El principio de gravedad cuántica
Por JP Aumasson
Los inversores en criptomonedas están preocupados. Las
computadoras cuánticas (CC)
podrían calcular las claves privadas a partir de las claves públicas de los
usuarios de Bitcoin y luego firmar transacciones en su nombre para enviar
bitcoins a otros destinatarios.
Eso sí, si las empresas de CC logran escalar de mil a un millón de
qubits.
Llevan una década diciendo que tardarán entre cinco y diez años. Soy lo
suficientemente optimista como para dudar que alguna vez vea una CC así en mi
vida. Tengo 43 años y no necesito financiación de capital riesgo ni
subvenciones para investigación.
Pase lo que pase, tanto si estas CC aparecen la semana que viene como en el
próximo milenio, ninguna CC se utilizará jamás para robar bitcoins. A esto
lo llamé el «principio de gravedad cuántica».
Examinemos los supuestos que lo sustentan. El argumento se generaliza a todas
las criptomonedas, excepto a las que
ya utilizan firmas post-cuánticas (como Algorand) o las
pruebas que ha estado realizando Ethereum como ETHDILITHIUM.
Bitcoin «vulnerable»
El protocolo criptográfico SHA-256, utilizado para la seguridad de la red
Bitcoin, es irrompible para las computadoras actuales. Sin embargo, los
expertos prevén
que, en una década, la computación cuántica podrá descifrar los protocolos de
cifrado existentes.
Cuatro millones de bitcoins, o el 25% del total, serían vulnerables a un
ataque con una computadora cuántica debido a que sus propietarios utilizan
claves públicas sin cifrar o reutilizan direcciones BTC. La computadora
cuántica tendría que ser lo suficientemente potente como para descifrar la
clave privada a partir de la dirección pública sin cifrar. Si la clave privada
se descifra con éxito, el atacante puede robar los fondos del usuario
directamente de su monedero.
Sin embargo, los expertos prevén que la potencia de cálculo necesaria para
llevar a cabo estos ataques sería millones de veces superior a la de las
computadoras cuánticas actuales, que cuentan con menos de 100 qubits. No
obstante, los investigadores en el campo de la computación cuántica han
planteado la hipótesis de que el número de qubits en uso podría alcanzar los
10 millones en los próximos 10 años.
Si Bitcoin migra a firmas post-cuánticas, protegiendo las direcciones
heredadas, los sistemas cuánticos no podrían atacarlo. Por lo tanto,
asumiremos que
Bitcoin sigue utilizando, por ejemplo,
ECDSA/Schnorr-Bitcoin
y
Taproot, no Bitcoin post-cuántico.
Firmas Schnorr
Las
firmas Schnorr
son un tipo de esquema distinto que operan de manera similar al Elliptic Curve
Digital Signature Algorithm que utilizamos en la actualidad, pero presentan
una serie de ventajas respecto a éste. Las firmas Schnorr.
En realidad, son anteriores al ECDSA -lo que ha llevado a muchos a preguntarse
por qué no fueron integradas en Bitcoin desde un inicio. Una posible
explicación es que
Claus P. Schnorr
–el creador del esquema– las patentó. Las patentes expiraron a principios de
2008, unos meses antes de la publicación del whitepaper de Bitcoin; pero el
esquema no se había estandarizado de forma generalizada. Por ello, Satoshi
Nakamoto optaría por el ECDSA, más ampliamente aceptado y de código abierto.
¿Cuándo se implementaron las firmas Schnorr en Bitcoin?
El 14 de noviembre de 2021, en el bloque 709.632, se activó la actualización
soft fork Taproot, incorporando las
firmas Schnorr mediante BIP-340. Si bien la adopción de las firmas Schnorr ha sido gradual, se anticipa que
gane impulso a medida que desarrolladores y usuarios reconozcan cada vez más
los beneficios potenciales que aporta esta tecnología.
