Квантові обчислення вже давно вийшли за межі теоретичних дискусій для криптовалютного ринку.
Комбінація прискореного прогресу апаратних рішень від IBM, Google та Microsoft, фіналізація стандартів постквантової криптографії Національним інститутом стандартів і технологій США (NIST) у серпні 2024 року та повна відсутність скоординованих планів міграції у провідних блокчейнів створили кумулятивний розрив у безпеці, який щокварталу лише розширюється.
Коротко
- У серпні 2024 року NIST затвердив три стандарти постквантової криптографії, фактично давши сигнал, що перехід із класичних схем — нагальна, а не віддалена задача.
- Bitcoin, Ethereum і більшість великих блокчейнів досі покладаються на еліптичні криві, які достатньо потужний квантовий комп’ютер зможе зламати, поставивши під удар трильйони доларів ончейн-активів.
- Реалістична стратегія «збирай зараз — розшифровуй потім» означає, що зловмисники вже сьогодні можуть архівувати зашифровані дані блокчейна, плануючи їх зламати, коли квантове «залізо» дозріє.
Криптографічний фундамент криптоіндустрії вже став відомою проблемою
Практично всі великі криптовалюти спираються на два криптографічні примітиви, по яких квантові обчислення б’ють безпосередньо. Перший — Elliptic Curve Digital Signature Algorithm (ECDSA), який забезпечує підписання транзакцій у Bitcoin, Ethereum (ETH) та сотнях похідних мереж. Другий — геш-функція SHA-256, що використовується в механізмі proof-of-work і для генерації адрес у Bitcoin. Обидва мають добре описані в науковій літературі вектори квантових атак.
Показова робота 2022 року Марка Веббера та колег з Університету Сассекса оцінює, що квантовий комп’ютер приблизно з 317 логічними кубітами зможе зламати одну транзакцію Bitcoin менш ніж за годину, а для укладанняся у 10-хвилинне вікно блоку знадобиться близько 13 мільйонів логічних кубітів.
Ці параметри все ще недосяжні для сучасного обладнання, але траєкторія зростання кількості кубітів уже не виглядає настільки далекою й безпечною.
Оцінка Веббера та співавторів щодо 317 логічних кубітів для злому ECDSA менш ніж за годину ставить загрозу в апаратні рамки, які з огляду на поточні «дорожні карти» можуть стати реальністю вже в цьому десятилітті.
Теоретичною «рушійною силою» загрози для ECDSA залишається алгоритм Шора, відкритий ще 1994 року. На квантовому комп’ютері він розв’язує задачу дискретного логарифма за поліноміальний час, тоді як класичні машини потребують експоненційного часу. Розрив між теоретичною вразливістю і практичним зламом скорочується з кожним новим рекордом за кількістю кубітів. Інвестори, які сприймають цю тему як «проблему майбутнього», фактично некоректно оцінюють структурний ризик, який регулятори й органи стандартизації вже офіційно визнали.
Читайте також: BTC вперше за 11 тижнів перевищив $79 000 на тлі сплеску обсягів торгів
Стандарти NIST із постквантової криптографії — це стартовий постріл регуляторів
13 серпня 2024 року NIST опублікував перші три фіналізовані стандарти постквантової криптографії: FIPS 203 (ML-KEM, раніше CRYSTALS-Kyber), FIPS 204 (ML-DSA, раніше CRYSTALS-Dilithium) та FIPS 205 (SLH-DSA, раніше SPHINCS+).
У супровідній заяві NIST прямо закликав організації починати міграцію негайно і не чекати подальшої стандартизації.
Це потужний регуляторний сигнал. Стандарти NIST де-факто визначають рамки відповідності для всієї фінансової інфраструктури США, а низка відомств, включно з Cybersecurity and Infrastructure Security Agency (CISA), вже видали рекомендації операторам критичної інфраструктури провести інвентаризацію своїх криптографічних систем.
Якщо дивитися ширше, криптоінфраструктура у низці юрисдикцій вже класифікується як критична фінансова інфраструктура. Попри це, жоден великий блокчейн першого рівня досі не оприлюднив обов’язковий графік міграції у відповідь на ці стандарти.
