Deweloper Bitcoinu Cory Fields ma niezwykły pomysł na radzenie sobie z przyszłymi kwantowymi złodziejami: niech ryzykują własnymi bitcoinami za każdym razem, gdy próbują ukraść cudze.

W poście z 4 listopada na liście dyskusyjnej dotyczącej rozwoju Bitcoinu Fields opisał „kwantowe miny” oraz dwa rodzaje aukcji, które mają zamienić ataki na podatne portfele w kosztowne zakłady. Nazwał te pomysły „eksperymentami myślowymi”, a nie ukończoną aktualizacją Bitcoinu. Kontekst listy dyskusyjnej oznacza, że pomysły znajdują się na najwcześniejszym etapie otwartego procesu zmian w Bitcoinie, gdzie inni deweloperzy mogą badać mechanikę na długo przed pojawieniem się formalnej propozycji czy kodu. Projekt aukcji byłby skierowany przeciw pozornie porzuconym coinom, w przypadku których może nie być nikogo, kto mógłby uruchomić minę. Wszystko pozostaje hipotetyczne: Bitcoin potrzebowałby portfeli odpornych na komputery kwantowe, nowych reguł konsensusu oraz porozumienia w sprawie sposobu ich aktywacji.

Dlaczego komputery kwantowe zagrażają niektórym portfelom

Właściciele Bitcoinu używają tajnego klucza prywatnego do autoryzacji transakcji. Odpowiadający mu klucz publiczny pozwala sieci weryfikować podpisy bez poznawania tajemnicy. Dzisiejsze komputery nie są w stanie realistycznie wyliczyć klucza prywatnego z klucza publicznego, ale wystarczająco mocny komputer kwantowy mógłby wykorzystać do tego matematyczną technikę zwaną algorytmem Shora — co potencjalnie pozwoliłoby złodziejowi wydawać coiny, jakby były jego własnością.

Niektóre starsze outputy Bitcoinu mają ujawnione klucze publiczne, a pewne nowsze formaty również je ujawniają. Inne typy adresów ukrywają klucz do momentu wydania środków, więc ryzyko nie jest identyczne dla każdego portfela. Badacze nazywają hipotetyczny moment pojawienia się maszyny zdolnej do takich ataków „Q-Day”. Żadna publicznie zademonstrowana maszyna nie potrafi dziś w ten sposób kraść Bitcoinu i nikt nie wie dokładnie, kiedy taka może powstać.

Jak działa kwantowa mina

Wyobraźmy sobie, że ktoś posiada 1 BTC w starym, potencjalnie podatnym portfelu. Przed Q-Day właściciel tworzy maleńki, osobny output Bitcoinu odporny na komputery kwantowe, zawierający ukryty dowód, że kontrolował oryginalny klucz prywatny, gdy kradzież kwantowa była jeszcze niemożliwa. Można to sobie wyobrazić jako zapieczętowane potwierdzenie własności. Obserwatorzy z zewnątrz widzą mały output, ale nie dowód w nim ukryty — ani nawet to, że jest to pułapka.

Teraz wyobraźmy sobie, że przyszły złodziej używa komputera kwantowego, by odzyskać ten klucz prywatny. Zgodnie z proponowanymi zasadami Fieldsa złodziej nie może po prostu wziąć 1 BTC: musi dodać 1 BTC z własnego portfela odpornego na kwantowanie jako kaucję. Obie monety trafiają do ograniczonego outputu o wartości 2 BTC, a złodziej musi odczekać okres na wezwanie — w przykładzie Fieldsa 30 dni — zanim będzie mógł swobodnie wydać środki.

Jeśli właściciel portfela zauważy transakcję, ujawnia dowód sprzed Q-Day. Sieć pozwala wtedy właścicielowi przenieść całe 2 BTC na adres odporny na kwantowanie, do którego wcześniej się zobowiązał: jego oryginalną monetę plus kaucję złodzieja. Ponieważ atakujący nie ma sposobu, by z góry wiedzieć, które stare portfele zawierają takie ukryte potwierdzenia, nawet udane kwantowe odzyskanie klucza może zakończyć się stratą 1 BTC.

Projekt obciąża także uczciwych posiadaczy. Właściciel potrzebowałby również kaucji, by zainicjować normalne, powejdentne przeniesienie własnej starszej monety. Bez zapasowych BTC ta sama reguła, która ma szkodzić złodziejom, mogłaby utrudnić przemieszczanie oszczędności.

A co z utraconymi lub porzuconymi coinami?

