Google ha dichiarato che il suo chip quantistico Willow ha ridotto gli errori di circa 40 volte nella preparazione dei "magic states", una risorsa specializzata necessaria per i calcoli quantistici che potrebbero eventualmente minacciare i wallet Bitcoin. I risultati sono stati pubblicati su Science questa settimana.

L'esperimento ha raggiunto una fedeltà di circa il 99,99% tra gli stati che hanno superato l'ispezione, anche se solo circa l'8% dei tentativi di preparazione ha avuto successo, e restano considerevoli sfide di scalabilità.

I risultati non rendono un attacco a Bitcoin 40 volte più economico. Avanzano invece un metodo ingegneristico che potrebbe aiutare i futuri computer quantistici a sostenere i circa 500.000 magic states affidabili al secondo richiesti in un attacco simulato.

Il lavoro affronta una sfida che compare raramente nel dibattito sul calcolo quantistico e bitcoin, che di solito si concentra su quanto grande dovrebbe essere la macchina di cui un attaccante avrebbe bisogno, dedicando meno attenzione a quanta parte di quella macchina sarebbe occupata nella preparazione al calcolo.

Perché le monete più antiche danno all'attaccante più tempo

Un wallet bitcoin usa una chiave segreta per approvare i pagamenti e una chiave pubblica corrispondente che consente alla rete di verificare tali approvazioni. La spesa tipicamente rivela la chiave pubblica, mentre alcuni tipi di pagamento la espongono fin dall'inizio.

Risalire dalla chiave pubblica al segreto dovrebbe richiedere una quantità di calcolo impraticabile, ed è ciò che rende praticamente impossibile decodificare all'indietro i wallet crittografici. Tuttavia, un computer quantistico abbastanza grande che esegua l'algoritmo di Shor potrebbe, in teoria, fare quel calcolo. Chi recuperasse la chiave segreta potrebbe firmare transazioni come il proprietario, e la rete le accetterebbe come autentiche. Il matematico Peter Shor ha pubblicato per primo il metodo nel 1994, ma nessuno è ancora riuscito a dimostrarlo.

Una frase di recupero chiusa in un cassetto fisico non offre protezione contro un tale attacco, perché l'attaccante lavorerebbe a partire da informazioni già presenti sulla blockchain.

Alcuni formati di pagamento più recenti nascondono la chiave pubblica dietro un hash — un'impronta digitale — finché il proprietario non spende. Un attaccante che miri a una chiave precedentementeascosta dovrebbe attendere quell'esposizione e potrebbe dover recuperare il segreto abbastanza rapidamente da interferire con il pagamento.

È anche il motivo per cui le monete perse presentano un problema difficile. Bitcoin può introdurre protezioni di spesa più forti, ma serve comunque chi possiede le chiavi esistenti per spostare le vecchie disponibilità in esse. Se quelle chiavi sono perdute, il proprietario non può effettuare il trasferimento, e la chiave pubblica esposta rimane disponibile per un futuro attaccante.

Le disponibilità dei primi anni di Bitcoin sono spesso descritte come "dell'era Satoshi", dallo pseudonimo del creatore della rete, e molte ricompense iniziali erano pagate direttamente alla chiave pubblica — un formato che collocava la chiave stessa sulla blockchain anziché un suo hash. Alcune delle disponibilità bitcoin più antiche hanno le chiavi pubbliche esposte da quando sono state minate, e le monete vecchie si sono mosse man mano che il dibattito quantistico si faceva più acceso. Il 7 ottobre, 100,02 BTC intoccati dal luglio 2010 si sono mossi dopo più di 16 anni, per un valore di circa 8,5 milioni di dollari. Ad agosto, sei wallet inattivi dal 2011–2014 hanno spostato altri 553,59 BTC, del valore di circa 40 milioni di dollari all'epoca.

Quei trasferimenti non dimostrano da soli che i detentori stiano reagendo alle paure quantistiche; spostare monete può semplicemente significare cambiare wallet, riorganizzare le disponibilità o prepararsi a vendere.

