Квантова дилема біткоїна: розширювати блоки чи використовувати докази STARK?

Автор: Ендрю Фентон; Джерело: Cointelegraph; Переклад: Shaw, Golden Finance

Співзасновник StarkWare Елі Бен-Сассон заявив, що ZK-STARK є оптимальним рішенням для вирішення проблем, пов’язаних із забезпеченням квантової безпеки Bitcoin, а також сприятиме масовому впровадженню Bitcoin.

Крім того, він сказав, що засновник Blockstream Адам Бек також погоджується з цією думкою.

Цього тижня Елі Бен-Сассон потрапив у новини через суперечливу пропозицію, опубліковану на платформі X, в якій він запропонував підвищити річний рівень інфляції Bitcoin до 4%. Аналіз коментарів, проведений Grok, показав, що жоден користувач чітко не підтримав цю пропозицію.

Але як співавтор STARK (квантово-безпечної, хеш-основаної системи доказів з нульовим розголошенням), його аргументація в цьому технічному напрямку набагато переконливіша, і деякі провідні дослідники Bitcoin також визнають цей підхід.

Минулого тижня проект StarkNet, яким керує Елі Бен-Сассон, оприлюднив дорожню карту третьої фази, спрямовану на забезпечення квантової стійкості власної мережі.

Bitcoin стикається з проблемою величезного обсягу пост-квантових підписів

Просте впровадження доказів з нульовим розголошенням у Bitcoin безпосередньо не робить блокчейн квантово-стійким. Впровадження ZK-доказів необхідне для вирішення проблем, що виникають після розгортання набагато більших пост-квантових (PQ) схем підписів у Bitcoin.

Поточний набір пост-квантових підписів, відібраних Національним інститутом стандартів і технологій США (NIST), має обсяг даних у 10-100 разів більший, ніж існуючі схеми підписів ECDSA та Schnorr у Bitcoin.

Деякі вважають, що при прямому впровадженні таких підписів пропускна здатність мережі Bitcoin може впасти до менш ніж 1 транзакції на секунду. Але всі об'ємні підписи транзакцій в одному блоці можна стиснути в один мініатюрний ZK-STARK-доказ. Оскільки цей доказ навіть менший за загальний обсяг існуючих підписів, кінцева швидкість роботи блокчейну може навіть зрости.

Елі Бен-Сассон зазначив: «Якщо не використовувати агрегацію підписів ZK-STARK, це, безсумнівно, буде поганим кроком, оскільки він не вирішує основної проблеми — чи зможе звичайна людина легко користуватися Bitcoin».

«Щоб досягти мети, мережа повинна мати надзвичайно високу масштабованість. Для цього такі технології, як агрегація підписів, є необхідними, простого збільшення розміру блоку недостатньо».

Інший шлях у квантову еру: збільшення розміру блоку Bitcoin

Марін Івезіч, автор PostQuantum.com та засновник Applied Quantum, сказав Cointelegraph, що рішення Segregated Witness (SegWit) у Bitcoin може зменшити зайнятість від великих підписів максимум на 75%. Але він провів моделювання за алгоритмом ML-DSA-44 від NIST: розмір одного підпису за цією схемою становить 2420 байт, що зменшить кількість транзакцій у блоці з поточних 2500-3000 до приблизно 500-700, що призводить до суперечок про розмір блоку.

Збільшення пропускної здатності блоку Bitcoin дійсно є можливим альтернативним рішенням, але ще у 2017 році спільнота серйозно розділилася через пропозицію подвоїти ємність блоку. Багато аргументів проти того часу залишаються актуальними й сьогодні: збільшення блоку — це грубе рішення, яке вимагає від усіх вузлів передавати, зберігати та перевіряти значно більші обсяги даних. Вартість роботи вузла та вимоги до обладнання зростають, що, на думку критиків, призведе до централізації мережі.

Дослідницький підрозділ Blockstream останні кілька місяців вивчав, як стиснути хеш-основані пост-квантові схеми підписів, придатні для Bitcoin, і представив перспективні алгоритми SHRINCS та SHRIMPS. За звичайних сценаріїв обсяг їхніх підписів приблизно в 5 разів більший, ніж у існуючих підписів Bitcoin; але у випадку, коли користувач втрачає гаманець і потребує відновлення облікового запису, обсяг підпису може зрости до 40 разів.

Хоча SHRINCS вже використовується для підпису реальних транзакцій у сайдчейні Liquid, ця технологія все ще знаходиться на ранній стадії досліджень і має недоліки у складності впровадження та зручності використання. Без синхронного збільшення розміру блоку різке зростання обсягу підписів все одно сповільнить весь блокчейн.

Говорячи про збільшення блоку, Марін Івезіч зазначив: «Збільшення пропускної здатності мережі на рідному рівні є найпростішим з інженерної точки зору, але найскладнішим з точки зору управління. У нас більше немає достатньо часу для постійних таких суперечок».

ZK-докази агрегації мають множинні переваги

Порівняно зі збільшенням блоку, агрегація ZK-доказів також може підвищити пропускну здатність мережі, а також підвищити ефективність Bitcoin, зберігаючи децентралізацію, що є кращим вибором.

Простіше кажучи, докази з нульовим розголошенням (ZK) — це математичний метод перевірки: можна довести істинність певного факту, не розкриваючи всіх деталей. Наприклад, за допомогою ZK-доказу ви можете підтвердити, що знаєте пароль від сейфа, не розкриваючи його іншій стороні.

