// Змест
62 хвіліны і 29 588 кубітаў. Менавіта такую цану французская кампанія Alice & Bob ацаніла ўзлом ключа ад біткоін-гаманца: яе разлік з’явіўся ў архіве крыптографаў 28 кастрычніка 2026 года. Вясной Google называў паўмільёна кубітаў, а чатыры гады таму гаворка ішла пра сотні мільёнаў. Машыны, здольнай на такое, пакуль няма ні ў каго.
Затое ўжо відаць, чые манеты апынуцца ў чарзе першымі: больш за 6 млн біткоінаў ляжаць на адрасах, дзе патрэбны злодзею ключ даўно ляжыць ва ўсіх на вачах. Прычым часта гэта залежыць не ад гаспадара: у Robinhood, паводле падліку Glassnode, адкрытыя ключы для 100% біткоінаў кліентаў, у Coinbase для 10%. Гэта не прысуд біткоіну, але і не нагода адмахнуцца.
Канверт, які ўскрываюць пры аплаце
?Як квантавы камп’ютар ускраў бы біткоіны?
У гаманца ёсць закрыты ключ, лік даўжынёй 256 бітаў, і адкрыты, які з яго вылічаюць. Атрымаць адкрыты з закрытага — справа імгнення, а зваротны шлях звычайнаму камп’ютару не пад сілу. Алгарытм Шора, квантавы спосаб вырашаць такія задачы, робіць пасільным і яго. Адрас біткоіна — адбітак адкрытага ключа, і пакуль з адраса нічога не траціла, сам ключ схаваны, як ліст у запячатаным канверце. Канверт ускрываюць у момант аплаты: адкрыты ключ трапляе ў транзакцыю і становіцца бачны ўсім.
?Чым гэта небяспечна, калі ключ бачны ўсяго некалькі хвілін?
Сцэнарыяў два. Першы падобны на гонку: злодзей заўважае свежую транзакцыю, вылічае закрыты ключ і адпраўляе сваю, пакуль чужая чакае пацверджання. Новы блок у сетцы біткоіна выходзіць у сярэднім раз на 10 хвілін. Для такой гонкі 62 хвіліны занадта шмат. А вось дзевяці хвілін з веснавога разліку Google можа хапіць: шанс злодзея паспець CoinDesk ацэньваў прыкладна ў 41%. Другі сцэнарый прасцейшы і страшнейшы. Ёсць манеты, чый адкрыты ключ ужо ляжыць у блокчэйне, і спяшацца з імі няма куды.
Кот, які не ўпускае манету
?Што менавіта палічылі ў Alice & Bob?
Нічога не ўзломвалі. Дзесяць аўтараў працы ўзялі алгарытм Шора і раскладалі яго на асобныя аперацыі для машыны, якую кампанія спадзяецца пабудаваць. Так атрымаўся каштарыс: колькі элементаў трэба і колькі часу яны будуць працаваць. Для эліптычнай крывой secp256k1, на якой пабудаваны ключы біткоіна, выйшла не болей за 30 000 кубітаў і каля гадзіны. Для шыфру RSA-2048 каштарыс іншы: каля 23 000 кубітаў і 3,14 сутак.
?Чаму кубіты называюць кошачымі?
Калі спрасціць, звычайны кубіт падобны на манету, што круціцца. Яна можа ўпасці іншым бокам, гэта пераварот з 0 у 1. А можа збіцца з рытму кручэння: гэта другі від памылкі, страта фазы. У звычайных звышправодных кубітах даводзіцца лавіць абодва збоі адначасова, і гэта дорага: у мадэлі Google адзін надзейны «лагічны» кубіт збіраюць прыкладна з 400 фізічных. У Alice & Bob інфармацыю нясе мікрахвалевае поле ў малюсенькім рэзанатары. Яго стан фізікі завуць кошачым, у гонар вобразнага эксперыменту Шродынгера: поле знаходзіцца адразу ў двух процілеглых станах, як кот адначасова жывы і мёртвы. Гэтыя два станы і граюць ролю 0 і 1. Такая манета амаль ніколі не падае іншым бокам, таму сачыць застаецца толькі за кручэннем, і элементаў патрэбна нашмат менш.
