Ao fazer do Bitcoin algo resistente a ameaças quânticas, esta semana surgiram de uma vez várias rotas, com caminhos totalmente diferentes. A primeira que dominou as telas também é a mais fácil de entender: as regras do Bitcoin não mudam uma letra sequer; você recalcula repetidamente a assinatura de uma mesma transação, até que o poder de computação quântica não consiga mais “quebrá-la”. Depois, você envia a transação diretamente para que os mineradores a empacotem. O que torna isso um pouco constrangedor é que a premissa não é tão simples: nós comuns nem sequer encaminham transações nesse formato; você precisa “bater na porta” de um pool de mineração.
Essa transação caiu no bloco 964,199. A solução foi desenhada por Avihu Levy, da StarkWare; o colega Tomer Giladi a enviou pelo canal Slipstream da MARA. Eu a revisitei na cadeia, e o input protegido por resistência a quântica era de 10.000 sats; convertendo ao preço atual, ainda dá menos de oito dólares. A Levy explicou o princípio: a carteira não aceita a primeira assinatura válida que sai; ela gera candidatos, repetidamente, até encontrar aquele que encaixa perfeitamente na forma exigida—e esse processo consome horas de capacidade computacional.
Oito dólares, algumas horas. Essa comparação não é para zombar; ela só evidencia o que esta prova demonstrou: dentro das regras de consenso de hoje do Bitcoin, um gasto que não vaza chave pública durante todo o processo, de fato, pode ser empacotado na mainnet. Os limites da proposta são descritos pela própria StarkWare com mais honestidade do que quem a divulgou. A empresa deixou claro: QSB não transformou o Bitcoin em algo “pós-quântico”; ela só protege transações específicas. Essas transações já tiveram a chave pública exposta na cadeia; ela não salva. A frase do CEO Eli Ben-Sasson é ainda mais direta: ele ainda quer que o Bitcoin faça um soft fork e acredita que isso acontecerá.
O problema está aqui. O risco quântico do Bitcoin não se distribui igualmente por todas as moedas; ele fica concentrado apenas num grupo de endereços cuja chave pública já foi escrita em blocos. Endereços que já gastaram dinheiro pertencem a essa categoria. Até 1º de março deste ano, mais de um terço de todo o Bitcoin do mundo já revelou a chave pública on-chain. Essas moedas não ficam automaticamente seguras só porque apareceu uma nova forma de gastar: ou o dono as move ativamente, ou ficam ali, paradas, esperando. QSB é uma ferramenta preparada para a parte ainda não exposta—justamente a que mais precisa de resgate—mas ela não consegue alcançar.
A segunda rota mira justamente essa lacuna. Na mesma semana, Jonas Nick, da Blockstream, publicou oficialmente o BIP para SHRINCS. É a primeira proposta de assinatura pós-quântica recortada especificamente de acordo com a estrutura do livro-razão do Bitcoin. A base continua sendo SHA-256, sem apostar em novas suposições matemáticas. O custo está explícito: hoje uma assinatura Schnorr tem 64 bytes; o SHRINCS mínimo tem 548 bytes e, no pior caso, pode chegar a 4.619 bytes. Além disso, ele precisa manter estado: a cada vez que a mesma chave privada assina, a assinatura cresce um pouco; se o dispositivo for perdido, é preciso fazer uma transação “plano B” de mais de cinco mil bytes para resgatar o dinheiro. No documento do BIP ainda está pendurada uma linha que não foi apagada: a prova de segurança ainda não foi concluída.
A terceira rota é ainda mais distante. Na mesma semana, a Blockstream também publicou uma avaliação de assinaturas em reticulado (lattice). O Falcon-1024 foi o mais eficiente naquela faixa: chave pública mais assinatura, juntas, somam 3.073 bytes. Mas a equipe de pesquisa não recomendou “subir agora”; o texto de padrão do NIST ainda não está fechado. A ordem que eles sugerem é: primeiro usar o esquema via hash e, quando o padrão do reticulado (grid/lattice) estiver definido, considerar um híbrido.
Com as rotas colocadas na mesa, o ponto em comum não dá para esconder. Além do QSB, as outras duas mexem na camada de consenso. O motivo de QSB não precisar mexer é exatamente o contrário: ele contorna a rede P2P inteira; os nós não reconhecem esse tipo de transação, então o trabalho fica por conta de os mineradores receberem isso separadamente. Em termos de engenharia, o Bitcoin hoje não está sem respostas; o que falta é saber quem tem autoridade para decidir pelo terço das moedas afetadas.
