Najnowsze wyniki Google w dziedzinie komputera kwantowego wyostrzyły długoterminowe pytanie dla Bitcoina: które zasoby zostałyby narażone w pierwszej kolejności, jeśli kwantowy sprzęt istotny kryptograficznie stanie się wykonalny, i jak ich właściciele mogliby przeprowadzić migrację?

W ogłoszeniu z 15 października Google Quantum AI poinformował, że jego procesor Willow zmniejszył liczbę błędów około 40-krotnie podczas przygotowywania specjalistycznych stanów kwantowych. Eksperyment dotyczy jednego komponentu kwantowego komputera odpornej na błędy, a nie kompletnego systemu wymaganego do zaatakowania podpisów cyfrowych Bitcoina.

Co wykazał Willow

Badanie, "Magic state cultivation on a superconducting quantum processor", analizuje sposób przygotowywania zasobów potrzebnych do operacji wykraczających poza podstawowy zestaw obsługiwany przez wiele architektur korekcji błędów. Zasoby te są znane jako magic states.

Magic states są zużywane, gdy komputer kwantowy wykonuje określone operacje. Długie i złożone obliczenie wymaga zatem ciągłego dostępu do niezawodnych stanów, oprócz sprzętu wykonującego obliczenia.

Proces kultywacji rozpoczyna się od stanu niedoskonałego i wykorzystuje skoordynowane sprawdzenia w celu zachowania wyników wyższej jakości. Naukowcy zgłosili wierność stanu logicznego około 99,99% i około 40 razy mniejszą liczbę błędów niż ich punkt odniesienia polegający na wstrzykianiu stanów.

Wynik wiązał się z istotnym kompromisem. Po procesie selekcji, obejmującym sprawdzenia wykonane podczas przygotowania i pomiaru, pozostawało około 8% prób. Zgłoszona wierność opisuje zatem zachowane stany, a nie tempo wyjściowe kompletnej maszyny nieprzerwanie wykonującej duże obliczenie.

W związku z tym ogłoszenia nie należy interpretować jako 40-krotnego zmniejszenia zasobów wymaganych do zaatakowania Bitcoina. Willow wykazał, że ta metoda przygotowania działa na sprzęcie, ale budowa komputera odpornej na błędy zdolnego utrzymać wymaganą jakość, skalę i przepustowość odzyskiwania kluczy kryptograficznych pozostaje znacznie większym zadaniem.

Klucze publiczne już widoczne w łańcuchu poniosą pierwsze ryzyko

Bitcoin wykorzystuje podpisy cyfrowe do udowodnienia, że transakcja jest autoryzowana. Właściciel podpisuje kluczem prywatnym, a sieć weryfikuje podpis wobec odpowiadającego mu klucza publicznego.

Wystarczająco sprawny komputer kwantowy działający w oparciu o algorytm Shora mógłby, w zasadzie, wyprowadzić klucz prywatny z klucza publicznego, a następnie utworzyć ważny podpis. Taki atak nie wymagałby kradzieży portfela sprzętowego właściciela, przejęcia kontroli nad komputerem ani zdobycia frazy odzyskiwania.

Centralne dla ryzyka jest czasu trwania widoczności klucza publicznego. Atak długiej ekspozycji wymierza w klucz już dostępny w blockchainie, dając przyszłemu atakującemu dowolnie dużo czasu na próbę odzyskania klucza. Atak krótkiej ekspozycji rozpoczyna się, gdy klucz publiczny pojawia się w transakcji oczekującej na potwierdzenie, co pozostawia znacznie węższe okno.

Wiele wczesnych nagród za wydobycie wykorzystywało wyjścia pay-to-public-key, które ujawniają klucz publiczny, dopóki monety pozostają niewydane. Ich ekspozycja wynika z warunków wydawania, a nie z samego wieku monet. Nowoczesne zasoby również mogą ponosić ryzyko długiej ekspozycji, jeśli ich klucz został ujawniony we wcześniejszej transakcji lub jeśli korzystają z wyjść Taproot.

Specyfikacja Taproot wykorzystuje wyjściowy klucz publiczny obsługujący bezpośrednie wydawanie oparte na podpisie. Nie czyni to Taproot dziś niebezpiecznym. Oznacza jednak, że nowszy format adresu nie ukrywa automatycznie informacji o kluczu publicznym istotnych dla ewentualnego przyszłego kwantowego ataku odzyskiwania kluczy.

Zimne przechowywanie pozostaje wartościowe wobec zwykłych kradzieży, ponieważ chroni klucze prywatne przed kompromitacją online. Nie usuwa jednak klucza publicznego, który został już opublikowany w blockchainie.

