Bitcoin y el ordenador cuántico: qué direcciones exponen ya su clave

Si custodias tú mismo tus bitcoins, la pregunta más importante del debate cuántico no mira al futuro: es una pregunta que puedes responder hoy mismo en un explorador de bloques. ¿Tu dirección ha hecho pública alguna vez su clave pública? De eso depende que un futuro ordenador cuántico pueda siquiera atacar tus monedas. Las direcciones desde las que nunca ha salido nada no muestran su clave. Las direcciones desde las que ya has enviado la muestran de forma permanente.

El motivo de este texto es un documento que, a primera vista, nada tiene que ver con las criptomonedas. El 3 de septiembre de 2026, el grupo de trabajo de ciberseguridad del G7, bajo presidencia francesa, publicó la declaración conjunta «Preparing for the Post-Quantum Era: A Call to Action». El mensaje: no esperar al primer ordenador cuántico potente, sino inventariar y migrar ya el propio parque de cifrado. Para ti, que tienes Bitcoin, no es un asunto administrativo abstracto: el primer plazo europeo para el cambio vence a finales de este año, y saber cuáles de tus direcciones son vulnerables es una cuestión de custodia.

Este artículo responde a tres cosas: qué sería realmente atacable en una cadena de bloques, cómo comprobar tu propia situación en pocos minutos y qué plazos han fijado los organismos de supervisión. Sin previsión de precios y sin fin del mundo.

Qué exige la declaración del G7 del 3 de septiembre de 2026

Los países del G7 instan a administraciones y empresas a iniciar de inmediato la migración a la criptografía poscuántica. La criptografía poscuántica es el término que agrupa los métodos de cifrado y firma que siguen siendo seguros incluso cuando exista un ordenador cuántico suficientemente grande. El documento menciona cinco ámbitos de actuación: agudizar la conciencia de los riesgos cuánticos, desarrollar estrategias nacionales, impulsar la investigación y la adopción práctica, reforzar la cooperación entre el Estado y la economía, y anclar los métodos poscuánticos en los requisitos de seguridad y en la contratación pública.

Ninguno de esos puntos se dirige a los inversores particulares. Aun así, la dirección que señalan te afecta: cuando bancos, plataformas de intercambio y proveedores de carteras tengan que reconstruir sus métodos de firma, cambiará a medio plazo la forma en que se aseguran tus monedas. Lo que la declaración no dice de forma expresa tiene más abajo una sección propia. Esa honestidad forma parte del asunto, porque en los últimos días varios artículos han leído el documento como una advertencia al sector cripto.

Harvest now, decrypt later: por qué la migración empieza antes que el ordenador cuántico

El término técnico que explica la premura aparece literalmente en la declaración del G7. Harvest now, decrypt later describe un ataque en el que hoy se capturan y almacenan datos cifrados con la intención de descifrarlos más adelante con un ordenador cuántico. La declaración lo formula así: «In these attacks, threat actors collect encrypted data now, with the intention of decrypting it in the future using quantum computing capabilities.»

Para las comunicaciones confidenciales, ese es el núcleo del problema. Para una cadena de bloques pública el caso es distinto, y más incómodo: allí nadie necesita capturar nada. Cada transacción, cada clave pública y cada firma figuran en la cadena, a la vista de todos, desde el día en que se crearon. Un atacante no tiene que recopilar los datos, ya están completos. Lo único que le falta es la capacidad de cálculo.

Cómo llegaría un ordenador cuántico a una dirección de Bitcoin

Bitcoin protege los saldos con un par de claves. La clave privada es el número secreto con el que firmas los gastos; la clave pública es la contraparte calculada a partir de ella, con la que la red verifica la firma. Calcular la pública a partir de la privada lleva segundos. El camino inverso se considera prácticamente imposible con ordenadores clásicos, porque se apoya en el problema del logaritmo discreto sobre una curva elíptica.

Es precisamente ese camino inverso el que un ordenador cuántico acortaría. El algoritmo de Shor es un método cuántico que resuelve de forma eficiente la factorización y los logaritmos discretos, y con ello vuelve vulnerables los métodos de firma RSA y ECDSA hoy extendidos. Un ordenador cuántico criptográficamente relevante es una máquina lo bastante grande y con tan pocos errores como para ejecutar ese método contra longitudes de clave reales. Una máquina así no existe públicamente.

