A criptografia Bitcoin não corre risco nos computadores quânticos por uma razão simples: ela realmente não existe

Ao contrário da crença popular, os computadores quânticos não irão “quebrar” a criptografia do Bitcoin; em vez disso, qualquer ameaça realista concentrar-se-ia na exploração de assinaturas digitais ligadas a chaves públicas expostas.

Os computadores quânticos não podem descriptografar o Bitcoin porque ele não armazena segredos criptografados na cadeia.

A propriedade é imposta por assinaturas digitais e compromissos baseados em hash, não em texto cifrado.

O risco quântico que importa é o risco de falsificação de autorização.

Se um computador quântico criptograficamente relevante puder executar o algoritmo de Shor contra a criptografia de curva elíptica do Bitcoin, ele poderá derivar uma chave privada de uma chave pública na cadeia e então produzir uma assinatura válida para um gasto concorrente.

Grande parte do enquadramento “quântico quebra a criptografia do Bitcoin” é um erro de terminologia. Adam Back, desenvolvedor de Bitcoin de longa data e inventor do Hashcash, resumiu em X:

“Dica profissional para promotores de FUD quântico. Bitcoin não usa criptografia. Acerte o básico ou será revelador.”

Um separado publicar fez a mesma distinção de forma mais explícita, observando que um invasor quântico não “descriptografaria” nada, mas em vez disso usaria o algoritmo de Shor para derivar uma chave privada de uma chave pública exposta:

“Criptografia refere-se ao ato de ocultar informações para que apenas aqueles com uma chave possam lê-las. O Bitcoin não faz isso. O blockchain é um livro-razão público; para que qualquer pessoa possa ver todas as transações, todos os valores e todos os endereços. Nada é criptografado.”

Por que a exposição à chave pública, e não a criptografia, é o verdadeiro gargalo de segurança do Bitcoin

Os sistemas de assinatura do Bitcoin, ECDSA e Schnorr, são usados ​​para provar o controle sobre um par de chaves.

Nesse modelo, as moedas são retiradas através da produção de uma assinatura que a rede aceitará.

É por isso que a exposição à chave pública é o pivô.

A exposição de uma saída depende do que aparece na cadeia.

Muitos formatos de endereço comprometem-se com um hash de uma chave pública, de modo que a chave pública bruta não é revelada até que a transação seja gasta.

Isso reduz a janela para um invasor calcular uma chave privada e publicar uma transação conflitante.

Outros tipos de script expõem uma chave pública mais cedo, e a reutilização de endereço pode transformar uma revelação única em um alvo persistente.

Código aberto do Project Eleven Consulta “Lista Bitcoin Risq” define a exposição no nível do script e da reutilização.

Ele mapeia onde uma chave pública já está disponível para um possível invasor do Shor.

Por que o risco quântico é mensurável hoje, mesmo que não seja iminente

Taproot altera o padrão de exposição de uma forma que só importa se grandes máquinas tolerantes a falhas chegarem.

As saídas Taproot (P2TR) incluem uma chave pública ajustada de 32 bytes no programa de saída, em vez de um hash pubkey, conforme descrito em BIP 341.

A documentação de consulta do Project Eleven inclui P2TR junto com pay-to-pubkey e alguns formulários multisig como categorias onde as chaves públicas são visíveis nas saídas.

Isso não cria uma nova vulnerabilidade hoje.

No entanto, isso altera o que fica exposto por padrão se a recuperação da chave se tornar viável.

Como a exposição é mensurável, o conjunto vulnerável pode ser rastreado hoje sem precisar definir um cronograma quântico.

O Projeto Onze afirma que executa uma varredura semanal automatizada e publica um conceito de “Lista Bitcoin Risq” destinado a cobrir todos os endereços vulneráveis ​​​​ao quantum e seu saldo, detalhado em sua metodologia pós.

Seu rastreador público mostra um número de manchete de cerca de 6,7 milhões de BTC que se encontram seus critérios de exposição.

Quantidade	Ordem de magnitude	Fonte
BTC em endereços “vulneráveis ​​quântica” (chave pública exposta)	~6,7 milhões de BTC	Projeto Onze
Qubits lógicos para log discreto ECC de campo principal de 256 bits (limite superior)	~2.330 qubits lógicos	Roetteler et al.
Exemplo de escala física de qubit vinculado a uma configuração de recuperação de chave de 10 minutos	~6,9 milhões de qubits físicos	Litinski
Referência de escala física de qubit vinculada a uma configuração de recuperação de chave de 1 dia	~13 milhões de qubits físicos	Schneier sobre segurança

No lado computacional, a principal distinção é entre qubits lógicos e qubits físicos.