?Дзе падвох?
CoinDesk налічыў, што гэта ў 17 разоў танней, чым у Google, але параўноўваў звычайныя кубіты Google з куды больш складанымі элементамі Alice & Bob. Галоўны падвох у дапушчэннях. Асноўная схема артыкула патрабуе кошачага кубіта, які сам перавертваецца прыкладна раз у сто гадоў. Лепшы вынік кампаніі, пра які яна паведаміла ў верасні 2025 года, — ад 33 да 60 хвілін, і дадзеныя пакуль папярэднія. Паміж стагоддзем і гадзінай розніца прыкладна ў мільён разоў. Аўтары прапануюць запасны варыянт з дадатковым пластом абароны: тады кубіту хопіць каля гадзіны, але элементаў спатрэбіцца амаль удвая болей. Але палічылі гэта толькі для RSA, 45 000 замест 23 000; для ключа біткоіна такой ацэнкі ў працы няма.
Ад соцень мільёнаў да трыццаці тысяч
Самае цікавае ў гэтай гісторыі — як хутка падаюць ацэнкі. Новыя заводы для гэтага не спатрэбіліся: каштарыс урэзалі матэматыкі і інжынеры. Яны знаходзілі ўсё больш эканомныя спосабы раскласці адну і тую ж задачу.
// Храналогія
- Матэматык Пітэр Шор апісвае квантавы алгарытм, які хутка раскладае лікі на множнікі і вырашае задачу дыскрэтнага лагарыфма. На гэтых дзвюх задачах трымаюцца RSA і подпісы на эліптычных крывых.
- Каманда з Універсітэта Сасэкса ацэньвае, колькі кубітаў трэба, каб узламаць ключ біткоіна за некалькі хвілін або гадзін: ад 30 да 300 млн.
- Фізік Элі Гузьен і сааўтары, сярод якіх былі супрацоўнікі Alice & Bob, налічваюць 126 133 кошачыя кубіты і 9 гадзін.
- Google Quantum AI разам з даследчыкамі з Ethereum Foundation і Стэнфарда: менш за 500 000 звычайных кубітаў і лічаныя хвіліны.
- Alice & Bob: не болей за 30 000 кошачых кубітаў і каля гадзіны.
Гузьен ёсць і сярод аўтараў новай працы. За тры гады каманда сама скараціла сваю ацэнку ўчатыра разы па кубітах і ў дзевяць разоў па часе.
З жалезам усё нашмат сціплей. У чыпе Willow, які Google паказаў у снежні 2024 года, 105 кубітаў. Паводле мадэлі самога Google, на ўзлом трэба да 500 000 такіх жа кубітаў, амаль у пяць тысяч разоў болей. Alice & Bob паводле уласнага плана разлічвае да 2030 года выпусціць чып са 100 лагічнымі кубітамі, але пакуль гэта мэта, а не прадукт. Старэйшы крыптааналітык кампаніі Дамун Гударзі чакае, што расце жалеза, а патрабаванні падаюць, і гэтыя лініі сустрэнуцца ў пачатку 2030-х. Пераход біткоіна на новую абарону, сказаў ён CoinDesk, «вельмі важна пачаць зараз».
Заморозіць чужое ці аддаць злодзею
Манет з адкрытымі ключамі нямала. Аналітыкі Glassnode налічылі да кастрычніка 2026 года больш за 6 млн біткоінаў, або 31,2% усіх манет у зваротку. Частка ляжыць на адрасах, якія раскрываюць ключ адразу: так уладкованы самыя першыя адрасы 2009–2010 гадоў і сучасны фармат Taproot. Але паводле майской справаздачы Glassnode каля дзвюх траціх адкрытых ключоў выдала не ўладкаванне сеткі, а тое, як з адрасамі абыходзяцца. Прыкметная частка такіх ключоў — на рахунку біржаў і сэрвісаў, якія захоўваюць манеты кліентаў.
