Предложение этого разработчика биткоина приведёт к тому, что квантовые хакеры, пытаясь украсть монеты, в итоге сами потеряют деньги.

Автор: Jose, Decrypt

Перевод: Chopper, Foresight News

Вступление TechFlow: Столкнувшись с будущей угрозой взлома ранних адресов биткойнов с раскрытыми публичными ключами посредством квантовых вычислений, разработчик биткойна Кори Филдс предложил революционный механизм защиты на основе теории игр под названием «квантовые мины». Данный дизайн не опирается на радикальный хардфорк или единую заморозку активов, а вместо этого перестраивает издержки атаки и защиты в сети через призму теории игр, вынуждая злоумышленников вносить полныйantikвантовый залог до начала попытки хищения средств.

Если настоящий владелец монет предъявит заранее спрятанные доказательства права собственности в течение периода ожидания, заложенные хакером активы будут полностью конфискованы и переданы пострадавшему. Для «спящих» монет, утерянных вместе с приватными ключами, предлагается механизм теоретико-игровых торгов, который загоняет атаку в ловушку неизбежных убытков, аналогичных «долларовому аукциону», искусно используя экономические наказания для устранения мотивации к техническому взлому.

Разработчик биткойна Кори Филдс придумал очень оригинальный способ борьбы с будущими квантовыми хакерами: если хакер хочет украсть чужие биткойны, он должен сначала поставить собственные биткойны на кон в виде ставки.

Он опубликовал пост в почтовой рассылке разработчиков биткойна, представив концепцию «квантовых мин» и две системы аукционов. Идея данного дизайна заключается в том, чтобы сделать атаку на уязвимые кошельки потенциально убыточным делом. Он специально отметил, что это всего лишь мысленный эксперимент, а не готовое предложение по обновлению протокола биткойна.

Пользователи биткойна инициируют транзакции, подписывая их приватным ключом, а соответствующий публичный ключ используется сетью для проверки подписи, при этом сам приватный ключ остается в безопасности. На обычных современных компьютерах практически невозможно восстановить приватный ключ по публичному. Однако достаточно мощный квантовый компьютер способен вычислить приватный ключ с помощью алгоритма Шора, после чего хакер сможет просто перевести средства.

Некоторые ранние адреса биткойна имеют публичные ключи, открытые прямо в блокчейне; часть новых адресов также раскрывает публичный ключ при первой отправке транзакции пользователем. Следовательно, риск столкновения с квантовой атакой для всех кошельков неодинаков. Индустрия называет день появления квантового компьютера, способного взломать криптографию биткойна, Q-Day («квантовым днем апокалипсиса»). Пока ни одна машина не достигла этой цели, и никто не знает, когда именно это произойдет.

Принцип работы квантовых мин

Предположим, в вашем кошельке находится 1 BTC старого образца, который легко уязвим для квантовых вычислений. До наступления Q-Day вы заранее создаете небольшой антиквантовый выход биткойна и помещаете туда доказательство: оно подтверждает, что эти монеты принадлежали вам еще до того, как квантовые атаки стали возможными. Это можно воспринимать как запечатанный «билет права собственности». Со стороны видна лишь эта небольшая запись, скрытое доказательство недоступно, и посторонние даже не подозревают о существовании ловушки.

Когда в будущем хакер вычислит ваш старый приватный ключ с помощью квантового компьютера и попытается вывести ваши 1 BTC: согласно новым правилам, он не сможет просто забрать монеты, а обязан будет внести еще 1 BTC в качестве залога из своего собственного антиквантового кошелька.

Ваши 1 BTC плюс внесенные хакером 1 BTC залога будут объединены и заблокированы, перейдя в период ожидания апелляций (например, на 30 дней). В течение этого времени хакер не может свободно переводить средства. Если вы заметите попытку кражи, вы сможете предъявить заранее подготовленное доказательство права собственности. Сеть биткойна примет решение: вы можете перевести все 2 монеты на заранее созданный вами антиквантовый адрес (включая ваши исходные монеты и залог хакера).

