Bitcoin-ontwikkelaar Cory Fields heeft een ongewoon idee om future quantumdieven te lijf te gaan: laat hen bij elke poging om iemand anders' Bitcoin te stelen hun eigen Bitcoin op het spel zetten.

In een post van 4 november op de Bitcoin-ontwikkelingsmaillijst schetste Fields 'quantumlandmijnen' en twee soorten veilingen die zijn ontworpen om aanvallen op kwetsbare wallets om te zetten in kostbare gokjes. Hij noemde de ideeën 'gedachte-experimenten', geen voltooide Bitcoin-upgrade. De omgeving van de maillijst plaatst de ideeën in de vroegste fase van Bitcoin's open veranderingsproces, waar andere ontwikkelaars de mechanismen kunnen onderzoeken lang voordat er een formeel voorstel of code bestaat. De veilingontwerpen zouden zich richten op schijnbaar verlaten munten, waar mogelijk niemand meer in de buurt is om een landmijn te laten afgaan. Alles blijft hypothetisch: Bitcoin zou quantumveilige wallets, nieuwe consensusregels en overeenstemming over de activering nodig hebben.

Waarom quantumcomputers sommige wallets bedreigen

Bitcoin-eigenaren gebruiken een geheime privésleutel om transacties te autoriseren. Een bijbehorende openbare sleutel laat het netwerk handtekeningen controleren zonder het geheim te kennen. De computers van vandaag kunnen een privésleutel niet realistisch berekenen vanuit het openbare deel, maar een voldoende krachtige quantumcomputer zou dat wél kunnen met een wiskundige techniek die Shor's algoritme heet — waardoor een dief munten zou kunnen uitgeven alsof hij ze bezit.

Sommige oudere Bitcoin-outputs hebben openbare sleutels blootgelegd, en bepaalde nieuwere formaten doen dat ook. Andere adrestypes verbergen de sleutel totdat iemand uitgeeft, dus het risico is niet voor elke wallet hetzelfde. Onderzoekers noemen de hypothetische komst van een computer die tot dergelijke aanvallen in staat is 'Q-Day'. Er kan vandaag geen publiek gedemonstreerde machine Bitcoin op deze manier stelen, en niemand weet precies wanneer zo'n machine zou kunnen bestaan.

Hoe een quantumlandmijn werkt

Stel dat iemand 1 BTC bezit in een oude, mogelijk kwetsbare wallet. Vóór Q-Day creëert de eigenaar een kleine, aparte quantumveilige Bitcoin-output met daarin een verborgen bewijs dat hij of zij de oorspronkelijke privésleutel beheerste toen quantumdiefstal nog onmogelijk was. Zie het als een verzegeld eigendomsbewijs. Buitenstaanders kunnen de kleine output zien, maar niet het bewijs dat erin verstopt zit — of zelfs dat het een val is.

Stel je nu voor dat een toekomstige dief een quantumcomputer gebruikt om die privésleutel te achterhalen. Volgens Fields's voorgestelde regels kan de dief niet simpelweg de 1 BTC nemen: hij moet 1 BTC van zichzelf, afkomstig uit een quantumveilige wallet, als onderpand toevoegen. Beide munten komen in een beperkte output ter waarde van 2 BTC, en de dief moet een challengeperiode doorlopen — 30 dagen in Fields's voorbeeld — voordat hij vrij over de munten kan beschikken.

Als de wallet-eigenaar de transactie opmerkt, onthult hij of zij het bewijs van vóór Q-Day. Het netwerk staat de eigenaar dan toe de volledige 2 BTC te verplaatsen naar het quantumveilige adres waartoe hij of zij zich eerder heeft verbonden: de oorspronkelijke munt, plus het onderpand van de dief. Omdat een aanvaller vooraf niet kan weten welke oude wallets deze verborgen bewijzen bevatten, kan zelfs een geslaagde quantumachtige sleutelherstelling een verlies van 1 BTC worden.

Het ontwerp belast ook eerlijke houders. De eigenaar zou ook gelijkwaardig onderpand nodig hebben om een normale verplaatsing van de eigen legacy-munt ná Q-Day te starten. Zonder BTC-tegoed zou dezelfde regel die dieven moet raken het verplaatsen van iemands spaargeld moeilijk kunnen maken.

Wat met verloren of verlaten munten?

