Jeśli napięcia geopolityczne nie wystarczały już do niepokoju rynków, kryptowaluty mają teraz własny, nuklearny w wymowie powód do zaniepokojenia. W całej branży badacze i analitycy dyskutują o scenariuszu zagłady kryptograficznej, w którym atakujący wyprowadzają klucze prywatne bezpośrednio z kluczy publicznych — napędzany postępem sztucznej inteligencji, który kiedyś uchodził za daleko idącą spekulację, a dziś jest traktowany jako potencjalnie wiarygodny i zdolny narazić na ryzyko kryptowaluty wszystkich.

Badacz Ethereum Justin Drake wezwał do planowania „trybu bunkrowego” w zeszłą środę, powołując się na „pokornające” postępy sztucznej inteligencji, które mogłyby przyspieszyć odkrycie ataków matematycznych i ostatecznie „złamać” kryptografię. „IMO teraz rozsądnie jest przygotować się na możliwość, że ECDSA [Elliptic Curve Digital Signature Algorithm] zostanie złamany przed Qday, w najgorszym przypadku w skali miesięcy, a nie lat” — napisał. W branżowym skrócie „Qday” oznacza hipotetyczny dzień, w którym komputery kwantowe będą w stanie złamać kryptografię klucza publicznego zabezpieczającą kryptowaluty.

W ocenie Drake'a branża powinna rozpocząć planowanie kontrolowanej migracji aktywów na świeże adresy, których klucze publiczne nigdy nie zostały ujawnione, co ograniczyłoby informacje, które potencjalny atakujący mógłby wykorzystać.

Ale na czym dokładnie opiera się to ostrzeżenie — i czy istnieją rzeczywiste powody do alarmu?

Czy panika w krypto jest uzasadniona?

Obawy Drake'a nie ograniczają się do kwestii, czy AI przyspieszy pojawienie się komputerów kwantowych zdolnych złamać kryptografię Obawia się on również, że systemy AI mogłyby pomóc odkryć ataki matematyczne wykonywalne na komputerach klasycznych, które umknęły ludzkim kryptografom.

Twierdzi, że krzywe eliptyczne — matematyka stojąca u podstaw kryptografii większości blockchainów — mogą być bardziej podatne na takie przełomy niż funkcje skrótu ze względu na większą strukturę matematyczną. To z kolei rodzi możliwość złamania kryptografii krzywych eliptycznych algorytmem klasycznym — tym samym narzędziem, które pozwala oprogramowaniu portfeli podpisywać transakcje i udowadniać kontrolę nad środkami.

Matthew Green, profesor kryptografii na Johns Hopkins University, dodał paliwa do ogienia paniki już rozchodzącej się w branży, mówiąc: „Myślę, że możemy stracić kryptografię klucza publicznego”.

Nie wszyscy dzielą ten alarm. Yehuda Lindell, szef kryptografii w Coinbase, oświadczył, że według jego wiedzy nie ma „żadnych dowodów” na to, by wieloletnie założenia matematyczne leżące u podstaw kryptografii krzywych eliptycznych zostały osłabione.

Lucien Bourdon, analityk Bitcoina w firmie portfeli sprzętowych Trezor, powiedział Cointelegraph Magazine: „Nie ma wiarygodnych, opublikowanych postępów w atakach na matematykę stojącą za ECDSA — za pomocą AI czy czegokolwiek innego”.

Bourdon zauważył, że żadne z ostatnich publikacji OpenAI — matematyczne prace napisane przez AI — nie zawierają ataku na ECDSA, choć Drake uważa, że ta absence to powód do podejrzeń, a nie pociechy. Drugi argument Drake'a jest taki, że krzywe eliptyczne niosą większą strukturę matematyczną niż funkcje skrótu, co może ułatwić ich złamanie.

„Nie mówi jak” — powiedział Bourdon. „Nazywa też swoją os czasu scenariuszem najgorszego przypadku i radzi ludziom, by się nie spieszyli”.

