O debate sobre a migração pós-quântica do Bitcoin avançou para a segurança de carteiras e o tratamento de moedas dormentes depois que o CTO da Ledger, Charles Guillemet, argumentou que escolher um novo esquema de assinatura pode ser mais fácil do que mover com segurança os usuários de Bitcoin e os fundos existentes.
Resumo
- O CTO da Ledger, Charles Guillemet, diz que o Bitcoin enfrenta um desafio de migração, não uma crise quântica imediata.
- SHRINCS combina assinaturas com estado com um fallback sem estado, enquanto depende do SHA-256 para segurança atualmente.
- As assinaturas SHRINCS atuais variam de 548 bytes a 5.777 bytes, dependendo do caminho de assinatura.
- Reutilizar um slot de assinatura com estado pode permitir assinaturas forjadas, criando sérios riscos de roubo de fundos no nível da carteira.
- As BIPs 360 e 361 do Bitcoin permanecem como rascunhos, deixando a política de migração pós-quântica indefinida em toda a rede.
O CTO da Ledger, Charles Guillemet, disse em uma análise técnica publicada pela Ledger que “o Bitcoin não tem um problema de computador quântico hoje”, enquanto alertava que a pesquisa de migração, a implementação de software, as mudanças nas carteiras de hardware e a adoção pelos usuários podem levar anos. Ele disse que nenhum computador quântico criptograficamente relevante, capaz de quebrar as assinaturas atuais do Bitcoin, tem existência conhecida hoje, enquanto o momento de surgimento de tal máquina permanece incerto.
Sua análise concentra-se no SHRINCS, uma proposta de assinatura pós-quântica específica para Bitcoin em fase de rascunho que combina um mecanismo de assinatura com estado menor com um caminho de recuperação sem estado maior. A especificação permanece inacabada, não possui número de BIP atribuído e afirma que sua “prova de segurança formal é TODO”.
A migração do Bitcoin envolve mais do que escolher criptografia
Guillemet dividiu a transição em três problemas: selecionar um esquema de assinatura pós-quântica, adaptar as carteiras Bitcoin e a infraestrutura de protocolo a esse esquema, e decidir como os BTC existentes devem migrar para saídas resistentes a quantum. O problema final inclui moedas cujos proprietários podem ter perdido suas chaves ou não movimentam fundos há muitos anos.
A autorização de transações do Bitcoin depende fortemente de assinaturas ECDSA e Schnorr construídas sobre criptografia de curva elíptica. Um computador quântico suficientemente capaz executando o algoritmo de Shor poderia teoricamente recuperar chaves privadas a partir de chaves públicas expostas, mas nenhuma máquina demonstrada publicamente pode realizar esse ataque contra o Bitcoin hoje.
Guillemet disse que a migração não pode ser julgada apenas pela força criptográfica de um esquema substituto, porque carteiras, dispositivos de hardware, sistemas de backup e configurações com múltiplos dispositivos devem implementá-lo com segurança. Ele descreveu alcançar um acordo social sobre moedas legadas vulneráveis como uma das questões não resolvidas mais difíceis.
Uma posição semelhante surgiu de outros criptógrafos. O criptógrafo de Stanford Dan Boneh argumentou que o Bitcoin deve se preparar para o risco quântico enquanto evita uma migração apressada que poderia introduzir falhas graves de software.
SHRINCS troca assinaturas menores por estado da carteira
A especificação atual do rascunho do SHRINCS descreve um sistema baseado em hash construído em torno do SHA-256, a mesma família de hash já usada extensivamente pelo Bitcoin. Seus projetistas visam aproximadamente 128 bits de segurança clássica e 64 bits de segurança quântica sob seus parâmetros escolhidos.
Sua chave pública de 48 bytes compromete-se com dois caminhos de assinatura. A rota compacta usa Flexible XMSS e WOTS+C, produzindo assinaturas com estado de 548 bytes até 4.619 bytes. Um fallback sem estado baseado em conceitos do SLH-DSA produz uma assinatura de 5.777 bytes.
