Nøkkelen i åpent lys: Trail of Bits og kvantetrusselen mot krypto

Alt hviler på én eneste kurve

Nesten alt du eier i krypto hviler på én matematisk antakelse: at ingen klarer å regne seg baklengs fra en offentlig nøkkel til den private. Antakelsen har et navn, secp256k1, den elliptiske kurven som ligger under signaturene i så godt som hver eneste Bitcoin- og Ethereum-transaksjon. I skrivende stund koster en bitcoin rundt kr740 000, ether rundt kr21 700, og det samlede kryptomarkedet er verdt i underkant av 2 800 milliarder dollar. Hele byggverket står og faller på at den ene kurven ikke lar seg knekke.

Det er her kvantedatamaskinen kommer inn. En tilstrekkelig stor og stabil kvantemaskin som kjører Shors algoritme kan i prinsippet utlede den private nøkkelen fra den offentlige, og dermed signere transaksjoner på vegne av hvem som helst hvis nøkkel allerede ligger eksponert. Google Quantum AI anslo tidligere i år at en førstegenerasjons kvantemaskin kan knekke en elliptisk-kurve-nøkkel på så lite som ni minutter. Ingen slik maskin finnes ennå, men avstanden mellom «ennå ikke» og «snart» krymper raskere enn de fleste tør å innrømme.

Midt i dette kappløpet står Trail of Bits, det amerikanske sikkerhetsselskapet HOGE Wire-lesere kjenner som kryptobransjens mest siterte revisor. Men denne historien handler ikke om Slither, Echidna eller en vanlig Solidity-revisjon. Den handler om selskapets kryptografiavdeling, et miljø som på samme tid bygger angrepene som skal måle hvor nær Q-dagen er, reviderer bevisene andre legger fram, og skriver forsvaret som skal overleve den. Få aktører sitter samtidig på begge sider av bordet slik Trail of Bits gjør.

Denne artikkelen følger den tråden fra bunnen: hva secp256k1 faktisk er, hvorfor signaturen er det svake punktet og ikke utvinningen, hvor mange bitcoin som allerede ligger med nøkkelen i åpent lys, hvordan Trail of Bits «slo» Googles eget kvantebevis uten en eneste qubit, og hva Nasjonal sikkerhetsmyndighet og Finans Norge mener norske eiere og virksomheter bør gjøre lenge før den første kryptografisk relevante kvantemaskinen slås på.

Hvem Trail of Bits er, og hvorfor kvante er deres bord

Trail of Bits ble grunnlagt i 2012 i New York av Dan Guido og Alexander Sotirov, to forskere som begge hadde drevet med sikkerhet siden tenårene. Selskapet er privateid, lever av betalte oppdrag og offentlige forskningskontrakter framfor risikokapital, og har vokst til et par hundre ingeniører fordelt på seks fagfelt: applikasjonssikkerhet, kryptografi, blokkjede, kunstig intelligens, systemer og forsyningskjede. Det er kryptografiavdelingen som er relevant for kvantespørsmålet.

Avdelingen beskriver seg selv som todelt: omtrent halvparten av teamet har doktorgrad i kryptografi, den andre halvparten skriver produksjonsklar kryptografi i Rust, Go og C. Arbeidsområdet spenner fra null-kunnskapsbevis og flerpartsberegning til post-kvantekryptografi og de klassiske primitivene som ligger under alt annet. Det er en profil som skiller seg skarpt fra bildet av en revisor som bare kjører en skanner over en smartkontrakt og stempler resultatet. I en bransje der selve revisjonsmerket har blitt en handelsvare, og der ratingbyråer nå kjøper opp revisorene, er det en nyttig påminnelse om at ekte sikkerhetsarbeid handler om å tenke hardt, ikke om å sette et merke på en nettside.

Dan Guido har oppsummert filosofien i et mye sitert intervju: «I don’t ever want to find the same bug twice. That was the motivation behind creating a static analysis framework and a verification tool,» sa han til Decential. Det er den samme logikken som driver kvantearbeidet. Vil du forstå hvor farlig et angrep er, bygger du det selv, måler det nøyaktig, og slipper verktøyet fritt slik at hele bransjen kan måle det samme i stedet for å krangle om anslag.

