De debat over quantumcomputing bij Bitcoin gaat niet alleen over een technische kwestie rond cryptografie. Het is ook een geschil over welke principes moeten zegevieren als elliptische-curve-handtekeningen eigendom niet meer betrouwbaar kunnen authenticeren: de belofte dat geldige munten spendable blijven voor hun eigenaren, of de noodzaak om Bitcoin te beschermen tegen een quantumcapabele aanvaller die een aanzienlijk deel van de voorraad kon grijpen.

Elke serieuze optie roept een conflict op. Niets doen zou de huidige consensusregels behouden, maar zou toekomstige quantumaanvallers kunnen toestaan munten te nemen waarvan de eigenaren nooit toestemming gaven. Kwetsbare munten bevriezen zou die diefstal kunnen voorkomen, maar maakt gevestigde uitgavevoorwaarden retroactief ongeldig. Een gedwongen migratie naar post-quantum-handtekeningen kan verstandig technisch ontwerp zijn, maar lijkt tegelijk op een confiscatieregime met een deadline.

De kernvraag is dus hoe totale schendingen van eigendomsrechten geminimaliseerd kunnen worden als elliptische-curve-handtekeningen rechtmatige eigenaren niet meer betrouwbaar identificeren.

Het quantumgevaar

Het huidige autorisatiesysteem van Bitcoin is afhankelijk van elliptische-curve-cryptografie. Legacy ECDSA-handtekeningen en Schnorr-handtekeningen gebruiken de secp256k1-curve. Onder klassieke rekenaannames is het afleiden van een privésleutel uit een openbare sleutel rekenkundig onhaalbaar. Een voldoende krachtige, cryptografisch relevante quantumcomputer Shor's algoritme uitvoert, kan dat veranderen: zodra een openbare sleutel zichtbaar is, zou een aanvaller de bijbehorende privésleutel kunnen afleiden en een transactie kunnen aanmaken die het netwerk als geldig accepteert.

Niet alle Bitcoin-outputs leggen openbare sleutels op hetzelfde moment bloot. Oude pay-to-public-key-outputs en Taproot-outputs tonen openbare sleutels on-chain en kunnen te maken krijgen met long-range aanvallen. Andere outputs verbergen de openbare sleutel achter een hash tot de eigenaar uitgeeft. In die gevallen zou een short-range aanvaller een transactie kunnen observeren, snel de privésleutel kunnen afleiden en proberen de uitgave te vervangen of te front-runen.

Quantummining is een andere kwestie. Grover's algoritme zou in theorie een kwadratische versnelling kunnen geven bij het zoeken naar een geldige blokhash, terwijl Shor's algoritme een superpolynomiale versnelling biedt tegen de aannames achter ECDSA en Schnorr. Het voordeel van quantumcomputing voor mining wordt daarom als aanzienlijk minder praktisch beschouwd dan het gebruik ervan om elliptische-curve-handtekeningen aan te vallen.

Onzekerheid over quantumcomputers

Of er ooit een cryptografisch relevante quantumcomputer gebouwd zal worden, blijft onzeker. Quantum-sceptici betwisten over het algemeen niet dat Shor's algoritme elliptische-curve-cryptografie kan breken. Hun argument is dat er geen duidelijke reden is om aan te nemen dat ingenieurs de krachtige, fouttolerante machines zullen bouwen die nodig zijn om het op relevante schaal uit te voeren.

De huidige ruisachtige quantumprocessoren kunnen ECC niet breken. Zo'n aanval zou vele betrouwbare logische qubits, extreem lage foutpercentages, lange coherente berekeningen en kwantumfoutcorrectie die op schaal werkt, vereisen.

Mikhail Dyakonov heeft betoogd dat het drempeltheorema van kwantumfouttolerantie steunt op geïdealiseerde aannames, waaronder voldoende onafhankelijke ruis, nauwkeurige poorten, beperkte ongewenste interacties en het vermogen om fouten onder een drempel te houden in een zeer groot systeem. Gil Kalai heeft een meer structurele kritiek geleverd en stelt dat gecorreleerde ruis en ruisaccumulatie het opschalen van hoogwaardige kwantumfoutcorrectiecodes kunnen verhinderen. In zijn paper uit 2011 onderzocht Kalai hoe fysieke implementaties van quantumcodes, correlaties in stochastische systemen en opgetelde ruis schaalbare quantumcomputers kunnen verhinderen.

