تحول النقاش حول ترحيل البيتكوين لما بعد الكم نحو أمان المحافظ والتعامل مع العملات المعطلة، وذلك بعد أن صرح تشارلز غيليميه، كبير مسؤولي التكنولوجيا في Ledger، بأن اختيار نظام توقيع جديد قد يكون أسهل من نقل مستخدمي البيتكوين والأموال الموجودة بأمان.

صرح تشارلز غيليميه، كبير مسؤولي التكنولوجيا في Ledger، في تحليل تقني نشرته Ledger، أن "البيتكوين لا يواجه مشكلة حاسوب كمي اليوم"، محذرًا في الوقت نفسه من أن أبحاث الترحيل وتطبيق البرمجيات وتغييرات المحافظ الصلبة واعتماد المستخدمين قد يستغرق سنوات. وأشار إلى أنه لا يوجد حاسوب كمي ذو أهمية تشفيرية قادر على كسر توقيعات البيتكوين الحالية معروف وجوده اليوم، بينما يظل توقيت ظهور مثل هذه الآلة غير مؤكد.

يركز مراجعته على SHRINCS، وهو اقتراح توقيع ما بعد الكم خاص بالبيتكوين، والذي يجمع بين آلية توقيع أصغر ذات حالة مع مسار استعادة أكبر عديم الحالة. لا يزال هذا التحديد غير مكتمل، ولا يحمل رقم BIP مخصصًا، ويذكر أن "إثبات الأمان" الرسمي له "قيد الإعداد".

ترحيل البيتكوين يتجاوز مجرد اختيار التشفير

قسم غيليميه عملية الانتقال إلى ثلاث مشاكل: اختيار نظام توقيع ما بعد الكم، وتكييف محافظ البيتكوين والبنية التحتية للبروتوكول مع هذا النظام، وتحديد كيفية نقل عملات البيتكوين الموجودة إلى مخرجات مقاومة للكم. تتضمن المشكلة الأخيرة العملات التي قد يكون أصحابها قد فقدوا مفاتيحهم أو لم ينقلوا الأموال لسنوات عديدة.

يعتمد ترخيص معاملات البيتكوين الحالي بشكل كبير على توقيعات ECDSA و Schnorr المبنية على تشفير المنحنى البيضاوي. يمكن لحاسوب كمي قادر بما فيه الكفاية يعمل بخوارزمية شور أن يستعيد نظريًا المفاتيح الخاصة من المفاتيح العامة المكشوفة، ولكن لا توجد آلة أظهرت علنًا قدرتها على تنفيذ هذا الهجوم ضد البيتكوين اليوم.

قال غيليميه إن الترحيل لا يمكن تقييمه فقط بقوة التشفير لنظام بديل، لأن المحافظ والأجهزة الصلبة وأنظمة النسخ الاحتياطي والإعدادات متعددة الأجهزة يجب أن تطبقه بأمان. ووصف التوصل إلى اتفاق اجتماعي بشأن العملات القديمة المعرضة للخطر بأنه أحد الأسئلة الصعبة وغير المحسومة.

ظهر موقف مماثل من متخصصي التشفير الآخرين. وقد جادل دان بونيه، عالم التشفير من ستانفورد، بأن البيتكوين يجب أن يستعد لخطر الكم مع تجنب الترحيل المتسرع الذي قد يؤدي إلى إخفاقات برمجية خطيرة.

SHRINCS يوازن بين التوقيعات الأصغر وحالة المحفظة

تصف مسودة مواصفات SHRINCS الحالية نظامًا يعتمد على التجزئة مبنيًا حول SHA-256، وهي نفس عائلة التجزئة المستخدمة بالفعل على نطاق واسع في البيتكوين. يستهدف مصمموه حوالي 128 بت من الأمان الكلاسيكي و 64 بت من الأمان الكمومي ضمن معاييرهم المختارة.

يلتزم مفتاحه العام البالغ 48 بايت بمسارين للتوقيع. يستخدم المسار المدمج Flexible XMSS و WOTS+C، وينتج توقيعات ذات حالة تتراوح من 548 بايت إلى 4,619 بايت. وينتج مسار احتياطي عديم الحالة يعتمد على مفاهيم SLH-DSA توقيعًا بحجم 5,777 بايت.