Il costo della preparazione

I computer quantistici memorizzano le informazioni in unità chiamate qubit, che sono estremamente fragili. Calore, vibrazioni e segnali parassiti possono disturbarli e introdurre errori, e aggiungere più qubit aggiunge anche più occasioni di errore.

Gli ingegneri affrontano il problema organizzando molti qubit fisici in gruppi che rilevano e correggono gli errori. Ogni gruppo si comporta come un'unità più affidabile nota come qubit logico. Quelle unità hanno poi bisogno dell'equivalente digitale di un carburante per eseguire certe operazioni: stati quantistici preparati appositamente che i ricercatori chiamano "magic states". Ognuno viene consumato quando usato, quindi il computer deve continuare a produrli per tutta la durata di un calcolo.

Si pensi a una cucina di ristorante in cui ogni piatto richiede una nuova dose di una salsa non riutilizzabile, e dove parte del personale deve continuare a preparare salsa mentre gli altri cucinano. In un computer quantistico, l'hardware dedicato alla produzione dei magic states è hardware che non può essere assegnato ad altro lavoro.

Questo sovraccarico significa che un potenziale attaccante affronta due problemi contemporaneamente: assemblare una macchina abbastanza grande da eseguire il calcolo e mantenerla rifornita di stati per tutta la durata.

metodo di Google, chiamato cultivation, parte da una versione approssimativa dello stato, la verifica alla ricerca di errori e scarta i tentativi difettosi. L'obiettivo è produrre stati puliti usando meno hardware rispetto ai metodi precedenti.

L'azienda ha riportato una fedeltà di circa il 99,99% — una misura di quanto gli stati finali fossero vicini a quelli ricercati dai ricercatori. Quel numero si applica solo agli stati che hanno superato l'ispezione. Willow ha mantenuto circa l'8% dei suoi tentativi dopo i controlli durante la preparazione e la misurazione. Ogni 100 tentativi, circa otto sono andati a buon fine.

I prossimi passi includono l'esecuzione del processo su una scala molto più ampia e il mantenimento dell'utilità degli stati man mano che alimentano calcoli più lunghi. I ricercatori affermano che servono ulteriori lavori sulle operazioni in tempo reale e sul trasferimento degli stati in configurazioni di correzione degli errori più robuste.

Come si colloca rispetto alle ricerche precedenti

A marzo, Google ha stimato che un futuro computer quantistico superconduttivo con meno di 500.000 qubit fisici potrebbe violare la crittografia dei wallet usata da Bitcoin ed Ethereum, sotto un insieme specifico di ipotesi hardware. A settembre, CoinDesk ha riportato che ricercatori avevano ridotto il carico di lavoro di un calcolo centrale usato in quell'attacco. Quel lavoro riguardava un solo componente, lasciando fuori l'attacco completo e i costi hardware fisici della sua esecuzione.

Quegli studi riducono la quantità di calcolo che un attaccante deve fare. La cultivation affronta il costo di rifornire la macchina mentre esegue quel calcolo. I guadagni non possono essere semplicemente moltiplicati tra loro: la stima di marzo di Google assumeva già una produzione efficiente dei magic states, e l'esperimento testa parte di quell'approccio ingegneristico anziché fornire un'altra riduzione di 40 volte del costo stimato dell'attacco a bitcoin.

Prese insieme, le ricerche tracciano la lista di controllo ingegneristica rimanente — abbastanza qubit fisici, un calcolo più snello e una fornitura affidabile di stati — con ciascun elemento dimostrato finora singolarmente anziché come macchina completa.

Il documento di marzo mostra anche quanto carburante brucerebbe un attacco. Per un attacco simulato della durata di circa nove minuti dopo che una chiave pubblica diventa disponibile, Google ha stimato che la macchina avrebbe bisogno di circa 500.000 magic states sufficientemente affidabili ogni secondo.

Finché la cultivation e gli altri componenti non saranno dimostrati funzionanti insieme su larga scala, l'attacco simulato resta una stima hardware anziché una capacità operativa.