O dilema quântico do Bitcoin: expandir blocos ou adotar provas STARK?

作者：Andrew Fenton；来源：Cointelegraph；编译：Shaw，金色财经

Eli Ben-Sasson, cofundador da StarkWare, afirma que o ZK-STARK é a melhor solução para resolver os diversos problemas decorrentes da implementação da segurança quântica no Bitcoin, ao mesmo tempo que impulsiona o Bitcoin para a adoção em massa.

Além disso, ele afirma que Adam Back, fundador da Blockstream, também concorda com essa visão.

Nesta semana, Eli Ben-Sasson virou notícia ao publicar uma proposta controversa na plataforma X, sugerindo aumentar a inflação anual do Bitcoin para 4%. Uma análise do Grok sobre os comentários mostrou que ninguém apoiou explicitamente a proposta.

Mas, como coinventor do STARK (sistema de prova de conhecimento zero baseado em hash e seguro contra quântica), sua posição nesta linha técnica é muito mais sólida, e alguns dos principais pesquisadores do Bitcoin também reconhecem essa abordagem.

O projeto liderado por Eli Ben-Sasson, StarkNet, divulgou na semana passada o roteiro da terceira fase, com o objetivo de tornar sua própria rede resistente à computação quântica.

O desafio do grande volume de assinaturas pós-quânticas no Bitcoin

Simplesmente introduzir provas de conhecimento zero no Bitcoin não torna diretamente a blockchain segura contra quântica. A introdução de provas ZK visa resolver os problemas decorrentes da implantação de esquemas de assinatura pós-quântica (PQ) muito maiores no Bitcoin.

As assinaturas pós-quânticas atualmente selecionadas pelo Instituto Nacional de Padrões e Tecnologia (NIST) dos EUA têm tamanhos de dados 10 a 100 vezes maiores que os esquemas atuais de assinatura ECDSA e Schnorr do Bitcoin.

Há quem argumente que, se essas assinaturas fossem implantadas diretamente, a taxa de transferência da rede Bitcoin poderia cair para menos de 1 transação por segundo. No entanto, todas as assinaturas volumosas de transações em um bloco podem ser compactadas em uma única prova ZK-STARK muito pequena. Como essa prova é ainda menor que o volume total das assinaturas atuais, a velocidade final da blockchain pode, na verdade, aumentar.

Eli Ben-Sasson aponta: "Se não adotarmos a agregação de assinaturas com ZK-STARK, certamente seria um movimento ruim, pois não resolveria o problema central — se as pessoas comuns conseguirão usar o Bitcoin de forma fluida."

"Para atingir esse objetivo, a rede precisa de uma capacidade de escalabilidade extremamente alta. Para isso, tecnologias como a agregação de assinaturas são indispensáveis; simplesmente aumentar o tamanho do bloco não é suficiente."

Outro caminho na era quântica: aumentar o tamanho do bloco do Bitcoin

Marin Ivezic, colaborador do PostQuantum.com e fundador da Applied Quantum, disse ao Cointelegraph que o esquema SegWit do Bitcoin pode reduzir em até 75% o espaço ocupado por assinaturas grandes. No entanto, ele modelou o algoritmo ML-DSA-44 do NIST: com tamanho de assinatura de 2420 bytes por transação, a capacidade do bloco cairia das atuais 2500–3000 transações para cerca de 500–700 transações, reacendendo o debate sobre o tamanho do bloco.

Aumentar a capacidade do bloco do Bitcoin é de fato uma alternativa viável, mas já causou sérias divergências na comunidade em 2017 em torno da proposta de duplicar o tamanho do bloco. Muitas das objeções da época ainda são válidas hoje: aumentar o bloco é uma solução bruta que exige que todos os nós transmitam, armazenem e verifiquem uma quantidade muito maior de dados. Isso eleva os custos de execução de nós e os requisitos de hardware, e os críticos argumentam que isso levaria a rede à centralização.

O Blockstream Research vem estudando nos últimos meses como compactar esquemas de assinatura pós-quântica baseados em hash adequados ao Bitcoin, e lançou as promissoras assinaturas SHRINCS e SHRIMPS. Em cenários normais, seus tamanhos são cerca de 5 vezes maiores que as assinaturas atuais do Bitcoin; mas, se o usuário perder a carteira e precisar recuperar a conta, o tamanho da assinatura pode aumentar até 40 vezes.

Embora o SHRINCS já tenha sido usado para assinar transações reais na sidechain Liquid, a tecnologia ainda está em estágio inicial de desenvolvimento, com deficiências em complexidade de implementação e experiência do usuário. A menos que o tamanho do bloco seja aumentado simultaneamente, o volume crescente de assinaturas continuará a desacelerar a blockchain.

Sobre o aumento do bloco, Marin Ivezic comentou: "Aumentar nativamente a taxa de transferência da rede é a abordagem mais simples do ponto de vista da engenharia, mas a mais difícil de implementar do ponto de vista da governança. Não temos tempo suficiente para repetir esses debates."

A agregação de provas ZK tem múltiplas vantagens

Comparado ao aumento do bloco, a agregação de provas ZK também pode aumentar a capacidade da rede, sendo uma opção melhor, pois melhora a eficiência do Bitcoin enquanto mantém a descentralização.

De forma simplificada, uma prova de conhecimento zero (ZK) é um método de verificação matemática: permite provar que uma afirmação é verdadeira sem revelar todos os detalhes. Por exemplo, com uma prova ZK, você pode provar que sabe a senha de um cofre sem revelar a senha para a outra pessoa.

