Googles Quanten-Durchbruch: Was neue ECC-Angriffsschätzungen für Blockchain und darüber hinaus bedeuten

Zusammenfassung

Kernpunkte auf einen Blick

• ~10-fache Reduktion der Raum-Zeit-Kosten: Die kompilierten Schaltkreise des Papers für das 256-Bit-ECDLP erfordern etwa 1.200 logische Qubits bei 90 Mio. Toffoli-Gattern oder 1.450 logische Qubits bei 70 Mio. Toffoli-Gattern — eine Verbesserung um eine Größenordnung gegenüber früheren Einzelinstanz-Schätzungen.
• <500K physische Qubits: Unter Standard-Annahmen für supraleitende Hardware (10⁻³ physische Fehlerrate, planare Konnektivität) könnte der Angriff mit weniger als einer halben Million physischer Qubits durchführbar sein — weit unter den häufig zitierten Angaben von „Millionen von Qubits".
• Zero-Knowledge-Verifikation: Die Autoren veröffentlichen die Angriffsschaltkreise nicht. Stattdessen liefern sie einen ZK-Beweis — über die SP1-Virtual-Machine und eine Fiat-Shamir-Konstruktion — der ihre Behauptung stützt, dass sie größenbeschränkte Schaltkreise für die zentrale secp256k1-Punktadditions-Subroutine besitzen, die ihren Ressourcenschätzungen zugrunde liegt.
• Drei Angriffsklassen: Das Paper führt eine Taxonomie von On-Spend- (Mempool-Wettlauf), At-Rest- (Wiederherstellung ruhender Schlüssel) und On-Setup-Angriffen (einmalige Quanten- → wiederverwendbare klassische Exploits) ein — jeweils mit unterschiedlichen Machbarkeitsschwellen.
• On-Spend-Angriffe sind auf schnelltaktenden Architekturen plausibel: Vorberechnung reduziert die relevante Angriffszeit auf 9–12 Minuten und überschneidet sich mit Bitcoins 10-Minuten-Blockintervall.
• Ethereums Angriffsfläche reicht weit über Konten hinaus: Admin-Schlüssel, Smart-Contract-Logik, Validator-Schlüssel und ZK-Beweis-Trusted-Setups bilden fünf verschiedene Verwundbarkeitskategorien.
• Ruhende Vermögenswerte (~2,3 Mio. BTC) sind ein hartes Altlastenproblem: Eine erfolgreiche Vorwärtsmigration schützt keine Coins, deren Besitzer abwesend sind oder deren Schlüssel bereits verloren gegangen sind — weshalb das Paper neben technischen auch Governance- und politische Maßnahmen diskutiert.

1. Die Schlagzeilenzahlen — eine 10-fache Kostenreduktion

Das zentrale quantitative Ergebnis betrifft die Schaltkreisressourcen, die benötigt werden, um Shors Algorithmus gegen das 256-Bit-ECDLP auf secp256k1 auszuführen. Die Autoren präsentieren zwei primäre Schaltkreisvarianten, die sich in ihrem Raum-Zeit-Kompromiss unterscheiden:

Diese Zahlen gehen von einer supraleitenden Architektur mit physischen Fehlerraten von 10⁻³, planarer Qubit-Konnektivität und einer Steuerungssystem-Reaktionszeit von etwa 10 μs aus. Die Autoren beanspruchen eine etwa 10-fache Verbesserung der gesamten Raum-Zeit-Kosten im Vergleich zu den bislang besten Einzelinstanz-Schätzungen für dieses Problem.

Um dies einzuordnen: Frühere, häufig zitierte Ressourcenschätzungen für das Brechen von ECC nannten oft Millionen von physischen Qubits. Die Zahl von unter 500K komprimiert die von Hardware-Roadmaps von IBM, Google und anderen Quantencomputing-Unternehmen implizierte Zeitlinie erheblich. Wie wir in unserer Analyse der Harvest-Now-Decrypt-Later-Bedrohung (HNDL) feststellten, wurde eine 20-fache Ressourcenreduktion für RSA-2048 bereits Anfang 2025 demonstriert. Dieses Paper überträgt denselben Abwärtsdruck auf ECC im Kryptowährungskontext. Allgemeiner stärkt es die Argumentation, dass andere sicherheitskritische Systeme, die auf ECDLP-basierter Kryptographie aufbauen — einschließlich des weit verbreiteten X25519-Schlüsselaustauschs in TLS 1.3 — ältere Ressourcenschätzungen nicht mehr als richtige Planungsgrundlage betrachten sollten.

