Uma proposta de segurança quântica para o Bitcoin, publicada em Abril por Jameson Lopp e cinco coautores, ganhou um potencial mecanismo de recuperação através de tecnologia de provas de conhecimento zero. O BIP-361 propõe congelar o bitcoin detido em endereços vulneráveis a ataques quânticos após um prazo de vários anos, visando mais de 34% da oferta de bitcoin nos casos em que as chaves públicas foram expostas onchain, incluindo aproximadamente 1,1 milhões de BTC atribuídos a Satoshi Nakamoto. A Project Eleven desenvolveu um protótipo de método de recuperação que permite que utilizadores de carteiras modernas provem titularidade sem expor chaves privadas, respondendo à preocupação de que um congelamento implicaria perda permanente. A evolução muda o debate sobre se as moedas vulneráveis devem ser congeladas e quais detentores poderão recuperar com segurança os ativos congelados após uma ameaça quântica futura se materializar.
O BIP-361 aborda um momento teórico conhecido como Q-Day, quando um computador quântico passa a ser capaz de derivar uma chave privada a partir de uma chave pública. A proposta sugere bloquear novos depósitos para endereços de bitcoin vulneráveis após 3 anos e congelar o que restar após 5 anos. Se ocorrer o Q-Day, qualquer endereço com uma chave pública exposta poderia ser gasto por um atacante, e a blockchain não distinguiria o atacante do verdadeiro proprietário porque ambos poderiam produzir uma assinatura válida.
A Project Eleven constrói um protótipo de recuperação com provas de conhecimento zero
A Project Eleven construiu um método de recuperação em protótipo baseado em provas de conhecimento zero, uma técnica criptográfica que permite a um utilizador provar que sabe algo sem revelar a informação subjacente. O percurso de recuperação incide em carteiras modernas construídas em torno de árvores de chaves determinísticas hierárquicas, em que as chaves são derivadas de material de chave de nível superior.
O protótipo, desenvolvido com Jim Posen, programador líder do sistema de provas Binius, recorre a uma lacuna estrutural na arquitetura das carteiras. Um passo de derivação endurecido usa uma função unidirecional, HMAC-SHA512, para produzir chaves-filho a partir do material de chave do pai. Um atacante que comprometa um único endereço exposto após Q-Day obteria essa chave específica, mas não o material de carteira de nível superior usado para a derivar.
O utilizador prova que conhece o material de chave acima do endereço na árvore de derivação da carteira, prova que deriva o endereço em questão e liga a prova a uma mensagem específica que pode autorizar a migração. O material da chave privada em si não é divulgado. Esta abordagem altera o argumento de recuperação ao permitir que detentores com carteiras modernas baseadas em frases de recuperação desbloqueiem moedas congeladas provando uma titularidade a montante válida sem expor os dados secretos que protegem o resto da carteira.
O protótipo atinge geração de prova de 243 milissegundos em hardware de consumo
A Project Eleven afirma que o seu protótipo gera uma prova em 243 milissegundos num M5 MacBook Air usando 4 núcleos, verifica-a em 40 milissegundos e utiliza cerca de 2 gigabytes de memória, sem GPU. A execução completa, incluindo construção do circuito, geração da prova e autocorreção, demora 910 milissegundos apenas na CPU. A equipa descreve isso como 16 vezes mais rápido na execução completa e cerca de 60 vezes mais rápido quando se exclui o trabalho de configuração única que um provador real poderia reutilizar.
Os números de desempenho sugerem que as provas de recuperação poderiam ser geradas por utilizadores comuns em hardware de consumo. Isto importa para o bitcoin, onde qualquer caminho de migração em grande escala tem de ser utilizável por detentores em diferentes jurisdições, tipos de custódia e níveis de competência técnica.
O protótipo tem limites claros. Não foi auditado, suporta 3 tipos de endereços Bitcoin em vez de Taproot, faz a raiz da prova na chave do tipo de moeda em vez da frase de recuperação e não recupera moedas em qualquer blockchain “em direto”. Estas ressalvas mantêm-no longe de ser uma solução pronta para implementação, mas dão ao BIP-361 uma via técnica mais clara para um congelamento reversível.