Теоретично для одного блоку достатньо згенерувати лише один ZK-доказ (хоча для резервування безпечніше згенерувати кілька додаткових); а вартість необхідного обладнання значно нижча, ніж у комерційних майнінгових пристроїв.

Вартість обладнання для генерації доказів, запланованого для Lean Ethereum, становить менше 100 000 доларів і може бути розміщена в звичайному домашньому середовищі. Перевірка ZK-доказу майже не має апаратних обмежень і може виконуватися на таких невеликих пристроях, як Raspberry Pi.

Елі Бен-Сассон зазначив, що ранні розробники Bitcoin, такі як Грег Максвелл та Майк Хірн, дуже позитивно ставляться до ZK-STARK. Ця технологія має квантову стійкість і не потребує довіреної установки. Він вважає, що основний розробник Bitcoin Люк Дашджр та засновник Blockstream Адам Бек також поступово приймають цей технічний напрямок.

«Я чув їхні думки на власні вуха. Вони позитивно ставляться до різних рішень, побудованих на основі ZK-STARK. Я вірю, що вони обоє давали позитивні відгуки як приватно, так і публічно. Адам Бек та Люк Дашджр розходяться в багатьох питаннях, але в цьому вони мають дійти згоди: це якісна технологія, яка має всі шанси бути впроваджена в Bitcoin за відповідних умов.»

Cointelegraph звернувся до Адама Бека за коментарем, але відповіді поки не отримав.

Дослідник Ethereum Джастін Дрейк публічно висловив сподівання, що Bitcoin прийме технологію агрегації ZK-доказів Lean Ethereum, щоб зробити її загальногалузевим стандартом. Однак через розбіжності в управлінні спільнотою це бачення може бути важко реалізувати.

Ethereum планує досягти пост-квантової безпеки до 2029 року. Джерело: Фонд Ethereum

Пропозиції щодо доказів з нульовим розголошенням для Bitcoin

Враховуючи консервативний характер розвитку спільноти Bitcoin, найбільш реалістичним шляхом впровадження технології нульового розголошення в мережу Bitcoin, ймовірно, буде повторна активація OP_CAT — операційного коду з дев'яти рядків, написаного Сатоші.

Елі Бен-Сассон сказав: «Спочатку Сатоші додав OP_CAT, а потім видалив його. Якщо цей операційний код буде відновлено, розробники зможуть реалізувати функції STARK-доказів, агрегації підписів та пост-квантової безпеки».

«Я вважаю, що це найкращий і найбезпечніший варіант, який може знову запустити технічний напрямок, започаткований Сатоші, який він хотів продовжувати.»

Хоча 12-24 місяці тому на ринку була хвиля обговорень OP_CAT, останнім часом імпульс значно знизився (хоча напрямок управління спільнотою Bitcoin завжди важко передбачити).

Існують також більш перспективні пропозиції, такі як OP_STARK_VERIFY, який пропонує додати спеціалізований операційний код, що дозволить Bitcoin більш ефективно перевіряти STARK-докази. Крім того, співавтор BIP-360 Ітан Гейлмен запропонував протокол BitZip, спрямований на агрегацію кількох підписів і відкритих ключів Bitcoin в один STARK-доказ.

Раніше цього року Гейлмен сказав Cointelegraph, що для досягнення мети є два основні технічні шляхи: «Перший варіант — додати в Bitcoin набір універсальних операційних кодів, на основі яких побудувати архітектуру, подібну до ZK Rollup; або безпосередньо забезпечити рідну підтримку STARK на рівні консенсусу Bitcoin. Крім того, такі рішення з обмеженою продуктивністю, як CISA (агрегація підписів між входами), також можуть відіграти певну роль.»

Наскільки ймовірний цей шлях?

Марін Івезіч вважає, що перешкода не в технічних можливостях, а в управлінні спільнотою Bitcoin.

Він сказав: «Сама криптографічна схема, запропонована Елі Бен-Сассоном, бездоганна: повністю базується на хеш-припущеннях, не потребує довіреної установки і може стиснути тисячі підписів в один короткий доказ. Всі труднощі пов'язані з супутніми компонентами поза цією криптографічною схемою.»

«Поточний скрипт Bitcoin ще не здатний перевіряти STARK-докази. Порівняно з одним компактним операційним кодом для хеш-підпису, повноцінна програма перевірки STARK значно розширить поверхню атаки на рівні консенсусу. Навіть такий простий операційний код, як OP_CAT, обговорювався роками, тому рідна підтримка верифікатора STARK на нижньому рівні, швидше за все, не стане на порядок денний раніше 2030-х років.»

Тим часом Ethereum планує завершити пост-квантове оновлення до 2029 року, а Solana також експериментує зі впровадженням пост-квантових підписів. Дорожня карта третьої фази StarkNet для квантової стійкості може скористатися перевагою абстракції облікового запису: при оновленні основної криптографічної системи не потрібно, щоб кожен користувач вручну переводив активи на нові гаманці.

На основі цього Елі Бен-Сассон зазначив, що пост-квантове оновлення Solana та Ethereum буде «надзвичайно складним».

«StarkNet має ключову перевагу: мережа рідно підтримує абстракцію облікового запису та розумні гаманці. Це означає, що відповідні механізми не закріплені в базовому протоколі, і ми можемо легко оновити гаманці та інфраструктуру для досягнення квантової стійкості.»