9-минутное окно атаки, 7,1 миллиона BTC под угрозой: как Биткойн может спасти себя от квантовых угроз

Автор: Bitcoin Security Consortium, альянс, состоящий из лидеров отрасли, стремящихся к долгосрочной безопасности и стабильности протокола Биткойн.

Скомпилировано: Гу Юй, ChainCatcher

Отчет Bitcoin Security Consortium, выполненный в сотрудничестве с Presidio Bitcoin.

Ключевые моменты (TL;DR)

Недавние достижения в области квантовых вычислений реальны — но лишь постепенно: такие достижения, как Willow от Google и недавние оптимизации алгоритма Шора, вызвали беспокойство, однако криптографически связанные квантовые компьютеры (CRQC) еще не были продемонстрированы.

Риски для Биткойна от квантовых вычислений ограничиваются его схемой подписи, что проявляется в двух аспектах: статические атаки на уязвимые токены и атаки в пути на транзакции из пула памяти.

Решения уже определены и активно продвигаются: (1) перемещение средств с повторно используемых адресов, (2) разработка постквантовых схем подписи, (3) решение проблемы консенсуса по токенам P2PK, которые, вероятно, уже потеряны.

Возрождение квантовых вычислений?

После многих лет, казалось бы, стагнации, в области квантовых вычислений появилось все больше научных статей, подтверждающих его прогресс, и последующих заголовков, вызывающих беспокойство среди инвесторов по поводу безопасности биткойна. Эти заголовки включают:

Willow от Google (декабрь 2024 года). Впервые доказано, что добавление физических квантовых битов для защиты одного исправленного "логического" квантового бита делает этот логический квантовый бит более надежным, а не менее надежным.

Оптимизация алгоритма Шора от Google Quantum AI, Oratomic/Caltech и ECDSA.fail (2026 год). Google Quantum AI в сотрудничестве с Ethereum Foundation и Stanford сократил схему, используемую для взлома эллиптической кривой Биткойна с помощью алгоритма Шора, примерно в 20 раз по сравнению с предыдущими оценками. Oratomic и Caltech считают, что их оптимизация алгоритма Шора может взломать отдельный приватный ключ Биткойна за несколько дней. Наконец, проект ECDSA.fail — это доска результатов Eigen Labs — собрала исследователей и AI-агентов, которые в последующие месяцы сократили схему Google еще на 70%.

Оптимизация алгоритма Шора от IonQ (сентябрь 2026 года). Полный компиляционный план для запуска алгоритма Шора, который одновременно вычисляет как программное, так и аппаратное обеспечение — теоретически каждая попытка может решить отдельный приватный ключ примерно за 26 дней с вероятностью успеха 63,3%.

Выращивание магических состояний от Google (октябрь 2026 года). Квантовые вычисления требуют "магических состояний", то есть ресурсов, которые истощаются при каждом использовании и имеют высокую стоимость производства. Google на Willow доказал, что его протокол фильтрации снижает ошибки в этих состояниях примерно в 40 раз, достигая 99,99% логической достоверности.

Логическая достоверность "пяти девяток" от Quantinuum (октябрь 2026 года). Компьютер Quantinuum Helios имеет 5 ошибок на миллион операций (99,9995% логической достоверности), что примерно в 100 раз ниже, чем демонстрация Google. Каждый раз, когда масштаб кодирования увеличивается, ошибки снижаются в 12 раз (λ = 12).

Несмотря на то, что в настоящее время не существует криптографически связанных квантовых компьютеров (CRQC) — и эта технология все еще сталкивается с множеством инженерных проблем, таких как физическое расширение исправленных квантовых битов — почему эти заголовки вызывают интерес в сообществе Биткойна? Какова связь между Биткойном и квантовыми компьютерами? Давайте разберемся.

Краткое введение в квантовые вычисления

Ключевым элементом квантовых вычислений являются квантовые биты, или кубиты. В отличие от классических битов, которые хранят значения 0 или 1, кубиты обладают двумя уникальными свойствами квантовой механики:

Суперпозиция: один кубит может одновременно хранить смешанное значение 0 и 1, измерение заставляет эти значения коллапсировать в одно из них с взвешенной вероятностью.

Запутанность: два или более кубитов могут разделять общее состояние, измерение одного из них определяет значение другого, независимо от расстояния.

