Principais iniciativas destinadas a tornar a maior blockchain do mundo à prova de quantum

Computadores quânticos capazes de quebrar o blockchain do Bitcoin não existem hoje. Os desenvolvedores, no entanto, já estão considerando uma onda de atualizações para construir defesas contra a ameaça potencial, e com razão, já que a ameaça não é mais hipotética.

Essa semana, Pesquisa publicada pelo Google sugerindo que um computador quântico suficientemente poderoso poderia quebrar a criptografia central do Bitcoin em menos de nove minutos – um minuto mais rápido que o tempo médio de liquidação do bloco Bitcoin. Alguns analistas acreditam que tal ameaça poderá tornar-se realidade até 2029.

As apostas são altas: cerca de 6,5 milhões de tokens bitcoinno valor de centenas de bilhões de dólares, estão em endereços que um computador quântico poderia atingir diretamente. Algumas dessas moedas pertencem ao pseudônimo criador do Bitcoin, Satoshi Nakamoto. Além disso, o comprometimento potencial prejudicaria os princípios básicos do Bitcoin – “confiar no código” e “dinheiro sólido”.

Aqui está a aparência da ameaça, juntamente com as propostas em consideração para mitigá-la.

Duas maneiras pelas quais uma máquina quântica poderia atacar o Bitcoin

Vamos primeiro entender a vulnerabilidade antes de discutir as propostas.

A segurança do Bitcoin é construída sobre uma relação matemática unilateral. Ao criar uma carteira, são geradas uma chave privada e um número secreto, dos quais deriva uma chave pública.

O gasto de tokens bitcoin exige a comprovação da propriedade de uma chave privada, não revelando-a, mas usando-a para gerar uma assinatura criptográfica que a rede possa verificar.

Este sistema é infalível porque os computadores modernos levariam bilhões de anos para quebrar a criptografia de curva elíptica – especificamente o Algoritmo de Assinatura Digital de Curva Elíptica (ECDSA) – para fazer a engenharia reversa da chave privada a partir da chave pública. Portanto, diz-se que o blockchain é computacionalmente impossível de ser comprometido.

Mas um futuro computador quântico pode transformar esta via de mão única em uma via de mão dupla, derivando sua chave privada da chave pública e drenando suas moedas.

A chave pública é exposta de duas maneiras: a partir de moedas ociosas na cadeia (ataque de exposição longa) ou moedas em movimento ou transações aguardando no pool de memória (ataque de exposição curta).

Endereços de chave pública paga (P2PK) (usados ​​por Satoshi e os primeiros mineradores) e Taproot (P2TR), o formato de endereço atual ativado em 2021, são vulneráveis ​​ao ataque de longa exposição. As moedas nesses endereços não precisam ser movidas para revelar suas chaves públicas; a exposição já aconteceu e pode ser lida por qualquer pessoa na Terra, incluindo um futuro atacante quântico. Aproximadamente 1,7 milhão de BTC estão em endereços P2PK antigos – incluindo as moedas de Satoshi.

A exposição curta está vinculada ao mempool – a sala de espera de transações não confirmadas. Enquanto as transações aguardam inclusão em um bloco, sua chave pública e assinatura ficam visíveis para toda a rede.

Um computador quântico poderia acessar esses dados, mas teria apenas uma breve janela – antes que a transação fosse confirmada e enterrada sob blocos adicionais – para derivar a chave privada correspondente e agir de acordo com ela.

Iniciativas

BIP 360: Removendo chave pública

Conforme observado anteriormente, cada novo endereço Bitcoin criado usando Taproot hoje expõe permanentemente uma chave pública na cadeia, dando a um futuro computador quântico um alvo que nunca desaparece.

A Proposta de Melhoria do Bitcoin (BIP) 360 remove a chave pública permanentemente incorporada na cadeia e visível para todos, introduzindo um novo tipo de saída chamado Pay-to-Merkle-Root (P2MR).

Lembre-se de que um computador quântico estuda a chave pública, faz engenharia reversa do formato exato da chave privada e forja uma cópia funcional. Se removermos a chave pública, o ataque não terá base para funcionar. Enquanto isso, todo o resto, incluindo pagamentos Lightning, configurações de múltiplas assinaturas e outros recursos do Bitcoin, permanece o mesmo.