Importa el segundo muro de contención que Bitcoin tuvo desde el principio: una dirección clásica de Bitcoin no es una clave pública, sino su valor hash. Un hash es una función unidireccional que genera a partir de una entrada una huella de longitud fija, de la que no se puede reconstruir la entrada. Mientras solo se conozca el hash, tampoco un ordenador cuántico tiene nada sobre lo que aplicar el algoritmo de Shor. La clave solo se hace visible cuando gastas por primera vez desde esa dirección, porque entonces tu transacción aporta la clave pública para la verificación.

Qué direcciones de Bitcoin ya muestran su clave pública

De ahí resultan tres grupos, y solo los dos primeros resultan interesantes para un ataque contra saldos en reposo.

Primero, P2PK. Pay-to-public-key es el formato de salida más antiguo de Bitcoin, en el que la clave pública figura al descubierto en el script, sin un hash delante. Fue habitual en 2009 y 2010, sobre todo en los pagos de minería, y hoy ya no se emplea para nuevos pagos. Quien tiene monedas de ese tipo lleva la clave expuesta de forma permanente, sin haber gastado nunca nada.

Segundo, las direcciones reutilizadas. Toda dirección desde la que ya se ha enviado y en la que después vuelve a haber saldo ha revelado su clave. Este grupo es el mayor y el único sobre el que puedes actuar de inmediato. La reutilización de direcciones significa usar varias veces la misma dirección de recepción en lugar de generar una nueva para cada entrada.

Tercero, Taproot. Pay-to-Taproot, reconocible por el prefijo bc1p, coloca por diseño la clave pública directamente en la salida, porque el formato se construye sobre ella. Las direcciones Taproot comparten por tanto la propiedad de P2PK, pero representan solo una pequeña parte de todos los bitcoins.

No figuran en esta enumeración los formatos habituales P2PKH (prefijo 1), P2SH (prefijo 3) y P2WPKH (prefijo bc1q), mientras no haya salido nunca nada de ellos. En su caso, la cadena solo ve el hash. Si tu saldo está en una dirección nueva de ese tipo y nunca has enviado desde ella, perteneces al grupo que un atacante no alcanza solo con el algoritmo de Shor.

6,8 millones de bitcoins sobre claves expuestas: de dónde sale la cifra

La estimación más citada procede de la empresa de Bitcoin River y se divide en dos partidas: alrededor de 1,72 millones de BTC en salidas P2PK y otros 4,9 millones de BTC en direcciones reutilizadas de otros formatos, en conjunto unos 6,8 millones de BTC expuestos a un ataque de larga preparación. Otros análisis llegan a valores algo distintos, porque tratan de forma diferente las direcciones sin saldo o los importes residuales; el orden de magnitud de aproximadamente un tercio de la oferta en circulación se mantiene estable entre los distintos estudios.

Una parte considerable se encuentra en los primeros pagos de minería, inmóviles desde hace década y media, entre ellos los saldos atribuidos a Satoshi Nakamoto. Nadie puede mover esas monedas, porque nadie mueve las claves. De ahí arranca el debate sobre si la red debería algún día bloquear tales salidas para que no caigan en manos ajenas. Cómo es esa propuesta y por qué resulta polémica lo hemos expuesto en nuestro análisis sobre los 6,7 millones de bitcoins posiblemente congelados del 12 de agosto de 2026.

Para tu propia situación, sin embargo, la cifra grande es secundaria. No indica si tus monedas están entre ellas. Eso lo compruebas tú mismo, y así se hace.

Comprobado en cinco minutos: ¿está expuesta la clave de tu dirección?

Para la comprobación solo necesitas tus direcciones de recepción y un explorador de bloques. Un explorador de bloques es una web que hace consultable el contenido de la cadena; los más extendidos son mempool.space y blockstream.info. Allí no introduces nada secreto: una dirección es pública, mientras que tu frase semilla y tu clave privada no deben aparecer jamás en un formulario web.

1. Leer el formato de la dirección. Abre la función de recepción de tu cartera y fíjate en el comienzo de la dirección. Si empieza por bc1p, se trata de Taproot y la clave es visible. Si empieza por 1, 3 o bc1q, lo decide el siguiente paso.
2. Buscar salidas. Introduce la dirección en el explorador y repasa la lista de transacciones. Si solo figuran entradas, la clave pública no se ha publicado. Si encuentras aunque sea una única salida, ya lo está de forma permanente, y eso no cambia retroactivamente.
3. Asignar el saldo. Lo decisivo no es si la dirección se usó alguna vez, sino si hoy sigue habiendo algo en ella. Una dirección expuesta pero vacía no supone ningún riesgo.
4. No olvidar los saldos antiguos. Las carteras de papel de los primeros tiempos, un programa de cartera retirado hace mucho o un soporte de datos heredado contienen a menudo justo los formatos de los que aquí se habla.

