{"id":607,"date":"2026-10-27T05:10:11","date_gmt":"2026-10-27T05:10:11","guid":{"rendered":"https:\/\/hoge.gg\/no\/trail-of-bits-q-dagen-kvantetrussel-krypto-2026\/"},"modified":"2026-10-27T05:10:11","modified_gmt":"2026-10-27T05:10:11","slug":"trail-of-bits-q-dagen-kvantetrussel-krypto-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/no\/trail-of-bits-q-dagen-kvantetrussel-krypto-2026\/","title":{"rendered":"N\u00f8kkelen i \u00e5pent lys: Trail of Bits og kvantetrusselen mot krypto"},"content":{"rendered":"

Alt hviler p\u00e5 \u00e9n eneste kurve<\/h2>

Nesten alt du eier i krypto hviler p\u00e5 \u00e9n matematisk antakelse: at ingen klarer \u00e5 regne seg baklengs fra en offentlig n\u00f8kkel til den private. Antakelsen har et navn, secp256k1, den elliptiske kurven som ligger under signaturene i s\u00e5 godt som hver eneste Bitcoin- og Ethereum-transaksjon. I skrivende stund koster en bitcoin rundt kr740 000<\/a>, ether rundt kr21 700, og det samlede kryptomarkedet er verdt i underkant av 2 800 milliarder dollar. Hele byggverket st\u00e5r og faller p\u00e5 at den ene kurven ikke lar seg knekke.<\/p>

Det er her kvantedatamaskinen kommer inn. En tilstrekkelig stor og stabil kvantemaskin som kj\u00f8rer Shors algoritme kan i prinsippet utlede den private n\u00f8kkelen fra den offentlige, og dermed signere transaksjoner p\u00e5 vegne av hvem som helst hvis n\u00f8kkel allerede ligger eksponert. Google Quantum AI anslo tidligere i \u00e5r at en f\u00f8rstegenerasjons kvantemaskin kan knekke en elliptisk-kurve-n\u00f8kkel p\u00e5 s\u00e5 lite som ni minutter. Ingen slik maskin finnes enn\u00e5, men avstanden mellom \u00abenn\u00e5 ikke\u00bb og \u00absnart\u00bb krymper raskere enn de fleste t\u00f8r \u00e5 innr\u00f8mme.<\/p>

Midt i dette kappl\u00f8pet st\u00e5r Trail of Bits, det amerikanske sikkerhetsselskapet HOGE Wire-lesere kjenner som kryptobransjens mest siterte revisor. Men denne historien handler ikke om Slither, Echidna eller en vanlig Solidity-revisjon. Den handler om selskapets kryptografiavdeling, et milj\u00f8 som p\u00e5 samme tid bygger angrepene som skal m\u00e5le hvor n\u00e6r Q-dagen er, reviderer bevisene andre legger fram, og skriver forsvaret som skal overleve den. F\u00e5 akt\u00f8rer sitter samtidig p\u00e5 begge sider av bordet slik Trail of Bits gj\u00f8r.<\/p>

Denne artikkelen f\u00f8lger den tr\u00e5den fra bunnen: hva secp256k1 faktisk er, hvorfor signaturen er det svake punktet og ikke utvinningen, hvor mange bitcoin som allerede ligger med n\u00f8kkelen i \u00e5pent lys, hvordan Trail of Bits \u00abslo\u00bb Googles eget kvantebevis uten en eneste qubit, og hva Nasjonal sikkerhetsmyndighet og Finans Norge mener norske eiere og virksomheter b\u00f8r gj\u00f8re lenge f\u00f8r den f\u00f8rste kryptografisk relevante kvantemaskinen sl\u00e5s p\u00e5.<\/p>

Hvem Trail of Bits er, og hvorfor kvante er deres bord<\/h2>

Trail of Bits ble grunnlagt i 2012 i New York av Dan Guido og Alexander Sotirov, to forskere som begge hadde drevet med sikkerhet siden ten\u00e5rene. Selskapet er privateid, lever av betalte oppdrag og offentlige forskningskontrakter framfor risikokapital, og har vokst til et par hundre ingeni\u00f8rer fordelt p\u00e5 seks fagfelt: applikasjonssikkerhet, kryptografi, blokkjede, kunstig intelligens, systemer og forsyningskjede. Det er kryptografiavdelingen som er relevant for kvantesp\u00f8rsm\u00e5let.<\/p>

Avdelingen beskriver seg selv som todelt: omtrent halvparten av teamet har doktorgrad i kryptografi, den andre halvparten skriver produksjonsklar kryptografi i Rust, Go og C. Arbeidsomr\u00e5det spenner fra null-kunnskapsbevis og flerpartsberegning til post-kvantekryptografi og de klassiske primitivene som ligger under alt annet. Det er en profil som skiller seg skarpt fra bildet av en revisor som bare kj\u00f8rer en skanner over en smartkontrakt og stempler resultatet. I en bransje der selve revisjonsmerket har blitt en handelsvare, og der ratingbyr\u00e5er n\u00e5 kj\u00f8per opp revisorene<\/a>, er det en nyttig p\u00e5minnelse om at ekte sikkerhetsarbeid handler om \u00e5 tenke hardt, ikke om \u00e5 sette et merke p\u00e5 en nettside.<\/p>

