Quem armar a armadilha contra o roubo quântico pode dobrar os bitcoins expostos

Cory Fields, desenvolvedor do Bitcoin Core no Digital Currency Initiative, do MIT, colocou na lista de discussão do projeto, na quarta-feira, 4, três mecanismos que não mexem na criptografia do bitcoin e tentam mudar o preço do roubo. A ideia dele é obrigar quem gasta uma moeda de formato antigo, exposta ao computador quântico, a depositar a mesma quantia em moedas de um formato novo. O dono original recupera o que é seu e fica com o depósito se conseguir provar, depois, que já conhecia a chave privada antes do ataque.

A primeira das três se chama Quantum Landmines, armadilhas quânticas. Antes de o computador quântico conseguir quebrar assinaturas, o dono cria uma moeda pequena em formato novo e esconde nela uma prova de que conhece a chave da moeda antiga. A prova fica invisível até ser usada. Quando a moeda antiga é gasta, pelo dono ou por um ladrão, as regras novas exigem garantia de valor equivalente, e o resultado é uma transação travada por um prazo, como 30 dias. Nesse intervalo, quem apresentar a prova leva tudo. Um ladrão não tem prova nenhuma e espera. O dono aparece com a dele e fica com as duas moedas.

A armadilha que compensa armar

Há um efeito colateral que o próprio autor aponta. Como a prova vale dinheiro, o dono de moedas antigas passa a ter motivo para deixá-las expostas e atrair um ladrão, dobrando o saldo caso o ataque aconteça. E, como a moeda que guarda a armadilha não se distingue das demais moedas seguras, ninguém consegue saber quantas das vulneráveis estão protegidas. Fields diz que a confusão é intencional, porque impede a conta no dia em que o ataque se tornar possível. O censo publicado no fim de outubro contou 6.900.573 bitcoins com a chave pública já revelada, 34,45% do que circula, e a proposta torna essa contagem inútil.

O leilão para moedas sem dono

Muitas chaves antigas estão perdidas, e um ladrão pode supor que essas moedas não têm armadilha. Para esse caso Fields desenhou o Staked Auction, um leilão com depósito prévio. Antes da ameaça, qualquer pessoa pode apostar moedas seguras em uma moeda antiga específica, com o valor da aposta embutido. Quando o gasto acontece, o atacante precisa pôr garantia equivalente, e o apostador revela a aposta e leva parte dessa garantia. As moedas roubadas não voltam para ninguém, porque o desenho as queima. O que muda de mão é o depósito de quem tentou o roubo.

A terceira ideia dispensa a aposta antecipada e partiu de uma sugestão de Neha Narula, que dirige o Digital Currency Initiative. O Sats Auction usa um formato conhecido como leilão de dólar. Toda tentativa de gastar uma moeda antiga abre um leilão depois do prazo da armadilha. O maior lance fica com as moedas e paga o valor ofertado, o segundo maior perde o que ofertou sem receber nada. Como ninguém quer terminar em segundo, os lances sobem, e um atacante pode acabar perdendo todo o depósito. O dono original, que nesse formato é indistinguível de um ladrão, também pode abrir o leilão e recuperar parte do valor.

O que o autor não decidiu

Fields não apresenta a proposta como solução fechada. Chamou as três de exercícios de raciocínio e deixou de fora a engenharia de como ativá-las por uma mudança de regras do protocolo, que ele acredita ser possível. As decisões em aberto estão listadas no próprio texto. Proporção da garantia, lances mínimos e máximos, intervalo entre lances, destino das moedas de quem perde e se a aposta de quem participa volta ou é confiscada. Nem o resultado desejado está definido. O autor não sabe se o objetivo é impedir a tentativa desde o começo, estimular as apostas aceitando que às vezes o atacante ganhe, ou distribuir as moedas de forma parecida com um sorteio.

Há também uma questão de tempo. O resultado desejado pode mudar depois que o ataque se tornar viável, à medida que quem gasta moedas antigas passa a ser mais provavelmente um ladrão do que o dono. Por enquanto existe uma mensagem em uma lista de discussão, sem código, sem número de proposta e sem data de votação.