Satoshi Nakamoto je napovedal zaščito bitcoina pred hekerskimi napadi že 16 let pred pojavom strahov pred kvantno tehnologijo

Objava na forumu, ki je določila pravila

16. julija 2010 je uporabnik z imenom bdonlan na forumu Bitcointalk podvomil v dvojno hashiranje SHA-256 v Bitcoinu. Vprašal je, ali ta zasnova oslabi varnost.

Satoshi je odgovoril neposredno. Izumitelj bitcoina je SHA-256 primerjal s prehodom z 32-bitnega na 64-bitno računalništvo, kar ni majhen korak naprej v dolžini bitov. Računalniki so izčrpali 32-bitni naslovni prostor pri 4 gigabajtih, je dejal, vendar nihče ne pričakuje, da bi se 64-bitni prostor kmalu izčrpal. SHA-256 deluje na enak način, matematika pa Bitcoinu zagotavlja dovolj prostora.

Satoshi je omrežju pripravil tudi izhodni načrt. Če bi se SHA-256 kdaj oslabil, bi razvijalci lahko izvedli mehki fork na novo hash funkcijo pri določeni višini bloka. Stari in novi hashi bi delovali vzporedno, dokler ne bi vsi vozli izvedli nadgradnje.

Tržna kapitalizacija bitcoina je od takrat presegla bilijon, omrežje pa dnevno poravna transakcije v vrednosti več sto milijard dolarjev. Vsak dolar te aktivnosti še vedno temelji na hash funkciji, ki jo je Satoshi zagovarjal v enem samem odgovoru na forumu pred šestnajstimi leti.

Zakaj bitcoin uporablja dva hash-a namesto enega

Bitcoinova koda podatke hashiruje dvakrat: SHA256(SHA256(podatki)), metodo, ki jo razvijalci imenujejo SHA256d. Kriptografa Niels Ferguson in Bruce Schneier sta ta pristop priporočila kot zaščito pred napadi s podaljšanjem dolžine bloka, kar je pomanjkljivost v strukturi Merkle-Damgard, ki jo uporablja SHA-2.

Rudarji dvakrat izračunajo hash glav blokov, da dosežejo ciljno težavnost omrežja, vozlišča pa dvakrat izračunajo hash transakcij za izgradnjo Merklejevih dreves. Denarnice dodajo tretjo plast, RIPEMD-160 nad SHA-256, da skrajšajo javna ključa v naslove.

Satoshi je SHA-256 izbral z razlogom. Nacionalni inštitut za standarde in tehnologijo (NIST) je algoritem objavil leta 2001 kot del družine SHA-2, kar je pomenilo velik preskok v varnosti v primerjavi s SHA-1, ki je že ob uvedbi bitcoina januarja 2009 kazal znake šibkosti. SHA-256 potrebuje približno 2^128 operacij, da se povzroči kolizija, in približno 2^256, da se povzroči predslika.

Šestnajst let kasneje ta zasnova še vedno ni bila prelomljena. Noben raziskovalec ni našel delujočega napada s kolizijo, predsliko ali drugo predsliko proti polnemu SHA-256. Različice z zmanjšanim številom krogov so bile žrtve kriptoanalize, vendar se ti napadi ne morejo širiti, preden dosežejo dejanski algoritem s 64 krogi. NIST in neodvisne skupine, kot je ECRYPT-CSA, še naprej ocenjujejo celotno funkcijo kot varno.

Tudi rudarska strojna oprema potrjuje to. Proizvajalci integriranih vezij za specifične namene (ASIC) so okoli SHA-256d zgradili celotne proizvodne linije, hitrost rudarjenja v omrežju pa zdaj dosega vrednosti v obsegu eksahashov. Satoshi je napovedal, da sam Mooreov zakon nikoli ne bo ogrozil te funkcije, prilagoditve težavnosti pa so kljub eksponentnemu povečanju rudarske moči ohranile čas blokov blizu desetih minut.

Kvantno računalništvo spreminja razpravo

Klasična metoda brute force Satoshija nikoli ni skrbela in še vedno ne ogroža bitcoina. Kvantno računalništvo tveganje razdeli na dva ločena problema.

Groverjev algoritem pospeši iskanje z metodo brute force. Če se uporabi proti SHA-256, zmanjša efektivno varnost s 256 bitov na približno 128 bitov, kar je številka, ki je še vedno daleč izven dosega. Raziskovalci trdijo, da bi napadalec potreboval kvantno strojno opremo v obsegu, kakršnega svet še ni zgradil, zato je zaenkrat vse še varno.