Dan Guido har oppsummert filosofien i et mye sitert intervju: \u00abI don’t ever want to find the same bug twice. That was the motivation behind creating a static analysis framework and a verification tool,\u00bb sa han til Decential<\/a>. Det er den samme logikken som driver kvantearbeidet. Vil du forst\u00e5 hvor farlig et angrep er, bygger du det selv, m\u00e5ler det n\u00f8yaktig, og slipper verkt\u00f8yet fritt slik at hele bransjen kan m\u00e5le det samme i stedet for \u00e5 krangle om anslag.<\/p>

For en norsk leser er poenget at Trail of Bits ikke er et orakel. Selskapet reviderer kode og bevis, finner feil, og publiserer. N\u00e5r akkurat det selskapet som reviderer kvantesikre blokkjeder ogs\u00e5 er det som finner hull i andres kvantebevis, sier det mest om at feltet fortsatt er ungt nok til at ingen stempler b\u00f8r leses som en garanti.<\/p>

Shor mot Grover: hvorfor signaturen er det svake punktet<\/h2>

Kvantetrusselen mot krypto blir ofte framstilt som udelt, men det er den ikke. To algoritmer betyr noe, og de rammer ulikt. Shors algoritme l\u00f8ser faktorisering og det diskrete logaritmeproblemet eksponentielt raskere enn en klassisk maskin, og det er nettopp det diskrete logaritmeproblemet som holder secp256k1 oppe. Grovers algoritme gir derimot bare en kvadratisk framgang mot symmetrisk kryptografi og hashfunksjoner.<\/p>

Forskjellen er avgj\u00f8rende. SHA-256, hashfunksjonen som ligger under b\u00e5de Bitcoin-utvinning og selve adresseformatet, rammes bare av Grover, og en kvadratisk framgang n\u00f8ytraliseres i praksis ved \u00e5 doble utdatalengden. Utvinningen, alts\u00e5 proof-of-work, er dermed ikke det akutte problemet. Det akutte problemet er signaturen: ECDSA p\u00e5 secp256k1, der Shor i teorien kan utlede den private n\u00f8kkelen direkte fra den offentlige.<\/p>

Dette flytter hele faresonen til ett sp\u00f8rsm\u00e5l: n\u00e5r ble den offentlige n\u00f8kkelen din synlig? I Bitcoin avsl\u00f8res den offentlige n\u00f8kkelen f\u00f8rst i det \u00f8yeblikket du bruker, alts\u00e5 sender fra, en adresse. En adresse som aldri har sendt, viser bare en hash av n\u00f8kkelen, beskyttet av SHA-256 og dermed av Grover-gjerdet. En adresse som har sendt minst \u00e9n gang, har eksponert den r\u00e5 offentlige n\u00f8kkelen for alltid p\u00e5 blokkjeden, synlig for hvem som helst som venter p\u00e5 riktig maskin.<\/p>

Ethereum er d\u00e5rligere stilt. Der ligger den offentlige n\u00f8kkelen i praksis eksponert gjennom m\u00e5ten kontoer og signaturer fungerer p\u00e5, noe som er en del av grunnen til at Ethereum-milj\u00f8et har beveget seg raskere p\u00e5 kvantesikkerhet enn Bitcoin. Men prinsippet er det samme p\u00e5 begge kjeder: det er signaturen, ikke hashen, som er det myke underlivet, og det er signaturen Trail of Bits har brukt \u00e5rets forskning p\u00e5 \u00e5 pirke i.<\/p>

H\u00f8st n\u00e5, dekrypter senere: derfor er trusselen allerede her<\/h2>

Den vanligste innvendingen mot kvantehysteriet er at ingen maskin kan knekke secp256k1 i dag, s\u00e5 hvorfor bry seg n\u00e5? Svaret har et navn kryptografer bruker med \u00f8kende alvor: \u00abh\u00f8st n\u00e5, dekrypter senere\u00bb, p\u00e5 engelsk harvest now, decrypt later. En motstander trenger ikke en kvantemaskin i dag for \u00e5 ramme deg i dag. Han trenger bare \u00e5 samle inn materialet i dag, og vente.<\/p>

For kryptert trafikk betyr dette at en stat eller en annen ressurssterk akt\u00f8r kan lagre avlyttet, kryptert kommunikasjon n\u00e5 og dekryptere den den dagen maskinen finnes. For Bitcoin og Ethereum er trusselen enda mer konkret, fordi \u00abdataene\u00bb allerede ligger offentlig: hver eneste eksponerte offentlige n\u00f8kkel p\u00e5 blokkjeden er et stykke h\u00f8stet materiale som bare venter p\u00e5 regnekraft. Det finnes ingen m\u00e5te \u00e5 trekke en offentlig n\u00f8kkel tilbake n\u00e5r den f\u00f8rst er brukt.<\/p>

Det er dette som gj\u00f8r tidslinjen misvisende. Selv om selve Q-dagen ligger et sted ute p\u00e5 2030-tallet, er coins p\u00e5 eksponerte adresser allerede i faresonen for en angriper med t\u00e5lmodighet. Finans Norge l\u00f8fter HNDL fram<\/a> som et sentralt risikoelement i sitt veikart for en kvantesikker finansn\u00e6ring, nettopp fordi det er dagens beslutninger som avgj\u00f8r hvor mye som er eksponert n\u00e5r maskinen endelig kommer.<\/p>