Эти свойства позволяют квантовым компьютерам одновременно исследовать множество кандидатов на ответ, одновременно уменьшая вероятность ошибок. Однако физические кубиты очень хрупки и подвержены декогеренции, то есть потере квантовой информации, что объясняет, почему многие компании нацелены на минимальное количество логических кубитов — логические кубиты состоят из нескольких избыточных физических кубитов, которые образуют исправленные кубиты, позволяя обнаруживать и исправлять ошибки, что делает вычисления и информацию надежными.

Для поиска минимального соотношения между физическими кубитами и логическими кубитами лаборатории квантовых вычислений исследуют наиболее эффективные аппаратные архитектуры, включая, но не ограничиваясь:

Суперпроводящие цепи (Google, IBM): маленькие проводящие кольца, охлажденные до близости абсолютного нуля, в которых поведение тока ведет себя как кубит. Эта технология может обеспечить быстрое время вычислений, но ее развитие идет медленно.

Нейтральные атомы (Oratomic): незаряженные атомы, фиксируемые лазерными массивами, называемыми "пинцетами", их электроны выступают в роли кубитов. Эта технология быстро расширяется, но теоретически время вычислений будет медленнее.

Захваченные ионы (Quantinuum, IonQ): заряженные атомы, управляемые лазером в электромагнитном поле — то есть ионы; в этом случае основное или возбужденное состояние ионов выступает в роли кубита. Вычисления относительно медленные; скорость расширения средняя.

Фотоника (PsiQuantum, Xanadu): световые частицы (фотоны), проходящие через чипы и оптические устройства; свойства каждого фотона выступают в роли кубита. Эта технология может обеспечить быстрое время вычислений, но временные рамки развития также кажутся медленными.

Квантовая угроза для Биткойна

Теоретически, криптографически связанный квантовый компьютер, работающий по алгоритму Шора, сможет взломать алгоритм цифровой подписи Биткойна на эллиптической кривой (ECDSA), который поддерживает право собственности и имущественные права в сети — он доказывает контрагенту право собственности на приватный ключ, не раскрывая этот приватный ключ. Важно отметить, что большая часть основной теории игр и экономических принципов Биткойна не относится к этой угрозе, например, его консенсус по транзакциям, график эмиссии и лимит предложения.

Атака на приватный ключ Биткойна представляет два фронта атаки для сети:

Долгосрочное раскрытие или статическая атака. Токены на повторно используемых адресах или старых адресах с низкой безопасностью (платежи на публичный ключ, P2PK) уже раскрыли публичные ключи, которые квантовые компьютеры могут использовать для получения соответствующих приватных ключей. В настоящее время большинство активных адресов, основанных на современных типах вывода — публичные ключи скрыты до момента расходования — не подвержены таким атакам. Однако Project Eleven оценивает, что около 7,1 миллиона BTC, что составляет примерно 35% от общего объема, будут легко украдены, если сегодня появится способный квантовый компьютер. Примерно три четверти из них хранятся на повторно используемых адресах — в основном на крупных биржах — если биржи переместят средства на одноразовые адреса и примут лучшие практики и стандарты хранения, риски могут быть снижены. Однако еще 1,8 миллиона BTC находятся на адресах P2PK и в основном считаются потерянными, что делает их перемещение на безопасные адреса, вероятно, невозможным. Квантовые компьютеры, независимо от скорости вычислений, могут использовать эти раскрытые публичные ключи, один за другим, чтобы получить приватные ключи, которые хранят средства инвесторов.

Краткосрочное раскрытие или атака в пути. Токены в сети Биткойн раскрывают свои публичные ключи только в момент расходования, создавая уязвимое окно примерно в 10 минут (или, точнее, время между подачей транзакции и ее включением в блок). Достаточно быстрый квантовый компьютер может использовать это окно, чтобы украсть токены во время транзакции. Google оценивает, что предварительно разогретое квантовое устройство с быстрым тактовым сигналом может завершить вычисление приватного ключа за рекордные 9 минут, что делает даже токены, которые изначально хранятся на защищенных адресах, подверженными риску кражи во время типичной транзакции.

Неправильные представления, которые могут преувеличить угрозу

"Квантовое оборудование уже расширено и готово к работе." В настоящее время система с наилучшей демонстрацией — система Quantinuum — производит 48 исправленных логических кубитов. Для взлома эллиптической кривой Биткойна требуется как минимум около 1200.

"Квантовые демонстрации уже доказали криптографически связанные квантовые вычисления." Они этого не сделали. Willow доказал исправленное хранилище, а не масштабируемые исправленные вычисления. Статьи Google, Oratomic и IonQ 2026 года являются чертежами, а не работающими машинами. Низкая ошибка операций между многими логическими кубитами все еще остается узким местом.

