Загроза для Bitcoin з боку квантових комп’ютерів: технічний міф чи реальна проблема?

Поширена думка про те, що квантові комп’ютери становлять загрозу для шифрування Bitcoin, базується на неправильному розумінні архітектури мережі. Насправді Bitcoin не ґрунтується на безпеці за рахунок зашифрованих секретів, збережених у blockchain – посилання на цю проблему зустрічається у багатьох технічних дослідженнях, але рідко доходить до свідомості ширшої аудиторії. Замість цього справжнє виклик стосується цифрових підписів і відкритих ключів, які є реальним вектором атаки для теоретичної квантової загрози.

Де полягає справжня загроза?

Змішування шифрування з системою цифрових підписів є джерелом більшості дезінформації про quantum-ready Bitcoin. Blockchain — це публічно доступна книга записів — кожна транзакція, сума і адреса видимі всім. У цій системі нічого не зашифровано у традиційному сенсі.

Безпека Bitcoin базується на двох стовпах: системах підписів (ECDSA і Schnorr) та функціях хешування (hashing). Ці механізми гарантують контроль над парами ключів, але не захищають інформацію за допомогою шифрування. Якби квантовий комп’ютер достатньо просунутий, щоб запустити алгоритм Шора, він міг би вивести приватний ключ із відкритого ключа, оприлюдненого у blockchain. Це було б фальсифікацією авторизації, а не розшифруванням.

Мапування реальної експозиції: що ми знаємо сьогодні?

Уразливість не проявляється рівномірно у всій мережі. Багато форматів адрес передбачають скорочення відкритого ключа — сирий відкритий ключ залишається прихованим до моменту створення транзакції. Це звужує часовий вікно для потенційного зловмисника.

Project Eleven проводить щотижневе сканування і публікує «Bitcoin Risq List», щоб відстежувати адреси з відкритими ключами. Поточні оцінки вказують приблизно на 6,7 мільйона BTC на адресах, що відповідають критеріям квантової експозиції. Це є орієнтиром для всього аналізу ризиків.

Інші типи скриптів, особливо Taproot (P2TR), відкривають 32-байтовий змінений відкритий ключ безпосередньо у вихідному коді. Це змінює профіль експозиції, але не створює нову уразливість сьогодні — стане ключовим лише тоді, коли з’являться криптографічно релевантні машини.

Обчислювальний вимір проблеми: скільки кубітів потрібно?

Дослідження вказують на чіткі, вимірювані цілі. Щоб обчислити приватний ключ 256-бітної кривої еліптичних кривих, потрібно близько 2330 логічних кубітів (посилання: Roetteler et al.). Перетворення цього у практичну машину вимагає мільйонів фізичних кубітів через корекцію помилок.

Оцінки 2023 року свідчать про:

• ~6,9 мільйона фізичних кубітів для оцінки ключа приблизно за 10 хвилин (модель Літінського)
• ~13 мільйонів фізичних кубітів для зламу за один день
• ~317 мільйонів фізичних кубітів для цілі в часовому вікні в одну годину

Архітектурні рішення щодо часу, рівня помилок і реалізації корекції помилок можуть значно змінити реальні витрати.

Алгоритм Гровера: менш небезпечний ніж Шор

Коли мова йде про функції хешування, з’являється алгоритм Гровера. Він забезпечує лише прискорення пошуку методом квадратного кореня, а не тип переривання дискретного логарифму, яке досягає Шор. Для предобразів SHA-256 ціль залишається на рівні 2^128 роботи — навіть після квантової оптимізації. Це не порівнюється з загрозою для еліптичних кривих.

Як Bitcoin може адаптуватися?

Квантова загроза — це передусім виклик міграції, а не технічна катастрофа. NIST вже стандартизує пост-квантові примітиви, такі як ML-KEM (FIPS 203). Bitcoin-спільнота обговорює пропозиції, такі як BIP 360, що пропонує «Pay to Quantum Resistant Hash».

Ключові обмеження міграції — пропускна здатність, зберігання та транзакційні збори. Пост-квантові підписи мають розмір кілька кілобайтів замість десятків байт. Це змінює економіку ваги транзакцій і досвід користувача гаманця.

Недавні звіти вказують, що корпорації, такі як IBM, оцінюють шлях до системи, стійкої до помилок, приблизно на 2029 рік. Це свідчить, що часовий вікон для адаптації — роки, а не місяці.

Справжній напрямок підготовки

Елементи, що дійсно мають значення: яка частина набору UTXO має відкриті ключі, як поведінка гаманця реагує на цю експозицію, і наскільки швидко мережа може прийняти стратегії витрат, стійкі до квантів, зберігаючи валідність і стабільність ринку зборів.

Повторне використання адреси збільшує часовий вікно експозиції — майбутні надходження на той самий адрес залишаються оприлюдненими. Навпаки, проєкти гаманців можуть зменшити ризик за допомогою правильного управління адресами і ранньої міграції до пост-квантових форматів.

Загроза з боку квантових комп’ютерів для Bitcoin не є вигадкою, але її характер суттєво відрізняється від того, що пропонувала б популярна наративна. Це не питання зламу шифрування, а вимога до координації еволюції екосистеми, де посилання для кожного рішення має базуватися на вимірюваних даних щодо актуальної експозиції мережі.