// فهرست مطالب
۶۲ دقیقه و ۲۹٬۵۸۸ کیوبیت. این است برچسب قیمتی که شرکت کوانتومی فرانسوی Alice & Bob برای شکستن کلید کیف‌پول بیت‌کوین گذاشته است؛ در برآورد منابعی که ۲۸ اکتبر ۲۰۲۶ در آرشیو پیش‌چاپ رمزنگاران منتشر شد. بهار امسال رقم گوگل نیم‌میلیون کیوبیت بود. چهار سال پیش پژوهشگران از صدها میلیون حرف می‌زدند. هنوز هیچ‌کس ماشینی ندارد که بتواند این کار را بکند.
با این حال از همین حالا روشن است که کدام سکه‌ها اول قربانی می‌شوند: بیش از ۶ میلیون بیت‌کوین در آدرس‌هایی قرار دارد که کلید موردنیاز دزد در آن‌ها آشکارا دیده می‌شود. اغلب این موضوع به صاحب سکه ربطی ندارد: طبق شمارش Glassnode، Robinhood کلیدهای ۱۰۰٪ از بیت‌کوین مشتریانش را در معرض دید گذاشته و Coinbase کلیدهای ۱۰٪ را. هیچ‌کدام از این‌ها بیت‌کوین را محکوم به فنا نمی‌کند، اما نمی‌شود هم شانه‌ای بالا انداخت و گذشت.
پاکتی که هنگام پرداخت باز می‌شود
?یک کامپیوتر کوانتومی چطور می‌تواند بیت‌کوین بدزدد؟
هر کیف‌پول یک کلید خصوصی دارد، عددی ۲۵۶ بیتی، و یک کلید عمومی که از روی آن محاسبه می‌شود. رفتن از کلید خصوصی به عمومی یک لحظه طول می‌کشد؛ راه برگشت برای هیچ کامپیوتر معمولی ممکن نیست. الگوریتم شُر، روشی کوانتومی برای مسائلی از این دست، راه برگشت را شدنی می‌کند. آدرس بیت‌کوین اثر انگشتِ کلید عمومی است و تا زمانی که از آن خرجی نشده، خودِ کلید پنهان می‌ماند، مثل نامه‌ای در پاکت دربسته. پرداخت، پاکت را پاره می‌کند: کلید عمومی وارد تراکنش می‌شود، جایی که همه می‌توانند ببینندش.
?اگر کلید فقط چند دقیقه دیده شود، چرا اهمیت دارد؟
دو نوع حمله وجود دارد. اولی مسابقه است: دزد تراکنش تازه را می‌بیند، کلید خصوصی را حساب می‌کند و تا وقتی تراکنش اصلی منتظر تأیید است، تراکنشی رقیب را منتشر می‌کند. بلوک جدید بیت‌کوین تقریباً هر ۱۰ دقیقه می‌آید. برای این مسابقه ۶۲ دقیقه خیلی کند است، اما نُه دقیقه‌ای که در برآورد بهاره گوگل آمده به اندازه کافی سریع است: CoinDesk شانس برد دزد را حدود ۴۱٪ گذاشت. دومی ساده‌تر و ترسناک‌تر است. کلید عمومی بعضی سکه‌ها همین حالا روی بلاکچین افتاده است و در مورد آن‌ها اصلاً عجله‌ای در کار نیست.
گربه‌ای که سکه را از دست نمی‌دهد
?Alice & Bob دقیقاً چه چیزی را محاسبه کرد؟
کسی چیزی را نشکسته است. ده نویسنده مقاله الگوریتم شُر را به عملیات تک‌تک تقسیم کردند، برای ماشینی که شرکت امیدوار است بسازد. حاصل، صورت‌حسابی از قطعات است: چند قطعه، برای چه مدت کار. برای secp256k1، منحنی بیضوی پشت کلیدهای بیت‌کوین، رقم حداکثر ۳۰ هزار کیوبیت و حدود یک ساعت درآمد. برای RSA-2048، استاندارد رمزنگاری پرکاربرد، صورت‌حساب تقریباً ۲۳ هزار کیوبیت و ۳٫۱۴ روز است.