قام NIST بتوحيد SLH-DSA كـ FIPS 205 في أغسطس 2024. المعيار نفسه عديم الحالة ويعتمد على SPHINCS+، بينما تستخدم مسودة SHRINCS تكوينًا مخصصًا للمعلمات جنبًا إلى جنب مع مكونها المنفصل ذي الحالة.

الأرقام الأحدث مهمة لأن إصدارًا سابقًا من SHRINCS أنتج توقيعًا ذا حالة بحجم 324 بايت يُشار إليه كثيرًا. قال غيليميه إن هذا الرقم لم يعد يصف مسودة البيتكوين الحالية. تبدأ مواصفات سبتمبر من 548 بايت لمسارها ذي الحالة.

جادلت Blockstream Research بأن التوقيعات القائمة على التجزئة تقدم افتراضات تشفيرية متحفظة وتحققًا رخيصًا نسبيًا. أشارت أبحاثها في مايو إلى أن التوقيعات الموحدة بعد الكم أكبر بكثير من توقيعات شنور الحالية في البيتكوين والتي تبلغ 64 بايت، مما يخلق ضغطًا على مساحة الكتل ومعدل نقل المعاملات.

لقد أظهرت Blockstream بالفعل التحقق من SHRINCS على السلسلة الجانبية Liquid عبر Simplicity، لكن هذه التجربة لا تعني أن النظام نشط على شبكة البيتكوين الرئيسية. تظل مواصفات البيتكوين عملًا بحثيًا يتطلب مراجعة وإجماعًا قبل أي نشر للشبكة.

التوقيعات ذات الحالة تخلق وضع فشل جديد للمحفظة

يتطلب مسار SHRINCS المدمج استخدام كل مفتاح توقيع لمرة واحدة فقط. لذلك، تحتفظ المحفظة بعداد يحدد فتحة التوقيع التي يجب استخدامها بعد ذلك، ويجب أن يتحرك هذا العداد إلى الأمام بشكل دائم قبل أن يغادر التوقيع الجهاز.

إذا استخدمت محفظة نفس فتحة التوقيع لرسالتين مختلفتين، فقد تسمح المعلومات المكشوفة من التوقيعات لمراقب بتزوير توقيع صالح. كتب غيليميه أن المهاجم لا يستعيد بالضرورة البذرة الخاصة بأكملها، ولكن يمكن أن تصبح أموال المستخدم المتأثر قابلة للسرقة.

تخلق النسخ الاحتياطية مشكلة أخرى. قد يؤدي استعادة المحفظة من نسخة قديمة إلى استعادة عداد قديم. قد تواجه جهازان صلبان تم تهيئتهما من نفس البذرة نفس الخطر إذا استخدمتا بشكل مستقل المسار ذي الحالة دون تنسيق المفاتيح المستخدمة لمرة واحدة التي تم استهلاكها بالفعل.

توصلت مراجعة مستقلة لـ Project Eleven لـ SHRINCS إلى نتيجة مماثلة. قال الباحثان أليكس برودن وكونور ديجان إن النظام ينقل متطلب حالة حساس للأمان إلى المحافظ وأنظمة الحفظ، حيث قد يؤدي استعادة النسخ الاحتياطي أو استعادة الحالة إلى إعادة استخدام مفتاح لمرة واحدة.

يوفر SHRINCS مسارًا احتياطيًا عندما تُفقد الحالة أو تكون غير مؤكدة. لا يزال بإمكان البذرة الأصلية استخلاص مفتاح التوقيع عديم الحالة، مما يسمح بتحريك الأموال باستخدام توقيع بحجم 5,777 بايت. يجب أن تتوقف المحفظة بشكل دائم عن استخدام المسار ذي الحالة المدمج لهذا المفتاح بمجرد أن لا يمكن الوثوق بعدادها السابق.

وصف غيليميه هذه الخاصية بأنها أحد خيارات التصميم الأقوى في SHRINCS لأن فقدان الحالة يؤثر على الكفاءة دون جعل العملات غير قابلة للإنفاق تلقائيًا.

