Coinbase verwahrt rund 5 Prozent aller existierenden Bitcoin, und am 13. Oktober 2026 veröffentlichte das Unternehmen das, was dem Bitcoin-Ökosystem am nächsten zu einem Post-Quanten-Migrationsplan kommt. Der Beitrag mit dem Titel „Working together on BTC post quantum readiness“ kündigt weder einen Soft Fork noch eine Deadline oder einen neuen Adresstyp an. Was er tut, ist eine Zahl auf den Tisch zu legen, um die die Bitcoin-Community seit zwei Jahren herumtanzt. Coinbases eigene Forschung beziffert eine vollständige Signatur-Migration auf bis zu sieben Jahre. Die fortschrittlichsten Quantencomputer von heute haben weniger als 1.000 physische Qubits. Beide Fakten sind gleichzeitig wahr, und die Kluft zwischen ihnen ist das gesamte Argument.
Mitte Oktober 2026 war ein vernünftiger Zeitpunkt, dieses Argument zu machen. Bitcoin handelt nahe 82.000 US-Dollar, Spot-ETFs verzeichneten gerade die zweite Woche in Folge mit Abflüssen, und der Markt konzentriert sich auf Fed-Zinserhöhungen und Erzeugerpreisdaten. Niemand preist Quantenrisiko ein. Coinbase sagt, genau deshalb sollte die technische Arbeit jetzt beginnen, solange sie langweilig ist.
Was Coinbase tatsächlich vorgeschlagen hat
Der Beitrag ist eine Prioritätenliste, keine Spezifikation. Coinbase bezeichnet ihn ausdrücklich als Diskussionspapier und nicht als genehmigten Migrationsplan oder endgültige Unternehmensposition. Zieht man die Absicherungen ab, bleiben sechs konkrete Positionen. Erstens: den Container vom Schloss trennen. Coinbase möchte den Output-Typ, der Gelder hält, vom Signaturalgorithmus entkoppeln, der deren Ausgabe autorisiert. So kann ein Signaturschema hinzugefügt, ersetzt oder parallel zu einem anderen betrieben werden, ohne den gesamten Output neu zu gestalten. Es nennt zwei Kandidaten, die dies bereits bieten: Pay to Merkle Root, definiert in BIP 360, und ein Design namens P2TRv2.Zweitens: Hybrid-Wallets als Brücke. Coinbase befürwortet ein stufenweises Setup, bei dem aktive Wallets auf eine 1-aus-2-Konstruktion umziehen. Dieselben Coins erhalten zwei Ausgabepfade, einer autorisiert durch einen klassischen ECDSA- oder Schnorr-Schlüssel und einer durch einen Post-Quanten-Schlüssel. Sollte jemals ein kryptografisch relevanter Quantencomputer auftauchen, wird der klassische Pfad abgeschaltet und die Gelder sind bereits geschützt. Sollte er nie auftauchen, ist nichts verloren.
Drittens: Signaturschemata mit Sicherheitsnetz wählen. Genannt werden ML DSA, SLH DSA, FN DSA und ein kompaktes Schema namens SHRINCS. Coinbases eine harte Regel hier ist, dass jedes zustandsbehaftete Signaturschema mit einem zustandslosen Fallback ausgeliefert werden muss. Denn eine Wallet, die Signaturzustand in einem zustandsbehafteten Schema wiederverwendet, kann genug preisgeben, um Signaturen zu fälschen. Das ist für einen Verwahrer, der Tausende Signaturvorgänge pro Tag ausführt, kein theoretisches Problem.
Viertens: Es muss mit Multiparty Computation funktionieren. Institutionelle Verwahrung läuft auf MPC, bei der keine einzelne Maschine jemals einen vollständigen privaten Schlüssel hält. Coinbase möchte mindestens eine Post-Quanten-Option, die gut mit MPC zusammenspielt, sonst können die größten Halter im Ökosystem überhaupt nicht migrieren.
