Гонка безопасности Bitcoin: инициативы, направленные на защиту крупнейшей блокчейн-сети от квантовых угроз

Квантовые компьютеры, способные взломать блокчейн Bitcoin, пока не существуют. Однако разработчики уже рассматривают ряд обновлений для создания защиты от потенциальной угрозы, и это оправданно, поскольку угроза перестала быть гипотетической.

На этой неделе компания Google опубликовала исследование, в котором утверждается, что достаточно мощный квантовый компьютер может взломать основную криптографию Bitcoin менее чем за девять минут — на одну минуту быстрее, чем среднее время подтверждения блока Bitcoin. Некоторые аналитики считают, что такая угроза может стать реальностью уже к 2029 году.

На кону стоит многое: около 6,5 миллионов биткойнов, стоимость которых составляет сотни миллиардов долларов, находятся на адресах, которые квантовый компьютер может напрямую атаковать. Часть этих монет принадлежит псевдонимному создателю Bitcoin, Сатоши Накамото. Кроме того, потенциальный взлом нанесет ущерб основным принципам Bitcoin — "доверие коду" и "надежным деньгам".

Вот как выглядит эта угроза, а также предлагаемые решения для ее смягчения.

Два способа, которыми квантовый компьютер может атаковать Bitcoin

Прежде чем обсуждать предлагаемые решения, необходимо понять уязвимость.

Безопасность Bitcoin основана на односторонней математической зависимости. При создании кошелька генерируются закрытый ключ и секретное число, из которых выводится открытый ключ.

Для траты биткойнов необходимо доказать владение закрытым ключом, не раскрывая его, а используя его для создания криптографической подписи, которую сеть может проверить.

Эта система является надежной, поскольку современным компьютерам потребовались бы миллиарды лет, чтобы взломать криптографию эллиптических кривых — в частности, алгоритм цифровой подписи эллиптических кривых (ECDSA) — для обратного вычисления закрытого ключа из открытого ключа. Таким образом, считается, что взломать блокчейн вычислительно невозможно.

Однако будущий квантовый компьютер может изменить эту одностороннюю зависимость, превратив ее в двустороннюю, позволяя ему получить ваш закрытый ключ из открытого ключа и слить ваши монеты.

Открытый ключ может быть скомпрометирован двумя способами: либо из-за длительного хранения на блокчейне (атака длительного воздействия), либо из-за транзакций, находящихся в процессе обработки или ожидающих в пуле памяти (атака кратковременного воздействия).

Адреса "оплата открытому ключу" (P2PK), используемые Сатоши и ранними майнерами, а также Taproot (P2TR), текущий формат адресов, активированный в 2021 году, уязвимы для атаки длительного воздействия. Для раскрытия открытых ключей монет, находящихся на этих адресах, не требуется их перемещение; утечка уже произошла и доступна любому человеку на Земле, включая потенциального квантового злоумышленника. Примерно 1,7 миллиона BTC находятся на старых адресах P2PK, включая монеты Сатоши.

Атака кратковременного воздействия связана с пулом памяти — зоной ожидания неподтвержденных транзакций. Пока транзакции находятся там, ожидая включения в блок, ваш открытый ключ и подпись видны всей сети.

Квантовый компьютер мог бы получить доступ к этим данным, но у него было бы лишь небольшое окно времени — до того, как транзакция будет подтверждена и скрыта под дополнительными блоками, — чтобы вывести соответствующий закрытый ключ и использовать его.

Инициативы

BIP 360: Удаление открытого ключа

Как отмечалось ранее, каждый новый адрес Bitcoin, созданный с использованием Taproot, навсегда раскрывает открытый ключ в цепочке блоков, предоставляя будущему квантовому компьютеру цель, которая никогда не исчезнет.

Предложение по улучшению Bitcoin (BIP) 360 навсегда удаляет открытый ключ, встроенный в цепочку блоков и видимый всем, путем введения нового типа вывода под названием Pay-to-Merkle-Root (P2MR).

Вспомните, что квантовый компьютер изучает открытый ключ, пытается воссоздать точную структуру закрытого ключа и создает его рабочую копию. Если мы удалим открытый ключ, у атакующего не будет с чего начать. При этом все остальное, включая платежи Lightning, многоподписные схемы и другие функции Bitcoin, остается прежним.