?چرا به آن‌ها کیوبیت گربه می‌گویند؟
ساده بگوییم، کیوبیت معمولی مثل سکه‌ای است که در حال چرخیدن است. می‌تواند روی سمت اشتباه بیفتد: وارونگی بیت، از ۰ به ۱. یا از چرخش بیفتد و تلوتلو بخورد، که نوع دوم خطاست و اسمش از دست رفتن فاز است. ماشین‌هایی که روی کیوبیت‌های ابررسانای معمولی ساخته شده‌اند باید همزمان جلوی هر دو را بگیرند و این گران تمام می‌شود: در مدل گوگل یک کیوبیت «منطقی» قابل‌اعتماد حدود ۴۰۰ کیوبیت فیزیکی لازم دارد. Alice & Bob اطلاعات را در میدانی مایکروویوی ذخیره می‌کند که درون تشدیدگری ریز حبس شده است. فیزیکدان‌ها حالت آن را به‌نام آزمایش فکری شرودینگر «حالت گربه» می‌نامند: میدان همزمان در دو حالت متضاد است، همان‌طور که گربه هم زنده است و هم مرده، و این دو حالت نقش ۰ و ۱ را بازی می‌کنند. این سکه تقریباً هیچ‌وقت روی سمت اشتباه نمی‌افتد، پس فقط چرخشش را باید زیر نظر داشت و ماشین با قطعات خیلی کمتری سر می‌کند.
?تله کجاست؟
CoinDesk حساب کرد که این رقم ۱۷ برابر ارزان‌تر از برآورد گوگل است، اما این مقایسه کیوبیت‌های معمولی گوگل را با قطعات بسیار پیچیده‌تر Alice & Bob می‌سنجد. تله بزرگ‌تر در فرض‌ها پنهان است. طرح اصلی مقاله به کیوبیت گربه‌ای نیاز دارد که فقط تقریباً هر یک قرن یک بار خودبه‌خود وارونه شود. بهترین نتیجه شرکت، اعلام‌شده در سپتامبر ۲۰۲۵، ۳۳ تا ۶۰ دقیقه بود و آن هم مقدماتی است. یک قرن در برابر یک ساعت: شکافی حدود یک‌میلیون‌برابر. نویسندگان راه جایگزینی با یک لایه اضافه حفاظت در برابر خطا پیشنهاد می‌کنند. در آن، کیوبیتی که حدود یک ساعت دوام بیاورد کافی است، اما ماشین تقریباً دو برابر قطعه می‌خواهد. این رقم در مقاله فقط برای RSA آمده، ۴۵ هزار به‌جای ۲۳ هزار؛ برای کلید بیت‌کوین چنین عددی وجود ندارد.
از صدها میلیون تا سی هزار
شگفت‌انگیزترین بخش ماجرا سرعت ریزش برآوردهاست. هیچ‌کدامش از سخت‌افزار جدید نیامد. ریاضی‌دانان و مهندسان با پیدا کردن راه‌های هرچه فشرده‌تر برای چیدن همان مسئله، صورت‌حساب را کم کردند.
// خط زمان
- ریاضی‌دان پیتر شُر الگوریتمی کوانتومی را توصیف می‌کند که اعداد را سریع تجزیه می‌کند و مسئله لگاریتم گسسته را حل می‌کند. RSA و امضاهای منحنی بیضوی بر همین دو مسئله تکیه دارند.
- تیمی از دانشگاه ساسکس تعداد کیوبیت‌های لازم برای شکستن کلید بیت‌کوین در چند دقیقه تا چند ساعت را برآورد می‌کند: ۳۰ تا ۳۰۰ میلیون.
- فیزیکدان الی گوزین و همکارانش، از جمله پژوهشگران Alice & Bob، به ۱۲۶٬۱۳۳ کیوبیت گربه‌ای و ۹ ساعت می‌رسند.
