9 минут окно атаки, 7,1 миллиона BTC под угрозой: как Биткойн может спасти себя под квантовой угрозой

Автор: Bitcoin Security Consortium, альянс, состоящий из лидеров отрасли, стремящихся к долгосрочной безопасности и стабильности протокола Биткойн.

Скомпилировано: Гу Юй, ChainCatcher

Отчет Bitcoin Security Consortium, выполненный в сотрудничестве с Presidio Bitcoin.

Основные моменты (TL;DR)

Недавние достижения в области квантовых вычислений реальны — но лишь постепенно: такие достижения, как Willow от Google и недавние оптимизации алгоритма Шора, вызвали беспокойство, однако криптографически связанные квантовые компьютеры (CRQC) еще не были продемонстрированы.

Риски квантовых вычислений для Bitcoin ограничиваются его схемой подписей, что проявляется в двух аспектах: статические атаки на уязвимые токены и атаки в пути на транзакции в мемпуле.

Решения уже определены и активно продвигаются: (1) перемещение средств с повторно используемых адресов, (2) разработка постквантовых схем подписей, (3) решение проблемы консенсуса по P2PK токенам, которые, вероятно, уже потеряны.

Возрождение квантовых вычислений?

После многих лет, казалось бы, стагнации, в области квантовых вычислений появилось все больше академических статей, подтверждающих его прогресс, и соответствующих заголовков, вызывающих беспокойство среди инвесторов по поводу безопасности биткойна. Эти заголовки включают:

Willow от Google (декабрь 2024 года). Впервые доказано, что увеличение физического квантового бита для защиты одного исправленного "логического" квантового бита делает этот логический квантовый бит более надежным, а не менее.

Оптимизация алгоритма Шора от Google Quantum AI, Oratomic/Caltech и ECDSA.fail (2026 год). Google Quantum AI в сотрудничестве с Ethereum Foundation и Стэнфордом сжала схему, используемую для взлома эллиптической кривой Bitcoin с помощью алгоритма Шора, примерно на 20 раз по сравнению с предыдущими оценками. Oratomic и Caltech считают, что их оптимизация алгоритма Шора может взломать один приватный ключ Bitcoin за несколько дней. Наконец, проект ECDSA.fail — доска результатов Eigen Labs — собрала исследователей и AI-агентов, которые в последующие месяцы сократили схему Google почти на 70%.

Оптимизация алгоритма Шора от IonQ (сентябрь 2026 года). Полный компиляционный план для запуска алгоритма Шора, одновременно вычисляющий как программное, так и аппаратное обеспечение — теоретически каждая попытка может решить один приватный ключ за примерно 26 дней с вероятностью успеха 63,3%.

Выращивание магических состояний от Google (октябрь 2026 года). Квантовые вычисления требуют "магических состояний", то есть ресурсов, которые расходуются при каждом использовании и имеют высокую стоимость производства. Google на Willow доказал, что его протокол фильтрации снижает ошибки в этих состояниях примерно в 40 раз, достигая 99,99% логической точности.

Логическая точность "пяти девяток" от Quantinuum (октябрь 2026 года). Компьютер Helios от Quantinuum имеет 5 ошибок на миллион операций (99,9995% логической точности), что примерно в 100 раз ниже, чем демонстрация Google. Каждый раз, когда масштаб кодирования увеличивается, ошибки снижаются в 12 раз (λ = 12).

Несмотря на то, что в настоящее время не существует криптографически связанных квантовых компьютеров (CRQC) — и эта технология все еще сталкивается с множеством инженерных проблем, таких как физическое расширение исправляющих квантовых битов — почему эти заголовки вызывают интерес в сообществе Bitcoin? Какова связь между Bitcoin и квантовыми компьютерами? Давайте разберемся.

Обзор квантовых вычислений

Суть квантовых вычислений заключается в квантовых битах, или кубитах. В отличие от классических битов, которые хранят значения 0 или 1, кубиты обладают двумя уникальными свойствами квантовомеханического мира:

Суперпозиция: один кубит может одновременно хранить смешанное значение 0 и 1, измерение заставляет эти значения коллапсировать в одно из них с взвешенной вероятностью.

Запутанность: два или более кубитов могут разделять общее состояние, измерение одного определяет значение другого, независимо от расстояния.

