УГРОЗА КРИПТОВАЛЮТНЫМ КОШЕЛЬКАМ ПРИ РАЗВИТИИ КВАНТОВЫХ КОМПЬЮТЕРОВ

THE THREAT TO CRYPTOCURRENCY WALLETS IN THE DEVELOPMENT OF QUANTUM COMPUTERS

Kudinova Ekaterina Petrovna

Student, Gubkin Russian State University of Oil and Gas (NRU),

Russia, Moscow

АННОТАЦИЯ

В статье рассматривается уязвимость криптовалютных кошельков в условиях развития квантовых вычислений. Анализируются криптографические алгоритмы ECDSA и SHA-256, составляющие основу безопасности современных блокчейн-систем, механизм их компрометации с применением алгоритмов Шора и Гровера, а также классификация адресов по степени квантовой уязвимости. Рассматриваются временны́е горизонты угрозы, постквантовые стандарты NIST 2024 года и практические меры защиты для пользователей и разработчиков.

ABSTRACT

The article examines the vulnerability of cryptocurrency wallets in the context of quantum computing development. It analyses the cryptographic algorithms ECDSA and SHA-256 underpinning modern blockchain security, the mechanism of their compromise using Shor's and Grover's algorithms, and address classification by degree of quantum risk. The threat timeline, NIST's 2024 post-quantum standards, and practical protective measures for users and developers are discussed.

Ключевые слова: квантовые компьютеры, криптовалютный кошелёк, блокчейн, ECDSA, постквантовая криптография, алгоритм Шора, NIST PQC, CRQC.

Keywords: quantum computers, cryptocurrency wallet, blockchain, ECDSA, post-quantum cryptography, Shor's algorithm, NIST PQC, CRQC.

1. Введение и криптографические основы безопасности кошельков

Криптовалюты за полтора десятилетия превратились из нишевого технического эксперимента в самостоятельный класс финансовых активов с совокупной капитализацией, устойчиво превышающей два триллиона долларов США. Сохранность средств в каждом кошельке определяется математической сложностью двух задач: дискретного логарифмирования на эллиптических кривых и нахождения прообраза хеш-функции. Именно эти задачи оказываются уязвимыми перед квантовыми алгоритмами, что переводит проблему из области теоретической криптографии в плоскость практической финансовой безопасности.

Биткоин, Ethereum и подавляющее большинство блокчейн-сетей применяют для защиты транзакций криптографию на эллиптических кривых (ECC). Закрытый ключ k — случайное 256-битное целое число; открытый ключ Q = kG получается скалярным умножением точки-генератора G на k. Обратная операция — нахождение k по Q и G (задача ECDLP) — для классических компьютеров практически неразрешима: лучшие известные алгоритмы имеют субэкспоненциальную сложность. 256-битный ключ ECC обеспечивает стойкость, сопоставимую с 3072-битным ключом RSA, при значительно меньшем размере [1].

Адрес кошелька — не сам открытый ключ, а его хеш. В биткоине применяется двойное хеширование: SHA-256(Q) → RIPEMD-160, затем добавляется байт версии, контрольная сумма и Base58Check-кодирование (P2PKH-адрес). Это создаёт важный защитный рубеж: пока с адреса не совершено ни одной исходящей транзакции, в блокчейне хранится лишь хеш открытого ключа, а не сам ключ. В момент первой исходящей транзакции полный открытый ключ появляется в unlocking script и навсегда остаётся в публичном блокчейне. Ethereum структурно уязвимее: адрес формируется однократным хешированием Keccak-256, и открытый ключ фигурирует при каждой транзакции. Таким образом, история транзакций адреса напрямую определяет его степень квантовой уязвимости [1].

