A ameaça da computação quântica ao Bitcoin não se resume à substituição dos algoritmos criptográficos. A 13 de outubro, o investidor em criptoativos Nick Carter descreveu, numa entrevista com Luke Martin, um cenário extremo: um computador quântico capaz de quebrar chaves do Bitcoin poderia recuperar as chaves privadas de moedas inativas e desencadear uma vaga de transferências em cerca de 10 blocos. A movimentação em larga escala de bitcoins antigos poderia abalar a confiança sobre quem controla essas moedas e sobre a liquidação na rede, mesmo antes de qualquer venda.
Cerca de 6,04 milhões de BTC têm chaves públicas expostas
Uma análise da Glassnode, publicada a 20 de maio, estimou que cerca de 6,04 milhões de bitcoins — ou 30,2% da oferta emitida na altura — tinham chaves públicas expostas. A estimativa inclui moedas ativas cujas chaves se tornaram visíveis após serem gastas ou devido à reutilização de endereços, saídas antigas que expõem as chaves por definição, como P2PK, e algumas saídas relacionadas com Taproot.
O cenário de risco pressupõe a existência de um computador quântico suficientemente potente para usar o algoritmo de Shor e calcular uma chave privada a partir de uma chave pública, criando depois uma autorização de gasto aparentemente válida. A Google publicou investigação que modela os recursos computacionais que um ataque destes poderia exigir. Até agora, porém, não há provas de que alguém tenha recuperado chaves de Bitcoin desta forma. Os ataques quânticos a chaves são um risco futuro, não algo que já tenha ocorrido na rede.
O espaço disponível nos blocos poderia, ainda assim, permitir transferir um grande volume num curto período. Por exemplo, 50.000 saídas antigas com 50 BTC cada somariam 2,5 milhões de BTC. Com base no exemplo de entradas P2PK da documentação para programadores do Bitcoin, essas entradas ocupariam cerca de 5,7 milhões de bytes — ou aproximadamente 22,8 milhões de unidades de peso — antes da sobrecarga das transações. O limite de peso dos blocos permite um total de 40 milhões de unidades de peso em 10 blocos. Se as transações fossem divididas em lotes, cada um dentro do limite padrão de cerca de 400.000 unidades de peso do Bitcoin Core, os movimentos poderiam, em teoria, caber nesse espaço.
Dez blocos não garantiriam a conclusão das transferências
A inclusão das transações dependeria das comissões, da congestão da rede e das escolhas dos mineiros. O Bitcoin produz, em média, um bloco a cada 10 minutos; por isso, 10 blocos demorariam normalmente cerca de 100 minutos, embora o tempo real possa variar bastante. O tipo de script, as condições de gasto e o número de saídas de destino também influenciariam o espaço necessário para transferir grandes quantidades.
Um ataque quântico transferiria o controlo de bitcoins já existentes; não criaria nova oferta. Movimentos volumosos e visíveis poderiam inquietar os titulares antes de qualquer venda. O impacto sobre a volatilidade mais ampla do mercado dependeria da resposta das plataformas de negociação, da liquidez disponível e da interpretação dada à origem das moedas. A exposição de chaves públicas, os titulares inativos, as chaves privadas perdidas de forma permanente e a questão de se algumas moedas antigas pertencem a Satoshi Nakamoto são temas distintos.
O investigador de segurança Jameson Lopp estimou, numa análise de 21 de maio, que cerca de 2,6 milhões de bitcoins com chaves públicas expostas poderiam ser impossíveis de migrar. A estimativa recorreu a indicadores como longos períodos de inatividade e etiquetas associadas a entidades conhecidas. Não prova que os titulares legítimos tenham definitivamente perdido o acesso a essas moedas.
Salvaguardas também podem limitar titulares legítimos
Manter as atuais regras de gasto permitiria que qualquer pessoa capaz de apresentar uma chave privada válida gastasse as moedas associadas — incluindo um atacante que viesse a recuperar essa chave no futuro. Restringir assinaturas mais antigas poderia ter o efeito oposto: titulares legítimos que não conseguissem transferir as moedas a tempo ou cumprir novas condições de recuperação poderiam perder o acesso. Este é o principal dilema das defesas quânticas: reforçar a segurança das moedas não migradas pode reduzir as opções disponíveis para alguns dos seus verdadeiros proprietários.
A atual proposta BIP-360 prevê um tipo de saída Pay-to-Merkle-Root, destinado a eliminar uma via de gasto potencialmente reveladora de chaves no Taproot e a reduzir a exposição a longo prazo quando a chave pública permanece oculta. A BIP-361 propõe uma implementação faseada: restringir novos destinos vulneráveis de receção cerca de três anos após a ativação e, aproximadamente dois anos mais tarde, limitar o uso de assinaturas antigas através de condições de recuperação. O calendário de migração criptográfica da própria Google aponta 2029 como uma meta de precaução; não se trata de uma regra de consenso do Bitcoin.
Algumas propostas de recuperação recorrem a um segredo principal reforçado da carteira. Mesmo que um atacante recuperasse a chave de um gasto específico, em geral não obteria também esse segredo principal. No caso das saídas P2PK, porém, os autores da proposta consideram que a prova de propriedade continua por resolver.
Respostas propostas continuam em discussão
A 1 de maio, Dan Robinson propôs o conceito PACT, que explora o uso de marcas temporais com preservação da privacidade para provar o controlo de um endereço. Se regras futuras reconhecessem essa prova, os titulares teriam de a preparar e guardar antes de a recuperação de chaves quânticas se tornar viável. A proteção dependeria da definição e adoção de critérios de verificação em todo o ecossistema.
O projeto Hourglass V2, publicado em fevereiro, adota uma abordagem mais direta de limitação da velocidade: no máximo, um gasto P2PK por bloco, com um limite de gasto líquido de 1 bitcoin por bloco. Estas restrições poderiam atrasar as saídas de um potencial atacante, mas também se aplicariam aos titulares legítimos e poderiam prolongar migrações em grande escala.
Nenhuma destas propostas se tornou uma regra uniforme da rede Bitcoin. No processo BIP, as alterações ainda teriam de ser implementadas em software, executadas pelos nós e aceites no ecossistema. O cenário de Carter coloca, em última análise, uma questão de propriedade: quando uma assinatura normal não permite distinguir o titular original de um atacante quântico, que prova de controlo deve o Bitcoin reconhecer e como proteger os titulares legítimos que não conseguiram migrar antecipadamente?