Если геополитическая напряженность была недостаточна, чтобы взволновать рынки, у криптовалют появилась собственная «ядерная» тревога. Во всей отрасли исследователи и аналитики обсуждают сценарий «дня судного дня» для криптографии, в котором злоумышленники выводят приватные ключи напрямую из публичных — благодаря достижениям искусственного интеллекта, которые еще недавно считались маловероятными, но теперь рассматриваются как потенциально правдоподобные и способные подвергнуть риску криптовалюту каждого.

Исследователь Ethereum Джастин Дрейк призвал к планированию в «режиме бункера» в прошлую среду, сославшись на «отрезвляющие» успехи искусственного интеллекта, которые могут ускорить обнаружение математических атак и в конечном итоге «взломать» криптографию. «По моему мнению, сейчас разумно готовиться к возможности, что ECDSA [Elliptic Curve Digital Signature Algorithm] будет взломана до Qday, в худшем случае — через месяцы, а не годы», — написал он. В отраслевом жаргоне «Qday» означает гипотетический день, когда квантовые компьютеры смогут взломать криптографию с открытым ключом, защищающую криптовалюты.

По мнению Дрейка, отрасль должна начать планировать контролируемую миграцию активов на новые адреса, публичные ключи которых никогда не раскрывались, чтобы сократить информацию, которой может воспользоваться потенциальный злоумышленник.

Но на чем именно основано это предупреждение — и есть ли реальные причины для тревоги?

Оправдана ли криптопаника?

Озабоченность Дрейка не ограничивается вопросом, ускорит ли ИИ появление квантовых компьютеров, способных взломать криптографию. Он также опасается, что системы ИИ могут помочь обнаружить математические атаки, выполнимые на классических компьютерах, которые упустили криптографы-люди.

Он утверждает, что эллиптические кривые — математика, лежащая в основе криптографии большинства блокчейнов, — могут быть более уязвимы к таким прорывам, чем хеш-функции, из-за большей математической структуры. Это, в свою очередь, поднимает возможность взлома криптографии на эллиптических кривых классическим алгоритмом — того же инструмента, который позволяет кошелькам подписывать транзакции и доказывать контроль над средствами.

Мэтью Грин, профессор криптографии Университета Джонса Хопкинса, подлил масла в огонь паники, уже охватившей отрасль, заявив: «Думаю, мы можем потерять криптографию с открытым ключом».

Не все разделяют эту тревогу. Йехуда Линделл, глава криптографии Coinbase, заяв, что, насколько ему известно, нет «никаких доказательств» ослабления десятилетиями существовавших математических допущений, лежащих в основе криптографии на эллиптических кривых.

Люсьен Бурдон, аналитик Bitcoin в компании по производству аппаратных кошельков Trezor, рассказал Cointelegraph Magazine: «Нет достоверных опубликованных достижений против математики, лежащей в основе ECDSA, — ни с помощью ИИ, ни чего-либо еще».

Бурдон отметил, что ни один из недавних выпусков написанных ИИ математических статей OpenAI не содержит атаки на ECDSA — хотя Дрейк считает, что это отсутствие — повод для подозрений, а не для успокоения. Другой аргумент Дрейка: эллиптические кривые обладают большей математической структурой, чем хеш-функции, что может облегчить их взлом.

«Он не говорит, как именно», — сказал Бурдон. «Он также называет свой прогноз худшим сценарием и советует никому не спешить».

Зак Герберт, генеральный директор и сооснователь компании аппаратных кошельков FoundationHQ, рассказал Cointelegraph Magazine, что перевод средств на новые адреса может не помочь, если расширенный публичный ключ (xpub) уже был передан приложению кошелька или третьей стороне. В этом случае «у них уже есть информация, необходимая для вывода публичных ключей, которые вы пытаетесь скрыть», — сказал он.

А как отметила Тейлор Монахан, основательница и генеральный директор кошелька Ethereum MetaMask, заметившая, что при взломе криптографии цена активов будет наименьшей из проблем: «Если эллиптические кривые взломаны так, что любой раскрытый публичный ключ ведет к компрометации, и это делает финансово мотивированный хакер, чей главный приоритет — красть криптовалюту, весь грёбаный мир уйдет в ноль. Хранение ваших волшебных интернет-монет в бункере вам не поможет».

Почему перевода монет может быть недостаточно

Герберт объяснил, что xpub позволяет кошелькам генерировать множество публичных ключей для одного аккаунта, включая ключи для адресов, которые никогда не использовались. Если приложение кошелька или третья сторона уже обладают этой информацией, перевод средств на новый адрес в том же аккаунте может не скрыть публичный ключ нового адреса от них. Если ECDSA станет практически взламываемой, «злоумышленник сможет восстановить соответствующие приватные ключи, даже не касаясь вашего аппаратного кошелька», — сказал он.

«Нет, это явно недостаточная защита», — сказал Эли Бен-Сассон, сооснователь и генеральный директор протокола масштабирования Ethereum StarkWare. «Помимо простого перевода монет, если вы захотите когда-либо снова ими воспользоваться, потребуется скачать новые типы кошельков».