Miny działają tylko wtedy, gdy właściciel przygotuje je przed Q-Day i ujawni je w odpowiednim momencie. Ten wymóg wcześniejszego przygotowania przenika każdy mechanizm w propozycji i to właśnie tam koncentruje się stawka dla posiadaczy: gdy maszyna zdolna do takich ataków już istnieje, nie ma późniejszego momentu na udowodnienie własności sprzed Q-Day, zasadzenie miny czy zarejestrowanie oferty. Nie da się nimi chronić coinów, których klucze zostały już utracone, w tym części wczesnych zasobów Bitcoinu, uważanych powszechnie za niedostępne.

Fields proponuje drugi mechanizm zwany aukcją ze stakeiem. Przed Q-Day ktoś mógłby zablokować kwantowo-odporne bitcoiny i potajemnie zarejestrować ofertę przeciw konkretnemu staremu portfelowi, który według jego przewidywań mają zaatakować złodzieje. Załóżmy, że pozornie porzucony portfel zawiera 50 BTC. Przyszły atakujący próbuje je przenieść i składa kolejne 50 BTC jako kaucję; w okresie aukcji uczestnik, który z wyprzedzeniem złożył ofertę, może zakwestionować próbę kradzieży.

W przykładzie Fieldsa skuteczny Challenge biorący udział w aukcji przejmuje część kaucji atakującego, a oryginalne podatne coiny są niszczone, a nie przekazywane oferentowi. Chodzi o to, by pozbawić złodziei pewnej wypłaty, a nie o zwrócenie coinów zaginionemu właścicielowi.

Jego trzeci pomysł, aukcja satów, nie wymaga wcześniejszego stake’a. Zamiast tego wydanie podatnych coinów uruchamiałoby konkurs, w którym najwyższy oferent otrzymuje coiny pomniejszone o swoją ofertę, podczas gdy drugi oferent płaci swoją ofertę i nie dostaje niczego. Przypomina to niesławne aukcyjne gry, w których dwaj oferenci wciąż podnoszą stawki, bo żadne z nich nie chce być osobą, która traci pieniądze na nic. Złodziej mógłby więc unikać wywoływania konkursu, który mógłby kosztować więcej niż coiny, które chciał ukraść.

Dlaczego po prostu nie zamrozić podatnych bitcoinów?

Jedną z proponowanych odpowiedzi na ryzyko kwantowe jest ograniczenie wydawania środków z przestarzałych portfeli po upływie terminu migracji. Mogłoby to zapobiec kradzieży, ale mogłoby też trwale odciąć prawowitych właścicieli, którzy nigdy nie przenieśli swoich coinów.

Fields bada inny kompromis: niech stare coiny pozostaną potencjalnie do wydania, ale próby transferu mają być kosztowne i poddawać się kwestionowaniu. Komplikacja polega na tym, że Bitcoin nie odróżni uczciwego właściciela od kwantowego złodzieja, jeśli obaj mogą wytworzyć ten sam ważny podpis. Kompromis jest poważny: uczciwi właściciele mogliby potrzebować dużych depozytów kaucji, nieaktywni posiadacze mogliby przegapić szansę na sprzeciw, a zasady aukcji mogłyby spalić coiny należące do osób, które wciąż żyją i są po prostu offline.

Co byłoby potrzebne do wdrożenia?

Bitcoin potrzebowałby najpierw kwantowo-odpornego sposobu przechowywania i wydawania środków. Portfele musiałyby potem obsługiwać ukryte zobowiązania własności, a reguły konsensusu Bitcoinu musiałyby wymuszać kaucje, okresy oczekiwania, specjalne transakcje odzysku i aukcje. Deweloperzy musieliby też ustalić, kiedy nowe reguły się aktywują, jaka kaucja jest wymagana oraz co dzieje się z przegrywającymi ofertami czy pozostałymi środkami.

Fields uważa, że część mechanizmów mogłaby zostać wprowadzona poprzez soft fork — rodzaj zmiany reguł Bitcoinu — ale nie przedstawił szczegółowego projektu. Żadne z tych zabezpieczeń nie istnieje dziś w Bitcoinie. Fields nie opublikował implementacji ani harmonogramu aktywacji, a jego oryginalny post pozostawia wypłaty z aukcji, a nawet pożądany wynik aukcji, nierozstrzygnięte. Te otwarte kwestie są jednocześnie sygnałami, które warto obserwować: kolejny post ustalający wypłaty z aukcji, szkic specyfikacji czy widoczne zaangażowanie innych deweloperów w kwestii kwantowo-odpornych formatów outputów oznaczałyby, że pomysł wykracza poza eksperyment myślowy — a ich brak sprawia, że w nim pozostaje.

Źródło: Decrypt