Bitcoin Magazine

Квантове питання: заморожувати монети чи ні

Квантова суперечка довкола біткоїна — та ще трясовина. Це не просто технічна суперечка про компроміси між різними видами криптографії та їхню стійкість до теоретичного квантового комп’ютера. Це суперечка про те, які властивості етосу біткоїна сильніші, коли система стає перед важкою дилемою: зберегти обіцянку, що дійсні монети лишаються витратними для їхніх власників, чи стати на бік безпеки системи, не дозволивши пограбувати значну частину грошової маси через уразливість, про яку було добре відомо багато років.

Головоломка в серці цієї полеміки в тому, що будь-який серйозний варіант порушує принцип, дорогий користувачам біткоїна. Нічого не робити — означає зберегти нинішні правила консенсусу, дозволивши майбутнім квантовим гравцям забрати монети, чиї власники на це не погоджувалися. Заморозити вразливі монети — означає запобігти такій крадіжці, але заднім числом знецінити давно чинні умови витрачання. Примусова міграція на квантово стійкі підписи може бути розумною інженерією, але виглядати вона може і як режим конфіскації за розкладом. Суперечка потворна, бо чистого шляху, який разом ідеально зберіг би права власності, економічну передбачуваність, стійкість до цензури, зворотну сумісність і суверенітет користувача, не існує.

Саме тому я вважаю задачу захопливою. Вона багатогранна: водночас технічна, соціологічна, філософська та економічна. Отже, будь-яке серйозне обговорення зобов’язане враховувати всі кути.

Упродовж цього есе я доводитиму, що суперечка про квантову міграцію значно тонша, ніж питання «заморожувати чи не заморожувати» вразливий біткоїн. Радше це питання про те, як мінімізувати загальний обсяг порушень прав власності, коли підписи на еліптичних кривих перестануть надійно засвідчувати законне володіння.

Квантова загроза

Нинішня схема авторизації біткоїна, що забезпечує витрачання коштів лише їхніми законними власниками, спирається на криптографію еліптичних кривих. І старі підписи ECDSA, і підписи Шнорра використовують криву secp256k1. За звичайних припущень класичних обчислень вивести закритий ключ із відкритого обчислювально неможливо. Криптографічно значущий квантовий комп’ютер, що виконує алгоритм Шора, змінює це припущення: щойно відкритий ключ доступний, достатньо потужний квантовий нападник може вивести відповідний закритий ключ і підписати транзакцію, яку мережа прийме як дійсну. Квантові комп’ютери загрожують зламати припущення про складність переходу від відкритого ключа до закритого, на якому тримаються ECDSA і Шнорр.

Ця відмінність важлива, бо не всі виходи біткоїна розкривають однакову інформацію в один і той самий час. Деякі типи виходів розкривають відкритий ключ одразу і лишаються вразливими безстроково. Інші ховають відкритий ключ за хешем, доки власник не витратить кошти. Звідси два широкі класи атак. Далека атака націлена на виходи, чиї відкриті ключі вже видно в ланцюжку, — наприклад, старі виходи pay-to-public-key і виходи Taproot. Ближня атака цілить у монети в момент витрачання: власник транслює транзакцію, відкритий ключ стає видимим, і швидкий квантовий нападник намагається вивести закритий ключ достатньо швидко, щоб замінити або випередити транзакцію.

З майнінгом загроза інша. Алгоритм Ґровера теоретично може прискорити перебір у пошуках придатного хеша блока, але дає лише квадратичне прискорення, тоді як алгоритм Шора — суперполіноміальне. Тому конкурентна перевага значно менш практична, щоб заради неї застосовувати квантовий комп’ютер у майнінгу.

