Komputery kwantowe a twoje monety: co naprawdę jest zagrożone
Komputery kwantowe to temat kryptowalutowy, o którym z godną podziwu regularnością mówi się źle. Jeden obóz twierdzi, że wszystko zaraz się posypie; drugi, że to kwestia dziesięcioleci, i przestaje myśleć. Obydwa pomijają część naprawdę użyteczną, czyli wiedzę o tym, która część systemu jest podatna i które z twoich monet są odsłonięte.
Bo odpowiedź nie jest jednolita. Niektóre wyjścia są zagrożone wyraźnie bardziej niż inne, a ta różnica to coś, wobec czego możesz coś zrobić już dziś.
Dwa algorytmy, dwa bardzo różne problemy
Niemal cały niepokój sprowadza się do dwóch wyników z lat dziewięćdziesiątych.
Algorytm Shora skutecznie rozwiązuje problemy, na których opiera się kryptografia klucza publicznego: faktoryzację i problem logarytmu dyskretnego, na którym zbudowano podpisy secp256k1. Dostatecznie duży komputer kwantowy uruchamiający Shora mógłby wyprowadzić klucz prywatny z klucza publicznego. To jest prawdziwe zagrożenie i nie jest ono błahe: łamie podpisy całkowicie, zamiast je osłabiać.
Algorytm Grovera przyspiesza przeszukiwanie nieustrukturyzowane, ale tylko kwadratowo. Wobec funkcji skrótu zmniejsza mniej więcej o połowę skuteczne bezpieczeństwo. SHA-256 spada z 256 bitów do około 128 bitów odporności, co wciąż pozostaje daleko poza zasięgiem. Kopanie zyskuje teoretyczne przyspieszenie, które znaczy dużo mniej, niż brzmi, ponieważ dowód pracy to wyścig z innymi kopiącymi, a nie z ustalonym celem.
Zatem podsumowanie, które naprawdę się liczy: z haszowaniem jest dobrze, z podpisami nie. Każda poważna obawa wynika z tego jednego zdania.
Dlaczego adres to nie klucz publiczny
Oto część, którą większość dyskusji pomija, a właśnie ona decyduje o twoim narażeniu.
Adresy Bitcoina nie są kluczami publicznymi. Są skrótami kluczy publicznych albo, w przypadku adresów opartych na skrypcie, skrótami skryptu. Klucz publiczny nie pojawia się w łańcuchu, gdy otrzymujesz środki. Pojawia się, gdy je wydajesz, ponieważ wydanie wymaga opublikowania podpisu i klucza, który go weryfikuje.
Tworzy to dwie kategorie monet:
Zahaszowane i niewydane. Łańcuch pokazuje wyłącznie skrót. Aby go zaatakować, kwantowy przeciwnik musiałby najpierw złamać skrót, a Grover go tam nie doprowadzi. Te wyjścia chroni dodatkowa warstwa, która nie ma nic wspólnego z podpisami.
Z odsłoniętym kluczem publicznym. Gdy raz wydasz z danego adresu, klucz staje się publiczny na zawsze. Wszystko, co potem nadal tam leży, chroni już tylko sam schemat podpisu.
To rozróżnienie sprawia, że „nie używaj adresów ponownie” okazuje się radą istotną także kwantowo, po latach zalecania jej wyłącznie z powodów prywatności. Ponowne użycie adresu oznacza, że druga wpłata leży za odsłoniętym kluczem publicznym, a nie za skrótem.
Co jest naprawdę odsłonięte dzisiaj
Wczesne wyjścia Bitcoina. Najstarsze transakcje płaciły bezpośrednio na klucze publiczne, a nie na skróty. Te surowe klucze są widoczne w łańcuchu w tej chwili. Duża część bardzo starych, nigdy nieruszanych monet — w tym sporo z tego, co przypisuje się Satoshiemu — należy do tej kategorii.
Każdy ponownie użyty adres. Wydaj raz, a wszystko, co potem tam otrzymasz, znajdzie się za opublikowanym kluczem.
Każdy adres Ethereum, który kiedykolwiek wykonał transakcję. Warto powiedzieć to wprost, bo ludzi to zaskakuje: w łańcuchach EVM klucz publiczny da się odtworzyć z dowolnego podpisu. Jeśli adres wysłał choć jedną transakcję, jego klucz jest faktycznie publiczny. Ethereum nie ma odpowiednika bitcoinowej kategorii „zahaszowane i niewydane”.
Wyjścia Taproot. Taproot umieszcza klucz publiczny bezpośrednio w wyjściu, zamiast jego skrótu. To eleganckie rozwiązanie o realnych zaletach dla prywatności i wydajności, i faktycznie oznacza, że wyjścia ścieżki klucza odsłaniają klucz od chwili zasilenia. Warto o tym wiedzieć; dziś nie jest to powód do niepokoju.
Okno mempoola. Gdy już wydajesz, twój klucz publiczny staje się widoczny w chwili rozgłoszenia — przed potwierdzeniem. Kwantowy napastnik dość szybki, by wyprowadzić klucz i wprowadzić konkurencyjną transakcję do bloku w tym oknie, mógłby ukraść środki w locie. To realny atak teoretyczny, wymagający możliwości daleko wykraczających poza cokolwiek zademonstrowanego.
