La proposition de geler les bitcoins vulnérables à la quantique a toujours comporté une astérisque.
BIP-361, publié en avril par Jameson Lopp et cinq co-auteurs, bloquerait les nouveaux dépôts sur les adresses vulnérables après trois ans et geleraient ce qui resterait après cinq ans, piégeant des bitcoins dans plus d'un tiers de l'offre de bitcoin, y compris les environ 1,1 million de BTC attribués au créateur pseudonyme Satoshi Nakamoto.
Une étape ultérieure de ce plan promettait un chemin de récupération utilisant des preuves à divulgation nulle de connaissance, une technologie qui permet à une personne de prouver à une autre qu'elle connaît un fait sans jamais le révéler.
L'organisme de recherche quantique Project Eleven affirme avoir désormais construit exactement cela, et l'avoir rendu suffisamment rapide pour être utilisé.
Le Q-Day est un point théorique où un ordinateur quantique pourrait dériver une clé privée à partir d'une clé publique, permettant à un attaquant de signer des transactions depuis n'importe quelle adresse dont la clé publique a déjà été exposée.
Plus de 34 % de tous les bitcoin sont dans cette catégorie, selon le BIP-361. Après le Jour-Q, une signature ne prouverait rien car l'attaquant peut en produire une aussi facilement que le propriétaire. La chaîne ne peut pas les distinguer.
Les signatures bitcoin reposent sur la cryptographie à courbe elliptique, un système dans lequel une clé privée génère une clé publique grâce à des calculs qui ne fonctionnent que dans un seul sens. Tout le monde peut vérifier la clé publique, mais personne ne peut remonter à la clé privée. Toutefois, l'algorithme de Shor, une méthode quantique publiée en 1994 pour résoudre des problèmes que les ordinateurs classiques ne peuvent pas casser, peut être alimenté avec une clé publique et retourner la clé privée qui l'a générée.
Le hachage est un problème différent. Un hachage transforme une entrée en une empreinte de longueur fixe et ne peut pas être exécuté à l'envers, et la meilleure attaque quantique contre celui-ci, appelée algorithme de Grover, ne divise que l'exposant par deux au lieu de le faire s'effondrer, réduisant un hachage de 256 bits de 2^256 essais à 2^128.
C’est encore plus de tentatives qu’une machine effectuant un milliard par seconde ne pourrait en accomplir durant la durée de vie de l’univers.
Les portefeuilles modernes sont construits sur le hachage. Un portefeuille génère des adresses sous forme d'arbre, dérivant chaque clé à partir de son parent, et une étape de dérivation « renforcée » fait passer la clé privée du parent à travers HMAC-SHA512 pour produire la clé enfant.
C'est une fonction à sens unique. Un attaquant qui compromet une adresse après le jour Q se retrouve avec exactement la clé détenue, et ne peut pas remonter l'arbre jusqu'à la clé dont elle provient.
Project Eleven et Jim Posen, développeur principal du système de preuve Binius, ont construit une preuve à divulgation nulle de connaissance autour de celui-ci.
L'utilisateur prouve qu'il connaît le matériel clé situé au-dessus de son adresse dans l'arbre de dérivation du wallet, qu'il dérive l'adresse en question, et lie la preuve à un message spécifique, afin que la même preuve puisse autoriser la transaction de migration. Aucun des éléments clés n'est divulgué.
Les références sont ce qui rend cela intéressant. Sur un MacBook Air M5, la génération de la preuve prend 243 millisecondes sur quatre cœurs, la vérification prend 40 millisecondes, et l'ensemble utilise environ 2 gigaoctets de mémoire et aucune GPU du tout. Il n'y a pas de configuration de confiance.
Project Eleven s'exécute en 910 millisecondes uniquement sur le CPU, en comptant la construction du circuit, la génération de la preuve et l'auto-vérification, ce qui le place à 16 fois plus rapide. Excluant la configuration unique, que un vérificateur réel construirait une seule fois et réutiliserait, l'écart s'élargit à environ 60 fois.
Cela ramène à Satoshi. Tout le mécanisme repose sur l'existence d'une clé associée à l'adresse d'un utilisateur pour prouver sa connaissance, et cette structure d'arbre a été introduite avec le BIP-32, qui a été attribué le 11 février 2012.
Avant cela, comme le document officiel de Bitcoin le dit, les wallets généraient chaque clé de manière indépendante et aléatoire.
Satoshi a été miné entre 2009 et 2010 et a disparu d'ici 2011. Ces pièces sont stockées dans des sorties pay-to-public-key avec la clé publique écrite directement sur la chaîne, générées par un logiciel qui n'avait ni phrase secrète, ni chemin de dérivation, ni clé parente. Il n'y a rien au-dessus d'elles dans un arbre, car les arbres n'existaient pas encore.
Le même écart s'applique à chaque autre wallet antérieur à 2012, ce qui représente une part significative des bitcoin les plus anciens et les plus inactifs, dont la population exacte a été décrite dans le BIP-361.
Ainsi, l'entreprise a reconnu que le prototype n'a pas été audité, prend en charge trois types d'adresses Bitcoin au lieu de Taproot, ancre la preuve à la clé de type pièce plutôt qu'au seed, et ne récupère rien sur aucune blockchain en direct à ce jour.
Mais la forme de l'argument change. Lopp a clairement déclaré qu'il n'aime pas BIP-361 et l'a rédigé parce qu'il préfère moins l'alternative, et la plus forte objection à ce dernier est que le gel des pièces brise la promesse de bitcoin d'une propriété permanente.
Cet objection suppose que le gel est définitif. Une preuve de récupération fonctionnelle transforme le gel en verrouillage plutôt qu'en destruction, et remet la clé à toute personne qui détient toujours sa phrase secrète.
Satoshi n'en a jamais eu.