O dilema quântico do Bitcoin: expandir blocos ou adotar provas STARK?

Autor: Andrew Fenton; Fonte: Cointelegraph; Tradução: Shaw,金色财经

O cofundador da StarkWare, Eli Ben-Sasson, afirma que o ZK-STARK é a melhor solução para resolver os vários problemas derivados da implementação de segurança quântica-resistente no Bitcoin, ao mesmo tempo que impulsiona o Bitcoin rumo à adoção em massa.

Além disso, ele diz que o fundador da Blockstream, Adam Back, também concorda com esta visão.

Esta semana, Eli Ben-Sasson esteve nas notícias por publicar uma proposta controversa na plataforma X, sugerindo aumentar a taxa de inflação anual do Bitcoin para 4%. A análise dos comentários pelo Grok mostrou que ninguém apoiou explicitamente a proposta.

Mas como coinventor do STARK (um sistema de prova de conhecimento zero baseado em hash e seguro contra quântica), ele tem uma base muito mais sólida nesta linha técnica, e alguns dos principais investigadores do Bitcoin também reconhecem esta abordagem.

O projeto liderado por Eli Ben-Sasson, StarkNet, publicou na semana passada o seu roteiro de fase três, com o objetivo de tornar a sua própria rede resistente a quântica.

O problema do grande volume de assinaturas pós-quânticas no Bitcoin

Simplesmente introduzir provas de conhecimento zero no Bitcoin não torna a blockchain diretamente segura contra quântica. A introdução de provas ZK visa resolver os vários pontos problemáticos que surgem após a implementação de esquemas de assinatura pós-quântica (PQ), que são muito maiores em volume.

As assinaturas pós-quânticas atualmente selecionadas pelo Instituto Nacional de Padrões e Tecnologia (NIST) dos EUA têm um tamanho de dados 10 a 100 vezes maior do que os atuais esquemas de assinatura ECDSA e Schnorr do Bitcoin.

Há quem argumente que, se tais assinaturas fossem implementadas diretamente, a taxa de transferência da rede Bitcoin poderia cair para menos de 1 transação por segundo. Mas todas as assinaturas volumosas de transações num bloco podem ser comprimidas numa única prova ZK-STARK muito pequena. Como esta prova é ainda menor do que o volume total das assinaturas atuais, a velocidade final da blockchain pode, na verdade, aumentar.

Eli Ben-Sasson salientou: "Se não adotarmos a agregação de assinaturas ZK-STARK, seria sem dúvida um mau passo, porque não resolveria o problema central - se uma pessoa comum pode usar o Bitcoin sem problemas."

"Para atingir esse objetivo, a rede precisa de uma capacidade de escalabilidade extremamente alta. Para isso, tecnologias como a agregação de assinaturas são indispensáveis; simplesmente aumentar o tamanho dos blocos não é suficiente."

Outro caminho na era quântica: aumentar o tamanho do bloco do Bitcoin

Marin Ivezic, colaborador do PostQuantum.com e fundador da Applied Quantum, disse ao Cointelegraph que o esquema SegWit do Bitcoin pode reduzir a ocupação causada por assinaturas grandes em até 75%. Mas ele realizou modelação para o algoritmo ML-DSA-44 do NIST: o tamanho de cada assinatura neste esquema é de até 2420 bytes, reduzindo o número de transações por bloco dos atuais 2500-3000 para cerca de 500-700, levantando assim a questão do tamanho do bloco.

Aumentar a capacidade do bloco do Bitcoin é uma alternativa viável, mas já em 2017 a comunidade teve sérias divergências sobre a proposta de duplicar a capacidade do bloco. Muitas das razões contra na altura ainda são válidas hoje: aumentar o tamanho do bloco é uma solução bruta que exigiria que todos os nós transmitissem, armazenassem e verificassem uma quantidade muito maior de dados. Os custos operacionais dos nós e os requisitos de hardware aumentam, e os críticos argumentam que isso levaria à centralização da rede.

A Blockstream Research tem estudado nos últimos meses como comprimir esquemas de assinatura pós-quântica baseados em hash adequados para o Bitcoin, e lançou os promissores algoritmos SHRINCS e SHRIMPS. Em cenários normais, o tamanho das assinaturas de ambos é cerca de 5 vezes o das assinaturas atuais do Bitcoin; mas se o utilizador perder a carteira e precisar de recuperar a conta, o tamanho da assinatura pode aumentar até 40 vezes o original.

Embora o SHRINCS já tenha sido usado para assinar transações reais na sidechain Liquid, a tecnologia ainda está em fase inicial de desenvolvimento, com desvantagens em complexidade de implementação e experiência de utilização. A menos que o tamanho do bloco seja aumentado simultaneamente, as assinaturas de volume maior ainda irão abrandar toda a blockchain.

Falando sobre o aumento do tamanho do bloco, Marin Ivezic comentou: "Aumentar a taxa de transferência nativa da rede é a solução mais simples do ponto de vista da engenharia, mas a mais difícil de implementar do ponto de vista da governança. Já não temos tempo suficiente para repetir este tipo de debates."

A agregação de provas ZK tem múltiplas vantagens

Comparado com o aumento do tamanho do bloco, a agregação de provas ZK também pode aumentar a capacidade da rede, e ao mesmo tempo melhorar a eficiência do Bitcoin mantendo a descentralização, sendo uma escolha melhor.

Em termos mais simples, uma prova de conhecimento zero (ZK) é um método de verificação matemática: pode provar que um facto é verdadeiro sem revelar todos os detalhes. Por exemplo, com uma prova ZK, pode provar que sabe a combinação de um cofre sem revelar a própria combinação.

