Binance-Gründer Changpeng Zhao schlug im Juli 2026 vor, Satoshi Nakamotos rund 1.1 Mio. BTC einzufrieren, falls diese nicht binnen 6 bis 12 Monaten auf quantensichere Adressen wandern. Auslöser ist die Aussicht, dass Quantencomputer die Kryptographie hinter Bitcoin-Transaktionen brechen könnten.
Die Bedrohung zielt auf ein technisches Detail. Bitcoin sichert seine Transaktionen mit dem Signaturverfahren ECDSA auf der Kurve secp256k1. Ein ausreichend leistungsfähiger Quantencomputer könnte daraus mit Shors Algorithmus den privaten Schlüssel berechnen, sobald der öffentliche Schlüssel offenliegt. Das Mining über SHA-256 bleibt hingegen verschont, weil Grovers Algorithmus nur eine quadratische Beschleunigung liefert. Die Debatte eskalierte im Verlauf des Jahres 2026 rasch. Zunächst wanderte der Migrationsvorschlag BIP-360 im Februar in Bitcoins offizielles Entwickler-Repository, später folgte der umstrittenere BIP-361 mit einem Freeze-Mechanismus. Gleichzeitig revidierte Google Quantum AI die nötige Qubit-Zahl drastisch nach unten. Rund ein Drittel des zirkulierenden Angebots liegt zudem mit sichtbarem Public Key vor, während verfügbare Quantencomputer erst rund 2'000 bis 2'500 physische Qubits erreichen.
Abonnieren Sie unseren Newsletter
Die besten Artikel der Woche direkt in ihre Mailbox geliefert.
Shor gegen Grover: Warum nur die Signaturen verwundbar sind
Bitcoin verwendet zwei kryptographische Bausteine mit sehr unterschiedlichem Risikoprofil. Die Transaktionssignaturen laufen über ECDSA auf der Kurve secp256k1, das Mining und das Adress-Hashing über SHA-256. Shors Algorithmus liefert auf einem leistungsfähigen Quantencomputer eine exponentielle Beschleunigung. Folglich lässt sich aus einem öffentlichen Schlüssel der zugehörige private Schlüssel ableiten. Genau dieser Angriff trifft ECDSA direkt.
Beim Mining sieht die Rechnung anders aus. Hier greift Grovers Algorithmus, der SHA-256 lediglich quadratisch beschleunigt. Die effektive Sicherheit sinkt dadurch von 2^256 auf rund 2^128 Operationen. Dieser Wert bleibt praktisch unerreichbar. SHA-256 gilt daher als deutlich robuster gegenüber Quantenangriffen als ECDSA. Letztlich entscheidet der Unterschied zwischen beiden Algorithmen über das gesamte Risikoprofil, denn eine exponentielle Beschleunigung verwandelt ein unlösbares Problem in eine Frage von Minuten.
Auch wirtschaftlich ergibt ein Quanten-Mining keinen Sinn. Schätzungen beziffern den nötigen Bestand für rentables Mining auf rund 10^23 Qubits. Die Energiekosten lägen ausserdem oberhalb eines grossen nationalen Stromnetzes. Der Proof-of-Work-Mechanismus bleibt somit auch langfristig ausserhalb der Reichweite realistischer Quantenhardware. Die Gefahr konzentriert sich folglich auf den Moment, in dem ein öffentlicher Schlüssel on-chain sichtbar wird.
Welche Bitcoin-Bestände bereits offen liegen
Ein Public Key wird an drei Stellen sichtbar. Erstens bei den P2PK-Outputs aus den Jahren 2009 und 2010, zu denen auch die Satoshi Nakamoto zugeschriebenen Coins zählen. Zweitens bei jeder Adresse, die mindestens einmal eine Transaktion gesendet hat, denn die Signatur legt den Schlüssel offen. Drittens bei jedem Taproot-Keypath-Spend über den Output-Typ P2TR.
Wie viel Bitcoin dadurch exponiert ist, hängt stark von der Methodik ab. Eine oft zitierte Schätzung beziffert den Bestand auf rund 6.9 Mio. BTC, also etwa ein Drittel des Umlaufs. Ebenso kamen andere Zählungen Anfang März 2026 auf über 34 Prozent der zirkulierenden Menge. Eine ältere Deloitte-Analyse aus dem Jahr 2023 kam hingegen auf rund 4 Mio. BTC, allerdings noch ohne die Taproot-Keypath-Spends. Ferner trennt der BIP-360-Kontext rund 1.72 Mio. BTC als hochgradig verwundbar von weiteren rund 4.49 Mio. BTC, die zwar verwundbar, aber migrierbar sind.