Landmijnen werken alleen als een eigenaar er een vóór Q-Day voorbereidt en op tijd onthult. Die eis van voorbereiding loopt door elk mechanisme in het voorstel, en daar concentreren zich de belangen voor houders: zodra er een machine bestaat die tot deze aanvallen in staat is, is er geen later moment meer om eigendom van vóór Q-Day te bewijzen, een landmijn te planten of een bod te registreren. Ze kunnen munten niet beschermen waarvan de sleutels al verloren zijn, waaronder enkele vroege Bitcoin-bezittingen waarvan breed wordt aangenomen dat ze ontoegankelijk zijn.

Fields stelt een tweede mechanisme voor, een zogenoemde staked auction. Vóór Q-Day kan iemand quantumveilige Bitcoin opsloten en in het geheim een bod registreren tegen een specifieke oude wallet waarvan hij of zij verwacht dat dieven zich erop richten. Stel dat een schijnbaar verlaten wallet 50 BTC bevat. Een toekomstige aanvaller probeert de munten te verplaatsen en stort nog eens 50 BTC als onderpand; tijdens de veilingperiode kan een deelnemer die vooraf een bod heeft verbonden de poging tot diefstal uitdagen.

In Fields's voorbeeld claimt een succesvolle uitdager een deel van het onderpand van de aanvaller, terwijl de oorspronkelijke kwetsbare munten worden vernietigd in plaats van aan de bieder te worden toegekend. Het doel is dieven een gegarandeerde buit te ontzeggen, niet om de munten terug te geven aan een vermiste eigenaar.

Zijn derde idee, een sats-auction, vereist geen voorafgaande inzet. In plaats daarvan zou een uitgave van een kwetsbare munt een wedstrijd op gang brengen waarin de hoogste bieder de munten krijgt minus het bod, terwijl de nummer twee het bod betaalt en niets krijgt. Dat lijkt op een berucht veilingspel waarin twee bieders steeds hogere biedingen doen omdat niemand de persoon wil zijn die geld verliest zonder iets te ontvangen. Een dief zou daarom kunnen vermijden een wedstrijd te starten die meer zou kunnen kosten dan de munten die hij wilde stelen.

Waarom kwetsbare Bitcoin niet gewoon bevriezen?

Eén voorgesteld antwoord op quantumrisico is het beperken van uitgaven uit verouderde wallets na een migratietermijn. Dat zou diefstal kunnen voorkomen, maar ook legitieme eigenaren die hun munten nooit verplaatsten permanent buitensluiten.

Fields onderzoekt een andere afweging: oude munten potentieel besteedbaar houden, maar pogingen tot overdracht kostbaar maken en onderhevig aan uitdagingen. De complicatie is dat Bitcoin een eerlijke eigenaar niet kan onderscheiden van een quantumdief als beide dezelfde geldige handtekening kunnen produceren. De afweging is zwaar: eerlijke eigenaren hebben mogelijk grote onderpandstortingen nodig, inactieve houders kunnen hun kans om bezwaar te maken missen, en veilingregels kunnen munten verbranden die toebehoren aan mensen die nog leven en simpelweg offline zijn.

Wat is er nodig voor implementatie?

Bitcoin zou allereerst een quantumveilige manier nodig hebben om geld aan te houden en uit te geven. Wallets zouden vervolgens verborgen eigendomsverbintenissen moeten ondersteunen, terwijl Bitcoin's consensusregels onderpand, wachttijden, speciale hersteltransacties en veilingen zouden moeten afdwingen. Ontwikkelaars moeten ook overeenkomen wanneer de nieuwe regels activeren, hoeveel onderpand vereist is en wat er gebeurt met verloren biedingen of resterende gelden.

Fields gelooft dat sommige mechanieken via een soft fork — een type Bitcoin-regelwijziging — kunnen worden ingevoerd, maar hij heeft het gedetailleerde ontwerp niet geleverd. Geen van deze beschermingen bestaat vandaag in Bitcoin. Fields heeft geen implementatie of activeringsschema gepubliceerd, en zijn oorspronkelijke post laat de veilinguitbetalingen en zelfs de gewenste uitkomst van een veiling onopgelost. Die open uiteinden dienen tegelijk als de signalen om in de gaten te houden: een vervolgpost die de veilinguitbetalingen vastlegt, een ontwerpspecificatie, of zichtbare betrokkenheid van andere ontwikkelaars bij quantumveilige outputformaten zou markeren dat het idee voorbij het gedachte-experiment beweegt, en hun afwezigheid houdt het daar.

Bron: Decrypt