Carteiras anteriores a 2012 não têm estrutura de derivação para recuperação
O método de recuperação depende de uma carteira ter uma árvore de derivação acima do endereço. As carteiras determinísticas hierárquicas chegaram com o BIP-32, que foi atribuído em 11 de Fev. de 2012. Antes disso, as carteiras Bitcoin geravam chaves de forma independente e aleatória. Não existia frase de recuperação, nem caminho de derivação, nem uma chave do pai situada acima dos endereços mais antigos.
Satoshi minerou durante 2009 e 2010 e desapareceu da atividade pública por volta de 2011. As moedas atribuídas a Satoshi estão em saídas antigas pay-to-public-key em que a chave pública é escrita diretamente na blockchain. Essas saídas foram geradas antes de as estruturas de carteiras baseadas em frases de recuperação se tornarem padrão. Não existe material de carteira a montante para provar conhecimento porque a estrutura em árvore não existia.
O mesmo problema aplica-se a muitas outras carteiras anteriores a 2012, especialmente moedas inativas dos primeiros anos do Bitcoin. Estas são precisamente as moedas mais expostas a um ataque quântico futuro e entre as mais difíceis de recuperar com o método de prova proposto. Uma prova funcional poderia transformar um congelamento num bloqueio recuperável para carteiras baseadas em frases de recuperação, mas não resolve os saldos mais antigos do bitcoin, incluindo moedas atribuídas a Satoshi.
O percurso de recuperação cria uma divisão entre gerações de carteiras no debate de governança
Congelar moedas vulneráveis a ataques quânticos seria uma das alterações mais controversas alguma vez propostas porque alteraria o tratamento de saldos existentes, incluindo detenções inativas que podem pertencer a proprietários perdidos, inativos ou falecidos. Um percurso de recuperação credível reduz a força de uma objeção: que o BIP-361 destruiria permanentemente os direitos de titularidade dos detentores afetados.
O percurso de recuperação cria uma linha divisória entre gerações de carteiras. Utilizadores modernos com frases de recuperação podem ter uma saída. Os primeiros detentores de bitcoin talvez não. Esta divisão deixa o bitcoin com uma questão de política: se proteger a rede do roubo quântico justifica congelar moedas que não podem ser recuperadas pelo mesmo método.
O protótipo altera os termos do argumento. O risco quântico do Bitcoin já não é apenas sobre se moedas vulneráveis podem ser congeladas. É sobre quem obtém uma chave para reabri-las e quem nunca teve uma em primeiro lugar.
Perguntas Frequentes
O que é que o BIP-361 propõe para endereços de bitcoin vulneráveis a ataques quânticos?
O BIP-361, publicado em Abril por Jameson Lopp e cinco coautores, propõe bloquear novos depósitos para endereços de bitcoin vulneráveis após 3 anos e congelar o que restar após 5 anos. O plano visa moedas em endereços onde as chaves públicas já foram expostas onchain, correspondendo a mais de 34% da oferta do bitcoin, incluindo aproximadamente 1,1 milhões de BTC atribuídos a Satoshi Nakamoto.
Como funciona o método de recuperação com conhecimento zero?
A Project Eleven criou um método de recuperação em protótipo que utiliza provas de conhecimento zero para permitir que os utilizadores provem que conhecem o material de chave acima de um endereço na árvore de derivação de uma carteira determinística hierárquica. O utilizador prova este conhecimento a montante e que deriva o endereço em questão, ligando a prova a uma mensagem que pode autorizar a migração, sem divulgar o próprio material de chave privada. O protótipo gera uma prova em 243 milissegundos num M5 MacBook Air usando 4 núcleos.
Porque não podem as moedas de Satoshi ser recuperadas através deste método?
O método de recuperação depende de uma carteira ter uma estrutura de árvore de derivação, que chegou com o BIP-32 atribuído em 11 de Fev. de 2012. Satoshi minerou durante 2009 e 2010 usando carteiras que geravam chaves de forma independente e aleatória, antes de as estruturas de carteiras baseadas em frases de recuperação se tornarem padrão. Não existe material de carteira a montante para provar conhecimento porque a estrutura em árvore não existia para carteiras anteriores a 2012.
