Где-то прямо сейчас кто-то может тихо копировать зашифрованный блокчейн-трафик, складывать его в архив и ждать. Не потому, что они могут взломать это сегодня — а потому, что ставят на то, что смогут через несколько лет. Это не гипотетика. Это уже происходит, и у этого есть название: Harvest Now, Decrypt Later («Собирать сейчас, расшифровать позже»).
Вот в чем механизм. Каждый раз, когда вы тратите средства с адреса Bitcoin или Ethereum, ваша исходная открытая (public) ключевая информация выставляется в сети, чтобы подтвердить транзакцию. Достаточно мощный квантовый компьютер, работающий по алгоритму Шора, может взять эту раскрытую публичную ключевую информацию и вывести ваш закрытый ключ напрямую — не угадыванием, а решением лежащей в основе математики способом, который обычные компьютеры просто не могут выполнить. Исследователи оценивают, что для этого требуется примерно 1 200 логических кубитов при стандартном 256-битном шифровании эллиптических кривых. Никто пока не построил такую машину. Но противнику не нужно иметь ее прямо сейчас — достаточно, чтобы ваша публичная ключевая информация была записана уже сейчас, чтобы они могли выполнить вычисления, как только появится нужное оборудование. Это ставит под риск, по оценкам, 470 миллиардов долларов в цифровых активах — в основном в кошельках и устаревших форматах адресов, где публичные ключи уже лежат на блокчейне в раскрытом виде.
Важно знать: не каждая часть криптографии в блокчейне одинаково уязвима. Квантовые компьютеры атакуют хеш-функции вроде SHA-256 по-другому — через алгоритм Гровера, который дает лишь квадратичное ускорение, то есть фактически уменьшает стойкость SHA-256 вдвое: с 2²⁵⁶ до 2¹²⁸ операций. Это все еще астрономически большое число. Проблема с хешированием решается просто использованием более длинных хешей. Реальная срочность — целиком со стороны открытых ключей.
Вот почему хеширование адресов незаметно дает индустрии время — Bitcoin не показывает ваш открытый ключ в сыром виде, пока вы не потратите средства с адреса, поэтому сейчас бездействующий кошелек, который никогда не использовался, оказывается защищен. Момент раскрытия наступает при трате — или когда транзакция находится в mempool и ждет подтверждения.
$ETH и $BTC занимаются исправлением на совершенно разных временных шкалах. Дорожная карта Ethereum включает предлагаемое разветвление (fork), нацеленное на нативные постквантовые подписи напрямую на уровне протокола, а также обновление для абстракции аккаунтов, предназначенное для того, чтобы кошельки могли переключаться на квантово-устойчивые контракты без изменения адресов. Путь Bitcoin — более запутанный: по оценкам, 6,9–7 миллионов BTC находятся в старых адресах, где был раскрыт открытый ключ; значительная часть, как предполагается, утеряна. Миграция означает либо оставить этот Bitcoin навсегда уязвимым, либо добиться того, чтобы сообщество согласилось заморозить монеты, которые никто не может доказать, что они по-прежнему контролирует, — это борьба за управление (governance), а не только инженерная задача.
Регуляторы не ждут, пока завершатся споры. NIST уже утвердил стандарты постквантовой криптографии, а федеральные дедлайны миграции приходятся на 2030–2031 годы — то есть любой цепочке, которая хочет сохранять доступ к институциональным деньгам, идет обратный отсчет, независимо от того, договорилось ли ее сообщество о плане или нет.
Итак, вот реальная дилемма, которая лежит в основе всего этого: если в конечном итоге придется выбрать между заморозкой миллиардов в бездействующих, раскрытых монетах, чтобы защитить сеть, или оставлением их как открытое приглашение — что, как вы думаете, децентрализованное сообщество согласится сделать в первую очередь?