For en norsk leser er poenget at Trail of Bits ikke er et orakel. Selskapet reviderer kode og bevis, finner feil, og publiserer. Når akkurat det selskapet som reviderer kvantesikre blokkjeder også er det som finner hull i andres kvantebevis, sier det mest om at feltet fortsatt er ungt nok til at ingen stempler bør leses som en garanti.

Shor mot Grover: hvorfor signaturen er det svake punktet

Kvantetrusselen mot krypto blir ofte framstilt som udelt, men det er den ikke. To algoritmer betyr noe, og de rammer ulikt. Shors algoritme løser faktorisering og det diskrete logaritmeproblemet eksponentielt raskere enn en klassisk maskin, og det er nettopp det diskrete logaritmeproblemet som holder secp256k1 oppe. Grovers algoritme gir derimot bare en kvadratisk framgang mot symmetrisk kryptografi og hashfunksjoner.

Forskjellen er avgjørende. SHA-256, hashfunksjonen som ligger under både Bitcoin-utvinning og selve adresseformatet, rammes bare av Grover, og en kvadratisk framgang nøytraliseres i praksis ved å doble utdatalengden. Utvinningen, altså proof-of-work, er dermed ikke det akutte problemet. Det akutte problemet er signaturen: ECDSA på secp256k1, der Shor i teorien kan utlede den private nøkkelen direkte fra den offentlige.

Dette flytter hele faresonen til ett spørsmål: når ble den offentlige nøkkelen din synlig? I Bitcoin avsløres den offentlige nøkkelen først i det øyeblikket du bruker, altså sender fra, en adresse. En adresse som aldri har sendt, viser bare en hash av nøkkelen, beskyttet av SHA-256 og dermed av Grover-gjerdet. En adresse som har sendt minst én gang, har eksponert den rå offentlige nøkkelen for alltid på blokkjeden, synlig for hvem som helst som venter på riktig maskin.

Ethereum er dårligere stilt. Der ligger den offentlige nøkkelen i praksis eksponert gjennom måten kontoer og signaturer fungerer på, noe som er en del av grunnen til at Ethereum-miljøet har beveget seg raskere på kvantesikkerhet enn Bitcoin. Men prinsippet er det samme på begge kjeder: det er signaturen, ikke hashen, som er det myke underlivet, og det er signaturen Trail of Bits har brukt årets forskning på å pirke i.

Høst nå, dekrypter senere: derfor er trusselen allerede her

Den vanligste innvendingen mot kvantehysteriet er at ingen maskin kan knekke secp256k1 i dag, så hvorfor bry seg nå? Svaret har et navn kryptografer bruker med økende alvor: «høst nå, dekrypter senere», på engelsk harvest now, decrypt later. En motstander trenger ikke en kvantemaskin i dag for å ramme deg i dag. Han trenger bare å samle inn materialet i dag, og vente.

For kryptert trafikk betyr dette at en stat eller en annen ressurssterk aktør kan lagre avlyttet, kryptert kommunikasjon nå og dekryptere den den dagen maskinen finnes. For Bitcoin og Ethereum er trusselen enda mer konkret, fordi «dataene» allerede ligger offentlig: hver eneste eksponerte offentlige nøkkel på blokkjeden er et stykke høstet materiale som bare venter på regnekraft. Det finnes ingen måte å trekke en offentlig nøkkel tilbake når den først er brukt.

Det er dette som gjør tidslinjen misvisende. Selv om selve Q-dagen ligger et sted ute på 2030-tallet, er coins på eksponerte adresser allerede i faresonen for en angriper med tålmodighet. Finans Norge løfter HNDL fram som et sentralt risikoelement i sitt veikart for en kvantesikker finansnæring, nettopp fordi det er dagens beslutninger som avgjør hvor mye som er eksponert når maskinen endelig kommer.