2. Verifizieren ohne Offenlegung — der Zero-Knowledge-Ansatz

Der vielleicht methodisch ungewöhnlichste Aspekt des Papers ist das, was es nicht veröffentlicht. Die Autoren argumentieren, dass das Fachgebiet eine Reife erreicht hat, bei der die Veröffentlichung verbesserter kryptanalytischer Schaltkreise ein greifbares Missbrauchsrisiko schafft. Eine vollständige Schaltkreisspezifikation für das ECDLP auf secp256k1 ist faktisch eine Blaupause für den Diebstahl von Kryptowährung. Sie halten die Schaltkreise daher zurück.

Dies schafft ein offensichtliches Problem: Wie kann die Gemeinschaft Behauptungen bewerten, die sie nicht inspizieren kann? Die Antwort des Papers ist ein Zero-Knowledge-Beweis (ZKP), der die Ressourcenschätzungen stützt, ohne die zugrunde liegenden Schaltkreise offenzulegen, wobei der Beweis enger gefasst ist als eine vollständige Offenlegung einer End-to-End-Angriffsimplementierung. Die Konstruktion funktioniert wie folgt:

Diese Konstruktion stellt keinen vollständigen mathematischen Beweis dar, dass die Autoren einen kompletten End-to-End-ECDLP-Angriffsschaltkreis veröffentlicht haben. Stattdessen liefert sie engere Belege über die Korrektheit der Punktadditions-Subroutine bei getesteten Eingaben — ein bedeutsamer Glaubwürdigkeitsgewinn, wenn auch nicht gleichwertig mit einer vollständigen öffentlichen Schaltkreisoffenlegung. Sie hebt jedoch die Glaubwürdigkeitsschwelle erheblich über eine bloße Behauptung hinaus. Der Ansatz ist auch als Präzedenzfall bedeutsam: Er etabliert ein Modell für verantwortungsvolle Offenlegung in der Quantenkryptanalyse, analog zur koordinierten Schwachstellenoffenlegung in der Softwaresicherheit.

Für Praktiker ist die Kernaussage pragmatisch: Behandeln Sie diese Schätzungen als glaubwürdige Untergrenzen. Selbst wenn die genauen Schaltkreise noch weiterer Verfeinerung bedürfen, ist die Entwicklungsrichtung eindeutig — die Kosten für Angriffe auf ECC sinken, und sie sinken schneller als viele öffentliche Roadmaps angenommen haben.

3. Drei Arten von Quantenangriffen auf Blockchains

Einer der nützlichsten Beiträge des Papers ist eine strukturierte Taxonomie von Quantenangriffen auf Blockchain-Systeme. Anstatt „Quanten bricht Krypto" als monolithisches Ereignis zu behandeln, identifizieren die Autoren drei operativ unterschiedliche Angriffsklassen mit jeweils unterschiedlichen Zeitanforderungen, Fähigkeitsschwellen und Abwehrprofilen:

Diese Taxonomie ist wichtig, weil sie das vereinfachende Narrativ durchbricht, dass „Quanten alles auf einmal brechen wird." In der Realität werden die drei Angriffsklassen zu unterschiedlichen Zeitpunkten auf verschiedenen Hardware-Plattformen machbar. Wie wir in unserer Analyse der Quanten-Verwundbarkeit von Bitcoin dargelegt haben, ist der At-Rest-Angriff für den Angreifer am nachsichtigsten — exponierte Schlüssel von 2009er P2PK-Adressen können ohne Zeitdruck angegriffen werden. Der On-Spend-Angriff erfordert hingegen nicht nur einen ausreichend großen Quantencomputer, sondern einen ausreichend schnellen.

Der On-Setup-Angriff ist möglicherweise die Kategorie mit den schwerwiegendsten langfristigen Konsequenzen. Wenn ein Quanten-Angreifer die Toxic-Waste-Parameter aus einem Trusted Setup eines ZK-Beweises wiederherstellt, erhält er die Fähigkeit, Beweise unbegrenzt nur mit klassischer Berechnung zu fälschen. Dies wandelt eine einzelne Quantenberechnung in eine permanente Hintertür um — eine Asymmetrie, die die Bedrohung erheblich verstärkt.

