Могут ли квантовые компьютеры взломать биткоин? Риски и защита

Короткий ответ: не сегодня и, вероятно, не в ближайшие годы, но достаточно большой квантовый компьютер теоретически может взломать цифровые подписи, защищающие биткоин, поэтому разработчики уже готовят решение. Угроза очень конкретная. Квантовая машина не «взломает блокчейн» и не перепишет его историю. Она могла бы, в принципе, вычислить приватный ключ из публичного — и потратить чужие монеты.

В этом объяснителе — как это работало бы, какие монеты наиболее уязвимы, какие сроки обсуждают и что могут сделать владельцы. Материал образовательный и не является инвестиционным советом.

Как биткоин защищён сегодня

Биткоин опирается на два типа криптографии:

• Цифровые подписи (ECDSA и, со времён Taproot, Schnorr — обе на кривой secp256k1). Приватный ключ подписывает транзакцию, а любой может проверить подпись по публичному ключу. Обычные компьютеры не могут обратить эту математику и получить приватный ключ из публичного.
• Хеш-функции (SHA-256 и RIPEMD-160). На них держится майнинг, и они превращают публичные ключи в более короткие адреса, которыми вы делитесь.

Квантовые компьютеры атакуют эти два уровня совершенно по-разному.

Алгоритм Шора: настоящая угроза

В 1994 году математик Питер Шор опубликовал алгоритм, позволяющий квантовому компьютеру решать задачи, лежащие в основе RSA и криптографии на эллиптических кривых, несравнимо быстрее любой классической машины. Криптографически значимый квантовый компьютер с этим алгоритмом мог бы взять публичный ключ биткоина, вычислить приватный и подписывать транзакции вместо владельца.

Проблема в масштабе. Современные процессоры имеют от примерно сотни до около тысячи «шумных» физических кубитов. Для взлома кривой биткоина нужны тысячи кубитов с коррекцией ошибок, работающих часами или днями. В марте исследователи Google оценили, что машина с менее чем 500 000 физических кубитов могла бы сделать это при определённых допущениях; более ранние оценки доходили до миллионов. Каждый аппаратный шаг, как недавний результат Google Willow с «магическими состояниями», немного сокращает разрыв, но машины такого размера никто даже близко не показал.

Алгоритм Гровера: гораздо менее страшный

Алгоритм Гровера ускоряет перебор, но лишь квадратично. Для SHA-256 это примерно как вдвое снизить уровень безопасности — запас остаётся огромным. В майнинге квантовые машины тоже были бы медленными и дорогими по сравнению со специализированными ASIC-майнерами. Поэтому большинство исследователей считает слабым местом подписи, а не майнинг.

Какие монеты уязвимы?

Важно, виден ли ваш публичный ключ в блокчейне:

Quantum Alliance — группа компаний по криптобезопасности — оценивает, что около 6,4 млн BTC, примерно 30% предложения, лежат на адресах с открытыми публичными ключами, включая около 1,1 млн BTC, которые приписывают Сатоши Накамото (наш материал). Даже «скрытые» ключи ненадолго раскрываются при трате, пока транзакция ждёт подтверждения, так что в долгосрочной перспективе каждой монете нужен квантовобезопасный «дом».

Когда это может произойти?

Никто не знает. Оценки в недавних публикациях колеблются от 2028–2029 годов в самых смелых прогнозах до более чем десяти лет в осторожных, а несколько экспертов честно говорят: «неизвестно». Именно из-за этой неопределённости кастодианы вроде Coinbase настаивают, что миграцию нужно начинать уже сейчас: обновление глобальной сети занимает годы.

Как биткоин может стать квантовобезопасным

1. Новые схемы подписи. В 2024 году американский институт стандартов NIST опубликовал первые постквантовые стандарты, включая схемы подписи ML-DSA и SLH-DSA. Их подписи намного больше 64-байтных подписей Schnorr в биткоине — часто несколько килобайт, — что влияет на комиссии и место в блоках.
2. Софтфорк с новыми типами выходов. Предложения вроде BIP-360 позволили бы переводить монеты на адреса, которые тратятся квантовоустойчивыми подписями.
3. Период миграции. Кошелькам, биржам и кастодианам пришлось бы перемещать средства — как при переходе на SegWit, только ставки выше.
4. Решение по потерянным монетам. Самый сложный вопрос — что делать с монетами, владельцы которых их никогда не переместят. Идеи — от «оставить как есть» до заморозки или постепенного отключения уязвимых выходов, что противоречит обещанию биткоина: никто не может конфисковать средства.

У других сетей та же проблема. Аккаунты Ethereum раскрывают публичный ключ с первой транзакцией, Starknet голосовал за постквантовый путь, а разработчики Zcash работают над квантовой защитой приватных обменов.

Что можно сделать уже сейчас

• Не паникуйте и не спешите продавать. Практической квантовой атаки сегодня нет.
• Не используйте адреса повторно. Современные кошельки дают новый адрес для каждого получения — пользуйтесь этим.
• Обновляйте программы кошельков и прошивку аппаратных кошельков, чтобы перейти на квантовобезопасные типы адресов, когда они появятся. См. что такое аппаратный кошелёк и как безопасно хранить криптовалюту.
• Остерегайтесь «квантовозащищённых» предложений. Токены или сервисы, обещающие защитить ваши монеты в обмен на сид-фразу, — мошенничество; см. как распознать криптомошенничество.