Zach Herbert, dyrektor generalny i współzałożyciel firmy portfeli sprzętowych FoundationHQ, powiedział Cointelegraph Magazine, że przeniesienie środków na świeże adresy może niewiele zmienić, jeśli rozszerzony klucz publiczny (xpub) został już udostępniony aplikacji portfela lub stronie trzeciej. W takim przypadku „mają już informacje potrzebne do wyprowadzenia kluczy publicznych, które próbujesz ukryć” — powiedział.

A jak zauważyła Taylor Monahan, założycielka i dyrektor generalna portfela Ethereum MetaMask, jeśli kryptografia zawiedzie, cena posiadanych aktywów będzie najmniejszym zmartwieniem: „Jeśli krzywe eliptyczne zostaną złamane tak, że każdy ujawniony klucz publiczny prowadzi do kompromitacji, a zrobi to hacker Motywowany finansowo, którego priorytetem jest kradzież krypto, cały kur** świat pójdzie do zera. Trzymanie magicznych monet internetowych w trybie bunkrowym ci nie pomoże”.

Dlaczego przeniesienie monet może nie wystarczyć

Herbert wyjaśnił, że xpuby pozwalają portfelom generować wiele kluczy publicznych dla tego samego konta, w tym dla adresów nigdy nieużywanych. Jeśli aplikacja portfela lub strona trzecia ma już te informacje, przesunicie środków na świeży adres w ramach tego samego konta może nie ukryć przed nimi klucza publicznego nowego adresu. Gdyby ECDSA stał się praktycznie łamliwy, „atakujący mógłby odzyskać odpowiadające klucze prywatne, nigdy nie dotykając Twojego portfela sprzętowego” — powiedział.

„Nie, to oczywiście nie jest wystarczająca ochrona” — powiedział Eli Ben-Sasson, współzałożyciel i dyrektor generalny protokołu skalującego Ethereum StarkWare. „Oprócz samego przeniesienia monet, jeśli chcesz ich kiedykolwiek użyć ponownie, musiałbyś pobrać nowe rodzaje portfeli”.

Złamanie wpłynęłoby na znacznie więcej niż podpisy portfeli, dodał. Podpisy i mechanizmy konsensusu na poziomie infrastruktury Ethereum również wymagałyby uwagi, podobnie jak schemat zobowiązań wielomianowych Kate-Zaverucha-Goldberg (KZG) używany dla danych w blobach. „Wreszcie, ceny gas prawdopodobnie też gwałtownie wzrosłyby, ponieważ dużo funkcjonalności by się zepsuło” — powiedział.

W Bitcoinie niektóre typy adresów ukrywają pełny klucz publiczny za hashem kryptograficznym do momentu wydania monet. Jeśli odpowiednie funkcje skrótu pozostaną bezpieczne, mogłoby to zapewnić dodatkową warstwę ochrony przed atakującym próbującym wyprowadzić klucz prywatny z klucza publicznego. Adresy Taproot z kolei ujawniają klucz publiczny bezpośrednio on-chain.

Bourdon zauważył, że popularne adresy SegWit zaczynające się od bc1q ukrywają klucze publiczne do momentu wydania środków, a portfele takie jak Trezor generują świeże adresy odbiorcze, by ograniczyć ponowne używanie adresów. „Teraz nie ma nic do zrobienia” — powiedział, dodając, że paniczna migracja przyniesie więcej szkody niż pożytku. „Ludzie, którzy w pośpiechu przenoszą środki, popełniają błędy, a oszuści wykorzystują takie historie, by do nich dotrzeć”.

Warto też zauważyć, że przy każdym wydaniu Bitcoina klucz publiczny i tak zostaje ujawniony w mempool, co tworzy okno opportunity dla ataku.

Nie wszystkie aktywa krypto są równe

Niektóre blockchainy już przygotowują się na zagrożenia kryptograficzne, choć proponowane rozwiązania znacznie się różnią.

W skupionym na AI protokole NEAR użytkownicy mogą dodać odporny na komputery kwantowe klucz FIPS-204 do istniejącego konta mainnet w jednej transakcji, bez przenoszenia aktywów, według jego roadmapy postkwantowej, a portfele takie jak Meteor obsługują postkwantowe podpisywanie. To podejście opiera się na kryptografii kratach (lattice-based) — technice, którą twórca Ethereum Vitalik Buterin sam obawia się może być podatna na atak.