Sceptici verwerpen ook simpele extrapolaties van de voortgang in het aantal fysieke qubits. De stap van 50, 100 of 1.000 fysieke qubits naar miljoenen fysieke qubits of duizenden logische qubits vereist controle over crosstalk, leakage, gecorreleerde fouten, kalibratiedrift, thermische effecten, meetfouten, fabricagevariatie en controgeruis. Huidige demonstraties, die klassieke simulaties alleen verslaan op zorgvuldig gekozen bemonsteringstaken, geven beperkt bewijs over het vermogen om een lang,ructureerd algoritme zoals Shor's algoritme betrouwbaar genoeg uit te voeren om een 256-bit ECC-privésleutel te herstellen.

Waarom migratie ertoe doet

Als een cryptografisch relevante quantumcomputer verschijnt, zou het simpelweg aanbieden van post-quantum-cryptografie niet alle kwetsbare bitcoin beschermen. De blootgestelde set omvat vroege pay-to-public-key-munten, munten onder controle van hergebruikte openbare sleutels, Taproot-outputs en munten waarvan de openbare sleutels of extended public keys buiten de blockchain zijn onthuld.

Oude P2PK-outputs vormen qua aantal een klein deel van de UTXO's, maar vertegenwoordigen circa 1,7 miljoen BTC. Bredere schattingen op basis van outputtypes, activiteitspatronen en bekende eigendom suggereren dat ten minste 2,6 miljoen BTC kwetsbaar kan blijven, zelfs als actieve Bitcoin-gebruikers hun wallets naar post-quantum-cryptografie verplaatsen. Het artikel schat dat circa 2,6 miljoen BTC, of 13% van de huidige totale voorraad, mogelijk niet kan migreren naar quantumveilige locking scripts.

Die munten kunnen systeemrisico's creëren die verder gaan dan directe verkoop. Een quantumaanvaller zou ze kunnen gebruiken om markten te destabiliseren, vertrouwen te ondermijnen, het netwerk jarenlang te treiteren of genoeg hashrate te verwerven voor een 51%-aanval. Het beschermen van de munten vereist daarom consensuswijzigingen die voorkomen dat kwetsbare ECDSA- of Schnorr-handtekeningen worden gebruikt.

Termen als "confiscatie", "verbranding", "bevriezen", "diefstal" en "herstel" beschrijven verschillende mechanismen. Een bevriezing zou munten niet overdragen aan de staat, miners, ontwikkelaars of een herstelfonds. Het zou bepaalde outputs onuitgeefbaar maken via kwetsbare handtekeningen. Voorstanders gebruiken soms "burn" omdat de munten niet opnieuw worden toegewezen; een rechtmatige eigenaar die nog de oorspronkelijke sleutel bezit, kan het praktische effect echter terecht als confiscatoir ervaren.

BIP-361 verdeelt de migratie in fasen. Zodra er een quantumbestendig adrestype bestaat, worden nieuwe munten niet meer naar kwetsbare adressen gestuurd. Na een meerjarige periode zouden legacy ECDSA- en Schnorr-uitgaven ongeldig kunnen worden. Het voorstel laat ook herstelmethoden open voor gebruikers die eigendom kunnen bewijzen zonder uitsluitend op gebroken ECC te vertrouwen, mogelijk via een zero-knowledge-bewijs afgeleid van een seed phrase of HD-walletstructuur. Het verklaarde doel is het creëren van prikkels en deadlines zodat gebruikers, exchanges, custodians, wallets en instellingen migreren voordat ECC wordt afgeschaft.

Argumenten voor bevriezen

Voorstanders van een bevriezing stellen dat een aanvaller die via quantumcomputing een privésleutel afleidt, in geen enkele zinvolle betekenis de rechtmatige eigenaar is. Kwetsbare munten laten wegnemen zou niet neutraal zijn, aldus hun betoog; het zou de eerste quantumcapabele actoren toesta outputs te plunderen die door een bekende zwakte beschermd worden.

Een geslaagde veeg zou rijkdom kunnen herverdelen naar een actor die relatief weinig middelen heeft besteed om ze te verkrijgen, wat het beveiligingsmodel van Bitcoin kan ondermijnen, dat ervan uitgaat dat economisch rationele deelnemers geprikkeld zijn hun bezittingen te beschermen. Verloren munten zijn een bijzonder punt van zorg. Als aanvallers munten terugvinden waarvan werd aangenomen dat ze permanent verloren waren, kan de effectieve circulerende voorraad toenemen, ook al blijft de formele limiet van 21 miljoen onveranderd.