For den enkelte eieren oversettes dette til en ubehagelig konklusjon: de tryggeste coinsene dine er de som ligger p\u00e5 en adresse du aldri har sendt fra, der bare hashen er synlig. I samme \u00f8yeblikk du bruker adressen, i den transaksjonen der du flytter midlene, blottlegges n\u00f8kkelen. Vi kommer tilbake til hva det betyr i praksis lenger ned.<\/p>

secp256k1 under press: fra 2 124 til 835 qubits<\/h2>

Hvor n\u00e6r er vi egentlig? Et nyttig m\u00e5l er hvor mange logiske qubits en angriper trenger for \u00e5 kj\u00f8re Shor mot secp256k1. Logiske qubits er feilkorrigerte, stabile qubits, ikke de st\u00f8yete fysiske som dagens maskiner teller i tusenvis, og \u00e9n logisk qubit kan kreve tusenvis av fysiske. Nettopp dette tallet har falt jevnt de siste \u00e5rene, og det er her forskningen blir ubehagelig konkret.<\/p>

Et referansearbeid fra H\u00e4ner og kolleger i 2020 anslo rundt 2 124 logiske qubits. Googles kvanteteam presenterte i \u00e5r to driftspunkter, ett p\u00e5 1 425 og ett p\u00e5 1 175 qubits, og festet \u00abni minutter\u00bb-anslaget til dem. P\u00e5 EUROCRYPT 2026 la Chevignard, Fouque og Schrottenloher fram et estimat rundt 1 193 qubits. Og i september 2026 publiserte et kinesisk forskerteam et opplegg som krever bare 835 logiske qubits<\/a>, det laveste tallet som er registrert for et 256-bits elliptisk-kurve-angrep.<\/p>

Arbeid<\/th>\u00c5r<\/th>Logiske qubits<\/th>Toffoli-porter<\/th>Merknad<\/th><\/tr><\/thead>
H\u00e4ner et al.<\/td>2020<\/td>~2 124<\/td>–<\/td>Referansegrunnlag<\/td><\/tr>
Google Quantum AI (lav port)<\/td>2026<\/td>1 425<\/td>~2,1 mill.<\/td>\u00abNi minutter\u00bb-anslaget<\/td><\/tr>
Google Quantum AI (lav qubit)<\/td>2026<\/td>1 175<\/td>~2,7 mill.<\/td>Andre driftspunkt<\/td><\/tr>
Chevignard, Fouque, Schrottenloher<\/td>2026<\/td>~1 193<\/td>–<\/td>EUROCRYPT 2026<\/td><\/tr>
Kinesisk forskerteam (arXiv)<\/td>2026<\/td>835<\/td>–<\/td>Laveste registrerte<\/td><\/tr><\/tbody><\/table><\/figure>

Tallene skal leses med forsiktighet: arbeidene bruker ulike regnemetoder, og en direkte sammenligning av qubit-tall mellom to papirer b\u00e6rer forbehold. 835 er omtrent 71 prosent av Googles 1 175, men ikke n\u00f8dvendigvis \u00abbedre\u00bb p\u00e5 alle akser. Likevel er retningen entydig. Hver gang et nytt arbeid senker lista, flyttes Q-dagen n\u00e6rmere, ikke fordi maskinvaren ble bedre, men fordi angrepet ble billigere \u00e5 regne ut.<\/p>

Vi er fortsatt et godt stykke unna dagens maskiner; hundrevis av stabile logiske qubits er en formidabel ingeni\u00f8rbragd ingen offentlig kjent akt\u00f8r er i n\u00e6rheten av. Men poenget er samspillet mellom to kurver. Algoritmeforbedringer senker kravet nedenfra, mens maskinvaren klatrer oppover. Den dagen de to m\u00f8tes, er Q-dagen her, og da er det for sent \u00e5 begynne \u00e5 flytte coins.<\/p>

trailmix: Trail of Bits bygger angrepet for \u00e5 m\u00e5le det<\/h2>

Hvis tallene over virker abstrakte, er det fordi de er nettopp det: anslag over hvor mange qubits et hypotetisk angrep ville krevd. Trail of Bits’ svar p\u00e5 abstraksjonen heter trailmix<\/a>, et \u00e5pent rammeverk som faktisk bygger kretsene angrepet best\u00e5r av, simulerer dem, verifiserer dem og m\u00e5ler dem mot et felles grunnlag.<\/p>

Det sentrale leddet i Shors angrep p\u00e5 det elliptiske kurveproblemet er elliptisk-kurve-punktaddisjon, en operasjon som gjentas mange tusen ganger som en reversibel kvantekrets. trailmix syntetiserer nettopp disse kretsene og scorer dem mot Googles to driftspunkter for secp256k1, alts\u00e5 1 175 qubits med 2,7 millioner Toffoli-porter og 1 425 qubits med 2,1 millioner Toffoli. Toffoli-porten er den dyre, kvantetunge operasjonen, s\u00e5 antallet Toffoli er et grovm\u00e5l p\u00e5 hvor krevende angrepet er \u00e5 kj\u00f8re i praksis.<\/p>

Hvorfor skulle et sikkerhetsselskap bygge angrepsverkt\u00f8yet og gi det bort gratis? Fordi forsvar krever m\u00e5ling. S\u00e5 lenge \u00abhvor n\u00e6r er Q-dagen\u00bb er et sp\u00f8rsm\u00e5l om PR-vennlige pressemeldinger fra maskinvareleverand\u00f8rer, kan ingen planlegge rasjonelt. Et \u00e5pent, etterpr\u00f8vbart rammeverk gj\u00f8r anslagene til noe du kan kj\u00f8re selv i stedet for \u00e5 ta p\u00e5 tro. Det er den samme Guido-logikken fra tidligere: bygg verkt\u00f8yet, m\u00e5l presist, del resultatet.<\/p>