Серпнева директива NIST 2024 року «мігрувати негайно» — найчіткіший офіційний сигнал, що постквантова криптографія — це вже операційний пріоритет, а не тема для майбутніх досліджень.
Усі три затверджені стандарти базуються на математичних задачах, які вважаються складними як для класичних комп’ютерів, так і для квантових. ML-KEM спирається на задачу Module Learning With Errors (MLWE). ML-DSA та SLH-DSA — відповідно ґраткові та геш-орієнтовані схеми. Четвертий стандарт, FALCON (нині FN-DSA, FIPS 206), був затверджений у наступні місяці. Майже повна тиша блокчейн-індустрії у відповідь на ці публікації — у кращому разі провал корпоративного управління, у гіршому — суттєвий ризик для власників активів.
Читайте також: Ethereum наближається до ключових $2 450 на тлі боротьби биків і ведмедів
3. Загроза «збирай зараз — розшифровуй потім» вже реалізується
Один із найменш усвідомлених векторів квантової загрози не потребує сьогодні жодного передового квантового обладнання. Йдеться про тактику «harvest now, decrypt later» (HNDL) — коли зловмисники масово збирають і зберігають зашифровані дані та підписані транзакції зараз, щоб розшифрувати їх у майбутньому, коли квантове «залізо» стане достатньо потужним. Для блокчейнів, які за своєю природою публічні та незмінні, HNDL — аж ніяк не теорія.
Усі транзакції, будь-коли здійснені в мережах Bitcoin або Ethereum, назавжди зберігаються на тисячах вузлів по всьому світу. Будь-хто, включно з державами, може за незначні гроші зібрати повний архів історії транзакцій. У звіті 2023 року Global Risk Institute оцінює, що ймовірність появи «криптографічно релевантного» квантового комп’ютера, здатного ламати сучасне шифрування, становить 17% до 2030 року і 50% до 2034-го.
Для активів, чия ончейн-історія зберігатиметься завжди, ці ймовірності аж ніяк не мізерні.
У дорожній карті загроз Global Risk Institute за 2023 рік квантовому комп’ютеру, здатному ламати сучасну криптографію, відводять 50% ймовірності появи вже до 2034 року — це повністю вкладається в інвестиційний горизонт багатьох нинішніх власників криптоактивів.
У блокчейн-контексті HNDL найбільше турбує не вже підтверджені транзакції як такі — адже після підтвердження Bitcoin-транзакція і так розкриває публічний ключ і суму переказу.
Головний ризик — у повторно використаних адресах, мультипідписах з уже оприлюдненими публічними ключами і будь-яких схемах, де зловмисник, маючи зібраний публічний ключ, може згодом обчислити приватний ключ і спорожнити гаманець. З огляду на те, що в багатьох інтерфейсах користувача блокчейн-адреси спочатку проєктувалися як багаторазові, пул «засвічених» адрес уже дуже значний.
Читайте також: 26 троянських криптогаманців просочилися в App Store, попереджає Kaspersky
Скільки біткоїн-адрес уже під ударом?
Масштаб квантової вразливості Bitcoin можна оцінити за допомогою ончейн-аналітики. Дослідження 2023 року, розміщене на arXiv командою Deloitte Netherlands, виявило, що близько 4 млн BTC — орієнтовно 25% від усіх монет в обігу на той момент — зберігалися на адресах Pay-to-Public-Key (P2PK) або на повторно використаних Pay-to-Public-Key-Hash (P2PKH), де публічний ключ уже було розкрито ончейн.
Формат P2PK, застосований у ранніх виходах Bitcoin, включно з блоками, видобутими Сатоші Накамото, зберігає повний публічний ключ безпосередньо в scriptPubKey. Це дає квантовому атакувальнику саме той вхід, який йому потрібен, щоб запустити алгоритм Шора проти ключа ECDSA.
