Satoshi Nakamoto már 16 évvel a kvantumtechnológiával kapcsolatos aggodalmak felmerülése előtt megjósolta a bitcoin hash-alapú védelmét

Egy fórumbejegyzés, amely meghatározza a szabályokat

2010. július 16-án egy bdonlan nevű felhasználó a Bitcointalk fórumon kérdőre vonta a Bitcoin kettős SHA-256 hash-elését. Arra volt kíváncsi, hogy ez a kialakítás gyengíti-e a biztonságot.

Satoshi közvetlenül válaszolt. A Bitcoin feltalálója a SHA-256-ot a 32 bitesről a 64 bites számítástechnikára való átálláshoz hasonlította, ami nem csupán egy kis lépés a bithosszúságban. A számítógépek 4 gigabájtnál kimerítették a 32 bites címteret – mondta –, de senki sem számít arra, hogy a 64 bites címtér hamarosan elfogyna. Az SHA-256 ugyanúgy működik, és a számítások szerint a Bitcoinnek bőven van tartaléka.

Satoshi emellett kilépési tervet is kidolgozott a hálózat számára. Ha a SHA-256 valaha is gyengülne, a fejlesztők egy meghatározott blokkmagasságnál soft fork segítségével átállhatnának egy új hash-függvényre. A régi és az új hash-függvények egymás mellett működnének, amíg minden csomópont frissülne.

A Bitcoin piaci kapitalizációja azóta meghaladta az egy billiót, és a hálózat naponta több százmilliárd dollár értékű tranzakciót bonyolít le. Ezen tevékenység minden egyes dollárja továbbra is azon a hash-függvényen múlik, amelyet Satoshi tizenhat évvel ezelőtt egyetlen fórumválaszban védett meg.

Miért futtat a Bitcoin két hash-függvényt egy helyett

A Bitcoin kódja kétszer hash-olja az adatokat: SHA256(SHA256(adat)), egy módszert, amelyet a fejlesztők SHA256d-nek neveznek. Niels Ferguson és Bruce Schneier kriptográfusok ezt a megközelítést ajánlották a blokkhossz-kiterjesztési támadások ellen, amelyek a SHA-2 által használt Merkle-Damgard-struktúra egyik hibáját célozzák meg.

A bányászok kétszer hashelnek a blokkfejléceket, hogy teljesítsék a hálózat nehézségi célértékét, a csomópontok pedig kétszer hashelnek a tranzakciókat a Merkle-fák felépítéséhez. A pénztárcák egy harmadik réteget, az SHA-256 feletti RIPEMD-160-at alkalmaznak a nyilvános kulcsok címekké történő rövidítéséhez.

Satoshi okkal választotta az SHA-256-ot. Az Amerikai Nemzeti Szabványügyi és Technológiai Intézet (NIST) 2001-ben tette közzé az algoritmust az SHA-2 család részeként, amely jelentős biztonsági előrelépést jelentett az SHA-1-hez képest, amely már a Bitcoin 2009. januári bevezetésekor is mutatott biztonsági réseket. A SHA-256 esetében körülbelül 2^128 műveletre van szükség egy ütközés kikényszerítéséhez, és körülbelül 2^256-ra egy preimage kikényszerítéséhez.

Tizenhat évvel később még senki sem törte fel ezt a kialakítást. Egyetlen kutató sem talált működőképes ütközés-, preimage- vagy második preimage-támadást a teljes SHA-256 ellen. A kevesebb körrel rendelkező változatokat sikerült feltörni, de ezek a támadások nem tudnak tovább skálázódni, mielőtt elérnék a valódi, 64 körös algoritmust. A NIST és független csoportok, mint például az ECRYPT-CSA, továbbra is biztonságosnak minősítik a teljes funkciót.

A bányászati hardverek is ugyanezt mutatják. Az alkalmazásspecifikus integrált áramkörök (ASIC) gyártói teljes termékcsaládokat építettek ki a SHA-256d köré, és a hálózati hash-teljesítmény mára már az exahash-tartományban mozog. Satoshi előre jelezte, hogy önmagában a Moore-törvény soha nem fogja veszélyeztetni a függvényt, és a nehézségi szint kiigazításai a bányászati teljesítmény exponenciális növekedése ellenére is tíz perc körüli blokkidőket biztosítottak.

A kvantumszámítás megváltoztatja a vitát

A klasszikus brute force-módszer soha nem aggasztotta Satoshit, és még mindig nem jelent fenyegetést a Bitcoinra nézve. A kvantumszámítás két különálló problémára osztja a kockázatot.

A Grover-algoritmus felgyorsítja a brute-force keresést. Az SHA-256 ellen futtatva a tényleges biztonsági szintet 256 bitről körülbelül 128 bitre csökkenti, ami még mindig messze elérhetetlen érték. A kutatók szerint egy támadónak olyan méretű kvantumhardverre lenne szüksége, amilyet a világ még nem épített meg, így egyelőre biztonságban vagyunk.

