Bitcoin Magazine
La questione quantistica: congelare le monete o no
Il dibattito di Bitcoin sulla computazione quantistica è un vero ginepraio. Non si tratta soltanto di un dibattito tecnico sui compromessi tra i diversi tipi di crittografia e sulla loro resistenza a un ipotetico computer quantistico. È un dibattito su quali principi dell’etica di Bitcoin debbano prevalere di fronte a un dilemma difficile: mantenere la promessa che le monete valide restino spendibili dai loro proprietari oppure tutelare la sicurezza del sistema impedendo che una parte significativa della sua offerta monetaria venga saccheggiata sfruttando una vulnerabilità nota da molti anni.
Il dilemma al centro di questa controversia è che ogni opzione seria viola un principio a cui gli utenti di Bitcoin tengono. Non fare nulla potrebbe preservare le regole di consenso attuali, ma permettere a soggetti dotati in futuro di computer quantistici di appropriarsi di monete senza il consenso dei loro proprietari. Congelare le monete vulnerabili potrebbe impedire il furto, ma invaliderebbe retroattivamente condizioni di spesa in vigore da molto tempo. Imporre il passaggio a firme resistenti alla computazione quantistica potrebbe essere una scelta ingegneristica prudente, ma potrebbe anche sembrare un regime di confisca imposto con una scadenza. Il dibattito è spinoso perché non esiste una soluzione che tuteli perfettamente, allo stesso tempo, i diritti di proprietà, la prevedibilità economica, la resistenza alla censura, la compatibilità con le versioni precedenti e la sovranità degli utenti.
Ecco perché considero il problema affascinante. È sfaccettato: al tempo stesso di natura tecnica, sociologica, filosofica ed economica. Perciò, qualsiasi discussione seria del problema deve prenderne in considerazione ogni aspetto.
Nel corso di questo saggio sosterrò che il dibattito sulla migrazione quantistica è molto più articolato della semplice scelta tra congelare o non congelare i bitcoin vulnerabili. Si tratta, piuttosto, di capire come ridurre al minimo le violazioni complessive dei diritti di proprietà quando le firme basate sulle curve ellittiche non saranno più in grado di autenticare in modo affidabile la legittima proprietà.
La minaccia quantistica
L’attuale meccanismo di autorizzazione di Bitcoin, che garantisce che i fondi vengano spesi solo dai loro legittimi proprietari, si basa sulla crittografia a curve ellittiche. Sia le firme ECDSA tradizionali sia quelle Schnorr utilizzano la curva ellittica secp256k1. Secondo le normali ipotesi sull’informatica classica, ricavare una chiave privata da una chiave pubblica è computazionalmente impossibile. Un computer quantistico crittograficamente rilevante che esegua l’algoritmo di Shor cambia questa ipotesi: una volta disponibile una chiave pubblica, un attaccante quantistico sufficientemente potente potrebbe ricavare la corrispondente chiave privata e firmare una transazione per spendere i fondi, che la rete accetterebbe come valida. I computer quantistici minacciano di compromettere l’ipotesi di difficoltà computazionale che rende impraticabile ricavare la chiave privata da quella pubblica su cui si basano ECDSA e Schnorr.
Questa distinzione è importante perché non tutti gli output Bitcoin espongono le stesse informazioni nello stesso momento. Alcuni tipi di output rivelano subito una chiave pubblica e restano vulnerabili a tempo indeterminato. Altri nascondono la chiave pubblica dietro un hash finché il proprietario non spende i fondi. Ne derivano due grandi categorie di attacchi. Un attacco a lungo raggio prende di mira gli output le cui chiavi pubbliche sono già visibili sulla blockchain, come i vecchi output pay-to-public-key e gli output Taproot. Un attacco a breve raggio prende di mira le monete al momento della spesa: il proprietario trasmette una transazione, la chiave pubblica diventa visibile e un attaccante quantistico veloce tenta di ricavare la chiave privata abbastanza rapidamente da sostituire la transazione o anticiparla.
La minaccia per il mining è diversa. In teoria, l’algoritmo di Grover può accelerare la ricerca esaustiva di un hash di blocco valido, ma offre solo un’accelerazione quadratica, mentre l’algoritmo di Shor offre un’accelerazione superpolinomiale. Il vantaggio competitivo è quindi molto meno concreto e non rende particolarmente conveniente usare un computer quantistico per il mining.
La minaccia quantistica quantistica
È curioso che la minaccia dei computer quantistici si trovi essa stessa in uno stato quantistico di sovrapposizione. Un computer quantistico di cui preoccuparsi potrebbe essere costruito oppure no, e nessuno può dimostrare né smentire che accadrà. Gli scettici del quantum non contestano che l’algoritmo di Shor potrebbe violare l’ECC. Sostengono che non ci siano buone ragioni per credere che riusciremo mai a costruire il tipo di computer quantistico potente e tollerante ai guasti necessario per eseguire l’algoritmo di Shor su una scala rilevante per la crittografia.