Квантова квантова загроза

Кумедно, що сама загроза квантових комп’ютерів перебуває у квантовому стані суперпозиції. Квантовий комп’ютер, про який варто турбуватися, може бути побудований, а може й ні, і ніхто не може ні довести, ні спростувати, що це станеться. Квантові скептики не сперечаються з тим, що алгоритм Шора здатен зламати ECC. Вони стверджують, що немає вагомих підстав вважати, ніби ми колись побудуємо той потужний відмовостійкий квантовий комп’ютер, потрібний для запуску алгоритму Шора в криптографічно значущому масштабі.

Усі згодні, що зламати ECC сьогоднішніми шумними квантовими процесорами неможливо. Для цього потрібно багато надійних логічних кубітів, украй низький рівень помилок, тривалі обчислення з високою когерентністю і квантова корекція помилок, що успішно працює в масштабі.

Сильний скептичний довід полягає в тому, що теорема про поріг квантової відмовостійкості спирається на припущення, які фізично може бути неможливо виконати з потрібною точністю. Серед таких припущень — достатньо незалежний шум, достатньо точні вентилі, обмежені небажані взаємодії і здатність утримувати помилки нижче прийнятного порога в усій величезній системі. Міхаіл Дьяконов стверджує, що теорема припускає ідеалізовані умови і нічого не каже про реальну інженерну точність, потрібну, щоб виконати кожне припущення в справжньому пристрої.

Критика Гіла Калаї структурніша. Його довід у тому, що реалістичні квантові системи можуть страждати від корельованого шуму і накопичення шуму, які заважають формуванню високоякісних квантових кодів корекції помилок. У своїй праці 2011 року він припускає, що фізичні реалізації квантових кодів, кореляції в стохастичних системах і накопичений шум можуть призвести до провалу масштабованих квантових комп’ютерів.

Можливо, це найсильніший довід скептиків: квантова корекція помилок працює, лише якщо шум піддається приборканню. Якщо реальні системи з великою кількістю кубітів породжують вороже корельовані помилки, то додавання кубітів цілком може робити комп’ютер крихкішим і ненадійнішим.

Квантова масштабованість — велика невідома. Скептики стверджують, що поступ від 50, 100 чи 1000 фізичних кубітів автоматично не екстраполюється на мільйони фізичних кубітів або тисячі логічних. Квантові системи аналогові, крихкі й пов’язані зі своїм оточенням. Інженерний виклик — не просто «зробити більше кубітів», а «зробити більше кубітів, придушуючи перехресні завади, витоки, корельовані помилки, дрейф калібрування, теплові ефекти, помилки вимірювання, розкид при виготовленні та шум керування». Ось чому критики відкидають прості екстраполяції строків. Міркування «ми за це десятиліття збільшили кількість кубітів на X, отже, зламаємо ECC до року Y» вони вважають слабким.

Нарешті, демонстрації квантових комп’ютерів показали, що нинішні пристрої здатні обходити класичне моделювання лише на ретельно дібраних задачах семплювання. Критики слушно зазначають, що це мало говорить про виконання довгих структурованих алгоритмів на кшталт алгоритму Шора з надійністю, достатньою для відновлення 256-бітного закритого ключа ECC.

Чому постквантова міграція важлива

Якщо припустити, що криптографічно значущий квантовий комп’ютер з’явиться, то самої лише можливості для біткоїнерів використовувати постквантову криптографію не вистачить, щоб зупинити квантову атаку. Сукупність квантово вразливого біткоїна включає ранні монети pay-to-public-key, монети під повторно використаними відкритими ключами, виходи Taproot і випадки, коли відкриті або розширені відкриті ключі розкривалися поза ланцюжком. Показова цифра — концентрація BTC у старих виходах P2PK: за кількістю UTXO це крихітна частка, але за вартістю — значно більша, близько 1,7 млн BTC. Ширші оцінки на основі ончейн-аналізу типів виходів, характеру активності й відомого володіння приводять до висновку, що щонайменше 2,6 млн BTC лишилися б вразливими, навіть якби всі активні користувачі біткоїна перевели гаманці на постквантову криптографію.

