Debata o komputerach kwantowych wokół Bitcoina nie jest wyłącznie technicznym pytaniem o kryptografię. To również spór o to, które zasady powinny prevażyć, jeśli podpisy krzywych eliptycznych przestaną wiarygodnie potwierdzać własność: obietnica, że ważne monety pozostają do wydania przez ich właścicieli, czy potrzeba ochrony Bitcoina przed kwantowym atakującym, który mógłby przejąć znaczną część podaży.

Każda poważna opcja rodzi konflikt. Bierność zachowałaby obecne reguły konsensusu, ale mogłaby pozwolić przyszłym kwantowym atakującym przejąć monety, których właściciele nigdy nie wyrazili na to zgody. Zamrożenie zagrożonych monet mogłoby zapobiec tej kradzieży, ale wstecznie unieważniłoby ugruntowane warunki wydawania. Wymuszona migracja do podpisów postkwantowych mogłaby być rozsądną inżynierią, a jednocześnie wyglądać jak reżim konfiskaty poparty terminem granicznym.

Centralne pytanie brzmi zatem: jak zminimalizować łączne naruszenia praw własności, jeśli podpisy krzywych eliptycznych przestaną wiarygodnie identyfikować prawowitych właścicieli.

Zagrożenie kwantowe

Obecny system autoryzacji Bitcoina opiera się na kryptografii krzywych eliptycznych. Historyczne podpisy ECDSA i podpisy Schnorra używają krzywej secp256k1. klasycznych założeniach obliczeniowych wyprowadzenie klucza prywatnego z klucza publicznego jest obliczeniowo niewykonalne. Wystarczająco sprawny, kryptograficznie istotny komputer kwantowy działający algorytmem Shora mógłby to zmienić: gdy klucz publiczny zostanie ujawniony, atakujący mógłby wyprowadzić odpowiadający klucz prywatny i utworzyć transakcję uznaną przez sieć za ważną.

Nie wszystkie wyjścia Bitcoina ujawniają klucze publiczne w tym samym momencie. Stare wyjścia pay-to-public-key i wyjścia Taproot ujawniają klucze publiczne on-chain i mogą być celem ataków dalekiego zasięgu. Inne wyjścia ukrywają klucz publiczny za haszem do momentu wydania. W takich przypadkach atakujący krótkiego zasięgu mógłby zaobserwować transakcję, szybko wyprowadzić klucz prywatny i próbować zastąpić lub wyprzedzić transakcję.

Kwantowe wydobywanie to inna kwestia. Algorytm Grovera mógłby teoretycznie zapewnić kwadratowe przyspieszenie przy wyszukiwaniu ważnego hasha bloku, podczas gdy algorytm Shora zapewnia przyspieszenie superpolinomialne wobec założeń stojących za ECDSA i Schnorrem. Przewaga stosowania komputerów kwantowych w wydobywaniu jest zatem uważana za znacznie mniej praktyczną niż ich użycie do ataku na podpisy krzywych eliptycznych.

Niepewność co do komputerów kwantowych

Czy kryptograficznie istotny komputer kwantowy kiedykolwiek powstanie, pozostaje niepewne. Kwantowi sceptycy co do zasady nie kwestionują, że algorytm Shora mógłby złamać kryptografię krzywych eliptycznych. Ich argumentem jest to, że nie ma wyraźnych powodów, by wierzyć, iż inżynierowie zbudują potężne, odporne na błędy maszyny wymagane do jego uruchomienia w istotnej skali.

Obecne zaszumione procesory kwantowe nie są w stanie złamać ECC. Taki atak wymagałby wielu niezawodnych qubitów logicznych, ekstremalnie niskich wskaźników błędów, długotrwałych spójnych obliczeń oraz działającej w dużej skali kwantowej korekcji błędów.

