A Coinbase custodia cerca de 5% de todos os bitcoins existentes e, em 13 de outubro de 2026, publicou o que mais se aproxima de um plano de migração pós-quântica para o Bitcoin. O post, intitulado "Trabalhando juntos na preparação pós-quântica do BTC", não anuncia um soft fork, um prazo final ou um novo tipo de endereço. O que ele faz é colocar na mesa um número que a comunidade Bitcoin vem evitando há dois anos. A própria pesquisa da Coinbase estima uma migração completa de assinaturas em até sete anos. Os computadores quânticos mais avançados hoje têm menos de 1.000 qubits físicos. Ambos os fatos são verdadeiros ao mesmo tempo, e a lacuna entre eles é todo o argumento.
Em meados de outubro de 2026, era um momento razoável para fazer esse argumento. O bitcoin está sendo negociado perto de US$ 82.000, os ETFs à vista acabaram de registrar uma segunda semana consecutiva de saídas, e o mercado está focado em altas do Fed e nos índices de preços ao produtor. Ninguém está precificando o risco quântico. A Coinbase está dizendo que é exatamente por isso que a engenharia deve começar agora, enquanto é entediante.
O que a Coinbase Realmente Propôs
O post é uma lista de prioridades, não uma especificação. A Coinbase explicitamente o enquadra como um documento de discussão, e não como um plano de migração aprovado ou uma posição final da empresa. Retire as ressalvas e restam seis posições concretas. Primeiro, separe o contêiner da fechadura. A Coinbase quer o tipo de output que armazena fundos desacoplado do algoritmo de assinatura que autoriza gastá-los. Assim, um esquema de assinatura pode ser adicionado, substituído ou executado em paralelo a outro sem redesenhar todo o output. Ela nomeia dois candidatos que já oferecem isso: Pay to Merkle Root, definido no BIP 360, e um design referido como P2TRv2.Segundo, carteiras híbridas como ponte. A Coinbase favorece uma configuração escalonada em que carteiras ativas migram para uma construção 1 de 2. As mesmas moedas ganham dois caminhos de gasto, um autorizado por uma chave clássica ECDSA ou Schnorr e outro por uma chave pós-quântica. Se um computador quântico criptograficamente relevante algum dia surgir, o caminho clássico é desativado e os fundos já estão protegidos. Se nunca surgir, nada foi perdido.
À primeira vista, terceiro, escolha esquemas de assinatura com uma rede de segurança. Os candidatos nomeados são ML DSA, SLH DSA, FN DSA e um esquema compacto chamado SHRINCS. A única regra rígida da Coinbase aqui é que qualquer esquema de assinatura com estado deve vir com um fallback sem estado. Porque uma carteira que reutiliza o estado de assinatura em um esquema com estado pode vazar o suficiente para forjar assinaturas. Isso não é uma preocupação teórica para um custodiante que executa milhares de operações de assinatura por dia.
Quarto, tem que funcionar com computação multipartidária. A custódia institucional roda em MPC, onde nenhuma máquina única detém uma chave privada completa. A Coinbase quer pelo menos uma opção pós-quântica que funcione bem com MPC, ou os maiores detentores do ecossistema não poderão migrar de forma alguma.
Estranhamente, quinto, tem que caber em blocos e ser verificável por nós completos comuns. Mais sobre isso abaixo, porque é aí que está o custo real. Honestamente, sexto, moedas legadas precisam de sua própria trilha. A Coinbase quer que o debate sobre moedas abandonadas e com chaves perdidas corra em paralelo com a engenharia de assinaturas, não que o bloqueie. Essa é uma maneira educada de dizer que a questão política mais difícil do Bitcoin não deve ser permitida a paralisar o trabalho técnico.
Quantos Bitcoin Estão Realmente Expostos
O número que dá urgência ao plano vem do próprio Conselho Consultivo Quântico da Coinbase, que estimou em 21 de abril de 2026 que cerca de 6,9 milhões de BTC estão em outputs onde a chave pública já é visível na blockchain. A preços atuais, isso é aproximadamente US$ 570 bilhões. A contagem independente da Glassnode ficou acima de seis milhões, e análises mais antigas se agrupam em torno de 6,7 milhões, então o número não é um outlier da Coinbase.
