Майкл Сейлор стверджує, що квантові технології зроблять Bitcoin «міцнішим», але ігнорує 1,7 мільйона монет, які вже знаходяться під загрозою

Michael Saylor зробив характерно сміливу заяву 16 грудня щодо Bitcoin та квантового стрибка:

“Квантовий стрибок Bitcoin: Квантові обчислення не зламають Bitcoin — вони зроблять його міцнішим. Мережа оновлюється, активні монети мігрують, втрачені монети залишаються замороженими. Безпека зростає. Пропозиція зменшується. Bitcoin стає сильнішим.”

Ця заява відображає оптимістичний сценарій для майбутнього Bitcoin у постквантову епоху. Однак технічні факти свідчать про складнішу картину, де фізика, управління та час визначають, чи зміцнить перехід мережу, чи спровокує кризу.

Квантові обчислення не зламають Bitcoin (якщо міграція відбудеться вчасно)

Основна теза Saylor ґрунтується на ідеї спрямованої істини. Головна квантова вразливість Bitcoin полягає у його цифрових підписах, а не у proof-of-work.

Мережа використовує ECDSA та Schnorr на основі secp256k1. Алгоритм Shor може отримати приватні ключі з публічних, коли стійкий до помилок квантовий комп’ютер досягне приблизно 2 000–4 000 логічних кубітів.

Сучасні пристрої працюють на порядки нижче цього порогу, тому криптографічно релевантні квантові комп’ютери з’являться щонайменше через десятиліття.

NIST вже затвердив захисні інструменти, які знадобляться Bitcoin. Агентство опублікувало два постквантові стандарти цифрових підписів — ML-DSA (Dilithium) та SLH-DSA (SPHINCS+) як FIPS 204 та 205, а FN-DSA (Falcon) просувається як FIPS 206.

Ці схеми стійкі до квантових атак і можуть бути інтегровані у Bitcoin через нові типи виходів або гібридні підписи. Bitcoin Optech відстежує чинні пропозиції щодо постквантової агрегації підписів та конструкцій на основі Taproot, а експерименти з продуктивності показують, що SLH-DSA може працювати з навантаженнями, подібними до Bitcoin.

Те, що Saylor опускає у своїй подачі — це вартість. Дослідження Journal of British Blockchain Association стверджує, що реалістична міграція — це захисний даунгрейд: безпека покращується проти квантових загроз, але пропускна здатність блоку може знизитися приблизно вдвічі.

Витрати на вузли зростають, оскільки сучасні постквантові підписи більші та дорожчі у верифікації. Комісії за транзакції зростають, оскільки кожен підпис займає більше місця у блоці.

Найскладніше — це управління. У Bitcoin немає центрального органу, який міг би наказати оновлення. Постквантовий soft fork вимагатиме переважної згоди серед розробників, майнерів, бірж та великих власників, які повинні діяти до появи криптографічно релевантного квантового комп’ютера.

Останній аналіз від a16z підкреслює, що координація та час становлять більший ризик, ніж сама криптографія.

Відкриті монети стають мішенню, а не замороженими активами

Твердження Saylor, що “активні монети мігрують, втрачені монети залишаються замороженими”, надто спрощує реальність on-chain. Вразливість повністю залежить від типу адреси та того, чи вже публічний ключ видно.

Ранні виходи pay-to-public-key розміщують сирий публічний ключ безпосередньо в ланцюзі та роблять його постійно відкритим.

Стандартні адреси P2PKH та SegWit P2WPKH приховують публічний ключ за хешем до моменту витрати монет, після чого ключ стає видимим і вразливим до квантових атак.

Taproot P2TR виходи кодують публічний ключ у виході з першого дня, роблячи ці UTXO відкритими ще до руху монет.

Аналізи оцінюють, що приблизно 25% всіх Bitcoin вже знаходяться у виходах із відкритими публічними ключами. Оцінки Deloitte та нещодавні дослідження щодо Bitcoin сходяться на цій цифрі, охоплюючи великі ранні P2PK баланси, діяльність кастодіанів та сучасне використання Taproot.