Mikhail Dyakonov argumentował, że twierdzenie o progu tolerancji błędów opiera się na idealizowanych założeniach, w tym wystarczająco niezależnym szumie, dokładnych bramkach, ograniczonych niepożądanych interakcjach i zdolności utrzymania błędów poniżej progu w bardzo dużym systemie. Gil Kalai przedstawił bardziej strukturalną krytykę, argumentując, że skorelowany szum i jego akumulacja mogłyby uniemożliwić skalowanie wysokiej jakości kwantowych kodów korekcyjnych. W artykule z 2011 roku Kalai badał, jak fizyczne implementacje kodów kwantowych, korel w systemach stochastycznych i akumulowany szum mogłyby uniemożliwić budowę skalowalnych komputerów kwantowych.

Sceptycy odrzucają też proste ekstrapolacje postępu w liczbie fizycznych qubitów. Przejście od 50, 100 lub 1000 fizycznych qubitów do milionów fizycznych lub tysięcy logicznych wymagałoby kontrolowania przesłuchów, wycieków, skorelowanych błędów, dryfu kalibracji, efektów termicznych, błędów pomiaru, wariacji produkcji i szumu sterowania. Obecne demonstracje, które przewyższają symulacje klasyczne tylko na starannie dobranych zadaniach próbkowania, dają ograniczone dowody na możliwość wykonania długiego, ustrukturyzowanego algorytmu, takiego jak algorytm Shora, wystarczająco niezawodnie, by odzyskać 256-bitowy klucz prywatny ECC.

Dlaczego migracja ma znaczenie

Gdyby pojawił się kryptograficznie istotny komputer kwantowy, samo udostępnienie użytkownikom opcji kryptografii postkwantowej nie ochroniłoby wszystkich zagrożonych bitcoinów. Narażony zbiór obejmuje wczesne monety pay-to-public-key, monety kontrolowane przez ponownie używane klucze publiczne, wyjścia Taproot oraz monety, których klucze publiczne lub rozszerzone klucze publiczne zostały ujawnione poza blockchainem.

Stare wyjścia P2PK stanowią niewielki udział UTXO pod względem liczby, ale reprezentują około 1,7 mln BTC. Szersze szacunki oparte na typach wyjść, wzorcach aktywności i znanej własności sugerują, że co najmniej 2,6 mln BTC mogłoby pozostać zagrożone nawet wtedy, gdy aktywni użytkownicy Bitcoina przeniosą portfele na kryptografię postkwantową. Artykuł szacuje, że około 2,6 mln BTC, czyli 13% obecnej całkowitej podaży, mogłoby nie być w stanie zmigrować na skrypty blokujące odporne na ataki kwantowe.

Te monety mogłyby stwarzać ryzyko systemowe wykraczające poza bezpośrednią sprzedaż. Kwantowy atakujący mógłby ich użyć do destabilizacji rynków, podważenia zaufania, szkodzenia sieci lub zdobycia wystarczającej mocy hashowej do próby ataku 51%. Ochrona tych monet wymagałaby zatem zmian konsensusu uniemożliwiających użycie zagrożonych podpisów ECDSA lub Schnorra.

Terminy takie jak „konfiskata”, „spalenie”, „zamrożenie”, „kradzież” i „odzyskanie” opisują różne mechanizmy. Zamrożenie nie przekazałoby monet państwu, górnikom, deweloperom ani funduszowi odzysku. Uczyniłoby określone wyjścia niewydawalnymi przy użyciu zagrożonych podpisów. Zwolennicy czasem mówią „spalenie”, bo monety nie byłyby przypisane komuś innemu; jednak prawowity właściciel, który nadal posiada oryginalny klucz, mógłby zasadnie postrzegać praktyczny skutek jako konfiskatę.