Tutti concordano sul fatto che, con i processori quantistici rumorosi di oggi, non sia possibile violare l’ECC. Servono molti qubit logici affidabili, tassi di errore estremamente bassi, calcoli prolungati con un’elevata coerenza e una correzione degli errori quantistici che funzioni con successo su larga scala.
Un argomento scettico solido è che il teorema della soglia di tolleranza ai guasti quantistici dipende da ipotesi che potrebbero non essere fisicamente realizzabili con la precisione necessaria. Tra queste ipotesi figurano un rumore sufficientemente indipendente, porte sufficientemente accurate, interazioni indesiderate limitate e la capacità di mantenere gli errori al di sotto di una soglia accettabile in un sistema enorme. Mikhail Dyakonov sostiene che il teorema si basa su condizioni idealizzate e non ci dice quale precisione ingegneristica occorra davvero per soddisfare ogni ipotesi in un dispositivo reale.
La critica di Gil Kalai è più strutturale. La sua tesi è che i sistemi quantistici realistici possano essere soggetti a rumore correlato e accumulo del rumore, impedendo la formazione di codici di correzione degli errori quantistici di alta qualità. Nel suo articolo del 2011, sostiene che le realizzazioni fisiche dei codici quantistici, le correlazioni nei sistemi stocastici e il rumore accumulato potrebbero portare al fallimento dei computer quantistici scalabili.
Questo potrebbe essere l’argomento più forte degli scettici: la correzione degli errori quantistici funziona solo se il rumore è controllabile. Se i sistemi reali con molti qubit generano errori correlati di natura avversaria, aggiungere altri qubit potrebbe rendere il computer molto più fragile e inaffidabile.
La scalabilità quantistica è una grande incognita. Gli scettici sostengono che i progressi ottenuti con 50, 100 o 1.000 qubit fisici non si possano proiettare automaticamente su milioni di qubit fisici o migliaia di qubit logici. I sistemi quantistici sono analogici, delicati e accoppiati all’ambiente. La sfida ingegneristica non consiste semplicemente nel «creare più qubit», ma nel «creare più qubit riducendo al contempo il crosstalk, le perdite, gli errori correlati, la deriva della calibrazione, gli effetti termici, gli errori di misurazione, le variazioni di fabbricazione e il rumore di controllo». Ecco perché i critici respingono le semplici proiezioni temporali. Considerano debole il ragionamento «in questo decennio abbiamo aumentato il numero di qubit di X, quindi entro l’anno Y supereremo l’ECC».
Infine, le dimostrazioni di calcolo quantistico hanno mostrato che i dispositivi attuali riescono a superare le simulazioni classiche solo in compiti di campionamento selezionati con cura. I critici hanno ragione quando osservano che questo dice ben poco sulla capacità di eseguire algoritmi lunghi e strutturati, come l’algoritmo di Shor, con sufficiente affidabilità da recuperare una chiave privata ECC a 256 bit.
Perché la migrazione post-quantistica è importante
Supponendo che compaia un computer quantistico rilevante dal punto di vista crittografico, aggiungere semplicemente l’opzione per gli utenti di Bitcoin di usare la crittografia post-quantistica non basterà a fermare un attacco quantistico. L’insieme completo dei bitcoin vulnerabili ai computer quantistici comprende le monete iniziali bloccate con pay-to-public-key, quelle controllate da chiavi pubbliche riutilizzate, gli output Taproot e i casi in cui le chiavi pubbliche o le chiavi pubbliche estese sono state rese note al di fuori della blockchain. Un dato notevole è la concentrazione di BTC negli output P2PK meno recenti: costituiscono una frazione minuscola degli UTXO in termini numerici, ma rappresentano una quota di valore molto più ampia, pari a circa 1,7 milioni di BTC. Stime più ampie, basate sull’analisi on-chain dei tipi di output, dei modelli di attività e dei proprietari noti, ci portano a ritenere che almeno 2,6 milioni di BTC resterebbero vulnerabili anche se tutti gli utenti attivi di Bitcoin migrassero i propri wallet alla crittografia post-quantistica.
Pertanto, anche con una crittografia post-quantistica (PQ) ad adesione volontaria, dobbiamo aspettarci che rimanga per un tempo indefinito un insieme di monete vulnerabili abbastanza ampio da costituire un rischio sistemico. Un attaccante quantistico potrebbe usare queste monete per danneggiare il sistema in molti modi diversi, non solo vendendole e facendo scendere il prezzo spot di BTC. Proteggere queste monete vulnerabili da una minaccia quantistica richiede quindi una qualche modifica alle regole, che di fatto «tagli fuori» un attaccante quantistico.
