Progettazione blockchain quantistica: addio commissioni e sovraccarico di rete

Eliminazione delle firme: l’impronta on-chain di 96 byte

Da anni la comunità crittografica mette in guardia da un’imminente collisione tra l’informatica quantistica e la tecnologia blockchain. La logica matematica alla base di questa minaccia è semplice: gli algoritmi a chiave pubblica come l’ECDSA, che proteggono ogni cosa, dalle transazioni in bitcoin agli smart contract, non garantiranno più una sicurezza adeguata una volta che l’hardware quantistico avrà raggiunto la maturità.

Eppure, la soluzione proposta è spesso sembrata pericolosa quasi quanto il problema stesso. Gli schemi crittografici post-quantistici producono abitualmente firme gonfiate e prove a conoscenza zero (ZK) di dimensioni enormi: un’esplosione di dati che minaccia di intasare le reti peer-to-peer, sopraffare i miner e far lievitare le commissioni di transazione.

Tuttavia, un nuovo paradigma architettonico promette di rompere questo compromesso a somma zero tra sicurezza quantistica e scalabilità della rete. Ideata dal ricercatore di crittografia Dragos Ilie insieme a un team dell’Imperial College di Londra, la Compact Shielded client-side validation (CSV) dimostra che il passaggio alla crittografia post-quantistica non richiede di accettare commissioni di gas esorbitanti o prestazioni di rete lente.

Infatti, ripensando il modo in cui viene dimostrata la proprietà e trasferendo il lavoro di verifica direttamente sui dispositivi degli utenti, il protocollo raggiunge un ingombro on-chain molto più leggero persino rispetto alle blockchain tradizionali odierne.

Alla base del problema della scalabilità quantistica c’è una scelta progettuale tradizionale: memorizzare pesanti firme digitali su un registro pubblico affinché ogni nodo completo le verifichi. Il Compact Shielded CSV abbandona completamente le firme on-chain, sostituendole con un nuovo costrutto crittografico denominato “degriefer”.

In pratica, una transazione a input singolo registrata sulla blockchain è costituita da tre hash concisi da 32 byte per un totale di soli 96 byte: un “nullifier” per impedire la doppia spesa, un impegno di transazione e il “degriefer” stesso.

«Il degriefer è semplicemente un hash del nullifier della moneta, della chiave segreta del proprietario e della transazione che spende la moneta», ha spiegato Ilie. «Aggiungendo questo piccolo hash on-chain, il mittente può ora costruire una prova a conoscenza zero off-chain a sua difesa».

Neutralizzazione dei front-runner e degli attacchi di griefing

Poiché la costruzione della prova ZK di accompagnamento richiede la chiave segreta del proprietario come input privato, i relayers malintenzionati e i front-runner si trovano matematicamente in un vicolo cieco. «Un attaccante può effettuare un front-run su una transazione, ma non può costruire una prova ZK valida, quindi di sicuro non può trarne alcun vantaggio», ha osservato Ilie.

Inoltre, se un aggressore trasmette una transazione in conflitto per bloccare la spesa, il legittimo proprietario può smascherare senza difficoltà il tentativo. «L’utente può dimostrare tramite una prova ZK che la transazione di frontrunning è un tentativo di griefing non valido, mostrando che la sua chiave segreta effettiva, sottoposta a hash con il nullificatore, unita alla transazione dell’attaccante, non produce il degriefer pubblicato dall’attaccante», ha sottolineato Ilie.

Pertanto, anziché costringere ogni nodo in tutto il mondo a scaricare, eseguire e archiviare per sempre ogni singolo dato della cronologia delle transazioni, Compact Shielded CSV trasferisce la responsabilità di archiviare e verificare i dati di prova agli utenti specifici coinvolti in una transazione.

Dal punto di vista dell’utente finale, utilizzare un portafoglio su Compact Shielded CSV è simile all’uso di un client SPV leggero per Bitcoin. «È sufficiente una connessione ad almeno un nodo onesto», ha affermato Ilie. Per confermare un pagamento in arrivo, il portafoglio verifica i parametri pubblici della prova confrontandoli con i dati on-chain e convalida la prova ZK localmente. «Ad esempio, per una prova ZK STARK, anche su uno smartphone, [verification] ci vogliono meno di 100 millisecondi", ha aggiunto.

La generazione di una prova di pagamento in uscita richiede una quantità leggermente maggiore di calcolo, ma Ilie prevede che questo processo acceleri man mano che i circuiti di verifica maturano. Fondamentalmente, poiché l’architettura si basa su prove ricorsive di dimensione costante, la profondità storica delle transazioni non penalizza mai l’utente finale. Rispondendo alle preoccupazioni relative all’archiviazione off-chain delle prove post-quantistiche, Ilie ha osservato:

«Le prove sono effettivamente più grandi delle firme e più lente da generare e verificare, ma ciò rappresenta un onere solo quando l’intera rete deve archiviarle e convalidarle. Trattandosi di un protocollo di convalida lato client, ogni utente archivia, verifica e dimostra solo le monete che gli interessano personalmente, il che è molto gestibile».

Per mettere in prospettiva l’ingombro di archiviazione, Ilie ha affermato che «una foto sul telefono è 20–40 volte più grande di una singola prova», aggiungendo che l’invio di pagamenti richiede «meno larghezza di banda e spazio di archiviazione rispetto all’invio di un’immagine».

Zero ingombro di stato

Man mano che la cronologia delle transazioni cresce, i dispositivi edge tradizionali spesso soffrono di un ingombro dello stato. Con Compact Shielded CSV, invece, i client leggeri non memorizzano alcuna cronologia delle transazioni al di là delle prove di dimensione costante relative alle proprie monete non spese. «Per qualsiasi altra operazione, come verificare se un nullificatore abbia una spesa in conflitto, si interpellano semplicemente i nodi completi o d’archivio», ha sottolineato Ilie, aggiungendo che «la crescita della cronologia non influisce affatto sulle dimensioni delle prove né sui tempi di verifica».

Contrariamente alla convinzione diffusa secondo cui la resistenza quantistica comporti un’elevata congestione della rete e commissioni costose, Ilie ha sostenuto che il Compact Shielded CSV è significativamente più efficiente delle attuali reti non quantistiche:

«Sorprendentemente, il nostro schema è di gran lunga più leggero e veloce persino rispetto alle catene tradizionali, anziché più pesante. Avremmo commissioni di transazione molto più basse e una congestione di rete di gran lunga minore, non solo essendo pienamente post-quantistico, ma anche rispetto allo status quo».