Новейшие результаты Google в области квантовых вычислений обострили более долгосрочный вопрос для Bitcoin: какие средства хранения окажутся под угрозой первыми, если станет доступно релевантное для криптографии квантовое оборудование, и как их владельцы смогут выполнить миграцию?

В объявлении от 15 октября Google Quantum AI сообщила, что её процессор Willow сократил количество ошибок примерно в 40 раз при подготовке специализированных квантовых состояний. Эксперимент касается одного компонента отказоустойчивого квантового компьютера, а не полной системы, необходимой для атаки на цифровые подписи Bitcoin.

Что продемонстрировал Willow

Исследование, опубликованное в работе "Magic state cultivation on a superconducting quantum processor", рассматривает подготовку ресурсов, необходимых для операций, выходящих за рамки базового набора, поддерживаемого многими архитектурами с коррекцией ошибок. Эти ресурсы известны как magic states («магические состояния»).

Magic states расходуются, когда квантовый компьютер выполняет определённые операции. Поэтому длительное и сложное вычисление требует постоянного снабжения надёжными состояниями в дополнение к оборудованию, выполняющему вычисления.

Процесс культивации начинается с несовершенного состояния и использует скоординированные проверки для отбора более качественных результатов. Исследователи сообщили о логической точности состояния около 99,99% и примерно в 40 раз меньшем количестве ошибок по сравнению с базовым методом внедрения состояния.

Этот результат был сопряжён с важным компромиссом: после процесса отбора, включавшего проверки при подготовке и измерении, оставалось около 8% попыток. Таким образом, заявленная точность описывает отобранные состояния, а не скорость выдачи результатов полноценной машиной, непрерывно выполняющей крупное вычисление.

Следовательно, это объявление не следует трактовать как сорокакратное сокращение ресурсов, необходимых для атаки на Bitcoin. Willow продемонстрировал, что метод подготовки работает на аппаратном уровне, однако создание отказоустойчивого компьютера, способного поддерживать необходимое качество, масштаб и пропускную способность для криптографического восстановления ключей, остаётся значительно более масштабной задачей.

Первую угрозу составят публичные ключи, уже видимые в блокчейне

Bitcoin использует цифровые подписи для подтверждения авторизации транзакций. Владелец подписывает транзакцию приватным ключом, а сеть проверяет подпись по соответствующему публичному ключу.

Достаточно мощный квантовый компьютер, использующий алгоритм Шора, в принципе мог бы вычислить приватный ключ из публичного и затем создать действительную подпись. Такой атаке не потребовалось бы красть аппаратный кошелёк владельца, взламывать компьютер или получать секретную фразу восстановления.

Ключевым фактором риска является продолжительность времени, в течение которого публичный ключ остаётся видимым. Атака с длительной экспозицией нацелена на ключ, уженый в блокчейне, предоставляя будущему злоумышленнику неограниченное время для попытки восстановления ключа. Атака с короткой экспозицией начинается после появления публичного ключа в транзакции, ожидающей подтверждения, оставляя гораздо более узкое окно.

Многие ранние награды за майнинг использовали выходы pay-to-public-key, раскрывающие публичный ключ, пока монеты остаются непотраченными. Их уязвимость обусловлена условиями расходования, а не просто возрастом монет. Современные средства хранения также могут столкнуться с длительной экспозицией, если их ключ был раскрыт в более ранней транзакции или если используются выходы Taproot.

Спецификация Taproot использует выходной публичный ключ, поддерживающий прямое расходование на основе подписи. Это не делает Taproot небезопасным сегодня. Однако это означает, что более новый формат адресов не скрывает автоматически информацию о публичном ключе, релевантную для возможной будущей квантовой атаки с восстановлением ключей.

Холодное хранение по-прежнему ценно против обычных краж, поскольку защищает приватные ключи от компрометации через интернет. Оно не удаляет публичный ключ, уже опубликованный в блокчейне.

