Квантовая проблема Bitcoin: оптимизм Сейлора сталкивается с проблемой 1,7 миллиона раскрытых монет

Майкл Сейлор 16 декабря нарисовал оптимистичную картину, представляя квантовые вычисления как чисто положительный фактор для Биткоина. Его тезис был прост: сеть обновится, активные холды мигрируют в безопасное место, спящие монеты останутся заблокированными, и Биткоин станет сильнее. Эта логика звучит убедительно, пока не взглянешь на то, что на блокчейне действительно находится сегодня.

Временное окно реально, но реализация хаотична

Обоснование Сейлора основано на твердой технической базе. Уязвимость Биткоина в криптографии связана с цифровыми подписями — особенно алгоритмами ECDSA и Schnorr на базе secp256k1, а не с proof-of-work. Достаточно продвинутый квантовый компьютер, использующий алгоритм Шора, теоретически сможет извлечь приватные ключи из публичных, когда достигнет 2000–4000 логических кубитов. Современные квантовые устройства работают значительно ниже этого порога, что предполагает реальное окно угрозы как минимум на десятилетие.

NIST уже опубликовал инструменты защиты. Стандарты вроде ML-DSA (Dilithium) и SLH-DSA (SPHINCS+), теперь официальные стандарты FIPS, устойчивы к квантовым атакам. Разработчики Биткоина исследуют постквантовые схемы подписи и гибридные схемы проверки. Самая криптография решаема.

Что упускается из виду — это стоимость. Постквантовые подписи больше по размеру и требуют больше вычислительных ресурсов для проверки. Реалистичные оценки показывают, что пропускная способность блока может сократиться примерно вдвое. Операторам узлов придется нести большие издержки. Комиссии за транзакции вырастут, потому что каждая подпись занимает больше места в блоке. Недавний анализ A16z указывает на более фундаментальную проблему: у Биткоина нет центрального органа, который мог бы требовать обновления. Постквантовый форк требует подавляющего согласия разработчиков, майнеров, бирж и крупных держателей — все должны скоординироваться до появления криптографически значимого квантового компьютера.

Уже сегодня 1,7 миллиона Биткоинов подвержены квантовой угрозе

Здесь взгляд Сейлора резко расходится с реальностью на блокчейне. Он утверждает, что «потерянные монеты остаются замороженными», но это предполагает чистую категоризацию, которая не соответствует тому, как на самом деле работают выходы Биткоина.

Ранние выходы pay-to-public-key (P2PK) раскрывали публичные ключи прямо в блокчейне — навсегда видимы и уязвимы для квантовых атак уже сегодня. Стандартные адреса P2PKH и SegWit P2WPKH скрывают публичный ключ за криптографическими хэшами до момента расходования; после перемещения ключ становится видимым. Выходы Taproot P2TR кодируют публичный ключ прямо в выходе с момента создания, делая эти UTXO уязвимыми даже до проведения транзакции.

Анализ Deloitte и последующие исследования цепочки показывают, что примерно 25% всех Биткоинов — около 1,7 миллиона BTC из ранних P2PK-выходов эпохи Сатоши, а также сотни тысяч в Taproot — уже имеют публично раскрытые ключи. Эти монеты не находятся в безопасной спящей фазе. Они — именно те, что наиболее подвержены риску, если появится квантовый злоумышленник.

Монеты, которые никогда не раскрывали публичный ключ (однократные адреса с хэшированными ключами), выигрывают за счет слабой модели угрозы алгоритма Гровера. Алгоритм Гровера дает только квадратичное ускорение по сравнению с хэшированными адресами, что можно компенсировать настройками параметров. Но уязвимая часть — старые P2PK-балансы, современные UTXO Taproot с видимыми ключами и неактивные кошельки, которые никогда не перемещались — представляет собой реальную поверхность атаки, которая не просто «останется замороженной».

Динамика предложения — политический вопрос, а не автоматический процесс

Сейлор утверждает, что миграция на постквантовые схемы сократит обращающийся запас и повысит безопасность. Механика обновления подписей — реальна. Но влияние на предложение полностью зависит от решений по управлению и уровня внедрения, а не только от физики.

Могут развиться три сценария. Первый — владельцы уязвимых неактивных выходов, которые никогда не обновят, могут считаться потерянными и, возможно, попадут в черный список — спорное политическое решение, которое уменьшит предложение. Второй — квантовые злоумышленники могут опустошить раскрытые кошельки до завершения миграции, заменив это предложение на свои активы и вызвав панику. Третий — просто предположение о скором появлении квантовых возможностей может спровоцировать распродажи, форки цепи или каскад утечек legacy-кошельков до появления квантового компьютера.

Ни один из этих сценариев не гарантирует чистое сокращение предложения или автоматический рост курса. Proof-of-work остается относительно устойчивым, потому что алгоритм Гровера дает только квадратичное ускорение, но в мемпуле есть более тонкий риск. Транзакция, расходующая адрес с хэшированным ключом, раскрывает публичный ключ в процессе ожидания включения. Квантовый злоумышленник может следить за мемпулом, быстро восстановить приватный ключ и соревноваться с конфликтующей транзакцией с более высокими комиссиями — так называемая атака «подпиши и укради», которая извлекает ценность во время окна трансляции.

Математика говорит, что Биткоин может укрепиться, но важнее координация, чем криптография

Физика и криптографические стандарты сходятся во мнении: квантовые компьютеры не взламывают Биткоин мгновенно. Есть окно — примерно десятилетие или больше — для осознанной, планомерной миграции на постквантовые схемы. Биткоин может принять устойчивые схемы подписи, обновить уязвимые выходы и выйти с более сильными криптографическими гарантиями.

Но уверенность Сейлора основана на предположении, которое вовсе не гарантировано: что разработчики, майнеры, крупные держатели и хранители успешно скоординируются, вовремя мигрируют и проведут обновление без паники, краж или спорных форков. Уже 1,7 миллиона Биткоинов в уязвимых выходах — напоминание, что сеть не движется как единое целое. Некоторые держатели мигрируют рано. Другие задерживаются или игнорируют угрозу. Часть потеряет доступ к приватным ключам до завершения обновления.

Постквантовое будущее Биткоина достижимо. Это не криптографическая неизбежность. Это управленческая задача, связанная с физикой. Сейлор правильно указывает, что сеть может укрепиться. Он недооценивает, насколько дорогостоящим, политически сложным и зависимым от обстоятельств является этот процесс.

Разница между тем, чтобы стать сильнее, и вызвать кризис, зависит скорее не от того, когда появятся квантовые компьютеры, а от того, сможет ли децентрализованная экосистема Биткоина двигаться достаточно быстро, широко координироваться и управлять переходом достаточно осознанно, пока физика не настигнет. Этот риск — больше человеческая координация, чем криптография.