No artigo “Estimativas de recursos quânticos para calcular logaritmos discretos de curvas elípticas”, Roetteler e coautores fornecem uma limite superior de no máximo 9n + 2⌈log2(n)⌉ + 10 qubits lógicos para calcular um logaritmo discreto de curva elíptica sobre um campo principal de n bits.

Para n = 256, isso equivale a cerca de 2.330 qubits lógicos.

Converter isso em uma máquina com correção de erros que pode executar um circuito profundo com baixas taxas de falha é onde a sobrecarga e o tempo do qubit físico dominam.

As escolhas de arquitetura definem uma ampla variedade de tempos de execução

Litinski 2023 estimativa coloca um cálculo de chave privada de curva elíptica de 256 bits em cerca de 50 milhões de portas Toffoli.

Sob suas suposições, uma abordagem modular poderia calcular uma chave em cerca de 10 minutos usando cerca de 6,9 ​​milhões de qubits físicos.

Em um Schneier sobre segurança resumo do trabalho relacionado, as estimativas agrupam cerca de 13 milhões de qubits físicos para serem quebrados em um dia.

A mesma linha de estimativas também cita cerca de 317 milhões de qubits físicos para atingir uma janela de uma hora, dependendo do tempo e das suposições de taxa de erro.

Para operações de Bitcoin, as alavancas mais próximas são comportamentais e de protocolo.

A reutilização de endereços aumenta a exposição e o design da carteira pode reduzi-la.

Carteira do Projeto Onze análise observa que, uma vez que uma chave pública está na cadeia, os recebimentos futuros para esse mesmo endereço permanecem expostos.

Se a recuperação da chave couber dentro de um intervalo de bloco, um invasor estaria acelerando os gastos das saídas expostas, e não reescrevendo o histórico de consenso.

O hash é frequentemente incluído na narrativa, mas a alavanca quântica é o algoritmo de Grover.

Grover fornece uma aceleração de raiz quadrada para pesquisa de força bruta, em vez da quebra de log discreto que Shor fornece.

NIST pesquisar sobre o custo prático dos ataques do tipo Grover enfatiza que a sobrecarga e a correção de erros moldam o custo no nível do sistema.

No modelo idealizado, para pré-imagens SHA-256, o alvo permanece na ordem de 2^128 trabalhos após Grover.

Isso não é comparável a uma quebra de log discreto do ECC.

Isso deixa a migração de assinaturas, onde as restrições são largura de banda, armazenamento, taxas e coordenação.

As assinaturas pós-quânticas geralmente são quilobytes, em vez das dezenas de bytes com as quais os usuários estão acostumados.

Isso muda a economia do peso da transação e a experiência do usuário da carteira.

Por que o risco quântico é um desafio de migração e não uma ameaça imediata

Fora do Bitcoin, o NIST padronizou primitivas pós-quânticas como o ML-KEM (FIPS 203) como parte de um planeamento mais amplo da migração.

Dentro do Bitcoin, BIP360 propõe um tipo de saída “Pay to Quantum Resistance Hash”.

Enquanto isso, qbip.org defende uma extinção de assinaturas herdadas para forçar incentivos à migração e reduzir a longa cauda de chaves expostas.

Roteiros corporativos recentes acrescentam contexto para explicar por que o tema é enquadrado como infraestrutura e não como emergência.

Em um recente Reuters relatório, a IBM discutiu o progresso nos componentes de correção de erros e reiterou o caminho em direção a um sistema tolerante a falhas por volta de 2029.

A Reuters também cobriu a afirmação da IBM de que um algoritmo chave de correção quântica de erros pode ser executado em chips AMD convencionais, em um relatório separado.

Nesse enquadramento, “quantum quebra a criptografia do Bitcoin” falha na terminologia e na mecânica.

Os itens mensuráveis ​​são quanto do conjunto UTXO expôs chaves públicas, como o comportamento da carteira muda em resposta a essa exposição e quão rapidamente a rede pode adotar caminhos de gastos resistentes ao quantum, mantendo intactas as restrições de validação e do mercado de taxas.