BIP-361 dzieli migrację na fazy. Gdy powstanie typ adresu odporny na ataki kwantowe, nowe monety nie trafiałyby na adresy podatne na ataki kwantowe. Po wieloletnim okresie historyczne podpisy ECDSA i Schnorra mogłyby stać się nieważne. Wniosek pozostawia też otwarte metody odzysku dla użytkowników, którzy potrafią udowodnić własność bez polegania wyłącznie naamanym ECC, potencjalnie poprzez dowód wiedzy zerowej wyprowadzony z frazy seed lub struktury portfela HD. Jego deklarowanym celem jest stworzenie bodźców i terminów, by użytkownicy, giełdy, depozytariusze, portfele i instytucje zmigrowali przed wycofaniem ECC.

Argumenty za zamrażaniem

Zwolennicy zamrażania argumentują, że atakujący wyprowadzający klucz prywatny za pomocą obliczeń kwantowych nie jest prawowitym właścicielem w żadnym sensownym znaczeniu. Pozwalanie na przejmowanie zagrożonych monet nie byłoby neutralnością; pozwoliłoby pierwszym podmiotom z możliwościami kwantow DataService — Allowance to loot outputs protected by a known weakness.

Udany zamiatający atak mógłby redystrybuować majątek na rzecz podmiotu, który wydał stosunkowo niewiele zasobów, by go zdobyć, potencjalnie podważając model bezpieczeństwa Bitcoina, który zakłada, że ekonomicznie racjonalni uczestnicy mają bodźce do ochrony wartości swoich posiadłości. Szczególnym zmartwieniem są utracone monety. Gdyby atakujący odzyskali monety uznawane za trwale stracone, efektywna podaż w obiegu mogłaby wzrosnąć, mimo że formalny limit 21 milionów pozostałby niezmieniony.

Zagrożenie może być też polityczne, a nie wyłącznie finansowe. Atakujący mógłby destabilizować rynki, podważać zaufanie lub trzymać duże ilości BTC jako dźwignię. Komentarze Pietera Wuille'a w debacie na liście mailowej podkreślają, że niebezpieczeństwo mogłoby wynikać z wiarygodnego przekonania, że komputer kwantowy wkrótce powstanie, jeszcze przed faktycznym atakiem. Wiarygodny plan wyłączenia zagrożonych wydawania mógłby zatem służyć jako mechanizm uspokajający.

Zwolennicy argumentują też, że dobrowolna migracja byłaby powolna. Portfele sprzętowe, giełdy, depozytariusze, plany spadkowe, koordynatorzy multisig i procedury zimnego przechowywania wymagają lat na zmiany. Matt Corallo argumentował, że Bitcoin powinien dodać prostą funkcję postkwantową na długo, zanim stanie się konieczna, pozwalając portfelom wcześnie wbudowywać lub deklarować kwantoodporne klucze publiczne.

Znany termin dałby spółkom giełdowym, ETF-om, depozytariuszom, giełdom, działom compliance i komitetom ryzyka konkretny plan migracji. BIP-361 argumentuje, że giełdy i depozytariusze stanęliby wobec presji powierniczej i prawnej, gdy tylko termin istnieje. Zwolennicy dodają, że to samo przygotowanie pomogłoby reagować na inne sytuacje osłabienia ECC w czasie.

Z tej perspektywy obiektywny soft fork wyłączający ewidentnie niebezpieczną ścieżkę wydawania byłby bliższy wymianie zepsutej zamka arbitralnej politycznej konfiskacie. Reguła dotyczyłaby typów skryptów, a nie nazwanych właścicieli, i mogłaby zostać ogłoszona lata wcześniej wraz z wykonalną ścieżką migracji.

Argumenty przeciw zamrażaniu

Przeciwnicy zaczynają od ugruntowanego oczekiwania praw własności Bitcoina: ważna moneta pozostaje wydawaLna przez posiadacza odpowiadającego klucza w ramach reguł konsensusu przyjętych w momencie jej otrzymania. Wsteczne unieważnienie tej ścieżki, argumentują, zmienia „not your keys, not your coins” w „not your upgraded-by-deadline, not your coins”.

