Квантові комп’ютери не «зламати» Bitcoin — але ось що дійсно загрожує вашим ключам

Найбільше неправильне уявлення про квантові обчислення та Біткоїн? Усі постійно говорять про злом шифрування, якого насправді немає в блокчейні.

Спершу давайте прояснимо. Біткоїн не шифрує дані в мережі — основна ідея публічного реєстру полягає в тому, що кожна транзакція, адреса та сума є видимими для всіх. Теоретично, квантові комп’ютери могли б вивести приватні ключі з відкритих ключів за допомогою алгоритму Шора, а потім підробити несанкціоновані підписи. Це не розшифрування; це підробка авторизації. Як сказав розробник Біткоїна Адам Бек: Біткоїн взагалі не використовує шифрування.

Реальна вразливість: відкриті ключі, а не зашифровані секрети

Модель безпеки Біткоїна базується на цифрових підписах (ECDSA та протоколах Шнорра) для підтвердження володіння ключем. Монети рухаються, коли ви створюєте дійсний підпис, який приймає мережа. Проблема не у прихованих зашифрованих даних — а у публічних ключах, що зберігаються в мережі і готові до експлуатації.

Різні формати адрес обробляють це по-різному. Багато з них використовують хеш відкритого ключа, тому сам ключ залишається прихованим до моменту витрат. Цей проміжок часу дуже короткий. Але інші типи скриптів відкривають ключі раніше, і якщо ви повторно використовуєте адресу, то це одноразове відкриття стає постійною ціллю для наполегливого зловмисника.

Проект Eleven відстежує «Bitcoin Risq List» — саме ті місця, де відкриті ключі вже видно в мережі, — і відображає потенційні точки атаки, які квантові комп’ютери теоретично можуть використати. Їхні щотижневі сканування показують приблизно 6,7 мільйонів BTC, які вже відповідають критеріям квантової вразливості, з відкритими ключами у виходах, готовими для будь-кого з достатньою обчислювальною потужністю.

Скільки б кубітів це реально потребувало?

Математика підрахункова, навіть якщо терміни неясні. Дослідники оцінюють, що потрібно приблизно 2 330 логічних кубітів для зламу 256-бітного еліптичного кривого ключа — це теоретична мінімальна кількість. Переведення цього у реальну квантову машину з корекцією помилок додає величезні накладні витрати.

Оцінки орієнтуються на такі орієнтири:

• 6,9 мільйонів фізичних кубітів для відновлення ключа за 10 хвилин (Litinski 2023)
• 13 мільйонів фізичних кубітів для зламу ключа за один день
• 317 мільйонів фізичних кубітів — за один годинний проміжок

Майбутня дорожня карта IBM передбачає створення системи з високою стійкістю до помилок приблизно до 2029 року, але навіть цей термін базується на швидкому прогресі у корекції помилок. Кожен архітектурний вибір суттєво змінює тривалість процесу.

Чому захист на основі хеш-функцій (SHA-256) не піддається такому ж тиску

Хоча алгоритм Шора руйнує криптографію на основі еліптичних кривих, хеш-функції, такі як SHA-256, стикаються з іншим квантовим викликом: алгоритмом Гровера, який забезпечує лише квадратний корінь швидкості у брутфорсі. Ефективний рівень безпеки після застосування Гровера залишається приблизно на рівні 2^128 робіт — і це значно менше, ніж можливі атаки на дискретний логарифм. Відстеження колізій у хешах не є головною проблемою; відкриття ключів — так.

Зміни у поведінці гаманця — це все

Якщо квантовий комп’ютер зможе швидше відновлювати ключі, ніж блоковий інтервал, зловмисник не перепише історію Біткоїна — він просто змагатиметься з вами у витратах з відкритих адрес. Повторне використання адрес — це підсилювач ризику; аналіз Project Eleven показує, що як тільки ключ з’являється в мережі, кожна майбутня виплата назад на цю адресу залишається вразливою.

Виходи Taproot (P2TR) змінили схему експозиції, включивши 32-байтові відкриті ключі безпосередньо у виходи замість приховування їх за хешами. Це не створює негайної загрози, але змінює те, що стає відкритим, якщо відновлення ключа стане практичним. Вимірюваний пул вразливості можна відстежувати вже сьогодні без здогадок про те, коли злом квантових комп’ютерів стане можливим.

Реальна проблема: міграція, а не надзвичайна ситуація

Це не сценарій апокаліпсису — це оновлення інфраструктури. NIST вже стандартизує пост-квантові примітиви, такі як ML-KEM (FIPS 203). Пропозиції щодо Біткоїна, наприклад BIP 360, пропонують «Оплату квантово-стійким хешем» як шлях міграції.

Проблеми реальні: пост-квантові підписи мають кілька кілобайтів замість десятків байт, що змінює економіку транзакцій, дизайн гаманців і ринки комісій. Вихід із застарілих підписів може примусити до міграції, зменшуючи довгий хвіст відкритих ключів.

Загроза квантових обчислень для Біткоїна залежить від поведінкових рішень (повторне використання адрес), дизайну протоколу (Taproot) та швидкості координації у мережі (міграції підписів) — а не від зламу якоїсь вигаданої фортеці, яка ніколи й не існувала.