Alex Pruden, CEO de Project Eleven, conversa con Chris Smith sobre por qué la criptografía de curva elíptica no tiene un reemplazo directo, por qué espera que la IA acorte la vida útil de los algoritmos criptográficos y por qué una actualización solo protege a quienes migran a ella.
Este artículo es un resumen editado de la participación de Alex Pruden en el podcast de Quantus, publicada el 6 de agosto de 2026. La conversación se ha organizado por temas y las citas se han editado ligeramente para facilitar la lectura.
Mira el episodio en YouTube. Sigue el podcast en Spotify o Apple Podcasts.
¿Necesitas la transcripción para tu LLM? Descarga la transcripción completa: quantum-and-the-race-to-upgrade-transcript.md.
Sobre Alex Pruden
Alex Pruden es CEO y cofundador de Project Eleven, que desarrolla infraestructura y herramientas de seguridad poscuántica para activos digitales. Antes dirigió Aleo, una blockchain de capa 1 centrada en la privacidad, como su CEO y como director ejecutivo de la Aleo Network Foundation. Antes de eso fue socio inversor en el equipo cripto de Andreessen Horowitz. Sirvió nueve años en el Ejército de EE. UU. como oficial de Infantería y de Fuerzas Especiales.
Cita del episodio
“Es un proceso de dos pasos. Primero hay que construir un arca, y luego hay que subirse a ella.”
— Alex Pruden, CEO de Project Eleven, 36:31
Desglose del episodio minuto a minuto
- 00:41: El camino de Alex por el Ejército, Andreessen Horowitz y Aleo.
- 03:20: Por qué el artículo de Willow y una mainnet retrasada lo llevaron a fundar Project Eleven.
- 06:25: La reacción del mercado a Willow y los escépticos que cambiaron de opinión.
- 10:14: Por qué la criptografía de curva elíptica se volvió el estándar y por qué es probable que sea la primera en romperse.
- 12:52: Las concesiones entre firmas poscuánticas y el fin de un estándar compartido.
- 17:59: ML-DSA, esquemas basados en hash y el costo de las firmas con estado.
- 21:55: Falcon, ataques de canal lateral y el argumento a favor de los retículos.
- 25:11: La confianza en el NIST, la NSA y los estándares criptográficos nacionales.
- 28:44: El circuito que Google no publicó, ECDSA.fail y el criptoanálisis asistido por IA.
- 35:27: Por qué las blockchains existentes enfrentan una migración en dos pasos.
- 39:56: Cuándo podría llegar el Q-Day y por qué quizá nadie lo anuncie.
- 48:00: Descentralización, instituciones y claves de administración de las stablecoins.
- 53:44: Lo que hacen las blockchains y ningún sistema centralizado puede hacer.
Antes de las criptomonedas, Alex Pruden pasó cerca de una década en el Ejército de EE. UU. Conoció Bitcoin mientras trabajaba en Oriente Medio hacia 2015, y luego invirtió en cripto en Andreessen Horowitz y pasó a dirigir Aleo, una blockchain centrada en la privacidad cuyo lanzamiento se retrasó de un 2022 previsto a finales de 2024.
Ese retraso le enseñó lo lentamente que los sistemas criptográficos llegan a producción. También había notado una salvedad que suele enseñarse en los cursos de criptografía: los sistemas asimétricos de hoy fallan ante un ordenador cuántico grande, una nota al pie que casi siempre se descartaba porque esas máquinas parecían lejanas. Cuando llegó el anuncio de Willow de Google a finales de 2024, unió ambas ideas. La criptografía poscuántica es complicada y relativamente nueva, y concluyó que la gente subestimaba cuánto tardarían los sistemas existentes en adoptarla. Fundó Project Eleven ese año.
Su conversación con Chris Smith, CEO de Quantus, tuvo lugar poco antes de que Quantus lanzara su mainnet. Aborda qué reemplaza a las curvas elípticas, qué falla entre un artículo científico y un despliegue, y por qué lo más difícil de la actualización puede ser convencer a los propietarios de que se muden.
1. Las curvas elípticas hicieron casi todo, y Alex espera que sean las primeras en romperse
La criptografía de curva elíptica se convirtió en la opción por defecto de las blockchains porque una sola primitiva cubría casi todas las necesidades. Alex las enumera: firmas y autenticación, pruebas de conocimiento cero, computación multipartita para firmas de umbral y criptografía basada en emparejamientos, que usa la red de prueba de participación de Ethereum. La llama “la navaja suiza”.
