Как квантовые компьютеры ломают ECDSA и что должно прийти на смену

От редакции NodeTimes.

Алгоритм Шора решает задачу дискретного логарифмирования на эллиптических кривых (elliptic-curve discrete logarithm problem) на достаточно мощном отказоустойчивом квантовом компьютере, поэтому публичного ключа достаточно для восстановления приватного ключа, авторизующего трату. ECDSA перестает быть замком. Полезные вопросы уже уже заголовков: какие ключи уже раскрыты, какой временной горизонт есть у атакующего и поместится ли постквантовая подпись в блок.

Что ломает алгоритм Шора, а что нет

Алгоритм Шора ломает подписи и согласование ключей, построенные на факторизации целых чисел или задаче дискретного логарифмирования; он не ломает хеш-функции или симметричные шифры. Майнинг – не проблема; авторизация транзакций – это проблема.

Алгоритм Шора: квантовый алгоритм, решающий задачи дискретного логарифмирования и факторизации за полиномиальное время. ECDSA (Elliptic Curve Digital Signature Algorithm) доказывает, что транзакция была авторизована владельцем ключа; аккаунты Bitcoin и Ethereum используют его над secp256k1 (эллиптическая кривая длиной 256 бит над простым полем, стандартизированная в FIPS 186). Консенсус-слой Ethereum подписывает с помощью BLS над BLS12-381 (кривая, дружественная к парам), которая также падает под действие того же алгоритма. Опубликованные оценки для ключа кривой длиной 256 бит цитируются в количестве квантовых вентилей и расходятся на порядки: одна схема требует примерно от 70 до 90 миллионов вентилей Тоффоли, более экономная модель – около 65 536 логических вентилей; разрыв обусловлен моделью схемы, а не аппаратным обеспечением.

То, что выживает, – список длиннее, чем признают большинство обзоров:

• Хеш-функции и симметричные шифры (SHA-2, SHA-3, AES-256): алгоритм Шора их не затрагивает, а ускорение Гровера поглощается увеличением длины ключей.
• Майнинг proof-of-work: защищен тем же квадратичным ограничением плюс корректировкой сложности, поэтому утверждение «квантовые компьютеры будут майнить весь Bitcoin» – неверный claim, а не открытый вопрос.

Если эта лексика нова, глоссарий по постквантовой криптографии содержит определения; этот раздел несет только то, что необходимо для аргументации.

Какие ключи раскрыты прямо сейчас

Можно атаковать только видимые публичные ключи, и для цепочек UTXO эта видимость создается актом траты. Раскрытие зависит от истории транзакций, а не от баланса.

Taproot – контринтуитивный случай: вывод Pay-to-Taproot публикует измененный публичный ключ при создании, поэтому он подвержен атаке длительного раскрытия еще до того, как будет потрачен. BIP-360 предлагает Pay-to-Merkle-Root (P2MR), софтфорк, который сохраняет конструкцию скрипт-дерева и убирает spend пути ключа. Его авторы прямо заявляют, что это покрывает только длительное раскрытие.

Оценки воздействия Bitcoin – результат моделирования, а не измерения: одна опубликованная модель помещает около шести миллионов BTC в выводы, подверженные квантовому воздействию, из которых около 2,3 миллиона считаются необратимо находящимися под риском. Большая часть этого воздействия относится к эпохе P2PK: вывод Pay-to-Public-Key несет публичный ключ в своем скрипте с момента создания, поэтому он читаем годами до того, как кто-либо попытается его потратить.

Два окна атаки, и почему только одно является срочным

Обсуждение BIP-360 формулирует проблему как два окна: атака длительного раскрытия имеет годы работы с публичным ключом, атака кратковременного раскрытия должна взломать ключ внутри одного интервала блока. Эта разница определяет, какая защита окупится первой.

• Длительное раскрытие: любой ключ, который подписал хотя бы раз, остается в цепи навсегда, включая каждый потраченный адрес, который все еще держит средства, и каждый вывод P2TR.
• Кратковременное раскрытие: более экономная схема из 65 536 вентилей отображается примерно на 66 секунд на машине с эффективной логической частотой 1 кГц, что бьет цель Bitcoin в 10 минут и проигрывает слоту Ethereum в 12 секунд.

Поэтому меньшее время блока не означает автоматически большую безопасность: окно выполнения атакующего масштабируется вниз вместе с ним.

Чем заменить ECDSA

NIST утвердил три стандарта постквантовых подписей: два окончательны, а один, FN-DSA, все еще находится в черновике; они различаются размером и скоростью больше, чем уровнем безопасности. Миграция – это решение проблемы пропускной способности и хранения до того, как станет криптографическим вопросом.