- Google Quantum AI با پژوهشگرانی از بنیاد اتریوم و استنفورد: کمتر از ۵۰۰ هزار کیوبیت معمولی و چند دقیقه.
- Alice & Bob: حداکثر ۳۰ هزار کیوبیت گربه‌ای و حدود یک ساعت.
گوزین از نویسندگان مقاله جدید هم هست. تیم او در سه سال برآورد خودش را از نظر کیوبیت به یک‌چهارم و از نظر زمان به یک‌نهم رسانده است.
سخت‌افزار داستان فروتنانه‌تری می‌گوید. ویلو، تراشه‌ای که گوگل در دسامبر ۲۰۲۴ رونمایی کرد، ۱۰۵ کیوبیت دارد. طبق مدل خود گوگل، یک حمله تا ۵۰۰ هزار کیوبیت از همین نوع لازم دارد، یعنی تقریباً پنج هزار برابر بیشتر. نقشه راه خود Alice & Bob تراشه‌ای با ۱۰۰ کیوبیت منطقی تا سال ۲۰۳۰ را هدف گرفته که هنوز هدف است، نه محصول. داهمون گودارزی، تحلیلگر ارشد رمزنگاری شرکت، انتظار دارد دو منحنی، سخت‌افزارِ در حال رشد و نیازِ در حال کاهش، در اوایل دهه ۲۰۳۰ به هم برسند. به باور او انتقال بیت‌کوین به حفاظت جدید را نمی‌شود عقب انداخت: «شروع مهاجرت از همین حالا بسیار حیاتی است»، گودارزی به CoinDesk گفت.
سکه‌های دیگران را فریز کنید، یا به دزد بسپارید
سکه‌های با کلید آشکار کم نیستند. تحلیلگران Glassnode در اکتبر ۲۰۲۶ بیش از ۶ میلیون بیت‌کوین شمردند، یعنی ۳۱٫۲٪ از عرضه در گردش. بخشی در انواع آدرسی هستند که از همان ابتدا کلید را فاش می‌کنند: نخستین آدرس‌های شبکه از ۲۰۰۹ و ۲۰۱۰ این‌طورند، و قالب مدرن Taproot هم همین‌طور. اما گزارش ماه مه Glassnode نشان داد حدود دوسوم کلیدهای آشکار از راه نحوه استفاده از آدرس‌ها لو رفته‌اند، نه از طراحی شبکه. بخش بزرگی از آن به صرافی‌ها و سرویس‌هایی برمی‌گردد که سکه را برای مشتریانشان نگه می‌دارند.
اگر بیت‌کوین را در یک اپلیکیشن نگه می‌دارید، احتمالاً نمی‌دانید سرویس سکه‌های شما را روی کدام آدرس‌ها گذاشته است. طبق شمارش Glassnode، Robinhood برای ۱۰۰٪ از این سکه‌ها کلید آشکار دارد، Revolut برای ۹۹٪، Binance برای ۸۳٪، Coinbase برای ۱۰٪ و Fidelity برای حدود ۲٪. دارایی‌های دولتی در ایالات متحده، بریتانیا و السالوادور هیچ کلید آشکاری ندارند. همان‌طور که CoinDesk تأکید می‌کند، این ارقام نشان می‌دهند آدرس‌ها چطور استفاده می‌شوند، نه اینکه سرقت چقدر نزدیک است.
?این برای صاحب بیت‌کوین چه معنایی دارد؟
دو عادت کلید را آشکار می‌کند: استفاده دوباره از یک آدرس و خرج کردن تکه‌تکه از آن. نوع آدرس جدید هم خودبه‌خود چیزی را نجات نمی‌دهد: سکه‌های قدیمی باید به آن منتقل شوند.