For den enkelte eieren oversettes dette til en ubehagelig konklusjon: de tryggeste coinsene dine er de som ligger på en adresse du aldri har sendt fra, der bare hashen er synlig. I samme øyeblikk du bruker adressen, i den transaksjonen der du flytter midlene, blottlegges nøkkelen. Vi kommer tilbake til hva det betyr i praksis lenger ned.

secp256k1 under press: fra 2 124 til 835 qubits

Hvor nær er vi egentlig? Et nyttig mål er hvor mange logiske qubits en angriper trenger for å kjøre Shor mot secp256k1. Logiske qubits er feilkorrigerte, stabile qubits, ikke de støyete fysiske som dagens maskiner teller i tusenvis, og én logisk qubit kan kreve tusenvis av fysiske. Nettopp dette tallet har falt jevnt de siste årene, og det er her forskningen blir ubehagelig konkret.

Et referansearbeid fra Häner og kolleger i 2020 anslo rundt 2 124 logiske qubits. Googles kvanteteam presenterte i år to driftspunkter, ett på 1 425 og ett på 1 175 qubits, og festet «ni minutter»-anslaget til dem. På EUROCRYPT 2026 la Chevignard, Fouque og Schrottenloher fram et estimat rundt 1 193 qubits. Og i september 2026 publiserte et kinesisk forskerteam et opplegg som krever bare 835 logiske qubits, det laveste tallet som er registrert for et 256-bits elliptisk-kurve-angrep.

Tallene skal leses med forsiktighet: arbeidene bruker ulike regnemetoder, og en direkte sammenligning av qubit-tall mellom to papirer bærer forbehold. 835 er omtrent 71 prosent av Googles 1 175, men ikke nødvendigvis «bedre» på alle akser. Likevel er retningen entydig. Hver gang et nytt arbeid senker lista, flyttes Q-dagen nærmere, ikke fordi maskinvaren ble bedre, men fordi angrepet ble billigere å regne ut.

Vi er fortsatt et godt stykke unna dagens maskiner; hundrevis av stabile logiske qubits er en formidabel ingeniørbragd ingen offentlig kjent aktør er i nærheten av. Men poenget er samspillet mellom to kurver. Algoritmeforbedringer senker kravet nedenfra, mens maskinvaren klatrer oppover. Den dagen de to møtes, er Q-dagen her, og da er det for sent å begynne å flytte coins.

trailmix: Trail of Bits bygger angrepet for å måle det

Hvis tallene over virker abstrakte, er det fordi de er nettopp det: anslag over hvor mange qubits et hypotetisk angrep ville krevd. Trail of Bits’ svar på abstraksjonen heter trailmix, et åpent rammeverk som faktisk bygger kretsene angrepet består av, simulerer dem, verifiserer dem og måler dem mot et felles grunnlag.

Det sentrale leddet i Shors angrep på det elliptiske kurveproblemet er elliptisk-kurve-punktaddisjon, en operasjon som gjentas mange tusen ganger som en reversibel kvantekrets. trailmix syntetiserer nettopp disse kretsene og scorer dem mot Googles to driftspunkter for secp256k1, altså 1 175 qubits med 2,7 millioner Toffoli-porter og 1 425 qubits med 2,1 millioner Toffoli. Toffoli-porten er den dyre, kvantetunge operasjonen, så antallet Toffoli er et grovmål på hvor krevende angrepet er å kjøre i praksis.

Hvorfor skulle et sikkerhetsselskap bygge angrepsverktøyet og gi det bort gratis? Fordi forsvar krever måling. Så lenge «hvor nær er Q-dagen» er et spørsmål om PR-vennlige pressemeldinger fra maskinvareleverandører, kan ingen planlegge rasjonelt. Et åpent, etterprøvbart rammeverk gjør anslagene til noe du kan kjøre selv i stedet for å ta på tro. Det er den samme Guido-logikken fra tidligere: bygg verktøyet, mål presist, del resultatet.

