Обрахунок до кінця ери квантових комп'ютерів? Генеральний директор Blockstream: у Біткойна ще є 20 років на підготовку

Генеральний директор Blockstream Адам Бек заявив, що Біткойн «можливо» не зіткнеться з жодними атаками квантових комп'ютерів, пов'язаними з криптографією, протягом наступних 20-40 років. Протягом багатьох років квантові комп'ютери були найпомітнішим сценарієм кінця світу в сфері криптоактивів, і щоразу, коли якась лабораторія оголошує про досягнення в квантових бітів, ця загроза періодично знову виникає.

Періодична паніка щодо кінця світу від квантових комп'ютерів

Протягом багатьох років сценарій апокаліпсису з квантовими комп'ютерами залишався найбільшою загрозою у сфері криптоактивів, явищем, яке є віддаленим, але має загрозу для виживання. Щоразу, коли якась лабораторія оголошує про досягнення в квантових бітах, ця загроза періодично знову з'являється. Розвиток історії слідує передбачуваній траєкторії: дослідники досягають певних поступових проривів, у соціальних мережах спалахують прогнози “Біткойн мертвий”, а потім новинний цикл продовжує рухатися вперед.

Але коментар Адама Бека 15 листопада щодо X розвіяв цю плутанину, запропонувавши те, чого терміново не вистачає в цій галузі: часову лінію, засновану на фізиці, а не на паніці. Генеральний директор Blockstream Бек раніше заявляв, що його система доказу роботи Hashcash з'явилася раніше за сам Біткойн. Коли його запитали, як прискорити дослідження в галузі квантової фізики, він дав відверту оцінку: Біткойн в найближчі 20-40 років “можливо” не зіткнеться з жодною атакою квантових комп'ютерів, пов'язаною з криптографією.

Більш важливо, що він підкреслив, що Біткойн не повинен пасивно чекати на той день. NIST вже стандартизував схеми квантового безпечного підпису (наприклад, SLH-DSA), Біткойн може впроваджувати ці інструменти через м'яке оновлення задовго до того, як будь-яка квантова машина стане справжньою загрозою. Його коментарі перетворюють ризик квантових комп'ютерів на неминучу катастрофу на інженерну проблему, яку можна вирішити, і в нього є десятиліття, щоб це зробити.

Це розрізнення є надзвичайно важливим, оскільки справжні недоліки Біткойна не такі, як більшість людей вважає. Загроза не походить від хеш-функції SHA-256, яка використовується для забезпечення безпеки процесу видобутку, а від ECDSA та підписів Шнора, які базуються на еліптичній кривій secp256k1, тобто від шифрувальної технології, яка використовується для підтвердження права власності. Квантові комп'ютери, що виконують алгоритм Шора, можуть розв'язувати задачу дискретного логарифму на secp256k1, витягуючи приватний ключ з публічного, внаслідок чого вся модель власності стає недійсною. У чисто математичній сфері алгоритм Шора робить еліптичну криптографію застарілою.

Гігантська прірва між теорією інженерії та реальністю

Але математика та інженерія існують у різних сферах. Для розбивання 256-бітної еліптичної кривої потрібно приблизно від 1600 до 2500 логічних квантових бітів. Кожен логічний квантовий біт потребує тисячі фізичних квантових бітів для підтримки когерентності та виправлення помилок. Згідно з аналізом, проведеним на основі роботи Мартіна Реттелера та ще трьох дослідників, для злому 256-бітного EC ключа в вузькому часовому вікні, пов'язаному з Біткойн транзакціями, при реальному рівні помилок знадобиться приблизно 317 мільйонів фізичних квантових бітів.