Seguridad contra computadoras cuánticas con taproot
Tim Ruffing publicó
un
artículo, donde analiza la seguridad de los compromisos de taproot frente a la
manipulación por parte de CC. Examina si los compromisos de taproot
conservarían las propiedades de vinculación y ocultamiento que poseen frente a
computadoras clásicas. Concluye que:
Un atacante cuántico necesita realizar al menos 2^81 evaluaciones de SHA256
para crear una salida de taproot y poder abrirla a una raíz Merkle inesperada
con una probabilidad de 1/2. Si el atacante solo dispone de máquinas cuánticas
cuya secuencia más larga de cálculos de SHA256 está limitada a 2^20, entonces
necesita al menos 2^92 de estas máquinas para obtener una probabilidad de
éxito de 1/2.
Si existiera un compromiso de taproot frente a la manipulación por parte de
computadoras cuánticas, entonces se puede añadir resistencia cuántica a
Bitcoin añadiendo opcodes de verificación de firma resistentes a la
computación cuántica. Una actualización (julio 2025) de
BIP360
pay-to-quantum-resistantrealiza precisamente este cambio.
Avances públicos en sistemas cuánticos
No pasaremos de mil a un millón de cúbits en una semana. El progreso se
manifestará con señales visibles: más cúbits físicos y lógicos, tiempos de
coherencia más largos, tasas de error más bajas, demostraciones de tolerancia
a fallos, etc.
Si nos acercamos peligrosamente a un sistema cuántico capaz de vulnerar
Bitcoin, los mercados reaccionarán y se desplomarán. El valor de Bitcoin se
desplomará. Mucho más si se confirma la existencia de dicho sistema cuántico.
No tiene sentido robar algo sin valor.
Con avances en CC privada
¿Qué pasaría si el gobierno chino, estadounidense, ruso, suizo o nepalí
estuviera construyendo un centro de datos en secreto?
En ese caso, dicho gobierno tendría las siguientes opciones:
-
Usar el centro de datos para descifrar información de inteligencia cifrada y
comprometer sistemas extranjeros, manteniendo la capacidad en secreto. -
Robar bitcoins, obteniendo millones, pero… Revelando la existencia de un
centro de datos, ya que las grandes transferencias y conversiones
sospechosas de bitcoins a moneda fiduciaria no pasarían desapercibidas. -
Hacer que el precio del bitcoin se desplome, disminuyendo las ganancias
potenciales.
Los gobiernos suelen cometer errores, pero ningún servicio de inteligencia
elegiría la opción 2. Optarían directamente por la opción 1.
La ventaja estratégica supera con creces el beneficio monetario.
¿Pero qué pasaría si solo se centraran en cuentas abandonadas y movieran
pequeñas cantidades de dinero para pasar desapercibidos?»
La relación costo-beneficio es aún peor. Ganancias insignificantes (en
relación con el presupuesto del gobierno) y un riesgo significativo de ser
detectados.
Partimos de la base de que el atacante es racional y está motivado únicamente
por el dinero y la inteligencia. ¿Y si el adversario es un villano de cómic
que solo quiere ver el mundo arder provocando el colapso de las criptomonedas?
No descarto esta posibilidad. Pero un personaje así no robaría bitcoins (de
forma rentable). Mucha gente perdería «valor» por la caída de los precios,
pero sus criptomonedas no serían robadas.
¿Y si usas multifirmas, MPC (Multi-Party Computation) o HSM (Hardware Security
Module)?
No cambia absolutamente nada. Las claves públicas son públicas.
Sin avances en CC
Esta es una amenaza mayor. No hay avances reales en CC, pero sí en una
operación psicológica:
- Vender Bitcoin en corto.
-
Fabricar «pruebas» de una CC: documentos falsificados, filtraciones falsas,
sobornos a informantes, influencers pagados, vídeos deepfake, un podcast de
Joe Rogan. - Observar cómo se desploman los mercados y obtener beneficios.
En cualquier caso, este escenario es mucho más probable que el robo de tus
criptomonedas por parte de una Computadora Cuántica actual.
Fuente:
JP Aumasson