Det er ogs\u00e5 her historien tar en vri som gj\u00f8r trailmix til mer enn en akademisk \u00f8velse. For da Google la fram sitt eget bevis p\u00e5 at angrepet var gjennomf\u00f8rbart, et kryptografisk bevis ment \u00e5 overbevise skeptikerne, fant Trail of Bits at beviset ikke t\u00e5lte et n\u00e6rmere blikk.<\/p>

Da Trail of Bits \u00abslo\u00bb Googles kvantebevis<\/h2>

Google Quantum AI gjorde noe uvanlig for \u00e5 underbygge \u00abni minutter\u00bb-p\u00e5standen. I stedet for bare \u00e5 publisere tallene la teamet fram et null-kunnskapsbevis, en zero-knowledge proof generert via Succinct Labs’ SP1 zkVM, som skulle bevise at den beskrevne kvantekretsen faktisk utf\u00f8rte elliptisk-kurve-punktaddisjon korrekt over 9 024 tilfeldig valgte inndata. Tanken er elegant: i stedet for \u00e5 be verden stole p\u00e5 Google, lar du matematikken selv bevise p\u00e5standen.<\/p>

To uker senere publiserte Trail of Bits sitt eget bevis som slo Googles tall<\/a>, ikke takket v\u00e6re et kvantegjennombrudd, men ved \u00e5 utnytte flere subtile feil i Googles egen bevis-programvare, som var skrevet i Rust. Kretsformatet Google brukte, kalt kickmix, ble serialisert til byte og lest inn igjen av en simulator, og det var i den innlesningen hullene l\u00e5.<\/p>

Den f\u00f8rste feilen var en forbikobling av selve Toffoli-telleren. Googles kode brukte usikre Rust-blokker for \u00e5 kutte regnekostnaden i zkVM-en, og skrudde dermed av minnesikkerheten. Ved \u00e5 mate inn ugyldige enum-verdier utenfor det forventede omr\u00e5det, fra 0 til 17, gjennom usikker deserialisering klarte Trail of Bits \u00e5 hoppe forbi tellingen av Toffoli-porter mens operasjonen likevel ble utf\u00f8rt. Den andre feilen var s\u00e5kalt register-aliasing: koden sjekket ikke at inn- og ut-qubitene var forskjellige, noe som lot forskerne bygge vanlige, klassiske logiske porter forkledd som kvanteoperasjoner.<\/p>

Resultatet var et forfalsket bevis som p\u00e5 papiret rapporterte rundt 1 164 qubits, om lag 8,3 millioner operasjoner og null Toffoli-porter, der det i virkeligheten ble utf\u00f8rt millioner. Som Trail of Bits t\u00f8rt beskrev \u00f8velsen: \u00abit’s basically Nand2Tetris, except the goal is elliptic curve point addition.\u00bb Poenget er ikke at Googles kvanteanslag n\u00f8dvendigvis er feil; det kan godt stemme. Poenget er at selve beviset, det som skulle fjerne behovet for tillit, kunne forfalskes fordi programvaren rundt det hadde minnefeil.<\/p>

Her lukker sirkelen seg rundt Guidos gamle kritikk av spr\u00e5kdesign. \u00abThey have reinvented every security issue that we eliminated from modern languages like Rust and Go and Swift,\u00bb har han sagt om EVM og Solidity. Ironien er at feilen denne gangen l\u00e5 i usikre Rust-blokker, alts\u00e5 nettopp der et trygt spr\u00e5k lar deg skru av sikkerhetsnettet for ytelsens skyld. L\u00e6rdommen for krypto er brutalt enkel: et bevis er bare s\u00e5 sterkt som koden som produserer det, og noen m\u00e5 revidere verkt\u00f8yet, ikke bare konklusjonen.<\/p>

Hvor mye bitcoin ligger eksponert?<\/h2>

Hvor stor er egentlig angrepsflaten p\u00e5 Bitcoin i dag? Den mest siterte analysen kommer fra Deloitte, som fant at rundt en fjerdedel av alle bitcoin i oml\u00f8p<\/a> ligger p\u00e5 adresser med allerede synlig offentlig n\u00f8kkel. Det fordeler seg grovt p\u00e5 to kategorier: omtrent 2 millioner BTC i de opprinnelige pay-to-public-key-adressene fra Bitcoins tidligste dager, og rundt 2,5 millioner BTC i gjenbrukte pay-to-public-key-hash-adresser, til sammen over 4 millioner BTC.<\/p>

Til dagens kurs p\u00e5 rundt kr740 000 per bitcoin tilsvarer det over 2 900 milliarder kroner, eksponert ikke fordi eierne gjorde noe dumt i g\u00e5r, men fordi n\u00f8kkelen deres har ligget i \u00e5pent lys i \u00e5revis. Den kinesiske 835-qubit-studien gjentar samme observasjon fra en annen vinkel: en betydelig del av BTC-tilbudet sitter i lommeb\u00f8ker med allerede avsl\u00f8rte offentlige n\u00f8kler, og det er disse coinsene en kvantemotstander ville g\u00e5tt etter f\u00f8rst.<\/p>