Хакеры изначально не знают, в каком именно старом кошельке закопана такая ловушка. Даже если им удастся успешно восстановить приватный ключ, они могут в итоге потерять целых 1 BTC. Однако у данной схемы есть цена: если сам владелец захочет легально перевести эту старую монету после Q-Day, ему также придется внести равноценный залог. При отсутствии дополнительных BTC это правило защиты от хакеров парадоксальным образом сделает невозможным вывод собственных средств.

Теоретико-игровые торги для потерянных и рано утерянных активов

У квантовых мин есть предпосылка: владелец монет должен заранее установить ловушку и предоставить доказательства в течение окна подачи апелляций. Если приватный ключ был утерян давно, и владелец больше не может выйти в сеть, данная схема не сможет защитить эти средства, включая множество ранних биткойнов, которые индустрия считает безвозвратно утерянными.

Для решения этой проблемы Кори Филдс предлагает второй механизм: аукцион залогов. До наступления Q-Day любой желающий может заблокировать часть антиквантовых биткойнов и тайно выставить ставку на атаку уязвимого старого кошелька. Например: в кошельке, который выглядит заброшенным владельцем, находится 50 BTC. В будущем, когда хакер попытается их вывести, ему потребуется внести 50 BTC в качестве залога. В течение аукционного окна люди, сделавшие предварительные ставки, могут выйти вперед и оспорить данную попытку кражи.

По его задумке: победители оспаривания получают часть залога хакера, тогда как исходные 50 рискованных биткойнов подлежат немедленному уничтожению и не передаются победителю. Цель не в том, чтобы вернуть монеты отсутствующему владельцу, а в том, чтобы лишить хакеров возможности уверенно украсть средства и тем самым убрать стимул к атакам.

Третий вариант называется аукционом Сатоши и не требует предварительной блокировки монет. Любая попытка перевода высокомаржинальных монет автоматически запускает торги. Участник с самой высокой ставкой получает эти монеты (за вычетом суммы ставки), в то время как ставка следующего по величине участника полностью сгорает без компенсации. Механизм похож на известную «долларовую лотерею»: участники непрерывно поднимают цену, стремясь избежать чистых убытков. Хакер взвесит риски и, вероятно, вообще откажется от участия в торгах, понимая, что они почти наверняка обернутся огромными потерями.

Почему не применяется стратегия единовременной заморозки

Одна из предложенных идей заключается в установлении дедлайна миграции: после истечения срока любые средства со старых кошельков будут окончательно заблокированы. Это действительно предотвратит кражи, но побочным эффектом станет полная заморозка активов для реальных владельцев, забывших или не успевших своевременно провести перевод.

Кори Филдс выбирает другой путь. Старые монеты остаются доступными для перевода, однако любая попытка вывода связана с затратами и подвергается проверке другими участниками. Сама сеть биткойна объективно не способна различить, является ли владелец действующей подписи настоящим хозяином или квантовым хакером.

Цена такого компромисса очевидна: законным владельцам необходимо обеспечивать крупные залоги для вывода средств; пользователи, длительно не имеющие доступа к сети, рискуют пропустить окно для подачи апелляций; а монеты даже живых владельцев, временно воздерживающихся от активности, могут быть уничтожены в ходе аукционов.

Потенциальные издержки схемы и пути внедрения

Прежде всего биткойну требуется квантово-безопасный метод хранения и использования средств. Кошельки должны поддерживать скрытые обязательства по праву собственности, а правила консенсуса сети обязаны принудительно обеспечивать работу механизмов залога, периодов ожидания, специальных восстановительных транзакций и аукционов.

Разработчикам также предстоит达成共识 относительно сроков вступления новых правил в силу, размера требуемого залога и процедур распределения средств проигравших участников или оставшихся резервов. Филдс полагает, что некоторые элементы могут быть внедрены через софтфорк, однако он не предоставил детальной технической документации.

На сегодняшний день данные механизмы защиты в сети биткойна полностью отсутствуют. Филдс также не привел реализации кода, графика развертывания, а распределение аукционных средств и конечные цели проекта так и остались неоформленными в исходной публикации.