Em teoria, um bloco precisaria gerar apenas uma prova ZK (para redundância, algumas cópias extras seriam mais seguras); e o custo do hardware necessário para executá-la é muito menor que o dos equipamentos de mineração comerciais.

O custo do dispositivo de geração de provas planejado pelo Lean Ethereum é inferior a US$ 100 mil, podendo ser implantado em um ambiente doméstico comum. Já verificar uma prova ZK praticamente não tem restrições de hardware, podendo ser feito em dispositivos pequenos como um Raspberry Pi.

Eli Ben-Sasson afirmou que desenvolvedores antigos do Bitcoin, como Greg Maxwell e Mike Hearn, são favoráveis ao ZK-STARK. A tecnologia é segura contra quântica e não requer configuração inicial confiável. Ele acredita que o desenvolvedor principal do Bitcoin, Luke Dashjr, e o fundador da Blockstream, Adam Back, também estão gradualmente adotando essa linha técnica.

"Ouvi suas opiniões pessoalmente. Eles são favoráveis a várias soluções baseadas em ZK-STARK. Acredito que ambos já deram avaliações positivas, tanto em particular quanto publicamente. Adam Back e Luke Dashjr divergem em muitos tópicos, mas neste assunto devem concordar: é uma tecnologia de qualidade que, dadas as condições adequadas, tem plena oportunidade de ser implementada no Bitcoin."

O Cointelegraph entrou em contato com Adam Back para comentar, mas ainda não recebeu resposta.

Pesquisador da Ethereum, Justin Drake, manifestou publicamente o desejo de que o Bitcoin adote a tecnologia de agregação de provas ZK do Lean Ethereum, tornando-a um padrão comum em toda a indústria. No entanto, devido a divergências de governança na comunidade, essa visão pode ser difícil de concretizar.

O objetivo da Ethereum é atingir a computação pós-quântica em 2029. Fonte: Ethereum Foundation

Propostas relacionadas a provas de conhecimento zero para o Bitcoin

Considerando a postura conservadora da comunidade do Bitcoin, a abordagem mais viável do ponto de vista da governança para introduzir tecnologia de conhecimento zero na rede Bitcoin é provavelmente reativar o OP_CAT — um opcode de apenas nove linhas de código escrito por Satoshi Nakamoto.

Eli Ben-Sasson afirma: "Satoshi Nakamoto originalmente adicionou o OP_CAT e depois o removeu. Uma vez restaurado, os desenvolvedores poderão implementar funcionalidades relacionadas a provas STARK, agregação de assinaturas e segurança pós-quântica."

"Acredito que esta é a melhor e mais segura maneira de retomar a linha de desenvolvimento tecnológico que Satoshi iniciou e esperava continuar."

Embora tenha havido uma onda de discussão sobre OP_CAT no mercado de 12 a 24 meses atrás, o ímpeto recente diminuiu significativamente (embora o rumo da governança da comunidade do Bitcoin seja sempre imprevisível).

Existem também propostas mais avançadas, como o OP_STARK_VERIFY, que planeja adicionar um opcode dedicado para que o Bitcoin possa verificar provas STARK de forma mais eficiente. Além disso, Ethan Heilman, coautor do BIP-360, propôs o esquema BitZip, que visa agregar múltiplas assinaturas e chaves públicas do Bitcoin em uma única prova STARK.

Heilman disse ao Cointelegraph no início deste ano que existem dois caminhos técnicos principais para alcançar o efeito desejado: "O primeiro é adicionar um conjunto de opcodes genéricos ao Bitcoin e construir uma arquitetura semelhante a ZK Rollup sobre eles; ou suportar nativamente STARK na camada de consenso do Bitcoin. Além disso, esquemas de agregação de desempenho mais limitado, como o CISA (Cross-Input Signature Aggregation), também podem desempenhar algum papel."

Qual a probabilidade de esse caminho se concretizar?

Marin Ivezic acredita que o obstáculo não está na capacidade técnica, mas sim na governança da comunidade do Bitcoin.

Ele afirma: "O esquema criptográfico proposto por Eli Ben-Sasson é impecável: totalmente baseado em suposições de hash, sem necessidade de configuração inicial confiável, capaz de compactar milhares de assinaturas em uma única prova curta. As dificuldades estão todas nos componentes complementares fora desse esquema criptográfico."

"Atualmente, o script do Bitcoin não tem capacidade de verificar provas STARK. Em comparação com um opcode de assinatura hash único e enxuto, um verificador STARK pronto para produção expandiria enormemente a superfície de ataque da camada de consenso. Até mesmo um opcode simples como o OP_CAT levou anos de debate; ter um verificador STARK nativo na base do Bitcoin, realisticamente, só deve entrar na pauta a partir da década de 2030."

Enquanto isso, a Ethereum planeja concluir a atualização pós-quântica em 2029, e a Solana também está testando a implementação de assinaturas pós-quânticas. O roteiro de transição quântica da terceira fase do StarkNet pode aproveitar a abstração de contas: ao atualizar a criptografia subjacente, não é necessário que cada usuário migre manualmente seus ativos para novas contas.

Eli Ben-Sasson avaliou que o caminho de atualização pós-quântica da Solana e da Ethereum será "extremamente difícil".

"O StarkNet tem uma grande vantagem: suporte nativo a abstração de contas e carteiras inteligentes. Isso significa que os mecanismos relevantes não estão fixados no protocolo subjacente, permitindo que atualizemos facilmente carteiras e infraestrutura para alcançar a resistência quântica."