Квантово-устойчивое предложение по безопасности для Bitcoin, опубликованное в апреле Джеймсоном Лоппом и пятью соавторами, получило потенциальный механизм восстановления благодаря технологии доказательств с нулевым разглашением (zero-knowledge proof). BIP-361 предлагает замораживать биткоины, хранящиеся в адресах, уязвимых к квантовым атакам, после многолетнего таймлайна: через 3 года блокировать новые депозиты на такие адреса и через 5 лет заморозить всё оставшееся. План нацелен на монеты в адресах, где открытые ключи были раскрыты в блокчейне, что составляет более 34% предложения биткоина, включая примерно 1,1 миллиона BTC, приписываемых Сатоши Накамото.
Project Eleven разработала прототип метода восстановления, который позволяет современным пользователям кошельков доказывать владение, не раскрывая приватные ключи, решая опасения, что заморозка будет означать необратимые потери. Разработка переносит дискуссию с вопроса о том, нужно ли замораживать уязвимые монеты, на то, какие держатели смогут безопасно восстанавливать замороженные активы после того, как в будущем материализуется угроза, связанная с квантовыми вычислениями.
BIP-361 затрагивает теоретический момент, известный как Q-Day, когда квантовый компьютер становится способен выводить приватный ключ из открытого ключа. В предложении говорится о блокировке новых депозитов на уязвимые адреса с биткоином по истечении 3 лет и о заморозке всего оставшегося после 5 лет. Если Q-Day произойдет, любой адрес с раскрытым открытым ключом сможет быть потрачен злоумышленником, и блокчейн не сможет отличить злоумышленника от реального владельца, потому что оба смогут сгенерировать корректную подпись.
Project Eleven Builds Zero-Knowledge Recovery Prototype
Project Eleven разработала прототип метода восстановления на основе доказательств с нулевым разглашением — криптографической техники, которая позволяет пользователю доказать, что он знает нечто, не раскрывая лежащую в основе информацию. Путь восстановления ориентирован на современные кошельки, построенные вокруг иерархических детерминированных деревьев ключей, где ключи выводятся из ключевого материала более высокого уровня.
Прототип, разработанный совместно с Джимом Позеном, ведущим разработчиком системы доказательств Binius, использует структурный разрыв в архитектуре кошелька. На этапе hardened-вывода применяется односторонняя функция HMAC-SHA512, чтобы получать дочерние ключи из родительского ключевого материала. Злоумышленник, который после Q-Day взломает один раскрытый адрес, получит только конкретный ключ для этого адреса, но не более высокий ключевой материал кошелька, который используется для его вывода.
Пользователь доказывает, что знает ключевой материал выше адреса в дереве вывода кошелька, доказывает, что он выводит соответствующий адрес, и «привязывает» доказательство к конкретному сообщению, которое может разрешить миграцию. При этом сам приватный ключевой материал не раскрывается. Такой подход меняет аргумент восстановления: он позволяет держателям кошельков на базе современных сид-фраз разблокировать замороженные монеты, доказывая корректное владение по цепочке выше, не раскрывая секретные данные, которые защищают остальную часть их кошелька.
Prototype Achieves 243-Millisecond Proof Generation on Consumer Hardware
Project Eleven сообщает, что прототип генерирует доказательство за 243 миллисекунды на M5 MacBook Air с 4 ядрами, проверяет его за 40 миллисекунд и использует около 2 гигабайт памяти без GPU. Полный прогон, включая построение схемы, генерацию доказательства и самопроверку, занимает 910 миллисекунд на CPU в одиночку. Команда описывает это как в 16 раз быстрее на полном прогоне и примерно в 60 раз быстрее, если исключить одноразовую подготовку, которую реальный прувер мог бы переиспользовать.
Эти показатели производительности предполагают, что доказательства восстановления могут генерироваться обычными пользователями на потребительском оборудовании. Это важно для Bitcoin, где любой масштабный путь миграции должен быть применим держателями в разных юрисдикциях, типах кастоди и на разных уровнях технических навыков.
У прототипа есть четкие ограничения. Он не проходил аудит, поддерживает 3 типа Bitcoin-адресов вместо Taproot, «коренит» доказательство в ключе coin-type, а не в сид-фразе, и не восстанавливает монеты ни в каком работающем (live) блокчейне. Эти оговорки делают его далеким от готового к развертыванию решения, но дают BIP-361 более понятный технический маршрут для обратимой заморозки.
