Coinbase предлагает способы защиты биткоина от квантовых рисков

Во вторник Coinbase опубликовала свои рекомендации, в которых описала, как биткоин может постепенно внедрить квантово-устойчивые цифровые подписи, защищая при этом существующие кошельки и институциональные активы. Компания, которая, по её словам, хранит около 5% всех существующих BTC, призвала к гибкому дизайну транзакций, усилению защиты кошельков и процессу миграции, который не зависит от разрешения всех споров о старых монетах.

В своём документе от 13 октября Coinbase пояснила, что переход биткоина к квантово-устойчивой безопасности — это не просто внедрение нового алгоритма цифровой подписи. Разработчики должны учитывать комиссии за транзакции, пропускную способность сети, совместимость кошельков и способность узлов биткоина независимо проверять транзакции.

Компания предупредила, что изменения консенсуса и миграция кошельков часто требуют многолетнего планирования и координации. Она призвала разработчиков начать подготовку до того, как исследователи продемонстрируют квантовый компьютер, достаточно мощный, чтобы взломать существующие криптографические подписи биткоина.

В настоящее время биткоин использует криптографию на эллиптических кривых, включая подписи ECDSA и Schnorr, для авторизации транзакций. Достаточно мощный квантовый компьютер теоретически может вывести приватные ключи из раскрытых публичных ключей, что позволит злоумышленнику потратить средства без разрешения.

В предложении не утверждается, что такая машина уже существует или что криптографическая защита биткоина была взломана. Coinbase охарактеризовала угрозу как возможную в будущем, требующую подготовки до того, как необходимая технология станет доступной.

Компания уже начала подготовку собственных кастодиальных систем к постквантовой безопасности. Эта работа включает обсуждения с исследователями биткоина, инженерный вклад в проекты с открытым исходным кодом и участие в Bitcoin Security Consortium.

Ранее исследование Coinbase о квантовых рисках биткоина призывало начать планирование миграции до появления практического квантового злоумышленника. Независимый консультативный совет компании поддержал разработку защитных технологий, оставив решения о недоступных или заброшенных средствах на усмотрение процесса управления биткоином.

Октябрьская публикация Coinbase развивает эту дискуссию, определяя технические требования к кошелькам, форматам транзакций и институциональному хранению. Компания подчеркнула, что её рекомендации остаются вкладом в продолжающийся процесс разработки, а не окончательным решением о будущем дизайне безопасности биткоина.

Coinbase поддерживает BIP-360 и гибкие биткоин-кошельки

Среди предложенных технических подходов Coinbase выделила BIP-360 и P2TRv2 как конструкции, которые стоит рассмотреть для перехода биткоина. Обе направлены на создание гибких структур транзакций, способных поддерживать новые системы цифровых подписей.

BIP-360 вводит Pay-to-Merkle-Root, или P2MR, — предлагаемый тип выхода транзакции, основанный на существующей архитектуре Taproot биткоина. Конструкция устраняет возможность расходования через ключевой путь Taproot, который раскрывает публичный ключ, потенциально уязвимый для достаточно мощного квантового компьютера.

Официальная спецификация BIP-360 описывает P2MR как предлагаемое изменение через софтфорк, предназначенное для защиты от атак с длительным воздействием, связанных с публичными ключами. Она не вводит самостоятельно постквантовый алгоритм подписи и не предотвращает все возможные квантовые атаки. Предложение остаётся в статусе черновика.

Coinbase предположила, что гибкий дизайн выхода может позволить разработчикам внедрять или заменять криптографические алгоритмы без необходимости каждый раз перепроектировать структуру транзакций биткоина. Такая гибкость потребует чётких правил проверки транзакций, разрешений на расходование и идентификации подписей.

Компания специально рекомендовала изучить постквантовые алгоритмы подписи, включая ML-DSA, SLH-DSA и FN-DSA, как только соответствующие стандарты станут доступны. Она определила SHRINCS, предлагаемую компактную конструкцию подписи на основе хешей, как ещё одного кандидата, требующего дальнейшей оценки.

По мнению Coinbase, разработчики должны оценить размер подписей, скорость обработки, комиссии за транзакции и совместимость с оборудованием, прежде чем выбирать подход. Более крупные подписи могут увеличить требования к пространству блока и повысить стоимость транзакций во время масштабной миграции.

Предыдущее тестирование BIP-360 в квантовой тестовой сети биткоина продемонстрировало экспериментальные транзакции P2MR. В марте BTQ Technologies сообщила о поддержке создания адресов, пополнения, подписания и подтверждения транзакций в своей тестовой сети. Реализация не означала активацию BIP-360 в основной сети биткоина.

