Die mögliche Gefahr durch Quantencomputer für Bitcoin betrifft nicht nur die Frage, ob sich kryptografische Verfahren ersetzen lassen. Am 13. Oktober beschrieb der Krypto-Investor Nick Carter in einem Gespräch mit Luke Martin ein Extremszenario: Ein künftiger Quantencomputer könnte private Schlüssel knacken, ruhende Bitcoin bewegen und innerhalb von etwa zehn Blöcken zahlreiche Transaktionen auslösen. Große Transfers alter Bestände könnten das Vertrauen in die Kontrolle über diese Coins und in die Abwicklung im Netzwerk erschüttern – noch bevor überhaupt etwas verkauft wird.
Bei rund 6,04 Millionen BTC sind öffentliche Schlüssel exponiert
Eine Analyse von Glassnode vom 20. Mai schätzt, dass bei rund 6,04 Millionen Bitcoin öffentliche Schlüssel offengelegt wurden. Das entsprach damals 30,2 Prozent des ausgegebenen Bestands. Dazu zählen aktive Coins, deren Schlüssel nach einer Ausgabe oder durch die Wiederverwendung einer Adresse sichtbar wurden, frühe Ausgaben mit grundsätzlich offengelegten Schlüsseln wie P2PK sowie bestimmte Taproot-Ausgaben.
Das Risikoszenario setzt voraus, dass ein ausreichend leistungsfähiger Quantencomputer mit Shors Algorithmus aus einem öffentlichen Schlüssel den privaten Schlüssel ableiten und damit eine scheinbar gültige Ausgabesignatur erzeugen kann. Google hat in einer Studie modelliert, welche Rechenleistung ein solcher Angriff erfordern könnte. Belege dafür, dass auf diesem Weg bereits Bitcoin-Schlüssel wiederhergestellt wurden, gibt es jedoch nicht. Quantenangriffe auf Schlüssel gelten weiterhin als mögliches künftiges Risiko, nicht als bereits eingetretenes Ereignis im Netzwerk.
Der verfügbare Blockplatz könnte einem Angreifer dennoch erlauben, in kurzer Zeit viele Coins zu bewegen. Ein Beispiel: 50.000 frühe Ausgaben mit jeweils 50 BTC ergäben zusammen 2,5 Millionen BTC. Nach dem P2PK-Eingabebeispiel aus der Bitcoin-Entwicklerdokumentation würden diese Ausgaben rund 5,7 Millionen Byte beziehungsweise etwa 22,8 Millionen Weight Units beanspruchen – Transaktionszusatzdaten nicht eingerechnet. Das Blockgewichtslimit von Bitcoin erlaubt über zehn Blöcke insgesamt 40 Millionen Weight Units. Würden die Transaktionen aufgeteilt und jeweils unter dem Standardlimit von Bitcoin Core von rund 400.000 Weight Units gehalten, könnten sie theoretisch in dieses Zehn-Block-Fenster passen.
Zehn Blöcke garantieren keine Abwicklung
Ob die Transaktionen tatsächlich aufgenommen würden, hinge von den Gebühren, der Auslastung des Netzwerks und den Auswahlentscheidungen der Miner ab. Bitcoin erzeugt im Durchschnitt etwa alle zehn Minuten einen Block. Zehn Blöcke würden daher typischerweise rund 100 Minuten dauern; die tatsächliche Zeit kann aber deutlich abweichen. Auch Skripttypen, Ausgabebedingungen und die Zahl der Empfängeradressen beeinflussen, wie viel Blockplatz eine solche Massenübertragung benötigt.
Ein Quantenangriff würde vorhandene Bitcoin übertragen, nicht den Bestand vergrößern. Sichtbare Transfers großen Umfangs könnten Anleger und andere Halter verunsichern, noch bevor Coins verkauft werden. Ob daraus stärkere Marktschwankungen entstünden, hinge unter anderem von den Reaktionen der Börsen, der verfügbaren Liquidität und der Einschätzung der Herkunft der Coins ab. Offen gelegte öffentliche Schlüssel, inaktive Halter, dauerhaft verlorene private Schlüssel und die Frage, ob manche frühen Coins Satoshi Nakamoto gehören, sind dabei unterschiedliche Sachverhalte.