Той, хто трымае біткоін у праграме, звычайна не ведае, на якіх адрасах сэрвіс захоўвае манеты. Паводле падліку Glassnode, у Robinhood адкрыты ключы для 100% такіх манет, у Revolut для 99%, у Binance для 83%, у Coinbase для 10%, у Fidelity каля 2%. У дзяржаўных запасаў ЗША, Вялікабрытаніі і Сальвадора адкрытых ключоў няма. Як падкрэслівае CoinDesk, гэтыя лічбы кажуць пра тое, як сэрвісы абыходзяцца з адрасамі, а не пра тое, наколькі блізкая крадзёж.
?Што з гэтага вынікае ўладальніку біткоіна?
Ключ раскрываюць дзве звычкі: паўторна выкарыстоўваць адзін адрас і траціць манеты з яго часткамі. А новы тып адраса, калі ён з’явіцца, сам па сабе нічога не ўратуе: старыя манеты на яго давядзецца перавесці.
Такі адрас ужо апісаны ў чарнавіку BIP-360, які атрымаў нумар у снежні 2024 года. Гэта тып Pay-to-Merkle-Root (P2MR): у яго няма спосабу аплаты, што раскрывае ключ. Аўтары сумленна пішуць, што ён абараняе толькі манеты, якія доўга ляжаць на месцы, а ад гонкі за свежай транзакцыяй не ратуе. Перайсці на яго можна, толькі перавёўшы манеты. Той, хто згубіў ключы або памёр, нічога нікуды не перавядзе.
Адсюль самая непрыемная спрэчка. Праграміст Джэймсан Лоп са сааўтарамі прапанаваў у чарнавіку BIP-361 жорсткі графік. Прыкладна праз тры гады пасля таго, як правіла пачне дзейнічаць, сетка перастае прымаць пераводы на ўразлівыя адрасы. Яшчэ праз два гады старыя подпісы працуюць толькі праз асаблівы пратакол выратавання, які павінен адрозніць сапраўднага ўладальніка ад квантавага злодзея. Манеты, якія так і не перавялі на новыя адрасы, застынуць назаўжды, і біткоінаў у зваротку стане менш. Прычыну аўтары называюць прама: «Мы можам і не ведаць, што атака ўжо ідзе».
Самыя вядомыя з такіх манет звязаны са стваральнікам біткоіна. Glassnode называе манеты эпохі Сатосі Накамота, што ляжаць на самых ранніх адрасах, самай устойлівай часткай адкрытых ключоў. Для гэтых адрасоў, прызнаюць аўтары BIP-361, пратакол выратавання паводле цяперашніх уяўленняў пабудаваць нельга, і яны адсылаюць да асобнай прапановы пад назвай Hourglass. Таму нават усярэдзіне іх плана незразумела, што будзе з манетамі Сатосі. У абарону сваёй ідэі аўтары цытуюць самога Сатосі: «Страчаныя манеты толькі робяць крыху даражэйшымі манеты ўсіх астатніх. Лічыце гэта ахвяраваннем». І тут жа перакульваюць цытату: «Манеты, вернутыя квантавым камп’ютарам, толькі робяць крыху таннейшымі манеты ўсіх астатніх. Лічыце гэта крадзяжом ва ўсіх».
Заморозка для біткоіна — амаль блюзнерства. З 2009 года сетка абяцала, што манетамі распараджаецца толькі той, у каго ёсць ключ, і ніхто болей. Альтэрнатыва таксама непрыгожая: у нейкі дзень мільёны спячых манет дастануцца першаму, хто збярэ патрэбную машыну. Аўтары працы Google прапануюць трэці шлях, «лічбавую ўтылізацыю»: правілы, паводле якіх закінутыя актывы вяртаюць у зварот або знішчаюць, не аддаючы таму, хто паспее іх захапіць. Хто і як напіша такія правілы для сеткі без гаспадара, пакуль не ведае ніхто.
Адкрыта і пытанне пра гонку за свежымі транзакцыямі: у ёй разлік Alice & Bob пакуль не паспявае. Ці ўкладзецца машына ў дзесяць хвілін, калі дадаць кубітаў, каманда яшчэ не лічыла. Але Гударзі дапускае, што далейшая праца дасць ацэнкі, блізкія да дзевяці хвілін Google. «Архітэктурнай мяжы няма», — кажа ён.