Биткоин-кошельки могут поддерживать старые и новые подписи

Для самой миграции Coinbase рекомендовала оценить поэтапную систему, которая позволит пользователям биткоина внедрить более сильную защиту до того, как старые подписи будут выведены из обращения.

Один из возможных подходов предполагает гибридный кошелёк с двумя альтернативными способами расходования. Пользователи могли бы авторизовать транзакции с помощью существующих подписей ECDSA или Schnorr, а отдельный постквантовый ключ предоставлял бы ещё один путь расходования.

Coinbase описала эту схему как потенциальную конструкцию 1-из-2. Такой дизайн может позволить пользователям перейти к квантово-устойчивой безопасности, не дожидаясь, пока разработчики урегулируют все детали будущей политики в отношении старых подписей биткоина.

Компания предложила оценить выходы только с постквантовой защитой для ранних последователей, а также механизмы, направленные на снижение раскрытия публичных ключей во время транзакций. Возможные будущие ограничения на платежи на адреса старых типов потребуют отдельного рассмотрения.

Институциональное хранение создаёт дополнительные требования. Coinbase заявила, что новые системы подписей должны оставаться совместимыми с многосторонними вычислениями, или MPC, — методом безопасности, который позволяет нескольким сторонам или системам участвовать в криптографическом подписании.

Coinbase выразила особую обеспокоенность по поводу алгоритмов подписи с сохранением состояния, которые требуют от систем отслеживать информацию между операциями подписания. Повторное использование состояния подписания может создать уязвимости, включая потенциальную подделку подписи.

Согласно документу, крупные кастодианы эксплуатируют инфраструктуру подписания на нескольких серверах и в разных местах. Координация подписей с сохранением состояния в таких системах может вызвать операционные трудности, если записи будут потеряны, продублированы или восстановлены неправильно.

Компания рекомендовала сохранить вариант подписания без сохранения состояния, если биткоин в конечном итоге поддержит постквантовые алгоритмы с сохранением состояния. Разработчики должны предоставить провайдерам кошельков чёткие инструкции по управлению состоянием подписания и безопасному восстановлению после сбоев.

Ранее работа Coinbase над постквантовым хранением изучала, как институты могут подготовиться к различным криптографическим системам до того, как разработчики биткоина выберут окончательный стандарт. Сентябрьское обсуждение включало потенциальные альтернативы с программируемыми аппаратными модулями безопасности.

Coinbase призывает к отдельному обсуждению потерянных биткоинов

Ещё один нерешённый вопрос касается биткоинов, хранящихся в старых кошельках, которые, возможно, никогда не будут перенесены на квантово-устойчивые адреса.

Coinbase выделила несколько категорий, требующих внимания, включая кошельки с публично раскрытыми ключами, неактивные активы, потерянные приватные ключи и биткоины, связанные с ранними годами криптовалюты.

Некоторые из этих монет могут оставаться в законной собственности, в то время как другие могут быть навсегда недоступны. Компания заявила, что будущая политика миграции должна будет учитывать, смогут ли такие средства перемещаться после вступления в силу ограничений на старые подписи.

В документе обсуждались возможные методы восстановления с использованием информации о сид-фразе кошелька, криптографических доказательств и обязательств по транзакциям. Coinbase предупредила, что любой механизм восстановления должен оставаться безопасным против злоумышленника, имеющего доступ только к раскрытому публичному ключу.

Этот вопрос появлялся в отдельных предложениях по развитию биткоина. BIP-361 под названием Post Quantum Migration and Legacy Signature Sunset предлагает постепенно ограничивать старые подписи после того, как станет доступна система постквантовых выходов. Его черновик описывает поэтапную миграцию с последующим ужесточением правил для устаревших транзакций.

BIP-361 остаётся предложением и не был активирован. Его авторы описывают возможный график, включающий начальный переходный период и последующие ограничения на расходование устаревших средств, при этом механизмы восстановления остаются предметом дальнейших исследований.

Coinbase рекомендовала обсуждать такие решения независимо от технической разработки постквантовых подписей. Компания заявила, что разногласия по поводу недоступных средств не должны препятствовать работе над защитой активных кошельков.

В документе определены дальнейшие потребности в тестировании, включая проверку транзакций, аппаратные кошельки, стоимость комиссий, распространение блоков и время, необходимое для перемещения потенциально уязвимых биткоин-активов. Coinbase призвала к воспроизводимому процессу оценки, который сравнивает альтернативные системы подписей в реалистичных условиях сети.

Публикация от 13 октября не установила крайний срок для миграции пользователей биткоина, не одобрила конкретный окончательный алгоритм подписи и не объявила предлагаемую дату активации. Компания заявила, что её дальнейшая работа продолжится через обсуждения с исследователями, разработчиками и участниками проектов с открытым исходным кодом.