Nel dibattito su questo tema si ricorre spesso a termini come «confisca», «bruciatura», «congelamento», «furto» o «recupero», ma questi descrivono meccanismi diversi. Un congelamento non trasferirebbe le monete allo Stato, ai miner, agli sviluppatori o a un fondo di recupero. Nella sua forma più semplice, consisterebbe nel modificare le regole di consenso in modo che determinati output non possano più essere spesi usando firme ECDSA o Schnorr vulnerabili. Ecco perché i sostenitori a volte parlano di «bruciatura» anziché di «confisca»: le monete non vengono riassegnate, ma diventano non spendibili tramite la chiave privata corrispondente. Tuttavia, per un legittimo proprietario che possiede ancora la chiave originale, l’effetto pratico può comunque sembrare una confisca: una spesa che prima era valida non lo è più.
BIP-361 suddivide il concetto di migrazione in fasi. Per prima cosa, una volta disponibile un tipo di indirizzo resistente ai computer quantistici, la rete Bitcoin smetterebbe di consentire l’invio di nuovi bitcoin a indirizzi vulnerabili ai computer quantistici. In seguito, al termine di un periodo di diversi anni, le spese legacy ECDSA e Schnorr diventerebbero invalide. Infine, resta da considerare quali opzioni di recupero siano disponibili per gli utenti in grado di dimostrare, senza fare affidamento esclusivamente su ECC compromessa, di esserne i legittimi proprietari, per esempio mediante una prova a conoscenza zero derivata da una frase seed o dalla struttura di un wallet HD. Lo scopo principale della proposta non è scegliere un algoritmo di firma post-quantistico; l’obiettivo è invece creare incentivi e fissare scadenze affinché utenti, exchange, custodi, wallet e istituzioni effettuino davvero la migrazione in tempi utili, consentendoci così di dismettere ECC per prevenire un attacco quantistico.
Le ragioni a favore del congelamento
L’argomento più forte a favore del congelamento parte da un’affermazione semplice: un aggressore quantistico che ricava una chiave privata da una chiave pubblica non è, in alcun senso moralmente significativo, il legittimo proprietario. Secondo questa prospettiva, «lasciare semplicemente che vengano sottratti i bitcoin vulnerabili» non è neutralità: significa permettere a una nuova categoria di attori di depredare vecchi output perché il protocollo non ha rafforzato una serratura notoriamente debole. I sostenitori del congelamento sostengono che il danno derivante dal consentire i furti quantistici non ricadrebbe solo sui proprietari negligenti, ma su tutti i detentori, perché una sottrazione quantistica su larga scala ridistribuirebbe la ricchezza a chiunque disponga per primo di capacità quantistiche. Questo è problematico perché una simile quantità di bitcoin nelle mani di un unico attore, che ha impiegato relativamente poche risorse per ottenerli, può essere molto pericolosa per la sicurezza dell’ecosistema. Il modello di sicurezza di Bitcoin presuppone partecipanti economicamente razionali, incentivati a proteggere il valore dei propri bitcoin, ma un attore dotato di capacità quantistiche potrebbe mettere in discussione questo presupposto. La posizione a favore del congelamento è che Bitcoin non dovrebbe premiare i primi soggetti capaci di violare la crittografia a curve ellittiche (ECC) fornendo loro munizioni che potrebbero essere usate per danneggiare il sistema.
Questo argomento è particolarmente valido per le monete che si ritengono perdute. Se gli aggressori quantistici riuscissero improvvisamente a recuperare le monete perdute, l’offerta in circolazione aumenterebbe di fatto. Ciò non violerebbe il limite formale di 21 milioni, ma cambierebbe il panorama economico: monete che il mercato potrebbe aver considerato inattive potrebbero tornare in circolazione, magari rapidamente e concentrate in poche mani.
I sostenitori del congelamento sostengono inoltre che la minaccia non si limita alla normale ricerca del profitto. Un avversario dotato di capacità quantistiche potrebbe attaccare Bitcoin per ragioni politiche, destabilizzare i mercati, minare la fiducia del pubblico, tormentare la rete per molti anni o persino acquisire una potenza di hashing sufficiente a sferrare un attacco del 51% alla rete. L’analisi della teoria dei giochi in atto mostra che non possiamo semplicemente presumere che un aggressore sottragga i BTC vulnerabili per venderli e poi si allontani indisturbato: esiste una gamma molto più ampia di strategie e risultati indesiderabili.
Fonte: BitcoinMagazine
