Die Branche fragt immer wieder, wann ein Quantencomputer stark genug sein wird, um Bitcoin anzugreifen. Elliptische-Kurven-Kryptografie ist schon seit mehr als dreißig Jahren bekannt dafür, gegen Quanten-Technologie anfällig zu sein, doch es gibt bisher keinen Mechanismus, der alle zwingt, von dieser Technologie abzuweichen.
Fortune bezifferte das Risiko auf zwei Billionen USD in digitalen Vermögenswerten, die durch elliptische-Kurven-Kryptografie abgesichert sind, bei einem gesamten Krypto-Marktwert von 2,8 Billionen USD. Fast die gesamte Branche baut auf Kryptografie, die laut Industrie bereits ausgedient hat.
Entwickler können neue Signaturarten einführen, jedoch hängt das Verschieben der Vermögenswerte davon ab, dass Verwahrer für Kunden handeln und selbstverwahrende Halter selbst aktiv werden.
Die Teilnahme bleibt optional und Verzögerungen sind rational, bis sich das Risiko plötzlich ändert.
Die Kosten des ersten Schritts
NIST hat bereits ersatzweise Signatursysteme standardisiert, daher sind postquantenfeste Lösungen heute verfügbar. Das Ersetzen von ECDSA durch ML-DSA erfordert eine Überarbeitung, da die neuen Signaturen und öffentlichen Schlüssel deutlich größer sind.
Verwahrer sind zudem von etwas abhängig, das sie selbst nicht kontrollieren: Eine Wallet kann nicht eigenständig auf postquantenfeste Signaturen umstellen. Das zugrunde liegende Netzwerk muss erst den neuen Signaturtyp unterstützen, bevor ein Verwahrer überhaupt Vermögenswerte dorthin verschieben kann.
Signaturen sind nur ein Aspekt der Kryptografie in diesen Systemen. Peer-to-Peer-Kommunikation, Konsensmechanismen, Zero-Knowledge-Proof-Systeme, Bridges und Verwahr-Infrastruktur basieren jeweils auf eigenen Annahmen. Das Absichern der Transaktionssignaturen allein hilft für die anderen Bereiche nicht weiter.
Der Anreiz zu warten stellt das größere Hindernis dar. Wer früh migriert, muss Kosten für die Neugestaltung, geänderte Verwahrung, Hardware-Anpassungen und neue Abläufe auf sich nehmen, obwohl die Bedrohung noch entfernt erscheint.
Wer später umstellt, kann von den Erfahrungen anderer profitieren und ausgereiftere Werkzeuge einsetzen. Eine Verzögerung scheint daher für jeden einzelnen Teilnehmer rational, vergrößert aber die gemeinsame Gefährdung der Branche.
Einige Vermögenswerte werden womöglich nie übertragen. Coinbase hat das ungelöste Problem verwaister oder nicht migrierter Coins hervorgehoben. Inaktive Halter reagieren langsam auf freiwillige Updates, und aufgegebene oder verlorene Konten werden nie aktualisieren.
Freiwillige Abstimmung braucht Wirkung
Coinbase ist ein sinnvoller Ausgangspunkt, da die Unterscheidung zwischen dem Kern von Bitcoin und Wallet-bezogener Gefährdung technisch richtig ist. Das Bitcoin-Hashing, Mining und der historische Ledger unterscheiden sich von der Signatur-Ebene, die durch einen Quantencomputer bedroht wird.
Die unmittelbare Gefährdung als Wallet-Ebene zu beschreiben verhindert, dass ein tatsächliches kryptografisches Risiko so verstanden wird, als ob Bitcoin insgesamt auf einmal scheitert.
„Wallet-Ebene” zeigt, an welcher Stelle die Kryptografie angreifbar ist, jedoch können die wirtschaftlichen Schäden weit über diese Grenze hinausgehen.