Den mest symboltunge delen av denne haugen er Satoshi Nakamotos egne coins, ansl\u00e5tt til rundt en million BTC, n\u00e6r sagt alle p\u00e5 gammeldagse pay-to-public-key-adresser. De har aldri v\u00e6rt flyttet, og vil etter alt \u00e5 d\u00f8mme aldri bli det av sin rettmessige eier. En kvantemotstander som knekker dem, ville ikke bare stj\u00e5let en formue, men rystet tilliten til hele Bitcoin p\u00e5 en m\u00e5te ingen enkeltst\u00e5ende hack har klart.<\/p>

Det gj\u00f8r eksponerte coins til et kollektivt problem, ikke bare et individuelt. Selv om du flytter alt ditt eget til ferske adresser, forblir millioner av tapte eller ur\u00f8rlige coins eksponert, og et vellykket kvantetyveri av dem ville rammet prisen p\u00e5 alt du eier. Det er bakteppet for den betente debatten om hva Bitcoin egentlig skal gj\u00f8re med disse coinsene, en debatt vi kommer tilbake til.<\/p>

Forsvaret finnes allerede: ML-KEM og ML-DSA<\/h2>

Den gode nyheten er at forsvaret ikke m\u00e5 finnes opp; det er allerede standardisert. I august 2024 ferdigstilte amerikanske NIST tre post-kvantestandarder etter en \u00e5tte \u00e5r lang evalueringsprosess: FIPS 203, 204 og 205<\/a>. FIPS 203 (ML-KEM, basert p\u00e5 CRYSTALS-Kyber) h\u00e5ndterer n\u00f8kkelutveksling; FIPS 204 (ML-DSA, basert p\u00e5 CRYSTALS-Dilithium) er den prim\u00e6re signaturstandarden; FIPS 205 (SLH-DSA, hashbasert) st\u00e5r i reserve for tilfeller der man vil ha en helt uavhengig sikkerhetsantakelse.<\/p>

Her er Trail of Bits igjen p\u00e5 forsvarssiden. I juni 2026 la selskapet ML-KEM og ML-DSA inn i pyca\/cryptography<\/a>, det desidert mest brukte kryptografibiblioteket i Python-\u00f8kosystemet, med rundt 1,2 milliarder nedlastinger i m\u00e5neden og en ellevteplass p\u00e5 PyPI. Pakken ligger under alt fra Ansible og Certbot til Apache Airflow. Arbeidet ble finansiert av tyske Sovereign Tech Agency, og som Trail of Bits formulerte det: \u00abPost-quantum support is now one pip-install away for the entire Python ecosystem.\u00bb<\/p>

Overgangen er likevel ikke gratis. Post-kvanten\u00f8kler og -signaturer er langt st\u00f8rre enn dagens. En offentlig ML-DSA-65-n\u00f8kkel er 1 952 byte mot Ed25519s 32, og en ML-KEM-768-n\u00f8kkel er 1 184 byte mot X25519s 32. For en blokkjede der hver byte koster plass og gebyr, er det en reell kostnad, og en vesentlig del av grunnen til at migreringen er tyngre for Bitcoin og Ethereum enn for en nettleser.<\/p>

Primitiv i dag<\/th>Rolle<\/th>Kvantetrussel<\/th>Kvantesikker erstatning<\/th><\/tr><\/thead>
Ed25519 (32 B)<\/td>Digital signatur<\/td>Shor, brytes<\/td>ML-DSA \/ FIPS 204 (1 952 B)<\/td><\/tr>
X25519 (32 B)<\/td>N\u00f8kkelutveksling<\/td>Shor, brytes<\/td>ML-KEM \/ FIPS 203 (1 184 B)<\/td><\/tr>
ECDSA p\u00e5 secp256k1<\/td>Bitcoin- og Ethereum-signatur<\/td>Shor, brytes<\/td>ML-DSA eller hashbasert signatur<\/td><\/tr>
SHA-256<\/td>Hashing og utvinning<\/td>Grover, kun kvadratisk<\/td>Doble utdatalengden<\/td><\/tr><\/tbody><\/table><\/figure>

Trail of Bits’ kryptografimilj\u00f8 understreker samtidig at erstatning alene ikke er nok; du m\u00e5 bygge inn det de kaller kryptografisk smidighet, alts\u00e5 evnen til \u00e5 bytte algoritme uten \u00e5 rive opp hele systemet. Det er ikke et produkt du kj\u00f8per, men en egenskap du designer inn p\u00e5 forh\u00e5nd, og det er n\u00f8yaktig den egenskapen Finans Norge l\u00f8fter fram som ett av tre b\u00e6rende prinsipper i det norske veikartet.<\/p>

QRL og revisjonen av et kvantesikkert hjerte<\/h2>

Hvordan ser en blokkjede ut som er bygget for Q-dagen fra starten? Et av de reneste eksemplene er QRL, Quantum Resistant Ledger, som har brukt hashbaserte signaturer (XMSS) siden lanseringen i 2018 i stedet for ECDSA. Hashbaserte signaturer lener seg p\u00e5 de samme antakelsene som Grover-gjerdet, og regnes som blant de best forst\u00e5tte kvantesikre byggeklossene vi har.<\/p>

