Uma proposta de segurança quântica para Bitcoin publicada em abril por Jameson Lopp e cinco coautores ganhou um potencial mecanismo de recuperação por meio de tecnologia de provas de conhecimento zero. A BIP-361 propõe congelar bitcoins mantidos em endereços vulneráveis a ataques quânticos após um cronograma de vários anos, mirando mais de 34% da oferta do Bitcoin em que chaves públicas foram expostas na blockchain (on-chain), incluindo aproximadamente 1,1 milhão BTC atribuídos a Satoshi Nakamoto. O Projeto Eleven desenvolveu um método de recuperação prototipado que permite que usuários de carteiras modernas provem posse sem expor chaves privadas, respondendo às preocupações de que um congelamento significaria perda permanente. O desenvolvimento desloca o debate de se moedas vulneráveis devem ser congeladas para quais detentores poderiam recuperar com segurança ativos congelados depois que uma ameaça quântica futura se materializar.
A BIP-361 trata de um momento teórico conhecido como Q-Day, quando um computador quântico se torna capaz de derivar uma chave privada a partir de uma chave pública. A proposta sugere bloquear novos depósitos para endereços vulneráveis por 3 anos e congelar o que restar após 5 anos. Se o Q-Day ocorrer, qualquer endereço com uma chave pública exposta poderia ser gasto por um atacante, e a blockchain não distinguiria o atacante do proprietário real porque ambos poderiam produzir uma assinatura válida.
Project Eleven Builds Zero-Knowledge Recovery Prototype
O Projeto Eleven construiu um método de recuperação baseado em provas de conhecimento zero, uma técnica criptográfica que permite que um usuário prove que sabe algo sem revelar a informação subjacente. O caminho de recuperação se concentra em carteiras modernas construídas sobre árvores hierárquicas determinísticas de chaves, em que chaves são derivadas de material de chave de nível superior.
O protótipo, desenvolvido com Jim Posen, desenvolvedor líder do sistema de provas Binius, usa uma lacuna estrutural na arquitetura da carteira. Uma etapa de derivação endurecida usa uma função unidirecional, HMAC-SHA512, para produzir chaves filhas a partir do material de chave do pai. Um atacante que comprometesse um único endereço exposto após o Q-Day obteria aquela chave específica, mas não o material de carteira de nível superior usado para derivá-la.
Um usuário prova que conhece o material de chave acima do endereço na árvore de derivação da carteira, prova que ele deriva o endereço em questão e vincula a prova a uma mensagem específica que pode autorizar a migração. O próprio material de chave privada não é divulgado. Essa abordagem muda o argumento de recuperação ao permitir que detentores usando carteiras modernas baseadas em seed desbloqueiem moedas congeladas provando posse válida a montante, sem expor os dados secretos que protegem o restante da carteira.
Prototype Achieves 243-Millisecond Proof Generation on Consumer Hardware
O Projeto Eleven relata que seu protótipo gera uma prova em 243 milissegundos em um M5 MacBook Air usando 4 núcleos, verifica em 40 milissegundos e usa cerca de 2 gigabytes de memória sem GPU. A execução completa, incluindo construção do circuito, geração da prova e autochecagem, leva 910 milissegundos no CPU apenas. A equipe descreve isso como 16 vezes mais rápido na execução completa e cerca de 60 vezes mais rápido ao excluir o trabalho de configuração único que um provador real poderia reutilizar.
Os números de desempenho sugerem que provas de recuperação poderiam ser geradas por usuários comuns em hardware de consumo. Isso importa para o Bitcoin, onde qualquer caminho de migração em grande escala precisa ser utilizável por detentores em diferentes jurisdições, tipos de custódia e níveis de habilidade técnica.
O protótipo tem limites claros. Ele não foi auditado, oferece suporte a 3 tipos de endereços do Bitcoin em vez de Taproot, enraíza a prova na chave do tipo de moeda em vez da seed e não recupera moedas em nenhuma blockchain em tempo real. Essas ressalvas o mantêm longe de uma solução pronta para implantação, mas dão à BIP-361 uma rota técnica mais clara para congelamento reversível.