Det er også her historien tar en vri som gjør trailmix til mer enn en akademisk øvelse. For da Google la fram sitt eget bevis på at angrepet var gjennomførbart, et kryptografisk bevis ment å overbevise skeptikerne, fant Trail of Bits at beviset ikke tålte et nærmere blikk.

Da Trail of Bits «slo» Googles kvantebevis

Google Quantum AI gjorde noe uvanlig for å underbygge «ni minutter»-påstanden. I stedet for bare å publisere tallene la teamet fram et null-kunnskapsbevis, en zero-knowledge proof generert via Succinct Labs’ SP1 zkVM, som skulle bevise at den beskrevne kvantekretsen faktisk utførte elliptisk-kurve-punktaddisjon korrekt over 9 024 tilfeldig valgte inndata. Tanken er elegant: i stedet for å be verden stole på Google, lar du matematikken selv bevise påstanden.

To uker senere publiserte Trail of Bits sitt eget bevis som slo Googles tall, ikke takket være et kvantegjennombrudd, men ved å utnytte flere subtile feil i Googles egen bevis-programvare, som var skrevet i Rust. Kretsformatet Google brukte, kalt kickmix, ble serialisert til byte og lest inn igjen av en simulator, og det var i den innlesningen hullene lå.

Den første feilen var en forbikobling av selve Toffoli-telleren. Googles kode brukte usikre Rust-blokker for å kutte regnekostnaden i zkVM-en, og skrudde dermed av minnesikkerheten. Ved å mate inn ugyldige enum-verdier utenfor det forventede området, fra 0 til 17, gjennom usikker deserialisering klarte Trail of Bits å hoppe forbi tellingen av Toffoli-porter mens operasjonen likevel ble utført. Den andre feilen var såkalt register-aliasing: koden sjekket ikke at inn- og ut-qubitene var forskjellige, noe som lot forskerne bygge vanlige, klassiske logiske porter forkledd som kvanteoperasjoner.

Resultatet var et forfalsket bevis som på papiret rapporterte rundt 1 164 qubits, om lag 8,3 millioner operasjoner og null Toffoli-porter, der det i virkeligheten ble utført millioner. Som Trail of Bits tørt beskrev øvelsen: «it’s basically Nand2Tetris, except the goal is elliptic curve point addition.» Poenget er ikke at Googles kvanteanslag nødvendigvis er feil; det kan godt stemme. Poenget er at selve beviset, det som skulle fjerne behovet for tillit, kunne forfalskes fordi programvaren rundt det hadde minnefeil.

Her lukker sirkelen seg rundt Guidos gamle kritikk av språkdesign. «They have reinvented every security issue that we eliminated from modern languages like Rust and Go and Swift,» har han sagt om EVM og Solidity. Ironien er at feilen denne gangen lå i usikre Rust-blokker, altså nettopp der et trygt språk lar deg skru av sikkerhetsnettet for ytelsens skyld. Lærdommen for krypto er brutalt enkel: et bevis er bare så sterkt som koden som produserer det, og noen må revidere verktøyet, ikke bare konklusjonen.

Hvor mye bitcoin ligger eksponert?

Hvor stor er egentlig angrepsflaten på Bitcoin i dag? Den mest siterte analysen kommer fra Deloitte, som fant at rundt en fjerdedel av alle bitcoin i omløp ligger på adresser med allerede synlig offentlig nøkkel. Det fordeler seg grovt på to kategorier: omtrent 2 millioner BTC i de opprinnelige pay-to-public-key-adressene fra Bitcoins tidligste dager, og rundt 2,5 millioner BTC i gjenbrukte pay-to-public-key-hash-adresser, til sammen over 4 millioner BTC.

Til dagens kurs på rundt kr740 000 per bitcoin tilsvarer det over 2 900 milliarder kroner, eksponert ikke fordi eierne gjorde noe dumt i går, men fordi nøkkelen deres har ligget i åpent lys i årevis. Den kinesiske 835-qubit-studien gjentar samme observasjon fra en annen vinkel: en betydelig del av BTC-tilbudet sitter i lommebøker med allerede avslørte offentlige nøkler, og det er disse coinsene en kvantemotstander ville gått etter først.

