Квантова загроза для Біткоїна полягає не у зломі шифрування — а у виявленні ваших ключів

Поширений наратив про те, що квантові комп’ютери зломлять шифрування Біткоїна, фундаментально не враховує суті. Біткоїн не зберігає зашифровані секрети в мережі, які квантові машини могли б розшифрувати. Замість цього, справжня вразливість зосереджена на набагато більш конкретних аспектах: якщо з’явиться квантовий комп’ютер, що має криптографічну релевантність, він зможе використати відкриті публічні ключі для підробки несанкціонованих транзакцій за допомогою алгоритму Шора. Це розрізнення має величезне значення для розуміння як тимчасових рамок, так і стратегій пом’якшення, яких потребує Біткоїн.

Чому модель безпеки Біткоїна зовсім не базується на шифруванні

Блокчейн Біткоїна функціонує як публічний реєстр. Кожна транзакція, сума і адреса видимі всім. Власність підтверджується за допомогою цифрових підписів — зокрема ECDSA і Schnorr, — а не за допомогою зашифрованих даних, які потрібно приховувати. Ці підписи демонструють контроль над ключовою парою; вони нічого не приховують. Коли хтось витрачає монети, він створює дійсний підпис, який приймає мережа. Сам блокчейн не містить шифротексту для розшифрування.

Ця фундаментальна архітектурна істина виявляє проблему термінології у тому, як часто обговорюється квантова загроза. Експерт з безпеки Адам Бек чітко сформулював: Біткоїн не використовує шифрування у традиційному розумінні. Називати квантові комп’ютери загрозою для «шифрування Біткоїна» — це неправильне розуміння того, що саме захищає протокол. Він захищає власність через підписи і хеш-орієнтовані зобов’язання, а не через шифротекст.

Реальна квантова загроза: отримання приватного ключа з відкритого публічного ключа

Сценарій, що вимагає уваги, набагато вже: якщо квантовий зловмисник зможе ефективно запустити алгоритм Шора проти криптографії на еліптичних кривих Біткоїна, він зможе отримати приватний ключ з відкритого публічного ключа, розміщеного в мережі. З цим приватним ключем він зможе створити дійсний підпис для конкуренційної транзакції і потенційно перенаправити кошти.

Чи реалізується ця загроза, залежить від моделей експозиції публічних ключів. Багато форматів адрес Біткоїна використовують хеш публічного ключа — тобто сирий ключ залишається прихованим до моменту витрати. Цей проміжок уразливості досить малий. Але інші типи скриптів відкривають публічні ключі раніше, а повторне використання адрес перетворює одноразове розкриття у постійну ціль для відновлення ключа.

Проект Eleven відстежує саме ті адреси, де публічні ключі вже видно в мережі, створюючи карту пулу адрес, потенційно вразливих до алгоритму Шора. Їхній останній аналіз визначає приблизно 6.7 мільйонів BTC, що зберігаються в адресах, які відповідають критеріям експозиції, згідно з актуальними даними блокчейну.

Вимірювання квантової загрози без знання, коли вона настане

Обчислювальні вимоги для зламу криптографії на еліптичних кривих вже досить добре зрозумілі, навіть якщо час їх досягнення залишається невизначеним.

Дослідження Роетелера і колег показало, що обчислення 256-бітового дискретного логарифму на еліптичних кривих вимагає приблизно 2 330 логічних кубітів у теоретично мінімальному випадку. Перетворення логічних кубітів у функціонуючий квантовий комп’ютер з корекцією помилок вимагає величезних фізичних ресурсів. Аналіз Літінскі 2023 року припускає, що обчислення приватного ключа довжиною 256 біт може бути виконане приблизно за 10 хвилин із використанням близько 6.9 мільйонів фізичних кубітів. Інші оцінки коливаються навколо 13 мільйонів фізичних кубітів для зламу протягом одного дня, залежно від припущень щодо часу і рівня помилок.

Ці цифри дають вимірювану основу. Оскільки експозиція публічних ключів сьогодні піддається кількісному аналізу — проект Eleven проводить щотижневі автоматизовані сканування — вразливий пул UTXO можна відстежувати вже зараз, не чекаючи появи квантових можливостей.

Зміни на рівні протоколу, наприклад, Taproot (BIP 341), змінили патерни експозиції у релевантних напрямках. Виходи Taproot містять 32-байтовий змінений публічний ключ безпосередньо у вихідній програмі, а не просто хеш публічного ключа. Це не створює вразливості сьогодні, але змінює, які адреси стають відкритими, якщо відновлення ключа стане можливим. Тим часом, пропозиції на кшталт BIP 360 (“Pay to Quantum Resistant Hash”) окреслюють потенційні шляхи міграції до квантово-стійких виходів.

Поведінкові захисти і питання хешування

Для операцій з Біткоїном поведінкові рішення і дизайн гаманця пропонують ближчі до реальності важелі. Повторне використання адрес значно підвищує експозицію; гаманці, що генерують нові адреси для кожної транзакції, зменшують поверхню атаки. Якщо відновлення приватного ключа стане достатньо швидким для виконання в межах одного блоку, зловмисники будуть змагатися за витрату з відкритих виходів, а не за переписування історії консенсусу — це принципово інша модель загрози.

Хешування іноді включають у квантові питання, але відповідний алгоритм тут — Гровер, а не Шор. Гровер дає лише квадратний корінь швидкості для перебору — залишаючи захист SHA-256 від зворотного хешування приблизно 2^128 робіт навіть за квантової атаки. Це непорівнянно з розломом дискретного логарифму на еліптичних кривих.

Міграція, а не надзвичайна ситуація: реальний шлях вперед

NIST вже стандартизує пост-квантові примітиви, такі як ML-KEM (FIPS 203), у рамках ширшого плану криптографічної трансформації. У Біткоїні розробники і дослідники пропонують механізми міграції: нові типи виходів, що використовують квантово-стійкі хеш-зобов’язання, механізми закінчення роботи з застарілими підписами для створення стимулів до міграції, і постійне оновлення гаманців для зменшення повторного використання адрес.

Недавні корпоративні терміни додають контекст. IBM нещодавно окреслив прогрес у створенні квантової системи з відмовостійкістю до 2029 року, хоча шлях від лабораторних демонстрацій до систем, здатних атакувати вже розгорнуту криптографію, залишається довгим і невизначеним.

Квантова загроза для Біткоїна — це, в кінцевому підсумку, проблема координації і міграції, а не негайний крах криптографії. Дієві метрики прості: відстеження відкритих публічних ключів у наборі UTXO, оптимізація поведінки гаманців для мінімізації експозиції і впровадження квантово-стійких схем витрат на рівні мережі при збереженні ефективності валідації і стабільності ринку комісій.