Google zei dat zijn Willow-quantumchip bij het prepareren van "magic states" — een gespecialiseerde bron die vereist is voor kwantumberekeningen die uiteindelijk een bedreiging voor Bitcoin-wallets kunnen vormen — de fouten ongeveer 40 keer verminderde. De resultaten werden deze week gepubliceerd in Science.

Het experiment behaalde ongeveer 99,99 procent fideliteit bij de toestanden die de inspectie doorstonden, hoewel slechts ongeveer 8 procent van de preparatiepogingen slaagde en er aanzienlijke opschalingsuitdagingen blijven bestaan.

De bevindingen maken een aanval op Bitcoin niet 40 keer goedkoper. In plaats daarvan dragen ze bij aan een engineereding die toekomstige quantumcomputers zou kunnen helpen om de ongeveer 500.000 betrouwbare magic states per seconde te leveren die in één gemodelleerde aanval vereist zijn.

Het werk richt zich op een uitdaging die zelden aan bod komt in het debat over kwantumcomputers en bitcoin, dat doorgaans draait om hoe groot een machine voor een aanvaller zou moeten zijn, terwijl minder aandacht gaat naar hoeveel van die machine bezet zou zijn met de voorbereiding van berekeningen.

Waarom de oudste munten een aanvaller meer tijd geven

Een bitcoin-wallet gebruikt een geheime sleutel om betalingen goed te keuren en een bijbehorende publieke sleutel waarmee het netwerk die goedkeuringen kan verifiëren. Bij het uitgeven wordt doorgaans de publieke sleutel onthuld, terwijl sommige betalingstypen deze vanaf het begin blootleggen.

Van de publieke sleutel terugwerken naar het geheim zou een onpraktische hoeveelheid rekenkracht vergen, wat het praktisch onmogelijk maakt om crypto-wallets te reverse-engineeren. Een groot genoeg quantumcomputer die Shor's algoritme draait, zou berekening in theorie echter kunnen uitvoeren. Wie de geheime sleutel achterhaalt, kan transacties ondertekenen als de eigenaar, en het netwerk zou ze als echt accepteren. De wiskundige Peter Shor publiceerde de methode voor het eerst in 1994, maar niemand heeft haar tot nog toe kunnen aantonen.

Een herstelzin die in een fysieke la ligt, biedt geen bescherming tegen zo'n aanval, omdat de aanvaller zou werken met informatie die al op de blockchain staat.

Sommige nieuwere betalingsformaten verbergen de publieke sleutel achter een hash — een digitale vingerafdruk — totdat de eigenaar uitgeeft. Een aanvaller die een eerder verborgen sleutel wil aanvallen, moet wachten op die blootlegging en moet het geheim mogelijk snel genoeg achterhalen om de betaling te verstoren.

Dat is ook waarom verloren munten een lastig probleem vormen. Bitcoin kan sterkere bestedingsbeschermingen invoeren, maar iemand heeft nog steeds de bestaande sleutels nodig om oude bezittingen daarnaar te verplaatsen. Als die sleutels verloren zijn, kan de eigenaar de verplaatsing niet uitvoeren, en blijft de blootgelegde publieke sleutel beschikbaar voor een toekomstige aanvaller.

Bezittingen uit de vroegste jaren van Bitcoin worden vaak beschreven als "Satoshi-era", naar de pseudonieme maker van het netwerk, en veel vroege beloningen werden direct aan de publieke sleutel uitbetaald — een formaat dat de sleutel zelf, in plaats van een hash ervan, op de blockchain plaatste. Sommige van de oudste bitcoin-bezittingen hebben sinds ze waren gemined publieke sleutels die blootliggen, en oude munten zijn gaan bewegen naarmate het kwantumdebat luider wordt. Op 7 oktober verhuisden 100,02 BTC, onaangeroerd sinds juli 2010, na meer dan 16 jaar, met een waarde van ongeveer $8,5 miljoen. In augustus verhuisden zes wallets, inactief sinds 2011–2014, nog eens 553,59 BTC, destijds ter waarde van circa $40 miljoen.

Die transacties bewijsen niet op zichzelf dat houders reageren op kwantumangst; munten verplaatsen kan net zo goed betekenen dat men van wallet wisselt, bezittingen herstructureert of zich voorbereidt op verkoop.