Den mest symboltunge delen av denne haugen er Satoshi Nakamotos egne coins, anslått til rundt en million BTC, nær sagt alle på gammeldagse pay-to-public-key-adresser. De har aldri vært flyttet, og vil etter alt å dømme aldri bli det av sin rettmessige eier. En kvantemotstander som knekker dem, ville ikke bare stjålet en formue, men rystet tilliten til hele Bitcoin på en måte ingen enkeltstående hack har klart.

Det gjør eksponerte coins til et kollektivt problem, ikke bare et individuelt. Selv om du flytter alt ditt eget til ferske adresser, forblir millioner av tapte eller urørlige coins eksponert, og et vellykket kvantetyveri av dem ville rammet prisen på alt du eier. Det er bakteppet for den betente debatten om hva Bitcoin egentlig skal gjøre med disse coinsene, en debatt vi kommer tilbake til.

Forsvaret finnes allerede: ML-KEM og ML-DSA

Den gode nyheten er at forsvaret ikke må finnes opp; det er allerede standardisert. I august 2024 ferdigstilte amerikanske NIST tre post-kvantestandarder etter en åtte år lang evalueringsprosess: FIPS 203, 204 og 205. FIPS 203 (ML-KEM, basert på CRYSTALS-Kyber) håndterer nøkkelutveksling; FIPS 204 (ML-DSA, basert på CRYSTALS-Dilithium) er den primære signaturstandarden; FIPS 205 (SLH-DSA, hashbasert) står i reserve for tilfeller der man vil ha en helt uavhengig sikkerhetsantakelse.

Her er Trail of Bits igjen på forsvarssiden. I juni 2026 la selskapet ML-KEM og ML-DSA inn i pyca/cryptography, det desidert mest brukte kryptografibiblioteket i Python-økosystemet, med rundt 1,2 milliarder nedlastinger i måneden og en ellevteplass på PyPI. Pakken ligger under alt fra Ansible og Certbot til Apache Airflow. Arbeidet ble finansiert av tyske Sovereign Tech Agency, og som Trail of Bits formulerte det: «Post-quantum support is now one pip-install away for the entire Python ecosystem.»

Overgangen er likevel ikke gratis. Post-kvantenøkler og -signaturer er langt større enn dagens. En offentlig ML-DSA-65-nøkkel er 1 952 byte mot Ed25519s 32, og en ML-KEM-768-nøkkel er 1 184 byte mot X25519s 32. For en blokkjede der hver byte koster plass og gebyr, er det en reell kostnad, og en vesentlig del av grunnen til at migreringen er tyngre for Bitcoin og Ethereum enn for en nettleser.

Trail of Bits’ kryptografimiljø understreker samtidig at erstatning alene ikke er nok; du må bygge inn det de kaller kryptografisk smidighet, altså evnen til å bytte algoritme uten å rive opp hele systemet. Det er ikke et produkt du kjøper, men en egenskap du designer inn på forhånd, og det er nøyaktig den egenskapen Finans Norge løfter fram som ett av tre bærende prinsipper i det norske veikartet.

QRL og revisjonen av et kvantesikkert hjerte

Hvordan ser en blokkjede ut som er bygget for Q-dagen fra starten? Et av de reneste eksemplene er QRL, Quantum Resistant Ledger, som har brukt hashbaserte signaturer (XMSS) siden lanseringen i 2018 i stedet for ECDSA. Hashbaserte signaturer lener seg på de samme antakelsene som Grover-gjerdet, og regnes som blant de best forståtte kvantesikre byggeklossene vi har.

I august 2026 publiserte QRL en sikkerhetsvurdering fra Trail of Bits av go-qrllib, det kryptografiske biblioteket som utgjør hjertet i QRL 2.0. Gjennomgangen avdekket 15 funn (ett alvorlig, fire lave og ti informasjonsfunn), og samtlige ble løst etter at QRL rettet dem og Trail of Bits verifiserte rettelsene 22. juni 2026. QRL bruker nå både XMSS og den NIST-standardiserte ML-DSA, og innførte såkalt hedged ML-DSA-signering som standard som del av opprettingen.