Ethereum rozwija szerszą postkwantową roadmapę wykorzystującą podpisy oparte na hashach i agregację dowodów ZK, obejmującą wszystko od podpisów transakcji po konsensus i bezpieczeństwo danych. Ma też rozpisaną na papierze awaryjną propozycję twardego forka i odzyskiwania. W poście z marca 2024 r. Buterin opisał potencjalny twardy fork, który cofałby bloki po rozpoczęciu masowych kradzieży, wyłączał klasyczne transakcje portfelowe i pozwalał użytkownikom odzyskać środki za pomocą dowodów zero-knowledge znajomości frazy seed.

Max Shannon, starszy pracownik badawczy Bitwise Europe, powiedział, że pozostaje to propozycją „bez ustalonego harmonogramu”. Choć nikt jak dotąd nie wykazał działającego ataku, powiedział, że użytkownicy powinni przejść na podpisy odporne na komputery kwantowe „w długim okresie”.

Architektura abstrakcji kont Starknet pozwala użytkownikom zmieniać schematy podpisu bez migracji środków na nowy adres. Ben-Sasson powiedział, że technologia rdzenia nie wymagałaby zmian, „ponieważ abstrakcja konta oznacza, że można użyć dowolnego schematu podpisu”. Inne komponenty nadal wymagałyby jednak uwagi, w tym części drzewa stanu sieci i jej zależności od Ethereum w kwestii bezpieczeństwa.

Zmiana adresu nie pomoże użytkownikom Solany, ponieważ klucze publiczne są tam domyślnie ujawniane — mogą jednak przenieść środki do skarbca postkwantowego, takiego jak Winter Wallet. Wiceprezes ds. technologii Solana Foundation Jacob Creech powiedział, że użytkownicy Solany nie musieliby wchodzić w „tryb bunkrowy”, gdyby jej schemat podpisu stał się łamliwy. Aktualizacja sieci mogłaby pozwolić użytkownikom udowodnić własność secret seed za pomocą dowodu opartego na hashu i zmigrować konta do bezpieczniejszego schematu podpisu. Działający proof of concept istnieje, powiedział, choć sama aktualizacja nie została wdrożona.

Czy posiadacze krypto powinni więc panikować?

Shannon powiedział, że Bitwise nie martwi się na razie tym ryzykiem teoretycznym, ale warto zachować ostrożność.

„Świeże adresy i ujawnienie xpubów możemy omawiać jako eksperyment myślowy” — powiedział Herbert — „ale nie udawałbym, że te kroki stanowią praktyczny plan na taki scenariusz”. Ponieważ niektórzy mają stare urządzenia, skomplikowane układy multisignature lub Bitcoiny, których nie dotykali od lat, aktualizacja oprogramowania „nie ochroniłaby automatycznie tych monet” — powiedział.

Bourdon wezwał posiadaczy do przyglądania się źródłu, zauważając, że ostrzeżenie Drake'a wiązało się z rozmowami o kierunku Ethereum ku kryptografii opartej na hashach, którą sam zaleca. „Ostrzeżenie o nieudowodnionym zagrożeniu jest więc jednocześnie reklamą roadmapy Ethereum” — powiedział.

Choć nie dowodzi to, że Drake się myli, nadal nie ma dowodów, że ECDSA ma zostać wkrótce złamany — a pośpieszna migracja środków wiąże się z wieloma ryzykami. Na razie rzeczy do obserwacji są konkretne: czy pojawi się jakikolwiek wiarygodny, opublikowany atak na ECDSA i czy postkwantowe propozycje, takie jak awaryjny twardy fork Ethereum i aktualizacja Solany oparta na hashach, przejdą z papieru do wdrożonych aktualizacji sieci. Ale jeśli kryptografia stojąca za portfelami i blockchainami rzeczywiście zawiedzie, przeniesienie monet może być najłatwiejszą częścią odpowiedziży.

Na podstawie relacji Cointelegraph Magazine.