Su eficiencia venía de las claves pequeñas. RSA, el sistema de clave pública más antiguo, necesita claves grandes para alcanzar un nivel de seguridad dado. Alex compara las claves RSA de 4.096 bits con las claves de 256 bits de la criptografía de curva elíptica.
Alex dice que esas claves cortas importan en un contexto cuántico. Los investigadores midieron durante mucho tiempo sus máquinas frente a RSA, explica, y el problema de la curva elíptica resultó más fácil de atacar. Por eso, en sus palabras, la preocupación “se acercó mucho más de lo que la gente había advertido al principio”. El artículo de Google Quantum AI de marzo de 2026 estimó que romper criptografía de curva elíptica de 256 bits en su arquitectura superconductora supuesta requeriría menos de 500.000 cúbits físicos. Alex dice que Project Eleven estuvo entre los grupos con los que hablaron los autores al prepararlo. La explicación de Quantus sobre qué hace que un ordenador cuántico sea criptográficamente relevante trata la distancia entre esa estimación y cualquier máquina construida hasta ahora.
2. Toda opción poscuántica tiene un costo en alguna parte
“No existe un reemplazo directo de la criptografía de curva elíptica”, dice Alex en el minuto 12:52.
Clasifica las concesiones en tres grupos. El primero es el rendimiento: tamaño de la firma, tamaño de la clave pública y velocidad de firmado y verificación. El segundo es cuán nuevas son las hipótesis de seguridad de un esquema. El tercero es la complejidad de implementación, la distancia entre un esquema que funciona en un artículo académico y uno que resiste en producción.
Alex afirma que las blockchains ya pesan los tres factores de forma distinta. Espera que la base común que tienen hoy dé paso a lo que llama “una balcanización”, con cadenas protegidas por familias de supuestos criptográficos completamente distintas.
Chris preferiría que la industria convergiera al menos en una familia. Cita una publicación de Cloudflare de julio de 2026 que sostiene que ML-DSA tendrá que bastar por ahora. ML-DSA es el esquema de firma basado en retículos que el NIST estandarizó en 2024 como FIPS 204. La publicación cita al ingeniero Eric Rescorla: “Vas a la guerra con los algoritmos que tienes, no con los que desearías tener”.
3. En una firma con estado, un contador es tan crítico como la clave
Alex no ve aún a la industria asentándose en ML-DSA. Según su relato, el trabajo que ve en torno a Bitcoin y a la capa de consenso de Ethereum está mirando firmas basadas en hash, y en concreto las que tienen estado.
Un esquema con estado basado en hash firma de forma segura solo si el firmante lleva la cuenta de cuántas firmas ha producido ya una clave.
“Perder la cuenta de ese número es casi tan malo como perder tu clave privada”, dice en el minuto 18:57.
Los esquemas basados en hash atraen a los diseñadores cautelosos porque su seguridad descansa en supuestos bien estudiados sobre las funciones hash. La contrapartida es que o bien el firmante gestiona el estado, o bien el esquema prescinde del estado y produce firmas mucho más grandes.
Chris lo mira desde el lado del titular. A la mayoría le cuesta respaldar una frase semilla una sola vez, dice, y hoy esa única copia cubre todas las direcciones de una cartera. Un esquema que exigiera copias nuevas o información adicional después de cada transacción fracasaría, a su juicio, solo por usabilidad.
Alex aplica la misma prueba a SHRINCS, la propuesta de Blockstream que considera la candidata principal para Bitcoin. Combina un modo con estado compacto con una alternativa sin estado más grande para cuando se pierde el estado, por ejemplo al restaurar una cartera desde una copia de la frase semilla. Alex califica el diseño de elegante y luego cuestiona el incentivo. Duda de que los titulares elijan la vía con estado si añade alguna posibilidad de manejarlo mal. En ese caso, argumenta, las firmas compactas quedan sin usar mientras la complejidad añadida permanece.
Ha visto a equipos recorrer las opciones en un orden predecible: primero un esquema inusual, luego un repliegue hacia diseños conservadores basados en hash y, por último, un regreso al estándar. “¿Sabes qué? ML-DSA no está tan mal”, concluyen, según cuenta en el minuto 21:49.
4. Un esquema seguro aún debe implementarse de forma segura
Quantus recorrió parte de esa secuencia. Chris cuenta que el equipo exploró primero Falcon, otra firma basada en retículos seleccionada por el NIST, hasta que Thomas Pornin, uno de los autores de Falcon, les preguntó si sabían en qué se estaban metiendo.