"Все биткойны немедленно будут подвержены краже." Большинство биткойнов в статическом состоянии не подвержены атакам, поскольку публичные ключи остаются скрытыми за хешем до момента расходования. Наиболее значительная причина раскрытия — повторное использование адресов — в настоящее время может быть решена путем перехода на новые нерасходованные адреса. Даже если атака произойдет сегодня, она будет направлена на каждый приватный ключ по отдельности, а не на всю уязвимую поставку сразу.

Неправильные представления, которые могут недооценить угрозу

"Оптимизация алгоритма Шора не имеет значения." В марте Google теоретически сократил требования к логическим кубитам, необходимым для взлома ECDSA Биткойна, примерно в 20 раз и отметил, что оптимизация эллиптической кривой получает гораздо меньше внимания, чем система RSA (Ривест-Шамир-Адлеман), что означает, что все еще есть пространство для оптимизации. Примером является проект ECDSA.fail, который еще больше оптимизировал схему Google почти на 70%.

"Это произойдет через десятилетия, зачем беспокоиться?" Недавние опросы экспертов показывают, что вероятность появления способной машины между 2030 и 2035 годами составляет около 50%, а правительства стремятся завершить постквантовую миграцию в начале или середине 2030-х годов, Google и Cloudflare установили внутренние крайние сроки на 2029 год. Следует отметить, что эти крайние сроки более срочны для правительств или компаний, которые должны защититься от атак "сначала собери, потом расшифруй" — в основном касающихся частной информации, которая все еще может быть актуальной в будущем. Поскольку Биткойн может защищаться, перемещая участников на адреса, скрывающие публичные ключи, эти крайние сроки могут рассматриваться как лучшие практики для сети, а не как обязательные сроки.

"Мы увидим это заранее." Прорывы могут оставаться конфиденциальными или рассматриваться государствами как секретные, а ранние кражи могут выглядеть случайными, трудно отличимыми от обычных операций хранения или транзакций.

Что делается сейчас

Сегодняшние держатели Биткойна — включая биржи, учреждения и инвесторов — уже активно обсуждают решения для защиты от квантовых угроз, приоритеты могут быть следующими:

Перемещение уязвимых поставок с повторно используемых адресов на нерасходованные адреса. Это самое простое из действий, не требующее сетевого консенсуса или мягкого форка — оно полностью зависит от крупных бирж и хранителей, а также от инвесторов, использующих самоуправление, чтобы применять лучшие практики безопасности, такие как ротация выходов сдачи и избегание повторного использования адресов любой ценой.

Разработка постквантовых схем подписи. На сегодняшний день ведущим предложением, способным реализовать защиту от квантовых атак на Биткойн, является SHRINCS от Blockstream (сокращение от "Shrunken SPHINCS"). Он основан на SHA-256 и может обрабатывать до 3 транзакций в секунду, в то время как стандарт SPHINCS+ от Национального института стандартов и технологий США (NIST) составляет всего 0,36 транзакции. Blockstream протестировала эту схему в Liquid Network в марте 2026 года и выпустила предложение по улучшению Биткойна (BIP) в августе с другими участниками. Официальное доказательство безопасности еще предстоит завершить, а развертывание по всей сети потребует мягкого форка.

Достигнуть консенсуса по тому, как обращаться с уязвимыми, но, вероятно, уже потерянными токенами на адресах P2PK в Биткойне. Это, возможно, самый спорный вопрос, с которым Биткойн столкнется в ближайшие годы, когда он будет сталкиваться с квантовыми угрозами. Около 1,7 миллиона BTC хранятся на примерно 20 000 адресах P2PK, включая оценочные 1,1 миллиона, принадлежащих Сатоши Накамото. По словам Presidio Bitcoin, наиболее обсуждаемыми вариантами в настоящее время являются: сохранить старые расходы действительными (позволить квантовым атакующим "украсть"); замедлить старые расходы (ограничить скорость движения уязвимых токенов, или так называемое "ограничение скорости"); и заморозить токены и предоставить путь к восстановлению (запретить все старые расходы Биткойна, но позволить владельцам вернуть токены через доказательство нулевого знания их семенных фраз, то есть "мягкая заморозка"). Для более широкого чтения по этой важной теме Presidio Bitcoin здесь излагает и обновляет основные знания.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.