ميزات المحفظة الحالية لن تنتقل بسلاسة

سيؤدي الانتقال من توقيعات المنحنى البيضاوي إلى التوقيعات القائمة على التجزئة إلى تغيير العديد من أدوات المحفظة التي يعتمد عليها مستخدمو البيتكوين اليوم. يسمح اشتقاق BIP32 غير المعزز للمفتاح العام الموسع بإنشاء مفاتيح عامة فرعية دون كشف المفاتيح الخاصة، مما يدعم تصميمات محافظ المراقبة فقط الشائعة. قال غيليميه إن ما يعادله بكفاءة لا ينتقل بشكل طبيعي إلى التوقيعات القائمة على التجزئة.

يمثل التوقيع الجماعي مشكلة ذات صلة. يمكن للأنظمة القائمة على شنور دمج المشاركين بكفاءة، بينما تميل البدائل القائمة على التجزئة المعروفة إلى طلب توقيعات أكبر أو مساحة تخزين أو اتصال أكبر أو افتراضات ثقة مختلفة. قال غيليميه إنه لا ينبغي توقع أن يوفر SHRINCS بديلاً مدمجًا ومباشرًا لأنظمة شنور الجماعية الحالية.

لا يزال أداء الأجهزة يمثل قيدًا آخر. يذكر تحليل Ledger أن إنشاء مفتاح ما بعد الكم ومسار SHRINCS عديم الحالة يمكن أن يستغرق دقائق على بعض الأجهزة الآمنة لأن العملية تُجري العديد من عمليات SHA-256 وتتطلب ذاكرة أكبر من توقيع شنور.

تؤطر أبحاث Blockstream الموازنة بشكل مختلف، مجادلة بأن التحقق من SHRINCS تهيمن عليه حسابات SHA-256، وبالتالي يمكن أن يظل قابلًا للإدارة حسابيًا حتى عندما تستهلك التوقيعات بايتات أكثر. تزعم المسودة الحالية أن أسوأ تكلفة تحقق لكل بايت من التوقيع أقل من تكلفة BIP340 Schnorr.

البيتكوين ليس لديها ترحيل معتمد بعد الكم بعد

SHRINCS هو جزء واحد فقط من المناقشة الحالية لأمان البيتكوين الكمي. BIP 360، المسمى Pay-to-Merkle-Root (الدفع إلى جذر ميركل)، هو اقتراح مسودة منفصل مصمم لإزالة إنفاق مسار المفتاح المعرض للخطر الكمي في Taproot وحماية المستخدمين من هجمات التعرض الطويل.

لا يقدم BIP 360 بحد ذاته خوارزمية توقيع بعد الكم. يذكر مؤلفوه أن هجمات التعرض القصير، حيث يستخلص المهاجم مفتاحًا خاصًا بعد أن تكشف المعاملة عن مفتاحها العام ولكن قبل التأكيد، قد تتطلب نظام توقيع مستقبلي بعد الكم.

يعالج BIP 361 مشكلة الترحيل بشكل مباشر أكثر. تصف مسودة الاقتراح إيقافًا تدريجيًا لإنفاق ECDSA و Schnorr القديم بعد توفر آلية إخراج بعد الكم. يتضمن الجدول الزمني المقترح فترة ترحيل أولية تتبعها لاحقًا قيود أكثر صرامة على التوقيعات القديمة.

كما أفاد موقع crypto.news في مراجعته لـ BIP 360 و BIP 361، فإن إحدى القضايا غير المحسومة هي ما يجب أن يحدث لعملات البيتكوين المعرضة للخطر التي لا يتم ترحيلها أبدًا. يمكن أن تؤثر النهج الممكنة على العملات التي يُعتقد أنها مفقودة أو مهجورة أو تحت سيطرة مالكين لا يمكنهم المشاركة في ترقية مستقبلية.

دعا المجلس الاستشاري للتشفير المستقل في Coinbase بشكل منفصل إلى بدء تخطيط الترحيل قبل وجود مهاجم كمي. دعم المجلس الاستعداد مع ترك الأسئلة حول تجميد أو التعامل مع العملات القديمة لمجتمع البيتكوين.

لا يزال المستودع الرسمي لمقترحات تحسين البيتكوين (BIP) يدرج كلاً من BIP 360 و BIP 361 كمسودات اعتبارًا من 17 سبتمبر. يظل SHRINCS نفسه مواصفات مسودة غير مرقمة، مع تحذير مؤلفيه من أن التشفير هو عمل نموذجي يتطلب مزيدًا من مراجعة الأقران وإثبات أمان مكتمل.

الأسئلة الشائعة