Quien tiene muchas direcciones trabaja con la xpub, la clave pública extendida de la que se derivan todas las direcciones de una cuenta. Algunos exploradores la aceptan y muestran todo el historial de una vez. Ten presente que con ello entregas tu historial de pagos completo al operador del sitio. Gastar no puede nada, pero ver lo ve todo.

Mudarse a una dirección nueva: qué aporta y qué cuesta

La única palanca que tienes en la mano como tenedor es simple y eficaz: mueve el saldo de una dirección expuesta a otra que nunca haya enviado, y usa después una nueva para cada entrada. Las carteras modernas lo hacen de forma automática, porque funcionan como cartera HD, es decir, derivan todas las direcciones de manera determinista a partir de una única frase semilla y avanzan a la siguiente tras cada pago.

Hay tres puntos que conviene ver con frialdad. Primero: durante la transacción de mudanza, tu clave pública queda expuesta en la mempool hasta que el bloque se confirma. La mempool es la sala de espera de las transacciones que aún no figuran en ningún bloque. Contra un atacante capaz de romper una clave en esa ventana de pocos minutos no ayuda ningún cambio de dirección; ahora bien, semejante máquina sería de todos modos un problema para toda la red. El cambio de dirección protege frente al ataque lento contra saldos en reposo, y ese es el caso realista.

Segundo, la mudanza cuesta comisiones de red, y quien junta muchos importes pequeños paga por cada entrada individual. Con la red muy cargada puede compensar esperar a una fase tranquila. Tercero, sigue siendo una operación que deberías documentar con limpieza: al mover fondos entre direcciones propias no cambia el propietario, pero en tus registros aparece una nueva transacción. Anota qué dirección te pertenece, para que el recorrido pueda seguirse después y la asignación en tu declaración de la renta no se descuadre; qué herramientas asumen esa contabilidad lo muestra nuestra comparativa de software fiscal y rastreadores de cartera.

Si de todas formas estás pensando en la custodia: un dispositivo que nunca entrega la clave privada a un ordenador con conexión a internet no cambia nada del riesgo cuántico, pero reduce el riesgo que hoy te afecta de verdad. Qué modelos rinden mejor está en nuestra comparativa de carteras de hardware.

Qué tiene que ver tu frase semilla con el riesgo cuántico

Aquí persiste con obstinación un malentendido. La frase semilla es la secuencia de palabras de la que tu cartera deriva todas las claves. Esa secuencia no es en sí misma un método de firma y, por tanto, no la afecta directamente el algoritmo de Shor. Vulnerables serían las claves públicas derivadas de ella, en cuanto figuren en la cadena.

Para las funciones hash existe un segundo método cuántico, el algoritmo de Grover, que acelera cuadráticamente la búsqueda en un conjunto de datos. Reduce a la mitad el nivel de seguridad efectivo de los métodos simétricos, lo que sobre el papel convierte 256 bits en 128 bits. Eso queda fuera de lo que puede recorrerse en un plazo previsible. Lo mismo vale para la minería: SHA-256 no pierde su valor por los ordenadores cuánticos; en el mejor de los casos se vuelve algo más rápido de atacar, y el esfuerzo sigue siendo astronómico.

Por tanto, no tienes que cambiar tus 24 palabras. Lo único que puedes cambiar es qué direcciones guardan tu saldo.

Monedas en un exchange: la pregunta que puedes hacerle a tu proveedor

Si tus saldos están en una plataforma de negociación, no tienes acceso a las direcciones. El exchange gestiona sus propias carteras, por lo general con unas pocas direcciones colectoras grandes que, por su propia naturaleza, hace tiempo que están expuestas. A cambio, dispone de personal capaz de acometer la reconversión en cuanto haya métodos seguros frente a la computación cuántica disponibles en el protocolo.

