Bitcoin, la prima transazione resistente ai computer quantistici senza cambiare le regole

Nelle scorse ore una transazione Bitcoin costruita per resistere a un attacco condotto con un computer quantistico � stata inclusa in un blocco della rete principale. Il metodo si chiama Quantum-Safe Bitcoin, in sigla QSB, e non ha richiesto alcuna modifica alle regole di consenso: la rete l’ha accettata cos� com’� oggi, senza soft fork e senza aggiornamenti del software. A progettarlo � stato Avihu Levy, ricercatore e responsabile della divisione applicazioni di StarkWare, che ne aveva pubblicato l’impianto teorico in un paper ad aprile; l’ingegnere Tomer Giladi ha poi portato il lavoro fino alla transazione funzionante.

Le firme di Bitcoin poggiano sulla crittografia a curve ellittiche, e l’algoritmo di Shor, eseguito su una macchina quantistica abbastanza grande, risolve rapidamente proprio quella classe di problemi matematici. Una chiave pubblica nasce per essere pubblica, e oggi esporla � sicuro perch� nessuna macchina sa risalire da l� alla chiave privata che l’ha generata. Un computer quantistico potrebbe riuscire a farlo, e da quel momento ogni chiave pubblica gi� finita sulla catena diventa una chiave privata in attesa di essere ricostruita.

La maggior parte degli indirizzi Bitcoin � un hash della chiave pubblica, quindi la chiave resta invisibile finch� non si spende da quell’indirizzo. � la firma a rivelarla, e da quel momento la transazione resta scoperta nel mempool finch� un miner non la include in un blocco. In quella finestra un avversario dotato di computer quantistico potrebbe leggere la chiave pubblica, ricavare la privata e spendere le stesse monete per primo.

Le monete pi� esposte sono quelle ferme su indirizzi che hanno gi� mostrato la chiave pubblica. Una stima di Glassnode di maggio contava circa 6,04 milioni di BTC in questa condizione, il 30,2% della moneta emessa, che con il bitcoin a 80.000 dollari valgono intorno ai 483 miliardi di dollari. Nel mucchio ci sono anche le monete dei primi anni attribuite a Satoshi Nakamoto, che potrebbero non muoversi mai se davvero nessuno ne possiede pi� le chiavi, e che rappresentano un premio fuori scala per chi arrivasse per primo a una macchina abbastanza potente.

Una firma valida senza chiave privata

QSB affianca al lucchetto esistente un secondo lucchetto costruito su funzioni hash invece che su curve ellittiche. Sugli hash l’algoritmo di Shor non ha presa: il miglior attacco quantistico conosciuto si limita ad accelerare la ricerca a forza bruta, e l’accelerazione non basta a portare a termine il lavoro. La sicurezza della transazione, di conseguenza, non dipende pi� dalla segretezza di una chiave privata ma dalla difficolt� di invertire un hash.

Con una tecnica chiamata signature grinding si pu� produrre una firma Bitcoin valida senza possedere alcuna chiave privata. Chi invia spende potenza di calcolo per cercare una transazione di spesa il cui hash risulti, per come � fatto, una firma di formato valido; il lavoro avviene fuori dalla catena, prima della trasmissione, e oggi costa qualche centinaio di dollari. L’impianto riprende in buona parte Binohash, sviluppato da Robin Linus, l’autore di BitVM.

Un’uscita d’emergenza, non una migrazione

Le transazioni QSB adottano formati non standard, quindi non viaggiano nel mempool ordinario e hanno bisogno di un canale diretto verso un miner: la via l’ha fornita MARA Slipstream. Il secondo limite � pi� ingombrante, perch� il metodo non serve a nulla per un indirizzo la cui chiave pubblica � gi� visibile: un avversario avrebbe tutto il tempo di ricavare la chiave privata prima ancora che la transazione venga trasmessa. Chi volesse usarlo come scappatoia il giorno in cui la macchina esiste si troverebbe quindi a correre proprio la gara che voleva evitare.

StarkWare non presenta il risultato come una risposta definitiva, e continua a indicare in un soft fork la soluzione di lungo periodo. “Avihu ci ha lavorato fuori orario, come progetto personale, e ha dimostrato che Bitcoin non ha una data di scadenza”, ha dichiarato l’amministratore delegato Eli Ben-Sasson. “Continuo a volere che Bitcoin scelga di fare un soft fork e mi aspetto che arriver�: quello che la transazione di oggi offre � la rassicurazione che le disponibilit� si possono proteggere prima che accada”. Altrove Ben-Sasson ha paragonato la tecnica a una scialuppa di salvataggio, precisando che non � un motivo per rilassarsi.

La migrazione che Bitcoin non ha ancora deciso

Gli sviluppatori discutono da mesi di cosa fare prima che la macchina arrivi, e la posizione prevalente si � spostata dall’intervento d’emergenza immediato al tenere pronto un meccanismo di migrazione da attivare prima del cosiddetto Q-day, il momento in cui i computer quantistici diventeranno capaci di rompere le firme attuali. Matt Corallo, fra i primi sviluppatori del progetto, sostiene che l’obiettivo immediato sia aumentare il numero di monete messe al sicuro finch� quella macchina non esiste, cos� da “ridurre al minimo la possibilit� che la comunit� di Bitcoin senta il bisogno di un fork per bruciare monete”. Il punto controverso resta cosa fare delle monete che nessuno sposta: congelarle per sempre a un certo punto, oppure lasciare che se le prenda chi arriva con un computer quantistico.

Una proposta formale esiste gi�, la BIP 360, e il tema � gi� uscito dal mondo degli sviluppatori: a luglio Coinbase, Strategy, BlackRock, Galaxy, Fidelity Digital Assets e Blockstream hanno fondato un consorzio che impegna 15 milioni di dollari in tre anni nella ricerca sulla sicurezza di Bitcoin, con la crittografia post-quantistica come primo tema. Sulle tempistiche il disaccordo resta ampio, e Michael Saylor � fra quelli che collocano la minaccia seria oltre il prossimo decennio. Il paper di Levy e l’implementazione sono pubblici su GitHub; restano da sciogliere i due nodi che contano davvero, cio� quale algoritmo di firma resistente adottare e che fine faranno le monete che nessuno avr� spostato in tempo.