4. Schneller Takt vs. langsamer Takt — wenn Timing alles verändert

Das Paper führt eine entscheidende architektonische Unterscheidung ein, die bestimmt, welche Angriffe zuerst machbar werden. Quantenhardware-Plattformen unterscheiden sich dramatisch in ihren nativen Gattergeschwindigkeiten und Fehlerkorrektur-Zykluszeiten:

Die Unterscheidung ist folgenreich. Auf einer schnelltaktenden supraleitenden Maschine wird der vollständige ECDLP-Angriff in 18–23 Minuten abgeschlossen. Die Autoren zeigen jedoch, dass ein Angreifer ungefähr die erste Hälfte des Angriffs vorberechnen kann, da dieser Teil nur von gemeinsamen Protokollparametern (dem Kurvengeneratorpunkt, dem Feldmodul usw.) abhängt und nicht vom spezifischen öffentlichen Schlüssel des Opfers. Sobald der öffentliche Schlüssel des Ziels im Mempool erscheint, setzt der Angreifer von diesem vorbereiteten Zustand fort und reduziert die relevante Reaktionszeit auf etwa 9–12 Minuten.

Für langsam taktende Architekturen (neutrale Atome, Ionenfallen) würde die ECDLP-Berechnung aufgrund langsamerer Fehlerkorrekturzyklen deutlich länger dauern. Diese Plattformen würden wahrscheinlich zunächst At-Rest-Angriffe ermöglichen — die Wiederherstellung privater Schlüssel von lange exponierten öffentlichen Schlüsseln über einen Zeitraum von Tagen. On-Spend-Mempool-Wettläufe blieben unpraktisch, bis sich die Taktgeschwindigkeiten verbessern oder Parallelismus dies kompensiert. Dies bedeutet, dass die Reihenfolge, in der Angriffe machbar werden, davon abhängt, welche Hardware-Plattform zuerst reift — eine Variable, die zunehmend schwer vorherzusagen ist, da mehrere Architekturen gleichzeitig voranschreiten.

Die Timing-Analyse hat auch direkte Implikationen für unsere frühere Diskussion der TLS-1.3-Quanten-Verwundbarkeiten. Dieselbe Vorberechnungstechnik ist auf jedes Protokoll anwendbar, bei dem der ephemere ECDH-Public-Key des Opfers vor Abschluss des Sitzungsaufbaus übertragen wird — was das Fenster für Harvest-Now-Decrypt-Later-Angriffe noch enger macht, als eine statische Analyse der Qubit-Zahlen nahelegen würde.

5. Über Bitcoin hinaus — Ethereums erweiterte Angriffsfläche

Während sich Bitcoins Quantenrisiko primär auf Signaturfälschung und exponierte Schlüssel konzentriert, bietet Ethereum eine wesentlich breitere Angriffsfläche. Das Paper ordnet Ethereum-spezifische Verwundbarkeiten in fünf Kategorien ein, die jeweils unterschiedliche Schichten der kryptographischen und Governance-Infrastruktur der Plattform ausnutzen:

Die Kategorie der Admin-Verwundbarkeit verdient besondere Aufmerksamkeit. Viele hochwertige Ethereum-Smart-Contracts — DeFi-Protokolle, Bridges, Treasuries, Token-Systeme — hängen von Administrator-Schlüsseln für Upgrades und Governance ab. Diese Schlüssel sind oft Standard-EOAs. Die Kompromittierung eines Admin-Schlüssels stiehlt nicht nur die Mittel eines Kontos; sie kann die Logik des gesamten Vertragssystems ändern und potenziell Millionen von Nutzern betreffen. Dies unterscheidet sich qualitativ von Bitcoins Schlüsselexpositions-Problem und stellt einen systemischen Risikoverstärker dar.

Die Kategorie der Code-Verwundbarkeit steht in direktem Zusammenhang mit der On-Setup-Angriffsklasse des Papers. Protokolle, die ECC-basierte Annahmen in die Anwendungslogik einbetten — Privacy-Systeme wie Tornado Cash, Cross-Chain-Bridges oder fortgeschrittene kryptographische Konstruktionen — können einmalig mit einem Quantencomputer angegriffen werden, um klassische Exploits zu erzeugen, die unbegrenzt wirksam bleiben. Der Quantencomputer wird zum einmaligen Schlüssel, der eine permanente Hintertür öffnet. Dies ist eine der wichtigsten Beobachtungen des Papers, und sie unterstreicht einen Punkt, den wir in unserer Diskussion über Schlüsselaustausch vs. digitale Signaturen gemacht haben: Die Unterscheidung zwischen ephemerer Schlüsselvereinbarung und langlebigen kryptographischen Festlegungen hat tiefgreifende Sicherheitsimplikationen in einer Post-Quanten-Welt.

