Стаття Google Quantum AI скорочує термін квантової загрози для bitcoin та ethereum

Білі книжка, опублікована 30 березня Google Quantum AI, значно скоротила оцінений термін, за який квантові комп’ютери зможуть зламати криптографію на основі еліптичних кривих, що забезпечує майже всі основні блокчейни — і криптоіндустрія намагається оцінити наслідки.

Статтю paper спільно написали дослідники Google Райан Баббуш і Гартмут Невен, а також дослідник Ethereum Foundation Джастін Дрейк та криптограф із Стенфорду Дан Боне. У ній робиться висновок, що для розбиття 256-бітної еліптичної кривої дискретної логарифмічної проблеми, що лежить в основі підписів транзакцій bitcoin і ethereum, знадобиться менше ніж 500 000 фізичних кюбітів — приблизно на 20 разів менше, ніж у попередніх оцінках, які встановлювали поріг у мільйони.

«Ми хочемо збільшити рівень обізнаності щодо цієї проблеми і надаємо криптовалютній спільноті рекомендації щодо покращення безпеки та стабільності до того, як це стане можливим», — написали дослідники Google wrote у супутньому блозі.

Біла книга розрізняє три класи квантових атак на блокчейни, кожна з яких спрямована на різні точки вразливості в життєвому циклі транзакцій.

Спочатку атаки «on-spend» спрямовані на транзакції, що перебувають у процесі виконання. Коли користувач розсилає транзакцію bitcoin, публічний ключ стає видимим у mempool. На швидкій квантовій архітектурі з використанням надпровідних або фотонних кюбітів у статті оцінюється, що визначення відповідного приватного ключа може зайняти близько дев’яти хвилин. Середній час підтвердження блоку bitcoin становить 10 хвилин, що надає атакувальнику вузький, але реальний проміжок часу для підписання шахрайської замінюючої транзакції та опередження оригінальної.

Друге, атаки «у спокої» спрямовані на неактивні гаманці, де публічні ключі вже постійно виставлені в ланцюжку. Ранні вихідні дані Bitcoin використовували скрипти Pay-to-Public-Key, які безпосередньо вбудовували публічні ключі, а повторне використання адрес посилило цю експозицію. У статті оцінюється, що приблизно 6,9 мільйона BTC зараз вразливі до цього типу атак, включаючи близько 1,7 мільйона монет з ери Сатоші. На відміну від атак під час витрат, тут немає обмежень за часом — будь-яка квантова машина може працювати з криптографією у власному темпі.

«Мінінг-прискорення за допомогою квантових технологій — це переважно побічна дія. Насправді екзистенційним вектором є крадіжка приватних ключів», — сказав Кейс Манай, CPO та співзасновник TEN Protocol, told The Defiant у лютому.

Нарешті, атаки «на налаштуванні» застосовуються саме до криптографічних церемоній, що лежать в основі систем, як Ethereum's Data Availability Sampling. Схема поліноміального зобов’язання KZG, використовувана у верифікації даних blob у Ethereum, ґрунтується на одноразовому довіреному налаштуванні, яке генерує таємний скаляр, призначений для знищення після цього. Квантовий комп’ютер зможе відновити цей таємний ключ із загальнодоступних параметрів, створюючи те, що автори статті називають постійною, повторно використовуваною експлуатацією, яка дозволяє підробляти докази доступності даних без додаткових квантових обчислень.

Біла книга визначає принаймні п’ять різних класів атак лише для ethereum.

Поза рівнем ризику гаманця — у статті зазначено, що приблизно 20,5 мільйона ETH зберігаються на акаунтах з відкритими ключами, які виставлені на публічний доступ — адміністративні ключі, що керують повноваженнями з випуску стейблкоїнів, ґрунтуються на тих самих вразливих підписах. У статті оцінюється, що приблизно $200 мільярдів стейблкоїнів і токенізованих активів на ethereum залежать від цих адміністративних ключів.

Консенсусний шар ethereum з доказом стейкінгу стикається з власними ризиками. Приблизно 37 мільйонів стейканих ETH автентифікуються за допомогою цифрових підписів, які, як вважається в статті, вразливі до квантових атак. У статті попереджається, що якщо використати концентрацію стейкінгу у великих пулах, поріг для порушення консенсусу значно зменшується.

