У разработчика Bitcoin Кори Филдса появилась необычная идея противодействия будущим квантовым ворам: заставить их рисковать собственным Bitcoin при каждой попытке украсть чужие средства.

В публикации от 4 ноября в списке рассылки разработчиков Bitcoin Филдс описал «квантовые мины» и два типа аукционов, призванных превратить атаки на уязвимые кошельки в дорогостоящую азартную игру. Он назвал эти идеи «мысленными экспериментами», а не завершённым обновлением Bitcoin. Формат списка рассылки означает, что идеи находятся на самом раннем этапе открытого процесса изменений в Bitcoin, где другие разработчики могут изучать механику задолго до появления какого-либо формального предложения или кода. Аукционные дизайны нацелены на внешне заброшенные монеты, рядом с которыми может никого не оказаться, чтобы активировать мину. Всё остаётся гипотетическим: Bitcoin понадобятся квантово-устойчивые кошельки, новые правила консенсуса и согласие относительно их активации.

Почему квантовые компьютеры угрожают некоторым кошелькам

Владельцы Bitcoin используют секретный приватный ключ для авторизации транзакций. Соответствующий публичный ключ позволяет сети проверять подписи, не узнавая секрета. Сегодняшние компьютеры не могут реально вычислить приватный ключ из публичного, но достаточно мощный квантовый компьютер мог бы сделать это с помощью математического метода, называемого алгоритмом Шора, что потенциально позволило бы вору тратить монеты, как если бы они принадлежали ему.

Некоторые старые выходы Bitcoin имеют раскрытые публичные ключи, и отдельные новые форматы тоже их раскрывают. Другие типы адресов скрывают ключ до момента траты, поэтому риск не одинаков для всех кошельков. Исследователи называют гипотетическое появление компьютера, способного к таким атакам, «Q-Day». Ни одна публично продемонстрированная машина сегодня не может украсть Bitcoin таким способом, и никто точно не знает, когда такая может появиться.

Как работает квантовая мина

Представьте, что у кого-то есть 1 BTC в старом, потенциально уязвимом кошельке. До Q-Day владелец создаёт крошечный отдельный квантово-устойчивый выход Bitcoin, содержащий скрытое доказательство того, что он контролировал оригинальный приватный ключ, пока квантовая кража была ещё невозможна. Это можно представить как запечатанную квитанцию о владении. Посторонние могут видеть небольшой выход, но не скрытое в нём доказательство — и даже не догадываться, что это ловушка.

Теперь представьте, что будущий вор использует квантовый компьютер для восстановления этого приватного ключа. По предложенным Филдсом правилам вор не может просто забрать 1 BTC: он должен добавить 1 BTC собственных средств из квантово-устойчивого кошелька в качестве залога. Обе монеты попадают в ограниченный выход стоимостью 2 BTC, и вор должен выждать период оспаривания — 30 дней в примере Филдса — прежде чем свободно тратить средства.

Если владелец кошелька замечает транзакцию, он раскрывает доказательство, созданное до Q-Day. Затем сеть позволяет владельцу переместить все 2 BTC на заранее подтверждённый квантово-устойчивый адрес: его собственную монету плюс залог вора. Поскольку злоумышленник никак не может заранее узнать, в каких старых кошельках содержатся такие скрытые квитанции, даже успешное квантовое восстановление ключа может обернуться потерей 1 BTC.

Дизайн обременяет и честных держателей. Владельцу также потребуется соответствующий залог для обычного перевода собственной устаревшей монеты после Q-Day. Без запасных BTC то же правило, задуманное против воров, может затруднить перемещение собственных сбережений.

Что насчёт потерянных или заброшенных монет?

Мины работают только тогда, когда владелец подготовил их до Q-Day и вовремя раскрыл. Требование предварительной подготовки проходит через все механизмы предложения, и именно здесь сосредоточены ставки для держателей: когда машина, способная к таким атакам, появится, доказать владение до Q-Day, заложить мину или зарегистрировать ставку будет уже невозможно. Мины не могут защитить монеты, ключи от которых уже потеряны, включая часть ранних запасов Bitcoin, которые, как широко считается, недоступны.

Филдс предлагает второй механизм, называемый аукционом с залогом (staked auction). До Q-Day кто-то может заблокировать квантово-устойчивый Bitcoin и тайно зарегистрировать ставку против конкретного старого кошелька, который, по его ожиданиям, станет целью воров. Допустим, внешне заброшенный кошелёк содержит 50 BTC. Будущий злоумышленник пытается переместить средства и вносит ещё 50 BTC в качестве залога; в течение аукционного периода участник, заранее зарегистрировавший ставку, может оспорить попытку кражи.

В примере Филдса успешный оспаривающий получает часть залога злоумышленника, при этом исходные уязвимые монеты уничтожаются, а не передаются участнику. Цель — лишить воров гарантированной добычи, а не вернуть монеты отсутствующему владельцу.

Его третья идея, аукцион сатов (sats auction), не требует предварительного залога. Вместо этого трата уязвимой монеты запускает состязание, в котором победитель ставки получает монеты за вычетом своей ставки, а проигравший платит свою ставку и не получает ничего. Это напоминает печально известную аукционную игру, в которой два участника продолжают повышать ставки, потому что никто не хочет оказаться тем, кто теряет деньги впустую. Поэтому вор может воздержаться от начала состязания, которое может обойтись дороже монет, которые он надеялся украсть.

Почему бы просто не заморозить уязвимый Bitcoin?

Одно из предлагаемых решений квантового риска — ограничить траты из устаревших кошельков после крайнего срока миграции. Это могло бы предотвратить кражи, но также могло бы навсегда заблокировать добросовестных владельцев, так и не переместивших свои монеты.

Филдс исследует иной компромисс: оставить старые монеты потенциально тратоспособными, но сделать попытки переводов дорогостоящими и открытыми для оспаривания. Осложнение в том, что Bitcoin не может отличить честного владельца от квантового вора, если оба могут предоставить одинаково валидную подпись. Компромисс суров: честным владельцам могут понадобиться крупные залоговые депозиты, неактивные держатели могут упустить возможность возразить, а правила аукционов могут сжечь монеты, принадлежащие живым людям, которые просто находятся офлайн.

Что потребуется для реализации?

Сначала Bitcoin понадобится квантово-устойчивый способ хранения и расходования средств. Затем кошельки должны будут поддерживать скрытые обязательства о владении, а правила консенсуса Bitcoin — обеспечивать залог, периоды ожидания, специальные транзакции восстановления и аукционы. Разработчикам также придётся согласовать, когда новые правила активируются, какой размер залога требуется и что происходит с проигравшими ставками или остатками средств.

Филдс полагает, что часть механики можно внедрить через софтфорк — тип изменения правил Bitcoin, — но детального дизайна он не представил. Ни одна из этих защит в Bitcoin сегодня не существует. Филдс не опубликовал реализацию или график активации, а его исходная публикация оставляет нерешёнными выплаты аукционов и даже желаемый исход аукциона. Эти открытые вопросы одновременно служат сигналами для наблюдения: последующая публикация, определяющая выплаты аукционов, черновик спецификации или заметное участие других разработчиков в обсуждении квантово-устойчивых форматов выходов обозначили бы переход идеи за рамки мысленного эксперимента, а их отсутствие удерживает её в этом статусе.

Источник: Decrypt