Bitcoin a confirmé la première transaction sur le réseau principal en utilisant la méthode Quantum-Safe Bitcoin du chercheur Avihu Levy le 26 août, selon StarkWare.
Résumé
- Le réseau principal de Bitcoin a confirmé la première transaction QSB sans modifier les règles de consensus ni effectuer de soft fork.
- QSB remplace les hypothèses de sécurité basées sur les courbes elliptiques par des protections basées sur des fonctions de hachage conçues pour résister aux attaques utilisant l'algorithme de Shor.
- La génération de chaque dépense QSB nécessite environ 75 à 150 dollars de calcul GPU cloud hors chaîne avant la diffusion.
- Les transactions QSB non standard contournent le relais normal du mempool et nécessitent une soumission directe à un mineur participant.
- QSB protège les sorties héritées mais ne sécurise pas Taproot, les canaux Lightning ni les clés précédemment exposées.
La transaction minée a démontré que QSB peut fonctionner sous les règles de consensus existantes de Bitcoin. Elle n'a nécessité ni nouveaux opcodes, ni soft fork, ni modifications des nœuds Bitcoin.
La transaction Bitcoin déplace la sécurité vers les fonctions de hachage
Les transactions Bitcoin standard reposent sur des signatures utilisant la cryptographie à courbes elliptiques. Un ordinateur quantique tolérant aux fautes suffisamment puissant exécutant l'algorithme de Shor pourrait théoriquement calculer une clé privée à partir de sa clé publique exposée.
QSB modifie les hypothèses de sécurité pour une sortie particulière. Il utilise des engagements basés sur des fonctions de hachage et un puzzle de hachage-vers-signature plutôt que de dépendre de la difficulté de résoudre un logarithme discret à courbe elliptique.
La méthode utilise les opérations de vérification ECDSA existantes de Bitcoin comme véhicule, mais sa sécurité provient de la résistance à la préimage de RIPEMD-160. L'implémentation publiée estime environ 118 bits de résistance à la seconde préimage contre un attaquant utilisant l'algorithme de Shor.
QSB n'utilise pas la technologie de preuve STARK de StarkWare. Cependant, les deux approches dépendent fortement des fonctions de hachage. Comme précédemment rapporté, les zk-STARK évitent les hypothèses de sécurité des courbes elliptiques tout en produisant des preuves plus grandes que de nombreux systèmes zk-SNARK.
QSB a nécessité un calcul hors chaîne et un accès au mineur
Créer une dépense QSB implique de rechercher des paramètres de transaction dont le hachage RIPEMD-160 résultant peut être interprété comme une signature encodée DER valide. Trouver un résultat approprié nécessite environ 2^46 tentatives de hachage.
Le référentiel de Levy estime que la recherche coûte entre 75 et 150 dollars en utilisant des GPU cloud. L'article de recherche permet une fourchette plus large de 75 à 200 dollars pour l'incertitude de mise en œuvre et décrit le coût plus généralement comme quelques centaines de dollars.
Ces chiffres couvrent le calcul hors chaîne, pas les frais de réseau Bitcoin. Chaque transaction nécessite sa propre recherche, bien que le travail puisse être réparti sur plusieurs GPU.
Les transactions QSB dépassent également les limites de la politique de relais standard de Bitcoin. Les nœuds ordinaires ne les propageront normalement pas via le mempool public. Le service Slipstream de MARA a fourni une route directe vers un mineur pour la première transaction sur le réseau principal.
La transaction ne rend pas Bitcoin quantique-sûr
La transaction confirmée prouve que les règles de consensus de Bitcoin acceptent la construction QSB. Elle n'établit pas que Bitcoin, toutes les adresses existantes ou l'écosystème plus large des portefeuilles sont devenus résistants aux attaques quantiques.
QSB fonctionne avec les scripts hérités d'avant SegWit. Il ne protège pas directement les sorties Taproot ni les canaux du Lightning Network. Les pièces doivent également entrer dans une sortie QSB via une transaction conventionnelle avant de recevoir sa protection basée sur le hachage.
Cette migration crée une limitation importante. Si la transaction source révèle une clé publique alors qu'un attaquant quantique capable existe déjà, l'attaquant pourrait cibler les pièces avant la confirmation. Les adresses dont les clés publiques ont été exposées par des dépenses précédentes restent hors de la protection de QSB à moins que les détenteurs ne les déplacent au préalable.
Le spécialiste de Bitcoin Daniel Batten a précédemment décrit les affirmations plus larges selon lesquelles QSB rend déjà Bitcoin résistant au quantique comme « une exagération », citant son incapacité à traiter les pièces dormantes et les clés publiques précédemment exposées.
Une mise à niveau de Bitcoin au niveau du protocole reste à l'étude
Levy décrit QSB comme une « mesure de dernier recours », plutôt qu'un remplacement évolutif pour les transactions Bitcoin ordinaires. Le coût de calcul de la méthode, les scripts volumineux et la dépendance à la soumission directe au mineur la rendent inadaptée au volume de paiement normal.
« Ce que la transaction réussie d'aujourd'hui offre à Bitcoin, c'est l'assurance que les avoirs peuvent être protégés avant que cela ne se produise », a déclaré Eli Ben-Sasson, PDG de StarkWare, en référence à un éventuel soft fork.
Cette protection reste conditionnée au fait que les détenteurs déplacent leurs pièces vers des sorties compatibles avant qu'un ordinateur quantique ne puisse attaquer les signatures existantes. Aucun ordinateur quantique cryptographiquement pertinent capable de casser les clés Bitcoin n'a été démontré publiquement.
Les développeurs envisagent séparément le BIP-360, qui propose des sorties Pay-to-Merkle-Root conçues pour réduire l'exposition à long terme aux attaques quantiques. Contrairement à QSB, l'adoption de cette proposition nécessiterait un changement de protocole Bitcoin.
Les prochaines étapes comprennent un examen indépendant du code QSB, des tests supplémentaires sur le réseau principal et des travaux sur des systèmes de signature post-quantique plus évolutifs. La transaction fournit une solution de repli fonctionnelle, mais elle ne supprime pas la nécessité d'une migration au niveau du réseau.
