Satoshi Nakamoto Previu a Defesa Hash do Bitcoin 16 Anos Antes dos Temores da Computação Quântica

Há dezasseis anos, Satoshi Nakamoto respondeu a um céptico num fórum, em 2010, e a resposta continua a orientar a forma como a rede defende o seu dinheiro hoje.

Principais Conclusões

• Satoshi Nakamoto defendeu o SHA-256 num post de 16 de julho de 2010 no fórum Bitcointalk.
• A Google Quantum AI cortou a sua estimativa para quebrar a curva do Bitcoin em 2026 para 500.000 qubits.
• Em 2026, os programadores propuseram BIP-360 e outras ideias para preparar endereços resistentes ao quantum.

Um Post de Fórum que Estabeleceu as Regras

Em 16 de julho de 2010, um utilizador chamado bdonlan questionou no fórum Bitcointalk a dupla hash SHA-256 do Bitcoin. Ele perguntou se o design enfraquecia a segurança.

Satoshi respondeu diretamente. O inventor do Bitcoin comparou o SHA-256 à transição de computação de 32-bit para 64-bit, não a um pequeno avanço no tamanho dos bits. Os computadores ficavam sem espaço de endereçamento de 32-bit a 4 gigabytes, disse ele, mas ninguém espera ficar sem espaço de 64-bit tão cedo. O SHA-256 funciona da mesma forma, e a matemática dá ao Bitcoin espaço de sobra.

Satoshi também deu à rede um plano de saída. Se o SHA-256 alguma vez enfraquecesse, os programadores poderiam aplicar um soft fork para uma nova função de hash numa altura de bloco definida. Hashes antigos e novos correriam lado a lado até que cada nó fosse atualizado.

A capitalização bolsista do Bitcoin cresceu desde então para além de um trilião, e a rede liquida centenas de milhares de milhões de dólares em valor diariamente. Cada dólar dessa atividade ainda depende da função de hash que Satoshi defendeu numa resposta de fórum, há dezasseis anos.

Por que o Bitcoin Faz Dois Hashes em Vez de Um

O código do Bitcoin faz hash aos dados duas vezes: SHA256(SHA256(data)), um método que os programadores chamam de SHA256d. Criptógrafos como Niels Ferguson e Bruce Schneier recomendaram a abordagem para ataques de extensão de comprimento de bloco, uma falha na estrutura Merkle-Damgard que o SHA-2 utiliza.

Os mineradores fazem hash aos cabeçalhos dos blocos duas vezes para cumprir a meta de dificuldade da rede, e os nós fazem hash às transações duas vezes para construir árvores Merkle. As carteiras acrescentam uma terceira camada, RIPEMD-160 sobre SHA-256, para reduzir chaves públicas em endereços.

Satoshi escolheu o SHA-256 por uma razão. O National Institute of Standards and Technology publicou o algoritmo em 2001 como parte da família SHA-2, oferecendo um grande salto em robustez face ao SHA-1, que já mostrava fissuras quando o Bitcoin arrancou em janeiro de 2009. O SHA-256 precisa de cerca de 2^128 operações para forçar uma colisão e cerca de 2^256 para forçar um preimage.

Há dezasseis anos, e ninguém conseguiu quebrar este design. Nenhum investigador encontrou um ataque de colisão, preimage ou segundo preimage que funcione contra o SHA-256 completo. Versões com menos rondas cederam à criptoanálise, mas esses ataques param de escalar antes de chegarem ao algoritmo real de 64 rondas. O NIST e grupos independentes como a ECRYPT-CSA continuam a avaliar a função completa como segura.

O hardware de mineração conta a mesma história. Os fabricantes de circuitos integrados específicos de aplicação (ASIC) construíram linhas inteiras de produtos em torno do SHA-256d, e a taxa de hash da rede já opera na gama de exahash. Satoshi previu que a Lei de Moore, por si só, nunca ameaçaria a função, e os ajustes de dificuldade mantiveram os tempos de bloco perto de dez minutos apesar de ganhos exponenciais no poder de mineração.

A Computação Quântica Muda o Enredo

A força bruta clássica nunca preocupou Satoshi, e ainda não ameaça o Bitcoin. A computação quântica separa o risco em dois problemas distintos.