Aquel trabajo fue la primera vez que Chris leyó código escrito para ejecutarse en tiempo constante. Su aritmética le parecía al revés hasta que entendió el propósito: el programa compilado no contiene ramas cuyo tiempo pudiera revelar un secreto. El tiempo es un tipo de canal lateral, una forma de descubrir un secreto observando cómo se comporta un dispositivo mientras calcula. Otros se basan en su consumo de energía o en sus emisiones electromagnéticas. Alex contrasta a un atacante que tendría que entrar en un centro de datos con una antena con las claves guardadas en dispositivos de usuario, que la gente lleva en el bolsillo.
También responde a una objeción habitual a ML-DSA: que la criptografía de retículos es demasiado nueva para confiar en ella. Los retículos se estudian con fines criptográficos desde hace casi tres décadas, dice, y no existe un esquema basado en hash para el intercambio de claves. Cuando una cartera se conecta a un nodo mediante TLS, el protocolo que protege la conexión, el intercambio de claves se basa cada vez más en retículos.
“Ya estás incorporando algunos supuestos basados en retículos hagas lo que hagas”, dice en el minuto 24:21.
Ningún esquema está garantizado para siempre, así que Alex retoma una expresión que Chris usó antes: agilidad criptográfica, la capacidad de cambiar de esquema otra vez sin reconstruir el sistema.
5. Alex espera que la IA acorte la vida útil de todo algoritmo
El algoritmo de Shor es el procedimiento cuántico que recuperaría una clave privada a partir de una clave pública. Cuando Google publicó sus estimaciones de recursos, retuvo los circuitos que implementan el algoritmo y divulgó una prueba de conocimiento cero de que los circuitos cumplen los costos indicados. Google dijo que se había puesto en contacto con el Gobierno de EE. UU. antes de publicar.
Después llegó ECDSA.fail. Es un desafío abierto, lanzado por Eigen Labs a finales de mayo de 2026, para reducir el costo de la suma de puntos, un paso dentro del algoritmo de Shor sobre la curva de Bitcoin. El desafío puntúa un circuito multiplicando los cúbits lógicos que necesita por el número de puertas costosas que ejecuta. Según el artículo del proyecto, más de cien participantes que trabajaban con agentes de programación de IA habían reducido, a finales de julio, esa puntuación a más de un 50 % por debajo de la cifra que Google informó para el mismo paso. El artículo advierte de que ambas se midieron con convenciones distintas. Alex subraya que el desafío abordó una sola subrutina. Aun así, lo considera una prueba de lo rápido que puede avanzar ahora el criptoanálisis.
“La vida útil, en mi opinión, de cualquier algoritmo criptográfico se ha acortado drásticamente”, dice en el minuto 31:33.
Su conclusión es práctica. Quien despliegue criptografía en la próxima década debe esperar migrar fuera de ella una década después, y planificar esa migración desde el principio.
Chris vincula los mismos hechos con la política. El 22 de junio de 2026, una orden ejecutiva de EE. UU. adelantó a 2030 o 2031 los plazos federales poscuánticos para ciertos sistemas de alto valor, antes del objetivo anterior de 2035. Para Chris, indicaba que al Gobierno lo había sorprendido la rapidez con que la IA aceleraba la investigación cuántica. Alex interpreta del mismo modo la reacción más amplia. La gente solía tratar el riesgo cuántico como algo siempre a veinte años, dice. Gobiernos y empresas ahora redactan planes con fechas.
6. Planifica para un Q-Day que nadie anuncia
Chris evita predecir una fecha para el Q-Day. El progreso tecnológico no es lineal, dice, y puede que no se avise al mundo de cuándo llega el momento. Alex coincide. Un gobierno o laboratorio que construyera una máquina criptográficamente relevante perdería su ventaja al revelarlo, así que espera pocas señales públicas a medida que se acerque el umbral.
Alex respeta a los escépticos que quieren pruebas experimentales más sólidas. Un miembro de la comunidad de Bitcoin con quien debatió quiere ver primero cúbits lógicos de larga vida. Tras dos décadas de falsos comienzos, Alex lo llama “una posición muy racional”. Su preocupación es que el progreso cerca del umbral se vuelva silencioso y le siga un cambio repentino.