Der Sicherheitsforscher Jameson Lopp schätzte in einer Analyse vom 21. Mai, dass bei etwa 2,6 Millionen Bitcoin mit offengelegten öffentlichen Schlüsseln eine Migration möglicherweise nicht mehr möglich wäre. In seine Schätzung flossen Indikatoren wie lange Inaktivitätszeiträume und bekannte Zuordnungen zu Entitäten ein. Sie belegt nicht, dass die Coins ihren rechtmäßigen Eigentümern definitiv nicht mehr zugänglich sind.
Schutzmaßnahmen könnten auch rechtmäßige Halter treffen
Blieben die bisherigen Ausgaberegeln bestehen, könnte weiterhin jeder Coins bewegen, der einen gültigen privaten Schlüssel vorlegt – auch ein Angreifer, der künftig einen Schlüssel wiederherstellt. Eine Einschränkung älterer Signaturen hätte den gegenteiligen Effekt: Rechtmäßige Halter, die ihre Coins nicht rechtzeitig verschieben oder neue Wiederherstellungsbedingungen nicht erfüllen können, könnten den Zugriff verlieren. Darin liegt der zentrale Zielkonflikt bei Schutzmaßnahmen gegen Quantenangriffe: Mehr Sicherheit für nicht migrierte Coins könnte zugleich die Möglichkeiten legitimer Eigentümer einschränken.
Der aktuelle Entwurf BIP-360 schlägt einen Ausgabetyp namens Pay-to-Merkle-Root vor. Er soll einen potenziell schlüsseloffenlegenden Ausgabepfad bei Taproot entfernen und die langfristige Angriffsfläche verringern, solange der öffentliche Schlüssel verborgen bleibt. BIP-361 skizziert ein stufenweises Vorgehen: Etwa drei Jahre nach einer Aktivierung sollen neue verwundbare Empfangsadressen eingeschränkt werden. Rund zwei Jahre später könnte die Nutzung älterer Signaturen über Wiederherstellungsbedingungen weiter begrenzt werden. Googles eigener Zeitplan für die Umstellung kryptografischer Verfahren nennt 2029 als vorsorgliches Ziel – daraus ergibt sich jedoch keine Konsensregel für Bitcoin.
Einige Vorschläge für die Wiederherstellung setzen auf ein besonders geschütztes übergeordnetes Wallet-Geheimnis. Selbst wenn ein Angreifer den Schlüssel für eine einzelne Ausgabe wiederherstellen könnte, würde er dadurch in der Regel nicht auch dieses zusätzliche Geheimnis erhalten. Bei P2PK-Ausgaben betrachten die Autoren des Entwurfs den Nachweis des Eigentums allerdings weiterhin als ungelöstes Problem.
Gegenmaßnahmen sind noch nicht abgestimmt
Am 1. Mai stellte Dan Robinson das Konzept PACT vor. Es untersucht, ob sich die Kontrolle über eine Adresse mithilfe datenschutzwahrender Zeitstempel belegen lässt. Falls künftige Regeln solche Nachweise anerkennen, müssten Halter die entsprechenden Belege erstellen und aufbewahren, bevor eine Wiederherstellung von Schlüsseln durch Quantencomputer praktikabel wird. Wie gut der Ansatz schützt, hängt davon ab, ob Standards zur Prüfung festgelegt und im gesamten Ökosystem übernommen werden.
Der im Februar veröffentlichte Entwurf Hourglass V2 setzt direkter auf Begrenzungen: Pro Block soll höchstens eine P2PK-Ausgabe möglich sein, während die Nettoausgaben auf 1 Bitcoin je Block gedeckelt würden. Das könnte die Abflüsse eines potenziellen Angreifers verlangsamen. Die Beschränkungen würden aber auch rechtmäßige Halter treffen und umfangreiche Migrationen in die Länge ziehen.
Keiner dieser Vorschläge ist bislang zu einer einheitlichen Regel des Bitcoin-Netzwerks geworden. Änderungen im BIP-Verfahren müssten zunächst in Software umgesetzt, von Nodes betrieben und im Ökosystem akzeptiert werden. Carters Szenario wirft damit eine grundlegende Eigentumsfrage auf: Wenn eine gewöhnliche Signatur den ursprünglichen Halter nicht von einem Quantenangreifer unterscheiden kann, welche Belege für Kontrolle sollte Bitcoin anerkennen – und wie lassen sich Halter schützen, die ihre Coins nicht rechtzeitig migrieren konnten?