Pre-2012 Wallets Lack Derivation Structure for Recovery
O método de recuperação depende de uma carteira ter uma árvore de derivação acima do endereço. Carteiras determinísticas hierárquicas chegaram com a BIP-32, que foi atribuída em 11 de fevereiro de 2012. Antes disso, carteiras Bitcoin geravam chaves de forma independente e aleatória. Não havia frase-semente, nem caminho de derivação, nem chave pai situada acima de endereços mais antigos.
Satoshi minerou entre 2009 e 2010 e desapareceu da atividade pública até 2011. As moedas atribuídas a Satoshi estão em saídas antigas do tipo pay-to-public-key em que a chave pública é escrita diretamente na blockchain on-chain. Essas saídas foram geradas antes de estruturas de carteira baseadas em seed se tornarem padrão. Não existe material de carteira a montante para provar conhecimento porque a estrutura em árvore não existia.
O mesmo problema se aplica a muitas outras carteiras pré-2012, especialmente moedas dormentes dos primeiros anos do Bitcoin. São exatamente as moedas mais expostas a um ataque quântico futuro e entre as mais difíceis de recuperar sob o método de prova proposto. Uma prova funcional poderia transformar um congelamento em um bloqueio recuperável para carteiras baseadas em seed, mas não resolve os saldos mais antigos do Bitcoin, incluindo moedas atribuídas a Satoshi.
Recovery Path Creates Wallet Generation Divide in Governance Debate
Congelar moedas vulneráveis a ataques quânticos seria uma das mudanças mais controversas já propostas porque alteraria o tratamento de saldos existentes, incluindo detenções dormentes que podem pertencer a proprietários perdidos, inativos ou falecidos. Um caminho de recuperação crível reduz a força de uma objeção: a de que a BIP-361 destruiria permanentemente direitos de propriedade dos detentores afetados.
O caminho de recuperação cria uma linha divisória entre gerações de carteiras. Usuários modernos com frases-semente podem ter uma saída. Detentores iniciais de Bitcoin talvez não tenham. Esse corte deixa o Bitcoin com uma questão de política: se proteger a rede contra roubo quântico justifica congelar moedas que não podem ser recuperadas pelo mesmo método.
O protótipo muda os termos do argumento. O risco quântico do Bitcoin não é mais apenas sobre se moedas vulneráveis podem ser congeladas. É sobre quem recebe uma chave para reabri-las e quem nunca teve uma em primeiro lugar.
FAQ
O que a BIP-361 propõe para endereços de Bitcoin vulneráveis a ataques quânticos?
A BIP-361, publicada em abril por Jameson Lopp e cinco coautores, propõe bloquear novos depósitos para endereços vulneráveis a Bitcoin após 3 anos e congelar o que restar após 5 anos. O plano mira moedas em endereços nos quais chaves públicas já foram expostas on-chain, respondendo por mais de 34% da oferta do Bitcoin, incluindo aproximadamente 1,1 milhão BTC atribuídos a Satoshi Nakamoto.
Como funciona o método de recuperação de conhecimento zero?
O Projeto Eleven construiu um método prototipado de recuperação que usa provas de conhecimento zero para permitir que usuários provem que sabem o material de chave acima de um endereço na árvore de derivação de uma carteira determinística hierárquica. O usuário prova esse conhecimento a montante e que ele deriva o endereço em questão, vinculando a prova a uma mensagem que pode autorizar a migração, sem divulgar o próprio material de chave privada. O protótipo gera uma prova em 243 milissegundos em um M5 MacBook Air usando 4 núcleos.
Por que as moedas de Satoshi não podem ser recuperadas por esse método?
O método de recuperação depende de uma carteira ter uma estrutura de árvore de derivação, que chegou com a BIP-32, atribuída em 11 de fevereiro de 2012. Satoshi minerou entre 2009 e 2010 usando carteiras que geravam chaves independentemente e aleatoriamente, antes de estruturas de carteiras baseadas em seed se tornarem padrão. Não existe material de carteira a montante para provar conhecimento porque a estrutura em árvore não existia para carteiras pré-2012.
