Квантові міни для Bitcoin: крадій мусить ризикувати власними монетами

Розробник Bitcoin Корі Філдс запропонував незвичний захист від майбутніх квантових крадіїв, а саме зробити так, щоб кожна спроба забрати чужі монети коштувала зловмисникові його власних. Ідею він виклав у розсилці розробників 4 листопада й сам називає її "мисленнєвим експериментом", а не готовим оновленням. Про "квантові міни" написали CoinDesk і Decrypt, бо квантова загроза давно вийшла за межі академічних дискусій.

Чому квантові комп'ютери лякають власників біткоїна?

Щоб зрозуміти суть, варто згадати, як працюють гаманці. Власник підписує транзакцію секретним приватним ключем, а мережа перевіряє підпис за публічним ключем і самого секрету не бачить. Звичайні комп'ютери не здатні вирахувати приватний ключ із публічного. Достатньо потужний квантовий комп'ютер міг би це зробити за допомогою алгоритму Шора, і тоді крадій витрачав би чужі монети так, ніби вони його.

Ризик різний для різних адрес. У частини старих форматів публічний ключ видно в блокчейні одразу, у новіших його приховано до першої витрати. Момент появи такого комп'ютера дослідники називають Q-Day. Робочої машини, яка ламає Bitcoin, поки ніхто не показав, а точних термінів не знає ніхто.

Тема не нова для галузі. Coinbase раніше закликала готувати Bitcoin до квантових комп'ютерів, а дев'ять компаній створили Quantum Alliance через 6 млн BTC, які можуть опинитися під загрозою. Більшість обговорюваних планів зводиться до міграції на нові типи адрес. Ідея Філдса помітна саме тим, що шукає відповідь для монет, які вже ніхто не перенесе.

Як працює "квантова міна"?

Уявімо власника, який тримає 1 BTC на старій вразливій адресі. До Q-Day він створює крихітний окремий вихід у квантостійкому форматі й ховає в ньому доказ, що контролював початковий приватний ключ тоді, коли квантова крадіжка ще була неможливою. Ззовні це звичайний дрібний вихід. Ніхто не бачить ні доказу, ні того, що це пастка.

• Спроба крадіжки: зловмисник відновлює приватний ключ і хоче витратити 1 BTC, але правила вимагають додати власний 1 BTC із квантостійкого гаманця як заставу.
• Обидві суми потрапляють в обмежений вихід на 2 BTC, який не можна вільно витратити протягом періоду оскарження (у прикладі Філдса це 30 днів).
• Власник помічає транзакцію й розкриває доказ. Мережа дозволяє йому перенести всі 2 BTC на безпечну адресу, зафіксовану заздалегідь.
• Крадій не знає, на яких старих адресах заховано міни, тож навіть вдала атака може закінчитися втратою 1 BTC.

Що робити з покинутими гаманцями?

Для адрес, які виглядають покинутими, міна не підходить, бо оскаржувати крадіжку нікому. Тому Філдс описав ще два механізми. В аукціоні зі ставкою хтось заздалегідь блокує квантостійкі монети й таємно реєструє заявку проти конкретного старого гаманця. Якщо атакувальник спробує забрати, скажімо, 50 BTC і внесе ще 50 BTC застави, заявник може оскаржити спробу та отримати частину застави. Самі вразливі монети знищуються, а не дістаються заявникові, бо мета в тому, щоб відібрати в крадія гарантований зиск.

Третя ідея, аукціон на сатоші, обходиться без попередньої ставки. Спроба витратити вразливі монети запускає змагання, де переможець забирає їх за мінусом своєї пропозиції, а той, хто посів друге місце, платить свою ставку й нічого не отримує. Це нагадує відому гру, де обидва учасники підіймають ціну, бо не хочуть залишитися ні з чим. Розумний крадій не стане запускати торги, які можуть коштувати більше за здобич.

Чому б просто не заморозити старі гаманці?

Інший підхід передбачає дедлайн міграції: після певної дати витрачати з застарілих адрес не можна. Це зупинило б крадіїв, але назавжди закрило б доступ законним власникам, які не встигли перенести монети. Філдс шукає компроміс. Старі монети лишаються доступними, проте кожна спроба їх зрушити дорога й відкрита для оскарження. Bitcoin не відрізнить чесного власника від квантового злодія, якщо обидва показують однаково дійсний підпис.

У компромісу є ціна. Чесному власникові, щоб перемістити свої старі монети після Q-Day, теж знадобиться застава, а без вільних BTC це проблема. Міни не врятують ключі, які вже втрачено, наприклад частину ранніх гаманців, що вважають недоступними. Неактивні власники можуть не встигнути заперечити, і правила аукціону спалять монети людей, які живі, але тимчасово офлайн.

Наша оцінка проста. Пропозиція корисна як спосіб подумати про проблему, але вимагає від власників діяти наперед, а мільйони людей не стежать за розсилками розробників.

Що має статися, щоб це запрацювало?

Поки що майже нічого. Реалізації, графіка активації чи розрахунку виплат Філдс не опублікував, а в його листі навіть не вирішено, яким має бути результат аукціону. Спершу Bitcoin потребує квантостійкого способу зберігати й витрачати кошти. Потім гаманці мають навчитися приховувати докази власності, а правила консенсусу примусово вимагати заставу, паузи, спеціальні транзакції відновлення та самі торги. Автор вважає, що частину механізмів можна впровадити м'яким форком, але детального дизайну не навів.

Розробникам ще треба домовитися про дату активації, розмір застави й долю програних ставок. Навіть скромні зміни правил Bitcoin зазвичай проходять роки обговорень і тестів, тож ідеї такого масштабу спершу мають пережити критику й експериментальні реалізації. Сьогодні жоден захист від Q-Day у Bitcoin не діє. Тим, хто не хоче чекати рішень розробників і просто хоче змінити позицію, доступний звичайний шлях, а саме обміняти Bitcoin на долари за найкращим курсом серед перевірених обмінників.