Google сообщила, что её квантовый чип Willow сократил количество ошибок примерно в 40 раз при подготовке «магических состояний» — специализированного ресурса, необходимого для квантовых вычислений, которые потенциально могут угрожать биткоин-кошелькам. Результаты опубликованы на этой неделе в Science.

Эксперимент достиг точности около 99,99% среди прошедших проверку состояний, хотя успешными оказались лишь около 8% попыток подготовки, и остаются серьёзные проблемы с масштабированием.

Эти результаты не делают атаку на биткоин в 40 раз дешевле. Вместо этого они развивают инженерный метод, который может помочь будущим квантовым компьютерам поддерживать производство примерно 500 000 надёжных магических состояний в секунду, необходимых в одной из смоделированных атак.

Данная работа затрагивает проблему, которая редко фигурирует в дискуссии о квантовых вычислениях и биткоине, обычно сосредоточенной на том, насколько большой должна быть машина злоумышленника, при этом уделяя меньше внимания тому, какая часть этой машины будет занята подготовкой к вычислениям.

Почему старейшие монеты дают злоумышленнику больше времени

Биткоин-кошелёк использует секретный ключ для подтверждения платежей и соответствующий открытый ключ, позволяющий сети проверять эти подтверждения. Расходование средств, как правило, раскрывает открытый ключ, а некоторые типы платежей раскрывают его с самого начала.

Восстановление секрета по открытому ключу должно требовать практически неосуществимого объёма вычислений, что делает обратную разработку криптокошельков практически невозможной. Однако достаточно мощный квантовый компьютер, использующий алгоритм Шора, теоретически мог бы выполнить такие расчёты. Тот, кто восстановит секретный ключ, сможет подписывать транзакции от имени владельца, и сеть примет их как подлинные. Математик Питер Шор впервые опубликовал этот метод в 1994 году, но продемонстрировать его на практике пока никому не удалось.

Секретная фраза восстановления, запертая в физическом ящике, не даёт защиты от такой атаки, поскольку злоумышленник будет работать с информацией, уже находящейся в блокчейне.

Некоторые более поздние форматы платежей скрывают открытый ключ за хешем — цифровым отпечатком — до момента расходования средств владельцем. Зумышленник, нацеленный на ранее скрытый ключ, должен был бы дождаться его раскрытия и, возможно, восстановить секрет достаточно быстро, чтобы вмешаться в платёж.

Вот почему утерянные монеты представляют сложную проблему. Биткоин может ввести более строгие меры защиты расходов, но для перевода старых активов в них по-прежнему нужны существующие ключи. Если ключи утеряны, владелец не сможет выполнить перевод, а раскрытый открытый ключ остаётся доступным для будущего злоумышленника.

Активы первых лет биткоина часто называют «эпохой Сатоши» — в честь псевдонимного создателя сети, — и многие ранние награды выплачивались напрямую на открытый ключ — формат, при котором сам ключ размещался в блокчейне, а не его хеш. Некоторые из старейших биткоин-активов имеют раскрытые открытые ключи с момента майнинга, а старые монеты приходят в движение по мере обострения квантовых дискуссий. 7 октября 100,02 BTC, нетронутые с июля 2010 года, переместились спустя более 16 лет, их стоимость составляла около 8,5 млн долларов. В августе шесть кошельков, неактивных с 2011–2014 годов, переместили ещё 553,59 BTC, стоивших на тот момент около 40 млн долларов.

Сами по себе эти переводы не доказывают, что держатели реагируют на квантовые страхи; перемещение монет может означать смену кошельков, реорганизацию активов или подготовку к продаже.

Цена подготовки

Квантовые компьютеры хранят информацию в единицах, называемых кубитами, которые крайне хрупки. Тепло, вибрации и посторонние сигналы могут их возмущать и вносить ошибки, а добавление большего числа кубитов также увеличивает возможности для ошибок.

Инженеры решают эту проблему, группируя множество физических кубитов в группы, которые обнаруживают и исправляют ошибки. Каждая группа ведёт себя как более надёжная единица, известная как логический кубит. Затем этим единицам требуется цифровой эквивалент топлива для выполнения определённых операций: специально подготовленные квантовые состояния, которые исследователи называют «магическими состояниями». Каждое из них расходуется при использовании, поэтому компьютер должен продолжать их производить на протяжении всего вычисления.

Представьте себе ресторанную кухню, где для каждого блюда требуется свежая порция соуса, который нельзя использовать повторно, и часть персонала должна постоянно готовить соус, пока остальные готовят блюда. В квантовом компьютере оборудование, занятое производством магических состояний, — это оборудование, которое нельзя назначить на другую работу.

Эти накладные расходы означают, что потенциальный злоумышленник сталкивается с двумя проблемами одновременно: собрать машину, достаточно большую для выполнения вычислений, и обеспечивать её состояниями в течение всего процесса.

Метод Google, называемый cultivation, начинается с грубой версии состояния, проверяет её на ошибки и отбрасывает неудач попытки. Цель — производить чистые состояния с использованием меньшего объёма оборудования, чем требовали старые методы.

Компания сообщила о точности около 99,99% — показателе того, насколько готовые состояния соответствовали тому, к чему стремились исследователи. Это число относится только к состояниям, прошедшим проверку. Willow сохраняла около 8% попыток после проверок в ходе подготовки и измерения. Из каждых 100 попыток успешно проходили около восьми.

Следующие шаги включают запуск процесса в гораздо большем масштабе и сохранение полезности состояний при их подаче в более длительные вычисления. Исследователи говорят, что необходима дополнительная работа над операциями в реальном времени и над переносом состояний в более надёжные схемы коррекции ошибок.

Как это соотносится с предыдущими исследованиями

В марте Google оценила, что будущий сверхпроводящий квантовый компьютер с числом физических кубитов менее 500 000 мог бы взломать криптографию кошельков, используемую биткоином и Ethereum, при определённом наборе аппаратных допущений. В сентябре CoinDesk сообщал об исследователях, сокративших объём вычислений ключевого расчёта, используемого в такой атаке. Та работа охватывала один компонент, не учитывая полную атаку и физические аппаратные затраты на её выполнение.

Эти исследования сокращают объём математики, которую должен выполнить злоумышленник. Cultivation решает проблему стоимости обеспечения машины во время этих вычислений. Полученные выигрыши нельзя просто перемножить: мартовская оценка Google уже предполагала эффективное производство магических состояний, а эксперимент проверяет часть этого инженерного подхода, а не даёт ещё одно 40-кратное снижение расчётной стоимости атаки на биткоин.

В совокупности эти работы очерчивают оставшийся инженерный чек-лист — достаточное количество физических кубитов, более экономичный расчёт и надёжная подача состояний, — каждая часть которого продемонстрирована пока по отдельности, а не как целостная машина.

Мартовская статья также показывает, сколько «топлива» сожгла бы атака. Для одной смоделированной атаки, длящейся около девяти минут после раскрытия открытого ключа, Google оценила, что машине потребуется примерно 500 000 достаточно надёжных магических состояний каждую секунду.

Пока cultivation и другие компоненты не будут продемонстрированы в совместной работе в масштабе, смоделированная атака остаётся аппаратной оценкой, а не оперативной возможностью.