Krytycy obawiają się, że zamrożenie ustanowiłoby precedens wybierania zwycięzców i przegranych wśród właścicieli UTXO. Nawet gdyby reguła była technicznie obiektywna, celowałaby w użytkowników na podstawie wyborów adresów, konstrukcji portfela, uśpienia lub niemożności działania. Przyszłe koalicje mogłyby szukać podobnych interwencji z powodu sankcji, odzysku kradzieży, sporów spadkowych, presji państwa lub monet uznanych za stracone.

Zamrożenie nie odróżniłoby utraconych monet od uśpionych, właścicieli uwięzionych, zmarłych z spadkobiercami, użytkowników w wrogich jurysdykcjach, czasowo zablokowanych układów, zapomnianego zimnego przechowywania ani świadomych oszczędności długoterminowych. Mogłoby też stworzyć konflikt bodźców: aktywni posiadacze mogliby korzystać ze zmniejszenia efektywnej podaży, podczas gdy nieaktywni prawowici właściciele ponieśliby stratę.

Istnieje też niepewność co do kwantowych harmonogramów i możliwości. Komputer kwantowy może przyjść później niż oczekiwano, przybrać inną postać, pozostać sekretny lub zostać przeciwdziałany łagodniejszymi środkami. Trwałe spalenie milionów monet przed materializacją zagrożenia mogłoby samo stać się nieodwracalnym naruszeniem praw własności.

Niepewny jest także techniczny cel. NIST wystandaryzował ML-DSA, SLH-DSA i ML-KEM, ale Bitcoin wymaga kompaktowych, kompatybilnych ze skryptami dowodów własności o kontrolowalnych kosztach weryfikacji. Porównanie kandydatów przez Chaincode wskazuje, że podpisy i klucze postkwantowe mogą być znacznie większe niż Schnorr czy ECDSA i różnić się dojrzałością, rozmiarem, kosztem podpisywania, kosztem weryfikacji i założeniami bezpieczeństwa. Zła migracja mogłaby obniżyć przepustowość, podnieść opłaty, zwiększyć obciążenie UTXO lub danych witness, wprowadzić nowe założenia lub wymagać kolejnej migracji.

Alternatywy wobec trwałego zamrożenia

Kilka wniosków dąży do redukcji ryzyka systemowego bez natychmiowego niszczenia starych roszczeń własnościowych. Faza A BIP-361 zapobiegałaby nowym zagrożonym wyjściom, pozostawiając istniejące tymczasowo wydawaLne. Boris Nagaev sugerował tymczasową blokadę z przyszłą wysokością ponownego włączenia, podczas gdy Conduition badał interakcje z wyjściami podobnymi do P2QRH lub P2MR i ostrzegał, że szeroki zakaz kontroli EC mógłby dotknąć konstrukcje hybrydowe.

Wniosek Hourglass V2 ograniczałby wydawanie starych P2PK do jednego wejścia P2PK na blok, z limitem netto jednego BTC na blok. Autorzy twierdzą, że zapobiegłoby to zarówno natychmiastowemu spaleniu, jak i nieograniczonej kwantowej likwidacji. Krytycy odpowiadają, że nadal ograniczałoby to wydawanie bez pozwolenia i mogłoby stworzyć wieloletni wyścig między prawowitymi właścicielami a atakującymi.

Schematy commit-delay-reveal, czasem łączone z konstrukcjami typu Guy Fawkes, pozwalałyby użytkownikowi zadeklarować przyszłe wydanie, poczekać na potwierdzenie, a później ujawnić informacje potrzebne do jego walidacji. Chaincode opisuje to podejście jako opcjonalne, a podsumowanie Optech wskazuje, że mogłoby zmniejszyć pilność migracji i chronić monety przed atakami krótkiej ekspozycji.