Розуміння поточного стану квантового апаратного забезпечення є надзвичайно важливим. Системи нейтральних атомів Каліфорнійського технологічного інституту працюють з приблизно 6100 фізичними квантовими бітами, але ці кубіти мають шум і не мають механізмів виправлення помилок. Більш зрілі системи на основі вентилів від Quantinuum та IBM можуть працювати з десятками до сотень логічно якісних квантових бітів. Різниця між поточними можливостями та їхньою релевантністю до криптографії становить кілька порядків, це не просто невеликий прогрес, а величезний розрив, який потребує принципових проривів у якості кубітів, виправленні помилок та масштабованості.

Національний інститут стандартів і технологій США (NIST) у своєму поясненні з післяквантової криптографії чітко зазначає: наразі немає жодного квантового комп'ютера, пов'язаного з криптографією, і прогнози експертів щодо часу його появи мають значні розбіжності; деякі експерти вважають, що “менше ніж за 10 років” це ще можливо, тоді як інші експерти стверджують, що поява квантового комп'ютера повинна чекати принаймні до 2040 року. Медіанне бачення зосереджено на середній половині 2030-х років, що робить часовий інтервал, запропонований Беком, від 20 до 40 років, здавалося б, консервативним, а не необачним.

Перехід від поточних 6100 фізичних квантових бітів до необхідних 317 мільйонів фізичних квантових бітів потребує не лише інженерної оптимізації, але й прориву в основній фізиці. Прихильники апокаліпсису квантових комп'ютерів часто ігнорують цей експоненційний розрив, помилково трактуючи поступове зростання кількості квантових бітів як неминучу загрозу.

Маршрут міграції вже існує та розвивається

Коментар Back про те, що «Біткойн може оновлюватися з часом», вказує на конкретні пропозиції, які вже поширюються серед розробників. BIP-360, під заголовком «Оплата стійким до квантового хешування», визначає нові типи виходу, умови витрат яких включають класичні підписи та постквантові підписи. Один UTXO може використовуватися в обох схемах, що забезпечує поступову міграцію, а не жорстке завершення.

Jameson Lopp та інші розробники на основі BIP-360 розробили багаторічний план міграції. По-перше, через м'який хардфорк додати підтримку нових типів адрес для PQ. Потім поступово заохочувати або субсидувати перенесення токенів з вразливих вихідних адрес на вихідні адреси, захищені PQ, і в кожному блоці спеціально резервувати певний обсяг блочного простору для цих «рятувальних» операцій. Ще в 2017 році академічне співтовариство вже пропонувало подібні варіанти переходу.

Аналіз клієнта вказує на важливість цього факту. Приблизно 25% Біткойн (близько 4 до 6 мільйонів монет) зберігаються на адресах, де публічний ключ вже опублікований в ланцюзі. Ранні виходи публічних ключів Біткойн (P2PKH), повторно використовувані адреси P2PKH, а також деякі виходи Taproot належать до цього типу. Як тільки атака Шора на основі secp256k1 стане можливою, ці монети відразу стануть мішенню для атаки.

Рівні захисту Біткойна від квантових загроз

Високоризикові активи (25%): старі адреси з відкритими ключами, які можуть бути безпосередньо атаковані квантовими комп'ютерами

Активи середнього ризику: сучасні адреси, що повторно використовуються, публічний ключ, який розкривається після першої транзакції

Низькоризикові активи: нові, невикористані адреси SegWit/Taproot, публічний ключ прихований за хешем

Безризиковий актив: адреси, що використовують схему підпису PQ в майбутньому, повністю стійкі до квантових атак.

Сучасні найкращі практики забезпечили значний рівень захисту. Користувачі, які використовують нові адреси P2PKH, SegWit або Taproot без повторного використання, можуть отримати ключову часову перевагу. Для цих виходів відкритий ключ залишався прихованим за хешем до першого витрачання, що зменшує вікно часу для атакуючого, щоб запустити Shor під час підтвердження в мемпулі, яке вимірюється в хвилинах, а не роках.