Esse conflito já foi trazido à tona este ano. Em fevereiro, o BIP-360 foi incorporado ao repositório oficial, definindo o primeiro tipo de endereço pós-quântico do Bitcoin. Em abril, Jameson Lopp e mais cinco desenvolvedores enviaram o BIP-361, definindo um “sunset” de cinco anos para tipos de assinatura antigos. As moedas que não forem movidas até o vencimento, a rede deixa de reconhecer como gastáveis—incluindo aquela parcela de moedas geralmente atribuída a Satoshi. Adam Back se opõe claramente ao congelamento forçado; ele defende que a funcionalidade pós-quântica seja opcional desde agora, para que as pessoas movam por conta própria. O resumo mais preciso sobre migração pós-quântica do Bitcoin foi feito por Marin Ivezic: ele disse que a verdadeira restrição não está na criptografia, mas sim na governança.
Eu concordo com essa avaliação, e as notícias desta semana dão um bom contexto. Os criptógrafos terminaram a parte de “questões de múltipla escolha”: se precisa de algo utilizável agora, há o QSB; se precisa entrar no protocolo, há o SHRINCS; se quer economizar espaço, o equivalente é o Falcon. O resto do debate já não é seleção técnica; é se vale a pena colocar um prazo para as moedas de algumas pessoas. Essa estrutura de governança do Bitcoin é suficiente para adicionar funcionalidades; Taproot passou exatamente assim. Mas quando se trata de reduzir direitos, nunca funcionou—e o projeto original foi feito justamente para impedir esse tipo de coisa.
Essa avaliação pode ser refutada. Nos próximos meses, se o BIP-360 ou o SHRINCS entrarem em discussões reais de ativação, e se isso implicar desviar a linha do ciclo de sinal semelhante ao Taproot, a governança pode não ficar tão travada quanto eu imagino. Outro sinal é mais direto on-chain: se aquela massa de endereços grandes, sem movimentação há mais de dez anos e cuja chave pública já foi exposta, começar a ser movida em lote, a disputa sobre congelar ou não cai automaticamente de nível. Nenhuma dessas duas coisas aconteceu até agora.
E não precisa se deixar assustar por esta semana. O ponto de partida do ciclo de ansiedade quântica do mercado foi no fim de março e em junho. A equipe do Google Quantum AI melhorou a estimativa de recursos do algoritmo de Shor para curvas elípticas em uma ordem de grandeza; o longo texto de Justin Drake fez isso circular no meio. Melhorar a estimativa de recursos não é o mesmo que construir uma máquina: a primeira só adianta o cronograma. #Bitcoin agora está em 79,891; esta semana, o número está subindo em geral, sem relação direta com a linha quântica. O preço de $BTC ainda segue o ritmo do macro e dos ETFs.
Se você quer fazer algo por conta própria nestes dias, pode verificar se aquele endereço comum já gastou dinheiro on-chain. Se gastou, significa que a chave pública já está exposta; no futuro, qualquer que seja a rota que o Bitcoin escolher, quem precisará mover de forma proativa será justamente esse tipo de endereço. Ainda está longe daquele dia, mas saber em que lado você está—é mais útil do que tentar lembrar o que alguém propôs nesta semana.
Essa transação caiu no bloco 964,199. A solução foi desenhada por Avihu Levy, da StarkWare; o colega Tomer Giladi a enviou pelo canal Slipstream da MARA. Eu a revisitei na cadeia, e o input protegido por resistência a quântica era de 10.000 sats; convertendo ao preço atual, ainda dá menos de oito dólares. A Levy explicou o princípio: a carteira não aceita a primeira assinatura válida que sai; ela gera candidatos, repetidamente, até encontrar aquele que encaixa perfeitamente na forma exigida—e esse processo consome horas de capacidade computacional.
Oito dólares, algumas horas. Essa comparação não é para zombar; ela só evidencia o que esta prova demonstrou: dentro das regras de consenso de hoje do Bitcoin, um gasto que não vaza chave pública durante todo o processo, de fato, pode ser empacotado na mainnet. Os limites da proposta são descritos pela própria StarkWare com mais honestidade do que quem a divulgou. A empresa deixou claro: QSB não transformou o Bitcoin em algo “pós-quântico”; ela só protege transações específicas. Essas transações já tiveram a chave pública exposta na cadeia; ela não salva. A frase do CEO Eli Ben-Sasson é ainda mais direta: ele ainda quer que o Bitcoin faça um soft fork e acredita que isso acontecerá.
O problema está aqui. O risco quântico do Bitcoin não se distribui igualmente por todas as moedas; ele fica concentrado apenas num grupo de endereços cuja chave pública já foi escrita em blocos. Endereços que já gastaram dinheiro pertencem a essa categoria. Até 1º de março deste ano, mais de um terço de todo o Bitcoin do mundo já revelou a chave pública on-chain. Essas moedas não ficam automaticamente seguras só porque apareceu uma nova forma de gastar: ou o dono as move ativamente, ou ficam ali, paradas, esperando. QSB é uma ferramenta preparada para a parte ainda não exposta—justamente a que mais precisa de resgate—mas ela não consegue alcançar.