Gdzie stoi SSP, uczciwie
Adresy Bitcoina w SSP to P2WSH — skrót skryptu świadka. To umieszcza twoje niewydane monety w kategorii skrótu: to, co jest w łańcuchu przed wydaniem, jest skrótem, a nie kluczami. Przy wydaniu ujawniane są skrypt i oba klucze publiczne, dokładnie tak jak przy każdym innym wyjściu opartym na skrypcie.
A teraz część, w której łatwo byłoby obiecać za dużo, więc tego nie zrobimy. Czy multipodpis 2-z-2 pomaga wobec kwantów? Ledwie.
Napastnik uruchamiający Shora przeciw twojemu wydanemu skryptowi musi wyprowadzić dwa klucze zamiast jednego. To mniej więcej dwa razy więcej pracy. Dwa razy to stały mnożnik, a stałe mnożniki nie są bezpieczeństwem — ktoś zdolny złamać jeden klucz secp256k1 niemal na pewno zdoła złamać dwa. Multipodpis dwa-z-dwóch świetnie chroni przed przejęciem urządzenia, phishingiem, kradzieżą i przymusem wobec pojedynczego klucza. Wobec kryptograficznie istotnego komputera kwantowego jest niemal bez znaczenia, a kto sprzedaje ci multipodpis jako ochronę kwantową, wprowadza cię w błąd.
Naprawdę liczy się migracja do podpisów postkwantowych na poziomie łańcucha, a tego żaden portfel nie zrobi samodzielnie.
Jak blisko to wszystko jest?
Wcale nie blisko, przy każdym uczciwym odczycie.
Złamanie secp256k1 algorytmem Shora wymaga dużego komputera kwantowego z korekcją błędów. Ponieważ fizyczne kubity są zaszumione, potrzeba ich wielu, by uzyskać jeden wiarygodny kubit logiczny, a publikowane szacunki ataku na realne rozmiary kluczy sięgają milionów kubitów fizycznych. Dzisiejsze maszyny są w tyle o wiele rzędów wielkości — to nie kwestia jeszcze jednej generacji sprzętu.
Dwie rzeczy nie pozwalają uznać tego za powód do ignorowania tematu.
Po pierwsze, kalendarz jest naprawdę niepewny. „Wiele rzędów wielkości dalej” to uczciwy opis dnia dzisiejszego i kiepska podstawa pewnych przepowiedni o roku 2040.
Po drugie, i ważniejsze: odsłonięte klucze nie wygasają. Przy danych szyfrowanych istnieje obawa „zbieraj teraz, odszyfruj później”. Przy monetach odpowiednik jest prostszy i gorszy — klucz publiczny widoczny dziś pozostaje widoczny, a monety za nim można zabrać, gdy tylko pojawi się zdolność. Żadne okno się nie zamyka. To jest argument, by już teraz zadbać o to, w której kategorii są twoje monety, choć zagrożenie pozostaje odległe.
Co się faktycznie robi
Kryptograficzne podwaliny już istnieją. NIST znormalizował postkwantowe schematy podpisu — ML-DSA i SLH-DSA, wywodzące się ze zgłoszeń Dilithium i SPHINCS+ — i można je dziś wdrażać w zwykłym oprogramowaniu.
Łańcuchy bloków są przypadkiem trudnym. Zmiana schematu podpisu to zmiana konsensusu: każdy węzeł, każdy portfel, każda giełda, każdy element infrastruktury musi się zgodzić i zmigrować. Podpisy postkwantowe są też znacznie większe od obecnych, co ma bezpośrednie skutki dla miejsca w bloku i opłat. I ktoś będzie musiał zdecydować, co stanie się z monetami, których właściciele nigdy nie zmigrują — w tym ze starymi wyjściami, których właściciele bywają nieosiągalni albo nie żyją. To problem zarządzania co najmniej tak trudny jak techniczny.
Prace trwają. Nie jest to jeszcze pilne, a gdy się takie stanie, potrwa lata.
Co robić
Nie używaj adresów ponownie. Powinieneś to już robić dla prywatności. Dodatkowo utrzymuje to twoje monety w kategorii skrótu, a nie za odsłoniętymi kluczami. To jedyna sensowna rzecz, jaką pojedyncza osoba może dziś zrobić, i jest darmowa.
Nie przebudowuj z tego powodu swoich zasobów. Żaden panikarski ruch nie jest uzasadniony. Kto nakłania cię do pilnego przenoszenia środków z powodu komputerów kwantowych, prowadzi oszustwo albo coś sprzedaje.
Zachowaj proporcje zagrożenia. Realnie znacznie łatwiej stracisz kryptowaluty przez zgubioną frazę odzyskiwania, stronę phishingową albo zatwierdzenie, którego nie przeczytałeś, niż przez komputer kwantowy. To są ryzyka dnia dzisiejszego i zasługują na dzisiejszą uwagę.
Oczekuj rozwiązania na warstwie protokołu. Gdy migracja nadejdzie, przyjdzie jako aktualizacja łańcucha z długim okresem przejściowym, a nie jako coś, co twój portfel po cichu naprawi.
Uczciwe stanowisko jest mało efektowne: realny problem, poprawnie zidentyfikowany, wciąż odległy, nad którym się pracuje — i który obecnie nie jest tym, co stoi między tobą a utratą twoich pieniędzy.