Інструменти післяквантової криптографії готові

Back згадує, що SLH-DSA не є випадковим згадуванням. У серпні 2024 року NIST остаточно визначив першу групу стандартів після квантового періоду: FIPS 203 ML-KEM для упаковки ключів, FIPS 204 ML-DSA для цифрових підписів на основі решітки, а також FIPS 205 SLH-DSA для безстанційних хешованих цифрових підписів. NIST також стандартизував XMSS і LMS як станційні хеш-схеми, а рішення на основі решітки Falcon також знаходиться в розробці.

Розробники Біткойн тепер можуть вибрати з ряду алгоритмів, затверджених NIST, а також можуть звертатися до відповідних реалізацій і бібліотек. Реалізація, зосереджена на Біткойн, вже підтримує BIP-360, що вказує на те, що інструменти постквантової криптографії вже існують і постійно вдосконалюються. Цей протокол не вимагає винаходу абсолютно нової математики, він може використовувати встановлені стандарти, які були піддані криптоаналізу протягом багатьох років.

Але це не означає, що процес реалізації проходить без труднощів. У статті, опублікованій у 2025 році, досліджується SLH-DSA, виявляючи, що вона підлягає атакам збою типу Rowhammer, і підкреслюється, що, хоча безпека залежить від звичайних хеш-функцій, під час реалізації необхідно проводити зміцнення. Післяквантові підписи також споживають більше ресурсів, ніж класичні підписи, що викликає занепокоєння щодо масштабів транзакцій і економічності витрат. Але це інженерні проблеми з відомими параметрами, а не нерозв’язані математичні загадки.

Різниця між сценами апокаліпсису квантових комп'ютерів та реальними інженерними викликами полягає в тому, що перші є неконтрольованою фізичною загрозою, тоді як останні – це проблеми, які можна вирішити шляхом оновлення програмного забезпечення, координації спільноти та управління часом.

Загроза 2025 року – це управління, а не квантова фізика

Біткойн-траст iShares під управлінням BlackRock (IBIT) у травні 2025 року змінив проспект, включивши велику кількість розкриттів інформації про ризики квантових комп'ютерів, попередивши, що достатньо розвинуті квантові комп'ютери можуть знищити шифрування Біткойна. Аналітики одразу зрозуміли, що це стандартне розкриття ризиків, яке подається разом із загальними технологічними та регуляторними ризиками, а не сигнал BlackRock про очікувані квантові атаки. Нещодавні загрози пов'язані з настроєм інвесторів, а не з технологією квантових комп'ютерів.

Дослідження SSRN 2025 року виявило, що новини, пов'язані з квантовими комп'ютерами, викликають частковий перехід капіталу до криптоактивів, спеціально націлених на квантові обчислення. Проте традиційні криптоактиви демонструють лише незначні негативні доходи та різке зростання обсягу торгівлі до та після таких новин, а не структурну переоцінку. Коли йдеться про справжні фактори, що впливають на динаміку Біткойн у 2024 та 2025 роках, квантові обчислення рідко розглядаються як безпосередня причина, через ETF-інвестиції, макроекономічні дані, регулювання та цикли ліквідності.

Питання визначення квантової стійкості Біткойна полягає у тому, чи зможуть розробники досягти консенсусу навколо BIP-360 або подібних пропозицій; чи зможе спільнота заохочувати міграцію традиційних монет без розколу; і чи зможе комунікація залишатися достатньо раціональною, щоб запобігти паніці, що перевищує фізичні закони. До 2025 року квантові комп'ютери створять виклики в управлінні, що вимагає розробки дорожньої карти на 10-20 років, а не каталізатора, що визначає цінові тенденції в цьому циклі. Розвиток фізики повільний, але його дорожня карта чітко видна. Роль Біткойна полягає у впровадженні інструментів, готових до PQ, до приходу апаратного забезпечення, і при цьому не викликати управлінського колапсу, уникаючи перетворення вирішуваної проблеми на самостворену кризу.