Bitcoin Magazine
A questão quântica: congelar moedas ou não
O debate quântico do Bitcoin é um verdadeiro atoleiro. Não se trata apenas de um debate técnico sobre as concessões envolvidas nos diferentes tipos de criptografia e sua resistência a um computador quântico teórico. É um debate sobre quais princípios fundamentais do Bitcoin prevalecem diante de um dilema difícil: respeitar a promessa de que moedas válidas continuem podendo ser gastas por seus proprietários ou priorizar a segurança do sistema, impedindo que uma parcela significativa da oferta monetária seja saqueada por meio de uma vulnerabilidade conhecida há muitos anos.
O dilema no centro dessa controvérsia é que toda opção séria viola um princípio importante para os usuários do Bitcoin. Não fazer nada pode preservar as regras de consenso atuais, mas permitir que, no futuro, agentes com capacidade quântica tomem moedas sem o consentimento de seus proprietários. Congelar moedas vulneráveis pode impedir esse roubo, mas invalida retroativamente condições de gasto estabelecidas há muito tempo. Uma migração obrigatória para assinaturas resistentes à computação quântica pode ser uma decisão prudente de engenharia, mas também pode parecer um regime de confisco imposto com prazo definido. O debate é áspero porque não há um caminho simples que preserve perfeitamente, ao mesmo tempo, os direitos de propriedade, a previsibilidade econômica, a resistência à censura, a compatibilidade com versões anteriores e a soberania dos usuários.
É por isso que considero o problema fascinante. Ele é multifacetado: simultaneamente técnico, sociológico, filosófico e econômico por natureza. Portanto, qualquer discussão séria sobre o problema deve considerar todos os ângulos.
Ao longo deste ensaio, defenderei que o debate sobre a migração quântica é muito mais complexo do que uma simples escolha entre congelar ou não os bitcoins vulneráveis. Em vez disso, trata-se de como minimizar o total de violações dos direitos de propriedade quando as assinaturas de curva elíptica deixarem de autenticar de forma confiável a propriedade legítima.
A ameaça quântica
O esquema de autorização atual do Bitcoin, que garante que os fundos sejam gastos apenas por seus legítimos proprietários, depende da criptografia de curva elíptica. Tanto as assinaturas ECDSA legadas quanto as assinaturas Schnorr usam a curva elíptica secp256k1. Sob as premissas da computação clássica convencional, é computacionalmente inviável derivar uma chave privada a partir de uma chave pública. Um computador quântico criptograficamente relevante que execute o algoritmo de Shor altera essa premissa: assim que uma chave pública estiver disponível, um invasor quântico com capacidade suficiente poderá derivar a chave privada correspondente e assinar uma transação para gastar os fundos, que seria aceita como válida pela rede. Os computadores quânticos ameaçam quebrar a premissa de dificuldade de derivar a chave privada a partir da chave pública, que sustenta o ECDSA e o Schnorr.
Essa distinção importa porque nem todas as saídas de Bitcoin expõem as mesmas informações ao mesmo tempo. Alguns tipos de saída revelam uma chave pública imediatamente e permanecem vulneráveis indefinidamente. Outros ocultam a chave pública por trás de um hash até que o proprietário gaste os fundos. Isso cria duas grandes classes de ataque. Um ataque de longo alcance tem como alvo saídas cujas chaves públicas já estão visíveis na blockchain, como antigas saídas pay-to-public-key e saídas Taproot. Um ataque de curto alcance tem como alvo moedas no momento do gasto: o proprietário transmite uma transação, a chave pública se torna visível e um invasor quântico rápido tenta derivar a chave privada a tempo de substituir a transação ou passar à frente dela.
A ameaça à mineração é diferente. Em teoria, o algoritmo de Grover pode acelerar a busca por força bruta por um hash de bloco válido, mas ele oferece apenas uma aceleração quadrática, enquanto o algoritmo de Shor oferece uma aceleração superpolinomial. Portanto, a vantagem competitiva é muito menos prática, a ponto de não valer a pena usar um computador quântico para minerar.
A ameaça quântica quântica
Curiosamente, a ameaça dos computadores quânticos está, ela própria, em um estado quântico de superposição. Um computador quântico que valha a pena temer pode ou não ser construído, e ninguém pode provar nem refutar que isso acontecerá. Os céticos em relação à computação quântica não contestam que o algoritmo de Shor poderia quebrar a ECC. Eles afirmam que não há bons motivos para acreditar que algum dia construiremos o tipo de computador quântico poderoso e tolerante a falhas necessário para executar o algoritmo de Shor em uma escala criptograficamente relevante.