Filipe Casal, Principal Security Engineer i Trail of Bits, oppsummerte oppdraget slik: «go-qrllib is a well-organized, modular codebase with cryptographic primitives that closely follow their specifications. The QRL team was responsive throughout the engagement and resolved every finding we reported.» Det er en uvanlig ren attest i en bransje der de fleste revisjonsrapporter ender med en liste over funn som fortsatt står åpne.

QRL er en liten kjede, og poenget her er ikke å anbefale en investering. Poenget er pedagogisk: en kjede som ble designet kvantesikker fra dag én, lar seg revidere mot en klar spesifikasjon, mens Bitcoin og Ethereum må bygge om motoren mens bilen kjører i hundre. Forskjellen i vanskelighetsgrad er enorm, og den forklarer mye av hvorfor de store kjedene beveger seg forsiktig.

Ethereum planlegger for Q-dagen

Ethereum har tatt kvantetrusselen mer alvorlig, og tidligere, enn Bitcoin. Ifølge The Block har Vitalik Buterin løftet kvantesikkerhet kraftig opp i prioritet på Ethereums veikart og rammet det inn i en skisse kalt Strawmap, et løst anslag på rundt syv hard forks mellom 2026 og 2030. De tre bærende søylene er kvantemotstand, statsløshet (via Verkle-trær) og forenkling av protokollen.

I sentrum står Hegota-oppgraderingen, siktet mot andre halvdel av 2026, som Buterin har antydet blir den siste før Ethereum går inn i en Lean-fase: en strømlinjeformet epoke rettet mot enkelhet og motstandskraft mot trusler som ennå ikke finnes fullt ut, men som nærmer seg ubehagelig raskt. Buterin har selv anslått rundt 20 prosent sannsynlighet for et betydelig kvantegjennombrudd før 2030, mens de fleste Q-dag-anslag lander et sted utover på 2030-tallet.

Nøkkelen til at Ethereum i det hele tatt kan bytte signaturordning uten en katastrofal splittelse, er account abstraction. Når en konto er en smartkontrakt framfor en rå nøkkel, kan den bytte ut hvilken signaturalgoritme den godtar, fra ECDSA til en kvantesikker ordning, uten å måtte endre protokollen under. Det er en av grunnene til at adopsjonstallene for account abstraction er mer enn en teknisk kuriositet; de er en stille forutsetning for en ryddig kvantemigrering.

Bitcoin har ikke det samme smidige laget bygget inn, og det fører oss til den vanskeligste delen av hele historien: hva skal egentlig skje med de millionene av coins som allerede ligger eksponert?

Bitcoins vanskeligere valg

Bitcoin kan i prinsippet legge til en kvantesikker signaturtype, for eksempel gjennom en soft fork som innfører en ny adressetype basert på ML-DSA eller en hashbasert ordning. Problemet er ikke å lage den nye adressen; det er å få alle til å flytte over, og å avgjøre hva som skal skje med alle coinsene som aldri flyttes.

Her deler miljøet seg. Den ene leiren vil sette en frist: etter et gitt blokknummer kan coins på gammeldagse, eksponerte adresser ikke lenger brukes, slik at en kvantetyv ikke rekker å tømme dem. Kritikerne kaller dette å konfiskere, eller «brenne», eiendom, inkludert Satoshis coins og alt som tilhører døde eller glemsomme eiere. Den andre leiren vil la coinsene ligge og satse på frivillig migrering i tide, med den åpenbare risikoen at en kvantemotstander kommer først.

Dette er i bunn og grunn den samme typen spørsmål som dukker opp hver gang et kryptosystem må gripe inn i noe som allerede har skjedd. Debatten om en kvantefrist har tydelige ekko av diskusjonen om nødbrytere og hvem som egentlig får pengene tilbake etter et angrep: hvem har myndighet til å fryse eller omgjøre, og hva gjør det med løftet om at ingen kan røre coinsene dine? For Bitcoin, hvis hele identitet hviler på at reglene ikke endres etter forgodtbefinnende, er selv en velbegrunnet kvantefrist en eksistensiell knute.