Повторно використані адреси P2PKH «світять» публічний ключ у момент першого витрачання монет, і значна частка користувачів Bitcoin історично робила це через роки звички до повторного використання адрес, закладеної поганим UX гаманців.
Аналіз ончейн-даних Deloitte за 2023 рік виявив близько 4 млн BTC на адресах, де публічний ключ уже розкрито, — це найбільш вразливий до квантової атаки сегмент мережі Bitcoin.
Поверхня атаки в Ethereum не менша. Гаманець Ethereum, який бодай раз відправив транзакцію, за визначенням уже розкрив свій публічний ключ. Ethereum Foundation у своїй публічній дорожній карті визнає квантову вразливість і зазначає постквантову міграцію як довгострокову ціль у розділі «future-proofing», але чітких строків або тестової реалізації поки немає. Для мережі, яка утримує сотні мільярдів доларів користувацьких активів, формулювання «довгострокова ціль» виглядає вкрай слабкою відповіддю на криву ризику 50% до 2034 року.
Читайте також: Bitmine контролює понад 4% оборотного ETH — накопичення триває
Прориви в «залізі» квантових комп’ютерів скорочують часовий люфт
Теоретична загроза з боку квантових обчислень існує ще з публікації алгоритму Шора у 1994 році. За останні два роки ситуація змінилася через темпи розвитку апаратної частини — розрив між теорією та практикою почав стискатися так швидко, що графіки ризику потребують переоцінки.
У грудні 2023 року квантова команда Google DeepMind повідомила про експеримент із 70-кубітною системою, якій вперше вдалося досягти рівня виправлення помилок нижче порогового значення — критично важливої умови для створення логічних кубітів у кількостях, необхідних для масштабного запуску алгоритму Шора.
У листопаді 2024 року Google анонсувала квантовий чип Willow, заявивши, що він виконав специфічний бенчмарк-розрахунок менш ніж за п’ять хвилин. ...що забрало б у класичних суперкомп’ютерів 10 септильйонів років.
Поточна дорожня карта IBM, опублікована на її сайті розвитку квантових технологій, передбачає вихід на «корисний» масштаб квантових обчислень із тисячами логічних кубітів до 2033 року.
Анонс чипа Willow від Google у листопаді 2024 року та оприлюднена дорожня карта IBM з орієнтиром на тисячі логічних кубітів до 2033 року — це вже конкретні апаратні віхи, які скорочують горизонт квантової загрози з «десятиліть» до «в межах поточного десятиліття».
Підхід Microsoft на базі топологічних кубітів, який просуває її дослідницький підрозділ Azure Quantum, має на меті досягти рівнів помилок на порядки нижчих за поточні надпровідникові архітектури. Це потенційно може прискорити появу машин, здатних ламати сучасну криптографію. Жоден окремий анонс «заліза» не є доказом, що загроза вже на порозі.
У сукупності ж темпи прогресу у кількох незалежних дослідницьких програмах суттєво вищі за базові припущення, закладені в більшість документів з управління блокчейнами, написаних до 2023 року.
Читайте також: TRON Підключає $85 млрд USDT До LI.FI В Наступі На Крос-чен DeFi
Проблема міграції — це одночасно технічний і політичний виклик
Навіть якби індустрія блокчейнів сьогодні колективно вирішила перейти на постквантову криптографію, технічні та управлінські бар’єри були б колосальними. Біткоїн, як найдецентралізованіша з великих мереж, стоїть перед найжорсткішою версією цієї задачі.
Зміна схеми підписів у Bitcoin потребує софтфорку або хардфорку — в обох випадках потрібна надкритична координація майнерів, операторів вузлів, розробників гаманців та бірж. Історично досягнення консенсусу щодо значно простіших оновлень займало роки.
Активація SegWit у 2017 році — відносно невелика структурна правка — спричинила понад два роки гострих суперечок, перш ніж мережа вийшла на поріг у 95% сигналів від майнерів. Перехід до нової схеми підписів був би на порядки більш деструктивним: він торкнувся б кожного гаманця, біржових «гарячих» гаманців, прошивок апаратних гаманців і кастомних рішень зберігання по всій екосистемі.