Todos concordam que não é possível quebrar a ECC com os processadores quânticos ruidosos de hoje. Isso exige muitos qubits lógicos confiáveis, taxas de erro extremamente baixas, cálculos longos com alta coerência e correção de erros quânticos funcionando com sucesso em grande escala.
Um argumento cético sólido é que o teorema do limiar de tolerância a falhas quânticas depende de suposições que talvez não possam ser satisfeitas fisicamente com a precisão necessária. Essas suposições incluem ruído suficientemente independente, portas suficientemente precisas, interações indesejadas limitadas e a capacidade de manter os erros abaixo de um limiar aceitável em um sistema gigantesco. Mikhail Dyakonov argumenta que o teorema pressupõe condições idealizadas e não nos diz qual é a precisão real de engenharia necessária para satisfazer cada suposição em um dispositivo real.
A crítica de Gil Kalai é mais estrutural. Seu argumento é que sistemas quânticos realistas podem sofrer com ruído correlacionado e acúmulo de ruído, o que impede a formação de códigos quânticos de correção de erros de alta qualidade. Em seu artigo de 2011, ele propõe que as implementações físicas de códigos quânticos, as correlações em sistemas estocásticos e o ruído acumulado podem levar ao fracasso de computadores quânticos escaláveis.
Este talvez seja o argumento cético mais forte: a correção de erros quânticos só funciona se o ruído puder ser controlado. Se sistemas reais com muitos qubits gerarem erros correlacionados adversariais, adicionar mais qubits pode muito bem tornar o computador mais frágil e menos confiável.
A escalabilidade quântica é uma grande incógnita. Os céticos argumentam que os avanços de 50, 100 ou 1.000 qubits físicos não podem ser extrapolados automaticamente para milhões de qubits físicos ou milhares de qubits lógicos. Os sistemas quânticos são analógicos, delicados e acoplados ao ambiente. O desafio de engenharia não é apenas “criar mais qubits”; é “criar mais qubits suprimindo, ao mesmo tempo, a interferência entre qubits, o vazamento, os erros correlacionados, o desvio de calibração, os efeitos térmicos, os erros de medição, as variações de fabricação e o ruído de controle”. Por isso, os críticos rejeitam extrapolações simplistas de cronogramas. Para eles, “aumentamos o número de qubits em X nesta década, então romperemos a ECC até o ano Y” é um raciocínio fraco.
Por fim, demonstrações de computadores quânticos mostraram que os dispositivos atuais só conseguem superar simulações clássicas em tarefas de amostragem cuidadosamente selecionadas. Os críticos têm razão ao afirmar que isso pouco diz sobre a execução confiável de algoritmos longos e estruturados, como o algoritmo de Shor, com confiabilidade suficiente para recuperar uma chave privada ECC de 256 bits.
Por que a migração pós-quântica é importante
Supondo que surja um computador quântico criptograficamente relevante, apenas adicionar a opção de os usuários de Bitcoin usarem criptografia pós-quântica não será suficiente para impedir um ataque quântico. O conjunto total de bitcoins vulneráveis a computadores quânticos inclui moedas antigas em saídas pay-to-public-key, moedas controladas por chaves públicas reutilizadas, saídas Taproot e casos em que chaves públicas ou chaves públicas estendidas foram reveladas fora da blockchain. Um dado impressionante é a concentração de BTC em saídas P2PK antigas: elas representam uma fração minúscula dos UTXOs em quantidade, mas uma parcela muito maior do valor, cerca de 1,7 milhão de BTC. Estimativas mais abrangentes, baseadas na análise on-chain dos tipos de saída, dos padrões de atividade e de informações conhecidas sobre a propriedade, levam-nos a acreditar que pelo menos 2,6 milhões de BTC continuariam vulneráveis, mesmo que todos os usuários ativos de Bitcoin migrassem suas carteiras para a criptografia pós-quântica.
Assim, mesmo com a adoção opcional de criptografia pós-quântica (PQ), devemos esperar que um conjunto de moedas vulneráveis de dimensão suficiente para representar um risco sistêmico permaneça indefinidamente. Essas moedas poderiam ser usadas por um atacante quântico para prejudicar o sistema de várias maneiras — não apenas vendendo-as e derrubando o preço à vista do BTC. Portanto, proteger essas moedas vulneráveis contra uma ameaça quântica exige algum tipo de mudança nas regras que, na prática, “impeça o acesso” de um atacante quântico.