A segunda rota mira justamente essa lacuna. Na mesma semana, Jonas Nick, da Blockstream, publicou oficialmente o BIP para SHRINCS. É a primeira proposta de assinatura pós-quântica recortada especificamente de acordo com a estrutura do livro-razão do Bitcoin. A base continua sendo SHA-256, sem apostar em novas suposições matemáticas. O custo está explícito: hoje uma assinatura Schnorr tem 64 bytes; o SHRINCS mínimo tem 548 bytes e, no pior caso, pode chegar a 4.619 bytes. Além disso, ele precisa manter estado: a cada vez que a mesma chave privada assina, a assinatura cresce um pouco; se o dispositivo for perdido, é preciso fazer uma transação “plano B” de mais de cinco mil bytes para resgatar o dinheiro. No documento do BIP ainda está pendurada uma linha que não foi apagada: a prova de segurança ainda não foi concluída.
A terceira rota é ainda mais distante. Na mesma semana, a Blockstream também publicou uma avaliação de assinaturas em reticulado (lattice). O Falcon-1024 foi o mais eficiente naquela faixa: chave pública mais assinatura, juntas, somam 3.073 bytes. Mas a equipe de pesquisa não recomendou “subir agora”; o texto de padrão do NIST ainda não está fechado. A ordem que eles sugerem é: primeiro usar o esquema via hash e, quando o padrão do reticulado (grid/lattice) estiver definido, considerar um híbrido.
Com as rotas colocadas na mesa, o ponto em comum não dá para esconder. Além do QSB, as outras duas mexem na camada de consenso. O motivo de QSB não precisar mexer é exatamente o contrário: ele contorna a rede P2P inteira; os nós não reconhecem esse tipo de transação, então o trabalho fica por conta de os mineradores receberem isso separadamente. Em termos de engenharia, o Bitcoin hoje não está sem respostas; o que falta é saber quem tem autoridade para decidir pelo terço das moedas afetadas.
Esse conflito já foi trazido à tona este ano. Em fevereiro, o BIP-360 foi incorporado ao repositório oficial, definindo o primeiro tipo de endereço pós-quântico do Bitcoin. Em abril, Jameson Lopp e mais cinco desenvolvedores enviaram o BIP-361, definindo um “sunset” de cinco anos para tipos de assinatura antigos. As moedas que não forem movidas até o vencimento, a rede deixa de reconhecer como gastáveis—incluindo aquela parcela de moedas geralmente atribuída a Satoshi. Adam Back se opõe claramente ao congelamento forçado; ele defende que a funcionalidade pós-quântica seja opcional desde agora, para que as pessoas movam por conta própria. O resumo mais preciso sobre migração pós-quântica do Bitcoin foi feito por Marin Ivezic: ele disse que a verdadeira restrição não está na criptografia, mas sim na governança.
Eu concordo com essa avaliação, e as notícias desta semana dão um bom contexto. Os criptógrafos terminaram a parte de “questões de múltipla escolha”: se precisa de algo utilizável agora, há o QSB; se precisa entrar no protocolo, há o SHRINCS; se quer economizar espaço, o equivalente é o Falcon. O resto do debate já não é seleção técnica; é se vale a pena colocar um prazo para as moedas de algumas pessoas. Essa estrutura de governança do Bitcoin é suficiente para adicionar funcionalidades; Taproot passou exatamente assim. Mas quando se trata de reduzir direitos, nunca funcionou—e o projeto original foi feito justamente para impedir esse tipo de coisa.
Essa avaliação pode ser refutada. Nos próximos meses, se o BIP-360 ou o SHRINCS entrarem em discussões reais de ativação, e se isso implicar desviar a linha do ciclo de sinal semelhante ao Taproot, a governança pode não ficar tão travada quanto eu imagino. Outro sinal é mais direto on-chain: se aquela massa de endereços grandes, sem movimentação há mais de dez anos e cuja chave pública já foi exposta, começar a ser movida em lote, a disputa sobre congelar ou não cai automaticamente de nível. Nenhuma dessas duas coisas aconteceu até agora.
E não precisa se deixar assustar por esta semana. O ponto de partida do ciclo de ansiedade quântica do mercado foi no fim de março e em junho. A equipe do Google Quantum AI melhorou a estimativa de recursos do algoritmo de Shor para curvas elípticas em uma ordem de grandeza; o longo texto de Justin Drake fez isso circular no meio. Melhorar a estimativa de recursos não é o mesmo que construir uma máquina: a primeira só adianta o cronograma. #Bitcoin agora está em 79,891; esta semana, o número está subindo em geral, sem relação direta com a linha quântica. O preço de $BTC ainda segue o ritmo do macro e dos ETFs.
Se você quer fazer algo por conta própria nestes dias, pode verificar se aquele endereço comum já gastou dinheiro on-chain. Se gastou, significa que a chave pública já está exposta; no futuro, qualquer que seja a rota que o Bitcoin escolher, quem precisará mover de forma proativa será justamente esse tipo de endereço. Ainda está longe daquele dia, mas saber em que lado você está—é mais útil do que tentar lembrar o que alguém propôs nesta semana.