2. Квантовые алгоритмы и классификация уязвимых адресов

Алгоритм Шора (1994) решает задачу дискретного логарифмирования за полиномиальное время O((log n)³), что несравнимо эффективнее лучших классических алгоритмов с субэкспоненциальной сложностью [2]. CRQC, располагающий публично известным открытым ключом Q, вычислит закрытый ключ k и получит полный контроль над средствами адреса. При этом блокчейн лишён механизмов оспаривания или отмены транзакций. Согласно квантово-ресурсному анализу, для взлома 256-битной кривой secp256k1 необходимо ~2330 логических кубитов при глубине схемы ~2,65·10⁹ элементарных вентилей [3]. Алгоритм Гровера (1996) снижает эффективную стойкость хеш-функций вдвое: для SHA-256 стойкость уменьшается с 256 до 128 бит — значение, считающееся достаточным по современным стандартам. Серьёзнее ситуация с RIPEMD-160: квантовая стойкость падает до 80 бит, что в долгосрочной перспективе недостаточно [2].

Адреса без исходящих транзакций (P2PKH, P2SH) — наиболее защищённая категория. В блокчейне хранится лишь хеш открытого ключа; атака требует последовательного инвертирования хеша (~2⁸⁰ квантовых операций алгоритмом Гровера) и только затем решения ECDLP алгоритмом Шора. Комбинированная атака существенно ресурсозатратнее.

Адреса с хотя бы одной исходящей транзакцией (reused addresses, P2PK) — открытый ключ навсегда записан в блокчейн и публично известен. Для атаки достаточно применить алгоритм Шора напрямую. Именно этот класс будет атакован в первую очередь при появлении CRQC. К особо уязвимой подкатегории относятся ранние биткоин-адреса формата P2PK, применявшегося Сатоши Накамото.

Адреса Ethereum — поскольку открытый ключ фигурирует при каждой транзакции, практически все активные адреса следует считать уязвимыми. По оценке Deloitte, около 25% биткоинов (порядка 4 млн BTC) хранится на адресах с раскрытым открытым ключом — при капитализации рынка это сотни миллиардов долларов потенциально уязвимых активов [4].

3. Временны́е горизонты угрозы и постквантовые решения

Оценка реальности угрозы требует разграничения физических и логических кубитов. Уровень ошибок на вентиль в лучших современных устройствах составляет ~10⁻³, тогда как надёжная реализация алгоритма Шора требует ~10⁻⁶. Квантовая коррекция ошибок позволяет создать один логический кубит из сотен физических: для ~2330 логических кубитов, необходимых для взлома secp256k1, потребуется один-несколько миллионов физических. Чип Google Willow (105 кубитов, 2024) впервые продемонстрировал снижение числа ошибок при увеличении числа кубитов — ключевой принцип масштабируемой коррекции. Тем не менее по оптимистичным экспертным оценкам разрыв с CRQC составляет не менее 10–15 лет.

Несмотря на это, концепция «harvest now, decrypt later» (HNDL) делает угрозу актуальной уже сегодня: злоумышленники способны накапливать данные публичного блокчейна для последующей расшифровки на будущем CRQC. Блокчейн публичен, неизменен и хранит все транзакции с момента создания первого блока — любая запись с раскрытым открытым ключом навсегда доступна для будущей атаки. В 2022 году NSA выпустило директиву CNSA 2.0, обязывающую федеральные структуры США завершить миграцию на постквантовые алгоритмы к 2035 году; NCSC Великобритании и европейское агентство ENISA опубликовали аналогичные дорожные карты [5].

В августе 2024 года NIST опубликовал три финальных постквантовых стандарта [6]. ML-DSA (FIPS 204) на основе модульных решёток является основным кандидатом для замены ECDSA в блокчейн-протоколах: размер подписи 2420–4595 байт против 64 байт у ECDSA, что означает увеличение нагрузки на блокчейн в 37–71 раз. ML-KEM (FIPS 203) предназначен для защищённого обмена ключами (аналог ECDH) — актуален для защиты коммуникаций узлов сети. SLH-DSA (FIPS 205) — подпись исключительно на основе хеш-функций: минимальные криптографические предположения, резервный вариант на случай компрометации задач на решётках, подпись до 49 856 байт.