Inną możliwą metodą odzysku byłby dowód znajomości seed lub ścieżki derywacji zamiast kontroli nad zagrożonym kluczem publicznym. Or Sattath i inni omawiali „signature lifting”, a Olaoluwa Osuntokun zbudował dowód koncepcji z użyciem zk-STARK, by udowodnić, że klucz wyjścia Taproot BIP-86 pochodził ze ścieżki seed BIP-32. Najnowsza zoptymalizowana wersja wymaga dowodu o rozmiarze 200 KB. Odzyskiwanie małych UTXO mogłoby stać się nieopłacalne, bo opłaty mogłyby wynosić kilkaset dolarów, a przy wyższych stawkach nawet tysiące lub dziesiątki tysięcy. Inne obawy to rozmiar dowodu, złożoność weryfikacji, wyciek prywatności, założenia derywacji portfela i ryzyko dodania nowej kryptografii do konsensusu Bitcoina.

Marc Johnson i inni sugerowali migrację napędzaną rynkiem opartą na kwantoodpornych wyjściach, opcjonalnych podpisach podwójnych i bodźcach opłat lub polityki. To podejście lepiej chroniłoby prawa własności, ale mogłoby nie rozwiązać ryzyka systemowego, jeśli znaczne ilości wartościowych BTC pozostaną narażone.

Kompromisy techniczne i ekonomiczne

Standardy postkwantowe NIST dostarczają fundamentu: FIPS 204 standaryzuje ML-DSA, FIPS 205 standaryzuje SLH-DSA, a FIPS 203 obejmuje ML-KEM do ustanawiania kluczy. Bitcoin wymaga jednak podpisów cyfrowych i kompatybilnych ze skryptami dowodów własności, a nie samych standardów ogólnego przeznaczenia.

Podpisy oparte na haszach mają konserwatywne założenia, ale są duże. Podpisy typu Lamport mogby zostać włączone przez ulepszenia skryptów, takie jak OP_CAT, ale kwantowo podatna ścieżka klucza Taproot nadal wymagałaby usunięcia lub wyłączenia. Dyskusja OP_CAT w BIP-347 wskazuje na ten problem. Schematy kratowe, takie jak ML-DSA, są bardziej kompaktowe niż wiele opcji haszowych, ale niosą inne założenia i ryzyka implementacyjne. Podpisy typu Falcon są kompaktowe, ale trudniejsze w implementacji, podczas gdy SPHINCS+/SLH-DSA jest konserwatywny, ale duży.

Chaincode szacuje, że migracja wszystkich UTXO mogłaby zająć około 76–142 dni, gdyby migracja zużywała całą przestrzeń bloków, lub 305–568 dni przy 25% przestrzeni bloków. Liczby te nie obejmują aktualizacji portfeli, zatwierdzeń instytucjonalnych, podpisywania offline, wymiany sprzętu, workflow księgowych i koordynacji. Kompletna migracja zająłaby zatem prawdopodobnie lata. Wysokopoziomowy szacunek Chaincode obejmuje około pięciu lat w najlepszym przypadku do około 15 lat w najgorszym; w sytuacji awaryjnej proces mógłby zostać skrócony do dwóch lat, choć raport zauważa, że historyczne awaryjne poprawki nie są wprost porównywalne.

Historyczne precedensy i zarządzanie

Incident Value Overflow pokazuje, że reguły konsensusu Bitcoina już zmieniano, by usunąć monety stworzone pod regułami, które wówczas były ważne. 15 sierpnia 2010 roku odkryto, że blok 74 638 zawierał transakcję tworzącą 184 467 440 737,09551616 BTC dla trzech adresów. Dwa adresy otrzymały po 92,2 mld BTC, a górnik dodatkowe 0,01 BTC. Błąd wynikał z przepełnienia liczby całkowitej przy walidacji transakcji.

W ciągu pięciu godzin opublikowano nowego klienta odrzucającego takie transakcje poprzez zmianę konsensusu w formie soft forka. Blockchain się rozdzielił, a „dobra” sieć przegoniła drugą na wysokości bloku 74 691. Nieważna transakcja i utworzone przez nią monety już nie istnieją na łańcuchu o największym łącznym dowodzie pracy.

