Risiko pengkomputeran kuantum terhadap Bitcoin bukan sekadar soal menggantikan algoritma kriptografi. Dalam temu bual pada 13 Oktober, pelabur kripto Nick Carter mengemukakan senario ekstrem: komputer kuantum yang mampu memecahkan kunci Bitcoin mungkin membolehkan penyerang mendapatkan semula kunci peribadi bagi syiling yang lama tidak bergerak, lalu menyiarkan banyak transaksi dalam kira-kira 10 blok. Pergerakan serentak syiling Bitcoin awal boleh menggugat keyakinan terhadap pemilikan aset dan peraturan penyelesaian rangkaian.
Kira-kira 6.04 juta BTC mempunyai kunci awam terdedah
Dalam analisis bertarikh 20 Mei, Glassnode menganggarkan kira-kira 6.04 juta Bitcoin—bersamaan 30.2% daripada bekalan yang telah diterbitkan pada masa itu—berada dalam keadaan kunci awamnya terdedah. Angka ini merangkumi aset aktif yang pernah dibelanjakan atau menggunakan semula alamat sehingga kunci awamnya kelihatan, output lama seperti P2PK yang mendedahkan kunci awam secara langsung, serta sebahagian output berkaitan Taproot.
Andaian utama di sebalik serangan kuantum ialah komputer kuantum yang cukup berkuasa boleh menggunakan algoritma Shor untuk memperoleh kunci peribadi daripada kunci awam, kemudian menghasilkan kebenaran perbelanjaan yang kelihatan sah. Kajian awam Google pernah memodelkan sumber pengkomputeran yang diperlukan untuk serangan sedemikian pada masa depan. Namun, setakat ini tiada bukti bahawa pemulihan kunci Bitcoin melalui kaedah itu telah berjaya dilakukan. Ancaman terhadap kunci kuantum masih merupakan risiko masa depan, bukannya insiden rangkaian yang sedang berlaku.
Ruang blok pula mungkin membolehkan penyerang memindahkan aset dalam jumlah besar dalam tempoh singkat. Sebagai contoh, 50,000 output lama dengan 50 BTC setiap satu berjumlah 2.5 juta BTC. Berdasarkan contoh input P2PK dalam dokumentasi pembangun Bitcoin, input tersebut memerlukan kira-kira 5.7 juta bait, atau sekitar 22.8 juta unit berat sebelum mengambil kira kos tambahan transaksi. Had keseluruhan 10 blok ialah 40 juta unit berat. Jika transaksi dipecahkan kepada kelompok yang masing-masing mematuhi had standard kira-kira 400,000 unit berat dalam Bitcoin Core, pemindahan itu secara teori boleh dimuatkan dalam kapasiti 10 blok.
Kapasiti 10 blok tidak menjamin transaksi disahkan
Sama ada transaksi benar-benar dimasukkan ke dalam blok bergantung pada yuran, kesesakan rangkaian dan pilihan pelombong. Bitcoin menghasilkan satu blok secara purata setiap 10 minit, maka 10 blok lazimnya mengambil kira-kira 100 minit, walaupun tempoh sebenar boleh berubah dengan ketara. Jenis skrip, syarat perbelanjaan dan bilangan output penerima juga mempengaruhi ruang blok yang diperlukan bagi pemindahan pukal.
Serangan kuantum akan memindahkan kawalan ke atas Bitcoin yang sudah wujud; ia tidak menambah jumlah bekalan baharu. Pemindahan berskala besar yang dapat dilihat mungkin menimbulkan kebimbangan dalam kalangan pemegang sebelum sebarang penjualan berlaku. Kesan pasaran yang lebih luas pula bergantung pada tindak balas bursa, kecairan yang tersedia dan penilaian peserta pasaran terhadap asal-usul transaksi. Kunci awam yang terdedah, pemegang yang lama tidak aktif, kunci peribadi yang hilang secara kekal dan kemungkinan pemilikan aset awal oleh Satoshi Nakamoto ialah perkara yang berbeza.