Pre-2012 Wallets Lack Derivation Structure for Recovery
Метод восстановления зависит от того, что у кошелька есть дерево вывода выше адреса. Иерархические детерминированные кошельки появились с BIP-32, который был присвоен 11 февраля 2012 года. До этого кошельки Bitcoin генерировали ключи независимо и случайным образом. Не было сид-фразы, путей вывода и родительского ключа, расположенного над более старыми адресами.
Сатоши добывал блоки в 2009 и 2010 годах, и к 2011 году исчез из публичной активности. Монеты, приписываемые Сатоши, лежат в старых выходах pay-to-public-key, где открытый ключ записан напрямую в блокчейн. Эти выходы были сгенерированы до того, как структуры кошельков на основе сид-фраз стали стандартом. В дереве нет «материала кошелька выше» для доказательства знания, потому что самой деревообразной структуры не существовало.
Та же проблема касается многих других кошельков до 2012 года, особенно спящих монет с самых ранних лет Bitcoin. Именно эти монеты сильнее всего подвержены будущей квантовой атаке и среди самых сложных для восстановления по предложенному методу доказательств. Рабочее доказательство могло бы превратить заморозку в восстанавливаемый замок для кошельков на базе сид-фраз, но оно не решает вопрос со старейшими балансами биткоина, включая монеты, приписываемые Сатоши.
Recovery Path Creates Wallet Generation Divide in Governance Debate
Замораживание квантово-уязвимых монет стало бы одним из самых спорных изменений за всю историю предложений, потому что оно изменит обращение с существующими балансами, включая спящие (дремлющие) активы, которые могут принадлежать потерянным, неактивным или умершим владельцам. Обоснованный путь восстановления снижает силу одного из возражений: что BIP-361 навсегда уничтожит права собственности для затронутых держателей.
Путь восстановления проводит разделительную линию между поколениями кошельков. У современных пользователей с сид-фразами может быть выход. У ранних держателей биткоина — возможно, нет. Этот разрыв оставляет Bitcoin вопросом политики: оправдывает ли защита сети от квантовых краж заморозку монет, которые нельзя восстановить тем же способом.
Прототип меняет условия аргумента. Квантовый риск Bitcoin больше не только в том, можно ли замораживать уязвимые монеты. Речь теперь о том, кто получит ключ, чтобы снова открыть к ним доступ, и кто вообще никогда не имел такого ключа.
FAQ
Что BIP-361 предлагает для адресов биткоина, уязвимых к квантовым атакам?
BIP-361, опубликованный в апреле Джеймсоном Лоппом и пятью соавторами, предлагает блокировать новые депозиты на уязвимые адреса с биткоином после 3 лет и замораживать все, что останется, после 5 лет. План нацелен на монеты в адресах, где открытые ключи уже были раскрыты в блокчейне, что составляет более 34% предложения биткоина, включая примерно 1,1 миллиона BTC, приписываемых Сатоши Накамото.
Как работает метод восстановления с нулевым разглашением?
Project Eleven разработала прототип метода восстановления, который использует доказательства с нулевым разглашением, чтобы дать пользователям возможность доказать, что они знают ключевой материал выше адреса в дереве вывода иерархически детерминированного кошелька. Пользователь доказывает это знание «по цепочке выше» и то, что он выводит нужный адрес, привязывая доказательство к сообщению, которое может авторизовать миграцию, не раскрывая самого приватного ключевого материала. Прототип генерирует доказательство за 243 миллисекунды на M5 MacBook Air с 4 ядрами.
Почему монеты Сатоши нельзя восстановить этим методом?
Метод восстановления зависит от того, что у кошелька есть структура дерева вывода, которая пришла вместе с BIP-32, присвоенным 11 февраля 2012 года. Сатоши добывал блоки через 2009 и 2010 годы с помощью кошельков, которые генерировали ключи независимо и случайным образом, до того как структуры кошельков на базе сид-фраз стали стандартом. Нет «ключевого материала выше» для доказательства знания, потому что структура дерева не существовала для кошельков до 2012 года.
