BIP 361 (migración poscuántica)

El BIP 361, "Post Quantum Migration and Legacy Signature Sunset" (migración poscuántica y retiro de las firmas legacy), es una propuesta en borrador de Jameson Lopp, Christian Papathanasiou, Ian Smith, Joe Ross, Steve Vaile y Pierre-Luc Dallaire-Demers; recibió su número el 11 de febrero de 2026 y se integró en el repositorio de BIPs en abril de 2026. Es el marco de migración que se discute para un Bitcoin poscuántico: la única amenaza criptográfica categórica que existe contra los esquemas de firma actuales de Bitcoin es una computadora cuántica lo bastante potente, y el BIP 361 es una propuesta de cómo respondería la red.

El problema

Las firmas ECDSA y Schnorr dependen de que el problema del logaritmo discreto en grupos de curva elíptica sea computacionalmente difícil. Una computadora cuántica lo bastante grande que corra el algoritmo de Shor rompe ese supuesto. Cualquier UTXO cuya clave pública se haya revelado en la cadena pasa a ser gastable por quien tenga una máquina así.

Las claves públicas se revelan en tres escenarios principales:

• Salidas P2PK (pago a clave pública, usado en los primeros tiempos de Bitcoin): la clave pública está en el propio script de salida, expuesta desde el momento en que se crea la salida. Son sobre todo monedas de la era de Satoshi.
• Reutilización de direcciones: cualquier dirección que ya haya enviado una transacción reveló su clave pública en la transacción de gasto. Recibe una vez en un tipo de dirección con hash y nunca gastes, y la clave pública sigue oculta. Gasta una vez, y la clave pública de esa dirección queda pública para siempre.
• Salidas P2TR (Taproot): la dirección bech32m es la propia clave pública ajustada (tweaked), así que toda salida Taproot está expuesta desde el momento en que se crea, se gaste o no.

El BIP dice que, al 1 de marzo de 2026, más del 34% de todos los bitcoins tenían una clave pública revelada en la cadena. Eso incluye buena parte del tesoro de Satoshi, billeteras inactivas de ballenas y cualquier dirección que se haya reutilizado.

La migración en dos fases

La propuesta divide la migración en cambios de consenso escalonados:

Fase A: detener la hemorragia. Se prohíbe enviar fondos a los tipos de dirección vulnerables a un ataque cuántico. Las transacciones nuevas deben usar un tipo de salida resistente a ataques cuánticos (el BIP es agnóstico respecto al esquema de firma y da por hecho que una propuesta aparte aporta un tipo de salida PQ, es decir, poscuántica). Quienes tienen fondos todavía pueden gastar desde direcciones vulnerables, pero solo hacia direcciones seguras. El borrador sitúa la fase A 160,000 bloques (unos tres años) después de que el BIP 361 se active.

Fase B: retirar las firmas legacy. Dos años después de la fase A, unos cinco años después de que el propio BIP 361 se active, se restringen los gastos con ECDSA y Schnorr. Los fondos en direcciones vulnerables solo pueden moverse mediante un protocolo de rescate resistente a ataques cuánticos: uno que demuestre algo que el dueño real sabe y que un atacante cuántico con solo la clave pública no sabe. El ejemplo del BIP es la derivación endurecida del BIP 32: demostrar que se conoce la clave privada extendida padre por encima de un paso endurecido, algo que un atacante cuántico que solo recuperó la clave de la cadena seguiría sin tener.

Los cinco años de margen existen porque, en palabras de los autores, "coordinating wallets, exchanges, miners and custodians historically takes years" (coordinar billeteras, exchanges, mineros y custodios históricamente lleva años).

Qué es y qué no es

Es: un BIP en borrador. Se desplegaría como soft fork si avanza. Hoy está en la fase de discusión abierta.

No es: algo activado, ni programado, ni consenso. La comunidad no se ha puesto de acuerdo sobre qué esquema de firma resistente a ataques cuánticos usar. Entre los candidatos hay esquemas basados en retículos (ML-DSA, estandarizado por el NIST en agosto de 2024 como FIPS 204) y basados en hash (SLH-DSA, FIPS 205), cada uno con distintas concesiones en tamaño de firma, costo de verificación y seguridad supuesta; el BIP 360 descartó en enero de 2025 el SQIsign, basado en isogenias, por su rendimiento.

Los autores del BIP citan estimaciones de que una computadora cuántica criptográficamente relevante (CRQC) podría llegar "ya entre 2027 y 2030", tomadas del Quantum Technology Monitor 2025 de McKinsey; el capítulo sobre computación cuántica enlazado más abajo repasa los plazos con más detalle. El BIP existe para arrancar el proceso de coordinación de varios años antes de que la amenaza sea aguda, no después.

La cuestión de Satoshi

El mecanismo de dos fases responde de forma implícita a qué hacer con las monedas inactivas anteriores a la era cuántica. Bajo la fase B, una salida P2PK (incluidas las tenencias conocidas de Satoshi) ya no puede gastarse con una simple firma ECDSA. Los autores del BIP dicen que hoy no se cree posible ningún protocolo de rescate para P2PK, porque no se conoce ninguna asimetría de conocimiento entre el dueño y un atacante cuántico; en su lugar apoyan una propuesta aparte, "Hourglass" (reloj de arena), para los gastos P2PK, siempre que se active antes de la fase B. Sin ella, esas monedas quedarían bloqueadas para siempre.

El BIP lo presenta como un beneficio y no como un efecto secundario ("disciplina de oferta": las claves abandonadas que nunca migran siguen sin poder gastarse), y es una consecuencia inevitable: la misma regla que protege del robo cuántico a quienes tienen fondos vulnerables también deja varadas las tenencias originales de cualquiera cuyas claves no estén disponibles. Que la red lo vea como una virtud o como un defecto es parte de por qué esto sigue siendo un borrador.

Consulta el tema a fondo Computación cuántica y Bitcoin para la exposición medida que este marco migraría, y por qué una migración masiva en pánico sería la peor respuesta.

Especificación: BIP 361.