Cửa sổ tấn công 9 phút, 7,1 triệu BTC bị lộ: Bitcoin nên tự cứu mình như thế nào dưới mối đe dọa lượng tử

Tác giả: Bitcoin Security Consortium, là một liên minh bao gồm các nhà lãnh đạo trong ngành cam kết bảo mật và ổn định lâu dài cho giao thức Bitcoin.

Biên soạn: Cốc Duy, ChainCatcher

Một báo cáo của Bitcoin Security Consortium, được thực hiện hợp tác với Presidio Bitcoin.

Điểm chính (TL;DR)

Tiến bộ gần đây trong lĩnh vực máy tính lượng tử là có thật------nhưng chỉ là tiến bộ dần dần: những tiến bộ như Willow của Google và tối ưu hóa gần đây đối với thuật toán Shor đã gây ra lo ngại, tuy nhiên máy tính lượng tử liên quan đến mật mã (CRQC) vẫn chưa được trình diễn.

Bitcoin đối mặt với rủi ro từ máy tính lượng tử chỉ giới hạn trong các phương án ký của nó, cụ thể là ở hai khía cạnh: tấn công tĩnh vào các token dễ bị tấn công và tấn công trên đường đi đối với các giao dịch trong bộ nhớ.

Các giải pháp đã được xác định và đang được thúc đẩy tích cực: (1) chuyển tiền ra khỏi các địa chỉ được sử dụng lại, (2) phát triển các phương án ký sau lượng tử, (3) giải quyết vấn đề đồng thuận cho các token P2PK có thể đã bị mất.

Sự hồi sinh của máy tính lượng tử?

Sau nhiều năm dường như bị đình trệ, lĩnh vực máy tính lượng tử đã xuất hiện ngày càng nhiều bài báo học thuật chứng minh sự tiến bộ của nó và các tiêu đề tin tức đi kèm, gây ra lo ngại về sự an toàn của bitcoin trong giới đầu tư. Những tiêu đề này bao gồm:

Willow của Google (tháng 12 năm 2024). Lần đầu tiên chứng minh rằng việc tăng cường các qubit lượng tử vật lý để bảo vệ một qubit "logic" đã được sửa lỗi sẽ làm cho qubit logic đó đáng tin cậy hơn, chứ không phải kém hơn.

Tối ưu hóa thuật toán Shor của Google Quantum AI, Oratomic/Caltech và ECDSA.fail (năm 2026). Google Quantum AI hợp tác với Ethereum Foundation và Stanford, đã nén các mạch để phá vỡ đường cong ellip Bitcoin thông qua thuật toán Shor, ước tính giảm khoảng 20 lần so với ước tính trước đó. Oratomic và Caltech cho rằng, tối ưu hóa thuật toán Shor của họ có thể phá vỡ một khóa riêng Bitcoin trong vài ngày. Cuối cùng, dự án ECDSA.fail------một bảng điểm của Eigen Labs------đã tập hợp các nhà nghiên cứu và AI, trong vài tháng tới sẽ thu nhỏ lại các mạch của Google gần 70%.

Tối ưu hóa thuật toán Shor đầu cuối của IonQ (tháng 9 năm 2026). Một bản thiết kế hoàn chỉnh để chạy thuật toán Shor, tính toán cả phần mềm và phần cứng------về lý thuyết, mỗi lần thử sẽ giải mã một khóa riêng trong khoảng 26 ngày, với tỷ lệ thành công là 63.3%.

Sự nuôi dưỡng trạng thái ma thuật của Google (tháng 10 năm 2026). Máy tính lượng tử cần "trạng thái ma thuật", tức là các trạng thái tài nguyên sẽ bị tiêu hao mỗi lần sử dụng và có chi phí sản xuất cao. Google đã chứng minh trên Willow rằng giao thức lọc của họ đã giảm khoảng 40 lần lỗi trong các trạng thái này, đạt được 99.99% độ trung thực logic.

Độ trung thực logic "năm chín" của Quantinuum (tháng 10 năm 2026). Máy tính Helios của Quantinuum gặp 5 lỗi trên mỗi triệu phép toán (99.9995% độ trung thực logic), thấp hơn khoảng 100 lần so với trình diễn của Google. Mỗi khi quy mô mã hóa mở rộng, lỗi giảm 12 lần (λ = 12).

