Der Bitcoin-Entwickler Cory Fields hat einen ungewöhnlichen Idee im Umgang mit künftigen Quantendieben: Sie sollen jedes Mal ihr eigenes Bitcoin riskieren, wenn sie versuchen, anderen ihr Bitcoin zu stehlen.

In einem Beitrag vom 4. November auf der Bitcoin-Entwickler-Mailingliste skizzierte Fields „Quantenlandminen“ und zwei Arten von Auktionen, die Angriffe auf verwundbare Wallets in teure Glücksspiele verwandeln sollen. Er nannte die Ideen „Gedankenexperimente“, kein abgeschlossenes Bitcoin-Upgrade. Der Rahmen der Mailingliste verortet die Ideen am frühesten Punkt von Bitcoins offenem Veränderungsprozess, in dem andere Entwickler die Mechanik lange vor jedem formellen Vorschlag oder Code prüfen können. Die Auktionsdesigns zielen auf scheinbar verlassene Coins ab, bei denen möglicherweise niemand vorhanden ist, um eine Landmine auszulösen. Alles bleibt hypothetisch: Bitcoin bräuchte quantensichere Wallets, neue Konsensregeln und eine Einigung darüber, wie diese aktiviert werden.

Warum Quantencomputer manche Wallets bedrohen

Bitcoin-Besitzer verwenden einen geheimen privaten Schlüssel, um Transaktionen zu autorisieren. Ein passender öffentlicher Schlüssel ermöglicht dem Netzwerk, Signaturen zu prüfen, ohne das Geheimnis zu kennen. Heutige Computer können einen privaten Schlüssel aus dem öffentlichen Gegenstück nicht realistisch berechnen, aber ein hinreichend leistungsfähiger Quantencomputer könnte dies mithilfe eines mathematischen Verfahrens namens Shor-Algorithmus tun – und einem Dieb potenziell erlauben, Coins auszugeben, als gehörten sie ihm.

Einige ältere Bitcoin-Outputs legen öffentliche Schlüssel offen, und auch bestimmte neuere Formate zeigen sie. Andere Adresstypen verbergen den Schlüssel, bis jemand eine Transaktion durchführt, sodass das Risiko nicht für jede Wallet gleich ist. Forscher bezeichnen das hypothetische Eintreffen eines für solche Angriffe fähigen Computers als „Q-Day“. Heute kann keine öffentlich demonstrierte Maschine Bitcoin auf diese Weise stehlen, und niemand weiß genau, wann eine existieren könnte.

Wie eine Quantenlandmine funktioniert

Man stelle sich vor, jemand besitzt 1 BTC in einer alten, potenziell verwundbaren Wallet. Vor dem Q-Day erstellt der Besitzer einen winzigen, separaten quantensicheren Bitcoin-Output, der einen verborgenen Nachweis enthält, dass er den ursprünglichen privaten Schlüssel kontrollierte, als Quantendiebstahl noch unmöglich war. Man kann sich das als versiegelten Eigentumsbeleg vorstellen. Außenstehende können den kleinen Output sehen, aber nicht den darin verborgenen Nachweis – oder sogar, dass es sich um eine Falle handelt.

Nun stelle man sich vor, ein künftiger Dieb nutzt einen Quantencomputer, um diesen privaten Schlüssel wiederherzustellen. Nach Fields’ vorgeschlagenen Regeln kann der Dieb die 1 BTC nicht einfach nehmen: Er muss 1 BTC eigenes, aus einer quantensicheren Wallet, als Kaution hinterlegen. Beide Coins gelangen in einen eingeschränkten Output im Wert von 2 BTC, und der Dieb muss eine Anfechtungsfrist – in Fields’ Beispiel 30 Tage – abwarten, bevor er frei darüber verfügen kann.

Wenn der Wallet-Besitzer die Transaktion bemerkt, legt er den Nachweis aus der Zeit vor dem Q-Day vor. Das Netzwerk erlaubt dem Besitzer dann, die vollen 2 BTC an die quantensichere Adresse zu übertragen, die er zuvor festgelegt hat: sein ursprünglicher Coin plus die Kaution des Diebs. Da ein Angreifer nicht im Voraus wissen kann, welche alten Wallets solche verborgenen Belege enthalten, könnte selbst eine erfolgreiche quantenbasierte Schlüsselwiederherstellung zu einem Verlust von 1 BTC werden.

Das Design belastet auch ehrliche Inhaber. Der Besitzer bräuchte ebenfalls eine entsprechende Kaution, um einen normalen Transfer seines eigenen Legacy-Coins nach dem Q-Day einzuleiten. Ohne zusätzlichen BTC könnte dieselbe Regel, die Dieben schaden soll, die Übertragung der eigenen Ersparnisse erschweren.

Was ist mit verlorenen oder verlassenen Coins?