Exposto não significa roubado. Significa que, se existir uma máquina capaz de executar o algoritmo de Shor em escala, essas moedas podem ser atacadas sem esperar que o proprietário transacione. A decomposição importa porque mostra quem está em risco.
| Tipo de exposição | Por que a chave é visível | BTC aproximado | O proprietário pode corrigir |
|---|---|---|---|
| Outputs P2PK legados | Recompensas de coinbase da era Satoshi pagas diretamente a uma chave pública bruta | Cerca de 1,7 milhão | Somente movendo as moedas, e a maioria presume-se perdida |
| Endereços reutilizados | Gastar uma vez revela a chave, e o endereço continua recebendo fundos | Maior parte dos 5 milhões restantes | Sim, mover para um endereço novo |
| Caminho de chave Taproot | O gasto revela a chave pública ajustada | Participação crescente dos outputs recentes | Sim, P2MR remove o caminho de chave inteiramente |
| Endereços não gastos e nunca reutilizados | Apenas o hash é público até o gasto | Todo o resto | Vulnerável apenas durante a janela entre transmissão e confirmação |
A linha de endereços reutilizados é a que deveria deixar todo operador de exchange e cassino desconfortável. Carteiras quentes que varrem depósitos para um punhado de endereços de longa duração são o caso clássico de chaves expostas, e elas guardam fundos de clientes em vez de pilhas dormentes de baleias.
Por que Sete Anos Quando os Computadores Quânticos Têm Menos de 1.000 Qubits
A lacuna de hardware é real. O chip Willow do Google roda 105 qubits físicos. O Helios da Quantinuum relatou 98 qubits físicos produzindo 48 qubits lógicos corrigidos de erros, que é o estado atual da arte para qubits utilizáveis. Quebrar a curva elíptica de 256 bits do Bitcoin precisa de algo entre 1.200 e 1.450 qubits lógicos pelas estimativas mais recentes.
Sério, o que mudou foi o teto, não o piso. Em março de 2026, o Google Quantum AI publicou estimativas de recursos colocando o requisito de qubits físicos para atacar criptografia de curva elíptica de 256 bits abaixo de 500.000, cerca de 20 vezes menor que seu próprio número de 2019. Trabalhos em arquiteturas de átomos neutros e íons aprisionados sugerem que dezenas de milhares podem eventualmente ser suficientes nessas plataformas, embora nada disso esteja verificado em hardware. Uma estimativa acadêmica de 2026 coloca a probabilidade de um computador quântico criptograficamente relevante em cerca de uma em seis até 2035, subindo para cerca de 60% até 2050. Esses são números de cenário, não previsões, e Adam Back, da Blockstream, ainda argumenta que a ameaça prática está a 20 ou 40 anos de distância.
Sete anos não é uma previsão sobre hardware. É uma previsão sobre a governança do Bitcoin. O Taproot levou cerca de quatro anos da proposta à ativação, e o lançamento do suporte em carteiras se arrastou bem depois disso. Uma mudança pós-quântica toca nas regras de consenso, em cada biblioteca de carteira, em cada assinador de hardware, em cada pilha MPC de custodiante e em cada sistema de depósito de exchange. O número da Coinbase cobre suporte de software, planejamento de custodiante e migração de chaves de usuários, e se alinha perfeitamente com a proposta complementar que já existe.
BIP 360 e BIP 361 São as Duas Metades do Plano
O BIP 360 foi mesclado ao repositório oficial de BIPs em 11 de fevereiro de 2026. Ele define Pay to Merkle Root, um output no estilo Taproot que se compromete apenas com uma árvore de scripts e remove completamente o gasto pelo caminho de chave. Cada gasto revela uma folha de script e uma prova de Merkle, nunca uma chave pública nua que fica exposta até o próximo bloco. Os endereços provavelmente começariam com bc1z. Ele preserva multisig, timelocks e configurações de herança através do Tapscript, e é exatamente o contêiner flexível que a Coinbase está pedindo.
O que o BIP 360 não faz é adicionar uma assinatura pós-quântica. ECDSA e Schnorr permanecem. As moedas existentes não migram sozinhas. Existe uma implementação em testnet, mas o Bitcoin Core não mesclou nada disso e não há cronograma de ativação.
O BIP 361, coautorado por Jameson Lopp e cinco outros, é a metade de execução, e é muito mais controverso. Ele propõe três fases. Cerca de três anos após a ativação do BIP 360, novos pagamentos para tipos de endereço legados seriam rejeitados. Cerca de dois anos depois disso, assinaturas legadas se tornariam inválidas, o que congela qualquer moeda que não tenha se movido. Uma terceira fase, ainda apenas uma ideia de pesquisa, permitiria que detentores encalhados recuperassem fundos através de provas de conhecimento zero de propriedade. O próprio Lopp disse que a proposta não está atualmente em posição de ser adotada, e Back se opõe a qualquer sunset forçado. Adicione os três mais dois anos do BIP 361 a uma pista de ativação realista e você chega aos sete da Coinbase.