Будущая атака потребует машины, намного превосходящей Willow

Отдельное исследование ресурсов под руководством Google описывает, что может потребоваться для будущей атаки на эллиптические подписи Bitcoin при определённых допущениях. Это не описание продемонстрированных возможностей Willow. Подобные оценки ресурсов переводят квантовую угрозу в конкретные требования к оборудованию, предоставляя разработчикам и исследователям измеримые ориентиры для отслеживания по мере развития технологии.

Используя допущения для будущей сверхпроводящей архитектуры — включая частоту физических ошибок 10 -3, планарную связность и быструю систему управления, — исследование оценило, что соответствующие схемы могут выполняться за минуты с использованием менее полумиллиона физических кубитов.

Для «подготовленной» машины с быстрым тактированием в статье моделируется среднее время восстановления ключа около девяти минут после того, как публичный ключ становится доступным. Этот срок зависит от предшествующих вычислений и времени реакции системы управления, которые текущее оборудование ещё не продемонстрировало в требуемом масштабе.

Модель также оценивает, что девятиминутное вычисление потребует около полумиллиона достаточно надёжных T-состояний каждую секунду. Это постоянное требование к производству, а не количество кубитов в машине.

Аппаратная оценка уже учитывает эффективный подход к производству magic states. Поэтому деление этого показателя на сорокакратное сокращение ошибок Willow означало бы двойной учёт прогресса: меньшее количество ошибок в одном экспериментальном методе подготовки не эквивалентно пропорциональному снижению стоимости всей криптографической атаки.

Защита будущих выходов автоматически не решит проблему старых средств хранения

Разработчики Bitcoin рассматривают предложения, охватывающие разные этапы квантовой экспозиции. BIP 360 предлагает Pay-to-Merkle-Root, или P2MR, — проектный тип выходов для софтфорка, устраняющий уязвимый путь расходования по ключу в Taproot.

P2MR призван снизить риск длительной экспозиции, избегая пути ключа, который делает выходы Taproot уязвимыми до расходования. Он не обеспечит полной защиты после раскрытия ключа в транзакции, ожидающей в мемпуле. Авторы BIP утверждают, что защита от таких коротких атак может потребовать постквантовых подписей.

Предлагаемая миграция от существующих подписей Bitcoin создаст дополнительную проблему. BIP 361 — проектное информационное предложение, зависящее от отдельного, пока не определённого предложения по постквантовым подписям. Его предлагаемый пятилетний переходный период начнётся только после активации; это не действующий дедлайн для держателей Bitcoin.

Наибольшую сложность для миграции представляют неактивные средства хранения. Владелец, утративший доступ к приватным ключам, не может авторизовать перевод в более надёжную защиту. Однако неактивность не доказывает что монеты покинуты, а значит, любое правило, ограничивающее немигрированные средства, может затронуть и добросовестных владельцев, которые вернутся позже.

Текущий вопрос — подготовка, а не паника

Ничто в эксперименте Willow не означает, что держатели Bitcoin должны сегодня совершать экстренный перевод. Релевантный вопрос заключается в том, раскрывает ли выход публичный ключ уже сейчас, а не в том, хранит ли владелец приватный ключ в аппаратном кошельке или просто выглядит ли адрес старым.

Более сложная задача для Bitcoin — создать и внедрить путь миграции до появления релевантного для криптографии квантового оборудования. Потребуется согласовать новые типы выходов, обеспечить их поддержку в кошельках и решениях для хранения, а также предоставить владельцам практический способ перевода существующих средств.

Этот процесс, вероятно, займёт больше времени, чем создание нового формата адресов, особенно для старых или недоступных монет. У Bitcoin есть проектные предложения по будущей защите, но нет активированного постквантового пути миграции. Пока конкретными ориентирами являются то, продвинутся ли BIP 360 и BIP 361 со статуса проектов, и распространится ли прогресс квантового оборудования с демонстраций отдельных компонентов, таких как Willow, на отказоустойчивые машины, которые моделирует исследование ресурсов.

Эта статья предоставлена исключительно в информационных целях и не является финансовой или инвестиционной рекомендацией.