Ученые оценили взлом криптографии биткоина квантовым компьютером в 62 минуты

Ученые из французского квантового стартапа Alice & Bob и их соавторы подсчитали, что квантовому компьютеру на архитектуре сверхпроводящих cat qubits может потребоваться около 29 600 физических кубитов и 62 минуты, чтобы решить задачу дискретного логарифмирования на эллиптической кривой secp256k1, которая используется для защиты биткоина. Такой сценарий потенциально позволил бы восстанавливать приватные ключи по известным публичным, однако речь идет о теоретической оценке, а не о демонстрации реального взлома: квантовых систем с необходимыми характеристиками в настоящее время нет.

В работе исследователи оценили ресурсы для запуска алгоритма Шора на двух архитектурах – cat qubits с кодами повторения и LDPC-cat. Для биткоина ключевой является задача ECDLP на secp256k1: именно она лежит в основе цифровых подписей и защиты кошельков. По расчетам авторов, для атаки понадобится не более 30 000 cat qubits, а время выполнения составит около часа. Отдельно оценены другие сценарии: RSA-2048 – около 22 593 кубитов и 3,14 дня; FFDLP-512 – около 6 700 кубитов и 21 минута; RSA-2048 за 1,25 часа при примерно 611 000 кубитах.

Для основных оценок авторы предусмотрели цикл коррекции ошибок в одну микросекунду, время реакции 10 микросекунд и отсутствие битовых ошибок – это соответствует сохранению состояния кубита около 100 лет. Если ослабить условие до одного часа и добавить еще один уровень коррекции, потребность для RSA-2048 вырастет примерно до 45 000 кубитов.

По оценкам, потенциальная угроза может касаться 6,26 млн BTC, публичные ключи которых уже раскрыты. Но это не означает, что монеты можно украсть сегодня: нужен квантовый компьютер с необходимой точностью и коррекцией ошибок. Ранее Google Quantum AI предупреждала, что будущие квантовые системы могут взломать современную криптографию быстрее, чем ожидалось. К подготовке биткоина призывали в Coinbase, представив технические рекомендации. Основатель Cardano Чарльз Хоскинсон критиковал BIP-361, указывая, что его внедрение не устранит риски для всех монет.