Teoricamente, apenas uma prova ZK é necessária por bloco (embora, para redundância, seja mais seguro gerar algumas extras); e o custo do hardware necessário para executar a prova é muito inferior ao dos equipamentos de mineração comerciais.

O custo do equipamento de geração de provas planeado para o Lean Ethereum é inferior a 100.000 dólares, podendo ser instalado num ambiente doméstico normal. Já a verificação de uma prova ZK é praticamente livre de restrições de hardware, podendo ser feita em dispositivos como um Raspberry Pi.

Eli Ben-Sasson afirmou que os primeiros desenvolvedores do Bitcoin, como Greg Maxwell e Mike Hearn, são muito favoráveis ao ZK-STARK. Esta tecnologia é segura contra quântica e não requer uma configuração de confiança inicial. Ele acredita que o desenvolvedor principal do Bitcoin, Luke Dashjr, e o fundador da Blockstream, Adam Back, também estão a aceitar gradualmente esta linha técnica.

"Ouvi as suas opiniões pessoalmente. Eles são favoráveis a várias soluções baseadas em ZK-STARK. Acredito que ambos já deram avaliações positivas, tanto em privado como em público. Adam Back e Luke Dashjr discordam em muitos temas, mas neste assunto, devem concordar: é uma boa tecnologia e, desde que as condições sejam adequadas, tem toda a oportunidade de ser implementada no Bitcoin."

O Cointelegraph contactou Adam Back para comentar, mas ainda não recebeu resposta.

O investigador da Ethereum, Justin Drake, defendeu publicamente que o Bitcoin adote a tecnologia de agregação de provas ZK do Lean Ethereum para tornar esta solução um padrão para toda a indústria. No entanto, devido a divergências na governação da comunidade, esta visão poderá ser difícil de concretizar.

A Ethereum planeia alcançar a computação pós-quântica em 2029. Fonte: Ethereum Foundation

Propostas relacionadas com provas de conhecimento zero para o Bitcoin

Considerando a abordagem conservadora da comunidade Bitcoin, a via mais viável a nível de governação para introduzir tecnologia de conhecimento zero na rede Bitcoin é provavelmente reativar o OP_CAT — um opcode de apenas nove linhas de código escrito por Satoshi Nakamoto.

Eli Ben-Sasson afirmou: "Satoshi Nakamoto incluiu originalmente o OP_CAT e depois removeu-o. Uma vez restaurado este opcode, os desenvolvedores poderão implementar funcionalidades relacionadas com provas STARK, agregação de assinaturas e segurança pós-quântica."

"Acredito que esta é a melhor e mais segura solução para reativar e dar continuidade à linha de desenvolvimento tecnológico iniciada e esperada por Satoshi Nakamoto."

Embora tenha havido uma vaga de discussão sobre o OP_CAT há 12 a 24 meses, o ímpeto recente diminuiu significativamente (embora a direção da governação da comunidade Bitcoin seja sempre difícil de prever).

Existem também propostas mais prospectivas, como o OP_STARK_VERIFY, que planeia adicionar um opcode dedicado para permitir ao Bitcoin verificar provas STARK de forma mais eficiente. Além disso, Ethan Heilman, coautor do BIP-360, propôs o esquema BitZip, que visa agregar múltiplas assinaturas e chaves públicas do Bitcoin numa única prova STARK.

Heilman disse ao Cointelegraph no início deste ano que existem principalmente duas vias técnicas para alcançar o efeito desejado: "A primeira solução é adicionar uma série de opcodes de uso geral ao Bitcoin, construindo uma arquitetura tipo ZK Rollup sobre eles; ou suportar nativamente STARK ao nível de consenso do Bitcoin. Além disso, esquemas de agregação de capacidade limitada, como CISA (Cross-Input Signature Aggregation), também podem ajudar."

Qual é a probabilidade de este caminho ser concretizado?

Marin Ivezic acredita que o obstáculo não está na capacidade técnica, mas sim na governação da comunidade Bitcoin.

Ele afirmou: "O esquema criptográfico proposto por Eli Ben-Sasson é impecável: baseado inteiramente em pressupostos de hash, não requer configuração de confiança inicial, e pode comprimir milhares de assinaturas numa única prova curta. As dificuldades estão todas nos componentes externos a este esquema criptográfico."

"Atualmente, o script do Bitcoin não tem capacidade para verificar provas STARK. Em comparação com um único opcode de assinatura hash simplificado, um verificador STARK pronto para produção aumentaria significativamente a superfície de ataque ao nível de consenso. Mesmo um opcode simples como o OP_CAT foi debatido durante anos; a inclusão nativa de um verificador STARK na base, realisticamente, só poderá ser considerada a partir da década de 2030."

Entretanto, a Ethereum planeia completar a sua atualização pós-quântica em 2029, e a Solana também está a experimentar a incorporação de assinaturas pós-quânticas. A transição para resistência quântica da StarkNet na sua fase três pode aproveitar a vantagem da abstração de conta: quando a criptografia subjacente é atualizada, não é necessário que cada utilizador migre manualmente os seus ativos para uma nova conta.

Eli Ben-Sasson comentou que a atualização pós-quântica da Solana e da Ethereum será "extremamente difícil".

"A StarkNet tem uma grande vantagem principal: suporte nativo para abstração de conta e carteiras inteligentes. Isto significa que os mecanismos relevantes não estão enraizados no protocolo subjacente, e podemos facilmente atualizar carteiras e infraestruturas para implementar resistência quântica."