10 декабря специалисты Google Quantum AIпредставилиновый квантовый чип Willow. Это событие вновь вызвало у криптосообщества опасения по поводу квантовой угрозы для биткоина — темы, которая периодическиподнималасьи ранее.
Однако кажется, что после релиза Google «квантовыйFUD» начали воспринимать гораздо серьезнее. Так, уже 18 декабря предложению по обновлению биткоина (BIP) под названиемPay to Quantum Resistant Hash (P2QRH)был присвоен номер (BIP-360).
Вместе с командой биткоин-миксераMixer.Moneyразбираемся, как разработчики готовятся ко «Дню Q» ― возможному моменту в будущем, когда первая криптовалюта может стать уязвимой для квантовых атак.
В чем суть квантовой угрозы
Протокол биткоина использует криптографию с открытым ключом для совершения транзакций. При создании нового кошелька генерируется пара ключей ― открытый и закрытый, связанные между собой математически. Закрытый ключ должен храниться в секрете, тогда как открытый доступен всем. Такая система позволяет создавать цифровые подписи с помощью закрытого ключа. Их может проверить любой человек, имеющий соответствующий открытый ключ.
Безопасность связки основана наодносторонней функции: открытый ключ может быть легко получен из закрытого, но не наоборот. Однако в 1994 году математик Питер Шор опубликовалквантовый алгоритм, который может нарушить этот принцип. Любая организация, обладающая криптоаналитически релевантным квантовым компьютером (Cryptoanalytically-Relevant Quantum Computer, CRQC), может использовать алгоритм для получения закрытого ключа из соответствующего открытого.
В связи с этим авторBIP-360под псевдонимом Hunter Beast подчеркнул, что предотвращение появления открытого ключа в блокчейне является важным шагом на пути к обеспечению квантовой безопасности.
Еще в 2019 году биткоин-разработчик Питер Велле предположил, что из-за раскрытия публичного ключа в блокчейне под угрозой может находиться около37%эмиссии. Причины этого — получение криптовалюты непосредственно на открытые ключи или повторное использование адресов.
В ранних версиях ПО монеты можно было получить двумя способами:
Пока с P2PKH-адреса не совершено никаких переводов, его открытый ключ не отображается в блокчейне. Он станет известен только в тот момент, когда владелец отправит с него монеты.
После перевода адрес не рекомендуется использовать для получения биткоинов. Современные кошельки настроены так, чтобы генерировать новый адрес для каждой транзакции, хотя это и было сделано главным образом из соображений приватности, а не квантовой устойчивости.
Тем не менее в 2024 году обычные пользователи, а также криптовалютные биржи и кастодиальные сервисы хранят сотни тысяч биткоинов на повторно используемых адресах.
Hunter Beast выделяет два типа квантовых атак:
- Long-range.Открытый ключ известен, что предоставляет злоумышленникам неограниченное время для его взлома;
- Short-range.Эта атака должна быть выполнена быстро, пока транзакция находится вмемпуле.
Последний тип атаки становится возможным из-за раскрытия открытого ключа во время траты монет. Для ее успешной реализации требуются мощные CRQC, так как она должна быть проведена в короткий промежуток времени. На начальных этапах развития CRQC более вероятны атаки Long-range, где открытый ключ известен заранее.
Перед атаками Short-range уязвимы любые транзакции в мемпуле, в то время как Long-range нацелены на:
- P2PK (монеты Сатоши, CPU-майнеры);
- повторно используемые адреса (любой тип);
- расширенные открытые ключи кошельков (также известные как xpub);
- Taproot-адреса (начинаются с bc1p).
Таблица ниже информирует пользователей биткоина о том, уязвимы ли их монеты для атаки Long-range:
Примечательно, что последнее крупное обновление биткоина ― Taproot (P2TR) ― в 2021 году вызвалодискуссиюв сообществе именно из-за квантовой уязвимости этого типа адресов. Тогда сооснователь компании Blockstream и биткоин-разработчик Марк Фриденбах опубликовал статью«Почему я против Taproot», в которой выразил опасения по поводу активации обновления в контексте развития квантовых вычислений.
