Google poinformowało, że jego kwantowy chip Willow zmniejszył liczbę błędów około 40-krotnie przy przygotowywaniu „magic states” – specjalistycznego zasobu wymaganego do obliczeń kwantowych, które mogą w przyszłości zagrozić portfelom Bitcoin. Wyniki opublikowano w tym tygodniu w Science.

Eksperyment osiągnął około 99,99 procenta wierności wśród stanów, które przeszły weryfikację, choć tylko około 8 procent prób przygotowania zakończyło się sukcesem, a przed skalowaniem nadal stoją poważne wyzwania.

Wyniki te nie czynią ataku na Bitcoin 40 razy tańszym. Zamiast tego rozwijają metodę inżynieryjną, która mogłaby pomóc przyszłym komputerom kwantowym utrzymać około 500 000 niezawodnych magic states na sekundę, wymaganych w jednym z modelowanych ataków.

Praca ta dotyczy wyzwania, które rzadko pojawia się w debacie o komputerach kwantowych i bitcoinie – debata ta koncentruje się zwykle na tym, jak duża maszyna byłaby potrzebna atakującemu, pomijając, ile mocy tej maszyny zajęłoby przygotowanie do obliczeń.

Dlaczego najstarsze monite dają atakującemu więcej czasu

Portfel bitcoinowy używa klucza prywatnego do zatwierdzania płatności oraz pasującego klucza publicznego, który pozwala sieci weryfikować te zatwierdzenia. Wydanie środków zazwyczaj ujawnia klucz publiczny, a niektóre typy płatności ujawniają go od początku.

Przejście wstecz od klucza publicznego do prywatnego miałoby wymagać niepraktycznej ilości obliczeń, co czyni inżynierię odwrotną portfeli krypto praktycznie niemożliwą. Jednak wystarczająco duży komputer kwantowy działający algorytmem Shora mógłby teoretycznie wykonać takie obliczenia. Kto odzyskałby klucz prywatny, mógł podpisywać transakcje jako właściciel, a sieć uznałby je za autentyczne. Matematyk Peter Shor opublikował tę metodę po raz pierwszy w 1994 roku, ale nikomu dotąd nie udało się jej zademonstrować.

Fraza odzyskiwania zamknięta w fizycznej szufladzie nie zapewnia ochrony przed takim atakiem, ponieważ atakujący bazowałby na informacjach już obecnych w blockchainie.

Niektóre nowsze formaty płatności ukrywają klucz publiczny za hashem – cyfrowym odciskiem palca – aż do momentu wydania środków przez właściciela. Atakujący celujący w wcześniej ukryty klucz musiałby poczekać na to ujawnienie i mógłby potrzebować odzyskania sekretu wystarczająco szybko, aby zakłócić płatność.

Dlatego właśnie utracone monity stanowią trudny problem. Bitcoin może wprowadzić silniejsze zabezpieczenia wydawania środków, ale do przeniesienia starych zasobów ktoś nadal potrzebuje istniejących kluczy. Jeśli te klucze zostały utracone, właściciel nie może dokonać transferu, a ujawniony klucz publiczny pozostaje dostępny dla przyszłego atakującego.

Zasoby z najwcześniejszych lat Bitcoina są często określane jako „ery Satoshiego” – od pseudonimu twórcy sieci – a wiele wczesnych nagród wypłacano bezpośrednio na klucz publiczny, format, który umieszczał sam klucz w blockchainie, a nie jego hash. Część najstarszych zasobów bitcoinowych ma klucze publiczne ujawnione od momentu wydobycia, a stare monity zaczęły się przemieszczać, gdy debata o komputerach kwantowych narasta. 7 października 100,02 BTC nietknięte od lipca 2010 roku przemieściły się po ponad 16 latach, o wartości około 8,5 miliona dolarów. W sierpniu sześć portfeli nieaktywnych od 2011–2014 przemieściło kolejne 553,59 BTC, warte wówczas około 40 milionów dolarów.

Te transfery same w sobie nie dowodzą, że posiadacze reagują na obawy o komputery kwantowe; przemieszczanie monet może równie dobrze oznaczać zmianę portfela, reorganizację zasobów lub przygotowanie do sprzedaży.

