Квантовая угроза для криптовалют: алгоритм Шора и перспективы взлома
Принцип работы алгоритма Шора
Квантовая угроза для криптовалют обретает всё более конкретные очертания по мере снижения теоретических требований к квантовым компьютерам. Алгоритм, созданный математиком Питером Шором в Bell Labs в 1994 году, способен за полиномиальное время раскладывать большие числа на простые множители и решать задачу дискретного логарифма. На сложности этих двух операций основана асимметричная криптография: RSA, протокол Диффи — Хеллмана, ECDSA и подписи Шнорра.
Классический компьютер решает подобные задачи за субэкспоненциальное время. Например, взлом ключа RSA-2048 занял бы миллиарды лет, тогда как алгоритм Шора справляется с этим многократно быстрее. Схема работы включает три этапа: подготовку на обычном ПК (формулировка задачи и выбор случайного числа), квантовое ядро (поиск периода функции с помощью квантового преобразования Фурье) и финальную классическую обработку для вычисления множителей. Для защиты сети биткоина применяется модификация алгоритма Шора: она решает задачу дискретного логарифма на эллиптической кривой secp256k1, что позволяет вычислить приватный ключ по публичному.
Уязвимость биткоина и раскрытие ключей
Контроль большинства биткоин-выходов обеспечивается парой ключей на кривой secp256k1. Вычисление приватного ключа по публичному стандартными средствами требует около 2¹²⁸ шагов, но алгоритм Шора снижает эту сложность до полиномиальной. Атака становится возможной после раскрытия публичного ключа. Для некоторых типов адресов ключ публикуется сразу: формат P2PK (ранние монеты, включая предположительно принадлежащие Сатоси Накамото) содержит его в блокчейне, а в сети Taproot (P2TR) публичный ключ виден с момента создания неизрасходованного выхода (UTXO, unspent transaction output). Адреса с повторным использованием (например, P2PKH) раскрывают ключ при первой же отправке транзакции.
Адреса без истории трат скрывают ключ за криптографическим хешем. Их можно атаковать лишь в коротком временном окне, пока транзакция находится в мемпуле, однако даже теоретическая оценка IonQ в 25,7 дней на один ключ такую атаку исключает. По разным подсчётам, в кошельках с уже раскрытым ключом находится порядка четверти всех существующих биткоинов. При этом майнинг и хеш-функция SHA-256 защищены лучше: квантовый алгоритм Гровера даёт лишь квадратичное ускорение, сохраняя сложность на уровне 2¹²⁸ операций, что нивелируется увеличением длины хеша.
Квантовая угроза: оценки ресурсов и эксперименты
В квантовых вычислениях разделяют физические и логические кубиты. Физические кубиты подвержены шуму, и для получения одного надёжного логического требуются десятки или сотни физических, объединённых алгоритмами коррекции ошибок. Оценки необходимого числа физических кубитов для атаки на 256-битный ключ резко снизились: исследование Google Quantum AI с участием Ethereum Foundation и Стэнфордского университета показало, что сверхпроводящей архитектуре потребуется менее 500 000 кубитов, что в 20 раз ниже прежних прогнозов. Компания IonQ представила инженерную схему для ионных ловушек Walking Cat, согласно которой достаточно 19 397 физических (1457 логических) кубитов, а один подбор ключа займёт около 25,7 дней.
Разница объясняется типом оборудования: ионные ловушки обеспечивают более высокую точность операций, но работают медленнее сверхпроводящих чипов. На практике сегодня ни одна машина не способна выполнить такую атаку. Крупнейшие действующие процессоры, например у IBM, содержат около 1100–1200 физических кубитов без полноценной коррекции ошибок. Эксперименты по взлому ключей остаются на уровне «игрушечных» масштабов: в 2001 году 7-кубитная система разложила число 15, а 24 апреля 2026 года исследователь Джанкарло Лелли доказал взлом 15-битного ключа на публичном квантовом решении IBM, получив награду в 1 BTC от Project Eleven. Пространство поиска по сравнению с прошлым 6-битным рекордом выросло в 512 раз, но 15 бит генерируют всего 32 768 комбинаций, которые обычный ПК перебирает за долю секунды.
Подготовка индустрии и ориентиры по срокам
Национальный институт стандартов США (NIST) в августе 2024 года утвердил первые три постквантовых