ВинтервьюUnchained Hunter Beast объяснил, в чем заключается уязвимость Taproot-адресов:
Щит Сатоши
Coinbase-транзакции на открытые ключи (P2PK) идут вплоть до блока #200 000. На большинстве из них хранится50 BTC.
Hunter Beast называет эти монеты «щитом Сатоши». По его мнению, любые адреса с балансом меньше 50 BTC можно считать экономически невыгодными для атаки.
QuBit
BIP-360 может стать первым предложением в рамках QuBit ― софтфорка, обеспечивающего устойчивость первой криптовалюты к квантовым атакам.
Предложение вводит новый тип адресов, которые начинаются сbc1r. P2QRH предлагается реализовать поверх P2TR, сочетая классическиеподписи Шноррас постквантовой криптографией.
В P2QRH используется алгоритмHASH256для хеширования открытого ключа. Это позволяет уменьшить размер новых выходов и повысить безопасность, поскольку сам открытый ключ не раскрывается ончейн.
BIP-360 предлагает внедрение подписейFALCON. После их утверждения планируется добавить SQIsign и другие постквантовые алгоритмы:SPHINCS+,CRYSTALS-Dilithium. ВспецификацииSQIsign говорится, что этот алгоритм имеет наименьший суммарный размер среди известных постквантовых схем.
FALCON примерно в четыре раза больше, чем SQIsign, и в 20 раз ― подписей Шнорра.
Криптосистемы на основе хеша более консервативны и проверены временем.Криптография на решеткахявляется относительно новой и привносит новые предположения безопасности в биткоин, но ее подписи меньше и могут рассматриваться некоторыми как адекватная альтернатива подписям на основе хэша. Алгоритм SQIsign намного меньше, однако он основан нановой форме криптографиии на момент публикации еще не был одобрен NIST или более широким сообществом.
Согласно BIP-360, включение четырех криптосистем обусловлено необходимостью поддержки гибридной криптографии, особенно для крупных выводов вроде холодных кошельков бирж. Для принятия обновления будет разработана библиотека подобнаяlibsecp256k1.
Hunter Beast допускает, что после внедрения P2QRH возникнет потребность в адресах Pay to Quantum Secure (P2QS):
Пока оборудование для квантовой криптографии не получило широкого распространения, поэтому квантово устойчивые адреса могут служить приемлемым промежуточным решением.
Квантовый переход
В октябре 2024 года специалисты Кентского университета опубликовалиисследование, в котором рассчитывается время, необходимое для перевода биткоинов на квантово устойчивые адреса.
В своейпрезентациина конференции Future of Bitcoin 2024 CTO Casa Джеймсон Лопп рассчитал, что для миграции всехUTXOпотребуется как минимум 20 500 блоков (или 142 дня).
Он сделал вывод, что даже если квантовая угроза кажется отдаленной перспективой, о ней лучше начинать говорить «раньше, чем позже».
Выводы
За годы своего существования биткоин сталкивался с различным FUD:атакой 51%, запретами властей, конкуренцией альткоинов и угрозой квантовых компьютеров. Эти вопросы регулярно обсуждаются в сообществе, но до сих пор первая криптовалюта демонстрировала устойчивость к различным вызовам.
Квантовая угроза имеет более глубокий характер, но предложенный софтфорк QuBit демонстрирует, что разработчики хорошо осведомлены о ней. Вдорожной картеEthereum также учитывается квантовая устойчивость, и биткоин-сообщество может извлечь полезные уроки из этих разработок.
Остается неясной возможная судьба «щита Сатоши» и других монет, которые не перейдут на квантово-устойчивые адреса. Биткоин-разработчик Люк Дэш ― младший считает, что в будущем такие их можно будет рассматривать как эквивалент майнинга.