A retórica em torno dessa questão costuma usar termos como “confisco”, “queima”, “congelamento”, “roubo” ou “recuperação”, mas eles descrevem mecanismos diferentes. Um congelamento não transferiria moedas para o Estado, os mineradores, os desenvolvedores ou algum fundo de recuperação. Em sua forma mais básica, significaria alterar as regras de consenso para que certas saídas não pudessem mais ser gastas usando assinaturas ECDSA ou Schnorr vulneráveis. É por isso que os defensores às vezes dizem “queimar” em vez de “confiscar”: as moedas não são transferidas para outra pessoa; deixam de poder ser gastas com sua chave privada. Mas, para um proprietário legítimo que ainda possui a chave original, o efeito prático ainda pode parecer confiscatório: um gasto que antes era válido deixa de ser válido.
O BIP-361 divide o conceito de migração em fases. Primeiro, assim que existir um tipo de endereço resistente a ataques quânticos, a rede Bitcoin deixaria de permitir que novas moedas fossem enviadas para endereços vulneráveis a ataques quânticos. Mais tarde, após um período de vários anos, os gastos legados com ECDSA e Schnorr se tornariam inválidos. Por fim, permanece a questão das opções de recuperação para usuários que possam provar, sem depender exclusivamente de ECC comprometida, que são os legítimos proprietários — por exemplo, por meio de uma prova de conhecimento zero derivada de uma frase-semente ou da estrutura de uma carteira HD. O principal objetivo da proposta não é escolher um algoritmo de assinatura pós-quântico; em vez disso, a meta é criar incentivos e prazos para que usuários, corretoras, custodiante, carteiras e instituições realmente migrem em tempo hábil, permitindo assim que desativemos o ECC para evitar um ataque quântico.
Os argumentos a favor do congelamento
O argumento mais forte a favor do congelamento parte de uma afirmação simples: um invasor quântico que deriva uma chave privada a partir de uma chave pública não é o proprietário legítimo em nenhum sentido moralmente significativo. Segundo essa perspectiva, “simplesmente deixar que moedas vulneráveis sejam tomadas” não é neutralidade; é permitir que uma nova classe de agentes saqueie saídas antigas porque o protocolo não reforçou uma fechadura que se sabe ser fraca. Os defensores do congelamento argumentam que o dano causado por permitir roubos quânticos não se limita aos proprietários negligentes, mas afeta todos os detentores, pois uma varredura quântica bem-sucedida redistribuiria a riqueza para quem dispuser primeiro da capacidade quântica. Isso é problemático porque uma quantidade tão grande de bitcoin nas mãos de um único agente, que gastou relativamente poucos recursos para obtê-la, pode ser bastante perigosa para a segurança do ecossistema. O modelo de segurança do Bitcoin pressupõe participantes economicamente racionais, incentivados a proteger o valor de suas moedas, mas um agente com capacidade quântica pode quebrar essa premissa. A posição favorável ao congelamento é que o Bitcoin não deve recompensar as primeiras entidades a quebrar a ECC com munição que possa ser usada para prejudicar o sistema.
Esse argumento é especialmente válido para as moedas que se acredita estarem perdidas. Se moedas perdidas puderem ser recuperadas repentinamente por invasores quânticos, a oferta em circulação aumentará na prática. Isso não viola o limite formal de 21 milhões, mas muda o cenário econômico: moedas que o mercado talvez tenha considerado inativas podem voltar a circular, possivelmente de forma rápida e concentradas em poucas mãos.
Os defensores do congelamento também argumentam que a ameaça não se limita à busca por lucro comum. Um adversário com capacidade quântica poderia atacar o Bitcoin por motivos políticos, desestabilizar os mercados, abalar a confiança do público, causar danos à rede por muitos anos ou até adquirir poder de hash suficiente para realizar um ataque de 51% à rede. Uma análise da teoria dos jogos envolvida mostra que não podemos simplesmente presumir que um invasor varreria os BTC vulneráveis para vendê-los e sairia de cena sem consequências; há uma gama muito maior de estratégias e resultados indesejáveis.
Fonte: BitcoinMagazine
