Квантовая дилемма Биткоина: расширять блоки или использовать доказательства STARK?

Автор: Эндрю Фентон; Источник: Cointelegraph; Перевод: Shaw, Golden Finance

Соучредитель StarkWare Эли Бен-Сассон заявил, что ZK-STARK является оптимальным решением проблем, связанных с обеспечением квантовой устойчивости Биткоина, а также способствует его массовому принятию.

Кроме того, он сказал, что основатель Blockstream Адам Бэк разделяет эту точку зрения.

На этой неделе Эли Бен-Сассон попал в новости из-за спорного предложения, опубликованного в X, о повышении годового уровня инфляции Биткоина до 4%. Анализ комментариев с помощью Grok показал, что никто не поддержал это предложение.

Но как соавтор STARK (квантово-устойчивой, хеш-ориентированной системы доказательств с нулевым разглашением), он имеет гораздо более веские аргументы в этой технологической линии, и некоторые ведущие исследователи Биткоина также признают эту идею.

Проект Эли Бен-Сассона StarkNet на прошлой неделе опубликовал дорожную карту третьего этапа, направленную на достижение квантовой устойчивости собственной сети.

Проблема больших размеров постквантовых подписей для Биткоина

Простое внедрение доказательств с нулевым разглашением в Биткоин не делает блокчейн напрямую квантово-устойчивым. Внедрение ZK-доказательств решает проблемы, возникающие при развертывании гораздо более объемных постквантовых (PQ) схем подписей в Биткоине.

Текущий набор постквантовых подписей, выбранный Национальным институтом стандартов и технологий (NIST), имеет размер данных в 10–100 раз больше, чем существующие схемы подписей ECDSA и Schnorr в Биткоине.

Существует мнение, что при прямом развертывании таких подписей пропускная способность сети Биткоина может упасть до менее чем 1 транзакции в секунду. Но все объемные подписи транзакций в одном блоке могут быть сжаты в одно крошечное ZK-STARK доказательство. Поскольку это доказательство даже меньше общего объема существующих подписей, конечная скорость работы блокчейна может даже возрасти.

Эли Бен-Сассон отметил: «Если не использовать агрегацию подписей ZK-STARK, это, несомненно, будет плохим шагом, потому что он не решит основную проблему — смогут ли обычные люди легко пользоваться Биткоином».

«Для достижения цели сеть должна иметь очень высокую масштабируемость. Для этого необходимы такие технологии, как агрегация подписей, простого увеличения размера блока недостаточно».

Другой путь в квантовую эру: увеличение размера блока Биткоина

Марин Ивезич, автор PostQuantum.com и основатель Applied Quantum, сообщил Cointelegraph, что SegWit Биткоина может уменьшить занимаемое место больших подписей до 75%. Но он провел моделирование на основе алгоритма ML-DSA-44 NIST: размер одной подписи составляет до 2420 байт, количество транзакций в блоке снизится с текущих 2500–3000 до примерно 500–700, что снова поднимает вопрос о размере блока.

Увеличение емкости блока Биткоина действительно является возможным вариантом, но еще в 2017 году сообщество серьезно разделилось по поводу предложения удвоить емкость блока. Многие аргументы против того времени остаются актуальными и сегодня: увеличение блока — это грубое решение, которое заставляет все узлы передавать, хранить и проверять гораздо больший объем данных. Стоимость запуска узла и порог оборудования возрастают, критики считают, что это приведет к централизации сети.

Исследовательский отдел Blockstream в последние месяцы изучает сжатие хеш-ориентированных постквантовых схем подписей, подходящих для Биткоина, и представил перспективные алгоритмы подписей SHRINCS и SHRIMPS. В обычных сценариях размер их подписей примерно в 5 раз больше существующих подписей Биткоина; но если пользователь потеряет кошелек и захочет восстановить учетную запись, размер подписи может увеличиться до 40 раз.

Хотя SHRINCS уже используется для подписи реальных транзакций в сайдчейне Liquid, эта технология все еще находится на ранней стадии разработки и имеет недостатки в сложности реализации и удобстве использования. Если не увеличивать размер блока одновременно, повышенный объем подписей все равно замедлит работу блокчейна.

Говоря об увеличении блока, Марин Ивезич отметил: «Прямое увеличение пропускной способности сети с инженерной точки зрения — самое простое, но с точки зрения управления — самое сложное решение. У нас больше нет времени на такие споры».

Агрегация ZK-доказательств имеет множество преимуществ

По сравнению с увеличением блока, агрегация ZK-доказательств также может повысить пропускную способность сети и, сохраняя децентрализацию, повысить эффективность Биткоина, что является лучшим выбором.

Проще говоря, доказательство с нулевым разглашением (ZK) — это математический метод проверки: можно доказать истинность факта, не раскрывая всех деталей. Например, с помощью ZK-доказательства можно подтвердить, что вы знаете код от сейфа, не сообщая сам код.

Теоретически для одного блока достаточно сгенерировать одно ZK-доказательство (для избыточности можно создать несколько дополнительных для безопасности); стоимость оборудования для его генерации значительно ниже, чем для коммерческого майнингового оборудования.