Przyszły atak wymagałby maszyny znacznie wykraczającej poza Willow

Oddzielne badanie zasobów kierowane przez Google opisuje, czego mógłby wymagać przyszły atak na krzywe eliptyczne podpisy Bitcoina w ramach określonych założeń. Nie jest to opis udokumentowanych możliwości Willow. Tego rodzaju szacunki zasobów przekładają kwantowe zagrożenie na konkretne wymagania sprzętowe, dając programistom i badaczom mierzalne punkty odniesienia do śledzenia w miar rozwoju technologii.

W oparciu o założenia dotyczące przyszłej architektury nadprzewodzącej — w tym fizyczne wskaźniki błędów 10 -3, łączność planarną i szybki system sterowania — badanie oszacowało, że odpowiednie obwody mogłyby działać w ciągu minut przy użyciu mniej niż pół miliona fizycznych kubitów.

Dla "nastawionej" maszyny o szybkim zegarze praca modeluje średni czas odzyskiwania klucza wynoszący około dziewięciu minut od momentu udostępnienia klucza publicznego. Ten timing zależy od wcześniejszych obliczeń oraz od czasów reakcji systemu sterowania, których obecny sprzęt nie wykazał na wymaganej skali.

Model szacuje również, że dziewięciominutowe obliczenie wymagałoby około pół miliona wystarczająco niezawodnych T-states każdej sekundy. Jest to ciągłe wymaganie produkcyjne, a nie liczba kubitów w maszynie.

Szacunek sprzętowy już uwzględnia wydajne podejście do produkcji magic states. Dzielenie tej liczby przez 40-krotną redukcję błędów Willow oznaczałoby zatem podwójne liczenie postępu. Niższy poziom błędów w jednej eksperymentalnej metodzie przygotowania nie jest równoważny proporcjonalnemu zmniejszeniu kosztu całego ataku kryptograficznego.

Przyszła ochrona nie rozwiąże automatycznie problemu starszych zasobów

Deweloperzy Bitcoina rozważają propozycje dotyczące różnych etapów ekspozycji kwantowej. BIP 360 proponuje Pay-to-Merkle-Root, czyli P2MR — projektowany typ wyjścia w ramach soft-fork, który usuwa narażoną ścieżkę klucza Taproot.

P2MR ma na celu zmniejszenie ryzyka długiej ekspozycji poprzez unikanie ścieżki klucza, która czyni wyjścia Taproot podatnymi przed wydaniem. Nie zapewniłby pełnej ochrony po ujawnieniu klucza w transakcji oczekującej w mempool. Autorzy BIP twierdzą, że obrona przed tymi krótszymi atakami może wymagać podpisów postkwantowych.

Proponowana migracja od obecnych podpisów Bitcoina stworzyłaby dodatkowe wyzwanie. BIP 361 to projektowa propozycja informacyjna zależna od osobnej, wciąż niesprecyzowanej propozycji podpisu postkwantowego. Sugerowana pięcioletnia tranzyzja rozpoczęłaby się dopiero po aktywacji; nie jest to aktywny termin dla posiadaczy Bitcoina.

Uśpione zasoby stanowią najtrudniejsze pytanie migracyjne. Właściciel, który utracił dostęp do kluczy prywatnych, nie może autoryzować przejścia na silniejszą ochronę. Nieaktywność nie dowodzi jednak, że monety zostały porzucone. Każda zasada ograniczająca zasoby niewydrukowane w ramach migracji mogłaby zatem dotknąć także uprawnionych właścicieli, którzy powrócą później.

Bezpośrednią kwestią jest przygotowanie, a nie panika

Nic w eksperymencie Willow nie oznacza, że posiadacze Bitcoina muszą dziś przeprowadzić awaryjny transfer. Istotne pytaniezmi, czy dane wyjście już ujawnia klucz publiczny, a nie czy właściciel przechowuje klucz prywatny w portfelu sprzętowym ani czy adres po prostu wygląda na stary.

Trudniejszym zadaniem dla Bitcoina jest stworzenie i przyjęcie ścieieżki migracji, zanim powstanie kwantowy sprzęt istotny kryptograficznie. Nowe typy wyjść musiałyby zostać uzgodnione, oprogramowanie portfeli i przechowywania musiałoby je obsługiwać, a właściciele potrzebowaliby praktycznego sposobu przeniesienia istniejących środków.

Ten proces prawdopodobnie potrwa dłużej niż tworzenie nowego formatu adresu, szczególnie w przypadku starych lub niedostępnych monet. Bitcoin ma projektowe propozycje przyszłej ochrony, ale nie ma aktywowanej ścieieżki migracji postkwantowej. Na razie konkretne punkty do obserwacji to to, czy BIP 360 i BIP 361 wyjdą poza status projektu oraz czy postęp sprzętu kwantowego rozszerzy się z demonstracji pojedynczych komponentów, takich jak Willow, w kierunku maszyn odpornych na błędy, które modeluje badanie zasobów.

Niniejszy artykuł ma charakter wyłącznie informacyjny i nie stanowi porady finansowej ani inwestycyjnej.