Coinbase: биткоин пора защищать от квантовых взломов, а монеты Сатоши подождут
Биржа Coinbase опубликовала в блоге список требований к защите биткоина от будущих квантовых компьютеров. Начинать, по её мнению, нужно уже сейчас, а спор о судьбе древних кошельков, включая запасы Сатоши Накамото, лучше вынести за скобки.
Семь миллионов монет на виду
Квантовый компьютер, способный сломать подписи биткоина, пока существует в основном в чертежах и пресс-релизах. Но у части монет проблема заложена в самом адресе: открытый ключ владельца известен всем, и будущему взломщику не придётся его искать.
Консультативный совет Coinbase по квантовым вычислениям оценил такие запасы примерно в 7 млн BTC. Около 1,7 млн лежат на самых старых типах адресов, где ключ открыт с самого начала. Среди них ранние намайненные монеты, к которым, возможно, давно потерян доступ. Ещё порядка 5 млн оказались под ударом из-за повторного использования адресов.
В апрельском документе тот же совет написал, что клиентские активы сегодня в безопасности: подходящей машины нет. Но переход, по его мнению, надо готовить заранее. Американский институт стандартов NIST рекомендует завершить миграцию на постквантовую криптографию к 2035 году.
Российского владельца биткоина это касается так же, как американского, потому что сеть одна. Повторно пользоваться одним адресом как раз и значит оставлять ключ на виду.
Чего хочет Coinbase
Пожелания биржа изложила в блоге во вторник. Общая рамка такая: стратегия перехода должна защищать и старые, и вновь созданные средства, не раздувать блоки и оставлять полным узлам возможность проверять сеть своими силами. Она должна подходить институциональным владельцам и обычным кошелькам. Для монет, которые не могут или не хотят двигаться, нужен запасной путь миграции.
Дальше идут семь пунктов:
- Гибкая схема. Отделить «контейнер» для монет от способа подписи, чтобы постквантовые подписи можно было подключать и менять позже.
- Постепенный переход. В том числе режим «один из двух»: потратить средства можно либо обычным ключом, либо постквантовым. Тот же режим совет рекомендовал ещё в апрельском документе.
- Дружба с MPC. Так называют метод, при котором ключ делится на части. Он защищает от кражи, им пользуются Coinbase и многие её крупные клиенты.
- Ранний старт. Готовиться задолго до появления квантового компьютера, способного взламывать шифрование (CRQC).
- Подписи «без состояния». Сохранить возможность их использования.
- Надёжные реализации.
- Дорожка для опоздавших. Путь для кошельков, которые уйдут на новую схему в последний момент.
Про подписи «без состояния» стоит пояснить. У части хеш-подписей кошелёк обязан помнить, какие одноразовые ключи уже потрачены, и ошибка в этом учёте ломает защиту. Версии без состояния такой памяти не требуют, зато сами подписи получаются тяжелее.
Монеты Сатоши: потом
Самое заметное в публикации то, чего в ней нет. Coinbase не требует сначала решить, что делать со старыми уязвимыми монетами. Их судьбу она предлагает считать отдельной задачей, управленческой и инженерной.
В эту корзину попадают монеты на ранних адресах с постоянно открытым ключом и другие древние активы, включая адрес Сатоши. Часть таких кошельков наверняка отрезана потерянными ключами. Тот, кто первым соберёт нужный квантовый компьютер, сможет забрать эти монеты себе.
Отсюда и спор: замораживать их или нет. В предложении BIP-361 один из соавторов — Джеймсон Лопп, сооснователь и главный по безопасности Casa. Оно сначала запрещает отправлять средства на уязвимые адреса, а потом ограничивает траты с них, если владелец не докажет права квантово-устойчивым способом.
Июньский отчёт совета Coinbase разбирал варианты: жёсткий срок миграции с заморозкой или даже сжиганием непереехавших монет, оставить всё как есть, промежуточные схемы. Сторону совет не занял. Сейчас биржа хочет одного: чтобы защита была доступна тем, кто готов переехать.
Что уже делают разработчики
Coinbase сама признаёт, что работа идёт. BIP-360 описывает новый тип вывода Pay-to-Merkle-Root (P2MR), а в публичных обсуждениях ходит альтернатива под названием P2TRv2. В августе исследователь StarkWare отправил в основной сети первую квантово-устойчивую транзакцию, не меняя правил консенсуса. Правда, это скорее аварийный выход, чем решение.
Для подписей биржа предлагает оценить ML-DSA, SLH-DSA и FN-DSA, а также SHRINCS. Это компактная схема на хешах от Blockstream Research: у неё есть путь «с состоянием» и запасной «без состояния» на базе SLH-DSA.
Сама Coinbase входит в консорциум по безопасности биткоина вместе с BlackRock, Fidelity Digital Assets и Strategy. В июле участники пообещали выделить 15 млн долларов за три года на разработчиков и исследователей. По курсу ЦБ начала октября это около 1,3 млрд рублей. По данным отраслевых изданий, биржа параллельно делает постквантовую версию собственной системы управления ключами, срок называют около года.
Изменения консенсуса и миграция всей экосистемы могут занять годы, поэтому Coinbase просит не тянуть. В обычных условиях это так. При настоящей тревоге биткоин, вероятно, шевелился бы быстрее. С другой стороны, разработчики не любят менять протокол из страха, а поспешное квантовое обновление считают потенциальной дырой само по себе.
Квантовый ли главный враг
Недавно Джастин Дрейк из Ethereum Foundation написал в X, что математические прорывы ИИ могут сломать ECDSA раньше квантовых компьютеров. Это та самая подпись, которую защищает биткоин и на которую нацелены квантовики. В худшем случае, по его словам, речь о месяцах, а не годах. Владельцам он советовал спокойно переложить деньги на адреса, чьи ключи ни разу не раскрывались.
Глава криптографии Coinbase Йехуда Линделл и другие специалисты возразили. Он назвал это нагнетанием паники без доказательств. Умение ИИ доказывать трудные теоремы, по его словам, ничего не говорит о том, что задачи, на которых держится криптография, перестали быть трудными.
Не тот тон, что в 2015-м
Пост Coinbase оформила как отправную точку для открытого обсуждения, а не как инструкцию или окончательную позицию. Для компании с таким прошлым тон непривычно скромный. В 2015–2017 годах глава Coinbase Брайан Армстронг был одним из самых активных сторонников альтернативных клиентов биткоина с увеличенным лимитом блока через хардфорк. Затем компания подписала Нью-Йоркское соглашение по SegWit2x. Критики видели в нём корпоративный захват сети, и в итоге оно провалилось.
В письме инвесторам 2016 года, всплывшем в материалах по делу Эпштейна, Армстронг писал, что Coinbase за кулисами работает с несколькими командами, чтобы протокол продолжал масштабироваться и его не сдерживали ранние идеалисты.
Сегодня Coinbase держит около 5% всех существующих биткоинов, а свои корпоративные запасы пополняет еженедельными покупками.
Источники:
Xrust: Coinbase: биткоин пора защищать от квантовых взломов, а монеты Сатоши подождутКомментарии