Cuando le piden una fecha de todos modos, remite a los modelos detrás del informe de 2026 de Project Eleven: una encuesta anual a expertos, las hojas de ruta publicadas por las empresas de hardware y las proyecciones propias de la compañía. En la conversación sitúa su escenario base en 2032: es más probable que exista un ordenador cuántico criptográficamente relevante para entonces que lo contrario, con “una posibilidad razonable de que para 2030 ya estemos ahí”.
Mide esas fechas con la desigualdad de Mosca. Si el tiempo que un activo debe permanecer seguro más el tiempo que toma una migración supera el tiempo hasta que exista un ordenador cuántico capaz, la migración ya llega tarde. Seis años, argumenta Alex, dejan poco margen una vez que se cuentan el diseño, la revisión y la adopción. Google ha fijado 2029 como su propio plazo para la migración poscuántica, y Chris señala que Cloudflare tiene el mismo objetivo. Alex considera significativo el compromiso de Google porque escribió el artículo y asume el costo de ingeniería.
“Esta incertidumbre es, en última instancia, lo que exige, creo yo, conservadurismo”, dice en el minuto 46:11. Por conservadurismo entiende una preparación que empieza ahora, la suposición de que el progreso llegará más rápido de lo esperado y la aceptación de que el próximo esquema puede no ser el último.
7. Una migración tiene dos pasos, y el segundo corresponde al usuario
El problema de la actualización es más agudo en las blockchains descentralizadas. Los desarrolladores de Bitcoin pueden lanzar una opción de firma poscuántica, dice Alex, pero lanzarla no vuelve a Bitcoin seguro frente a lo cuántico. Los titulares aún tienen que actuar. Lo compara con la actualización de un teléfono, en la que los usuarios reinician el dispositivo y quedan en la versión nueva. En la migración de Bitcoin que describe, los titulares tendrían que mover sus monedas a direcciones que usen el nuevo esquema de firma, y espera tantas maneras de equivocarse en ese paso como al construir la nueva criptografía. Chris añade una restricción propia de Bitcoin: los bloques son pequeños y las firmas poscuánticas son mucho más grandes.
Cuando un ordenador cuántico pueda derivar claves privadas, la mudanza misma se vuelve más difícil.
“Si puedo falsificar tu firma desde el tipo de dirección antiguo, ¿qué significa ya la propiedad?”, pregunta Alex en el minuto 37:27.
Las cadenas que se lanzan con firmas poscuánticas se saltan esta primera transición. Alex cita a Quantus como ejemplo: sus firmas son poscuánticas por defecto. (Quantus lanzó su mainnet el 9 de septiembre de 2026, después de grabarse esta conversación.) Chris señala un riesgo concentrado en las cadenas existentes: las claves de administración que controlan la emisión de stablecoins. Un atacante cuántico que se hiciera con una podría emitir cantidades enormes y operar con ellas antes de cualquier reversión legal. Alex añade que un ataque así convendría a un Estado-nación, porque sería casi imposible de atribuir.
También ofrece una opinión que espera que algunos en cripto rechacen. Los sistemas puramente descentralizados encontrarán la migración poscuántica más lenta y desordenada, y las firmas más grandes cuestan más a medida que una red se descentraliza. Las instituciones dirigidas por fiduciarios esperarán un mantenimiento fiable, y duda de que las cadenas abandonadas por sus fundadores lleguen a migrar. Espera que la industria se vuelva algo más centralizada y profesional como resultado, y sostiene que la tarea es proteger lo que sigue siendo distintivo de las blockchains.
“Lo único que permiten las blockchains y que ningún sistema centralizado podría replicar es la interacción entre partes que desconfían mutuamente”, dice en el minuto 53:49.
Una migración poscuántica tiene que conservar esa propiedad mientras pide a los propietarios que actúen.
Recursos relacionados
- The Quantum Threat to Blockchains 2026 Report: El modelo de Project Eleven para estimar el Q-Day, con escenarios base, optimista y pesimista.
- Investigación de Google Quantum AI sobre criptomonedas: Estimaciones de recursos para ataques cuánticos a criptomonedas de curva elíptica y mitigaciones propuestas.
- ML-DSA will have to do: El argumento de Cloudflare para desplegar ML-DSA ya.
- SHRINCS: El diseño de firma con estado basado en hash que Alex comenta para Bitcoin.
- ¿Qué es el Q-Day?: Cómo afectan la capacidad cuántica, la exposición y la migración a la seguridad cripto.
- Q-Day, la Cuántica y su Impacto en Bitcoin con Colton Dillion: El episodio anterior de Conversaciones, sobre el problema de la migración de Bitcoin.
