A conta do ataque quântico ao bitcoin caiu para 30 mil qubits e uma hora

Uma máquina de 29.588 qubits físicos conseguiria, em tese, forjar a assinatura que autoriza o gasto de bitcoins em 61,8 minutos. A estimativa é da Alice & Bob, que fabrica computadores quânticos e tem sede em Paris e em Boston. O resultado saiu nesta quinta-feira, com o artigo que o sustenta. O número, segundo a empresa, é uma estimativa de recursos. Nenhuma máquina em operação hoje chega perto de rodar essa conta, e os autores escrevem que o resultado não demonstra um ataque real.

A assinatura é o que prova que a moeda é de quem está gastando. Quem chega à chave privada a partir da chave pública assina no lugar do dono e move o saldo.

A comparação que interessa ao bitcoin é com o relógio. Um bloco sai a cada dez minutos, em média. A conta leva seis vezes esse tempo. Uma transação ainda pendente não fica ao alcance de um ataque desse tamanho, e a Alice & Bob registra essa ressalva no próprio material.

Quem já mostrou a chave não tem corrida para perder

O problema aparece nas moedas que já expuseram a chave pública no registro da rede. Para elas não existe transação em andamento a proteger, e o atacante tem todo o tempo do mundo. Um levantamento da Approx Foundation divulgado em 8 de outubro, no bloco 950.000, contou 6.900.573 bitcoins nessa condição, o equivalente a 34,45% de tudo que circula.

O número assusta menos quando aberto. Desse total, 3.331.639 bitcoins estão em carteiras ativas com pelo menos 1 bitcoin, em boa parte de corretoras, custodiantes e empresas que acompanham o assunto e podem trocar de endereço antes de qualquer ameaça virar prática. Outros 2.277.978 estão em endereços que nunca gastaram ou que não se movem há anos, reunidos em 73.658 grupos. É aí que o problema fica sem solução simples.

O próprio levantamento faz a ressalva que costuma faltar nas manchetes sobre o tema. Exposição, ali, é uma condição criptográfica, medida pela chave que já apareceu na rede. O risco real depende de o dono conseguir reagir, de a carteira ter tamanho que pague o custo do ataque e de haver tempo para migrar.

A mesma conta já foi 126 mil qubits e nove horas

A queda é o ponto do anúncio. Em 2023, pesquisadores da Alice & Bob calcularam o mesmo problema de curva elíptica em nove horas com 126.133 qubits, e o artigo está público no arXiv. A conta nova usa 29.588 qubits e 61,8 minutos, o que dá um quarto das máquinas e um oitavo do tempo.

O ganho não vem de um avanço de hardware isolado. A empresa credita o resultado ao tipo de qubit que fabrica, a um código de correção de erros mais eficiente e a uma reorganização das etapas da própria conta. O artigo também traz a estimativa para o RSA-2048, o sistema que protege boa parte das conexões bancárias na internet, em 22.593 qubits e 3,14 dias.

Não é um movimento isolado. As estimativas de quanto hardware um ataque desses exige vêm caindo a cada novo estudo, e esta matéria mostrou em 22 de outubro como o setor chegou ao ponto de os próprios laboratórios discutirem o que publicar e o que segurar.

Trocar a assinatura não é atualizar um aplicativo

Para o bitcoin, o alívio é parcial por um motivo prático. Substituir o sistema de assinatura por uma versão resistente a computador quântico mexe em camadas que já estão em uso. As transações ficam maiores, as carteiras precisam acompanhar o formato novo, e as moedas paradas em endereços antigos não têm quem as mova.

Nenhuma migração resolve essa parte. Os 2,28 milhões de bitcoins em endereços sem dono ativo para assinar a mudança seguem expostos qualquer que seja o prazo que a indústria adote. A recomendação da Alice & Bob é que a migração para defesas pós-quânticas comece antes de a máquina existir.