6. Das Altlastenproblem ruhender Vermögenswerte, das Vorwärtsmigration allein nicht lösen kann

Unsere frühere Analyse der Quanten-Verwundbarkeit von Bitcoin behandelte das „Dilemma der verlorenen Coins" — Satoshis geschätzte 1,1 Millionen BTC auf exponierten P2PK-Adressen. Das Google-Paper erweitert diese Analyse und gelangt zu einer deutlicheren Schlussfolgerung: Ruhende verwundbare Vermögenswerte bilden ein festes zukünftiges Ziel, das durch Migration auf Protokollebene allein nicht adressiert werden kann.

Die Zahlen sind bedeutsam: Über 1,7 Millionen BTC sind in P2PK-Ausgaben gesperrt, bei denen der öffentliche Schlüssel seit der Erstellung On-Chain sichtbar ist. Einschließlich wiederverwendeter Adressen und anderer exponierter Schlüsseltypen kann der gesamte verwundbare ruhende Pool etwa 2,3 Millionen BTC erreichen. Da viele der ursprünglichen Eigentümer abwesend, verstorben oder ohne Zugang sind, ist eine freiwillige Migration zu quantensicheren Adressen für einen großen Anteil dieser Vermögensklasse möglicherweise unmöglich.

Das Paper skizziert vier in der Community diskutierte Reaktionsmöglichkeiten:

1. Nichts tun: Akzeptieren, dass diese Coins letztendlich von demjenigen beansprucht werden können, der zuerst Quantenfähigkeit erreicht.
2. Verbrennen: Verwundbare ruhende Coins durch eine Änderung auf Protokollebene unausgebbar machen — was potenziell Milliardenwerte vernichtet.
3. Sanduhr-Wiederherstellung: Einen zeitverzögerten Wiederherstellungsmechanismus implementieren, der es Eigentümern erlaubt, ihren Besitz durch nicht-quantenverwundbare Mittel (z. B. hash-basierte Challenges) vor der Quanten-Deadline nachzuweisen.
4. „Bad Sidechain": Wiederhergestellte Vermögenswerte über eine dedizierte Sidechain leiten, die versucht, rechtmäßige Eigentümer mithilfe von Off-Chain-Nachweisen zu identifizieren — Mnemonic-Phrasen, notarielle Aufzeichnungen, Identitätsregister. Die „Bad Sidechain"-Analogie entlehnt das „Bad Bank"-Konzept zur Verwaltung notleidender Finanzanlagen.

Die politische Diskussion des Papers — ungewöhnlich für ein Kryptographie-Paper — schlägt „Digital Salvage" (digitale Bergung) als regulatorischen Rahmen vor: Die Wiederherstellung ruhender quantenverwundbarer Vermögenswerte würde als regulierte Tätigkeit behandelt, analog zum Seebergungsrecht. Dies spiegelt die Erkenntnis der Autoren wider, dass technische Lösungen nicht den gesamten Umfang des Problems adressieren können; rechtliche und Governance-Rahmenwerke müssen sich zusammen mit dem kryptographischen Übergang weiterentwickeln.

7. Was dies für Ihre Post-Quanten-Roadmap bedeutet

Die praktischen Implikationen dieses Papers sind am unmittelbarsten für die Blockchain-Community relevant, betreffen aber auch in breiterem Maße Systeme, die weiterhin auf ECDLP-Sicherheit setzen — einschließlich TLS-Schlüsselaustausch, Code-Signierung, IoT-Geräteauthentifizierung und Public-Key-Infrastruktur (PKI). So verbinden sich die Ergebnisse des Papers, zusammen mit den übergreifenden Schlussfolgerungen, die wir daraus ziehen, mit den Migrationsstrategien, die wir in unserer Publikationsreihe behandelt haben:

Hybrider Schlüsselaustausch ist die sofortige Verteidigung. Streng genommen analysiert das Paper nicht direkt den hybriden Einsatz in TLS. Aber seine niedrigeren Angriffskostenschätzungen unterstreichen die Dringlichkeit, den hybriden X25519 + ML-KEM-768-Schlüsselaustausch in TLS und anderen Protokollen einzusetzen. Der Hybridmodus stellt sicher, dass selbst bei einem frühzeitigen Fall von ECC die gitterbasierte Komponente die Vertraulichkeit aufrechterhält. BSI und NIST empfehlen beide diesen Ansatz, wie wir in unserer BSI-Compliance-Analyse dargelegt haben.

