на независимый постквантовый L1; участие составило около 3236 голосов, представляющих примерно 489 миллионов STRK. Цель генерального директора Эли Бен-Сассона — достичь полной квантовой устойчивости в 2027 году, белую книгу планируется опубликовать в ноябре. Критики же считают, что уход от Ethereum означает отказ от экономической безопасности Ethereum в пользу ещё незрелого собственного механизма стейкинга Starknet, который находится лишь на втором из четырёх этапов, и валидаторы ещё не начали производить блоки.

Zcash: сначала обеспечить «восстановимость», затем обновляться

Основной риск для Zcash — не кража, а ретроспективное разрушение приватности: будущий квантовый компьютер может заново связать анонимные транзакции, записанные сегодня в цепочке.

ZIP 2005 меняет способ построения заметок, чтобы в случае необходимости заморозки пула средств Orchard их можно было позже восстановить в постквантовый протокол с помощью постквантовых STARK. На голосовании NU7 это предложение получило поддержку 90,5% ZCAP и 94,6% держателей монет (февраль 2026 года), кандидатская версия запущена в тестовой сети 22 мая 2026 года. Дальнейшие шаги — сначала ввести обмен ключами ML-KEM вместе с Tachyon, затем построить полностью постквантовый пул средств; генеральный директор ZODL называет цель в 12–18 месяцев с мая 2026 года.