O NIST padronizou o SLH-DSA como FIPS 205 em agosto de 2024. O padrão em si é sem estado e baseado no SPHINCS+, enquanto o rascunho do SHRINCS usa uma configuração de parâmetros personalizada ao lado de seu componente separado com estado.
Os números mais recentes são importantes porque uma versão anterior do SHRINCS produzia uma assinatura com estado de 324 bytes frequentemente citada. Guillemet disse que esse número não descreve mais o atual rascunho do Bitcoin. A especificação de setembro começa em 548 bytes para sua rota com estado.
A Blockstream Research argumentou que assinaturas baseadas em hash oferecem suposições criptográficas conservadoras e verificação relativamente barata. Sua pesquisa de maio observou que assinaturas pós-quânticas padronizadas são muito maiores que as atuais assinaturas Schnorr de 64 bytes do Bitcoin, criando pressão sobre o espaço de bloco e a taxa de transferência de transações.
A Blockstream já demonstrou a verificação do SHRINCS na sidechain Liquid por meio do Simplicity, mas esse experimento não significa que o esquema esteja ativo na mainnet do Bitcoin. A especificação do Bitcoin continua sendo um trabalho de pesquisa que requer revisão e consenso antes de qualquer implantação na rede.
Assinaturas com estado criam um novo modo de falha de carteira
O caminho compacto do SHRINCS exige que cada chave de assinatura de uso único seja usada apenas uma vez. Uma carteira, portanto, mantém um contador que identifica qual slot de assinatura deve ser usado em seguida, e esse contador deve avançar permanentemente antes que uma assinatura saia do dispositivo.
Se uma carteira usar o mesmo slot de assinatura para duas mensagens diferentes, as informações expostas pelas assinaturas podem permitir que um observador forje uma assinatura válida. Guillemet escreveu que o atacante não necessariamente recupera toda a semente privada, mas os fundos do usuário afetado ainda podem se tornar roubáveis.
Os backups criam outro problema. Restaurar uma carteira a partir de uma cópia mais antiga poderia restaurar um contador desatualizado. Dois dispositivos de hardware inicializados a partir da mesma semente poderiam enfrentar o mesmo risco se usarem independentemente o caminho com estado sem coordenar quais chaves de uso único já foram consumidas.
Uma revisão independente do Project Eleven sobre o SHRINCS chegou a uma conclusão semelhante. Os pesquisadores Alex Pruden e Conor Deegan disseram que o esquema transfere um requisito de estado crítico para a segurança para carteiras e sistemas de custódia, onde a restauração de backup ou a reversão de estado poderia levar à reutilização de uma chave de uso único.
O SHRINCS fornece um fallback quando o estado é perdido ou incerto. A semente original ainda pode derivar a chave de assinatura sem estado, permitindo que os fundos se movam usando a assinatura de 5.777 bytes. A carteira deve parar permanentemente de usar a rota compacta com estado para essa chave assim que seu contador não puder mais ser confiável.
Guillemet descreveu essa propriedade como uma das escolhas de design mais fortes do SHRINCS, porque perder o estado afeta a eficiência sem automaticamente tornar as moedas impossíveis de gastar.
Os recursos atuais das carteiras não seriam transferidos de forma limpa
A mudança de assinaturas de curva elíptica para assinaturas baseadas em hash mudaria várias ferramentas de carteira das quais os usuários de Bitcoin dependem hoje. A derivação BIP32 não endurecida permite que uma chave pública estendida gere chaves públicas filhas sem expor chaves privadas, apoiando designs comuns de carteiras somente leitura. Guillemet disse que um equivalente eficiente não se transfere naturalmente para assinaturas baseadas em hash.
A assinatura por limiar apresenta um problema relacionado. Sistemas baseados em Schnorr podem combinar participantes de forma eficiente, enquanto alternativas conhecidas baseadas em hash tendem a exigir assinaturas maiores, mais armazenamento ou comunicação, ou suposições de confiança diferentes. Guillemet disse que não se deve esperar que o SHRINCS forneça um substituto compacto e direto para os atuais sistemas de limiar Schnorr.
