Kvantová hrozba secp256k1: 1200 kvbitů pro prolomení

Optimalizace Shorova algoritmu ohrožuje kryptografii secp256k1 v blockchainech

Tým Google Quantum AI zveřejnil whitepaper, který představuje optimalizovaný Shorův algoritmus pro prolomení 256bitových eliptických křivek secp256k1. Požadavky se snížily na 1200 logických qubitů a 90 milionů Toffoliho hradel, což odpovídá méně než 500 000 fyzických qubitů. Výpočty trvají minuty, což činí hrozbu reálnou pro Bitcoin a Ethereum.

Klíčová vylepšení algoritmu

Výzkumníci včetně Ryana Babbushe, Craiga Gidneyho a Justina Drakea z Ethereum Foundation zkompilovali Shorův algoritmus do efektivního kvantového obvodu. Předchozí odhady (Litinski, 2023) vyžadovaly asi 9 milionů fyzických qubitů – nová optimalizace snižuje práh 20krát.

Algoritmus řeší problém diskrétního logaritmu na eliptických křivkách, který je základem privátních klíčů blockchainů. Zpětné výpočty privátního klíče z veřejného se stávají proveditelnými na kvantovém hardwaru.

Trend snižování zdrojů pokračuje: každých 12–18 měsíců algoritmická vylepšení snižují požadavky, doplňujíce pokrok na hardwarové straně.

Vektory kvantových útoků

On-spend útok

Útočník zachytí transakci z mempoolu, kde je veřejný klíč viditelný. Během minut Shorův algoritmus vypočítá privátní klíč, což umožňuje ukrást prostředky před potvrzením bloku. Čas útoku je kratší než interval bloku Bitcoinu (10 minut).

At-rest útok

Peněženky s již odhalenými veřejnými adresami jsou zranitelné bez časových omezení. Podle odhadů autorů je 6,9 milionu BTC vystaveno riziku, včetně 1,7 milionu mincí z éry Satoshiho.

• On-spend: Vyžaduje reálný čas, zaměřuje se na mempool.
• At-rest: Offline prolomení, miliony adres v blockchainu.
• ZK-proof detail: Google poskytl zero-knowledge důkaz efektivity schémat, ale bez odhalení detailů. Samotný ZK-proof není postkvantově odolný.

Současný stav kvantového hardwaru

Procesor Google Willow má 105 qubitů – do 500 000 je daleko. Publikace však zkracuje mezeru mezi teorií a praxí. Google plánuje postkvantovou připravenost do roku 2029, NIST – odstoupení od RSA do roku 2030. Justin Drake odhaduje riziko kvantového prolomení do roku 2032 na minimálně 10 %.

Autoři varují: první kryptograficky významné kvantové stroje se oznámí přes blockchain, nikoli tiskovou zprávu.

Opatření postkvantové ochrany

NIST schválil postkvantové standardy v roce 2024. Pro blockchainy jsou potřeba:

• Softforky/hardforky protokolů.
• Aktualizace peněženek a nodů.
• Konsenzus komunit.
• Migrace na algoritmy jako Dilithium nebo Falcon.
• Audit existujících adres na zranitelnosti.

V korporátních systémech jsou aktualizace jednodušší, ale decentralizované sítě vyžadují roky na koordinaci. Je třeba jednat předem.

Co je důležité

• Optimalizace Shorova algoritmu snižuje požadavky na 1200 logických qubitů – 20krát efektivnější než předchozí odhady.
• On-spend útoky jsou možné během minut; 6,9 milionu BTC je zranitelných at-rest.
• Google používá ZK-proof pro ověření bez odhalení schémat.
• Postkvantová migrace v blockchainech je mnohaletý proces, začít je třeba neprodleně.
• Riziko kvantového prolomení je reálné do let 2030–2032.

— Editorial Team