On-chain дослідження свідчать про приблизно 1,7 мільйона BTC у “Satoshi-era” P2PK виходах і ще сотні тисяч у Taproot виходах із відкритими ключами.

Деякі “втрачені” монети не заморожені, а радше безхазяйні й можуть стати здобиччю для першого атакуючого з відповідною машиною.

Монети, які ніколи не розкривали публічний ключ (одноразові P2PKH або P2WPKH), захищені хешованими адресами, для яких алгоритм Grover дає лише квадратне прискорення, що можна компенсувати налаштуванням параметрів.

Найбільш вразлива частина пропозиції — це саме неактивні монети, заблоковані на вже відкритих публічних ключах.

Ефекти на пропозицію невизначені, а не автоматичні

Твердження Saylor, що “безпека зростає, пропозиція зменшується”, чітко розділяється на механіку та спекуляції.

Постквантові підписи, такі як ML-DSA та SLH-DSA, розроблені для збереження безпеки проти великих, стійких до помилок квантових комп’ютерів і вже є частиною офіційних стандартів.

Ідеї міграції, специфічні для Bitcoin, включають гібридні виходи, які вимагають як класичних, так і постквантових підписів, а також пропозиції щодо агрегації підписів для зменшення навантаження на ланцюг.

Але динаміка пропозиції не є автоматичною, і існує три конкуруючі сценарії.

Перший — “скорочення пропозиції через покинутість”, коли монети у вразливих виходах, власники яких ніколи не оновлюються, вважаються втраченими або явно вносяться до чорного списку. Другий — “спотворення пропозиції через крадіжку”, коли квантові атакуючі знімають кошти з відкритих гаманців.

Третій сценарій — “паніка до фізики”, коли очікування наближення квантових можливостей провокує розпродажі або розкол ланцюга ще до появи реальної машини.

Жоден із цих сценаріїв не гарантує чистого зменшення циркулюючої пропозиції, що однозначно є бичачим сигналом. Вони так само можуть призвести до хаотичного переоцінювання, спірних форків і хвилі атак на старі гаманці.

Чи “зменшиться пропозиція” залежить від політики, темпів впровадження та можливостей атакуючих.
Proof-of-work на основі SHA-256 є відносно стійким, оскільки алгоритм Grover дає лише квадратичне прискорення.

Більш тонкий ризик криється у mempool, де транзакція, що витрачає з адреси з хешованим ключем, розкриває публічний ключ, поки чекає на підтвердження.

Останні аналізи описують гіпотетичну атаку “sign-and-steal”, у якій квантовий атакуючий стежить за mempool, швидко відновлює приватний ключ і змагається з конфліктною транзакцією з вищою комісією.

Що насправді говорить математика

Дорожня карта фізики та стандартів сходиться на тому, що квантові обчислення не зламають Bitcoin миттєво.

Є вікно, можливо, на десятиліття чи більше, для цілеспрямованої постквантової міграції. Однак ця міграція дорога й політично складна, і немала частка сьогоднішньої пропозиції вже знаходиться у квантово-вразливих виходах.

Saylor по суті правий, що Bitcoin може зміцнитися. Мережа може впровадити постквантові підписи, оновити вразливі виходи й отримати сильніші криптографічні гарантії.

Однак твердження, що “втрачені монети залишаються замороженими” і “пропозиція зменшується”, передбачає чистий перехід, у якому управління співпрацює, власники поступово мігрують, а атакуючі не використовують затримку.

Bitcoin може вийти сильнішим, з оновленими підписами й, можливо, певною ефективно спаленою пропозицією, але лише якщо розробники та великі власники діятимуть завчасно, координуватимуть управління й проведуть перехід без паніки чи масштабних крадіжок.

Чи стане Bitcoin сильнішим, залежить менше від термінів появи квантових можливостей, ніж від того, чи зможе мережа здійснити складне, дороге й політично напружене оновлення до того, як фізика наздожене. Впевненість Saylor — це ставка на координацію, а не на криптографію.

Публікація Michael Saylor каже, що квантові обчислення “зміцнять” Bitcoin, але він ігнорує 1,7 мільйона монет, які вже під загрозою, вперше з’явилася на CryptoSlate.