Incident DAO w Ethereum stanowi inne porównanie. W 2016 roku społeczność miała około miesiąca na reakcję na atakującego kontrolującego 5% ETH, ponieważ kontrakt The DAO zawierał opóźnienie przed wypłatą środków. Ethereum ostatecznie wykonało hard fork, by zwrócić środki, a oryginalny łańcuch stał Ethereum Classic. Ethereum Classic z trudem osiągało 10% wartości rynkowej Ethereum, choć obie sieci mają różne historie i struktury.

Zmiana BIP-361 w Bitcoinie byłaby soft forkiem, a nie hard forkiem. Użytkownicy sprzeciwiający się forkowi DAO mogli po prostu pozostać przy oryginalnych regułach, podczas gdy sprzeciw wobec kwantowego soft forka posiadającego superwiększość mocy hashowej wymagałby skoordynowania User Rejected Soft Fork, czego nigdy dotąd nie dokonano.

Bitcoin nie ma centralnej władzy zdolnej narzucić taką zmianę. Jakiekolwiek wycofanie ECC wymagałoby szerokiej zgody operatorów węzłów, górników, giełd, portfeli, depozytariuszy, handlowców i użytkowników. Działanie dopiero po dowodzie kryptograficznie istotnego komputera kwantowego oznaczałoby decyzje w panice i stresie rynkowym. Działanie zbyt wcześnie mogłoby narzucić nieodwracalne koszty, zanim zagrożenie będzie wystarczająco wiarygodne.

Możliwa droga naprzód

Matt Corallo argumentował, że debata powinna być osnuta jako ochrona praw własności w największym możliwym stopniu, a nie zwykła odmowa zamrażania jakichkolwiek monet. W tym ujęciu wycofanie ECC mogłoby być uzasadnione tylko wtedy, gdy istnieje szeroko przejrzany kwantoodporny cel, okno migracji jest wystarczająco długie, reguły są obiektywne i wąskie, a dostępne są opcje odzysku.

Dla BIP-361 zaproponowano pięcioletni okres migracji, bo zbyt wczesna migracja mogłaby narzucić niepotrzebne koszty lub uwięzić Bitcoina w niedojrzałym schemacie, a zbyt późna zostawiłaby system wystawiony na zagrożenie systemowe. Artykuł stwierdza, że aktywacji nie należy poważnie rozważać, chyba że kryptograficznie istotny komputer kwantowy okaże się prawdopodobnie mniej niż 10 lat odległy.

Następne kroki nie obejmują aktywacji BIP-361. Obejmują ograniczenie ponownego używania adresów, badania nad dowodami odzysku, zmniejszenie zależności od udostępniania xpub, rozwój wydajniejszych schematów postkwantowych, aktywację opcjonalnych kwantobezpiecznych skryptów blokujących oraz przygotowanie wielu planów awaryjnych.

Problem kwantowy Bitcoina nie jest pilny w tym sensie, że użytkownicy powinni dziś paniczować. Jest pilny, ponieważ systemy zdecentralizowane muszą rozwiązywać trudne problemy koordynacyjne, zanim staną się sytuacjami awaryjnymi. Debata nie dotyczy prostego wyboru między poszanowaniem a naruszeniem praw własności; dotyczy konkurencyjnych form niesprawności praw własności. Artykuł konkluduje, że Bitcoin powinien traktować komputery kwantowe jako realne, lecz niemierzalne ryzyko systemowe, unikając przedwczesnych i kontrowersyjnych zmian opartych wyłącznie na niepewności.

Ten artykuł ukazał się w najnowszym wydaniu drukowanym Bitcoin Magazine, The Quantum Issue, i jest udostępniany jako wczesny wgląd w idee omawiane w całym wydaniu.orem jest Shinobi, a tekst po raz pierwszy pojawił się na Bitcoin Magazine.