Команда Google, занимающаяся квантовыми вычислениями, только что опубликовала статью, которой криптомир опасался годами, и ключевую цифру трудно игнорировать: достаточно мощный квантовый компьютер теоретически может взломать реальную транзакцию Bitcoin примерно за девять минут.
В исследовании, опубликованном 30 марта, подсчитано, что для взлома 256-битной эллиптической криптографии (ECDLP-256), защищающей биткойн-кошельки, потребуется менее 500 000 физических кубитов — примерно в 20 раз меньше, чем в предыдущих оценках. Это существенное снижение прогноза, и оно меняет сроки, когда эта угроза станет реальной опасностью.
Как на самом деле будет работать атака
Шифрование Биткойна защищает кошельки, скрывая закрытые ключи от открытых. В обычных условиях ни один известный классический компьютер не сможет восстановить закрытый ключ из открытого ключа за сколько-нибудь реалистичные сроки. Однако квантовые компьютеры, работающие с алгоритмом Шора, могут взламывать криптографию на основе эллиптических кривых гораздо быстрее.
Описанная в статье конкретная атака нацелена на транзакции в реальном времени, а не на старые неактивные кошельки. Когда транзакция Bitcoin передается в сеть, открытый ключ отправителя на короткое время (примерно 10 минут) оказывается доступен для просмотра, прежде чем транзакция будет подтверждена. В статье подсчитано, что квантовый злоумышленник, предварительно рассчитавший необходимые шаги по настройке, может использовать это окно с вероятностью успеха около 41% менее чем за девять минут.
Это не гарантированный взлом — это вероятностная атака в течение узкого временного окна. Но 41% вероятности при девятиминутном таймере — это совершенно иной профиль угрозы, чем тот, который большинство людей предполагали использовать при планировании.
Кто подвержен наибольшему риску?
Примерно 6.9 миллиона биткоинов уже считаются уязвимыми для более длительной и медленной квантовой атаки, включая около 1.7 миллиона монет эпохи Сатоши. В этих старых кошельках используются повторно адреса или открытые ключи, что означает отсутствие необходимости в ограничении по времени; квантовому компьютеру потребуется лишь достаточное количество кубитов и время.
По иронии судьбы, обновление Taproot для Bitcoin, представленное в 2021 году для повышения конфиденциальности и эффективности, возможно, только усугубило ситуацию. Раскрывая открытые ключи по умолчанию в определенных типах транзакций, Taproot расширил круг кошельков, подверженных квантовым атакам в реальном времени. Это не было первоначальной целью, но теперь это задокументированный риск в собственных исследованиях Google.
На самом деле, Ethereum менее подвержен девятиминутной атаке, поскольку транзакции ETH подтверждаются гораздо быстрее, что оставляет меньшее окно для действий квантового злоумышленника.
Как обстоят дела на самом деле
Вот важный контекст: эта угроза не является непосредственной. Ни один современный квантовый компьютер не может сравниться с 500 000 полезными физическими кубитами, обладающими коррекцией ошибок, необходимой для запуска алгоритма Шора на реальных транзакциях биткоина. Собственный чип Google Willow, самый передовой из известных на сегодняшний день квантовых процессоров, работает в гораздо меньшем масштабе, чем тот, который описывается в статье как необходимый.
Компания Google работает над миграцией на постквантовую криптографию (PQC) с 2016 года и поставила цель завершить собственную миграцию к 2029 году. Исследование проводилось с использованием методов нулевого разглашения, специально для того, чтобы избежать предоставления злоумышленникам пригодного для атаки алгоритма.
В сообществе Биткойна уже много лет знают о квантовых рисках, и существует несколько постквантовых схем подписи, которые в принципе могли бы заменить нынешний стандарт ECDSA. Данная статья лишь подчеркивает актуальность этой проблемы. Требования к кубитам сейчас ниже, чем ожидалось, сроки могут быть более сжатыми, чем предполагалось, а также впервые задокументирована проблема с Taproot.
Вопрос в том, сможет ли экосистема достаточно быстро решить эту проблему до появления мощного квантового компьютера, и на данный момент ответ на него неясен.
-------
Автор: Адам Ли
Отдел новостей Азии / Главные новости Crypto