Penyelidik keselamatan Jameson Lopp menganggarkan dalam analisis pada 21 Mei bahawa kira-kira 2.6 juta BTC dengan kunci awam terdedah mungkin tidak dapat dipindahkan. Anggaran itu menggunakan tempoh pemegang tidak aktif dan label entiti yang diketahui sebagai petunjuk. Namun, angka tersebut tidak membuktikan bahawa aset berkenaan pasti tidak boleh dipindahkan oleh pemilik sah.
Naik taraf perlindungan boleh menjejaskan pemilik sah
Jika peraturan perbelanjaan sedia ada dikekalkan, sesiapa yang dapat mengemukakan kunci peribadi yang sah masih boleh membelanjakan aset berkenaan—termasuk jika kunci itu diperoleh penyerang pada masa depan. Sebaliknya, jika rangkaian mengehadkan tandatangan lama, pemilik sah yang tidak sempat memindahkan aset atau tidak memenuhi syarat pemulihan baharu mungkin kehilangan akses. Inilah pertukaran utama dalam cadangan perlindungan kuantum: keselamatan aset yang belum dipindahkan dapat dipertingkat, tetapi ruang pemulihan bagi sesetengah pemilik sebenar mungkin turut menjadi lebih sempit.
Draf BIP-360 mencadangkan jenis output Pay-to-Merkle-Root, yang bertujuan membuang laluan perbelanjaan Taproot yang berpotensi mendedahkan kunci dan mengurangkan risiko pendedahan jangka panjang selagi kunci awam kekal tersembunyi. BIP-361 pula mencadangkan pendekatan berperingkat: kira-kira tiga tahun selepas pengaktifan, sasaran penerimaan baharu yang terdedah kepada serangan akan dihadkan; sekitar dua tahun selepas itu, penggunaan tandatangan lama akan diperketat lagi melalui syarat pemulihan. Garis masa migrasi kriptografi Google sendiri menetapkan 2029 sebagai sasaran migrasi awal. Garis masa itu bukan sebahagian daripada peraturan konsensus Bitcoin yang sama.
Sesetengah kaedah pemulihan bergantung pada penggunaan rahsia induk dompet yang mempunyai derivasi diperkukuh. Penyerang yang berjaya mendapatkan kunci perbelanjaan bagi satu transaksi lazimnya tidak akan memperoleh rahsia induk tambahan itu. Namun, bagi output yang menggunakan P2PK secara langsung, penulis draf berkaitan masih belum menyelesaikan cara untuk membuktikan pemilikan melalui kaedah tersebut.
Cadangan masih belum menjadi peraturan rangkaian
Konsep PACT yang dicadangkan Dan Robinson pada 1 Mei meneroka penggunaan cap masa privasi untuk membuktikan kawalan alamat. Jika peraturan masa depan menerima bukti sedemikian, pemegang perlu membuat persediaan dan menyimpan bukti berkenaan sebelum pemulihan kunci kuantum menjadi kenyataan. Tahap perlindungan sebenar juga bergantung pada sama ada peraturan pengesahan dapat diseragamkan dan diterima pakai oleh ekosistem.
Draf Hourglass V2 yang diterbitkan pada Februari mencadangkan had yang lebih langsung: maksimum satu perbelanjaan P2PK bagi setiap blok, dengan perbelanjaan bersih setiap blok dihadkan kepada tidak lebih daripada 1 BTC. Had ini boleh memperlahankan pengaliran dana oleh penyerang berpotensi, tetapi pemilik sah turut tertakluk pada sekatan yang sama. Pemindahan aset berskala besar mungkin mengambil masa lebih lama.
Semua cadangan ini masih pada peringkat kajian atau draf dan belum menjadi peraturan seragam rangkaian Bitcoin. Mengikut proses BIP, perubahan akhirnya memerlukan pelaksanaan perisian, penggunaan oleh nod dan penerimaan seluruh ekosistem. Senario yang dikemukakan Carter menimbulkan persoalan utama tentang pemilikan: apabila tandatangan biasa tidak dapat membezakan pemilik asal daripada penyerang kuantum, bukti kawalan yang mana patut diterima rangkaian, dan apakah jalan pemulihan bagi pemilik sah yang tidak sempat memindahkan aset?