Det finnes ingen smertefri utvei. Gjør Bitcoin ingenting, risikerer nettverket et kvantetyveri som undergraver tilliten til alt. Griper det inn, bryter det med sitt eget grunnprinsipp om uforanderlighet. Trail of Bits og andre kan levere de kryptografiske byggeklossene, men valget mellom de to vondene er politisk, ikke teknisk, og nettopp derfor haster det å ta debatten nå, mens det fortsatt er tid.

Norge: NSM, Finans Norge og Finanstilsynet

For norske lesere er det lett å oppleve kvantetrusselen som et amerikansk eller et Big Tech-anliggende. Det er den ikke. Nasjonal sikkerhetsmyndighet (NSM) har en egen veileder om kvantemigrasjon, og budskapet er utvetydig: når kryptoanalytisk relevante kvantedatamaskiner blir tilgjengelige, blir mye av dagens kryptering ubrukelig, og NSM anbefaler norske virksomheter å risikovurdere egne systemer allerede nå. Migreringen tar tid og er kostbar, påpeker myndigheten, og nye kvantesikre standarder er på vei internasjonalt.

På finanssiden lanserte Finans Norge i mars 2026 et veikart for en kvantesikker finansnæring. Det anbefaler at aktørene i det norske finanssystemet har innført kvantesikker kryptografi innen 2035, i tråd med signaler fra EU og G7 om at de mest kritiske systemene bør være migrert innen 2030 og resten innen 2035. Veikartet hviler på tre prinsipper: tidlig og risikobasert handling, kryptografisk smidighet som en varig organisatorisk evne, og tett samarbeid på tvers av virksomheter.

Her er det et viktig forbehold for kryptoeiere spesielt. Finanstilsynet fører tilsyn med kryptoaktører (CASP-er) under MiCA, som gjelder i Norge gjennom EØS-avtalen, og DORA stiller krav til digital operasjonell motstandskraft. Men verken MiCA eller DORA pålegger noen å bruke en kvantesikker signatur på en blokkjede, og fullt desentraliserte protokoller faller i stor grad utenfor MiCA uansett. Et foretak kan altså være regelrett «compliant» og samtidig sitte på kvantesårbar infrastruktur. Reguleringen følger etter trusselen, den går ikke foran den.

Internasjonalt peker pilene i samme retning. EU og G7 har signalisert at de mest kritiske systemene bør være migrert innen 2030 og resten innen 2035, og flere lands myndigheter har satt egne, til dels strammere frister for offentlige systemer. Tidslinjene fra de ulike aktørene gir et nyttig bilde av hvor tidsvinduet faktisk ligger:

Leser du tabellen samlet, ser du at ingen seriøs aktør planlegger for at Q-dagen er fjern og uviktig. De planlegger for at den kan komme i løpet av det neste tiåret, og at migreringen må være ferdig før den gjør det. For en norsk kryptoeier er det et signal verdt å ta på alvor, uavhengig av hva Finanstilsynet rekker å kreve.

Hva betyr dette for deg som eier eller bygger?

For deg som eier krypto er det fortsatt ingen grunn til panikk, men god grunn til å rydde. Det viktigste enkelttiltaket er å unngå gjenbruk av adresser: bruk en adresse én gang, og la ferske midler ligge på adresser som aldri har sendt, der bare hashen er eksponert. Moderne lommebøker gjør dette automatisk, men mange brukere gjør det fortsatt ikke. Jo mindre av saldoen din som ligger på en gjenbrukt eller gammeldags adresse, desto mindre høster en kvantemotstander av deg i mellomtiden.

