Сатоши Накамото защищал хэш-функцию SHA-256 биткоина в посте на форуме Bitcointalk от 16 июля 2010 года, заложив принципы безопасности, которые остаются актуальными спустя шестнадцать лет. Google Quantum AI пересмотрела оценку в 2026 году: для взлома эллиптической кривой биткоина потребуется примерно 500 000 физических кубитов — меньше, чем в более ранних прогнозах. Разработчики биткоина в 2026 году объединили BIP-360, чтобы внедрить адреса pay-to-Merkle-root, устойчивые к квантовым атакам, начиная с bc1z, при этом, как оценивается, 7 миллионов BTC в старых форматах адресов могут оказаться под риском, если развитие квантовых вычислений достигнет прогнозируемых сроков 2029–2035.
Сатоши Накамото защищал SHA-256 16 июля 2010
16 июля 2010 года пользователь Bitcointalk bdonlan задал вопрос, не ослабляет ли безопасность биткоина двойное хэширование SHA-256. Сатоши Накамото ответил напрямую, сравнив SHA-256 с переходом от 32-битных вычислений к 64-битным. Сатоши заявил, что компьютеры исчерпали пространство 32-битных адресов на отметке 4 гигабайта, но никто не ожидает, что 64-битное пространство закончится в ближайшее время, и SHA-256 работает по тому же принципу.
Сатоши также описал план выхода: если SHA-256 когда-нибудь ослабнет, разработчики смогут реализовать софтфорк на новую хэш-функцию на фиксированной высоте блока, позволяя старым и новым хэшам сосуществовать, пока каждый узел не будет обновлён. Рыночная капитализация биткоина с тех пор выросла более чем до 1 триллиона долларов, а сеть ежедневно осваивает сотни миллиардов долларов в эквиваленте — всё это опирается на хэш-функцию, которую Сатоши защищал в том единственном ответе на форуме.
Биткоин использует двойное хэширование SHA-256 для атак на расширение блоков
Код биткоина хэширует данные дважды с помощью SHA256(SHA256(data)), что называется SHA256d. Криптографы Нильс Фергюсон и Брюс Шнейер рекомендовали этот подход, чтобы блокировать атаки на удлинение длины (length extension) — уязвимость в структуре Меркле–Дамгарда, которую использует SHA-2. Майнеры хэшируют заголовки блоков дважды, чтобы соответствовать целевому уровню сложности сети, а узлы хэшируют транзакции дважды, чтобы строить деревья Меркла. Кошельки добавляют третий слой: используют RIPEMD-160 поверх SHA-256, чтобы сокращать открытые ключи до адресов.
Национальный институт стандартов и технологий (NIST) опубликовал SHA-256 в 2001 году в составе семейства SHA-2. Алгоритм требует примерно 2^128 операций, чтобы добиться коллизии, и примерно 2^256 — чтобы добиться прообраза. Спустя шестнадцать лет после запуска биткоина ни один исследователь не нашёл работающей атаки на полную SHA-256 ни на коллизии, ни на прообразы, ни на вторые прообразы. NIST и независимые группы, такие как ECRYPT-CSA, по-прежнему оценивают полную функцию как безопасную.
Google Quantum AI пересмотрела оценку по кубитам до 500 000 в 2026
Google Quantum AI опубликовала исследование в 2026 году, в котором снизили число кубитов, необходимых для взлома эллиптической кривой биткоина, до примерно 500 000 физических кубитов. Текущие квантовые машины работают в диапазоне от 1 000 до 1 500 кубитов. Исследователи оценивают, что работоспособная квантовая угроза может проявиться в период между 2029 и 2035 годами — в зависимости от прогресса в коррекции ошибок.
Алгоритм Гровера ускоряет перебор, и при запуске против SHA-256 снижает эффективную стойкость с 256 бит до примерно 128 бит. Алгоритм Шора создаёт более серьёзную проблему, нацеленную на подписи, а не на хэши. Квантовый компьютер, работающий с алгоритмом Шора, мог бы извлечь приватный ключ из раскрытого публичного ключа на эллиптической кривой биткоина. Оценочно 7 миллионов BTC — почти 35% предложения — находятся в адресах с раскрытыми публичными ключами.
Разработчики объединили BIP-360 для квантово-устойчивых адресов в 2026
Разработчики биткоина в 2026 году объединили BIP-360, представив новый формат адресов pay-to-Merkle-root, начинающийся с bc1z, который построен на схемах цифровых подписей, устойчивых к квантовым атакам. Сопутствующее предложение BIP-361 описывает, как сеть со временем могла бы «закрыть» более старые типы адресов с раскрытыми ключами, хотя само это предложение вызвало больше споров.
Постквантовые подписи требуют больше места в блоке, чем подписи, которые биткоин использует сейчас. Исследователи тестируют хэш-ориентированные схемы подписей, чтобы управлять миграцией. Разработчики сталкиваются с задачей обработки монет, «запертых» в старых адресах, владельцы которых неактивны или недоступны, включая биткоины, связанные с ранними кошельками самого Сатоши.
Держатели с раскрытыми публичными ключами несут более высокий риск
SHA-256 не затронут ни одной известной атакой — ни классической, ни квантовой — и не требует немедленных действий со стороны держателей. Главная проблема — раскрытие подписей. Держатели, чьи средства находятся в старых форматах адресов, или любой, кто повторно использовал адрес биткоина, подвергаются большему риску, чем пользователи современных типов выходов с публичными ключами, которые остаются скрытыми до момента траты.
Сатоши закрыл тред 2010 года заявлением, что любая атака, достаточно сильная, чтобы сломать SHA-256, скорее всего повредит более «сильных кузенов», например SHA-512, поэтому полный взлом сам по себе маловероятен. Защита биткоина опирается на возможность миграции до того, как угроза станет практической.
FAQ
Что Сатоши Накамото сказал про SHA-256 16 июля 2010?
Сатоши Накамото защитил хэш-функцию SHA-256 биткоина в посте на форуме Bitcointalk от 16 июля 2010 года, сравнив её с переходом от 32-битных вычислений к 64-битным и заявив, что алгоритм обеспечивает достаточный запас по безопасности. Сатоши также описал путь миграции через софтфорк на новую хэш-функцию, если SHA-256 когда-нибудь ослабнет.
Сколько кубитов, по оценке Google Quantum AI, нужно для взлома кривой биткоина?
Google Quantum AI опубликовала исследование в 2026 году, пересмотрев оценку до примерно 500 000 физических кубитов для взлома эллиптической кривой биткоина. Текущие квантовые машины работают в диапазоне от 1 000 до 1 500 кубитов, а исследователи прогнозируют потенциальный временной интервал квантовой угрозы между 2029 и 2035 годами.
Что BIP-360 делает для квантовой устойчивости биткоина?
BIP-360, объединённый разработчиками биткоина в 2026 году, вводит адреса pay-to-Merkle-root, начинающиеся с bc1z, которые используют схемы подписей, устойчивые к квантовым атакам. Предложение нацелено на защиту владений биткоином от будущих угроз квантовых вычислений за счёт формата адреса, который противостоит атакам со стороны алгоритма Шора.