Auch Signaturen müssen migriert werden. Diese spezifische Empfehlung geht über den Kryptowährungsfokus des Papers hinaus, folgt aber natürlich aus demselben Druck auf Elliptische-Kurven-Annahmen. Schlüsselaustausch schützt die zukünftige Vertraulichkeit, aber digitale Signaturen schützen Authentizität und Integrität. Code-Signierung, Firmware-Updates und Software-Lieferketten hängen heute alle von ECC-Signaturen ab. Unsere Analyse der Post-Quanten-Code-Signierung skizziert den Migrationspfad für diesen kritischen Anwendungsfall.

Eingeschränkte Geräte können nicht warten. Dies ist eine allgemeinere PQC-Planungsschlussfolgerung und keine direkte Behauptung des Papers, aber eine nachvollziehbare: IoT- und Embedded-Systeme haben die längsten Upgrade-Zyklen und die restriktivsten Ressourcenbeschränkungen. Wie wir in unserer PQC-in-IoT-Analyse dargelegt haben, werden heute eingesetzte Geräte mit einer Lebensdauer von 10–15 Jahren weit in den Zeitraum hinein betrieben, in dem diese Angriffe praktikabel werden könnten. Firmware-Update-Mechanismen und Krypto-Agilität müssen jetzt eingebaut werden.

KMUs brauchen eine strukturierte Migrations-Roadmap. Auch dies ist unsere übergeordnete Implementierungsempfehlung und nicht die direkte Empfehlung des Papers. Für kleine und mittlere Unternehmen, denen dedizierte kryptographische Expertise fehlt, bietet unsere PQC-KMU-Roadmap einen phasenweisen Ansatz: Inventarisierung → Priorisierung → Pilotprojekt → Bereitstellung. Die durch dieses Paper implizierte komprimierte Zeitlinie bedeutet, dass die Inventarisierungsphase sofort beginnen sollte.

PQC ist die pragmatische Wahl; QKD ist eine Ergänzung, kein Ersatz. Das Paper selbst befasst sich mit der Post-Quanten-Migration bei Kryptowährungen, nicht mit einem direkten PQC-versus-Quanten-Schlüsselverteilungs-Vergleich (QKD). Aber wie wir in unserem PQC-vs.-QKD-Vergleich argumentiert haben, bieten Post-Quanten-kryptographische Algorithmen softwarebasierten, internetweiten Schutz. QKD bietet spezialisierte Vorteile für bestimmte hochwertige Verbindungen, kann aber den Bedarf an algorithmischer Migration nicht ersetzen.

Die Schlussbotschaft des Papers steht im Einklang mit dem durchgängigen Thema unserer Analyse realer PQC-Deployments: Die Quantenbedrohung für elliptische-Kurven-Kryptographie ist keine theoretische Abstraktion mehr, die „irgendwann" angegangen werden muss. Sie ist eine konkrete Ingenieur- und Governance-Herausforderung mit quantifizierbaren Parametern, hardwareabhängigen Zeitlinien und asymmetrischen Konsequenzen für diejenigen, die zu spät handeln. Eine kluge Annahme ist, dass die Fähigkeit mit weniger Vorwarnung und weniger öffentlicher Sichtbarkeit eintreten kann, als viele Beobachter erwarten. Die Zeit zu handeln ist jetzt.

Weiterführende Lektüre

Für eine detaillierte Erläuterung, wie hybrider Post-Quanten-Schlüsselaustausch in der Praxis funktioniert — einschließlich der Algorithmen, der TLS-Handshake-Änderungen und wer ihn bereits ausliefert — siehe unser technisches Briefing:

Referenzen

1. Google Quantum AI. (2026). Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations. https://quantumai.google/static/site-assets/downloads/cryptocurrency-whitepaper.pdf