Обсуждаются четыре архитектурных подхода к интеграции постквантовых алгоритмов. Гибридные схемы предполагают одновременное подписание транзакции ECDSA и ML-DSA, обеспечивая защиту в переходный период без разрыва совместимости. Хардфорк протокола означает полную замену ECDSA: технически осуществимо, но политически крайне сложно для Биткоина с его консервативным процессом принятия решений. В Ethereum механизм абстракции аккаунтов (EIP-7702) позволяет реализовать ML-DSA или SLH-DSA на уровне смарт-контракта без изменения базового протокола. Наконец, STARK-доказательства с нулевым разглашением не используют асимметричную криптографию вовсе, опираясь исключительно на стойкость хеш-функций, — это долгосрочный вектор развития Ethereum.

4. Практические рекомендации и заключение

Для пользователей наиболее действенной мерой является принцип однократного использования адреса: после каждой исходящей транзакции открытый ключ раскрыт, и дальнейшее хранение средств на том же адресе переводит его в уязвимую категорию. Рекомендуется использовать современные форматы P2WPKH (SegWit) и P2TR (Taproot) в Биткоине; устаревшие P2PK-адреса следует считать уязвимыми уже сегодня. Необходимо отслеживать дорожные карты постквантовой миграции используемых платформ и своевременно переводить активы: промедление в момент активной квантовой угрозы может означать, что злоумышленник опередит легитимного владельца в трате средств с уязвимого адреса.

Для разработчиков и организаций приоритетным является проведение инвентаризации криптографических зависимостей — идентификация всех точек применения ECDSA и RSA в инфраструктуре, включая не только подписание транзакций, но и TLS-соединения узлов, системы аутентификации и шифрование резервных копий. Референсные реализации алгоритмов ML-DSA и ML-KEM доступны в библиотеках Open Quantum Safe (liboqs) и PQClean. Для критических систем целесообразно уже сейчас применять гибридные схемы, совмещающие классические и постквантовые алгоритмы, и участвовать в обсуждении EIP и BIP, посвящённых постквантовой миграции протоколов.

Проведённый анализ показывает: квантовая угроза криптовалютным кошелькам имеет чётко определённый механизм и измеримые временны́е горизонты. CRQC не существует и по техническим оценкам потребует не менее 10–15 лет разработки. Однако публичная неизменяемость блокчейна и концепция HNDL не оставляют возможности откладывать подготовку. Нормативная база к действию уже сформирована: NIST опубликовал финальные стандарты в 2024 году, ведущие государственные агентства установили конкретные сроки миграции. Промедление при реализации угрозы может оказаться необратимым — в отличие от традиционного банкинга, блокчейн не предоставляет механизма возврата скомпрометированных средств.

Список литературы:

1. Antonopoulos A. M. Mastering Bitcoin: Programming the Open Blockchain. — 3rd ed. — Sebastopol: O'Reilly Media, 2023. — 416 p.
2. Shor P. W. Polynomial-time algorithms for prime factorization and discrete logarithms on a quantum computer // SIAM Journal on Computing. — 1997. — Vol. 26, No. 5. — P. 1484–1509.
3. Roetteler M. et al. Quantum Resource Estimates for Computing Elliptic Curve Discrete Logarithms // Lecture Notes in Computer Science. — 2017. — Vol. 10625. — P. 241–270.
4. Deloitte. Quantum computers and the Bitcoin encryption [Электронный ресурс]. — URL: https://www2.deloitte.com/us/en/pages/risk/articles/quantum-computers-and-the-bitcoin-encryption.html (дата обращения: 20.03.2024).
5. National Security Agency. Commercial National Security Algorithm Suite 2.0 (CNSA 2.0) Cybersecurity Advisory. — Washington: NSA, 2022. — 7 p.
6. National Institute of Standards and Technology. Post-Quantum Cryptography: FIPS 203, FIPS 204, FIPS 205. — Gaithersburg: NIST, 2024.