I august 2026 publiserte QRL en sikkerhetsvurdering fra Trail of Bits<\/a> av go-qrllib, det kryptografiske biblioteket som utgj\u00f8r hjertet i QRL 2.0. Gjennomgangen avdekket 15 funn (ett alvorlig, fire lave og ti informasjonsfunn), og samtlige ble l\u00f8st etter at QRL rettet dem og Trail of Bits verifiserte rettelsene 22. juni 2026. QRL bruker n\u00e5 b\u00e5de XMSS og den NIST-standardiserte ML-DSA, og innf\u00f8rte s\u00e5kalt hedged ML-DSA-signering som standard som del av opprettingen.<\/p>

Filipe Casal, Principal Security Engineer i Trail of Bits, oppsummerte oppdraget slik: \u00abgo-qrllib is a well-organized, modular codebase with cryptographic primitives that closely follow their specifications. The QRL team was responsive throughout the engagement and resolved every finding we reported.\u00bb Det er en uvanlig ren attest i en bransje der de fleste revisjonsrapporter ender med en liste over funn som fortsatt st\u00e5r \u00e5pne.<\/p>

QRL er en liten kjede, og poenget her er ikke \u00e5 anbefale en investering. Poenget er pedagogisk: en kjede som ble designet kvantesikker fra dag \u00e9n, lar seg revidere mot en klar spesifikasjon, mens Bitcoin og Ethereum m\u00e5 bygge om motoren mens bilen kj\u00f8rer i hundre. Forskjellen i vanskelighetsgrad er enorm, og den forklarer mye av hvorfor de store kjedene beveger seg forsiktig.<\/p>

Ethereum planlegger for Q-dagen<\/h2>

Ethereum har tatt kvantetrusselen mer alvorlig, og tidligere, enn Bitcoin. If\u00f8lge The Block<\/a> har Vitalik Buterin l\u00f8ftet kvantesikkerhet kraftig opp i prioritet p\u00e5 Ethereums veikart og rammet det inn i en skisse kalt Strawmap, et l\u00f8st anslag p\u00e5 rundt syv hard forks mellom 2026 og 2030. De tre b\u00e6rende s\u00f8ylene er kvantemotstand, statsl\u00f8shet (via Verkle-tr\u00e6r) og forenkling av protokollen.<\/p>

I sentrum st\u00e5r Hegota-oppgraderingen, siktet mot andre halvdel av 2026, som Buterin har antydet blir den siste f\u00f8r Ethereum g\u00e5r inn i en Lean-fase: en str\u00f8mlinjeformet epoke rettet mot enkelhet og motstandskraft mot trusler som enn\u00e5 ikke finnes fullt ut, men som n\u00e6rmer seg ubehagelig raskt. Buterin har selv ansl\u00e5tt rundt 20 prosent sannsynlighet for et betydelig kvantegjennombrudd f\u00f8r 2030, mens de fleste Q-dag-anslag lander et sted utover p\u00e5 2030-tallet.<\/p>

N\u00f8kkelen til at Ethereum i det hele tatt kan bytte signaturordning uten en katastrofal splittelse, er account abstraction. N\u00e5r en konto er en smartkontrakt framfor en r\u00e5 n\u00f8kkel, kan den bytte ut hvilken signaturalgoritme den godtar, fra ECDSA til en kvantesikker ordning, uten \u00e5 m\u00e5tte endre protokollen under. Det er en av grunnene til at adopsjonstallene for account abstraction<\/a> er mer enn en teknisk kuriositet; de er en stille forutsetning for en ryddig kvantemigrering.<\/p>

Bitcoin har ikke det samme smidige laget bygget inn, og det f\u00f8rer oss til den vanskeligste delen av hele historien: hva skal egentlig skje med de millionene av coins som allerede ligger eksponert?<\/p>

Bitcoins vanskeligere valg<\/h2>

Bitcoin kan i prinsippet legge til en kvantesikker signaturtype, for eksempel gjennom en soft fork som innf\u00f8rer en ny adressetype basert p\u00e5 ML-DSA eller en hashbasert ordning. Problemet er ikke \u00e5 lage den nye adressen; det er \u00e5 f\u00e5 alle til \u00e5 flytte over, og \u00e5 avgj\u00f8re hva som skal skje med alle coinsene som aldri flyttes.<\/p>

Her deler milj\u00f8et seg. Den ene leiren vil sette en frist: etter et gitt blokknummer kan coins p\u00e5 gammeldagse, eksponerte adresser ikke lenger brukes, slik at en kvantetyv ikke rekker \u00e5 t\u00f8mme dem. Kritikerne kaller dette \u00e5 konfiskere, eller \u00abbrenne\u00bb, eiendom, inkludert Satoshis coins og alt som tilh\u00f8rer d\u00f8de eller glemsomme eiere. Den andre leiren vil la coinsene ligge og satse p\u00e5 frivillig migrering i tide, med den \u00e5penbare risikoen at en kvantemotstander kommer f\u00f8rst.<\/p>

Dette er i bunn og grunn den samme typen sp\u00f8rsm\u00e5l som dukker opp hver gang et kryptosystem m\u00e5 gripe inn i noe som allerede har skjedd. Debatten om en kvantefrist har tydelige ekko av diskusjonen om n\u00f8dbrytere og hvem som egentlig f\u00e5r pengene tilbake<\/a> etter et angrep: hvem har myndighet til \u00e5 fryse eller omgj\u00f8re, og hva gj\u00f8r det med l\u00f8ftet om at ingen kan r\u00f8re coinsene dine? For Bitcoin, hvis hele identitet hviler p\u00e5 at reglene ikke endres etter forgodtbefinnende, er selv en velbegrunnet kvantefrist en eksistensiell knute.<\/p>

