Satoshi Nakamoto predpovedal ochranu bitcoinu prostredníctvom hashových funkcií už 16 rokov predtým, než sa objavili obavy z kvantovej informatiky

Príspevok na fóre, ktorý stanovil pravidlá

16. júla 2010 používateľ s prezývkou bdonlan na fóre Bitcointalk spochybnil dvojité hashovanie bitcoinu pomocou algoritmu SHA-256. Spýtal sa, či táto konštrukcia neoslabuje bezpečnosť.

Satoshi odpovedal priamo. Vynálezca bitcoinu porovnal SHA-256 s prechodom z 32-bitového na 64-bitové výpočty, čo nie je len malý krok vpred v dĺžke bitov. Povedal, že počítačom sa 32-bitový adresný priestor vyčerpal pri 4 gigabajtoch, ale nikto neočakáva, že by sa 64-bitový priestor vyčerpal v blízkej budúcnosti. SHA-256 funguje rovnakým spôsobom a matematika dáva bitcoinu dostatočnú rezervu.

Satoshi tiež poskytol sieti plán na odchod. Ak by sa SHA-256 niekedy oslabil, vývojári by mohli pomocou soft forku prejsť na novú hašovaciu funkciu pri stanovenej výške bloku. Staré a nové haše by fungovali súbežne, kým by sa neaktualizoval každý uzol.

Trhová kapitalizácia bitcoinu odvtedy prekročila bilión a sieť denne spracováva transakcie v hodnote stoviek miliárd dolárov. Každý dolár z tejto aktivity stále závisí od hašovacej funkcie, ktorú Satoshi obhajoval v jednej odpovedi na fóre pred šestnástimi rokmi.

Prečo Bitcoin používa dva hashovacie algoritmy namiesto jedného

Kód bitcoinu hashuje dáta dvakrát: SHA256(SHA256(dáta)), metódu, ktorú vývojári nazývajú SHA256d. Kryptografi Niels Ferguson a Bruce Schneier odporučili tento prístup ako ochranu proti útokom zameraným na predĺženie dĺžky bloku, čo je slabina štruktúry Merkle-Damgard, ktorú používa SHA-2.

Ťažiari dvakrát hashujú hlavičky blokov, aby splnili cieľovú obtiažnosť siete, a uzly dvakrát hashujú transakcie na vytvorenie Merkleových stromov. Peňaženky pridávajú tretiu vrstvu, RIPEMD-160 nad SHA-256, na skrátenie verejných kľúčov na adresy.

Satoshi si vybral SHA-256 z určitého dôvodu. Národný inštitút pre štandardy a technológie (NIST) zverejnil tento algoritmus v roku 2001 ako súčasť rodiny SHA-2, čím ponúkol výrazné zvýšenie bezpečnosti oproti SHA-1, ktorý už v čase spustenia bitcoinu v januári 2009 vykazoval slabiny. Algoritmus SHA-256 vyžaduje približne 2^128 operácií na vynútenie kolízie a približne 2^256 na vynútenie predobrazu.

Šestnásť rokov neskôr tento dizajn nikto neprelomil. Žiaden výskumník nenašiel fungujúci útok typu kolízie, predobrazu ani druhého predobrazu proti plnej verzii SHA-256. Verzie so zníženým počtom kôl podľahli kryptoanalýze, avšak tieto útoky sa prestávajú škálovať skôr, ako dosiahnu skutočný 64-kolový algoritmus. NIST a nezávislé skupiny, ako napríklad ECRYPT-CSA, naďalej hodnotia plnú funkciu ako bezpečnú.

Hardvér na ťažbu hovorí to isté. Výrobcovia integrovaných obvodov pre špecifické aplikácie (ASIC) vybudovali celé produktové rady založené na SHA-256d a sieťový hashrate sa teraz pohybuje v rozsahu exahashov. Satoshi predpovedal, že samotný Mooreov zákon nikdy nebude pre túto funkciu hrozbou, a úpravy obtiažnosti udržali časy blokov na úrovni približne desiatich minút napriek exponenciálnemu nárastu ťažobného výkonu.

Kvantové výpočty menia diskusiu

Klasická metóda hrubou silou nikdy Satoshiho netrápila a ani dnes neohrozuje Bitcoin. Kvantové výpočty rozdeľujú riziko na dva samostatné problémy.

Groverov algoritmus urýchľuje hľadanie metódou hrubej sily. Ak sa použije proti SHA-256, zníži efektívnu bezpečnosť z 256 bitov na približne 128 bitov, čo je číslo, ktoré je stále ďaleko mimo dosahu. Výskumníci tvrdia, že útočník by potreboval kvantový hardvér v rozsahu, aký svet doteraz nevyvinul, takže situácia zostáva zatiaľ bezpečná.

