Bitcoin đối mặt với mối đe dọa lượng tử thực sự không phải là "giải mã", mà là giả mạo chữ ký: Tại sao chúng ta có thể đo lường rủi ro này ngay bây giờ

Nhiều người bàn luận về mối đe dọa của máy tính lượng tử đối với Bitcoin, thường lặp đi lặp lại câu nói quen thuộc — “Máy tính lượng tử sẽ phá vỡ mã hóa của Bitcoin”. Nhưng quan điểm này về cơ bản là sai lầm. Trên thực tế, Bitcoin hoàn toàn không cần phải “phá vỡ” dữ liệu mã hóa nào cả.

Tại sao mã hóa của Bitcoin không phải là vấn đề thực sự

Việc bảo vệ quyền sở hữu Bitcoin không dựa trên mã hóa văn bản. Thay vào đó, nó dựa vào chữ ký số (ECDSA và Schnorr) cùng với cam kết băm để đảm bảo an toàn. Chuỗi khối là sổ cái hoàn toàn công khai — mọi giao dịch, mọi số tiền, mọi địa chỉ đều có thể được xem bởi bất kỳ ai. Không có gì bị che giấu.

Nói cách khác, một máy tính lượng tử không thể phá vỡ Bitcoin vì trên chuỗi khối hoàn toàn không có bí mật nào được mã hóa. Adam Back, nhà phát triển Bitcoin từ thời kỳ đầu và là người sáng chế Hashcash, đã trực tiếp chỉ ra trên nền tảng X: “Bitcoin không sử dụng mã hóa. Học kiến thức cơ bản, nếu không sẽ để lộ sự thiếu hiểu biết của bạn.”

Rủi ro thực sự là gì? Nếu một máy tính lượng tử liên quan đến mật mã có thể chạy thuật toán Shor, nó có thể từ khóa công khai trên chuỗi khối suy ra khóa riêng, từ đó tạo ra chữ ký hợp lệ cho các giao dịch mâu thuẫn. Đây không phải là “phá vỡ mã hóa”, mà là đánh cắp quyền xác thực.

Tiết lộ khóa công khai: Thách thức thực sự đối với an toàn của Bitcoin

Hệ thống chữ ký của Bitcoin yêu cầu người dùng chứng minh quyền kiểm soát cặp khóa bằng cách tạo chữ ký — chính là lý do các giao dịch có hiệu lực. Vì vậy, khi nào và như thế nào khóa công khai bị tiết lộ trở thành trung tâm của mối đe dọa từ máy tính lượng tử.

Nhiều định dạng địa chỉ sử dụng giá trị băm của khóa công khai, nghĩa là khóa công khai chỉ được tiết lộ khi giao dịch xảy ra. Khoảng thời gian hẹp này giới hạn khả năng của kẻ tấn công tính toán ra khóa riêng và phát tán các giao dịch mâu thuẫn.

Tuy nhiên, không phải tất cả các dạng xuất đều như vậy. Một số loại script sẽ tiết lộ khóa công khai sớm hơn, và việc sử dụng địa chỉ lặp lại sẽ biến việc tiết lộ tạm thời thành mục tiêu liên tục.

Công cụ mã nguồn mở “Bitcoin Risq List” của Project Eleven đã ánh xạ các kịch bản này, cho thấy những phần nào của Bitcoin có thể đã bị lộ ra trước các kẻ tấn công sở hữu thuật toán Shor. Theo theo dõi của họ, khoảng 670 triệu BTC nằm trong các địa chỉ có nguy cơ.

Taproot đã thay đổi cách dự đoán về việc tiết lộ

Taproot (địa chỉ P2TR) đã thay đổi cách thức mặc định của việc tiết lộ. Theo tiêu chuẩn BIP 341, các đầu ra Taproot chứa trong script một khóa công khai sửa đổi dài 32 byte, thay vì giá trị băm của khóa công khai.

Điều này không tạo ra lỗ hổng mới ngày hôm nay. Nhưng nó thực sự thay đổi những gì sẽ bị tiết lộ khi khả năng khôi phục khóa trở thành hiện thực. Điều này rất quan trọng vì việc tiết lộ có thể đo lường được — chúng ta không cần phải đoán thời điểm đe dọa lượng tử, mà có thể theo dõi các nhóm Bitcoin dễ bị tổn thương tiềm năng.

