Квантовые мины для Bitcoin: вор должен рисковать собственными монетами

Разработчик Bitcoin Кори Филдс предложил необычную защиту от будущих квантовых воров, а именно сделать так, чтобы каждая попытка забрать чужие монеты стоила злоумышленнику его собственных. Идею он изложил в рассылке разработчиков 4 ноября и сам называет её "мысленным экспериментом", а не готовым обновлением. О "квантовых минах" написали CoinDesk и Decrypt, потому что квантовая угроза давно вышла за рамки академических споров.

Чем квантовые компьютеры пугают владельцев биткоина?

Чтобы понять суть, стоит вспомнить, как работают кошельки. Владелец подписывает транзакцию секретным приватным ключом, а сеть проверяет подпись по публичному ключу и самого секрета не видит. Обычные компьютеры не могут вычислить приватный ключ из публичного. Достаточно мощный квантовый компьютер сделал бы это с помощью алгоритма Шора, и тогда вор тратил бы чужие монеты так, будто они его.

Риск разный для разных адресов. У части старых форматов публичный ключ виден в блокчейне сразу, у новых он скрыт до первой траты. Момент появления такого компьютера исследователи называют Q-Day. Рабочей машины, которая ломает Bitcoin, пока никто не показал, а точных сроков не знает никто.

Тема не новая для отрасли. Coinbase ранее призвала готовить Bitcoin к квантовым компьютерам, а девять компаний создали Quantum Alliance из-за 6 млн BTC, которые могут оказаться под угрозой. Большинство обсуждаемых планов сводится к миграции на новые типы адресов. Идея Филдса заметна именно тем, что ищет ответ для монет, которые уже никто не перенесёт.

Как работает "квантовая мина"?

Представим владельца, который держит 1 BTC на старом уязвимом адресе. До Q-Day он создаёт крошечный отдельный выход в квантостойком формате и прячет в нём доказательство того, что контролировал исходный приватный ключ, когда квантовая кража ещё была невозможна. Снаружи это обычный мелкий выход. Никто не видит ни доказательства, ни того, что это ловушка.

• Попытка кражи: злоумышленник восстанавливает приватный ключ и хочет потратить 1 BTC, но по правилам обязан добавить собственный 1 BTC из квантостойкого кошелька как залог.
• Обе суммы попадают в ограниченный выход на 2 BTC, который нельзя свободно потратить в течение периода оспаривания (в примере Филдса это 30 дней).
• Владелец замечает транзакцию и раскрывает доказательство. Сеть позволяет ему перевести все 2 BTC на безопасный адрес, зафиксированный заранее.
• Вор не знает, на каких старых адресах заложены мины, поэтому даже удачная атака может закончиться потерей 1 BTC.

Что делать с брошенными кошельками?

Для адресов, которые выглядят брошенными, мина не подходит, потому что оспаривать кражу некому. Поэтому Филдс описал ещё два механизма. В аукционе со ставкой кто-то заранее блокирует квантостойкие монеты и тайно регистрирует заявку против конкретного старого кошелька. Если атакующий попытается забрать, скажем, 50 BTC и внесёт ещё 50 BTC залога, заявитель может оспорить попытку и получить часть залога. Сами уязвимые монеты уничтожаются, а не достаются заявителю, ведь цель в том, чтобы лишить вора гарантированной выгоды.

Третья идея, аукцион на сатоши, обходится без предварительной ставки. Попытка потратить уязвимые монеты запускает состязание, где победитель забирает их за вычетом своего предложения, а занявший второе место платит свою ставку и ничего не получает. Это напоминает известную игру, где оба участника поднимают цену, потому что не хотят остаться ни с чем. Разумный вор не станет запускать торги, которые могут стоить больше добычи.

Почему бы просто не заморозить старые кошельки?

Другой подход предполагает дедлайн миграции: после определённой даты тратить с устаревших адресов нельзя. Это остановило бы воров, но навсегда закрыло бы доступ законным владельцам, не успевшим перенести монеты. Филдс ищет компромисс. Старые монеты остаются доступными, но каждая попытка их сдвинуть дорога и открыта для оспаривания. Bitcoin не отличит честного владельца от квантового вора, если оба показывают одинаково действительную подпись.

У компромисса есть цена. Честному владельцу, чтобы переместить свои старые монеты после Q-Day, тоже понадобится залог, а без свободных BTC это проблема. Мины не спасут ключи, которые уже потеряны, например часть ранних кошельков, считающихся недоступными. Неактивные владельцы могут не успеть возразить, и правила аукциона сожгут монеты людей, которые живы, но временно офлайн.

Наша оценка проста. Предложение полезно как способ подумать о проблеме, но требует от владельцев действовать заранее, а миллионы людей не следят за рассылками разработчиков.

Что должно произойти, чтобы это заработало?

Пока почти ничего. Реализации, графика активации или расчёта выплат Филдс не опубликовал, а в его письме даже не решено, каким должен быть итог аукциона. Сначала Bitcoin нужен квантостойкий способ хранить и тратить средства. Затем кошельки должны научиться скрывать доказательства владения, а правила консенсуса принудительно требовать залог, паузы, специальные транзакции восстановления и сами торги. Автор считает, что часть механизмов можно внедрить мягким форком, но детального дизайна не привёл.

Разработчикам ещё нужно договориться о дате активации, размере залога и судьбе проигравших ставок. Даже скромные изменения правил Bitcoin обычно проходят годы обсуждений и тестов, поэтому идеи такого масштаба сначала должны пережить критику и экспериментальные реализации. Сегодня никакая защита от Q-Day в Bitcoin не действует. Тем, кто не хочет ждать решений разработчиков и просто хочет изменить позицию, доступен обычный путь, а именно обменять Bitcoin на доллары по лучшему курсу среди проверенных обменников.