Обсуждали полгода квантовую угрозу, и общая логика почти всегда была в стиле «как перехватить» — заморозить засвеченные старые адреса, срочно перейти на подписи, устойчивые к квантам. @projecteleven На этот раз они поменяли постановку вопроса, и я думаю, что она ближе к реальности: если уже возможно подделывать вашу подпись на квантовом уровне, то как доказать, что монеты всё ещё ваши — и как их перенести?

Они выпустили прототип доказательства с нулевым разглашением (zero-knowledge). Суть в том, что вы не показываете приватный ключ: вы только доказываете, что знаете ключ «на предыдущем уровне» в дереве вывода (derivation tree) HD-кошелька для вашего адреса — и что этот ключ позволяет вычислить данный адрес. По сути, в качестве «удостоверения личности» используется путь деривации HD-кошелька, и квантовая подделка не может обойти этот уровень.

Время генерации одного доказательства — 243 мс, верификация — 40 мс. Это работает на MacBook Air M5: 4 CPU-ядра, без необходимости использовать GPU. По сравнению с прошлым вариантом, которому нужно было 14,6 секунды и ещё и рассчитывать с опорой на GPU, ускорение примерно в 16 раз. То есть «квантовое самоспасение» из лаборатории переехало в ноутбук.

Но есть серьёзный изъян — именно там, где деньги самые дорогие: этот подход не может спасти примерно 1,1 млн монет, приписываемых Сатоши Накамото. Поскольку старые адреса P2PK появились ещё до того, как HD-кошельки вообще стали существовать, у них нет «предыдущего уровня ключа», который можно доказать. К тому же открытый ключ уже давно без прикрытия лежит в сети. Для них этот метод=бесполезен.

И ещё официально сказано предельно прямо: ранний прототип, без аудита; сейчас его нельзя применять, чтобы восстановить активы на каких-либо реальных сетях.