Het gevaar kan ook politiek zijn in plaats van puur financieel. Een aanvaller zou markten kunnen destabiliseren, vertrouwen kunnen ondermijnen of grote hoeveelheden BTC als drukmiddel kunnen aanhouden. Pieter Wuilles opmerkingen in het debat op de mailinglijst benadrukken dat het gevaar kan voortkomen uit het geloofwaardige vermoeden dat een quantumcomputer binnenkort zal bestaan, nog vóór een echte aanval. Een geloofwaardig plan om kwetsbare uitgaven uit te schakelen kan daarom als geruststellingsmechanisme dienen.

Voorstanders stellen ook dat vrijwillige migratie traag zal verlopen. Hardware wallets, exchanges, custodians, nalatenschapsplannen, multisig-coördinatoren en cold-storage-procedures hebben jaren nodig om te veranderen. Matt Corallo heeft betoogd dat Bitcoin eenvoudige post-quantum-functionaliteit ruim van tevoren moet toevoegen, zodat wallets kunnen beginnen met het insluiten van of committeren aan quantumbestendige openbare sleutels.

Een bekende deadline zou beursgenoteerde bedrijven, ETF's, custodians, exchanges, compliance-afdelingen en risicocommissies een concreet migratieplan geven. BIP-361 stelt dat exchanges en custodians fiduciaire en juridische druk zullen voelen om te handelen zodra er een deadline bestaat. Voorstanders wijzen er verder op dat dezelfde voorbereiding kan helpen bij andere situaties waarin ECC in de loop van de tijd verzwakt.

Vanuit dit perspectief is een objectieve soft fork die een aantoonbaar onveilig uitgavepad uitschakelt eerder te vergelijken met het vervangen van een kapot slot dan met willekeurige politieke confiscatie. De regel zou gelden voor scripttypes in plaats van bij name genoemde eigenaren en kon jaren van tevoren worden aangekondigd met een werkbare migratieroute.

Argumenten tegen bevriezen

Tegenstanders vertrekken vanaf de gevestigde eigendomsrechtenverwachting van Bitcoin: een geldige munt blijft spendable voor de houder van de bijbehorende sleutel onder de consensusregels die golden bij ontvangst. Dat uitgavepad retroactief ongeldig maken verandert "not your keys, not your coins", zo luidt hun betoog, innot your upgraded-by-deadline, not your coins".

Critici vrezen dat een bevriezing een precedent schept voor het kiezen van winnaars en verliezers onder UTXO-eigenaren. Zelfs als de regel technisch objectief is, richt ze zich op gebruikers op basis van adreskeuzes, walletontwerp, slapend bezit of onvermogen om te handelen. Toekomstige coalities zouden vergelijkbare interventies kunnen eisen voor sancties, diefstalherstel, erfenisgeschillen, staatsdruk of vermeend verloren munten.

Een bevriezing zou verloren munten niet kunnen onderscheiden van slapende munten, gegijzelde eigenaren, overleden eigenaren met erfgenamen, gebruikers in vijandige jurisdicties, timelock-regelingen, vergeten cold storage of bewuste langetermijnbesparingen. Ze zou ook een prikkelconflict kunnen creëren: actieve houders kunnen baat hebben bij het verkleinen van de effectieve voorraad, terwijl inactieve rechtmatige eigenaren het verlies dragen.

Er is ook onzekerheid over quantumtijdlijnen en -mogelijkheden. Een quantumcomputer kan later komen dan verwacht, een andere vorm aannemen, geheim blijven of met minder ingrijpende maatregelen worden bestreden. Miljoenen munten permanent verbranden voordat het gevaar zich materialiseert, zou zelf een onomkeerbare schending van eigendomsrechten kunnen worden.

De technische bestemming is eveneens onzeker. NIST heeft ML-DSA, SLH-DSA en ML-KEM gestandaardiseerd, maar Bitcoin vereist compacte, scriptcompatibele eigendomsbewijzen met hanteerbare verificatiekosten. Chaincodes vergelijking van kandidaatsschema's merkt op dat post-quantum-handtekeningen en -sleutels veel groter kunnen zijn dan Schnorr of ECDSA en sterk verschillen in volwassenheid, grootte, ondertekenkosten, verificatiekosten en beveiligingsaannames. Een slechte migratie kan de doorvoer verlagen, fees verhogen, de UTXO- of witness-datalast vergroten, nieuwe aannames introduceren of later nog een migratie vereisen.