Fünftens, seltsamerweise: Es muss in Blöcke passen und von gewöhnlichen Full Nodes verifizierbar sein. Mehr dazu unten, denn hier liegen die echten Kosten. Sechstens, ehrlich gesagt: Legacy-Coins brauchen eine eigene Spur. Coinbase möchte, dass die Debatte über aufgegebene und verlorene Schlüssel-Coins parallel zur Signatur-Entwicklung läuft und sie nicht blockiert. Das ist eine höfliche Art zu sagen, dass die schwierigste politische Frage in Bitcoin nicht die technische Arbeit aufhalten darf.
Wie viele Bitcoin tatsächlich exponiert sind
Die Zahl, die dem Plan seine Dringlichkeit verleiht, stammt von Coinbases eigenem Quantum Advisory Council, der am 21. April 2026 schätzte, dass etwa 6,9 Millionen BTC in Outputs liegen, bei denen der öffentliche Schlüssel bereits on-chain sichtbar ist. Bei aktuellen Preisen sind das rund 570 Milliarden US-Dollar. Glassnodes unabhängige Zählung lag über sechs Millionen, und ältere Analysen clustern um 6,7 Millionen, sodass die Zahl kein Coinbase-Ausreißer ist.
Exponiert bedeutet nicht gestohlen. Es bedeutet, dass diese Coins angegriffen werden können, ohne dass der Besitzer eine Transaktion durchführen muss, falls jemals eine Maschine existiert, die Shors Algorithmus in großem Maßstab ausführen kann. Die Aufschlüsselung ist wichtig, weil sie zeigt, wer gefährdet ist.
| Expositionstyp | Warum der Schlüssel sichtbar ist | Ungefähre BTC | Kann der Besitzer es beheben |
|---|---|---|---|
| Legacy-P2PK-Outputs | Coinbase-Belohnungen aus der Satoshi-Ära, die direkt an einen rohen öffentlichen Schlüssel gezahlt wurden | Etwa 1,7 Millionen | Nur durch Verschieben der Coins, und die meisten gelten als verloren |
| Wiederverwendete Adressen | Einmaliges Ausgeben offenbart den Schlüssel, und die Adresse empfängt weiterhin Gelder | Großteil der verbleibenden über 5 Millionen | Ja, auf eine frische Adresse wechseln |
| Taproot-Key-Path | Ausgabe offenbart den getweakten öffentlichen Schlüssel | Wachsender Anteil neuerer Outputs | Ja, P2MR entfernt den Key-Path vollständig |
| Unverbrauchte, nie wiederverwendete Adressen | Nur der Hash ist öffentlich bis zur Ausgabe | Alles andere | Nur während des Fensters zwischen Broadcast und Bestätigung angreifbar |
Die Zeile mit den wiederverwendeten Adressen sollte jeden Exchange- und Casino-Betreiber unbehaglich machen. Hot Wallets, die Einzahlungen in eine Handvoll langlebiger Adressen sweepen, sind der Lehrbuchfall exponierter Schlüssel, und sie halten Kundengelder statt ruhender Whale-Bestände.
Warum sieben Jahre, wenn Quantencomputer unter 1.000 Qubits haben
Die Hardware-Lücke ist real. Googles Willow-Chip läuft mit 105 physischen Qubits. Quantinuums Helios meldete 98 physische Qubits, die 48 fehlerkorrigierte logische Qubits erzeugen, was dem aktuellen Stand der Technik für nutzbare Qubits entspricht. Bitcoins 256-Bit-elliptische Kurve zu brechen, erfordert nach den jüngsten Schätzungen etwa 1.200 bis 1.450 logische Qubits.
Im Ernst, was sich geändert hat, ist die Obergrenze, nicht die Untergrenze. Im März 2026 veröffentlichte Google Quantum AI Ressourcenschätzungen, die den Bedarf an physischen Qubits für Angriffe auf 256-Bit-elliptische-Kurven-Kryptografie unter 500.000 setzen, etwa 20-mal niedriger als die eigene Zahl von 2019. Arbeiten an Neutralatom- und Ionenfallen-Architekturen legen nahe, dass auf diesen Plattformen irgendwann Zehntausende ausreichen könnten, obwohl nichts davon in Hardware verifiziert ist. Eine akademische Schätzung von 2026 beziffert die Wahrscheinlichkeit eines kryptografisch relevanten Quantencomputers auf etwa eins zu sechs bis 2035, steigend auf rund 60 Prozent bis 2050. Das sind Szenariozahlen, keine Prognosen, und Blockstreams Adam Back argumentiert weiterhin, die praktische Bedrohung liege 20 bis 40 Jahre entfernt.