No entanto, se implementada, esta proposta protegerá apenas novas moedas no futuro. Os 1,7 milhões de BTC já existentes em endereços antigos expostos são um problema separado, abordado por outras propostas abaixo.

SPHINCS+ / SLH-DSA: Assinaturas pós-quânticas baseadas em hash

ESFÍNCAS+ é um esquema de assinatura pós-quântica baseado em funções hash, evitando os riscos quânticos enfrentados pela criptografia de curva elíptica usada pelo Bitcoin. Embora o algoritmo de Shor ameace o ECDSA, projetos baseados em hash como o SPHINCS+ não são vistos como igualmente vulneráveis.

O esquema foi padronizado pelo Instituto Nacional de Padrões e Tecnologia (NIST) em agosto de 2024 como FIPS 205 (SLH-DSA) após anos de revisão pública.

A compensação pela segurança é o tamanho. Embora as assinaturas atuais de Bitcoin tenham 64 bytes, as SLH-DSA têm 8 kilobytes (KB) ou mais. Como tal, a adoção do SLH-DSA aumentaria drasticamente a procura de espaço em bloco e aumentaria as taxas de transação.

Como resultado, propostas como SHRIMPS (outro esquema de assinatura pós-quântica baseado em hash) e SHRINCS já foram introduzido para reduzir o tamanho das assinaturas sem sacrificar a segurança pós-quântica. Ambos se baseiam no SHPINCS+, ao mesmo tempo que visam manter suas garantias de segurança de uma forma mais prática e com uso eficiente de espaço, adequada para uso em blockchain.

Esquema de compromisso/revelação de Tadge Dryja: um freio de emergência para o Mempool

Esta propostaum soft fork sugerido pelo co-criador da Lightning Network, Tadge Dryja, visa proteger as transações no mempool de um futuro invasor quântico. Isso é feito separando a execução da transação em duas fases: Confirmação e Revelação.

Imagine informar a uma contraparte que você enviará um e-mail para ela e, em seguida, enviar um e-mail. A primeira é a fase de confirmação e a última é a revelação.

No blockchain, isso significa que você primeiro publica uma impressão digital selada de sua intenção – apenas um hash, que não revela nada sobre a transação. O blockchain registra a data e hora dessa impressão digital permanentemente. Mais tarde, quando você transmite a transação real, sua chave pública se torna visível – e sim, um computador quântico que monitora a rede pode derivar dela sua chave privada e forjar uma transação concorrente para roubar seus fundos.

Mas essa transação forjada é imediatamente rejeitada. A rede verifica: esse gasto tem compromisso prévio registrado on-chain? O seu faz. O do invasor não – ele o criou momentos atrás. Sua impressão digital pré-registrada é seu álibi.

A questão, porém, é o aumento do custo devido à divisão da transação em duas fases. Portanto, é descrita como uma ponte provisória, prática de implantar enquanto a comunidade trabalha na construção de defesas quânticas.

Hourglass V2: Retardando o gasto de moedas antigas

Proposto pelo desenvolvedor Hunter Beast, Ampulheta V2 visa a vulnerabilidade quântica vinculada a cerca de 1,7 milhão de BTC mantidos em endereços mais antigos e já expostos.

A proposta aceita que estas moedas possam ser roubadas num futuro ataque quântico e procura abrandar a hemorragia, limitando as vendas a um bitcoin por bloco, para evitar uma liquidação catastrófica em massa durante a noite que poderia causar uma cratera no mercado.

A analogia é uma corrida aos bancos: não se pode impedir as pessoas de fazerem levantamentos, mas pode-se limitar o ritmo dos levantamentos para evitar que o sistema entre em colapso durante a noite. A proposta é controversa porque mesmo esta restrição limitada é vista por alguns membros da comunidade Bitcoin como uma violação do princípio de que nenhuma parte externa pode interferir no seu direito de gastar as suas moedas.

Conclusão

Estas propostas ainda não foram ativadas, e a governança descentralizada do Bitcoin, abrangendo desenvolvedores, mineradores e operadores de nós, significa que qualquer atualização provavelmente levará algum tempo para se materializar.

Ainda assim, o fluxo constante de propostas anteriores ao relatório do Google desta semana sugere que a questão está há muito tempo no radar dos desenvolvedores, o que pode ajudar a atenuar as preocupações do mercado.