Эти свойства позволяют квантовым компьютерам одновременно исследовать множество кандидатных ответов, одновременно компенсируя ошибочные ответы. Однако физические кубиты очень хрупкие и подвержены декогеренции, то есть потере квантовой информации, поэтому многие компании нацелены на минимальное количество логических кубитов — логические кубиты строятся из нескольких избыточных физических кубитов, что позволяет обнаруживать и исправлять ошибки, обеспечивая надежность вычислений и информации.

Чтобы найти минимальное соотношение физических кубитов к логическим кубитам, лаборатории квантовых вычислений исследуют наиболее эффективные аппаратные архитектуры, включая, но не ограничиваясь:

Суперпроводящие цепи (Google, IBM): маленькие проводниковые кольца, охлажденные до близости к абсолютному нулю, в которых поведение тока аналогично кубиту. Эта технология позволяет достичь более быстрого времени вычислений, но ее развитие идет медленно.

Нейтральные атомы (Oratomic): незаряженные атомы, фиксируемые лазерным массивом, называемым "пинцетом", чьи электроны выступают в качестве кубитов. Эта технология быстро расширяется, но теоретически время вычислений будет медленнее.

Захваченные ионы (Quantinuum, IonQ): заряженные атомы, контролируемые лазером в электромагнитном поле — то есть ионы; в этом случае основное или возбужденное состояние ионов выступает в качестве кубита. Вычисления относительно медленные; скорость расширения средняя.

Фотоника (PsiQuantum, Xanadu): фотонные частицы, проходящие через чипы и оптические устройства; свойства каждого фотона выступают в качестве кубита. Эта технология может обеспечить более быстрое время вычислений, но временные рамки развития также кажутся более медленными.

Квантовая угроза для Bitcoin

Теоретически, криптографически связанный квантовый компьютер, работающий по алгоритму Шора, сможет взломать алгоритм цифровой подписи Bitcoin на основе эллиптической кривой (ECDSA), который поддерживает право собственности и имущественные права в сети — он доказывает право собственности на приватный ключ, не раскрывая его. Важно отметить, что большая часть основных принципов теории игр и экономики Bitcoin не относится к этой угрозе, например, его консенсус по транзакциям, график эмиссии и пределы поставок.

Атака на приватные ключи Bitcoin представляет два аспекта угрозы для сети:

Долгосрочное воздействие или статическая атака. Токены на повторно используемых адресах или старых адресах с низкой безопасностью (платежи на публичный ключ, P2PK) уже раскрыли публичные ключи, и квантовый компьютер может использовать эти публичные ключи для получения соответствующих приватных ключей. В настоящее время большинство активных адресов на основе современных типов вывода — публичные ключи скрыты до момента расходования — не подвержены таким атакам. Тем не менее, Project Eleven оценивает, что около 7,1 миллиона BTC, что составляет примерно 35% от общего объема, будут легко украдены, если сегодня появится способный квантовый компьютер. Примерно три четверти из них хранятся на повторно используемых адресах — в основном на крупных биржах — и если биржи переместят средства на одноразовые адреса и примут лучшие практики и стандарты хранения, риск можно снизить. Однако еще 1,8 миллиона BTC находятся на адресах P2PK, и большинство из них предполагается потерянными, что делает их перемещение на безопасные адреса невозможным. Квантовый компьютер, независимо от скорости, может использовать эти раскрытые публичные ключи, один за другим, чтобы получить приватные ключи, хранящие средства инвесторов.

Краткосрочное воздействие или атака в пути. Токены в сети Bitcoin раскрывают свои публичные ключи только в момент расходования, создавая тем самым уязвимое окно примерно в 10 минут (или, точнее, время между отправкой транзакции и ее включением в блок). Достаточно быстрый квантовый компьютер может воспользоваться этим окном, чтобы украсть токены во время транзакции. Google оценивает, что предварительно разогретое квантовое устройство с быстрыми часами может завершить вычисление получения приватного ключа за 9 минут, что означает, что даже токены, изначально хранящиеся на защищенных адресах, могут подвергаться риску кражи во время типичной транзакции.

Неправильные представления, которые могут преувеличить угрозу

"Квантовое оборудование уже расширено и готово." В настоящее время система с наилучшей демонстрацией — система Quantinuum — произвела 48 исправляющих логических кубитов. Для взлома эллиптической кривой Bitcoin требуется как минимум около 1200.

"Квантовые демонстрации уже доказали криптографически связанные квантовые вычисления." Они этого не сделали. Willow доказал исправляющую память, а не масштабируемые исправляющие вычисления. Статьи Google, Oratomic и IonQ 2026 года являются чертежами, а не работающими машинами. Низкая ошибка операций между многими логическими кубитами все еще является узким местом, которое необходимо преодолеть.

