Квантовая защита Bitcoin держится сильнее, чем предполагает паника на рынке

Криптосообщество разделено во взглядах на квантовый риск для Bitcoin: одни считают его неминуемой угрозой, требующей срочных мер, другие утверждают, что рыночный FUD значительно опережает реальную техническую опасность. Недавние дебаты с участием отраслевых фигур, таких как Gabor Gurbacs, стратегический советник Tether, выявили фундаментальное разногласие по срокам, степени угрозы и тому, является ли подготовка разумной или панической.

Архитектура, устойчивый к квантовым атакам сегодня

Защита Bitcoin от квантовых вычислений основана на важном различии: его механизм консенсуса кардинально отличается от слоя проверки транзакций. Безопасность сети на основе proof-of-work опирается на SHA-256 — хеш-алгоритм, который значительно лучше сопротивляется квантовым атакам, чем криптография с открытым ключом. Даже алгоритм Гровера, квантовое достижение, обеспечивающее ускорение по сравнению с классическими вычислениями, дает лишь квадратичное улучшение — недостаточно для взлома экономической системы, защищающей сеть.

Настоящая уязвимость кроется в подписи ECDSA, которая обеспечивает безопасность отдельных транзакций. Если когда-либо появится достаточно мощный квантовый компьютер, Shor’s algorithm теоретически сможет скомпрометировать эти ключи. Однако здесь Bitcoin показывает предусмотрительность: повторное использование адресов экономически невыгодно, большинство публичных ключей скрыто в блокчейне до момента расходования. Эта практика значительно снижает риск.

Почему нарративы о “квантовом судном корабле” вызывают ненужный страх

Gurbacs неоднократно подчеркивал, что опасения по поводу квантовых угроз преувеличены, указывая на три конкретных факта, которые опровергают нарратив о неминуемой катастрофе. Во-первых, квантовое оборудование, необходимое для взлома ECDSA, должно быть “невероятно быстрым и стабильным” — возможности, которые пока недостижимы для существующих прототипов. Во-вторых, другие криптографические системы разрушатся раньше: TLS, PGP и государственная инфраструктура PKI — все они рухнут раньше, если появятся такие машины. На 2024 год ни одна из этих систем не была взломана, что говорит о том, что квантовые вычисления остаются скорее теоретической угрозой, чем практической.

В-третьих, модульная архитектура Bitcoin позволяет обновлять слой подписей без нарушения монетарной политики или правил эмиссии. Недавняя стандартизация FIPS-205 от NIST, формализующая SLH-DSA (Статeless Hash-Based Digital Signature Algorithm), показывает, что появляются постквантовые альтернативы от авторитетных институтов. Это исключает одну из причин бездействия: стандарты уже существуют.

Технический аргумент постепенного перехода

Adam Back, один из основателей киберпанков, предложил элегантное решение, которое набрало популярность: Bitcoin может внедрить новые типы подписей в рамках существующей системы Taproot/Schnorr без немедленных глобальных сбоев. Пользователи могут выбрать квантоустойчивые методы — например, хранить средства в новом типе листа — при этом устаревшая инфраструктура остается рабочей. Такой поэтапный подход позволяет разработчикам подготовить инфраструктуру и протестировать стандарты задолго до появления реальной угрозы.

Здесь важна временная шкала. В августе 2024 года NIST только формализовал SLH-DSA, что означает, что криптографическое сообщество еще только оценивает эти альтернативы. Разработчикам потребуется годы, а не месяцы, чтобы проверить реализации, понять компромиссы и договориться о выборе схем. Back оценил, что “схемы подписи schnorr и ECDSA будут устаревшими” при появлении криптографически значимых квантовых компьютеров (CRQCs), но предсказал, что это произойдет “гораздо позже 2030 года”.

Где сопротивляются ветераны безопасности: управление и координация

Не все убеждены, что постепенная подготовка достаточна. Dan McArdle из Messari и Graeme Moore из Project Eleven выделили три структурных сложности, которые Gurbacs, возможно, недооценивает.

Наследственные P2PK-выходы — первая проблема. Некоторые очень старые транзакции Bitcoin используют pay-to-pubkey форматы, которые сразу раскрывают публичные ключи, без защиты повторного использования адресов современных стандартов. Хотя такие транзакции разбросаны по сети, они могут стать мишенями, если квантовые компьютеры ускорятся неожиданно.

Мемпул-атаки — вторая, более экзотическая угроза: мощный квантовый противник может украсть средства в короткий промежуток времени, когда транзакция распространяется по сети, но еще не подтверждена. Злоумышленник извлечет публичный ключ отправителя из неподтвержденной транзакции, вычислит приватный ключ и перенаправит средства — все до подтверждения. Однако McArdle признал, что для этого потребуется квантовое оборудование в разы быстрее, чем что-либо, что сейчас находится в разработке.

Рост размера подписей постквантовых схем — третья, наиболее конкретная проблема. Такие схемы, как SLH-DSA, создают более крупные подписи, чем secp256k1 — возможно, потребуется увеличение размера блока для сохранения пропускной способности транзакций. Эта борьба за управление уже давно преследует Bitcoin с времен масштабных споров 2015-2017 годов, и повторное обсуждение может привести к расколу сообщества.

Moore подчеркнул, что полная миграция на постквантовые подписи может занять шесть месяцев или больше даже при идеальных условиях, что говорит о необходимости начинать подготовку сейчас, а не ждать угроз. Он также поставил под сомнение готовность сообщества принять алгоритмы, стандартизированные NIST, учитывая, что Satoshi Nakamoto сознательно выбрал нестандартизированные кривые, такие как secp256k1, из-за недоверия к централизованным органам стандартизации.

Вопрос о немигрировавших монетах: этика и технологии

Moore предложил провокационный мысленный эксперимент: что произойдет с “потерянными” Bitcoin, включая активы, приписываемые Сатоши Накомото, во время квантового обновления? Следует ли заморозить такие монеты или позволить им стать уязвимыми? Gurbacs отверг любые особые исключения, утверждая, что правила управления должны применяться одинаково ко всем немигрировавшим ключам. Его позиция: более слабые криптосистемы выйдут из строя первыми, давая годы предупреждения, прежде чем Bitcoin столкнется с серьезной угрозой.

Рыночная безразличие и реальные сроки

На момент публикации Bitcoin (BTC) торгуется по 95,20K долларов, что говорит о том, что рынок остается равнодушным к квантовым сценариям. Ни одна из сторон не оспаривает необходимость подготовки — только срочность и сроки остаются предметом спора. В конечном итоге разногласие сводится к тому, появятся ли квантовые компьютеры, способные взломать ECDSA, через пять, пятнадцать или более лет.

Очевидно, что архитектура Bitcoin, хотя и зрелая, не зафиксирована навсегда. Сеть может адаптироваться через soft-форки, вводящие новые типы подписей, постепенный переход пользователей к квантоустойчивым методам и дальнейшие исследования постквантовой криптографии. Сейчас вопрос в том, произойдет ли эта адаптация заблаговременно или только когда квантовые угрозы станут очевидными.