Shorov algoritem predstavlja večji problem, saj cilja na podpise, ne na hashove. Kvantni računalnik, ki bi ga izvajal, bi lahko iz izpostavljenega javnega ključa na eliptični krivulji, ki jo uporablja Bitcoin, izluščil zasebni ključ. Po ocenah je približno 7 milijonov bitcoinov, kar je skoraj 35 % ponudbe, shranjenih na naslovih z izpostavljenimi javnimi ključi, kar bi predstavljalo tveganje, če bi takšna strojna oprema obstajala.

Google Quantum AI je leta 2026 objavil raziskavo, ki je zmanjšala število kubitov, potrebnih za prelom Bitcoinove krivulje, na približno 500.000 fizičnih kubitov. Sedanji kvantni računalniki delujejo v obsegu od 1.000 do 1.500 kubitov. Raziskovalci še vedno ocenjujejo, da bi lahko do dejanske grožnje prišlo nekje med letoma 2029 in 2035, odvisno od napredka na področju popravljanja napak.

Razvijalci se po šestnajstih letih ponovno lotevajo tega vprašanja

Satoshi se je v letu 2010 večkrat vrnil k vprašanjem, povezanim s hash funkcijami, vključno s tem, kaj bi se zgodilo, če bi pri SHA-256 prišlo do delne kolizije. Njegov odgovor je ostal nespremenjen: najprej je treba zakleniti pošteno verigo, preden se težave razširijo, nato pa preiti na novo funkcijo.

Kasnejše nadgradnje Bitcoina niso posegle v jedrni hash. Leta 2017 je bil aktiviran Segregated Witness, leta 2021 pa Taproot; oba sta bila usmerjena v učinkovitost in zasebnost, ne pa v hashiranje. Odpornost proti kvantnim napadom ni postala prednostna tema za razvijalce, dokler se v 2020-ih letih v kriptografski skupnosti ni razširilo zavedanje o Groverjevem in Shorjevem algoritmu.

Razvijalci predlagajo izhodne poti, ki jih je obljubil Satoshi

Razvijalci bitcoina so že predlagali pot migracije, ki jo je Satoshi opisal leta 2010, le da je bila usmerjena v podpise namesto v hash-vrednosti. Na mizo je bilo položeno več idej.

BIP-360 uvaja nov format naslovov, naslove »pay-to-Merkle-root«, ki se začnejo z bc1z in so zasnovani na shemah podpisov, odpornih proti kvantnim napadom. Razvijalci so predlog vključili v sistem leta 2026. Spremljajoči predlog, BIP-361, opredeljuje, kako bi omrežje sčasoma lahko opustilo starejše, izpostavljene tipe naslovov. Slednja metoda je nekoliko bolj sporna.

Ponudniki denarnic so zdaj pod pritiskom, da ustavijo ponovno uporabo naslovov in usmerijo uporabnike k novejšim tipom izhodov, preden se izteče kakršen koli kvantni rok.

Prehod prinaša svoje ovire. Razvijalci še vedno potrebujejo načrt za kovance, zaklenjene na starih naslovih, katerih lastniki so neaktivni ali nedosegljivi, vključno z vsemi bitcoini, povezanimi s Satoshijevimi lastnimi zgodnjimi denarnicami. Postkvantni podpisi zavzemajo tudi več prostora v bloku kot podpisi, ki jih Bitcoin uporablja danes, zato raziskovalci testirajo sheme podpisov na osnovi hash-funkcij, da bi ta prehod ostal obvladljiv.

Kaj to pomeni za imetnike bitcoinov

Glede SHA-256 danes ni potrebno nobeno ukrepanje. Hash funkcija, ki varuje zgodovino rudarjenja in transakcij, ostaja nedotaknjena s strani vseh znanih napadov, bodisi klasičnih bodisi kvantnih.

Izpostavljenost podpisov je tisto, kar je vredno spremljati. Imetniki s kovanci na naslovih starega tipa ali kdor koli, ki je ponovno uporabil bitcoin naslov, so bolj izpostavljeni kot tisti, ki uporabljajo sodobne tipe izhodov z javnimi ključi, ki ostanejo skriti do porabe.

Satoshi je nit iz leta 2010 zaključil z opozorilom, ki še vedno velja kot trenutna politika. Vsak napad, ki bi bil dovolj močan, da bi prelomil SHA-256, bi verjetno poškodoval tudi močnejše sorodnike, kot je SHA-512, zato se popoln prelom sam po sebi zdi malo verjeten. Obramba bitcoina ni bila nikoli v trajnosti. Bila je v sposobnosti, da se premakne, preden grožnja postane resnična.