"Все биткойны немедленно будут подвержены краже." Большинство биткойнов в статическом состоянии не подвержены атакам, поскольку публичные ключи остаются скрытыми за хешем до момента расходования. Основная причина единственного раскрытия — повторное использование адресов — в настоящее время может быть решена путем перехода на новые нерасходованные адреса. Даже если атака произойдет сегодня, она будет направлена на каждый отдельный приватный ключ, а не на все уязвимые запасы сразу.

Неправильные представления, которые могут недооценить угрозу

"Оптимизация алгоритма Шора не имеет значения." В марте Google теоретически сократил требования к логическим кубитам, необходимым для взлома Bitcoin ECDSA, примерно в 20 раз и отметил, что оптимизация эллиптической кривой привлекает гораздо меньше внимания, чем система RSA (Rivest-Shamir-Adleman), что означает, что еще есть пространство для оптимизации. Примером является проект ECDSA.fail, который еще более оптимизировал схему Google почти на 70%.

"Это произойдет через десятилетия, зачем беспокоиться?" Недавний опрос экспертов показывает, что вероятность появления способной машины между 2030 и 2035 годами составляет около 50%, а правительства стремятся завершить постквантовую миграцию в начале или середине 2030-х годов, Google и Cloudflare установили внутренние крайние сроки на 2029 год. Следует отметить, что эти крайние сроки более срочны для правительств или компаний, чтобы предотвратить атаки "сначала собери, потом расшифруй" — в основном касающиеся частной информации, которая может быть актуальна в будущем. Поскольку Bitcoin может защищаться, перемещая средства на адреса с скрытыми публичными ключами, эти крайние сроки могут рассматриваться как лучшие практики для сети, а не как обязательные сроки.

"Мы увидим это заранее." Прорывы могут оставаться конфиденциальными или рассматриваться как секретные государственными нациями, а ранние кражи могут казаться случайными, трудно отличимыми от обычного оборота хранения или транзакций.

Что делается сегодня

Сегодняшние держатели Bitcoin — включая биржи, учреждения и инвесторов — уже активно обсуждают решения для защиты от квантовых угроз, приоритеты могут быть следующими:

Переместите уязвимые средства с повторно используемых адресов на нерасходованные адреса. Это самое простое действие, не требующее сетевого консенсуса или мягкого форка — оно полностью зависит от крупных бирж и хостинг-провайдеров, а также от инвесторов, использующих самообслуживание, которые принимают лучшие практики безопасности, такие как ротация выходов сдачи и избегание повторного использования адресов любой ценой.

Разработка постквантовых подписных схем. На сегодняшний день ведущим предложением, способным реализовать защиту от квантовых затрат на Bitcoin, является SHRINCS от Blockstream (сокращение от "Shrunken SPHINCS"). Он основан на SHA-256 и может обрабатывать до 3 транзакций в секунду, в то время как стандарт SPHINCS+ от Национального института стандартов и технологий США (NIST) составляет всего 0.36 транзакции. Blockstream протестировала эту схему в Liquid Network в марте 2026 года и опубликовала предложение по улучшению Bitcoin (BIP) в августе совместно с другими участниками. Официальное доказательство безопасности еще предстоит завершить, а развертывание по всей сети потребует мягкого форка.

Существует консенсус о том, как обращаться с уязвимыми, но, вероятно, уже потерянными токенами P2PK в Bitcoin. Это, возможно, самый спорный вопрос, поскольку Bitcoin сталкивается с квантовыми угрозами в ближайшие годы. Около 1.7 миллиона BTC хранятся на примерно 20,000 P2PK адресах, из которых около 1.1 миллиона, по оценкам, принадлежат Сатоши Накамото. Согласно Presidio Bitcoin, наиболее обсуждаемыми вариантами в настоящее время являются: поддержание старых расходов в силе (позволяя квантовым злоумышленникам "украсть"); замедление старых расходов (ограничение скорости перемещения уязвимых токенов, или "ограничение скорости"); а также замораживание токенов и предоставление пути восстановления (отключение всех старых расходов Bitcoin, но разрешение владельцам вернуть токены через доказательство нулевых знаний их семенной фразы, то есть "мягкая заморозка"). Для более широкого чтения по этой важной теме, Presidio Bitcoin излагает и обновляет основы здесь.