Satoshi Nakamoto predijo la defensa del hash de Bitcoin 16 años antes de que surgieran los temores sobre la computación cuántica

Una publicación en el foro que estableció las reglas

El 16 de julio de 2010, un usuario llamado bdonlan cuestionó el doble hash SHA-256 de Bitcoin en el foro Bitcointalk. Preguntó si ese diseño debilitaba la seguridad.

Satoshi respondió directamente. El inventor de Bitcoin comparó el SHA-256 con el salto de la informática de 32 bits a la de 64 bits, y no con un simple aumento de la longitud en bits. Según explicó, los ordenadores agotaron el espacio de direcciones de 32 bits al alcanzar los 4 gigabytes, pero nadie espera que se agote el espacio de 64 bits en un futuro próximo. El SHA-256 funciona de la misma manera, y las cifras dan a Bitcoin un margen de sobra.

Satoshi también dotó a la red de un plan de salida. Si alguna vez el SHA-256 se debilitara, los desarrolladores podrían realizar un «soft fork» hacia una nueva función hash a una altura de bloque determinada. Los hashes antiguos y nuevos funcionarían en paralelo hasta que todos los nodos se actualizaran.

Desde entonces, la capitalización de mercado de Bitcoin ha superado el billón, y la red liquida diariamente cientos de miles de millones de dólares en valor. Cada dólar de esa actividad sigue dependiendo de la función hash que Satoshi defendió en una única respuesta en un foro hace dieciséis años.

Por qué Bitcoin utiliza dos funciones hash en lugar de una

El código de Bitcoin aplica el hash a los datos dos veces: SHA256(SHA256(datos)), un método que los desarrolladores denominan SHA256d. Los criptógrafos Niels Ferguson y Bruce Schneier recomendaron este enfoque para contrarrestar los ataques de extensión de la longitud de bloque, una vulnerabilidad de la estructura de Merkle-Damgard que utiliza SHA-2.

Los mineros aplican el hash a las cabeceras de los bloques dos veces para cumplir con el objetivo de dificultad de la red, y los nodos aplican el hash a las transacciones dos veces para construir árboles de Merkle. Las carteras añaden una tercera capa, RIPEMD-160 sobre SHA-256, para acortar las claves públicas y convertirlas en direcciones.

Satoshi eligió SHA-256 por una razón. El Instituto Nacional de Estándares y Tecnología publicó el algoritmo en 2001 como parte de la familia SHA-2, lo que supuso un gran salto en seguridad con respecto a SHA-1, que ya mostraba fisuras cuando se lanzó Bitcoin en enero de 2009. El SHA-256 requiere aproximadamente 2^128 operaciones para forzar una colisión y unas 2^256 para forzar una preimagen. Dieciséis años después, nadie ha logrado descifrar este diseño. Ningún investigador ha encontrado un ataque de colisión, de preimagen o de segunda preimagen que funcione contra el SHA-256 completo. Las versiones con un número reducido de rondas han sido objeto de criptoanálisis, pero esos ataques dejan de escalar antes de alcanzar el algoritmo real de 64 rondas. El NIST y grupos independientes como ECRYPT-CSA siguen calificando la función completa como segura. El hardware de minería confirma esta tendencia. Los fabricantes de circuitos integrados de aplicación específica (ASIC) han creado líneas de productos completas en torno a SHA-256d, y la tasa de hash de la red se sitúa ahora en el rango de los exahash. Satoshi predijo que la Ley de Moore por sí sola nunca amenazaría la función, y los ajustes de dificultad han mantenido los tiempos de bloque en torno a los diez minutos a pesar de los aumentos exponenciales en la potencia de minería.

La computación cuántica cambia el panorama

La fuerza bruta clásica nunca preocupó a Satoshi, y sigue sin suponer una amenaza para Bitcoin. La computación cuántica divide el riesgo en dos problemas distintos.