De kosten van de voorbereiding

Quantumcomputers slaan informatie op in eenheden die qubits heten en die uiterst kwetsbaar zijn. Warmte, trillingen en losse signal kunnen ze verstoren en fouten veroorzaken, en het toevoegen van meer qubits biedt ook meer kansen op fouten.

Engineers lossen dat op door veel fysieke qubits te groeperen in eenheden die fouten detecteren en corrigeren. Elke groep gedraagt zich als een betrouwbaardere eenheid, een zogenaamde logische qubit. Die eenheden hebben vervolgens het digitale equivalent van brandstof nodig om bepaalde bewerkingen uit te voeren: speciaal geprepareerde kwantumtoestanden die onderzoekers "magic states" noemen. Elke toestand wordt verbruikt bij gebruik, dus de computer moet ze gedurende de hele berekening blijven produceren.

Denk aan een restaurantkeuken waarin elk gerecht een verse portie van een saus nodig heeft die niet hergebruikt kan worden, en waar een deel van het personeel door moet gaan met saus maken terwijl de anderen koken. In een quantumcomputer is hardware die is toegewezen aan het produceren van magic states hardware die niet aan ander werk kan worden toegewezen.

Die overhead betekent dat een mogelijke aanvaller met twee problemen tegelijk zit: een machine bouwen die groot genoeg is om de berekening uit te voeren, en die machine gedurende de hele duur van toestanden voorzien.

Google's methode, cultivation genaamd, begint met een ruwe versie van de toestand, controleert deze op fouten en verwierpt mislukte pogingen. Het doel is om schone toestanden te produceren met minder hardware dan oudere methoden vereisten.

Het bedrijf meldde ongeveer 99,99% fideliteit — een maat voor hoe dicht de voltooide toestanden bij het doel van de onderzoekers zaten. Dat getal geldt alleen voor de toestanden die de inspectie doorstonden. Willow hield na de controles tijdens preparatie en meting ongeveer 8% van de pogingen over. Van elke 100 pogingen kwamen er roughly acht door.

De volgende stappen omvatten het uitvoeren van het proces op een veel grotere schaal en het bruikbaar houden van de toestanden wanneer ze in langere berekeningen worden gevoerd. De onderzoekers zeggen dat er meer werk nodig is aan realtimebewerkingen en aan het overbrengen van de toestanden naar sterkere foutcorrectieopstellingen.

Hoe dit aansluit bij eerder onderzoek

In maart schatte Google dat een toekomstige supergeleidend quantumcomputer met minder dan 500.000 fysieke qubits de wallet-cryptografie van Bitcoin en Ethereum zou kunnen kraken, onder een specifieke set hardware-aannames. In september berichtte CoinDesk over onderzoekers die de rekenlast van een kernberekening verlaagden die in die aanval wordt gebruikt. Dat werk behelsde één onderdeel, waarbij de volledige aanval en de fysieke hardwarekosten van de uitvoering buiten beschouwing bleven.

Die studies verminderen de hoeveelheid wiskunde die een aanvaller moet uitvoeren. Cultivation richt zich op de kosten van het voorzien van de machine tijdens die berekening. De winsten kunnen niet simpelweg met elkaar worden vermenigvuldigd: Google's schatting van maart ging al uit van efficiënte productie van magic states, en het experiment test een deel van die engineereding in plaats van nog een verlaging van 40 keer in de geschatte kosten van een aanval op bitcoin te leveren.

Samen brengt het werk de resterende engineeringschecklist in kaart — genoeg fysieke qubits, een efficiëntere berekening en een betrouwbare toevoer van toestanden — waarbij elk tot nu toe afzonderlijk is aangetoond, in plaats van als een complete machine.

Het artikel van maart laat ook zien hoeveel brandstof een aanval zou verbruiken. Voor één gemodelleerde aanval van ongeveer negen minuten nadat een publieke sleutel beschikbaar komt, schatte Google dat de machine elke seconde roughly 500.000 voldoende betrouwbare magic states nodig zou hebben.

Totdat cultivation en de andere componenten op schaal samenwerkend zijn aangetoond, blijft de gemodelleerde aanval een hardware-schatting in plaats van een operationele mogelijkheid.