Die Spannbreite zeigt, wie unterschiedlich die Quellen zählen. Als Grössenordnung bleibt dennoch rund ein Drittel des Angebots. Ein Teil davon entfällt auf einen einzelnen Halter. Schätzungen taxieren die Satoshi Nakamoto zugeschriebenen Bestände auf rund 1.1 Mio. BTC. Für institutionelle Halter verschiebt sich damit eine bislang abstrakte Frage in den Bereich der konkreten Custody-Planung.
Wie nah ein Bitcoin-brechender Quantencomputer wirklich ist
Die Zeithorizonte haben sich weniger durch Hardware als durch Mathematik verschoben. Google Quantum AI bezifferte 2026 den Bedarf zum Brechen von Bitcoins ECDSA auf unter 500'000 physische Qubits, mit einer Laufzeit im Minutenbereich. An dem Whitepaper wirkten neben Craig Gidney und Ryan Babbush ebenfalls Justin Drake von der Ethereum Foundation und der Stanford-Kryptograph Dan Boneh mit. Vergleichsweise hoch fiel Litinskis Wert von 2023 aus, der mit rund 9 Mio. Qubits noch etwa zwanzigmal höher lag.
Von dieser Grössenordnung ist die reale Hardware jedoch weit entfernt. Die grössten öffentlich bekannten Quantencomputer erreichen derzeit rund 2'000 bis 2'500 physische Qubits. Zudem verlangt die Fehlerkorrektur heute zwischen 1'000 und 10'000 physische Qubits pro logischem Qubit. Zwischen Anspruch und Wirklichkeit klafft somit weiterhin eine grosse Lücke.
IBMs Roadmap zeigt allerdings, wie schnell sich das Feld bewegt. Auf den Loon-Prozessor (2025) folgen Kookaburra (2026) als erstes fehlertolerantes Modul, Cockatoo (2027) und schliesslich Starling (2028/29) mit 200 logischen Qubits. Gleichzeitig soll der Wechsel von Surface Codes zu Quantum-LDPC-Codes den Qubit-Overhead um bis zu 90 Prozent senken. Auch die Regulierung reagiert bereits. NIST finalisierte im August 2024 die ersten Post-Quanten-Standards FIPS 203, 204 und 205, ergänzt im März 2025 um den Backup-KEM HQC.
BIP-360 und BIP-361: Streit um Bitcoins Antwort
Bitcoin verfügt inzwischen über zwei konkurrierende Antwortpfade. BIP-360 stammt von Hunter Beast, Ethan Heilman und Isabel Foxen Duke; Bitcoins offizielles Proposal-Repository nahm ihn im Februar 2026 auf. Der Vorschlag führt einen neuen Output-Typ ein, Pay-to-Quantum-Resistant-Hash mit dem Adress-Präfix „bc1r". Er funktioniert wie Taproot, entfernt jedoch den quantenverwundbaren Keypath-Spend. Als Signaturschema steht unter anderem der NIST-Standard ML-DSA zur Diskussion. Später setzte BTQ Technologies im März 2026 die erste funktionierende BIP-360-Umsetzung auf einem Testnet um.
Der zweite Pfad geht deutlich weiter. Im April 2026 veröffentlichten Jameson Lopp, der Sicherheitschef von Casa, und fünf weitere Entwickler BIP-361. Der Vorschlag skizziert einen phasenweisen Übergang, an dessen Ende das Netzwerk nicht migrierte Coins einfriert. Dieser Zwang ist umstritten. Bitcoin-Core-Entwickler Adam Back positionierte sich Mitte April gegen einen erzwungenen Freeze und favorisiert stattdessen optionale Upgrades.
Die Debatte erreichte Anfang Juli ihren vorläufigen Höhepunkt. Changpeng Zhao schlug vor, Satoshis rund 1.1 Mio. BTC einzufrieren, falls diese unbewegt bleiben, sobald Quantencomputer eine reale Bedrohung darstellen. Zunächst soll ein Fenster von 6 bis 12 Monaten den Haltern Zeit zur Migration geben. Kritiker sehen trotzdem hohe politische Hürden. Michael Terpin verweist darauf, dass bereits das SegWit-Upgrade Jahre bis zum Konsens brauchte. Ein derart tiefer Eingriff berührt ausserdem Bitcoins Kernversprechen der Unveränderlichkeit. Insgesamt steht damit erstmals ernsthaft zur Debatte, ob das Netzwerk fremde Coins stilllegen darf, um sie vor einem künftigen Angreifer zu schützen.
