• При каждом из механизмов пользователи, расходующие биткоины, защищённые устаревшей криптографией, должны будут заблокировать залог, равный расходуемой сумме.

• Механизм «Квантовые мины» позволяет владельцам заранее создавать криптографические доказательства и после атаки получить залог злоумышленника.

• Механизм «Аукцион со ставкой» предполагает безвозвратное уничтожение монет, уязвимых для квантовых атак, вместо их возврата прежним владельцам.

Квантовые мины, аукцион со ставкой и аукцион сатоши

Разработчик Bitcoin (BTC) Core Кори Филдс предложил три механизма, призванных сделать кражу с помощью квантовых компьютеров экономически нецелесообразной ещё до того, как такие атаки станут технически возможны. Предложение, датированное 7 ноября, описывает механизмы под названиями «Квантовые мины», «Аукцион со ставкой» и «Аукцион сатоши». Все три основаны на одной предпосылке: когда квантовые компьютеры смогут подделывать подписи на основе эллиптических кривых, защищающие средства в сети, любой, кто перемещает монеты, всё ещё защищённые устаревшей криптографией, должен будет внести залог, равный сумме перевода. Тогда злоумышленнику, подделавшему подпись, придётся рисковать капиталом, равным потенциальной добыче, что лишит атаку экономической выгоды. Предложение носит архитектурный, а не рыночный характер: оно никак не затрагивает цену Bitcoin (BTC), условия торговли или позиции инвесторов. Механизм «Квантовые мины» предполагает заблаговременную подготовку со стороны владельцев: пользователь заранее создаёт криптографические доказательства, а в случае квантовой атаки может получить залог, внесённый злоумышленником. Два других механизма — «Аукцион со ставкой» и «Аукцион сатоши» — предназначены для иной категории монет: тех, чьи приватные ключи, предположительно, утрачены. В этом случае третьи лица соревнуются за залог злоумышленника, поэтому даже если первоначальный владелец уже не может получить доступ к средствам, злоумышленнику всё равно грозит вероятный финансовый убыток. Филдс давно участвует в разработке клиента Bitcoin Core. Его предложение присоединяется к продолжающейся дискуссии о том, сможет ли достаточно мощный квантовый компьютер взломать криптографию, защищающую раскрытые публичные ключи. Это один из долгосрочных вопросов безопасности, который разработчики проекта продолжают изучать. Рассматриваемая здесь модель угроз отличается от атаки с повторным воспроизведением, при которой повторно используется действительная подпись, а не подделывается новая. Она также отличается от майнинга с доказательством выполнения работы, который определяет порядок блоков и где квантовое ускорение считается управляемым риском. Уязвимость связана с проверкой подписей: публичные ключи, уже раскрытые в блокчейне, становятся целями, подписи для которых достаточно мощная машина сможет подделать.

Условие о сжигании в аукционе с залогом

Самый спорный элемент содержится в конструкции аукциона с залогом. Согласно этой модели, монеты, уязвимые для квантовой атаки, сжигались бы безвозвратно, а не возвращались прежним владельцам. Это означало бы, что успешный злоумышленник ничего не получает, первоначальный владелец ничего не возвращает, а предложение монет сокращается на оспариваемую сумму. Филдс представил сжигание как элемент расчёта сдерживающего эффекта, а не как способ вернуть средства. В основе обеих конструкций аукциона лежит схожее предположение: когда первоначальный владелец утратил доступ, третьи стороны будут торговаться со злоумышленником за выставленный залог, создавая конкуренцию за сами захваченные средства. Именно эта конкуренция гарантирует ожидаемые убытки злоумышленника даже в случаях, когда законного претендента нет. Правило о залоге распространяется на всё предложение: после появления квантовых вычислительных возможностей любой, кто тратит монеты, всё ещё защищённые старыми криптографическими методами, блокирует BTC на сумму, эквивалентную оспариваемой. В результате поддельная транзакция превращается в пари, которое в лучшем случае позволяет лишь выйти в ноль. Филдс признал, что все три механизма пока существуют лишь на концептуальном уровне. Технические детали реализации — в том числе способ создания заранее подготовленных доказательств, порядок проведения расчётов по итогам аукционов и внедрение этих правил — ещё предстоит проработать; никаких сроков не названо. В этих конструкциях также не уточняется, какие именно выходы транзакций будут защищены. У монет, которые ещё ни разу не тратили, в том числе хранящихся по адресам Segregated Witness, открытый ключ остаётся скрытым до первой траты. А в более старых выходах типа pay-to-public-key он открыт с самого момента создания. В этом сценарии уязвимость выхода для подделки определяется именно раскрытием ключа, а не одним лишь возрастом. Предложение не меняет правила консенсуса сейчас и не описывает способ активации, оставляя вопросы об охвате защиты для дальнейшей работы над реализацией.

Сначала экономика, потом криптография

Эти предложения отличаются от привычных дискуссий о постквантовой криптографии тем, что вместо замены ключей в них используется экономическое сдерживание. Конструкции Филдса сохраняют существующую схему подписей, меняя лишь потенциальный выигрыш. Это позволяет не привязывать сеть к фиксированному сроку перехода на постквантовую криптографию на основе эллиптических кривых. Основная сложность связана с активацией: любой механизм, который сжигает монеты владельца, как это предусмотрено условием об аукционе с залогом, столкнётся с серьёзными препятствиями на пути через процесс достижения консенсуса в Bitcoin. Подобное изменение вызвало бы устойчивое противодействие, особенно со стороны ранних участников, которые продолжают присматривать за давно не тронутыми монетами, продолжая их ходлить. Решающее значение будет иметь вопрос сроков: появятся ли квантовые вычислительные возможности раньше, чем будет внедрён стандартный переход на постквантовую криптографию. Доступные данные не дают ответа, а сам Филдс называет эту работу концептуальной.