Mặc dù hiện nay không có máy tính lượng tử liên quan đến mật mã (CRQC)------và công nghệ này vẫn còn nhiều thách thức kỹ thuật, chẳng hạn như mở rộng vật lý các qubit sửa lỗi------tại sao những tiêu đề này lại thu hút sự chú ý của cộng đồng Bitcoin? Mối quan hệ giữa Bitcoin và máy tính lượng tử là gì? Hãy cùng khám phá.

Tóm tắt về máy tính lượng tử

Cốt lõi của máy tính lượng tử là qubit. Khác với bit cổ điển lưu trữ giá trị 0 hoặc 1, qubit thể hiện hai đặc tính độc đáo của thế giới cơ học lượng tử:

Chồng chất: Một qubit có thể lưu trữ đồng thời giá trị hỗn hợp của 0 và 1, việc đo lường sẽ làm cho những giá trị này sụp đổ thành một trong hai với xác suất có trọng số.

Rối: Hai hoặc nhiều qubit có thể chia sẻ một trạng thái chung, việc đo lường một trong số đó sẽ xác định giá trị của cái còn lại, bất kể khoảng cách xa đến đâu.

Những đặc tính này cho phép máy tính lượng tử khám phá đồng thời nhiều câu trả lời ứng cử viên, đồng thời bù đắp cho các câu trả lời sai. Tuy nhiên, các qubit vật lý rất dễ bị tổn thương, dễ xảy ra hiện tượng suy giảm đồng bộ, tức là mất thông tin lượng tử, đó là lý do tại sao hiện nay nhiều lộ trình của các công ty đều nhằm mục tiêu số lượng qubit logic tối thiểu------qubit logic được xây dựng từ nhiều qubit vật lý dư thừa tạo thành qubit sửa lỗi, cho phép phát hiện và sửa lỗi, từ đó giữ cho tính toán và thông tin đáng tin cậy.

Để tìm kiếm tỷ lệ tối thiểu giữa qubit vật lý và qubit logic, các phòng thí nghiệm máy tính lượng tử nghiên cứu các kiến trúc phần cứng hiệu quả nhất, bao gồm nhưng không giới hạn ở:

Mạch siêu dẫn (Google, IBM): Các vòng dây nhỏ được làm lạnh gần bằng không tuyệt đối, trong đó hành vi của dòng điện giống như một qubit. Công nghệ này có thể đạt được thời gian tính toán nhanh hơn, nhưng sự phát triển mở rộng diễn ra chậm.

Nguyên tử trung tính (Oratomic): Các nguyên tử không mang điện được cố định bởi một mảng laser gọi là "kẹp", với các electron của chúng đóng vai trò là qubit. Công nghệ này mở rộng nhanh chóng, nhưng về lý thuyết thời gian tính toán sẽ chậm hơn.

Ion bị giam giữ (Quantinuum, IonQ): Các nguyên tử mang điện được điều khiển bằng laser trong một trường điện từ------tức là ion; trong trường hợp này, trạng thái cơ bản hoặc trạng thái kích thích của ion đóng vai trò là qubit. Tính toán tương đối chậm; tốc độ mở rộng trung bình.

Quang học (PsiQuantum, Xanadu): Các hạt ánh sáng (photon) đi qua chip và thiết bị quang học; thuộc tính của mỗi photon đóng vai trò là qubit. Có thể đạt được thời gian tính toán nhanh hơn, nhưng thời gian phát triển dường như cũng chậm hơn.

Bề mặt tấn công lượng tử của Bitcoin

Về lý thuyết, một máy tính lượng tử liên quan đến mật mã chạy thuật toán Shor sẽ có khả năng phá vỡ thuật toán chữ ký số đường cong ellip của Bitcoin (ECDSA), tức là phương án ký duy trì quyền sở hữu và tài sản trong mạng------nó chứng minh quyền sở hữu khóa riêng mà không tiết lộ khóa riêng đó. Quan trọng là, phần lớn lý thuyết trò chơi và nguyên tắc kinh tế cốt lõi của Bitcoin không thuộc về bề mặt tấn công này, chẳng hạn như đồng thuận giao dịch, lịch trình phát hành và giới hạn cung.