Merece la pena plantear dos preguntas al servicio de atención: ¿existe una hoja de ruta publicada para la migración poscuántica, y se mantienen los saldos de los clientes en direcciones cuyas claves no estén ya expuestas? Las respuestas son escasas por ahora, y la pregunta misma es un criterio de selección aprovechable: un proveedor que no sabe decir nada sobre su propia técnica de custodia también dice algo sobre sí mismo. Quien va a poner al proveedor a prueba de todos modos encontrará los datos regulatorios clave en nuestro panorama de los exchanges de criptomonedas.

Para la mayoría de los inversores sigue valiendo, aun así, que el riesgo cuántico no es motivo para cambiar hoy de exchange. Los riesgos de acceso y de insolvencia son razones más cercanas para ocuparse de la autocustodia.

Los plazos en claro: finales de 2026, 2030 y 2035

Detrás del llamamiento del G7 hay fechas fijadas desde hace tiempo. En su hoja de ruta para la transición a la criptografía poscuántica, la Comisión Europea ha establecido que todos los Estados miembros deben iniciar el cambio antes de finales de 2026. Para las infraestructuras críticas rige: lo antes posible y, a más tardar, antes de finales de 2030. Para 2035, la transición debe estar completada en la medida en que sea prácticamente factible.

En paralelo avanza la normalización técnica. El organismo estadounidense de normalización NIST publicó las tres primeras normas el 13 de agosto de 2024: FIPS 203 para el intercambio de claves, FIPS 204 como método de firma principal y FIPS 205 como alternativa de reserva basada en hash. En su documento de transición, RSA y la criptografía de curvas hoy habitual se consideran obsoletas a partir de 2030 e inadmisibles a partir de 2035. Con ello hay una fecha sobre la mesa a partir de la cual los métodos en los que se basan las firmas de Bitcoin no podrán emplearse en sistemas públicos.

Para Alemania, quien encuadra la reconversión es la Oficina Federal de Seguridad de la Información. La BSI señala que «la cuestión de "si" o "cuándo" habrá ordenadores cuánticos ya no está en primer plano» y recomienda un cambio gradual: «Los métodos poscuánticos deberían emplearse, en la medida de lo posible, solo en combinación con métodos clásicos, es decir, de forma híbrida.» Un método híbrido combina uno consolidado con uno nuevo, de modo que la seguridad se mantiene si uno de los dos resulta débil.

Ninguno de estos plazos te obliga a nada. Pero las fechas marcan el ritmo al que trabajarán bancos, proveedores de servicios de pago y custodios, y muestran que las autoridades consideran limitada la ventana de tiempo.

Lo que la declaración del G7 no dice de forma expresa

Aquí corresponde exponer una salvedad, porque se pierde en la cobertura informativa: la declaración del G7 no menciona con una sola palabra las criptomonedas, la cadena de bloques ni el sector financiero. Los destinatarios del documento son los organismos públicos y las empresas en general. Quien convierte el texto en un requerimiento al sector cripto le pone a la fuente palabras en la boca.

La conexión entre ambos es, aun así, real, solo que indirecta: los dos lados dependen de la misma matemática. Si cae la criptografía de curvas, cae para los certificados oficiales igual que para las firmas de Bitcoin. La diferencia está en la facilidad del cambio. Una administración sustituye su software; una red abierta con millones de participantes tiene primero que ponerse de acuerdo sobre qué quiere sustituir siquiera.

BIP-360 y BIP-361: el camino propio de Bitcoin fuera del problema de las firmas

Ese acuerdo ya está en marcha, por la vía de las propuestas de mejora. Un BIP es un Bitcoin Improvement Proposal, es decir, una propuesta formalizada de cambio en el protocolo, que se discute en público y solo se implementa si hay un respaldo amplio.

El BIP-360 describe un nuevo formato de salida resistente a la computación cuántica, al que los tenedores podrían trasladar voluntariamente sus monedas en el futuro. La propuesta se incorporó al registro oficial a principios de 2026. Sobre ella se apoya el BIP-361, que va más allá y prevé una salida ordenada de los antiguos tipos de firma. La consecuencia sería que las monedas sobre claves expuestas ya no podrían gastarse tras un periodo transitorio, es decir, quedarían de hecho congeladas para sustraerlas a un atacante.

Justo ahí prende la disputa más áspera del entorno Bitcoin: de un lado está el argumento de que un robo millonario destruiría la confianza en la escasez de ese dinero. Del otro, la objeción de que una red capaz de bloquear saldos rompe su promesa central. Los argumentos de cada bando los hemos expuesto en nuestro análisis del debate sobre seguridad de marzo de 2026. Hasta hoy no se ha aprobado ninguna de las dos propuestas.