In einer einzelnen Wallet können sich Milliarden USD befinden, ein Administrationsschlüssel kann die Kontrolle über einen wichtigen Stablecoin geben. Genügend Vermögen oder Kontrolle hinter einer angreifbaren Signatur kann eine Krise über Märkte, Geschäftspartner und Protokolle auslösen, die selbst nie direkt angegriffen wurden.
Durch Verwahrung verschwimmt die Grenze zwischen lokalem technischem Fehler und gravierendem Finanzereignis. Cold Storage schützt einen privaten Schlüssel zwar vor Diebstahl oder Geräteverlust, nicht aber, wenn ein Angreifer aus dem öffentlichen Schlüssel den privaten ableitet.
Multisig schützt weiterhin vor operationellen Fehlern, aber fünf Schlösser helfen nicht, wenn sie alle den gleichen Schwachpunkt bei der Signatur haben.
Das Umstellen auf neue mathematische Grundlagen verursacht merkliche Kosten. Eine reine ECDSA-Signatur ist 64 Byte groß. Eine ML-DSA-65-Signatur hat 3.309 Byte — das ist zweiundfünfzigmal größer — und bei ML-DSA-87 sind es 4.627 Byte. Auch die öffentlichen Schlüssel werden größer.
Diese Größen wirken sich auf Bandbreite und Speicher, auf Gebühren, auf die bisherigen Annahmen zum Transaktionsdurchsatz sowie auf Hardware-Wallets und Verwahrsysteme aus, die auf den alten Größen beruhen.
Gerade dieser Anreiz abzuwarten zeigt, warum eine freiwillige Migration irgendwann Konsequenzen braucht. Protokolle können alte Signaturtypen abwerten, Börsen und Verwahrer können unsichere Adressen oder Schlüsseltypen nicht mehr unterstützen.
Versicherungen können klassische Risiken anders bepreisen, institutionelle Partner oder Aufseher können eigene Auflagen machen. Irgendwann muss es teurer werden, bei der alten Kryptografie zu bleiben als umzustellen.
Der erste Schreckmoment setzt alles in Gang
Der Druck wird in der digitalen Asset-Branche nicht gleichmäßig entstehen. Große Verwahrer und Börsen werden zuerst umstellen, da sie als Ziel besonders sichtbar und wertvoll sind. Einige Verwahr-Infrastrukturen passen sich bereits an.
Postquanten-Signaturunterstützung ist bereits nativ in mindestens einer Hardware-Wallet-Linie integriert, allerdings bestimmt die Netzwerkintegration, wo dieser Schutz auch genutzt werden kann. Kleinere Anbieter und Einzelhalter werden langsamer wechseln.
Ein unbegrenztes Migrationsfenster lässt gefährdete Wallets dauerhaft zurück — vergleichbar mit nicht beanspruchtem Eigentum in der Kryptowährung. Eine klare Abgrenzung verlangt eine politische Entscheidung dazu, ob Vermögenswerte, deren Eigentümer nicht oder nicht rechtzeitig migrierten, eingefroren, verbrannt oder anders eingeschränkt werden. Jede Option hat ihren Governance-Preis.
Googles Migrationsziel 2029 ist ein Plan für Googles eigene Systeme. Es gibt nicht vor, wann der sogenannte Q-Day eintritt.
Die Krypto-Branche kann das Jahr 2029 nicht als Erlaubnis zum Abwarten verstehen, denn Migrationen von Protokollen, Wallets, Verwahrern, Börsen und Haltern dauern Jahre.
Ein erstes glaubwürdiges Risiko wird diese Migration erzwingen. Nur wenn jetzt ein Datum festgelegt wird, kann die Branche die Bedingungen mitbestimmen.
Es ist nötig, dass vor diesem Moment eine feste Frist gilt, egal ob durch Protokollregeln, regulierte Verwahrvorgaben oder Marktanforderungen. Andernfalls legen entweder eine Aufsichtsbehörde oder die Initiatoren eines erfolgreichen Angriffs das Datum fest.
