Jak se bitcoin připravuje na kvantové počítače — a proč zatím není odolný

Příprava bitcoinu na možnou kvantovou hrozbu má dvě části: omezit vystavení veřejných klíčů tam, kde to dovolují současná pravidla, a zvážit změny protokolu, které by mohly nabídnout silnější ochranu. Ani jedno dnes nezajišťuje, že je bitcoin jako celek odolný vůči kvantovým počítačům. Nejde jen o návrh obrany — komunita se musí shodnout na aktualizaci a držitelé potřebují čas na přesun prostředků. 137

Na co kvantové riziko míří

Obavy se týkají kryptografie digitálních podpisů bitcoinu založené na eliptických křivkách. Dostatečně výkonný kvantový počítač by teoreticky mohl z veřejného klíče odvodit soukromý klíč. Riziko závisí na tom, kdy se veřejný klíč objeví: některé bitcoinové výstupy ho odhalují přímo, u jiných se zveřejní až při utrácení prostředků. U části mincí tak může být doba vystavení dlouhá, zatímco u jiných vzniká kratší okno kolem transakce. 35

Odhad z roku 2026 vyčíslil rychlý útok na odhalený klíč přibližně na 1 200 až 1 450 logických qubitů. Podle předpokladů dané studie by to při použití supravodivého hardwaru odpovídalo méně než 500 000 fyzických qubitů. Jde o modelovaný potřebný výpočetní výkon, nikoli o předpověď, kdy bude takový stroj sestrojen. Zprávy z letošního září uváděly, že žádný kvantový počítač schopný prolomit bitcoinové podpisy v kryptograficky relevantním měřítku neexistuje. 12

Odhady množství BTC spojeného s odhalenými veřejnými klíči se liší. Jedna analýza uvádí přibližně 6,99 milionu BTC, jiná 6,04 milionu BTC. Protože se liší jejich metody i definice, čísla ukazují spíš řádovou velikost problému než přesný součet. Samotné odhalení klíče navíc neznamená, že lze mince ukrást pomocí dnešních počítačů. 45

Co mohou burzy udělat podle současných pravidel

Než dojde k případné aktualizaci sítě, mohou správci bitcoinových prostředků omezovat zbytečné odhalování veřejných klíčů. Mezi popisovaná opatření patří omezit opakované používání adres, prověřit, kde jsou prostředky uloženy, a zkontrolovat postupy úschovy i výběrů. Tam, kde je to praktické, může přesun prostředků z výstupů s odhaleným klíčem snížit dlouhodobé vystavení. Nevytvoří tím ale nový typ podpisu ani neochrání každou minci ve všech situacích spojených s transakcí. 1

Vývojáři diskutují také o užších postupech pro konkrétní transakce, například o metodách typu „commit-and-reveal“ a o využití hašovacích podpisů při určitých záchranných nebo migračních postupech. Nejde o univerzální náhradu současných pravidel pro bitcoinové podpisy; přínos závisí na konkrétní metodě a jejích předpokladech. 4647

Co navrhuje BIP-360 — a co ne

BIP-360 navrhuje Pay-to-Merkle-Root (P2MR), výstup podobný Taprootu, který odstraňuje možnost utrácení přes klíčovou cestu Taprootu. Místo toho se opírá o závazek ke stromu skriptů. Záměrem je omezit dlouhodobé vystavení veřejného klíče, který by jinak byl viditelný stále. Návrh řeší útoky při dlouhém vystavení klíče, nikoli každou možnou situaci, kdy se klíč může odhalit během utrácení. 37

Důležité je, že BIP-360 sám o sobě nezavádí postkvantový podpisový algoritmus. Navrhuje nový typ výstupu; výběr a nasazení postkvantových podpisů je samostatný problém. Návrh by vyžadoval soft fork, tedy aktualizaci pravidel, která zachovává zpětnou kompatibilitu. To, že byl návrh zveřejněn, neznamená, že změna v bitcoinové síti platí. 71721

BIP-360 tak může být jednou částí přechodu, nikoli kompletním plánem na ochranu před kvantovými počítači. Stávající prostředky se do nového typu výstupu nepřesunou automaticky; jejich majitelé by je museli převést, pokud by je chtěli uložit do bezpečnějšího cíle. 117

Proč je nejtěžší shoda a migrace

Obrana bitcoinu není jen otázkou kryptografie. Účastníci sítě musí posoudit navrhované změny, shodnout se na jejich fungování a rozhodnout o jejich zavedení. Ani aktualizace, která vytvoří bezpečnější cíl pro nové prostředky, sama nepřesune mince, které jsou nečinné nebo ke kterým už jejich majitelé nemají přístup. Vedle technického návrhu jsou proto důležitá i pravidla migrace. 3721

Odhady jsou důvodem brát přípravu vážně, nestanovují však termín, do kdy musí být hotovo. Hlavní závěr je střízlivý: už dnes existují způsoby, jak některé druhy vystavení omezit, a zároveň návrhy širších změn. Ani současné postupy, ani BIP-360 ale nepředstavují plně nasazenou postkvantovou ochranu celé bitcoinové sítě. 123