Bitcoin hat am 26. August die erste Mainnet-Transaktion mit der Quantum-Safe-Bitcoin-Methode des Forschers Avihu Levy bestätigt, wie StarkWare mitteilt.
Zusammenfassung
- Das Bitcoin-Mainnet bestätigte die erste QSB-Transaktion, ohne die Konsensregeln zu ändern oder einen Soft Fork durchzuführen.
- QSB ersetzt die Sicherheitsannahmen der elliptischen Kurve durch hash-basierte Schutzmechanismen, die gegen Angriffe mit Shors Algorithmus ausgelegt sind.
- Die Erzeugung jeder QSB-Ausgabe erfordert etwa 75–150 US-Dollar an Off-Chain-Cloud-GPU-Berechnung, bevor die Übertragung erfolgt.
- Nicht standardkonforme QSB-Transaktionen umgehen die normale Mempool-Weiterleitung und müssen direkt an einen teilnehmenden Miner übermittelt werden.
- QSB schützt Legacy-Ausgaben, sichert aber nicht Taproot, Lightning-Kanäle oder zuvor offengelegte Schlüssel.
Die geminte Transaktion zeigte, dass QSB unter den bestehenden Konsensregeln von Bitcoin funktionieren kann. Es waren keine neuen Opcodes, kein Soft Fork und keine Änderungen an Bitcoin-Knoten erforderlich.
Bitcoin-Transaktion verlagert Sicherheit in Richtung Hashes
Standard-Bitcoin-Transaktionen stützen sich auf Signaturen, die auf Elliptische-Kurven-Kryptografie basieren. Ein ausreichend leistungsfähiger fehlertoleranter Quantencomputer, der Shors Algorithmus ausführt, könnte theoretisch einen privaten Schlüssel aus seinem offengelegten öffentlichen Schlüssel berechnen.
QSB ändert die Sicherheitsannahmen für einen bestimmten Ausgang. Es verwendet hash-basierte Verpflichtungen und ein Hash-zu-Signatur-Rätsel, anstatt von der Schwierigkeit der Lösung eines diskreten Logarithmus auf elliptischen Kurven abzuhängen.
Die Methode nutzt die vorhandenen ECDSA-Verifikationsoperationen von Bitcoin als Vehikel, aber ihre Sicherheit beruht auf der Urbildresistenz von RIPEMD-160. Die veröffentlichte Implementierung schätzt eine ungefähre Zweitbildresistenz von 118 Bit gegen einen Angreifer, der Shors Algorithmus verwendet.
QSB verwendet nicht die STARK-Beweistechnologie von StarkWare. Beide Ansätze hängen jedoch stark von Hash-Funktionen ab. Wie bereits berichtet, vermeiden zk-STARKs Sicherheitsannahmen auf elliptischen Kurven, erzeugen aber größere Beweise als viele zk-SNARK-Systeme.
QSB erforderte Off-Chain-Berechnung und Miner-Zugang
Die Erstellung einer QSB-Ausgabe beinhaltet die Suche nach Transaktionsparametern, deren resultierender RIPEMD-160-Hash als gültige DER-codierte Signatur interpretiert werden kann. Das Finden eines geeigneten Ergebnisses erfordert ungefähr 2462^{46} Hash-Versuche.
Levys Repository schätzt, dass die Suche mit Cloud-GPUs zwischen 75 und 150 US-Dollar kostet. Das Forschungspapier lässt eine größere Spanne von 75 bis 200 US-Dollar für Implementierungsunsicherheiten zu und beschreibt die Kosten allgemeiner als einige hundert Dollar.
Diese Zahlen decken die Off-Chain-Berechnung ab, nicht die Netzwerkgebühr von Bitcoin. Jede Transaktion erfordert eine eigene Suche, obwohl die Arbeit auf mehrere GPUs aufgeteilt werden kann.
QSB-Transaktionen überschreiten auch die Standard-Relay-Policy-Grenzen von Bitcoin. Normale Knoten werden sie normalerweise nicht über den öffentlichen Mempool weiterleiten. Der Slipstream-Dienst von MARA bot für die erste Mainnet-Transaktion einen direkten Weg zu einem Miner.
Die Transaktion macht Bitcoin nicht quantensicher
Die bestätigte Transaktion beweist, dass die Konsensregeln von Bitcoin die QSB-Konstruktion akzeptieren. Sie stellt nicht fest, dass Bitcoin, alle bestehenden Adressen oder das breitere Wallet-Ökosystem gegen Quantenangriffe resistent geworden sind.
QSB arbeitet mit Legacy-Skripten vor SegWit. Es schützt Taproot-Ausgaben oder Lightning-Netzwerk-Kanäle nicht direkt. Münzen müssen auch über eine konventionelle Transaktion in einen QSB-Ausgang gelangen, bevor sie ihren hash-basierten Schutz erhalten.
Diese Migration schafft eine wichtige Einschränkung. Wenn die Quelltransaktion einen öffentlichen Schlüssel offenlegt, während ein fähiger Quantenangreifer bereits existiert, könnte der Angreifer die Münzen vor der Bestätigung ins Visier nehmen. Adressen mit öffentlichen Schlüsseln, die durch frühere Ausgaben offengelegt wurden, bleiben außerhalb des Schutzes von QSB, es sei denn, die Inhaber bewegen sie vorher.
Bitcoin-Spezialist Daniel Batten hat zuvor breitere Behauptungen, dass QSB Bitcoin bereits quantensicher mache, als „eine Übertreibung“ beschrieben und dabei auf sein Versagen hingewiesen, ruhende Münzen und zuvor offengelegte öffentliche Schlüssel zu adressieren.
Ein Upgrade auf Protokollebene für Bitcoin wird noch untersucht
Levy beschreibt QSB als „letztes Mittel“ und nicht als skalierbaren Ersatz für gewöhnliche Bitcoin-Transaktionen. Die Rechenkosten der Methode, große Skripte und die Abhängigkeit von der direkten Einreichung durch Miner machen sie für normale Zahlungsvolumina ungeeignet.
„Was die heutige erfolgreiche Transaktion Bitcoin bietet, ist eine Zusicherung, dass Bestände geschützt werden können, bevor das passiert“, sagte StarkWare-CEO Eli Ben-Sasson und bezog sich dabei auf einen möglichen Soft Fork.
Dieser Schutz bleibt davon abhängig, dass Inhaber Münzen in kompatible Ausgänge bewegen, bevor ein Quantencomputer bestehende Signaturen angreifen kann. Es wurde kein kryptographisch relevanter Quantencomputer öffentlich demonstriert, der in der Lage ist, Bitcoin-Schlüssel zu brechen.
Entwickler erwägen separat BIP-360, das Pay-to-Merkle-Root-Ausgänge vorschlägt, die darauf abzielen, die langfristige Exposition gegenüber Quantenangriffen zu reduzieren. Im Gegensatz zu QSB würde die Annahme dieses Vorschlags eine Änderung des Bitcoin-Protokolls erfordern.
Die nächsten Schritte umfassen die unabhängige Überprüfung des QSB-Codes, weitere Mainnet-Tests und die Arbeit an skalierbareren Post-Quanten-Signatursystemen. Die Transaktion bietet einen funktionierenden Notfallmechanismus, beseitigt jedoch nicht den Fall für eine Migration auf Netzwerkebene.