Alternatieven voor een permanente bevriezing

Verschillende voorstellen proberen het systeemrisico te verkleinen zonder oude eigendomsclaims onmiddellijk te vernietigen. Fase A van BIP-361 zou nieuwe kwetsbare outputs voorkomen terwijl bestaande tijdelijk spendable blijven. Boris Nagaev heeft een tijdelijke lock met een toekomstige re-enable-hoogte gesuggereerd, terwijl Conduition interacties met P2QRH- of P2MR-achtige outputs heeft onderzocht en gewaarschuwd dat een breed verbod op EC-controles hybride constructies kan raken.

Het Hourglass V2-voorstel zou oud P2PK-uitgeven beperken tot één P2PK-input per blok, met een nettogrens van één BTC per blok. De aute zeggen dat dit zowel directe verbranding als onbeperkte quantumliquidatie voorkomt. Critici antwoorden dat het permissionless uitgeven nog steeds beperkt en een decennialange race tussen rechtmatige eigenaren en aanvallers kan creëren.

Commit-delay-reveal-schema's, soms geassocieerd met Guy Fawkes-achtige constructies, zouden een gebruiker laten committeren aan een toekomstige uitgave, wachten op bevestiging en pas later de informatie onthullen die nodig is om die te valideren. Chaincode beschrijft de aanpak als opt-in, terwijl de Optech-samenvatting opmerkt dat het de migratiedrang kan verminderen en munten kan beschermen tegen short-exposure-aanvallen.

Een andere mogelijke herstelmethode zou kennis van een seed of derivatiepad bewijzen in plaats van controle over een kwetsbare openbare sleutel. Or Sattath en anderen hebben "signature lifting" besproken, en Olaoluwa Osuntokun bouwde een proof of concept met zk-STARKs om te bewijzen dat een Taproot BIP-86 output-sleutel was afgeleid van een BIP-32 seed-pad. De nieuwste geoptimaliseerde versie vereist een bewijs van 200 KB. Het herstel van kleine UTXO's kan oneconomisch worden, omdat fees enkele honderden dollars kunnen kosten en bij hogere feetarieven mogelijk oplopen tot duizenden of tienduizenden dollars. Andere bezwaren zijn bewijsomvang, verificatiecomplexiteit, privacy-lekkage, aannames over wallet-derivatie en het risico van nieuwe cryptografie in Bitcoin-consensus.

Marc Johnson en anderen hebben een marktdreven migratie voorgesteld op basis van quantumbestendige outputs, optionele dubbele handtekeningen en fee- of beleidsprikkels. Die aanpak zou eigendomsrechten beter beschermen, maar lost het systeemrisico mogelijk niet op als grote hoeveelheden waardevolle BTC blootgesteld blijven.

Technische en economische afwegingen

De post-quantum-standaarden van NIST bieden een fundament: FIPS 204 standaardiseert ML-DSA, FIPS 205 standaardiseert SLH-DSA en FIPS 203 dekt ML-KEM voor sleuteluitwisseling. Bitcoin heeft desalniettemin digitale handtekeningen en scriptcompatibele eigendomsbewijzen nodig, niet alleen algemene standaarden.

Hash-based handtekeningen bieden conservatieve aannames maar zijn groot. Lamport-achtige handtekeningen zouden mogelijk gemaakt kunnen worden via scriptupgrades zoals OP_CAT, maar een kwetsbaar Taproot key-pad moet nog steeds worden verwijderd of uitgeschakeld. De OP_CAT-discussie in BIP-347 wijst op dit probleem. Lattice-schema's zoals ML-DSA zijn compacter dan veel hash-based opties, maar brengen andere aannames en implementatierisico's mee. Falcon-achtige handtekeningen zijn compact maar historisch lastiger te implementeren, terwijl SPHINCS+/SLH-DSA conservatief maar groot is.

Chaincode schat dat het migreren van alle UTXO's ongeveer 76 tot 142 dagen kan duren als de migratie alle blokruimte gebruikt, of 305 tot 568 dagen bij 25% van de blokruimte. Die cijfers exclusief walletupgrades, instemming van instellingen, air-gapped ondertekening, hardwarevervanging, boekhoudkundige workflows en coördinatie. Een volledige migratie zal daarom waarschijnlijk jaren duren. Chaincodes globale schatting loopt van ongeveer vijf jaar in het beste geval tot circa 15 jaar in het slechtste geval; in noodgevallen zou het mogelijk kunnen worden gecomprimeerd tot twee jaar, al merkt het rapport op dat historische noodreparaties niet direct vergelijkbaar zijn.

