Satoshi Nakamoto forutsa Bitcoins hash-forsvar 16 år før kvantefryktene

Et foruminnlegg som satte reglene

Den 16. juli 2010 spurte en bruker ved navn bdonlan på Bitcointalk-forumet om Bitcoins doble SHA-256-hashing. Han lurte på om designet svekket sikkerheten.

Satoshi svarte direkte. Bitcoins oppfinner sammenlignet SHA-256 med spranget fra 32-bit til 64-bit databehandling, ikke et lite hopp i bitlengde. Datamaskiner gikk tom for 32-bit adresseplass ved 4 gigabyte, sa han, men ingen forventer å gå tom for 64-bit plass med det første. SHA-256 fungerer på samme måte, og matematikken gir Bitcoin god margin.

Satoshi ga også nettverket en retrettplan. Hvis SHA-256 noen gang ble svekket, kunne utviklere gjøre en soft fork til en ny hashfunksjon ved en bestemt blokkhøyde. Gamle og nye hasher ville kjøre side om side til hver node hadde oppgradert.

Bitcoins markedsverdi har siden vokst til over en billion, og nettverket avregner daglig verdier for hundrevis av milliarder dollar. Hver dollar av denne aktiviteten avhenger fortsatt av hashfunksjonen Satoshi forsvarte i ett eneste forumsvar for seksten år siden.

Hvorfor Bitcoin kjører to hasher i stedet for én

Bitcoins kode hasher data to ganger: SHA256(SHA256(data)), en metode utviklere kaller SHA256d. Kryptografer Niels Ferguson og Bruce Schneier anbefalte tilnærmingen mot «block length extension»-angrep, en svakhet i Merkle–Damgård-strukturen som SHA-2 bruker.

Minere hasher blokkheadere to ganger for å møte nettverkets vanskelighetsmål, og noder hasher transaksjoner to ganger for å bygge Merkle-trær. Lommebøker legger til et tredje lag, RIPEMD-160 over SHA-256, for å forkorte offentlige nøkler til adresser.

Satoshi valgte SHA-256 av en grunn. National Institute of Standards and Technology publiserte algoritmen i 2001 som del av SHA-2-familien, og den ga et stort styrkeløft over SHA-1, som allerede viste svakheter da Bitcoin ble lansert i januar 2009. SHA-256 krever omtrent 2^128 operasjoner for å fremtvinge en kollisjon og omtrent 2^256 for å fremtvinge et preimage.

Seksten år senere er det ingen som har brutt dette designet. Ingen forsker har funnet et fungerende kollisjons-, preimage- eller second preimage-angrep mot full SHA-256. Varianter med reduserte runder har falt for kryptoanalyse, men disse angrepene slutter å skalere før de når den reelle 64-runders algoritmen. NIST og uavhengige grupper som ECRYPT-CSA fortsetter å vurdere den fulle funksjonen som sikker.

Mining-maskinvare forteller samme historie. Produsenter av applikasjonsspesifikke integrerte kretser (ASIC) har bygget hele produktlinjer rundt SHA-256d, og nettverkets hashrate ligger nå i exahash-området. Satoshi forutsa at Moores lov alene aldri ville true funksjonen, og vanskelighetsjusteringer har holdt blokktidene nær ti minutter til tross for eksponentielle økninger i mining-kraft.

Kvantedatabehandling endrer samtalen

Klassisk brute force bekymret aldri Satoshi, og det truer fortsatt ikke Bitcoin. Kvantedatabehandling deler risikoen i to separate problemer.

Grovers algoritme øker hastigheten på brute-force-søk. Brukt mot SHA-256 reduserer den effektiv sikkerhet fra 256 bit til rundt 128 bit, et nivå som fortsatt er langt utenfor rekkevidde. Forskere sier at en angriper ville trenge kvantehardware i en skala verden ikke har bygget, så ting forblir trygge foreløpig.

Shors algoritme utgjør det større problemet, og den retter seg mot signaturer, ikke hasher. En kvantedatamaskin som kjører den, kunne hente ut en privat nøkkel fra en eksponert offentlig nøkkel på den elliptiske kurven Bitcoin bruker. Anslagsvis 7 millioner bitcoin, nær 35% av tilbudet, ligger i adresser med eksponerte offentlige nøkler og ville innebære risiko dersom slik maskinvare fantes.

Google Quantum AI publiserte forskning i 2026 som senket antallet qubits som trengs for å bryte Bitcoins kurve til rundt 500 000 fysiske qubits. Dagens kvantemaskiner ligger i området 1 000 til 1 500 qubits. Forskere anslår fortsatt at en reell trussel kan komme et sted mellom 2029 og 2035, avhengig av fremgang i feilkorrigering.

Utviklere tar opp spørsmålet på nytt etter seksten år

Satoshi kom tilbake til hash-relaterte bekymringer mer enn én gang i løpet av 2010, inkludert hva som ville skje dersom SHA-256 fikk en delvis kollisjon. Svaret hans forble konsekvent: lås inn den ærlige kjeden før problemer sprer seg, og migrer deretter til en ny funksjon.

Senere Bitcoin-oppgraderinger lot kjerne-hashingen være urørt. Segregated Witness ble aktivert i 2017, og Taproot ble aktivert i 2021, begge rettet mot effektivitet og personvern snarere enn hashing. Kvantemotstand ble ikke et hovedtema for utviklere før bevisstheten om Grovers og Shors algoritmer spredte seg i kryptografimiljøet på 2020-tallet.

Utviklere foreslår avkjøringsramper Satoshi lovet

Bitcoin-utviklere har allerede foreslått migreringsløypen Satoshi beskrev i 2010, bare rettet mot signaturer i stedet for hasher. Flere ideer har blitt lagt på bordet.

BIP-360 introduserer et nytt adresseformat, pay-to-Merkle-root-adresser som starter med bc1z, bygget rundt kvantebestandige signaturskjemaer. Utviklere flettet inn forslaget i 2026. Et ledsagerforslag, BIP-361, beskriver hvordan nettverket etter hvert kunne fase ut eldre, eksponerte adressetyper. Med sistnevnte metode litt mer kontroversiell.

Lommebokleverandører møter nå press for å stoppe gjenbruk av adresser og styre brukere mot de nyere output-typene før en kvantedeadline inntreffer.

Migrering har sine egne hindringer. Utviklere trenger fortsatt en plan for mynter låst i gamle adresser der eierne er inaktive eller utilgjengelige, inkludert eventuell bitcoin knyttet til Satoshis egne tidlige lommebøker. Post-kvante-signaturer tar også mer blokkplass enn signaturene Bitcoin bruker i dag, og forskere tester hash-baserte signaturskjemaer for å holde migreringen håndterbar.

Hva dette betyr for Bitcoin-eiere

Ingenting ved SHA-256 krever handling i dag. Hashfunksjonen som sikrer mining og transaksjonshistorikk, forblir uberørt av ethvert kjent angrep, klassisk eller kvantebasert.

Signatur-eksponering er punktet det er verdt å følge med på. Eiere med mynter i adresser av gammel type, eller hvem som helst som har gjenbrukt en Bitcoin-adresse, har større eksponering enn noen som bruker moderne output-typer der offentlige nøkler forblir skjult til de brukes ved spending.

Satoshi avsluttet 2010-tråden med en advarsel som fortsatt leses som gjeldende politikk. Ethvert angrep sterkt nok til å bryte SHA-256 ville sannsynligvis også skade sterkere slektninger som SHA-512, så en fullstendig knekk virker usannsynlig i seg selv. Bitcoins forsvar var aldri varighet. Det var evnen til å flytte seg før en trussel blir reell.