Sieben Jahre sind keine Vorhersage über Hardware. Es ist eine Vorhersage über Bitcoin-Governance. Taproot brauchte etwa vier Jahre vom Vorschlag bis zur Aktivierung, und der Rollout der Wallet-Unterstützung zog sich danach noch lange hin. Eine Post-Quanten-Änderung berührt Konsensregeln, jede Wallet-Bibliothek, jeden Hardware-Signer, jeden MPC-Stack von Verwahrern und jedes Einzahlungssystem von Börsen. Coinbases Zahl deckt Software-Support, Verwahrer-Planung und Nutzer-Schlüsselmigration ab und passt sauber zu dem Begleitvorschlag, der bereits existiert.
BIP 360 und BIP 361 sind die zwei Hälften des Plans
BIP 360 wurde am 11. Februar 2026 in das offizielle BIPs-Repository gemerged. Es definiert Pay to Merkle Root, einen Taproot-artigen Output, der nur an einen Skriptbaum committet und den Key-Path-Spend vollständig entfernt. Jede Ausgabe offenbart ein Skript-Blatt und einen Merkle-Beweis, niemals einen nackten öffentlichen Schlüssel, der bis zum nächsten Block exponiert bleibt. Adressen würden wahrscheinlich mit bc1z beginnen. Es bewahrt Multisig, Timelocks und Inheritance-Setups über Tapscript und ist genau der flexible Container, den Coinbase fordert.
Was BIP 360 nicht tut, ist eine Post-Quanten-Signatur hinzuzufügen. ECDSA und Schnorr bleiben. Bestehende Coins migrieren nicht von selbst. Eine Testnet-Implementierung existiert, aber Bitcoin Core hat nichts davon gemerged, und es gibt keinen Aktivierungsplan.
BIP 361, mitverfasst von Jameson Lopp und fünf weiteren, ist die Durchsetzungshälfte und deutlich umstrittener. Es schlägt drei Phasen vor. Etwa drei Jahre nach Aktivierung von BIP 360 würden neue Zahlungen an Legacy-Adresstypen abgelehnt. Etwa zwei Jahre danach würden Legacy-Signaturen ungültig, was alle Coins einfriert, die nicht bewegt wurden. Eine dritte Phase, noch nur eine Forschungsidee, würde gestrandeten Haltern die Wiederherstellung von Geldern durch Zero-Knowledge-Beweise des Eigentums ermöglichen. Lopp selbst hat gesagt, der Vorschlag sei derzeit nicht adoptierbar, und Back lehnt jeden erzwungenen Sunset ab. Addiert man die drei plus zwei Jahre von BIP 361 zu einer realistischen Aktivierungs-Runway, kommt man auf Coinbases sieben.
Das Block-Space-Problem, das niemand bepreisen will
Dies ist der Teil des Plans, der direkt beeinflusst, was jeder Nutzer zahlt. Post-Quanten-Signaturen sind enorm im Vergleich zu den 64-Byte-Schnorr-Signaturen, die Bitcoin heute verwendet, und Tapscripts Weight-Modell ist genau auf diese 64-Byte-Größe abgestimmt. CryptoCasino.Vegas hat die veröffentlichten Parameter für jedes von Coinbase genannte Kandidatenschema zusammengestellt, um das Ausmaß des Problems zu zeigen.| Signaturschema | Typ | Signaturgröße | Vielfaches von Schnorr | Kompromiss |
|---|---|---|---|---|
| Schnorr (aktuell) | Elliptische Kurve | 64 Bytes | 1x | Quantenanfällig |
| FN DSA 512 (Falcon) | Gitterbasiert | 666 Bytes | Etwa 10x | Kleinste Option, am schwierigsten sicher zu implementieren |
| ML DSA 44 (Dilithium) | Gitterbasiert | 2.420 Bytes | Etwa 38x | NIST-Standard, ausgereift, groß |
| ML DSA 65 | Gitterbasiert | Etwa 3.309 Bytes | Etwa 52x | Höheres Sicherheitsniveau, in einem BIP-Entwurf bevorzugt |
| SLH DSA (SPHINCS+) | Hashbasiert | 7.856 bis 49.856 Bytes | 120x bis 780x | Konservativste Sicherheit, schlechtester Footprint |
Gebühren sind die spielerseitige Konsequenz. Ein Bitcoin-Netzwerk, in dem jede Transaktion 10- bis 50-mal schwerer ist, ist ein Netzwerk, in dem On-Chain-Auszahlungen mehr kosten und langsamer bestätigen. Und das drängt noch mehr Casino-Settlement-Volumen auf Lightning oder ganz auf andere Chains.