Det finnes ingen smertefri utvei. Gj\u00f8r Bitcoin ingenting, risikerer nettverket et kvantetyveri som undergraver tilliten til alt. Griper det inn, bryter det med sitt eget grunnprinsipp om uforanderlighet. Trail of Bits og andre kan levere de kryptografiske byggeklossene, men valget mellom de to vondene er politisk, ikke teknisk, og nettopp derfor haster det \u00e5 ta debatten n\u00e5, mens det fortsatt er tid.<\/p>

Norge: NSM, Finans Norge og Finanstilsynet<\/h2>

For norske lesere er det lett \u00e5 oppleve kvantetrusselen som et amerikansk eller et Big Tech-anliggende. Det er den ikke. Nasjonal sikkerhetsmyndighet (NSM) har en egen veileder om kvantemigrasjon, og budskapet er utvetydig: n\u00e5r kryptoanalytisk relevante kvantedatamaskiner blir tilgjengelige, blir mye av dagens kryptering ubrukelig, og NSM anbefaler norske virksomheter \u00e5 risikovurdere egne systemer allerede n\u00e5<\/a>. Migreringen tar tid og er kostbar, p\u00e5peker myndigheten, og nye kvantesikre standarder er p\u00e5 vei internasjonalt.<\/p>

P\u00e5 finanssiden lanserte Finans Norge i mars 2026 et veikart for en kvantesikker finansn\u00e6ring. Det anbefaler at akt\u00f8rene i det norske finanssystemet har innf\u00f8rt kvantesikker kryptografi innen 2035, i tr\u00e5d med signaler fra EU og G7 om at de mest kritiske systemene b\u00f8r v\u00e6re migrert innen 2030 og resten innen 2035. Veikartet hviler p\u00e5 tre prinsipper: tidlig og risikobasert handling, kryptografisk smidighet som en varig organisatorisk evne, og tett samarbeid p\u00e5 tvers av virksomheter.<\/p>

Her er det et viktig forbehold for kryptoeiere spesielt. Finanstilsynet f\u00f8rer tilsyn med kryptoakt\u00f8rer (CASP-er) under MiCA, som gjelder i Norge gjennom E\u00d8S-avtalen, og DORA stiller krav til digital operasjonell motstandskraft. Men verken MiCA eller DORA p\u00e5legger noen \u00e5 bruke en kvantesikker signatur p\u00e5 en blokkjede, og fullt desentraliserte protokoller faller i stor grad utenfor MiCA uansett. Et foretak kan alts\u00e5 v\u00e6re regelrett \u00abcompliant\u00bb og samtidig sitte p\u00e5 kvantes\u00e5rbar infrastruktur. Reguleringen f\u00f8lger etter trusselen, den g\u00e5r ikke foran den.<\/p>

Internasjonalt peker pilene i samme retning. EU og G7 har signalisert at de mest kritiske systemene b\u00f8r v\u00e6re migrert innen 2030 og resten innen 2035, og flere lands myndigheter har satt egne, til dels strammere frister for offentlige systemer. Tidslinjene fra de ulike akt\u00f8rene gir et nyttig bilde av hvor tidsvinduet faktisk ligger:<\/p>

Akt\u00f8r<\/th>Milep\u00e6l<\/th>Frist eller anslag<\/th><\/tr><\/thead>
NIST (USA)<\/td>FIPS 203\/204\/205 ferdigstilt<\/td>August 2024<\/td><\/tr>
EU og G7 (signaler)<\/td>Kritiske systemer migrert \/ \u00f8vrige systemer migrert<\/td>2030 \/ 2035<\/td><\/tr>
Finans Norge<\/td>Kvantesikker kryptografi i finansn\u00e6ringen<\/td>Innen 2035<\/td><\/tr>
Ethereum<\/td>Hegota-forken, deretter Lean-fasen<\/td>Andre halvdel 2026<\/td><\/tr>
Vitalik Buterin<\/td>Sannsynlighet for kvantegjennombrudd f\u00f8r 2030<\/td>Rundt 20 %<\/td><\/tr><\/tbody><\/table><\/figure>

Leser du tabellen samlet, ser du at ingen seri\u00f8s akt\u00f8r planlegger for at Q-dagen er fjern og uviktig. De planlegger for at den kan komme i l\u00f8pet av det neste ti\u00e5ret, og at migreringen m\u00e5 v\u00e6re ferdig f\u00f8r den gj\u00f8r det. For en norsk kryptoeier er det et signal verdt \u00e5 ta p\u00e5 alvor, uavhengig av hva Finanstilsynet rekker \u00e5 kreve.<\/p>

Hva betyr dette for deg som eier eller bygger?<\/h2>

For deg som eier krypto er det fortsatt ingen grunn til panikk, men god grunn til \u00e5 rydde. Det viktigste enkelttiltaket er \u00e5 unng\u00e5 gjenbruk av adresser: bruk en adresse \u00e9n gang, og la ferske midler ligge p\u00e5 adresser som aldri har sendt, der bare hashen er eksponert. Moderne lommeb\u00f8ker gj\u00f8r dette automatisk, men mange brukere gj\u00f8r det fortsatt ikke. Jo mindre av saldoen din som ligger p\u00e5 en gjenbrukt eller gammeldags adresse, desto mindre h\u00f8ster en kvantemotstander av deg i mellomtiden.<\/p>

