A proposta de congelar as moedas de bitcoin vulneráveis à computação quântica sempre carregou um asterisco.
BIP-361, publicado em abril por Jameson Lopp e cinco coautores, bloquearia novos depósitos em endereços vulneráveis após três anos e congelaria o que restasse após cinco, deixando moedas presas em mais de um terço da oferta de bitcoin, incluindo os aproximadamente 1,1 milhão de BTC atribuídos ao criador pseudônimo Satoshi Nakamoto.
Uma etapa posterior desse plano prometeu um caminho de recuperação usando provas de conhecimento zero, uma tecnologia que permite a alguém provar a outra pessoa que conhece um fato sem nunca revelá-lo.
A equipe de pesquisa quântica Project Eleven afirma que agora construiu exatamente isso e tornou-o rápido o suficiente para uso.
O Q-Day é um ponto teórico em que um computador quântico poderia derivar uma chave privada a partir de uma chave pública, permitindo que um atacante assine transações de qualquer endereço cuja chave pública já tenha sido exposta.
Mais de 34% de todo o bitcoin está nessa categoria, segundo o BIP-361. Após o Q-Day, uma assinatura não provaria nada, pois o atacante pode produzir uma tão facilmente quanto o proprietário. A cadeia não consegue distingui-las.
As assinaturas de bitcoin dependem da criptografia de curva elíptica, um sistema no qual uma chave privada gera uma chave pública por meio de uma operação matemática que funciona apenas em uma direção. Qualquer pessoa pode verificar a chave pública, mas ninguém pode retroceder para descobrir a chave privada. No entanto, o algoritmo de Shor, um método quântico publicado em 1994 para problemas que computadores comuns não conseguem resolver, pode receber uma chave pública e retornar a chave privada que a gerou.
Hashing é um tipo diferente de problema. Um hash embaralha uma entrada em uma impressão digital de comprimento fixo e não pode ser executado para trás, e o melhor ataque quântico contra ele, chamado algoritmo de Grover, apenas reduz pela metade o expoente em vez de colapsá-lo, reduzindo um hash de 256 bits de 2^256 tentativas para 2^128.
Isso ainda é mais palpites do que uma máquina fazendo um bilhão por segundo conseguiria processar durante a vida do universo.
Carteiras modernas são construídas com base em hashing. Uma carteira gera endereços em uma árvore, derivando cada chave a partir de seu pai, e um passo de derivação "endurecido" passa a chave privada do pai através do HMAC-SHA512 para produzir a chave filha.
Essa é uma função unidirecional. Um atacante que quebra um endereço após o Q-Day acaba segurando exatamente a chave mantida e não pode subir a árvore até a chave da qual ela veio.
Project Eleven e Jim Posen, desenvolvedor principal do sistema de prova Binius, construíram uma prova de conhecimento zero em torno dele.
O usuário prova que conhece o material da chave localizado acima do endereço na árvore de derivação da carteira, que deriva o endereço em questão, e vincula a prova a uma mensagem específica, para que a mesma prova possa autorizar a transação de migração. Nenhum dos materiais da chave é divulgado.
Os benchmarks são o que torna isso interessante. Em um MacBook Air M5, gerar a prova leva 243 milissegundos em quatro núcleos, a verificação leva 40 milissegundos e tudo isso utiliza cerca de 2 gigabytes de memória e nenhuma GPU. Não há configuração confiável.
O Project Eleven executa em 910 milissegundos apenas na CPU, contando a construção do circuito, a geração da prova e a autoverificação, o que o coloca 16 vezes mais rápido. Excluindo a configuração única, que um provador real construiria uma vez e reutilizaria, a diferença aumenta para cerca de 60 vezes.
Isso traz de volta a Satoshi. Todo o truque depende da existência de uma chave associada ao endereço do usuário para provar o conhecimento dela, e essa estrutura em árvore foi introduzida com o BIP-32, que foi atribuído em 11 de fevereiro de 2012.
Antes disso, como o próprio documento do Bitcoin afirma, as carteiras geravam cada chave de forma independente e aleatória.
Satoshi minerado entre 2009 e 2010 e desaparecido até 2011. Essas moedas estão em saídas pay-to-public-key com a chave pública escrita diretamente na blockchain, geradas por software que não tinha frase semente, nenhum caminho de derivação e nenhuma chave pai. Não há nada acima delas em uma árvore, porque árvores ainda não existiam.
O mesmo intervalo se aplica a cada outra carteira pré-2012, que representa uma parcela significativa do bitcoin mais antigo e mais inativo, cuja população exata foi abordada no BIP-361.
Assim, a empresa reconheceu que o protótipo não foi auditado, suporta três tipos de endereços Bitcoin em vez de Taproot, fundamenta a prova na chave do tipo de moeda em vez da semente e não recupera nada em nenhuma blockchain ao vivo até hoje.
Mas a forma do argumento muda. Lopp disse claramente que não gosta do BIP-361 e o escreveu porque prefere a alternativa menos, e a objeção mais forte a ele foi que congelar moedas quebra a promessa do bitcoin de propriedade permanente.
Essa objeção assume que o congelamento é definitivo. Uma prova de recuperação funcional transforma o congelamento em um bloqueio, e não em uma queima, e entrega a chave a qualquer pessoa que ainda detenha sua frase semente.
Satoshi nunca teve um.