Project Eleven tự động quét hàng tuần và phát hành “Bitcoin Risq List”, bao gồm tất cả các địa chỉ dễ bị tấn công bằng máy tính lượng tử và số dư của chúng.

Mức độ cần thiết về khả năng tính toán cho mối đe dọa lượng tử là bao nhiêu?

Xét về mặt tính toán, sự khác biệt chính nằm ở khoảng cách giữa số lượng qubit logic và số lượng qubit vật lý.

Roetteler và cộng sự trong nghiên cứu xác định rằng, để tính toán log rời rạc trên elliptic curve 256-bit, cần tối đa khoảng 2.330 qubit logic (công thức là 9n + 2⌈log₂( n)⌉ + 10, với n=256).

Tuy nhiên, khi chuyển đổi sang các máy lượng tử vật lý có khả năng thực hiện các tính toán sâu và có tỷ lệ lỗi thấp, thì chi phí về qubit vật lý mới là trở ngại chính. Theo ước tính của Litinski năm 2023, để tính toán khóa riêng của elliptic curve 256-bit cần khoảng 50 triệu cổng Toffoli. Trong phương pháp phân mảnh, điều này có thể hoàn thành trong vòng 10 phút với khoảng 6,9 triệu qubit vật lý.

Phân tích của Schneier on Security tập trung vào ước lượng khoảng 13 triệu qubit vật lý để phá vỡ trong một ngày, và khoảng 317 triệu qubit vật lý để phá vỡ trong một giờ (tùy thuộc giả định về thời gian và tỷ lệ lỗi).

Tại sao khung thời gian lại quan trọng như vậy

Thời gian thực thi quyết định khả năng của cuộc tấn công. Nếu máy tính lượng tử cần 10 phút để khôi phục khóa riêng từ khóa công khai, và thời gian trung bình của một khối Bitcoin là 10 phút, thì kẻ tấn công có thể cạnh tranh để chiếm quyền kiểm soát các đầu ra đã bị lộ. Hắn không cần phải ghi lại lịch sử đồng thuận.

Cũng có vấn đề về băm, thường được đề cập trong bối cảnh này. Nhưng trong trường hợp này, đòn bẩy lượng tử là thuật toán Grover, cung cấp tốc độ tìm kiếm bình phương, chứ không phải Shor để tấn công log rời rạc. Các nghiên cứu của NIST về chi phí của các cuộc tấn công Grover cho thấy, chi phí và việc sửa lỗi khiến hệ thống tiêu chuẩn đạt đến mức 2^128 thao tác. Điều này là rất nhỏ so với việc phá vỡ log rời rạc ECC.

Tại sao thích ứng đồng nghĩa với thách thức di chuyển, chứ không phải mối đe dọa cấp bách

Ngoài Bitcoin, NIST đã chuẩn hóa các thuật toán mật mã hậu lượng tử như ML-KEM (FIPS 203) như một phần của kế hoạch chuyển đổi rộng lớn hơn. Trong Bitcoin, BIP 360 đề xuất một loại đầu ra mới gọi là “Pay to Quantum Resistant Hash”. Đồng thời, qbip.org thúc đẩy loại bỏ các chữ ký cũ để thúc đẩy quá trình chuyển đổi và loại bỏ phần đuôi khóa công khai dài hạn.

Các lộ trình doanh nghiệp gần đây cung cấp bối cảnh cho thấy lý do tại sao đây được xem là một thách thức hạ tầng, chứ không phải vấn đề cấp bách. Reuters đưa tin, IBM đã thảo luận về tiến trình của các thành phần sửa lỗi, xác nhận rằng con đường hướng tới hệ thống chịu lỗi có thể đạt được vào khoảng năm 2029.

Như vậy, “máy tính lượng tử sẽ phá vỡ mã hóa của Bitcoin” vừa là hiểu lầm về thuật ngữ, vừa là đánh giá sai về cơ chế.

Chỉ số thực sự có thể đo lường được là: có bao nhiêu phần của tập hợp UTXO đã tiết lộ khóa công khai, cách ví xử lý với sự tiết lộ này, và mạng lưới có thể triển khai các phương án chống lượng tử nhanh như thế nào, đồng thời duy trì các giới hạn về xác thực và phí.

Khi nói về tương lai của máy tính lượng tử và Bitcoin, cuộc trò chuyện nên tập trung vào khả năng thích ứng, chứ không phải khủng hoảng.