Shor-algoritmusa jelent nagyobb problémát, és az aláírásokat célozza meg, nem a hash-értékeket. Egy ezt futtató kvantumszámítógép ki tudná szűrni a titkos kulcsot a Bitcoin által használt elliptikus görbén található, nyilvános kulcsból. Becslések szerint 7 millió bitcoin – a kínálat közel 35%-a – olyan címeken található, amelyek nyilvános kulcsai nyilvánosak, és kockázatot jelentene, ha ilyen hardver létezne.

A Google Quantum AI 2026-ban publikált egy kutatást, amely a Bitcoin görbéjének feltöréséhez szükséges kubitok számát körülbelül 500 000 fizikai kubitra csökkentette. A jelenlegi kvantumgépek 1 000 és 1 500 kubit közötti tartományban működnek. A kutatók továbbra is 2029 és 2035 közötti időszakra becsülik a valós fenyegetés bekövetkeztét, a hibajavítás terén elért előrelépésektől függően.

A fejlesztők több mint tizenhat éven át újra és újra felvetették a kérdést

Satoshi 2010 folyamán többször is visszatért a hash-ekkel kapcsolatos aggályokra, többek között arra is, hogy mi történne, ha az SHA-256 részleges ütközést szenvedne el. Válasza következetes maradt: rögzítsük a becsületes láncot, mielőtt a probléma elterjedne, majd váltsunk át egy új függvényre.

A későbbi Bitcoin-frissítések nem érintették az alapvető hash-funkciókat. A Segregated Witness-t 2017-ben, a Taproot-ot pedig 2021-ben aktiválták; mindkettő inkább a hatékonyságot és az adatvédelmet célozta meg, mint a hash-funkciókat. A kvantumellenállóság csak akkor vált a fejlesztők számára elsődleges fontosságú témává, amikor a 2020-as években Grover és Shor algoritmusainak ismerete elterjedt a kriptográfiai közösségben.

A fejlesztők javasolják a Satoshi által ígért „kijáratokat”

A Bitcoin-fejlesztők már javasolták azt az átállási útvonalat, amelyet Satoshi 2010-ben írt le, csakhogy az a hash-ek helyett az aláírásokra irányult. Számos ötlet került terítékre.

A BIP-360 egy új címformátumot vezet be: a bc1z-vel kezdődő, „pay-to-Merkle-root” címeket, amelyek kvantumálló aláírási sémákra épülnek. A fejlesztők 2026-ban beépítették a javaslatot a rendszerbe. Egy kiegészítő javaslat, a BIP-361, felvázolja, hogyan tudná a hálózat idővel kivezetni a régebbi, sebezhető címtípusokat. Ez utóbbi módszer azonban kissé ellentmondásosabb.

A pénztárca-szolgáltatókra most nyomás nehezedik, hogy még a kvantumfenyegetés határidejének lejárta előtt vessenek véget a címek újrafelhasználásának, és irányítsák a felhasználókat az újabb kimeneti típusok felé.

Az átállásnak megvannak a maga akadályai. A fejlesztőknek még mindig szükségük van egy tervre azokra a régi címeken zárolt érmékre, amelyek tulajdonosai inaktívak vagy elérhetetlenek, beleértve a Satoshi saját korai pénztárcáihoz kötött bitcoinokat is. A posztkvantum aláírások emellett több blokkterületet foglalnak el, mint a Bitcoin által ma használt aláírások, és a kutatók hash-alapú aláírási rendszereket tesztelnek, hogy az átállás kezelhető maradjon.

Mit jelent ez a bitcoin-tulajdonosok számára

A SHA-256-tal kapcsolatban jelenleg nincs szükség semmilyen intézkedésre. A bányászatot és a tranzakciós előzményeket biztosító hash-függvényt eddig semmilyen ismert támadás – sem klasszikus, sem kvantum – nem érintette.

Az aláírások sebezhetősége az a kérdés, amelyet érdemes figyelni. Azok a tulajdonosok, akiknek érméi régi típusú címeken vannak, vagy bárki, aki újrahasznosított egy Bitcoin-címet, nagyobb kockázatnak vannak kitéve, mint azok, akik modern kimeneti típusokat használnak olyan nyilvános kulcsokkal, amelyek a kiadásig rejtve maradnak.

Satoshi a 2010-es szálat egy figyelmeztetéssel zárta, amely ma is érvényes irányelvnek tekinthető. Bármely olyan támadás, amely elég erős ahhoz, hogy feltörje az SHA-256-ot, valószínűleg a erősebb változatokat, például az SHA-512-t is megsértené, így önmagában egy teljes feltörés valószínűtlennek tűnik. A Bitcoin védelme soha nem a tartós jellegében rejlett. Hanem abban a képességében, hogy lépéseket tegyen, mielőtt a fenyegetés valósággá válna.