Безпека Біткоїна в епоху квантів: розрізнення між вигадкою та реальною загрозою

Поширена в медіа наратив про “злом шифрування Bitcoin за допомогою квантових комп’ютерів” містить фундаментальну концептуальну помилку. Bitcoin взагалі не базується на шифруванні даних, що зберігаються у ланцюгу блоків. Blockchain функціонує як публічна книга, де кожна транзакція, сума і адреса видимі для всіх. Реальна загроза, на яку потрібно зосередитися, стосується не розшифрування, а потенційного підроблення цифрових підписів, пов’язаних з оприлюдненим відкритим ключем.

Де справді полягає вразливість: від шифрування до підписів

Системи підписів Bitcoin—ECDSA і Schnorr—є основою контролю над фондами. Монети отримують шляхом створення дійсного підпису, який приймає мережа. У цій архітектурі розкриття відкритого ключа стає критичною слабкістю, коли з’являється комп’ютер, здатний запустити алгоритм Shora.

Якщо зловмисник володів би криптографічно суттєвою квантовою машиною, він міг би:

• Вивести приватний ключ з відкритого ключа, видимого у ланцюгу
• Створити конкурентний підпис для іншої витрати
• Взяти під контроль над коштами

Обмеження експозиції відкритого ключа визначає масштаб цієї загрози. Багато Bitcoin-адрес шифрують відкритий ключ у хешах, розкриваючи сирий ключ лише під час транзакції. Інші формати—такі як pay-to-pubkey або деякі multisig—розкривають ключ раніше. Повторне використання адреси подовжує це вікно часу, перетворюючи одноразову експозицію у постійну ціль для потенційного зловмисника.

Квантова загроза у цифрах: що можна виміряти сьогодні

Project Eleven щотижня публікує сканування ланцюга, ідентифікуючи UTXO з оприлюдненим відкритим ключем. Їхній публічний трекер показує близько 6,7 мільйона BTC, що відповідає критеріям квантової експозиції.

З обчислювальної точки зору, згідно з дослідженнями Roettler і співавторів, подолання 256-бітового логарифму дискретної кривої еліпса вимагатиме:

Різниця між логічними і фізичними кубітами принципова. Перетворення схеми у машину, здатну до корекції помилок при низькому рівні помилок—вимога для практичного нападу—генерує величезні витрати на масштабування і час.

Taproot змінює ландшафт експозиції

Впровадження Taproot (P2TR) змінює стандартний шаблон розкриття ключів. Виходи Taproot містять 32-байтовий змінений відкритий ключ безпосередньо у вихідній програмі, замість хешованого відкритого ключа. Це означає, що нові витрати за замовчуванням створюватимуть більший пул UTXO з оприлюдненим ключем, коли квантова технологія стане практичною загрозою.

Однак безпека до цього часу не змінюється—експозиція стає вимірюваною, відстежуваною змінною, яка визначає ширину майбутньої загрози.

Від Гровера до міграції: контекст усього спектру квантових загроз

Функції хешування, такі як SHA-256, стикаються з іншим видом квантової атаки. Алгоритм Гровера пропонує прискорення у вигляді квадратного кореня для пошуку brute-force, але не зламує дискретний логарифм, як Shor. Для предобразів SHA-256 вартість залишається на рівні 2^128 операцій навіть після застосування Гровера—набагато менш практично загрозливо, ніж злом ECDSA.

Наративи про квантову загрозу часто не роблять різниці між цими алгоритмами. NIST вже стандартизує пост-квантові примітиви (ML-KEM, FIPS 203), а Bitcoin розвиває рішення, такі як BIP 360, що пропонує “Pay to Quantum Resistant Hash”. Випробування полягає у міграції, а не у миттєвому зломі.

Чому це інфраструктурна проблема, а не апокаліптичний сценарій

За останніми звітами Reuters, IBM проектує шлях до системи, стійкої до помилок, приблизно до 2029 року. У цьому ж контексті прогрес у компонентах корекції помилок свідчить, що квантове злом буде результатом багаторічного розвитку, а не несподіваною атакою.

Реальна проблема зводиться до трьох вимірів:

1. Яка частина UTXO має оприлюднені відкриті ключі (уже сьогодні)
2. Як швидко гаманці і протоколи зможуть прийняти витрати, стійкі до квантів
3. Чи зможе мережа зберегти пропускну здатність, безпеку і економіку комісій під час переходу

Пост-квантові підписи мають розмір кілька кілобайтів замість десятків байт, що змінює калькуляцію ваги транзакцій і досвід користувача. Міграція вимагає координації, а не відчайдушного перепрограмування.

Реальне квантове ризик є вимірюваним, але передусім це виклик часу і проектування— а не підстава для паніки щодо зміненого ландшафту безпеки у криптовалютах.