La propuesta para congelar las monedas de bitcoin vulnerables a la computación cuántica siempre ha llevado un asterisco.
BIP-361, publicado en abril por Jameson Lopp y cinco coautores, bloquearía nuevos depósitos en direcciones vulnerables después de tres años y congelaría lo que quedara después de cinco, atrapando bitcoins en más de un tercio de la oferta de bitcoin, incluyendo las aproximadamente 1.1 millones de BTC atribuidas al creador pseudónimo Satoshi Nakamoto.
Un paso posterior de ese plan prometió una vía de recuperación utilizando pruebas de conocimiento cero, una tecnología que permite a alguien demostrar a otra persona que conoce un hecho sin revelarlo nunca.
La organización de investigación cuántica Project Eleven dice que ahora ha construido exactamente eso y lo ha hecho lo suficientemente rápido como para usarlo.
Q-Day es un punto teórico en el que una computadora cuántica podría derivar una clave privada a partir de una clave pública, permitiendo a un atacante firmar transacciones desde cualquier dirección cuya clave pública haya estado expuesta alguna vez.
Más del 34% de todo el bitcoin se encuentra en esa categoría, según BIP-361. Después del Q-Day, una firma no probaría nada porque el atacante puede producirla tan fácilmente como el propietario. La cadena no puede distinguirlas.
Las firmas de bitcoin se basan en la criptografía de curva elíptica, un sistema en el que una clave privada genera una clave pública mediante operaciones matemáticas que solo funcionan en una dirección. Cualquiera puede verificar la clave pública, pero nadie puede retroceder hasta la clave privada. Sin embargo, el algoritmo de Shor, un método cuántico publicado en 1994 para problemas que las computadoras ordinarias no pueden resolver, puede recibir una clave pública y devolver la clave privada que la generó.
El hashing es un tipo diferente de problema. Un hash mezcla una entrada en una huella dactilar de longitud fija y no puede ejecutarse hacia atrás, y el mejor ataque cuántico sobre él, llamado algoritmo de Grover, solo reduce a la mitad el exponente en lugar de colapsarlo, llevando un hash de 256 bits de 2^256 intentos a 2^128.
Eso sigue siendo más intentos de los que una máquina que haga mil millones por segundo podría completar en la vida útil del universo.
Los monederos modernos se construyen sobre funciones de hash. Un monedero genera direcciones en un árbol, derivando cada clave de su padre, y un paso de derivación "endurecida" pasa la clave privada del padre a través de HMAC-SHA512 para producir la clave hija.
Esa es una función unidireccional. Un atacante que comprometa una dirección después del Día Q terminará poseyendo exactamente la clave que se tenía, y no podrá ascender por el árbol hasta la clave de la que proviene.
Project Eleven y Jim Posen, desarrollador principal del sistema de prueba Binius, construyeron una prueba de conocimiento cero alrededor de ella.
El usuario demuestra que conoce el material clave ubicado por encima de su dirección en el árbol de derivación del monedero, que este material deriva la dirección en cuestión y vincula la prueba a un mensaje específico, para que la misma prueba autorice la transacción de migración. Ninguno de los materiales clave se revela.
Los puntos de referencia son lo que lo hacen interesante. En un MacBook Air M5, generar la prueba toma 243 milisegundos en cuatro núcleos, la verificación toma 40 milisegundos y todo el proceso utiliza aproximadamente 2 gigabytes de memoria y ninguna GPU en absoluto. No hay configuración de confianza.
Project Eleven se ejecuta en 910 milisegundos solo en la CPU, contando la construcción del circuito, la generación de la prueba y la autoverificación, lo que lo coloca 16 veces más rápido. Excluyendo la configuración inicial, que un prover real construiría una sola vez y reutilizaría, la diferencia se amplía a aproximadamente 60 veces.
Lo que lo devuelve a Satoshi. Todo el truco depende de que exista una clave asociada a la dirección de un usuario para demostrar conocimiento de ella, y que la estructura de árbol llegó con el BIP-32, que fue asignado el 11 de febrero de 2012.
Antes de ello, como la propia documentación de Bitcoin lo expresa, los monederos generaban cada clave de forma independiente y aleatoria.
Satoshi minado entre 2009 y 2010 y desapareció para 2011. Esas monedas se encuentran en salidas pay-to-public-key con la clave pública escrita directamente en la cadena, generadas por software que no tenía frase semilla, ninguna ruta de derivación ni clave principal. No hay nada por encima de ellas en un árbol, porque los árboles aún no existían.
El mismo hueco se aplica a cada otro monedero anterior a 2012, que representa una parte significativa del bitcoin más antiguo y más inactivo, cuya población exacta fue descrita en el BIP-361.
Como tal, la empresa reconoció que el prototipo no ha sido auditado, admite tres tipos de direcciones de bitcoin en lugar de Taproot, fundamenta la prueba en la clave del tipo de moneda en lugar de la semilla, y no recupera nada en ninguna cadena de bloques en vivo hasta la fecha.
Pero la forma del argumento cambia. Lopp ha dicho claramente que no le gusta BIP-361 y lo escribió porque prefiere menos la alternativa, y la objeción más fuerte contra él ha sido que congelar monedas rompe la promesa de bitcoin de propiedad permanente.
Esa objeción asume que la congelación es definitiva. Una prueba de recuperación funcional convierte la congelación en un bloqueo en lugar de una quema, y entrega la clave a cualquier persona que aún posea su frase semilla.
Satoshi nunca tuvo uno.