Предложение заморозить биткоин-монеты, уязвимые к квантовым атакам, всегда сопровождалось звёздочкой.
BIP-361, опубликованный в апреле Джеймсоном Лоппом и пятью соавторами, заблокировал бы новые депозиты на уязвимые адреса через три года и заморозил бы оставшиеся средства через пять, оставив монеты более чем в трети предложения биткоина, включая примерно 1,1 миллиона BTC, приписываемых псевдонимному создателю Сатоши Накамото.
На более позднем этапе этого плана обещали путь восстановления с использованием доказательств с нулевым разглашением — технологии, позволяющей одному человеку доказать другому, что он знает факт, не раскрывая его.
Исследовательская организация Project Eleven заявляет, что теперь она создала именно это и сделала достаточно быстрым для использования.
Q-Day — это теоретическая точка, при которой квантовый компьютер сможет получить закрытый ключ из открытого ключа, позволяя злоумышленнику подписывать транзакции от любого адреса, открытый ключ которого когда-либо был раскрыт.
Более 34% всего bitcoin находятся в этой категории, согласно BIP-361. После Q-Day подпись ничего не докажет, поскольку злоумышленник может создать её так же легко, как и владелец. Цепочка не может их различить.
Подписи bitcoin основаны на криптографии с использованием эллиптических кривых — системе, в которой частный ключ генерирует публичный ключ с помощью математических операций, работающих только в одну сторону. Любой может проверить публичный ключ, но никто не может восстановить частный ключ в обратном порядке. Однако алгоритм Шора, квантовый метод, опубликованный в 1994 году для решения задач, которые обычные компьютеры не могут взломать, может быть подан на вход с публичным ключом и вернуть частный ключ, который его сгенерировал.
Хеширование — это другой тип задачи. Хеш преобразует входные данные в фиксированной длины отпечаток и не может быть выполнен в обратном порядке, а лучшая квантовая атака на него, называемая алгоритмом Гровера, лишь уменьшает показатель степени вдвое, а не уничтожает его, снижая количество попыток для хеша длиной 256 бит с 2^256 до 2^128.
Это всё ещё больше предположений, чем машина, делающая миллиард в секунду, смогла бы перебрать за всю жизнь вселенной.
Современные кошельки построены на хешировании. Кошелек генерирует адреса в виде дерева, производя каждый ключ из родительского, а шаг «закрепленного» вывода передает частный ключ родителя через HMAC-SHA512 для получения дочернего ключа.
Это односторонняя функция. Атакующий, который взломает адрес после Q-Day, окажется с точно таким же ключом, но не сможет подняться по дереву к ключу, из которого он был получен.
Project Eleven и Джим Позен, ведущий разработчик системы доказательств Binius, создали доказательство с нулевым разглашением на его основе.
Пользователь доказывает, что знает ключевой материал, расположенный выше его адреса в дереве вывода кошелька, что этот материал порождает указанный адрес, и связывает доказательство с конкретным сообщением, чтобы такое же доказательство могло авторизовать транзакцию миграции. Ни один из ключевых элементов не раскрывается.
Бенчмарки именно то, что делает это интересным. На M5 MacBook Air генерация доказательства занимает 243 миллисекунды на четырех ядрах, проверка занимает 40 миллисекунд, а весь процесс использует около 2 гигабайт памяти и вообще не задействует GPU. Ненадежная настройка отсутствует.
Проект Eleven выполняется за 910 миллисекунд исключительно на ЦП, включая построение схемы, генерацию доказательства и самопроверку, что делает его в 16 раз быстрее. Исключая одноразовую настройку, которую реальный доказывающий строит один раз и повторно использует, разрыв увеличивается примерно до 60 раз.
Это возвращает нас к Сатоши. Всё это зависит от наличия ключа, связанного с адресом пользователя, для подтверждения знания его секрета, а древовидная структура появилась с BIP-32, который был назначен 11 февраля 2012 года.
Раньше, как сама документация Bitcoin говорит, кошельки генерировали каждый ключ независимо и случайным образом.
Сатоши был добыт в 2009 и 2010 годах и исчез к 2011 году. Эти монеты находятся в выходах типа pay-to-public-key, где открытый ключ записан непосредственно в блокчейне, и сгенерированы программным обеспечением, не имеющим seed-фразы, пути вывода и родительского ключа. Над ними ничего нет в дереве, потому что деревья еще не существовали.
Тот же разрыв применим к каждому другому кошельку до 2012 года, что составляет значительную долю самых старых и наиболее бездействующих bitcoin, точная популяция, о которой писалось в BIP-361.
В связи с этим компания признала, что прототип не прошел аудит, поддерживает три типа адресов bitcoin, а не Taproot, основывает доказательство на ключе типа монеты, а не на семени, и на сегодняшний день не восстанавливает ничего на каком-либо живом блокчейне.
Но форма аргумента меняется. Лопп прямо заявил, что ему не нравится BIP-361, и он написал его, потому что предпочитает альтернативу меньше, и самым громким возражением против него стало то, что заморозка монет нарушает обещание bitcoin о постоянной собственности.
Это возражение предполагает, что заморозка является окончательной. Рабочее доказательство восстановления превращает заморозку в блокировку, а не в уничтожение, и передаёт ключ всем, кто всё ещё хранит свою seed-фразу.
У Сатоши никогда не было одного.