По его словам, взлом затронет гораздо больше, чем подписи кошельков. Потребуют внимания также инфраструктурные подписи и механизмы консенсуса Ethereum, а также схема полиномиальных обязательств Kate-Zaverucha-Goldberg (KZG), используемая для данных в блобах. «Наконец, цены на газ, вероятно, резко вырастут, поскольку многое перестанет работать», — добавил он.

В Bitcoin некоторые типы адресов скрывают полный публичный ключ за криптографическим хешем до момента расходования монет. Если соответствующие хеш-функции останутся надежными, это может дать дополнительный уровень защиты от злоумышленника, пытающегося вывести приватный ключ из публичного. Адреса Taproot, напротив, раскрывают публичный ключ прямо в блокчейне.

Бурдон отметил, что распространенные адреса SegWit, начинающиеся с bc1q, скрывают публичные ключи до расходования, а кошельки вроде Trezor генерируют новые адреса для получения, чтобы ограничить повторное использование адресов. «Сейчас ничего делать не нужно», — сказал он, добавив, что паническая миграция принесет больше вреда, чем пользы. «Те, кто спешит перевести средства, совершают ошибки, а мошенники используют подобные истории, чтобы добраться до них».

Стоит также отметить, что при каждом расходовании Bitcoin публичный ключ раскрывается в mempool, предоставляя окно возможностей для атаки.

Не все криптоактивы равны

Некоторые блокчейны уже готовятся к криптографическим угрозам, хотя предлагаемые решения заметно различаются.

В ориентированном на ИИ протоколе NEAR пользователи могут добавить квантово-безопасный ключ FIPS-204 к существующему аккаунту в основной сети одной транзакцией, не перемещая активы, согласно его квантово-безопасной дорожной карте, а кошельки вроде Meteor поддерживают квантово-безопасное подписание. Этот подход опирается на криптографию на решетках — метод, уязвимость которого к атакам сам допускал создатель Ethereum Виталик Бутерин.

Ethereum разрабатывает более широкую постквантовую дорожную карту с использованием хеш-подписей и агрегации ZK-доказательств, охватывающую всё от подписей транзакций до консенсуса и безопасности данных. На бумаге также есть план экстренного хардфорка и восстановления. В посте от марта 2024 года Бутерин описал потенциальный хардфорк, который откатил бы блоки после начала массовых краж, отключил обычные транзакции кошельков и позволил бы пользователям вернуть средства с помощью доказательств с нулевым разглашением владения сид-фразой.

Макс Шеннон, старший научный сотрудник Bitwise Europe, сказал, что это остается предложением «без установленного срока». Хотя рабочей атаки пока никто не продемонстрировал, по его словам, пользователи должны «в долгосрочной перспективе» перейти на квантово-безопасные подписи.

Архитектура абстракции аккаунтов Starknet позволяет пользователям менять схемы подписи без миграции средств на новый адрес. Бен-Сассон сказал, что основную технологию менять не придется, «поскольку абстракция аккаунтов означает, что можно использовать любую схему подписи». Однако другие компоненты все же потребуют внимания, включая части дерева состояния сети и зависимость от Ethereum в вопросах безопасности.

Смена адреса не поможет пользователям Solana, так как публичные ключи там раскрыты по умолчанию — хотя они могут перевести средства в постквантовое хранилище вроде Winter Wallet. Вице-президент по технологиям Solana Foundation Джейкоб Крич заявил, что пользователям Solana не придется входить в «режим бункера», если её схема подписи станет взламываемой. Обновление сети могло бы позволить пользователям доказать владение своим секретным сидом с помощью хеш-доказательства и мигрировать свои аккаунты на более безопасную схему подписи. Рабочее доказательство концепции существует, сказал он, хотя само обновление еще не развернуто.

Так стоит ли держателям криптовалют паниковать?

Шеннон сказал, что Bitwise пока не беспокоится об этом теоретическом риске, но он «заслуживает благоразумия».

«Мы можем обсуждать новые адреса и раскрытие xpub как мысленный эксперимент, — сказал Герберт, — но я не стал бы притворяться, что эти шаги представляют собой практический план на такой сценарий». Поскольку у некоторых людей старые устройства, слож мультисигнатурные схемы или Bitcoin, к которому они не прикасались годами, обновление ПО «не защитит эти монеты автоматически», — сказал он.

Бурдон призвал держателей критически оценивать источник, отметив, что предупреждение Дрейка сопровождалось разговорами о движении Ethereum к хеш-криптографии, которую тот рекомендует. «Так что предупреждение о недоказанной угрозе заодно является рекламой дорожной карты Ethereum», — сказал он.

Хотя это не доказывает неправоту Дрейка, свидетельств того, что ECDSA вот-вот будет взломана, по-прежнему нет — а спешка с переводом средств сопряжена с множеством рисков. Пока за этим стоит следить в конкретных вещах: появится ли какое-либо достоверное опубликованное доказательство атаки на ECDSA и перейдут ли постквантовые предложения вроде экстренного хардфорка Ethereum и хеш-обновления сид-фраз Solana от бумаги к развернутым обновлениям сети. Но если криптография, лежащая в основе криптокошельков и блокчейнов, действительно даст сбой, перевод монет может оказаться самой простой частью ответа отрасли.

На основе репортажа Cointelegraph Magazine.