Мережі рівня 2 створюють додаткові ризики. У статті оцінюється, що щонайменше 15 мільйонів ETH у великих ролапах та міжмережевих мостах піддаються ризику. Автори зазначають, що StarkNet, який використовує хеш-орієнтовану криптографію замість еліптично-кривої, відрізняється квантовою безпекою.

Спільнота скоро зіткнеться з важкими, безпрецедентними рішеннями щодо долі цих активів, що змусить зробити вибір між незмінністю криптографічних прав власності та економічною стабільністю мережі, — попереджається у статті.

У тому, що автори статті вважають першим випадком у квантовій криптоаналізі, Google не опублікував реальних квантових схем, використаних для досягнення своїх оптимізованих оцінок ресурсів. Натомість команда запустила свій симулятор схеми через SP1 Zero-Knowledge Virtual Machine і опублікувала доведення Groth16 zkSNARK, що дозволило стороннім сторонам перевірити зазначене зменшення ресурсів, не отримавши доступу до конкретних методів, необхідних для виконання атаки.

«Щоб відповідально поділитися цим дослідженням, ми взаємодіяли з урядом США та розробили новий метод опису цих вразливостей за допомогою доказу із нульовим розголошенням, щоб їх можна було перевірити, не надаючи дорожньої карти для зловмисників», — написали дослідники.

Папір з’явився через тиждень після того, як Ethereum Foundation запустила публічний ресурсний хаб, що об’єднує вісім років досліджень післяквантової криптографії у фазовий план міграції. План EF спрямований на оновлення основного протоколу Layer 1 до 2029 року за допомогою чотирьох послідовних форків, починаючи з надання валідаторам квантово-стійких резервних ключів і поступової заміни поточної схеми підпису BLS на альтернативи на основі хеш-функцій.

Bitcoin’s BIP-360, який пропонує квантово-стійкий вихідний тип Pay-to-Merkle-Root замість уразливого споживання за ключовим шляхом Taproot, був об’єднаний з офіційним репозиторієм BIP у лютому. Але ця пропозиція не вводить постквантові підписи — вона лише видаляє одну категорію відкритих ключів, що піддаються ризику. Повна криптографічна міграція вимагатиме значно більшої зміни протоколу.

Сама Google встановила термін 2029 року для переходу своїх служб аутентифікації та цифрових підписів на постквантову криптографію.

Можливо, найбільш політично зарядженим наслідком статті є активи, які не можна мігрувати — монети, заблоковані у гаманцях, приватні ключі яких втрачені, включаючи приблизно 1,1 мільйона BTC Сатоші Накамото, що знаходяться у ранніх вихідних даних P2PK. Ці монети не можуть добровільно бути переміщені до квантово-безпечних адрес.

Стаття представляє концепцію «цифрового врятування», засновану на аналогії з морським правом врятування, як потенційну модель управління для вирішення питання квантового відновлення цих активів. Вибір політичних рішень, що стоять перед галуззю, є чітким: чи провести хард-форк і знищити немігровані монети, встановити терміни міграції з періодами виведення з обмеженою швидкістю, чи дозволити суб’єктам, що мають квантові засоби, претендувати на неактивні активи.

У статті не стверджується, що сучасне квантове обладнання може виконувати ці атаки сьогодні — найпотужніший процесор Google, Willow, працює лише з 105 фізичними кюбітами, як The Defiant noted під час оголошення чіпу у грудні 2024 року.

Але траєкторія оптимізації є центральним аргументом: оцінки ресурсів для злому криптографії на основі еліптичних кривих знизилися приблизно на порядок виключно завдяки алгоритмічним покращенням, незалежно від масштабування апаратного забезпечення.

Для bitcoin та ethereum — двох мереж, які тримають величезну частину ринкової капіталізації криптовалют — питання вже не в тому, чи мігрувати, а в тому, чи зможуть процеси управління, що визначають ці протоколи, рухатися достатньо швидко.

«Цей документ безпосередньо спростовує кожний аргумент, який криптоіндустрія використовувала, щоб відкинути квантову загрозу», — сказав Алекс Прюден, генеральний директор і співзасновник Project Eleven, компанії з міграції післяквантової епохи, у листі до The Defiant.

Рішення для захисту цих мереж існує; питання в тому, чи почнуть решта індустрії та розробники основних протоколів будувати зараз, чи чекатимуть і страждатимуть наслідками», — зробив він висновок.

Цю статтю написано з використанням AI-воркфлоу. Усі наші матеріали кураторськи обробляються, редагуються та перевіряються на достовірність людиною.