У статті 2021 року дослідники з IETF Crypto Forum Research Group звернули увагу на глибоку інтеграцію ECDSA в інтернет-інфраструктуру та охарактеризували скоординовану міграцію як «один із найскладніших криптографічних переходів в історії».
Прецедент із SegWit показує, що Bitcoin керується в часових масштабах «роки, а не місяці». Це означає, що міграція до постквантових схем, яка навіть не розпочата, може не завершитися до настання вікна квантової загрози.
Облікова модель Ethereum дає дещо більше гнучкості. Постквантова дорожня карта Ethereum Foundation включає концепцію «квантово-стійкої абстракції акаунтів», за якої гаманці можуть переходити на нові схеми підписів без хардфорку на базовому рівні для існуючих адрес.
Однак такий підхід вимагає активної міграції з боку кожного користувача, а історичні дані щодо участі в оновленнях Ethereum свідчать, що пасивні користувачі стабільно ігнорують «ломаючі» зміни, якщо не запроваджені механізми примусового відключення старих версій.
Читайте також: Найбільші Криптобіржі Вимагають Використання AI, Відстежують Токени Як KPI: Звіт
Постквантові блокчейни вже є, але лишаються нішевими
Невелика група проєктів сприйняла квантову загрозу настільки серйозно, що вбудувала постквантову криптографію в протокол із перших рядків коду. Такі блокчейни залишаються нішевими, але саме вони є найкращим підтвердженням того, що квантово-стійкий блокчейн технічно реалізовний.
QRL (Quantum Resistant Ledger) стартував у 2018 році як перший промисловий блокчейн, що використовує eXtended Merkle Signature Scheme (XMSS) — хеш-базований алгоритм підпису, який NIST включив до свого процесу оцінювання. Протокол QRL взагалі не застосовує еліптичні криві на жодному рівні. IOTA у своїй оновленій архітектурі Rebased рухається у бік впровадження постквантових схем підписів, зокрема Ed448 та ґраткових конструкцій. Algorand опублікував дослідження щодо постквантових state proofs і додав до криптографічного набору опцію підпису на базі Falcon.
Запуск основної мережі QRL у 2018 році довів, що промисловий блокчейн лише на хеш-базованих підписах — це реально. Водночас ринкова капіталізація менше $100 млн показує розрив між технічною надійністю та фактичним попитом ринку.
Ключовий виклик для таких проєктів — не технологічна спроможність, а мережеві ефекти. Bitcoin та Ethereum домінують завдяки ліквідності, розвиненим девелоперським екосистемам, інституційній інфраструктурі зберігання й регуляторній звичці — все це дуже важко відтворити на «квантово-безпечному», але малоліквідному ланцюгу.
Набагато реалістичніший сценарій для ринку — це додавання постквантових варіантів підписів до вже існуючих мереж. Саме під такі задачі й проєктувалися рішення на кшталт NIST FIPS 204 (ML-DSA). Питання в тому, чи з’явиться політична воля реалізувати такий «ретрофіт» раніше, ніж апаратна загроза стане реальністю.
Читайте також: Токен PENGU Зростає На 5,7%, Поки Pudgy Penguins Йде Далі За Межі NFT
Біржі та кастодіальні гравці мають окремий квантовий ризик
Ризики квантових атак стосуються не лише роздрібних холдерів. Централізовані біржі та інституційні кастодіани мають іншу, подекуди навіть гострішу версію цієї загрози. Їхні моделі безпеки так само спираються на ECDSA, що й індивідуальні гаманці, але при незрівнянно вищій концентрації активів.
Велика біржа, яка тримає мільярди в Bitcoin та Ethereum на «гарячих» гаманцях, змушена операційно забезпечувати доступність приватних ключів для автоматизованих систем підпису транзакцій. Такі ключі, розміщені в модулів апаратної безпеки (HSM) та системах управління ключами, розроблених під класичні криптографічні припущення, у постквантовому світі стають першочерговою ціллю. Дані Chainalysis показують, що з 2012 року біржові злами вже призвели до втрат більш як на $10 млрд — і все це без участі квантових комп’ютерів. Додавання можливості відновлення ключів квантовими методами робить задачу захисту кастодіальних активів суттєво складнішою.