Tấn công vào khóa riêng Bitcoin mang đến cho mạng hai bề mặt tấn công:

Tấn công tĩnh hoặc phơi bày lâu dài. Các token trong địa chỉ được sử dụng lại hoặc loại địa chỉ cũ có độ an toàn thấp (thanh toán đến khóa công khai, P2PK) đã phơi bày khóa công khai, máy tính lượng tử có thể tận dụng các khóa công khai này để lấy khóa riêng tương ứng. Hiện nay, hầu hết các địa chỉ hoạt động dựa trên loại đầu ra hiện đại------khóa công khai vẫn ở trạng thái ẩn trước khi chi tiêu------không dễ bị tấn công kiểu này. Tuy nhiên, Project Eleven ước tính rằng khoảng 7.1 triệu BTC, chiếm khoảng 35% tổng số, sẽ dễ bị đánh cắp nếu hôm nay có một máy tính lượng tử đủ khả năng. Trong số đó, khoảng ba phần tư được lưu trữ trong các địa chỉ được sử dụng lại------chủ yếu ở các sàn giao dịch lớn------nếu các sàn giao dịch chuyển tiền sang các địa chỉ một lần và áp dụng các thực hành và tiêu chuẩn lưu ký tốt hơn, rủi ro có thể được giảm thiểu. Tuy nhiên, còn khoảng 1.8 triệu BTC nằm trong các địa chỉ P2PK và hầu hết được giả định là đã mất, khiến việc di chuyển chúng đến các địa chỉ an toàn có thể không khả thi. Máy tính lượng tử, dù nhanh hay chậm, đều có thể tận dụng các khóa công khai đã phơi bày này, lần lượt lấy khóa riêng của nhà đầu tư nắm giữ tiền.

Tấn công trên đường đi hoặc phơi bày ngắn hạn. Các token trong mạng Bitcoin chỉ tiết lộ khóa công khai của chúng khi được chi tiêu, tạo ra một khoảng thời gian yếu ớt khoảng 10 phút (hoặc chính xác hơn, là thời gian giữa việc gửi giao dịch và được đưa vào khối). Một máy tính lượng tử đủ nhanh có thể tận dụng khoảng thời gian này để đánh cắp token trong quá trình giao dịch. Google ước tính rằng một thiết bị lượng tử có đồng hồ nhanh đã được làm nóng có thể hoàn thành tính toán để lấy khóa riêng trong thời gian nhanh nhất là 9 phút, khiến ngay cả các token ban đầu được lưu trữ trong các địa chỉ khó bị tấn công cũng có nguy cơ bị đánh cắp trong quá trình giao dịch điển hình.

Những hiểu lầm có thể phóng đại mối đe dọa

"Phần cứng lượng tử đã mở rộng và sẵn sàng." Hệ thống có hiệu suất trình diễn tốt nhất hiện tại------hệ thống của Quantinuum------đã tạo ra 48 qubit logic sửa lỗi. Để phá vỡ đường cong ellip của Bitcoin cần ít nhất khoảng 1,200 qubit.

"Trình diễn lượng tử đã chứng minh máy tính lượng tử liên quan đến mật mã." Chúng không chứng minh điều đó. Willow chứng minh là bộ nhớ sửa lỗi, không phải tính toán sửa lỗi quy mô lớn. Các bài báo của Google, Oratomic và IonQ vào năm 2026 là bản thiết kế, không phải máy đang hoạt động. Tỷ lệ lỗi thấp giữa nhiều qubit logic vẫn là một nút thắt cần giải quyết.

"Tất cả bitcoin sẽ ngay lập tức đối mặt với nguy cơ bị đánh cắp." Hầu hết bitcoin trong trạng thái tĩnh không dễ bị tấn công, vì khóa công khai vẫn ẩn sau hàm băm trước khi được chi tiêu. Nguyên nhân phơi bày lớn nhất------sử dụng lại địa chỉ------hiện nay có thể được giải quyết bằng cách chuyển sang địa chỉ chưa chi tiêu mới. Ngay cả khi cuộc tấn công xảy ra hôm nay, nó sẽ là mỗi lần thử nghiệm nhắm vào một khóa riêng, chứ không phải một lần nhắm vào toàn bộ nguồn cung dễ bị tấn công.

Những hiểu lầm có thể đánh giá thấp mối đe dọa

"Tối ưu hóa thuật toán Shor không quan trọng." Vào tháng 3, Google đã lý thuyết nén yêu cầu qubit logic cần thiết để phá vỡ ECDSA của Bitcoin khoảng 20 lần và chỉ ra rằng sự quan tâm đến tối ưu hóa đường cong ellip ít hơn nhiều so với hệ thống mật mã RSA (Rivest-Shamir-Adleman), điều này có nghĩa là vẫn còn nhiều không gian tối ưu hóa. Ví dụ, dự án ECDSA.fail đã tối ưu hóa các mạch của Google thêm gần 70%.