Стоимость оборудования для генерации доказательств в проекте Lean Ethereum составляет менее 100 тыс. долларов, и его можно развернуть в обычном доме. А проверка ZK-доказательства почти не требует специального оборудования, ее можно выполнить на таких устройствах, как Raspberry Pi.

Эли Бен-Сассон заявил, что такие ранние разработчики Биткоина, как Грег Максвелл и Майк Хирн, очень благосклонны к ZK-STARK. Эта технология обладает квантовой устойчивостью и не требует доверенной настройки. Он считает, что ключевой разработчик Биткоина Люк Дашджр и основатель Blockstream Адам Бэк также постепенно принимают эту линию.

«Я лично слышал их мнения. Они положительно относятся к различным решениям на основе ZK-STARK. Я уверен, что оба дали положительные оценки как в частных беседах, так и публично. Адам Бэк и Люк Дашджр расходятся во мнениях по многим вопросам, но в этом они, вероятно, согласны: это хорошая технология, и при подходящих условиях она вполне может быть реализована в Биткоине».

Cointelegraph связался с Адамом Бэком за комментарием, но ответа пока не получил.

Исследователь Ethereum Джастин Дрейк публично выступил за то, чтобы Биткоин использовал технологию агрегации ZK-доказательств от Lean Ethereum, чтобы сделать это решение отраслевым стандартом. Однако из-за разногласий в управлении сообществом эта цель может быть труднореализуема.

Цель Ethereum — достичь постквантовых вычислений к 2029 году. Источник: Ethereum Foundation

Предложения по внедрению доказательств с нулевым разглашением в Биткоин

Учитывая консервативный характер сообщества Биткоина, наиболее вероятным путем внедрения технологии с нулевым разглашением в сеть Биткоина с точки зрения управления является повторное включение OP_CAT — операционного кода из девяти строк, написанного Сатоши Накамото.

Эли Бен-Сассон сказал: «Сатоши сначала добавил OP_CAT, а затем удалил его. Как только этот операционный код будет восстановлен, разработчики смогут реализовать функции STARK-доказательств, агрегации подписей и постквантовой безопасности».

«Я считаю, что это оптимальный и самый безопасный вариант, который позволит возобновить технологическое развитие, начатое Сатоши и которое он, вероятно, хотел продолжить».

Хотя 12–24 месяца назад на рынке была волна обсуждений OP_CAT, в последнее время импульс ослаб (хотя направление управления сообществом Биткоина всегда трудно предсказать).

Существуют и более прогрессивные предложения, например OP_STARK_VERIFY, которое предлагает добавить специальный операционный код, позволяющий Биткоину более эффективно проверять STARK-доказательства. Кроме того, Итан Хейлман, соавтор BIP-360, предложил схему BitZip, целью которой является объединение множества подписей и открытых ключей Биткоина в одно STARK-доказательство.

Хейлман ранее в этом году сказал Cointelegraph, что для достижения цели есть два основных технических пути: «Первый — добавить в Биткоин набор универсальных операционных кодов, на основе которых построить архитектуру типа ZK Rollup; либо напрямую поддержать STARK на уровне консенсуса Биткоина. Кроме того, такие схемы агрегации с ограниченной производительностью, как CISA (межвходная агрегация подписей), также могут сыграть определенную роль».

Насколько вероятна эта дорога?

Марин Ивезич считает, что препятствие не в технологических возможностях, а в управлении сообществом Биткоина.

Он сказал: «Криптографическая схема, предложенная Эли Бен-Сассоном, безупречна: она основана исключительно на хеш-предположениях, не требует доверенной настройки и может сжать тысячи подписей в одно короткое доказательство. Все сложности связаны с сопутствующими компонентами вне этой криптографии».

«Текущий скрипт Биткоина не способен проверять STARK-доказательства. По сравнению с одним простым операционным кодом для хеш-подписи, производственная программа проверки STARK значительно расширяет поверхность атаки на уровне консенсуса. Даже такой простой операционный код, как OP_CAT, обсуждался годами. Реальная интеграция нативного STARK-верификатора в Биткоин, вероятно, не произойдет раньше 2030-х годов».

Тем временем Ethereum планирует завершить постквантовое обновление к 2029 году, Solana также экспериментирует с внедрением постквантовых подписей. Дорожная карта StarkNet третьего этапа по переходу на квантовую устойчивость может использовать преимущества абстракции учетных записей: при обновлении базовой криптографии не требуется, чтобы каждый пользователь вручную переносил активы на новый счет.

Эли Бен-Сассон на этом основании заявил, что постквантовое обновление Solana и Ethereum будет «чрезвычайно сложным».

«StarkNet имеет ключевое преимущество: сеть изначально поддерживает абстракцию учетных записей и смарт-кошельки. Это означает, что соответствующие механизмы не закреплены в базовом протоколе, и мы можем легко обновлять кошельки и инфраструктуру для достижения квантовой устойчивости».