Chainalysis документує понад $10 млрд втрат від зламів бірж із 2012 року, здійснених виключно класичними методами. Це базовий рівень кастодіальної вразливості, який квантове відновлення ключів здатне радикально погіршити.
Постачальники HSM, які домінують на інституційному ринку криптокастоді, зокрема Thales, AWS CloudHSM та Entrust, добре усвідомлюють потребу постквантового переходу. Рекомендації NIST щодо міграції прямо зачіпають горизонти заміни HSM. Водночас операційна складність ротації всієї ключової інфраструктури на глобальній біржі з мільйонами клієнтських гаманців — проєкт, на реалізацію якого жодна з великих платформ публічно не взяла на себе зобов’язань і не оголосила графіка.
Відсутність регуляторних вимог до розкриття інформації про «квантову готовність» означає, що інвестори практично не мають інструментів оцінити кастодіальний квантовий ризик на основі публічної звітності.
Читайте також: Вони Ставили На Власні Вибори, Kalshi Видала Їм П’ятирічні Бани
Державні гравці й геополітика квантових атак на криптоактиви
Квантова загроза для криптовалют — це не лише технічний виклик. Вона має чіткий геополітичний вимір, який інвестори та політичні аналітики у публічних дискусіях здебільшого ігнорують. Державні програми розвитку квантових технологій — передусім у Китаї та США, а також у Росії й ЄС — фінансуються в обсягах, що на порядки перевищують приватні ініціативи, а значна частина їхніх можливостей засекречена.
Китайська національна програма з квантових обчислень закріплена в 14-му п’ятирічному плані (2021–2025) та його наступниках. За оцінками Center for Security and Emerging Technology при Університеті Джорджтауна, державні інвестиції в квантові дослідження перевищують $15 млрд за один плановий період. Власний дослідницький підрозділ Народного банку Китаю (PBoC) публікував роботи щодо часових горизонтів квантових атак на фінансову криптографію.
Якщо засекречена державна програма отримає криптографічно «релевантний» квантовий комп’ютер раніше за відкриті академічні проєкти, першим сигналом може стати «тиха» утилізація вразливих біткоїн-адрес — подія, яку на перших порах важко відрізнити від дуже складного класичного зламу, допоки форензіка не вкаже на нестандартний вектор атаки.
Аналітика CSET у Джорджтауні фіксує, що китайські інвестиції в квантові технології перевищили $15 млрд за один п’ятирічний цикл — рівень фінансування, здатний породити засекречені можливості, які випереджатимуть публічно відомі академічні оцінки.
Американські урядові структури реагують на цю загрозу швидше, ніж приватний крипторинок. Офіс управління та бюджету США (OMB) у листопаді 2022 року випустив меморандум M-23-02, яким зобов’язав усі федеральні агентства до кінця 2023 року провести інвентаризацію криптографії та розпочати планування міграції. Агентство національної безпеки (NSA) опублікувало власні настанови щодо переходу на постквантові стандарти для систем нацбезпеки.
Розрив між терміновістю, з якою діє держава, та пасивністю ключової приватної криптоінфраструктури виглядає разючим.і варта того, щоб її справді усвідомити.
Також читайте: Kalshi виходить на криптотрейдинг і кидає виклик Coinbase з продуктом перпетуальних ф’ючерсів
Якою має бути переконлива відповідь галузі — і наскільки ми від неї далекі
Якщо окреслити, яким має бути відповідальний план «квантової міграції» для блокчейн-екосистеми, стає зрозуміло, наскільки теперішній стан відстає від мінімально прийнятної готовності. Спираючись на рекомендації NIST, академічні дослідження та графіки схожих інфраструктурних міграцій, реалістичний сценарій передбачає п’ять окремих етапів, розтягнутих приблизно на вісім–десять років.