"Đó là chuyện của vài thập kỷ nữa, tại sao phải lo lắng?" Một cuộc khảo sát gần đây của các chuyên gia cho rằng xác suất xuất hiện của một máy đủ khả năng vào khoảng năm 2030 đến 2035 là khoảng 50%, các chính phủ đặt mục tiêu hoàn thành việc chuyển đổi sau lượng tử vào đầu đến giữa thập kỷ 2030, Google và Cloudflare đã đặt thời hạn nội bộ vào năm 2029. Cần lưu ý rằng những thời hạn này áp dụng khẩn cấp hơn cho chính phủ hoặc công ty để phòng ngừa các cuộc tấn công "thu hoạch trước, giải mã sau"------chủ yếu liên quan đến thông tin cá nhân có thể vẫn còn liên quan trong tương lai. Do Bitcoin có thể tự bảo vệ bằng cách di chuyển đến các địa chỉ ẩn khóa công khai, những thời hạn này có thể được coi là thực tiễn tốt nhất cho mạng lưới, chứ không phải là thời hạn bắt buộc.

"Chúng ta sẽ thấy nó đến trước." Những đột phá có thể giữ bí mật, hoặc được các quốc gia coi là bí mật, trong khi những vụ đánh cắp sớm có thể có vẻ rải rác, khó phân biệt với các vòng quay lưu ký thông thường hoặc giao dịch thanh toán.

Những gì đang được thực hiện ngày nay

Hiện nay, những người nắm giữ Bitcoin------bao gồm các sàn giao dịch, tổ chức và nhà đầu tư------đã bắt đầu thảo luận tích cực về các giải pháp để phòng ngừa mối đe dọa từ lượng tử, với các ưu tiên có thể như sau:

Di chuyển nguồn cung dễ bị tấn công từ địa chỉ tái sử dụng sang địa chỉ chưa chi tiêu. Đây là điều dễ thực hiện nhất, không cần sự đồng thuận của mạng hoặc phân nhánh mềm - nó hoàn toàn phụ thuộc vào các sàn giao dịch lớn và các bên lưu ký, cũng như những nhà đầu tư tự quản lý, áp dụng các thực hành bảo mật tốt hơn, chẳng hạn như luân chuyển đầu ra tiền thối, và tránh mọi giá việc tái sử dụng địa chỉ.

Thiết kế giải pháp chữ ký hậu lượng tử. Đến nay, đề xuất hàng đầu có thể thực hiện chống lại việc chi tiêu lượng tử trên Bitcoin là SHRINCS của Blockstream (viết tắt của "Shrunken SPHINCS"). Nó được xây dựng dựa trên SHA-256, có thể xử lý tối đa 3 giao dịch mỗi giây, trong khi tiêu chuẩn SPHINCS+ của Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST) chỉ là 0.36 giao dịch. Blockstream đã thử nghiệm giải pháp này trên Liquid Network vào tháng 3 năm 2026 và đã phát hành một đề xuất cải tiến Bitcoin (BIP) vào tháng 8 cùng với các nhà đóng góp khác. Chứng minh an toàn chính thức vẫn đang chờ hoàn thành, việc triển khai toàn mạng sẽ cần một lần phân nhánh mềm.

Đạt được sự đồng thuận về cách xử lý các token P2PK dễ bị tấn công trong Bitcoin, nhưng rất có thể đã bị mất. Khi Bitcoin đối mặt với mối đe dọa lượng tử trong những năm tới, đây có thể là vấn đề gây tranh cãi nhất. Khoảng 1,7 triệu BTC được lưu trữ trong khoảng 20,000 địa chỉ P2PK, trong đó bao gồm khoảng 1,1 triệu BTC ước tính thuộc về Satoshi Nakamoto. Theo Presidio Bitcoin, các tùy chọn nổi bật hiện tại trong thảo luận là: giữ cho chi tiêu kiểu cũ có hiệu lực (cho phép kẻ tấn công lượng tử "đánh cắp"); làm chậm chi tiêu kiểu cũ (giới hạn tốc độ di chuyển của các token dễ bị tấn công, hay còn gọi là "giới hạn tốc độ"); và đóng băng token và cung cấp con đường phục hồi (vô hiệu hóa tất cả chi tiêu Bitcoin kiểu cũ, nhưng cho phép chủ sở hữu khôi phục token thông qua chứng minh không biết từ cụm từ hạt giống của họ, tức là "đóng băng mềm"). Để có thêm thông tin rộng rãi về chủ đề quan trọng này, Presidio Bitcoin đã giải thích và cập nhật các kiến thức cơ bản tại đây.