Det andre er å følge med på hvordan lommeboken din håndterer nøkler og signering. Når migreringen kommer, blir den bare så smertefri som verktøyene dine tillater, og en lommebok uten en plan for kryptografisk smidighet er en lommebok som vil kreve manuell flytting under tidspress. Det er den samme UX-utfordringen HOGE Wire har skrevet om i forbindelse med fullmakter og hvem som egentlig signerer på dine vegne: i det øyeblikket signering blir komplisert, gjør folk feil, og feil med nøkler er dyre.

For deg som bygger er lærdommene fra Trail of Bits konkrete. Bygg kryptografisk smidighet inn fra start, slik at en algoritme kan byttes uten en hard fork. Revider verktøyet og hele beviskjeden, ikke bare konklusjonen; kickmix-historien viser at selv et kryptografisk bevis kan forfalskes gjennom en minnefeil i koden rundt. Og behandle post-kvantemigrering som et prosjekt med en tidslinje, ikke som noe du tar fatt på «når Q-dagen nærmer seg», for da er det per definisjon for sent.

Trail of Bits oppsummerer hele dilemmaet bedre enn de fleste, nettopp fordi selskapet sitter på begge sider samtidig. Det bygger angrepet (trailmix), river ned de dårlige bevisene (Googles ZK-proof), reviderer de kvantesikre kjedene (QRL) og skriver forsvaret (ML-KEM og ML-DSA i Python). Fellesnevneren er at ingen av delene handler om å vente. Q-dagen er ikke en dato i kalenderen; den er et kappløp mellom hvor raskt angrepet blir billigere og hvor raskt forsvaret blir utbredt. Akkurat nå ligger nøkkelen til altfor mange formuer fortsatt i åpent lys, og det eneste som holder dem trygge, er at den rette maskinen ennå ikke er slått på.

Ofte stilte spørsmål

Kan kvantedatamaskiner knekke Bitcoin i dag?

Nei. Ingen offentlig kjent kvantemaskin har i nærheten av nok stabile, feilkorrigerte qubits til å kjøre Shors algoritme mot secp256k1. Men kravet faller jevnt, nyere forskning er nede i 835 logiske qubits, og fordi eksponerte offentlige nøkler ligger permanent på blokkjeden, er coins på gjenbrukte adresser allerede utsatt for en strategi der krypterte data høstes i dag og dekrypteres når maskinen finnes.

Hva er Q-dagen?

Q-dagen er det hypotetiske tidspunktet da en kryptografisk relevant kvantedatamaskin kan bryte dagens offentlig-nøkkel-kryptografi, inkludert ECDSA på secp256k1. De fleste anslag plasserer den et sted utover på 2030-tallet, mens Vitalik Buterin har anslått rundt 20 prosent sannsynlighet for et betydelig gjennombrudd allerede før 2030.

Hva er secp256k1, og hvorfor er den sårbar?

secp256k1 er den elliptiske kurven som signaturene i både Bitcoin og Ethereum bygger på. Den er sårbar fordi Shors algoritme kan utlede den private nøkkelen fra den offentlige. Faren oppstår først når den offentlige nøkkelen er synlig, altså på adresser som har sendt minst én gang, eller på gamle pay-to-public-key-adresser.

Hva gjør Trail of Bits med kvantetrusselen?

Trail of Bits jobber på alle sider av problemet. Selskapet bygger og måler angrepskretsene med det åpne rammeverket trailmix, fant minnefeil i Googles kvantebevis og forfalsket det, reviderte den kvantesikre kjeden QRL, og la de NIST-standardiserte algoritmene ML-KEM og ML-DSA inn i Pythons mest brukte kryptografibibliotek.

Hva bør norske kryptoeiere og virksomheter gjøre nå?

Følg rådene fra NSM og Finans Norge: kartlegg hvor du bruker sårbar kryptografi, bygg kryptografisk smidighet, og legg en migreringsplan nå framfor senere. For eiere betyr det å unngå gjenbruk av adresser og å velge lommebøker og kjeder med en tydelig plan for post-kvante-overgang. Finans Norge anbefaler at hele finansnæringen er kvantesikker innen 2035.

Av redaksjonen i HOGE Wire, sikkerhetsseksjonen.