Тобто навіть за добровільної постквантової (PQ) криптографії варто очікувати, що безстроково збережеться пул вразливих монет розміром із системний ризик. Ці монети квантовий нападник може вжити на шкоду системі безліччю способів — не лише продавши їх і обваливши спотову ціну BTC. Тому захист таких вразливих монет від квантової загрози вимагає якихось змін правил, що фактично «замкнули б» квантового нападника ззовні.

Риторика довкола цього питання часто вживає слова «конфіскація», «спалювання», «заморозка», «крадіжка» чи «відновлення», але це описи різних механізмів. Заморозка не передасть монети державі, майнерам, розробникам чи якомусь фонду відновлення. У найпростішому вигляді вона означала б зміну правил консенсусу так, щоб певні виходи більше не можна було витратити вразливими підписами ECDSA чи Шнорра. Тому прихильники іноді кажуть «спалити», а не «конфіскувати»: монети не перепризначаються — вони стають невитратними через свій закритий ключ. Але для законного власника, у якого початковий ключ усе ще є, практичний ефект однаково може відчуватися як конфіскація: витрата, що раніше була дійсною, більше такою не є.

BIP-361 ділить задум міграції на етапи. Спершу, щойно з’явиться квантово стійкий тип адреси, мережа біткоїна перестане дозволяти надсилання нових монет на квантово вразливі адреси. Пізніше, після багаторічного вікна, витрати за старими ECDSA і Шнорром стануть недійсними. Нарешті, лишається питання про варіанти відновлення для користувачів, які можуть довести — не спираючись винятково на зламану ECC, — що вони законні власники: наприклад, через доведення з нульовим розголошенням, виведене із сид-фрази чи структури HD-гаманця. Основна мета пропозиції — не обрати постквантовий алгоритм підпису; радше завдання в тому, щоб створити стимули й строки, за яких користувачі, біржі, кастодіани, гаманці та організації справді мігрують вчасно і дозволять нам вивести ECC з обігу, запобігши квантовій атаці.

Аргументи на користь заморозки

Найсильніший довід прихильників заморозки починається з простого твердження: квантовий нападник, що виводить закритий ключ із відкритого, не є законним власником у жодному морально значущому сенсі. З цього погляду «хай вразливі монети просто заберуть» — не нейтральність, а дозвіл новому класу гравців грабувати старі виходи, бо протокол не став зміцнювати замок, про слабкість якого відомо. Прихильники заморозки стверджують, що шкода від допущеної квантової крадіжки лягає не лише на недбалих власників, а на всіх власників, бо успішне квантове зачищення перерозподілить багатство на користь того, хто першим отримає квантові можливості. Це небезпечно, адже така кількість біткоїна в руках одного гравця, що витратив на його здобуття порівняно мало ресурсів, може серйозно загрожувати безпеці екосистеми. Модель безпеки біткоїна виходить з економічно раціональних учасників, зацікавлених захищати вартість своїх монет, а квантово оснащений гравець здатен зламати це припущення. Позиція прихильників заморозки в тому, що біткоїн не має нагороджувати тих, хто першим зламає ECC, боєприпасами, якими можна нашкодити системі.

Особливо це слушно для монет, які вважаються втраченими. Якщо загублені монети раптом стануть доступними квантовим нападникам, обігова пропозиція фактично зросте. Формальну стелю в 21 млн це не порушить, але економічний ландшафт змінить: монети, які ринок міг вважати інертними, здатні повернутися в обіг — можливо, швидко й у концентрованих руках.

Прихильники заморозки вказують і на те, що загроза не зводиться до звичайної гонитви за прибутком. Квантово оснащений супротивник може атакувати біткоїн політично, дестабілізувати ринки, підірвати довіру публіки, роками дошкуляти мережі або навіть набрати достатньо хешрейту для атаки 51%. Розбір чинної теорії ігор показує, що не можна просто припускати, ніби нападник змете вразливий BTC, продасть його і поїде в захід сонця; набір стратегій і небажаних результатів значно ширший.

Source: BitcoinMagazine