O algoritmo de Grover acelera a pesquisa por força bruta. Se for aplicado ao SHA-256, reduz a segurança efetiva de 256 bits para cerca de 128 bits, um número que ainda está muito fora do alcance. Os investigadores dizem que um atacante precisaria de hardware quântico numa escala que o mundo ainda não construiu, pelo que as coisas permanecem seguras por agora.

O algoritmo de Shor coloca o problema maior, e ataca assinaturas, não hashes. Um computador quântico a executá-lo poderia retirar uma chave privada a partir de uma chave pública exposta na curva elíptica que o Bitcoin usa. Estima-se que 7 milhões de bitcoins, perto de 35% do fornecimento, estejam em endereços com chaves públicas expostas e acarretariam risco se esse hardware existisse.

A Google Quantum AI publicou em 2026 investigação que reduziu o número de qubits necessário para quebrar a curva do Bitcoin para cerca de 500.000 qubits físicos. As máquinas quânticas atuais operam na gama de 1.000 a 1.500 qubits. Os investigadores continuam a apontar uma ameaça funcional algures entre 2029 e 2035, dependendo do progresso na correção de erros.

Os Programadores Revisitam a Questão ao Longo de Dezasseis Anos

Satoshi voltou mais do que uma vez a preocupações relacionadas com hash durante 2010, incluindo o que aconteceria se o SHA-256 sofresse uma colisão parcial. A sua resposta manteve-se consistente: consolidar a cadeia honesta antes de o problema se espalhar, e depois migrar para uma nova função.

As atualizações posteriores do Bitcoin não mexeram no hash central. A Segregated Witness foi ativada em 2017, e o Taproot foi ativado em 2021; ambos visavam eficiência e privacidade, em vez de hashing. A resistência ao quantum não se tornou um tema de primeira linha para os programadores até a consciência dos algoritmos de Grover e Shor se espalhar pela comunidade de criptografia nos anos 2020.

Os Programadores Propõem Rotas de Saída que Satoshi Prometeu

Os programadores do Bitcoin já propuseram o caminho de migração que Satoshi descreveu em 2010, só que aplicado a assinaturas em vez de hashes. Várias ideias foram colocadas em cima da mesa.

O BIP-360 introduz um novo formato de endereço, endereços pay-to-Merkle-root que começam por bc1z, construídos em torno de esquemas de assinatura resistentes ao quantum. Os programadores fundiram a proposta em 2026. Uma proposta complementar, o BIP-361, descreve como a rede poderia, eventualmente, desativar tipos mais antigos de endereços expostos. Com o último método, um pouco mais controverso.

Os fornecedores de carteiras enfrentam agora pressão para parar a reutilização de endereços e direcionar os utilizadores para os tipos de output mais recentes antes de qualquer prazo quântico chegar.

A migração tem os seus próprios obstáculos. Os programadores ainda precisam de um plano para moedas bloqueadas em endereços antigos cujos proprietários estão inativos ou são inalcançáveis, incluindo qualquer bitcoin ligado às primeiras carteiras de Satoshi. As assinaturas pós-quânticas também ocupam mais espaço em blocos do que as assinaturas que o Bitcoin usa hoje, e os investigadores estão a testar esquemas de assinatura baseados em hash para manter essa migração gerível.

O que Isto Significa para Quem Detém Bitcoin

Nada sobre o SHA-256 exige ação hoje. A função de hash que protege a mineração e o histórico de transações permanece inalterada por qualquer ataque conhecido, clássico ou quântico.

A exposição de assinaturas é o item a vigiar. Quem tem moedas em endereços de estilo antigo, ou quem reutilizou um endereço do Bitcoin, tem mais exposição do que alguém que use tipos de output modernos com chaves públicas que ficam ocultas até ao momento da utilização.

Satoshi encerrou a discussão de 2010 com um aviso que ainda parece política atual. Qualquer ataque suficientemente forte para quebrar o SHA-256 provavelmente também danificaria primos mais robustos como o SHA-512, pelo que uma quebra completa parece improvável por si só. A defesa do Bitcoin nunca foi permanência. Foi a capacidade de se mover antes de a ameaça se tornar real.