Gli ultimi risultati di Google nell'ambito del calcolo quantistico hanno reso più urgente una questione di lungo termine per Bitcoin: quali holdings verrebbero esposte per prime se l'hardware quantistico crittograficamente rilevante diventasse praticabile, e come potrebbero i loro proprietari migrare?

In un annuncio del 15 ottobre, Google Quantum AI ha dichiarato che il suo processore Willow ha ridotto gli errori di circa 40 volte durante la preparazione di stati quantistici specializzati. L'esperimento riguarda un solo componente di un computer quantistico a tolleranza d'errore, non il sistema completo necessario per attaccare le firme digitali di Bitcoin.

Cosa ha dimostrato Willow

Lo studio, "Magic state cultivation on a superconducting quantum processor", esamina come preparare le risorse necessarie per operazioni al di fuori dell'insieme di base supportato da molte architetture a correzione d'errore. Queste risorse sono note come magic states.

I magic states vengono consumati quando un computer quantistico esegue determinate operazioni. Un calcolo lungo e complesso richiede quindi una fornitura continua di stati affidabili, oltre all'hardware che esegue il calcolo.

Il processo di cultivation inizia con uno stato imperfetto e utilizza controlli coordinati per conservare risultati di qualità superiore. I ricercatori hanno riportato una fedeltà logica di circa il 99,99% e un errore inferiore di circa 40 volte rispetto alla loro baseline di iniezione di stato.

Quel risultato ha comportato un importante compromesso. Circa l'8% dei tentativi è rimasto dopo il processo di selezione, compresi i controlli effettuati durante la preparazione e la misurazione. La fedeltà riportata descrive quindi gli stati conservati, e non la frequenza di output di una macchina completa che esegue un calcolo di grandi dimensioni in modo continuo.

Di conseguenza, l'annuncio non deve essere interpretato come una riduzione di 40 volte delle risorse necessarie per attaccare Bitcoin. Willow ha dimostrato che il metodo di preparazione funziona su hardware, ma costruire un computer a tolleranza d'errore in grado di mantenere la qualità, la scala e la velocità di elaborazione necessarie per il recupero delle chiavi crittografiche resta un compito ben più grande.

Le chiavi pubbliche già visibili on-chain affronterebbero il primo rischio

Bitcoin utilizza firme digitali per dimostrare che una transazione è autorizzata. Il proprietario firma con una chiave privata, mentre la rete verifica la firma rispetto alla corrispondente chiave pubblica.

Un computer quantistico sufficientemente potente che esegua l'algoritmo di Shor potrebbe, in linea di principio, derivare una chiave privata dalla sua chiave pubblica e quindi creare una firma valida. Un simile attacco non richiederebbe all'aggressore di rubare un hardware wallet, compromettere un computer o ottenere una recovery phrase.

Il periodo di tempo per cui una chiave pubblica rimane visibile è centrale per il rischio. Un attacco a esposizione lunga prende di mira una chiave già disponibile sulla blockchain, concedendo a un futuro aggressore tutto il tempo necessario per tentare il recupero della chiave. Un attacco a esposizione breve inizia dopo che una chiave pubblica compare in una transazione in attesa di conferma, lasciando una finestra molto più ristretta.

Molti dei primi premi di mining utilizzavano output pay-to-public-key, che rivelano la chiave pubblica finché le monete non vengono spese. La loro esposizione deriva dalle condizioni di spesa, non semplicemente dall'età delle monete. Anche le holdings moderne possono affrontare un'esposizione lunga se la loro chiave è stata rivelata in una transazione precedente o se utilizzano output Taproot.

La specifica Taproot utilizza una chiave pubblica di output che supporta la spesa diretta basata su firma. Ciò non rende Taproot insicuro oggi. Significa però che un formato di indirizzo più recente non nasconde automaticamente le informazioni sulla chiave pubblica rilevanti per un possibile futuro attacco quantistico di recupero delle chiavi.

Il cold storage rimane prezioso contro il furto ordinario perché protegge le chiavi private da compromissioni online. Non rimuove una chiave pubblica già pubblicata sulla blockchain.