Landminen funktionieren nur, wenn ein Besitzer eine vor dem Q-Day vorbereitet und rechtzeitig offenlegt. Diese Anforderung der Vorabvorbereitung zieht sich durch jeden Mechanismus des Vorschlags, und hier konzentrieren sich die Einsätze für Inhaber: Sobald eine Maschine existiert, die solche Angriffe ermöglichen kann, gibt es keinen späteren Zeitpunkt mehr, um den Eigentumsnachweis aus der Zeit vor dem Q-Day zu erbringen, eine Landmine zu platzieren oder ein Gebot zu registrieren. Sie können keine Coins schützen, deren Schlüssel bereits verloren sind, darunter einige frühe Bitcoin-Bestände, von denen weithin angenommen wird, dass sie unzugänglich sind.

Fields schlägt einen zweiten Mechanismus namens Staked Auction vor. Vor dem Q-Day könnte jemand quantensicheres Bitcoin sperren und heimlich ein Gebot gegen eine bestimmte alte Wallet registrieren, die seiner Erwartung nach von Dieben ins Visier genommen wird. Angenommen, eine scheinbar verlassene Wallet enthält 50 BTC. Ein künftiger Angreifer versucht, sie zu übertragen, und hinterlegt weitere 50 BTC als Kaution; während der Auktionsphase kann ein Teilnehmer, der im Voraus ein Gebot abgegeben hat, den versuchten Diebstahl anfechten.

In Fields’ Beispiel erhält ein erfolgreicher Herausforderer einen Teil der Kaution des Angreifers, während die ursprünglichen verwundbaren Coins vernichtet statt dem Bieter übergeben werden. Ziel ist es, Dieben eine verlässliche Beute zu entziehen, nicht die Coins einem verschollenen Besitzer zurückzugeben.

Seine dritte Idee, eine Sats-Auktion, erfordert keine Vorab-Einzahlung. Stattdessen würde eine Ausgabe verwundbarer Coins einen Wettbewerb auslösen, bei dem der Höchstbietende die Coins abzüglich seines Gebots erhält, während der Zweitplatzierte sein Gebot zahlt und nichts bekommt. Das erinnert an ein berüchtigtes Auktionsspiel, bei dem zwei Bieter ihre Angebote immer weiter erhöhen, weil keiner derjenige sein will, der umsonst Geld verliert. Ein Dieb könnte es daher vermeiden, einen Wettbewerb zu beginnen, der mehr kosten könnte als die Coins, die er stehlen wollte.

Warum verwundbares Bitcoin nicht einfach einfrieren?

Ein vorgeschlagener Antwort auf das Quantenrisiko ist es, Ausgaben aus veralteten Wallets nach einer Migrationsfrist einzuschränken. Das könnte Diebstahl verhindern, könnte aber auch legitime Besitzer dauerhaft aussperren, die ihre Coins nie übertragen haben.

Fields erkundet einen anderen Kompromiss: alte Coins potenziell ausgebbar halten, aber versuchte Übertragungen kostspielig und anfechtbar machen. Die Schwierigkeit: Bitcoin kann einen ehrlichen Besitzer nicht von einem Quantendieb unterscheiden, wenn beide dieselbe gültige Signatur erzeugen können. Der Kompromiss ist erheblich: Ehrliche Besitzer könnten große Kautionshinterlegungen benötigen, inaktive Inhaber könnten ihre Chance zum Widerspruch verpassen, und Auktionsregeln könnten Coins vernichten, die Menschen gehören, die noch leben und schlicht offline sind.

Was wäre zur Umsetzung nötig?

Zunächst bräuchte Bitcoin eine quantensichere Möglichkeit, Guthaben zu halten und auszugeben. Wallets müssten dann verborgene Eigentumszusagen unterstützen, während Bitcoins Konsensregeln Kautionshinterlegungen, Wartefristen, spezielle Wiederherstellungstransaktionen und Auktionen durchsetzen müssten. Die Entwickler müssten sich zudem darauf einigen, wann die neuen Regeln aktiviert werden, wie hoch die Kaution ausfällt und was mit verlorenen Geboten oder verbleibenden Mitteln geschieht.

Fields ist überzeugt, dass einige Mechanismen über einen Soft Fork – eine Art Bitcoin-Regeländerung – eingeführt werden könnten, hat aber keinen detaillierten Entwurf vorgelegt. Keines dieser Schutzmechanismen existiert heute in Bitcoin. Fields hat weder eine Implementierung noch einen Aktivierungszeitplan veröffentlicht, und sein ursprünglicher Beitrag lässt die Auktionsauszahlungen und sogar das angestrebte Ergebnis einer Auktion offen. Diese offenen Punkte sind zugleich die Signale, auf die zu achten sind: ein Folgebeitrag, der die Auktionsauszahlungen festlegt, ein Entwurf einer Spezifikation oder sichtbares Engagement anderer Entwickler zu quantensicheren Output-Formaten würden den Übergang der Idee über das Gedankenexperiment hinaus markieren – und ihr Fehlen hält sie dort.

Quelle: Decrypt