El algoritmo de Grover acelera la búsqueda por fuerza bruta. Al aplicarlo a SHA-256, reduce la seguridad efectiva de 256 bits a unos 128 bits, una cifra que sigue estando muy fuera de alcance. Los investigadores afirman que un atacante necesitaría hardware cuántico a una escala que el mundo aún no ha construido, por lo que, por ahora, la situación sigue siendo segura. El algoritmo de Shor plantea un problema mayor, ya que se centra en las firmas, no en los hash. Un ordenador cuántico que lo ejecutara podría extraer una clave privada a partir de una clave pública expuesta en la curva elíptica que utiliza Bitcoin. Se estima que 7 millones de bitcoins, cerca del 35 % del suministro, se encuentran en direcciones con claves públicas expuestas y correrían riesgo si ese hardware existiera. Google Quantum AI publicó en 2026 un estudio que reducía el número de qubits necesarios para romper la curva de Bitcoin a unos 500 000 qubits físicos. Las máquinas cuánticas actuales funcionan en un rango de entre 1 000 y 1 500 qubits. Los investigadores siguen situando una amenaza real en algún momento entre 2029 y 2035, dependiendo de los avances en la corrección de errores.

Los desarrolladores retoman la cuestión tras más de dieciséis años

Satoshi volvió a abordar las preocupaciones relacionadas con el hash en más de una ocasión a lo largo de 2010, incluyendo qué pasaría si SHA-256 sufriera una colisión parcial. Su respuesta se mantuvo constante: asegurar la cadena honesta antes de que el problema se extienda y, a continuación, migrar a una nueva función.

Las actualizaciones posteriores de Bitcoin no modificaron el hash principal. Segregated Witness se activó en 2017 y Taproot en 2021; ambas tenían como objetivo la eficiencia y la privacidad, más que el hash. La resistencia cuántica no se convirtió en un tema prioritario para los desarrolladores hasta que el conocimiento de los algoritmos de Grover y Shor se extendió por la comunidad criptográfica en la década de 2020.

Los desarrolladores proponen las «rampas de salida» que prometió Satoshi

Los desarrolladores de Bitcoin ya han propuesto la ruta de migración que Satoshi describió en 2010, aunque centrada en las firmas en lugar de en los hash. Se han puesto sobre la mesa varias ideas.

La BIP-360 introduce un nuevo formato de dirección, las direcciones «pay-to-Merkle-root» que comienzan por bc1z, basadas en esquemas de firma resistentes a los ataques cuánticos. Los desarrolladores incorporaron la propuesta en 2026. Una propuesta complementaria, la BIP-361, establece cómo la red podría, con el tiempo, retirar los tipos de direcciones más antiguos y vulnerables. Este último método resulta algo más controvertido. Los proveedores de carteras se enfrentan ahora a la presión de poner fin a la reutilización de direcciones y orientar a los usuarios hacia los nuevos tipos de salida antes de que llegue cualquier plazo relacionado con la computación cuántica. La migración conlleva sus propios obstáculos. Los desarrolladores aún necesitan un plan para las monedas bloqueadas en direcciones antiguas cuyos propietarios estén inactivos o sean imposibles de localizar, incluyendo cualquier bitcoin vinculado a las primeras carteras del propio Satoshi. Las firmas poscuánticas también ocupan más espacio en los bloques que las firmas que utiliza Bitcoin en la actualidad, y los investigadores están probando esquemas de firma basados en hash para que esa migración sea gestionable.

Qué significa esto para los titulares de bitcoins

Por el momento, SHA-256 no requiere ninguna acción. La función hash que protege la minería y el historial de transacciones sigue siendo inmune a cualquier ataque conocido, ya sea clásico o cuántico.

La exposición de las firmas es el aspecto que merece atención. Los titulares con monedas en direcciones antiguas, o cualquiera que haya reutilizado una dirección de Bitcoin, están más expuestos que quienes utilizan tipos de salida modernos con claves públicas que permanecen ocultas hasta el momento del gasto. Satoshi cerró el hilo de 2010 con una advertencia que sigue siendo válida como política actual. Cualquier ataque lo suficientemente potente como para romper SHA-256 probablemente dañaría también a sus primos más fuertes, como SHA-512, por lo que parece poco probable que se produzca una ruptura total por sí sola. La defensa de Bitcoin nunca fue la permanencia. Era la capacidad de actuar antes de que una amenaza se hiciera realidad.