Un futuro attacco richiederebbe una macchina ben oltre Willow

Uno studio separato sulle risorse, guidato da Google, descrive cosa potrebbe richiedere un futuro attacco alle firme a curva ellittica di Bitcoin sulla base di ipotesi specifiche. Non è una descrizione delle capacità dimostrate di Willow. Le stime di risorse di questo tipo traducono la minaccia quantistica in requisiti hardware specifici, offrendo a sviluppatori e ricercatori parametri misurabili da monitorare con l'evolversi della tecnologia.

Utilizzando ipotesi per una futura architettura superconduttiva, tra cui tassi di errore fisici di 10 -3, connettività planare e un sistema di controllo veloce, lo studio ha stimato che i circuiti rilevanti potrebbero essere eseguiti in pochi minuti con meno di mezzo milione di qubit fisici.

Per una macchina "primed" a clock veloce, l'articolo modella un tempo medio di recupero della chiave di circa nove minuti dopo che una chiave pubblica diventa disponibile. Questa tempistica dipende da calcoli pregressi e da tempi di reazione del sistema di controllo che l'hardware attuale non ha dimostrato alla scala richiesta.

Il modello stima inoltre che un calcolo di nove minuti richiederebbe circa mezzo milione di T-states sufficientemente affidabili ogni secondo. Si tratta di un requisito di produzione continuo, non del numero di qubit della macchina.

La stima hardware incorpora già un approccio efficiente alla produzione di magic states. Dividere la cifra per la riduzione d'errore di 40 volte di Willow conterebbe quindi doppio i progressi: un errore inferiore in un metodo di preparazione sperimentale non equivale a una riduzione proporzionale del costo di un intero attacco crittografico.

La protezione futura non risolverebbe automaticamente il problema delle holdings legacy

Gli sviluppatori di Bitcoin stanno valutando proposte che affrontano diverse fasi dell'esposizione quantistica. BIP 360 propone Pay-to-Merkle-Root, o P2MR, un tipo di output in bozza per soft-fork che elimina la spesa tramite key-path esposta di Taproot.

P2MR è progettato per ridurre il rischio a esposizione lunga evitando il key path che rende gli output Taproot vulnerabili prima della spesa. Non fornirebbe una protezione completa una volta che una chiave viene rivelata in una transazione in attesa nel mempool. Gli autori del BIP affermano che la difesa contro questi attacchi più brevi potrebbe richiedere firme post-quantistiche.

Una proposta di migrazione dalle firme esistenti di Bitcoin creerebbe una sfida ulteriore. BIP 361 è una proposta informativa in bozza che dipende da una separata proposta di firma post-quantistica ancora non specificata. La transizione di cinque anni suggerita inizierebbe solo dopo l'attivazione; non è unaadenza attiva per i possessori di Bitcoin.

Le holdings dormanti presentano la questione di migrazione più difficile. Un proprietario che ha perso l'accesso alle chiavi private non può autorizzare uno spostamento verso una protezione più forte. L'inattività, tuttavia, non prova che le monete siano state abbandonate. Qualsiasi regola che limiti le holdings non migrate potrebbe quindi interessare anche legittimi proprietari che tornino in seguito.

La questione immediata è la preparazione, non il panico

Nulla nell'esperimento di Willow significa che i possessori di Bitcoin debbano effettuare oggi un trasferimento d'emergenza. La domanda rilevante è se un output espone già una chiave pubblica, non se il proprietario custodisce la chiave privata in un hardware wallet o se l'indirizzo appaia semplicemente vecchio.

Il compito più difficile per Bitcoin è creare e adottare un percorso di migrazione prima che esista hardware quantistico crittograficamente rilevante. Sarà necessario accordarsi su nuovi tipi di output, il software di wallet e di custodia dovrà supportarli, e i proprietari dovranno avere un modo pratico per spostare i fondi esistenti.

Questo processo richiederà probabilmente più tempo della creazione di un nuovo formato di indirizzo, in particolare per le monete vecchie o inaccessibili. Bitcoin dispone di proposte in bozza per una protezione futura, ma nessun percorso di migrazione post-quantistica attivato. Per ora, i riferimenti concreti da seguire sono se BIP 360 e BIP 361 avranno superato lo stato di bozza, e se i progressi dell'hardware quantistico si estenderanno da dimostrazioni a componente singolo come Willow verso le macchine a tolleranza d'errore modellate dallo studio sulle risorse.

Questo articolo è fornito esclusivamente a scopo informativo e non costituisce una consulenza finanziaria o di investimento.