Wie Bitcoin im Vergleich zu Ethereum und Solana abschneidet
Bitcoin ist nicht am weitesten zurück, aber es hat das schwierigste Koordinationsproblem. Ethereums Foundation zielt auf vollständigen Post-Quanten-Schutz bis Ende 2029, wobei EIP 8141 Account Abstraction als Must-ship für das Hegotá-Upgrade markiert ist. Account Abstraction erlaubt Wallets, hash- oder gitterbasierte Signaturen ohne Hard Fork einzutauschen, ein struktureller Vorteil, den Bitcoin schlicht nicht hat. Solanas Antwort ist bisher der Winternitz Vault, eine Opt-in-One-Time-Signature-Wallet von Januar 2025, die Nutzer aktiv wählen müssen, ohne dass seither ein netzwerkweiter Plan angekündigt wurde.
NIST finalisierte ML DSA und SLH DSA im August 2024 und beabsichtigt, quantenanfällige Algorithmen bis 2035 aus föderalen Standards zu entfernen. Dieses Datum leistet in jeder Chain-Roadmap viel stille Arbeit. Ethereums 2029-Ziel liegt sechs Jahre davor. Coinbases Sieben-Jahres-Fenster, heute gestartet, endet 2033. Bitcoins Problem ist, dass niemand die Uhr einseitig starten kann.
Was das bedeutet, wenn Sie Bitcoin halten oder damit spielen
Nichts in Coinbases Beitrag ändert in diesem oder im nächsten Jahr etwas an Ihren Coins. Es gibt keine Aktivierungsabstimmung, keine Deadline und keine Software zum Herunterladen. Die praktischen Erkenntnisse sind kleiner und unmittelbarer.
Hören Sie auf, Adressen wiederzuverwenden. Das war schon immer gute Hygiene und ist jetzt der größte einzelne Faktor, der die exponierten 6,9 Millionen BTC von allem anderen trennt. Eine frische Adresse für jede Einzahlung hält Ihren öffentlichen Schlüssel verborgen, bis Sie ausgeben. Achten Sie darauf, wo Ihr Verwahrer steht. Coinbase bereitet seine eigenen Systeme vor und sagt das auch. Kleinere Börsen und Glücksspielbetreiber, die Sweeps in langlebige Hot Wallets laufen lassen, sind das schwache Glied. Und wenn Post-Quanten-Wallet-Unterstützung ausgeliefert wird, müssen sie zuerst und am schnellsten migrieren. Plattformen, die auf automatisiertem Settlement aufbauen, CryptoCasino.Vegas eingeschlossen, müssen Post-Quanten-Output-Unterstützung hinzufügen, sobald Wallet-Bibliotheken sie bereitstellen. Denn eine Hot Wallet mit wiederverwendetem Schlüssel ist genau das Ziel, für das dieser Plan geschrieben wurde.
Erwarten Sie, dass der Streit um Legacy-Coins lauter wird. Die einzige offene Frage in Bitcoins Post-Quanten-Politik ist, ob nicht migrierte Coins eingefroren, rate-limitiert oder dem überlassen werden, der zuerst die Quantenmaschine baut. Coinbase hat bewusst keine Seite bezogen. Alle anderen werden es tun, und diese Debatte, nicht die Hardware, entscheidet, ob sieben Jahre optimistisch sind.