Однако, если это предложение будет реализовано, оно будет защищать только новые монеты, выпущенные в будущем. 1,7 миллиона BTC, уже находящиеся на старых, открытых адресах, — это отдельная проблема, решаемая другими предложениями, представленными ниже.

SPHINCS+ / SLH-DSA: Хеш-ориентированные постквантовые схемы подписи

SPHINCS+ — это постквантовая схема подписи, основанная на хеш-функциях, которая позволяет избежать квантовых рисков, связанных с криптографией эллиптических кривых, используемой в Bitcoin. В то время как алгоритм Шора угрожает ECDSA, хеш-ориентированные схемы, такие как SPHINCS+, не считаются столь же уязвимыми.

Эта схема была стандартизирована Национальным институтом стандартов и технологий (NIST) в августе 2024 года как FIPS 205 (SLH-DSA) после нескольких лет публичного обсуждения.

В обмен на безопасность приходится жертвовать размером. В то время как текущие подписи Bitcoin занимают 64 байта, размер подписей SLH-DSA составляет 8 килобайт (KB) или больше. Следовательно, внедрение SLH-DSA значительно увеличит потребность в пространстве блоков и повысит комиссии за транзакции.

В результате, такие предложения, как SHRIMPS (другая хеш-ориентированная постквантовая схема подписи) и SHRINCS, уже были предложены для уменьшения размера подписей без ущерба для постквантовой безопасности. Обе они основаны на SPHINCS+, стремясь сохранить его гарантии безопасности в более практичной и эффективной форме, подходящей для использования в блокчейне.

Схема Commit/Reveal от Tadge Dryja: "Аварийный тормоз" для Mempool

Это предложение, представляющее собой мягкую вилку, предложенное соавтором сети Lightning Tadge Dryja, направлено на защиту транзакций в mempool от будущей квантовой атаки. Это достигается путем разделения выполнения транзакций на две фазы: Commit (подтверждение) и Reveal (раскрытие).

Представьте, что вы сообщаете контрагенту, что отправите ему электронное письмо, а затем фактически отправляете это письмо. Первая часть — это фаза Commit, а вторая — фаза Reveal.

В блокчейне это означает, что вы сначала публикуете зашифрованный отпечаток вашего намерения — просто хеш, который не раскрывает никакой информации о транзакции. Блокчейн навсегда фиксирует этот отпечаток. Позже, когда вы транслируете фактическую транзакцию, ваш открытый ключ становится видимым — и, да, квантовый компьютер, наблюдающий за сетью, может получить ваш закрытый ключ из него и создать конкурирующую транзакцию, чтобы украсть ваши средства.

Но эта поддельная транзакция немедленно отклоняется. Сеть проверяет: зарегистрирована ли эта трата как предварительное обязательство в блокчейне? Ваша — зарегистрирована. У атакующего — нет, он создал ее только что. Ваш предварительно зарегистрированный отпечаток является вашей алиби.

Однако проблема заключается в увеличении стоимости из-за разделения транзакции на две фазы. Поэтому это описывается как промежуточный мост, который практичен для использования, пока сообщество работает над созданием квантовой защиты.

Hourglass V2: Замедление траты старых монет

Предложение Hourglass V2, предложенное разработчиком Hunter Beast, направлено на устранение квантовой уязвимости, связанной примерно с 1,7 миллионами $BTC, хранящихся на старых, уже скомпрометированных адресах.

Предложение признает, что эти монеты могут быть украдены в результате будущей квантовой атаки, и стремится замедлить утечку, ограничивая продажи одним биткойном на блок, чтобы избежать катастрофической массовой ликвидации за одну ночь, которая может обрушить рынок.

Аналогия заключается в банковском кризисе: вы не можете остановить людей от снятия средств, но вы можете ограничить темпы снятия, чтобы предотвратить крах системы за одну ночь. Предложение является спорным, поскольку даже это ограниченное ограничение некоторые члены сообщества Bitcoin считают нарушением принципа, согласно которому ни одна внешняя сторона не может вмешиваться в ваше право тратить ваши монеты.

Заключение

Эти предложения еще не активированы, и децентрализованное управление Bitcoin, охватывающее разработчиков, майнеров и операторов узлов, означает, что любая модернизация, вероятно, потребует времени для реализации.

Тем не менее, постоянный поток предложений, предшествующих отчетам Google на этой неделе, свидетельствует о том, что эта проблема давно находится в поле зрения разработчиков, что может помочь снизить опасения на рынке.