Historische precedenten en governance

Het Value Overflow Incident illustreert dat Bitcoin-consensusregels zijn gewijzigd om munten te verwijderen die onder destijds geldige regels waren gecreëerd. Op 15 augustus 2010 bleek blok 74.638 een transactie te bevatten die 184.467.440.737,09551616 BTC creëerde voor drie adressen. Twee adressen ontvingen elk 92,2 miljard BTC, terwijl de miner een extra 0,01 BTC ontving. De fout was het gevolg van integer overflow bij transactievalidering.

Binnen vijf uur verscheen een nieuwe client die dergelijke transacties verwierp via een consensuswijziging in de vorm van een soft fork. De blockchain splitte, en de "goede" chain haalde de andere in op blokhoogte 74.691. De ongeldige transactie en de munten die ze creëerde bestaan niet meer op de chain met het grootste cumulatieve proof of work.

Het DAO-incident bij Ethereum biedt een andere vergelijking. In 2016 had de gemeenschap ongeveer een maand om te reageren op een aanvaller die 5% van ETH controleerde, omdat het contract van The DAO een vertraging bevatte voordat fondsen konden worden opgenomen. Ethereum hard-forkte uiteindelijk om de fondsen terug te geven, terwijl de oorspronkelijke chain Ethereum Classic werd. Ethereum Classic kwam moeilijk boven de 10% van de marktkapitalisatie van Ethereum uit, al hebben de twee netwerken verschillende geschiedenissen en structuren.

Een Bitcoin-wijziging in de stijl van BIP-361 zou een soft fork zijn in plaats van een hard fork. Gebruikers die de DAO-fork tegenstonden konden simpelweg op de oorspronkelijke regels blijven, terwijl het tegenwerken van een quantummigratie-soft fork met een hashrate-supermeerderheid het coördineren van een User Rejected Soft Fork zou vereisen, iets dat nog nooit is gedaan.

Bitcoin heeft geen centrale autoriteit die zo'n wijziging kan opleggen. Het afschaffen van ECC zou brede overeenstemming vereisen tussen node-operatoren, miners, exchanges, wallets, custodians, handelaren en gebruikers. Pas handelen na bewijs van een cryptografisch relevante quantumcomputer kan betekenen dat er besloten wordt tijdens paniek en marktstress. Te vroeg handelen kan onomkeerbare kosten opleggen voordat het gevaar geloofwaardig genoeg is.

Een mogelijke weg vooruit

Matt Corallo heeft betoogd dat het debat geframd moet worden als het zo veel mogelijk beschermen van eigendomsrechten in plaats van simpelweg het weigeren munten te bevriezen. Onder dat kader is het afschaffen van ECC alleen verdedigbaar als er een breed beoordeelde quantumbestendige bestem bestaat, het migratievenster lang genoeg is, de regels objectief en beperkt zijn en er herstelopties beschikbaar zijn.

Voor BIP-361 is een migratieperiode van vijf jaar voorgesteld, omdat te vroeg migreren onnodige kosten kan opleggen of Bitcoin kan vastzetten op een onrijp schema, terwijl te laat migreren het systeem bloot laat aan een systeemrisico. Het artikel stelt dat activatie niet serieus overwogen moet worden tenzij een cryptografisch relevante quantumcomputer waarschijnlijk binnen minder dan 10 jaar zal verschijnen.

De volgende stappen omvatten het activeren van BIP-361 niet. Ze omvatten het verminderen van adreshergebruik, onderzoek naar herstelbewijzen, minder afhankelijkheid van xpub-deling, efficiëntere post-quantum-schema's ontwikkelen, opt-in quantumveilige locking scripts activeren en meerdere noodplannen opstellen.

Het quantumprobleem van Bitcoin is niet urgent in de zin dat gebruikers vandaag in paniek moeten raken. Het is urgent omdat gedecentraliseerde systemen moeilijke coördinatieproblemen moeten oplossen voordat het noodgevallen worden. Het debat gaat niet simpelweg tussen het respecteren en schenden van eigendomsrechten; het gaat tussen concurrerende vormen van mislukking van eigendomsrechten. Het artikel concludeert dat Bitcoin quantumcomputing moet zien als een reëel maar niet kwantificeerbaar systeemrisico, terwijl voortijdige en controversiële wijzigingen die uitsluitend op onzekerheid gebaseerd zijn, vermeden worden.

Dit artikel is opgenomen in de nieuwste printeditie van Bitcoin Magazine, The Quantum Issue, en wordt gedeeld als voorproefje van de ideeën die in de volledige editie worden behandeld. Het is geschreven door Shinobi en verscheen eerst op Bitcoin Magazine.