O desempenho de hardware continua sendo outra restrição. A análise da Ledger diz que a geração de chaves pós-quânticas e o caminho sem estado do SHRINCS podem levar minutos em alguns hardwares seguros porque o processo realiza muitas operações SHA-256 e requer mais memória do que a assinatura Schnorr.
A pesquisa da Blockstream enquadra o tradeoff de forma diferente, argumentando que a verificação do SHRINCS é dominada por cálculos SHA-256 e, portanto, pode permanecer computacionalmente gerenciável mesmo quando as assinaturas consomem mais bytes. O rascunho atual afirma que seu custo de verificação no pior caso por byte de assinatura é inferior ao do Schnorr BIP340.
O Bitcoin ainda não tem uma migração pós-quântica adotada
O SHRINCS é apenas uma parte da atual discussão sobre segurança quântica do Bitcoin. O BIP 360, chamado Pay-to-Merkle-Root, é uma proposta separada de Draft projetada para remover o gasto por caminho de chave do Taproot, vulnerável a quantum, e proteger os usuários contra ataques de longa exposição.
O BIP 360 não introduz por si só um algoritmo de assinatura pós-quântica. Seus autores afirmam que ataques de curta exposição, nos quais um atacante deriva uma chave privada depois que uma transação revela sua chave pública, mas antes da confirmação, podem exigir um futuro esquema de assinatura pós-quântica.
O BIP 361 aborda o problema da migração de forma mais direta. A proposta Draft descreve uma descontinuação gradual dos gastos legados em ECDSA e Schnorr após a disponibilização de um mecanismo de saída pós-quântico. Seu cronograma proposto inclui um período inicial de migração, seguido posteriormente por restrições mais rígidas às assinaturas legadas.
Como o crypto.news relatou em sua análise dos BIP 360 e BIP 361, uma questão não resolvida é o que deve acontecer com os BTC vulneráveis que nunca migrarem. Possíveis abordagens podem afetar moedas consideradas perdidas, abandonadas ou controladas por proprietários que não podem participar de uma futura atualização.
O conselho consultivo independente de criptografia da Coinbase apelou separadamente para que o planejamento da migração comece antes que exista um atacante quântico.O conselho apoiou a preparação, deixando as questões sobre congelamento ou tratamento de moedas legadas para a comunidade Bitcoin.
O repositório oficial de BIPs do Bitcoin ainda lista tanto o BIP 360 quanto o BIP 361 como Draft em 17 de setembro. O próprio SHRINCS permanece uma especificação draft sem numeração, com seus autores alertando que a criptografia é um trabalho de protótipo que requer mais revisão por pares e uma prova de segurança completa.
Perguntas frequentes
O Bitcoin é vulnerável a computadores quânticos hoje?
Nenhum computador quântico demonstrado publicamente consegue atualmente recuperar chaves privadas de Bitcoin a partir de suas chaves públicas de curva elíptica. Guillemet descreve o desafio imediato como preparar uma migração antes que esse hardware se torne prático.
O Bitcoin adotou o SHRINCS?
Não. O SHRINCS é uma especificação draft experimental sem um número de BIP atribuído. Ele não está ativado no Bitcoin Core nem nas regras de consenso do Bitcoin.
O que acontece se uma carteira SHRINCS perder seu estado de assinatura?
O design atual permite que a seed recupere um caminho de assinatura sem estado, produzindo uma assinatura maior de 5.777 bytes. A carteira não deve retomar a assinatura compacta com estado quando seu contador anterior não puder ser confiável.
Por que o estado reutilizado do SHRINCS é perigoso?
Sua rota compacta depende de chaves de assinatura de uso único. Reutilizar o mesmo slot para mensagens diferentes pode expor informações suficientes para permitir assinaturas forjadas e possível roubo de fundos.
Os BIP 360 e BIP 361 estão ativos?
Não. O repositório canônico de BIPs do Bitcoin atualmente lista ambas as propostas como Draft. Nenhuma delas foi ativada como uma mudança de consenso do Bitcoin.