Det andre er \u00e5 f\u00f8lge med p\u00e5 hvordan lommeboken din h\u00e5ndterer n\u00f8kler og signering. N\u00e5r migreringen kommer, blir den bare s\u00e5 smertefri som verkt\u00f8yene dine tillater, og en lommebok uten en plan for kryptografisk smidighet er en lommebok som vil kreve manuell flytting under tidspress. Det er den samme UX-utfordringen HOGE Wire har skrevet om i forbindelse med fullmakter og hvem som egentlig signerer p\u00e5 dine vegne<\/a>: i det \u00f8yeblikket signering blir komplisert, gj\u00f8r folk feil, og feil med n\u00f8kler er dyre.<\/p>

For deg som bygger er l\u00e6rdommene fra Trail of Bits konkrete. Bygg kryptografisk smidighet inn fra start, slik at en algoritme kan byttes uten en hard fork. Revider verkt\u00f8yet og hele beviskjeden, ikke bare konklusjonen; kickmix-historien viser at selv et kryptografisk bevis kan forfalskes gjennom en minnefeil i koden rundt. Og behandle post-kvantemigrering som et prosjekt med en tidslinje, ikke som noe du tar fatt p\u00e5 \u00abn\u00e5r Q-dagen n\u00e6rmer seg\u00bb, for da er det per definisjon for sent.<\/p>

Trail of Bits oppsummerer hele dilemmaet bedre enn de fleste, nettopp fordi selskapet sitter p\u00e5 begge sider samtidig. Det bygger angrepet (trailmix), river ned de d\u00e5rlige bevisene (Googles ZK-proof), reviderer de kvantesikre kjedene (QRL) og skriver forsvaret (ML-KEM og ML-DSA i Python). Fellesnevneren er at ingen av delene handler om \u00e5 vente. Q-dagen er ikke en dato i kalenderen; den er et kappl\u00f8p mellom hvor raskt angrepet blir billigere og hvor raskt forsvaret blir utbredt. Akkurat n\u00e5 ligger n\u00f8kkelen til altfor mange formuer fortsatt i \u00e5pent lys, og det eneste som holder dem trygge, er at den rette maskinen enn\u00e5 ikke er sl\u00e5tt p\u00e5.<\/p>

Ofte stilte sp\u00f8rsm\u00e5l<\/h2>

Kan kvantedatamaskiner knekke Bitcoin i dag?<\/h3>

Nei. Ingen offentlig kjent kvantemaskin har i n\u00e6rheten av nok stabile, feilkorrigerte qubits til \u00e5 kj\u00f8re Shors algoritme mot secp256k1. Men kravet faller jevnt, nyere forskning er nede i 835 logiske qubits, og fordi eksponerte offentlige n\u00f8kler ligger permanent p\u00e5 blokkjeden, er coins p\u00e5 gjenbrukte adresser allerede utsatt for en strategi der krypterte data h\u00f8stes i dag og dekrypteres n\u00e5r maskinen finnes.<\/p>

Hva er Q-dagen?<\/h3>

Q-dagen er det hypotetiske tidspunktet da en kryptografisk relevant kvantedatamaskin kan bryte dagens offentlig-n\u00f8kkel-kryptografi, inkludert ECDSA p\u00e5 secp256k1. De fleste anslag plasserer den et sted utover p\u00e5 2030-tallet, mens Vitalik Buterin har ansl\u00e5tt rundt 20 prosent sannsynlighet for et betydelig gjennombrudd allerede f\u00f8r 2030.<\/p>

Hva er secp256k1, og hvorfor er den s\u00e5rbar?<\/h3>

secp256k1 er den elliptiske kurven som signaturene i b\u00e5de Bitcoin og Ethereum bygger p\u00e5. Den er s\u00e5rbar fordi Shors algoritme kan utlede den private n\u00f8kkelen fra den offentlige. Faren oppst\u00e5r f\u00f8rst n\u00e5r den offentlige n\u00f8kkelen er synlig, alts\u00e5 p\u00e5 adresser som har sendt minst \u00e9n gang, eller p\u00e5 gamle pay-to-public-key-adresser.<\/p>

Hva gj\u00f8r Trail of Bits med kvantetrusselen?<\/h3>

Trail of Bits jobber p\u00e5 alle sider av problemet. Selskapet bygger og m\u00e5ler angrepskretsene med det \u00e5pne rammeverket trailmix, fant minnefeil i Googles kvantebevis og forfalsket det, reviderte den kvantesikre kjeden QRL, og la de NIST-standardiserte algoritmene ML-KEM og ML-DSA inn i Pythons mest brukte kryptografibibliotek.<\/p>

Hva b\u00f8r norske kryptoeiere og virksomheter gj\u00f8re n\u00e5?<\/h3>

F\u00f8lg r\u00e5dene fra NSM og Finans Norge: kartlegg hvor du bruker s\u00e5rbar kryptografi, bygg kryptografisk smidighet, og legg en migreringsplan n\u00e5 framfor senere. For eiere betyr det \u00e5 unng\u00e5 gjenbruk av adresser og \u00e5 velge lommeb\u00f8ker og kjeder med en tydelig plan for post-kvante-overgang. Finans Norge anbefaler at hele finansn\u00e6ringen er kvantesikker innen 2035.<\/p>