Перший етап — криптографічний аудит: кожна команда протоколу, біржа та кастодіан повинні інвентаризувати всі криптографічні примітиви, які використовуються, розміри ключів, статус публічної експозиції цих ключів і залежності між системами, що потребуватимуть змін. Другий етап — вибір постквантових алгоритмів: між ML-DSA, SLH-DSA та FN-DSA, залежно від компромісів між продуктивністю та безпекою для конкретного кейсу. Доступне для широкої аудиторії порівняння було опубліковане дослідниками в IACR Cryptology ePrint Archive у 2022 році й містить бенчмарки для фіналістів NIST. Третій етап — розгортання в тестнетах і стейджингових середовищах. Четвертий — скоординована активація в мейннетах. П’ятий — затяжна фаза міграції користувачів, особливо для мереж із форматами адрес, де публічні ключі вже розкриті.
Бенчмарки IACR за 2022 рік дають конкретні порівняння продуктивності постквантових алгоритмів-фіналістів, забезпечуючи команди протоколів даними для вибору алгоритму вже сьогодні, без очікування додаткових стандартів.
Ядро розробників Bitcoin підготувало два релевантні BIP. BIP-360, запропонований наприкінці 2024 року Гантером Бістом та співавторами, описує формат адрес Pay to Quantum Resistant Hash (P2QRH) із використанням CRYSTALS-Dilithium як стандартної схеми підпису.
Станом на квітень 2026 року BIP-360 залишається в статусі драфту, без запропонованого механізму активації. Дорожня карта постквантового розвитку Ethereum, опублікована на сторінці дорожньої карти Ethereum Foundation, визнає необхідність довгострокових рішень на базі Winternitz One-Time Signatures або STARK-аутентифікації, але відносить їх до категорії «splurge» — найнижчий пріоритет у чинній рамці планування.
З огляду на апаратні горизонти, викладені в п’ятому розділі, така пріоритизація потребує жорсткого перегляду.
Читайте далі: 35% європейських інвесторів готові змінити свій банк заради доступу до крипти
Висновок
Загроза, яку квантові обчислення становлять для криптовалют, є реальною, задокументованою і розвивається за графіком, який ринок досі не прийняв серйозно.
NIST у серпні 2024 року фіналізував постквантові стандарти й рекомендував негайний початок міграції. Державні квантові програми фінансуються на рівнях, які дозволяють досягати засекречених спроможностей раніше, ніж це відображається в публічних академічних результатах. Десь від 25% до 40% обігу Bitcoin зберігається на адресах, де публічні ключі вже розкриті в блокчейні й доступні для збирання. Це не гіпотеза. Це все піддається перевірці, виміряне і доступне в первинних джерелах, з якими мали час ознайомитися команди протоколів, комплаєнс-відділи бірж і інституційні кастодіани.
Те, чого бракує індустрії, — це не інформація, а відчуття терміновості. Це знайомий патерн повільних безпекових криз.
Організації не з’їжджають із вразливих систем, доки або не відбувається катастрофа, що змушує це зробити, або регулятор не встановлює жорсткий дедлайн.
У квантовому випадку катастрофічний сценарій — тиха зачистка вразливих Bitcoin-адрес державним актором із секретною квантовою машиною — може настати без попередження і без достатньо чіткої форензіки, яка б запустила скоординовану відповідь до того, як буде завдано суттєвої шкоди.
Моделі управління Bitcoin та Ethereum не розраховані на ухвалення рішень у кризовому темпі. Це означає, що вікно для впорядкованої міграції звужується, навіть якщо апаратна загроза ще формально не настала.
Позитивний висновок із цієї картини в тому, що квантовий перехід створює реальне поле для R&D. Команди протоколів, які першими інтегрують постквантові підписи, біржі, що оприлюднять прозорі «квантові дорожні карти», і кастодіани, які модернізують свою HSM-інфраструктуру до появи регуляторних вимог, отримають відчутну конкурентну перевагу, коли загрозу вже неможливо буде ігнорувати. Дослідження проведено. Стандарти опубліковані. Попереду — робота з управління та врядування, і вона має початися зараз.