Shorov algoritmus predstavuje väčší problém a zameriava sa na podpisy, nie na hashové hodnoty. Kvantový počítač, na ktorom by bežal, by mohol získať súkromný kľúč z verejného kľúča, ktorý je vystavený na eliptickej krivke, ktorú Bitcoin používa. Odhadom 7 miliónov bitcoinov, čo predstavuje takmer 35 % celkovej ponuky, sa nachádza na adresách s odhalenými verejnými kľúčmi a v prípade existencie takéhoto hardvéru by boli ohrozené.

Spoločnosť Google Quantum AI v roku 2026 zverejnila výskum, ktorý znížil počet kubitov potrebných na prelomenie krivky bitcoinu na približne 500 000 fyzických kubitov. Súčasné kvantové stroje pracujú v rozsahu 1 000 až 1 500 kubitov. Výskumníci stále odhadujú, že reálna hrozba nastane niekedy medzi rokmi 2029 a 2035, v závislosti od pokroku v oblasti korekcie chýb.

Vývojári sa k tejto otázke vracajú už viac ako šestnásť rokov

Satoshi sa v priebehu roka 2010 viac ako raz vrátil k obavám týkajúcim sa hashovania, vrátane toho, čo by sa stalo, keby došlo k čiastočnej kolízii algoritmu SHA-256. Jeho odpoveď zostala konzistentná: uzamknúť čestný reťazec skôr, než sa problém rozšíri, a potom prejsť na novú funkciu.

Neskoršie aktualizácie Bitcoinu ponechali základný hashovací algoritmus nedotknutý. V roku 2017 bola aktivovaná funkcia Segregated Witness a v roku 2021 funkcia Taproot, pričom obe boli zamerané skôr na efektívnosť a súkromie než na hashovanie. Odolnosť voči kvantovým útokom sa pre vývojárov stala prioritnou témou až vtedy, keď sa v 20. rokoch 21. storočia v kryptografickej komunite rozšírilo povedomie o Groverovom a Shorovom algoritme.

Vývojári navrhujú „výjazdové rampy“, ktoré sľúbil Satoshi

Vývojári bitcoinu už navrhli migračnú cestu, ktorú Satoshi opísal v roku 2010, len zameranú na podpisy namiesto hashov. Na stôl bolo predložených niekoľko nápadov.

BIP-360 zavádza nový formát adries, tzv. „pay-to-Merkle-root“ adresy začínajúce na bc1z, postavené na schémach podpisov odolných voči kvantovým útokom. Vývojári tento návrh začlenili do reťazca v roku 2026. Súvisiaci návrh, BIP-361, stanovuje, ako by sieť mohla postupne vyradiť staršie, zraniteľné typy adries. Druhá metóda je však o niečo kontroverznejšia.

Poskytovatelia peňaženiek teraz čelia tlaku, aby zastavili opätovné používanie adries a nasmerovali používateľov k novším typom výstupov ešte predtým, ako nastane akýkoľvek kvantový termín.

Migrácia so sebou prináša vlastné prekážky. Vývojári stále potrebujú plán pre coiny uzamknuté na starých adresách, ktorých majitelia sú neaktívni alebo nedosiahnuteľní, vrátane akýchkoľvek bitcoinov viazaných na Satoshiho vlastné rané peňaženky. Postkvantové podpisy tiež zaberajú viac miesta v bloku než podpisy, ktoré Bitcoin používa dnes, a výskumníci testujú schémy podpisov založené na hashových funkciách, aby bola táto migrácia zvládnuteľná.

Čo to znamená pre držiteľov bitcoinu

V súvislosti s SHA-256 nie je v súčasnosti potrebné žiadne opatrenie. Hashová funkcia, ktorá zabezpečuje ťažbu a históriu transakcií, zostáva nedotknutá žiadnym známym útokom, či už klasickým alebo kvantovým.

Expozícia podpisov je však bodom, ktorý stojí za pozornosť. Držitelia s mincami na adresách starého typu alebo ktokoľvek, kto opätovne použil bitcoinovú adresu, sú vystavení väčšiemu riziku než tí, ktorí používajú moderné typy výstupov s verejnými kľúčmi, ktoré zostávajú skryté až do momentu utratenia.

Satoshi uzavrel vlákno z roku 2010 varovaním, ktoré stále platí ako súčasná politika. Akýkoľvek útok dostatočne silný na prelomenie SHA-256 by pravdepodobne poškodil aj silnejšie varianty, ako je SHA-512, takže úplné prelomenie samotného SHA-256 sa zdá nepravdepodobné. Obrana bitcoinu nikdy nespočívala v trvalosti. Bola to schopnosť konať skôr, než sa hrozba stane skutočnosťou.