Koszt przygotowań

Komputery kwantowe przechowują informacje wnostkach zwanych kubitami, które są skrajnie kruche. Ciepło, wibracje i zabłąkane sygnały mogą je zakłócać i wprowadzać błędy, a dodanie większej liczby kubitów zwiększa też liczbę możliwości popełnienia błędu.

Inżynierowie radzą sobie z tym, organizując wiele fizycznych kubitów w grupy, które wykrywają i korygują błędy. Każda grupa zachowuje się jak bardziej niezawodna jednostka, zwana kubitem logicznym. Te jednostki potrzebują następnie cyfrowego odpowiednika paliwa do wykonywania określonych operacji: specjalnie przygotowanych stanów kwantowych, które badacze nazywają „magic states”. Każdy z nich jest zużywany przy użyciu, więc komputer musi je nieustannie produkować przez cały czas trwania obliczeń.

Wyobraź sobie restauracyjną kuchnię, w której każde danie wymaga świeżej porcji sosu, którego nie można ponownie użyć, a część personelu musi nieprzerwanie przygotowywać sos, podczas gdy reszta gotuje. W komputerze kwantowym sprzęt poświęcony na produkcję magic states to sprzęt, którego nie można przeznaczyć do innych zadań.

Ten narzut oznacza, że potencjalny atakujący stoi wobec dwóch problemów jednocześnie: zbudowania maszyny wystarczająco dużej do wykonania obliczeń oraz utrzymania jej zaopatrzenia w stany przez cały czas trwania operacji.

Metoda Google, nazwana cultivation, zaczyna od surowej wersji stanu, sprawdza ją podątem błędów i odrzuca wadliwe próby. Celem jest produkcja czystych stanów przy użyciu mniejszej ilości sprzętu niż wymagały starsze metody.

Firma zgłosiła około 99,99% wierności – miary tego, jak blisko ukończone stany odpowiadały zamierzeniom badaczy. Liczba ta dotyczy tylko stanów, które przeszły weryfikację. Willow zachował około 8% prób po kontrolach podczas przygotowania i pomiaru. Na każde 100 prób przez weryfikację przechodziło około osiem.

Kolejne kroki obejmują przeprowadzenie procesu na znacznie większą skalę i utrzymanie użyteczności stanów, gdy są wykorzystywane w dłuższych obliczeniach. Badacze twierdzą, że potrzebna jest dalsza praca nad operacjami w czasie rzeczywistym oraz nad przeniesieniem stanów do silniejszych konfiguracji korekcji błędów.

Jak to się ma do wcześniejszych badań

W marcu Google oszacowało, że przyszły nadprzewodzący komputer kwantowy z mniej niż 500 000 fizycznych kubitów mógłby złamać kryptografię portfeli używaną przez Bitcoin i Ethereum, przy określonym zestawie założeń sprzętowych. We wrześniu CoinDesk poinformował o badaczach, którzy zmniejszyli obciążenie obliczeniowe kluczowego obliczenia używanego w tym ataku. Ta praca obejmowała jeden komponent, pomijając kompletny atak oraz fizyczne koszty sprzętowe jego przeprowadzenia.

Te badania redukują ilość matematyki, którą atakujący musi wykonać. Cultivation adresuje koszt zaopatrywania maszyny, gdy wykonuje ona te obliczenia. Zysków nie można po prostu mnożyć przez siebie: marcowe szacunki Google już zakładały wydajną produkcję magic states, a eksperyment testuje część tego podejścia inżynieryjnego, a nie zapewnia kolejnej 40-krotnej redukcji szacowanego kosztu ataku na bitcoin.

Razem te prace nakreślają pozostałą listę zadań inżynieryjnych – wystarczającą liczbę fizycznych kubitów, bardziej wydajne obliczenie i niezawodne dostawy stanów – przy czym każdy element został jak dotąd zademonstrowany osobno, a nie jako kompletna maszyna.

Marcowy artykuł pokazuje również, ile paliwa spaliłby atak. Dla jednego z modelowanych ataków trwającego około dziewięciu minut od ujawnienia klucza publicznego Google oszacowało, że maszyna potrzebowałaby około 500 000 wystarczająco niezawodnych magic states co sekundę.

Dopóki cultivation i pozostałe komponenty nie zostaną wykazane jako działające razem w dużej skali, modelowany atak pozostaje szacunkiem sprzętowym, a nie realną zdolnością operacyjną.