Квантовый апокалипсис отменяется: почему майнеры SHA-256 могут спать спокойно ещё ~15 лет
Что такое угроза в двух словах
Есть два основных квантовых «инструмента» для атак на криптографию: алгоритм Шора (Shor) и алгоритм Гровера (Grover). Shor решает задачи факторизации и дискретного логарифма экспоненциально быстрее — то есть угрожает RSA и схемам на эллиптических кривых (ECDSA, используемой в Bitcoin). Grover даёт квадратичное ускорение для поиска по неструктурированному пространству — теоретически он ускоряет взлом хешей, но только в √N, а не экспоненциально.
Почему Shor для Bitcoin — не «включил и всё»
Bitcoin использует ECDSA (secp256k1) для подписей: публичный ключ можно получить из приватного, и Shor теоретически может восстановить приватный ключ по публичному. Но — важное «но»: публичный ключ в биткоин-адресе обычно скрыт до момента траты (P2PKH: адрес — хеш публичного ключа). Это даёт временное окошко безопасности: пока вы не тратите средства и не раскрываете публичный ключ, прямой атаке Shor подвергнуться сложно.
Даже если публичный ключ виден (например, после транзакции), практическая реализация атаки требует масштабной, полнофункциональной квантовой машины с миллионами, а возможно и сотнями миллионов физических кубитов, плюс длинной серии ошибко-корректирующих операций. Технические барьеры — огромны: контроллеры, время выполнения, охлаждение, а главное — квантовая коррекция ошибок. Поэтому простой сценарий «сеть квантов взломала приватники всех адресов» нереалистичен в ближайшие годы.
Grover и SHA-256 — ускорение есть, но эффекта недостаточно
SHA-256 — это хеш-функция, и Grover теоретически даёт √N ускорение для поиска преписобраза. На практике это означает, грубо говоря, что 256-битная безопасность уменьшится до эквивалента 128-бит. Звучит страшно? На самом деле 128-битная защита остаётся мощной и далёкой от практики взлома. Более того, применение Grover к задачам майнинга не даёт линейного преимущества в реальной сети, потому что классический майнинг легко масштабируется параллельно: добавь ещё ASIC — получишь пропорционально больше попыток, тогда как квантовая машина должна выдерживать дорогостоящую коррекцию ошибок и не так trivially параллелится.
Кроме того, стохастическая природа PoW и сетевые задержки означают: даже если квант-ускорение появится, оно не станет гарантией получения блока — конкуренция останется. Словом, выигрыш в скорости — но выигрыш дорогой и не однозначный.
Какие алгоритмы более «квантоустойчивы»
Алгоритмы с сильной память-зависимостью и структурой, которую трудно эксплуатировать квантами, выглядят лучше. Примеры:
- Equihash / Ethash / RandomX — имеют элементы памяти и рандомизации, усложняющие эффективную реализацию Grover-подобной атаки. Memory-hard подходы снижают относительное преимущество квантов (они выигрывают в вычислениях, но не в памяти).
- Алгоритмы на основе доказуемо-трудных структур, где нет редукции к дискретному логарифму или факторизации, тоже более стойки.
Это не значит «абсолютно безопасны», но их выгодно применять, если цель — снизить риск будущего квантового ускорения.
Таймлайн: почему ~15 лет звучит разумно
Оценки варьируются, но консенсус практиков и исследователей таков: для реальной угрозы необходимы масштабные, исправно корректируемые квантовые компьютеры с огромным числом логических кубитов. Пройти от текущих прототипов (с десятками — сотнями физических кубитов и высокой ошибочностью) до таких машин — задача не только инженерная, но и экономическая. Скорее всего, потребуется порядка одного-двух десятилетий активного прогресса и значительных инвестиций. Поэтому сценарий «завтра всё взломают» крайне маловероятен.
Что делать майнерам и держателям прямо сейчас
- Не паниковать, но следить за развитием исследований — простая и разумная позиция.
- Не раскрывать публичные ключи: по возможности использовать адреса-разовые (не реюзить адреса).
- Оценивать PoW-алгоритм: если вы проектируете новый майнинг-пул или сеть, выбирайте алгоритмы с памятью и ориентированные на пост-квантовую устойчивость.
- Следить за стандартизацией пост-квантовой криптографии и готовиться к возможным апгрейдам протоколов (подписи — наиболее вероятная замена).
Итог — спокойный и технически аргументированный
Квантовые компьютеры меняют правила игры, но не мгновенно. Для взлома Bitcoin необходима не просто «большая квантовая машина», а чрезвычайно надёжная, масштабная, и дорогая инфраструктура. Grover ускорит хеш-поиск, но не разрушит SHA-256 одномоментно; Shor теоретически опасен для эллиптических подписей, но практические препятствия крупны. Поэтому утверждение «майнеры SHA-256 в опасности завтра» — неверно. На горизонте 10–20 лет риск растёт, и это повод готовиться, а не паниковать.