Два свойства определяют любой реальный план миграции: постквантовые подписи в один-два порядка больше ECDSA, и ни одна стандартизированная схема не поддерживает восстановление публичного ключа, на которое сегодня полагается Ethereum через ecrecover. Оба фактора перекладывают стоимость на пространство блоков, распространение и хранение, а не на CPU.

Почему блокчейн не может просто поменять подпись

Замена схемы меняет экономику блоков до того, как изменит безопасность. Транзакция Ethereum занимает около 110 байт, включая примерно 65-байтовую подпись ECDSA; решетчатая подпись размером 2 420 байт делает ее более чем в двадцать раз больше.

• Bitcoin: BIP-360 для защиты от длительного раскрытия, намеренно независимая от схемы.
• Ethereum, уровень пользователя: сохранить протокол независимым от подписей и направить миграцию через абстракцию аккаунтов; EIP-8141, черновик frame-transaction, – это механизм, который отделяет аккаунт от его ключа ECDSA, тогда как EIP-7702 остается механизмом делегирования, чей список авторизаций опирается на ECDSA и не закрывает постквантовый пробел.
• Ethereum, уровень блока: EIP-8288, расширение черновика frame-transaction, позволяет транзакциям объявлять зависимости (scheme, data_hash, verification_key_hash), которые билдеры агрегируют вне цепи в один рекурсивный STARK.

Последствия для билдеров заключаются в том, что готовность к постквантовым стандартам – это проблема пространства блоков и агрегации, а не простая замена библиотеки.

Срок – это миграция, а не машина

n
Регуляторные часы идут независимо от прогресса оборудования: план перехода NIST исключает квантово-уязвимые алгоритмы публичных ключей после 2030 года и запрещает их после 2035 года.

Цепь, которая хочет иметь живые постквантовые подписи до 2035 года, должна утвердить схему, путь миграции и историю агрегации задолго до этого. Ничто в исследованиях не говорит о невозможности миграции: связывающим ограничением является координация.

Подготовка к этому сроку – предмет статьи Q-day and blockchain: how to prepare for the quantum threat.

Часто задаваемые вопросы

Может ли квантовый компьютер украсть монеты из кошелька, который никогда не отправлял транзакции?

Нет, если адрес основан на хеше: он хранит только хеш публичного ключа, а алгоритм Шора не может инвертировать хеш.

Так что «переместите свои монеты» тоже не полный ответ: неподписанный кошелек становится уязвимым в момент подписания.

Является ли алгоритм Гровера угрозой для майнинга или хеширования?

Нет, практически: Гровер сокращает эффективную длину ключа вдвое, а не ломает примитив, а сложность proof-of-work корректируется под доступный hashrate.

Модель угрозы, которую стоит отслеживать, ограничена подписями и согласованием ключей.

Более ли уязвим набор валидаторов Ethereum, чем пользовательские аккаунты?

Да, структурно: каждая подпись валидатора хранится навсегда, а агрегация BLS – это то, что делает проверку тысяч аттестатов экономически выгодной, свойство, которое не воспроизводит ни один стандарт постквантовых подписей NIST.

Именно поэтому опубликованное направление Ethereum сочетает хеш-базированные подписи валидаторов с доказательной агрегацией.

Применяется ли «harvest now, decrypt later» к подписям?

Частично: фраза происходит из согласования ключей, где захваченный трафик расшифровывается позже, но та же асимметрия действует для подписей, потому что публичный ключ, записанный сегодня, можно атаковать позже без дальнейшего доступа к жертве.

Ограничение отличается: раскрытие подписей ограничено тем, что находится в цепи, раскрытие трафика – тем, что было захвачено. У этой атаки есть своя страница: harvest now, decrypt later.

Запускает ли какая-либо крупная сеть постквантовые транзакционные подписи в mainnet?

Algorand запускает: нативные аккаунты Falcon-1024 работают в его mainnet с августа 2026 года, аккаунты LogicSig с поддержкой Falcon – с ноября 2025 года.

Что это показывает – это постквантовый аккаунт на крупной L1, а не сеть, которая мигрировала целиком. Аккаунты Falcon Algorand соседствуют с его Ed25519, его консенсусные ключи все еще работают на классической кривой, а используемая им схема – это детерминированный вариант Falcon, а не черновой стандарт FN-DSA, поэтому честный раскол заключается между аккаунтом, который может быть постквантовым, и сетью, базовая модель которой изменилась.