O Problema do Espaço em Bloco que Ninguém Quer Precificar
Esta é a parte do plano que afeta diretamente o que cada usuário paga. As assinaturas pós-quânticas são enormes comparadas às assinaturas Schnorr de 64 bytes que o Bitcoin usa hoje, e o modelo de peso do Tapscript é ajustado exatamente para esse tamanho de 64 bytes. O CryptoCasino.Vegas compilou os parâmetros publicados para cada esquema candidato nomeado pela Coinbase para mostrar a escala do problema.| Esquema de assinatura | Tipo | Tamanho da assinatura | Múltiplo de Schnorr | Trade-off |
|---|---|---|---|---|
| Schnorr (atual) | Curva elíptica | 64 bytes | 1x | Vulnerável a quantum |
| FN DSA 512 (Falcon) | Lattice | 666 bytes | Cerca de 10x | Menor opção, mais difícil de implementar com segurança |
| ML DSA 44 (Dilithium) | Lattice | 2.420 bytes | Cerca de 38x | Padrão NIST, maduro, grande |
| ML DSA 65 | Lattice | Cerca de 3.309 bytes | Cerca de 52x | Nível de segurança mais alto favorecido em um BIP preliminar |
| SLH DSA (SPHINCS+) | Baseado em hash | 7.856 a 49.856 bytes | 120x a 780x | Segurança mais conservadora, pior pegada |
As taxas são a consequência para o jogador. Uma rede Bitcoin onde cada transação é de 10 a 50 vezes mais pesada é uma rede onde saques on-chain custam mais e confirmam mais devagar. E isso empurra ainda mais volume de liquidação de cassinos para a Lightning ou para outras blockchains inteiramente.
Como o Bitcoin se Compara com Ethereum e Solana
O Bitcoin não é o mais atrasado, mas tem o problema de coordenação mais difícil. A fundação Ethereum está mirando proteção pós-quântica completa até o final de 2029, com a abstração de conta EIP 8141 marcada como obrigatória para a atualização Hegotá. A abstração de conta permite que carteiras troquem por assinaturas baseadas em hash ou em lattice sem um hard fork, o que é uma vantagem estrutural que o Bitcoin simplesmente não tem. A resposta da Solana até agora é o Winternitz Vault, uma carteira de assinatura única opt-in de janeiro de 2025 que os usuários devem escolher ativamente, sem nenhum plano em toda a rede anunciado desde então.
O NIST finalizou o ML DSA e o SLH DSA em agosto de 2024 e pretende remover algoritmos vulneráveis a quantum dos padrões federais até 2035. Essa data está fazendo muito trabalho silencioso no roteiro de cada blockchain. A meta de 2029 do Ethereum fica seis anos antes dela. A janela de sete anos da Coinbase, iniciada hoje, cai em 2033. O problema do Bitcoin é que ninguém pode iniciar o relógio unilateralmente.
O que Isso Significa se Você Detém ou Joga com Bitcoin
Nada no post da Coinbase muda nada sobre suas moedas este ano ou no próximo. Não há voto de ativação, prazo final ou software para baixar. As conclusões práticas são menores e mais imediatas.
Pare de reutilizar endereços. Isso sempre foi uma boa higiene e agora é a única maior coisa que separa os 6,9 milhões de BTC expostos de todo o resto. Um endereço novo para cada depósito mantém sua chave pública oculta até o momento em que você gasta. Aliás, observe onde seu custodiante se posiciona. A Coinbase está preparando seus próprios sistemas e diz isso. Exchanges menores e operadores de jogos que executam varreduras para carteiras quentes de longa duração são o elo fraco. E quando o suporte a carteiras pós-quânticas chegar, eles serão os primeiros a ter que migrar, e o mais rápido. Plataformas construídas em liquidação automatizada, incluindo o CryptoCasino.Vegas, precisarão adicionar suporte a outputs pós-quânticos no momento em que as bibliotecas de carteira o expuserem. Porque uma carteira quente com uma chave reutilizada é exatamente o alvo para o qual este plano foi escrito.
Espere que a briga das moedas legadas fique mais alta. A única questão viva na política pós-quântica do Bitcoin é se moedas não migradas serão congeladas, limitadas por taxa ou deixadas para quem construir a máquina quântica primeiro. A Coinbase deliberadamente não tomou partido. Todos os outros tomarão, e esse debate, não o hardware, é o que decide se sete anos é otimista.