Ethereum y otras cadenas: por qué allí la migración transcurre de otro modo

En Ethereum la misma pregunta se plantea con otro signo. Las direcciones de cuenta se derivan también allí de una clave pública que se hace visible en el primer envío. A diferencia de Bitcoin, sin embargo, las reglas pueden modificarse con mayor frecuencia mediante actualizaciones de red planificadas, y la agenda de investigación de la Fundación Ethereum lleva tiempo recogiendo las firmas seguras frente a la computación cuántica como punto propio.

Para ti como tenedor no se deduce de ello nada distinto de lo que vale para Bitcoin: un saldo en una dirección desde la que nunca se ha enviado está en mejor posición. Quien opera mediante contratos inteligentes no tiene de todos modos esa elección, porque cada interacción expone claves. Lo importante es situar el asunto: ninguna cadena grande firma hoy de forma segura frente a la computación cuántica. Eso no es un rasgo exclusivo de Bitcoin ni un argumento para cambiar de cadena.

¿Cuándo llegará el ordenador cuántico criptográficamente relevante?

Aquí las valoraciones divergen mucho, y lo único serio es mostrar ambos lados. En sus recomendaciones de actuación, la BSI cuenta con que máquinas de ese tipo puedan estar disponibles en la década de 2030, y deduce de ello que los sistemas de larga vida útil deben reconvertirse ya hoy. En la misma dirección apunta la planificación normativa del NIST con sus años de referencia 2030 y 2035.

Frente a ello hay especialistas que remiten a la distancia entre los récords de laboratorio y el número necesario de unidades de cálculo con corrección de errores: los sistemas actuales trabajan con unos cientos a unos pocos miles de cúbits físicos, mientras que las estimaciones para un ataque contra longitudes de clave reales llegan a los cientos de miles. Desde esa perspectiva, el peligro es cuestión de décadas, no de años. Llama la atención que ambos bandos den la misma recomendación práctica: empezar pronto, porque una reconversión de este tamaño necesita años y porque los datos capturados hoy pueden descifrarse después.

Lo que sacas en claro de esta disputa es modesto y sólido: el cambio de dirección te cuesta una comisión de transacción y tiene sentido con independencia de todo lo demás, porque además mejora tu privacidad. Todo lo otro es interpretación del futuro.

El truco de la «actualización cuántica»: cómo reconocer el fraude

Todo gran debate de seguridad atrae a los estafadores, y este en especial, porque une el miedo con la técnica. El patrón es siempre el mismo: un correo, un mensaje directo o un aviso falso de la cartera te pide que «migres tu saldo a seguridad cuántica» y lleva a una página que pregunta por la frase semilla o exige una autorización sobre tus tokens.

Tres rasgos lo delatan de forma fiable. No existe ninguna dirección de Bitcoin segura frente a la computación cuántica a la que pudieras mudarte hoy, porque el formato aún no está aprobado. Ninguna actualización real del protocolo pide jamás introducir tu lista de palabras. Y ninguna cartera que sea tuya te envía plazos por mensaje. Quien quiera asegurarse teclea él mismo la dirección de la web de su cartera y, en caso de duda, lo comprueba con el fabricante. De forma parecida funciona el truco del portapapeles, que describimos en nuestra guía sobre el cambio de dirección inadvertido.

Bitcoin y el ordenador cuántico: qué te llevas de aquí

1. Comprueba tus direcciones antes de hacer cualquier otra cosa. Leer el formato de la dirección, buscar salidas en el explorador de bloques, asignar el saldo. Solo donde hoy hay saldo en una dirección expuesta hay algo que hacer. Cómo guardar mejor tus claves mientras tanto lo muestra nuestra comparativa de carteras de hardware.
2. Deja de reutilizar direcciones. Traslada los saldos afectados a direcciones nuevas en una fase de comisiones tranquila y deja que tu cartera genere en adelante una nueva para cada entrada. Eso reduce el riesgo cuántico y de paso mejora tu privacidad.
3. Pregunta a tu custodio por su hoja de ruta. Quien mantiene saldos en un exchange no puede elegir las direcciones y debería saber cómo aborda el proveedor el cambio. Los datos clave de las grandes plataformas los encuentras en nuestro panorama de los exchanges de criptomonedas.

(5 de septiembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)