آن نوع آدرس از قبل روی کاغذ است. پیش‌نویس BIP-360، پیشنهاد بهبود بیت‌کوین که شماره‌اش را در دسامبر ۲۰۲۴ گرفت، Pay-to-Merkle-Root یا P2MR را پیشنهاد می‌کند، نوعی خروجی که مسیر پرداختِ لو‌دهنده کلید را حذف می‌کند. نویسندگانش اعتراف می‌کنند که فقط از سکه‌هایی محافظت می‌کند که مدت طولانی ساکن‌اند، نه از تراکنش تازه‌ای که در مسابقه گیر افتاده. رفتن به آن یعنی جابه‌جا کردن سکه‌هایتان. کسی که کلیدهایش را گم کرده یا مرده، هرگز چیزی را جابه‌جا نخواهد کرد.
این ما را به زشت‌ترین بحث می‌رساند. برنامه‌نویس جیمسون لاپ و همکارانش در پیش‌نویسی به نام BIP-361 برنامه‌ای سخت‌گیرانه چیده‌اند. حدود سه سال پس از فعال شدن قانون، شبکه پرداخت به آدرس‌های آسیب‌پذیر را نمی‌پذیرد. دو سال بعد، امضاهای قدیمی فقط از طریق یک پروتکل نجات ویژه کار می‌کنند که قرار است صاحب واقعی را از دزد کوانتومی تشخیص دهد. سکه‌هایی که هرگز به آدرس‌های جدید منتقل نشوند برای همیشه گیر می‌کنند و عرضه در گردش کم می‌شود. نویسندگان دلیلشان را صریح می‌گویند: «شاید ندانیم حمله در جریان است.»
مشهورترین این سکه‌ها به خالق گمنام بیت‌کوین مربوط‌اند. Glassnode سکه‌های دوران ساتوشی ناکاموتو، که در قدیمی‌ترین آدرس‌ها خوابیده‌اند، سرسخت‌ترین بخش عرضه آشکار می‌نامد. نویسندگان BIP-361 می‌پذیرند که برای این آدرس‌ها فعلاً هیچ‌کس پروتکل نجات را شدنی نمی‌داند و موضوع را به پیشنهاد جداگانه‌ای به نام Hourglass واگذار می‌کنند. یعنی حتی برنامه خودشان هم سکه‌های ساتوشی را در برزخ می‌گذارد. برای توجیه برنامه، از خود ساتوشی نقل می‌کنند: «سکه‌های گم‌شده فقط ارزش سکه‌های بقیه را کمی بالاتر می‌برند. آن را اهدایی به همه بدانید.» بعد نقل را وارونه می‌کنند: «سکه‌های بازیابی‌شده کوانتومی فقط ارزش سکه‌های بقیه را پایین می‌آورند. آن را دزدی از همه بدانید.»
برای بیت‌کوین این تقریباً کفرگویی است. از ۲۰۰۹ شبکه قول داده سکه‌ها فقط پاسخگوی کسی‌اند که کلید را دارد. جایگزین هم زیباتر نیست: روزی میلیون‌ها سکه خفته به هر کسی می‌رسد که زودتر ماشین درست را بسازد. نویسندگان مقاله گوگل راه سومی پیشنهاد می‌کنند که «نجات دیجیتال» می‌نامند: قواعدی برای بازگرداندن دارایی‌های رهاشده به گردش یا نابود کردن آن‌ها، به‌جای اینکه هر کسی زودتر چنگ زد مال خودش کند. هنوز کسی نمی‌داند چه کسی برای شبکه‌ای بی‌صاحب چنین قواعدی خواهد نوشت.
مسابقه بر سر تراکنش‌های تازه، جایی که برآورد Alice & Bob هنوز عقب است، هم تمام نشده. تیم هنوز حساب نکرده که کیوبیت بیشتر می‌تواند حمله را زیر ده دقیقه ببرد یا نه، هرچند گودارزی می‌پذیرد که کارهای بعدی ممکن است برآوردها را به نُه دقیقه گوگل نزدیک کند. و افزود که حد پایین مشخصی برای این اعداد دیده نمی‌شود: «کف معماری وجود ندارد.»
