StarkWare, izraelska spółka stojąca za siecią skalującą Ethereum StarkNet oraz technologią dowodów STARK typu zero-knowledge, poinformowała w środę, że zakończyła pierwszą kwantowo bezpieczną transakcję Bitcoin potwierdzoną w mainnecie, przenosząc monety do struktury opartej na funkcji skrótu, zaprojektowanej tak, by chronić przed atakami mogącymi wykorzystywać algorytm Shora. Firma powiedziała, że demonstracja ma znaczenie nie tylko dla Bitcoina, ale także dla innych dużych blockchainów, które opierają się na podpisach krzywych eliptycznych i mierzą się z podobnym ryzykiem.

Dlaczego sprawa przyciąga uwagę

Podstawowe zagrożenie jest proste. Jeśli publiczny klucz Bitcoina zostanie ujawniony w publicznych rejestrach, wystarczająco wydajny komputer kwantowy uruchamiający algorytm Shora mógłby potencjalnie wyprowadzić odpowiadający mu klucz prywatny i spróbować ukraść środki.

Według Glassnode Research, 6.04 miliona BTC, czyli 30.2% całkowitej podaży kryptowaluty, jest w stanie spoczynku narażone na ryzyko kwantowe. Z tej puli 1.92 miliona BTC jest strukturalnie narażone z powodu typu wyjścia, a 4.12 miliona BTC jest operacyjnie narażone z powodu praktyk takich jak ponowne używanie adresów i sposób przechowywania środków.

Miara Glassnode dotyczy monet, których publiczne klucze są już znane przed ich wydaniem. Osobne ryzyko pojawia się wtedy, gdy ukryty publiczny klucz zostaje ujawniony w trakcie procesu wydawania środków.

Obecnie nie istnieje maszyna kwantowa zdolna do przeprowadzenia takiego ataku. Jednak w 2026 roku badacze Google oszacowali, że złamanie krzywej secp256k1 Bitcoina wymagałoby albo 1,200 logicznych kubitów i 90 milionów bramek Toffoliego, albo 1,450 logicznych kubitów i 70 milionów bramek. Symulacja oparta na architekturze nadprzewodzącej sugerowała, że wystarczyłoby mniej niż pół miliona fizycznych kubitów. Pytanie wykracza poza krypto: amerykański National Institute of Standards and Technology opublikował pierwsze ostateczne standardy kryptografii postkwantowej w sierpniu 2024 roku, w ramach szerszych działań mających przenieść branże z systemów kryptograficznych, które duże komputery kwantowe mogłyby ostatecznie złamać.

Jak działa podejście StarkWare

Demonstracja StarkWare rozwiązuje problem polegający na tym, że w standardowej płatności Bitcoin klucz prywatny może zostać ujawniony podczas transmisji. W takim przypadku atakujący z użyciem komputera kwantowego mógłby potencjalnie obliczyć klucz przed potwierdzeniem transakcji i wyprzedzić pierwotną płatność.

Avihu Levy, dyrektor generalny ds. aplikacji w StarkWare, stworzył Quantum-Safe Bitcoin, czyli QSB, aby rozwiązać tę słabość bez zmiany protokołu konsensusu Bitcoina. Metoda opiera się na Binohash i przekształca podatną na atak kwantowy część protokołu w zagadkę typu hash-to-signature, która zależy od odporności RIPEMD-160 na ataki pre-image zamiast od założeń dotyczących krzywych eliptycznych, które algorytm Shora może złamać. Kryptografia oparta na funkcjach skrótu jest jedną z najstarszych technik postkwantowych, a standaryzowane schematy podpisu postkwantowego już obejmują rozwiązania oparte na hashach.

Przed nadaniem transakcji nadawca wykonuje zasobożerne obliczenia poza łańcuchem. Przy wykorzystaniu proponowanej konfiguracji Leviego QSB teoretycznie może zapewnić około 118 bitów odporności na drugi pre-image w modelu zagrożenia Shora. Atakujący z użyciem komputera kwantowego nadal korzystałby z kwadratowego przyspieszenia oferowanego przez algorytm Grovera, ale nie uzyskałby wykładniczej przewagi, jaką algorytm Shora daje wobec kryptografii opartej na krzywych eliptycznych.

Prace Leviego stały się publiczne w kwietniu 2026 roku, a inżynier StarkWare Tomer Giladi odegrał kluczową rolę we wdrożeniu pierwszej transakcji w mainnecie z użyciem tej metody.

Ograniczenia testu

Podejście ma praktyczne ograniczenia. W badaniach Leviego koszt obliczeń GPU poza łańcuchem potrzebnych do wygenerowania transakcji wynosi około $75 do $200, podczas gdy w abstrakcie badania podano, że kwota ta może sięgać kilkuset dolarów. W zależności od dostępności GPU obliczenia mogą potrwać kilka godzin.

Transakcje QSB mogą być również traktowane jako niestandardowe w ramach polityki relay Bitcoina, co oznacza, że nie mogą przejść zwykłą ścieżką mempoola. Z tego powodu StarkWare wysłało swoją transakcję bezpośrednio do miniera, a MARA włączyła ją za pośrednictwem usługi Slipstream.

Spółka podkreśliła też, że QSB nie chroni 6.04 miliona BTC, które Glassnode uznał już za narażone. Jeśli atakujący ma wystarczająco dużo czasu, by obserwować publiczny klucz, a później wyprowadzić klucz prywatny, atak może zostać przeprowadzony bez czekania na konkretną transakcję. QSB ma służyć do bezpiecznego przechowywania chronionych monet, a nie do zabezpieczenia całego obecnego Bitcoina.

Dlaczego StarkWare nadal chce soft fork

Levy i prezes StarkWare Eli Ben-Sasson twierdzą, że trwałym rozwiązaniem pozostaje aktualizacja na poziomie protokołu. BIP 360 proponuje Pay-to-Merkle-Root, czyli P2MR, jako nowy typ wyjścia mający wspierać migrację z podpisów podatnych na ataki kwantowe. BIP 361 proponuje stopniowe wygaszanie starszych podpisów ECDSA i Schnorr; wskazuje przy tym, że na 1 marca 2026 roku ponad 34% całego bitcoina ujawniło publiczny klucz on-chain.

Na razie Ben-Sasson przedstawił demonstrację jako oddech czasu, a nie trwałe rozwiązanie.

„Przełom Avihu jest ważny, ponieważ daje nam potrzebne psychologiczne poczucie bezpieczeństwa, którego potrzebuje także sam aktyw.”

Wcześniej porównał reakcję branży krypto na to zagrożenie do pasażerów na Titanicu. Po środowym teście powiedział, że demonstracja pokazała, iż „są łodzie ratunkowe”.

Bitcoin handlowany był w pobliżu $78,620, gdy wiadomość zaczęła się rozprzestrzeniać.