Claude заставляет биткойн и банки ускориться за 53 часа

Anthropic оптимизировала квантовые схемы для сложения точек эллиптической кривой с помощью ИИ, значительно снизив количество вентилей Toffoli, но это лишь модульное улучшение. Оценки квантового взлома биткойна secp256k1 продолжают снижаться, его устойчивость к квантовым атакам трудно координировать, в то время как банки имеют четкие планы перехода на постквантовые криптографические методы. Сколько времени потребуется квантовым компьютерам для взлома подписей биткойна? Чем отличаются зашифрованные соединения банковских сайтов и подписи в кошельках биткойна? Что такое планы перехода на постквантовую криптографию?

Автор: Conflux

Зашифрованные соединения банковских сайтов и подписи в кошельках биткойна основаны на одной и той же категории открытых ключей: эллиптических кривых или RSA.

В прошлую пятницу Anthropic опубликовала исследование: они заставили Claude Mythos 5 работать непрерывно 53 часа, переработав квантовую схему сложения точек эллиптической кривой. Этот этап занимает большую часть квантовых битов и затрат на выполнение при квантовой атаке на подписи биткойна.

Чтобы квантовый компьютер смог взломать подписи биткойна, необходимо одновременно выполнить два условия: машина должна быть достаточно мощной, а схема — экономной. Машина пока еще далека от этого. Но в плане схемы ИИ только что переработал самый затратный элемент.

Какой шаг был оптимизирован

Самая дорогая часть сложения точек — это обратное преобразование по модулю. Традиционные компьютеры используют алгоритм под названием divsteps, который работает очень быстро. Но при переносе на квантовую схему возникают проблемы: квантовые вычисления должны быть обратимыми, и каждый шаг, выбранный из ветви, должен быть сохранен, чтобы можно было вернуться назад и очистить черновик. Хранение этих записей требует большого количества квантовых битов.

Claude обнаружил, что записи можно не сохранять. После завершения каждого шага оставшаяся пара чисел сама по себе содержит достаточно информации, чтобы восстановить, по какой ветви они прошли. Сначала он попробовал несколько простых правил, но все они оказались неэффективными для 256-битных чисел. Затем он перешел к математическим выводам, доказав набор алгебраических тождеств, а затем с помощью Lean формализовал основные свойства divsteps.

В конечном итоге разработанная схема использует примерно 12% больше квантовых битов, чем предыдущая самая экономная схема, а количество вентилей Toffoli (основной показатель временных затрат в квантовых вычислениях) снизилось до примерно один семнадцатый.

Аналогичный подход (запись в код, автоматическая оценка, итерации) был применен к еще 7 задачам, каждая из которых принесла разные улучшения. Самое значительное из них снизило произведение количества квантовых битов и вентилей на 39 раз.

Anthropic предоставила контрольный пример: в квантовой химии одна оценка снизилась с 50 триллионов вентилей Toffoli до 340 миллионов, над ней работали несколько исследовательских групп в течение 8 лет. На этот раз это было 53 часа непрерывной работы.

Один семнадцатый — это граница

Здесь нужно разделить два числа: одно — это стоимость определенного модуля схемы, другое — стоимость полной атаки. Снижение первого не означает, что второе снизится в той же пропорции.

Во-первых, оптимизирован только один модуль. От ввода открытого ключа биткойна до восстановления закрытого ключа есть и другие вычислительные шаги, затраты на исправление ошибок, архитектура оборудования и время выполнения. Только после того, как новая схема будет интегрирована в полный план атаки и пересчитаны все ресурсы, можно будет узнать, сколько в конечном итоге сэкономлено.

Во-вторых, один семнадцатый имеет четкого соперника. Он сравнивается с планом Luo и др.: около 69,5 миллиона вентилей Toffoli, 838 логических квантовых битов. Схема Claude использует около 4 миллионов вентилей, 935.

Если поменять соперника, вывод изменится. Схема Schrottenloher в этом году требует около 1,9 миллиона вентилей, но нуждается в 1,446 логических квантовых битах. Количество вентилей в схеме Claude в 2,1 раза больше, но квантовых битов на 35% меньше. Что важнее — количество вентилей или квантовых битов, зависит от конкретных ограничений оборудования. Это больше похоже на дополнительную опцию дизайна, а не на полное превосходство.

В-третьих, схема допускает очень небольшое количество неудачных входов. Допустимая частота отказов составляет максимум 2×10⁻⁴ для каждого сложения точек, что позволяет сэкономить ресурсы. Доказательство Lean охватывает только часть свойств divsteps и не охватывает всю схему и оценку количества вентилей.

В-четвертых, схема не была протестирована на каком-либо квантовом оборудовании. Проверка основывается на автоматической оценке, которая симулирует проверку кандидатных схем. Anthropic также признает, что Claude изначально был слишком осторожен и многократно проверял уже подтвержденные выводы, исследователи требовали, чтобы он одновременно следовал нескольким маршрутам и время от времени напоминали ему о необходимости расширить свои идеи.

Таким образом, это исследование не позволяет утверждать, что «время взлома биткойна сократилось в семнадцать раз». Оно доказывает, что в ключевом модуле существующий дизайн имеет очевидное пространство для оптимизации, и ИИ уже может участвовать в поиске этих улучшений.

Этот замок уже ослаблялся трижды

Биткойн использует кривую secp256k1. Оценки ее взлома за последние несколько лет постоянно снижаются.

В 2017 году оценка исследователей Microsoft составила около 2330 логических квантовых битов, 2,3×10¹¹ вентилей Toffoli.

В конце марта этого года команда Google Quantum AI (в которую входят такие партнеры, как Justin Drake из Ethereum Foundation и Dan Boneh из Стэнфордского университета) представила два варианта схемы: один требует менее 1200 логических квантовых битов, менее 90 миллионов вентилей, другой — менее 1450 логических квантовых битов, менее 70 миллионов вентилей, и оба требуют менее 500 тысяч физических квантовых битов. В сценарии «предварительно вычислить половину и ждать появления цели» время выполнения составляет около 9 минут. В сентябре квантовая компания IonQ снова оценила, что с использованием около 20 тысяч ионных квантовых битов это займет около 26 дней.

С 2017 года до марта этого года прошло почти 9 лет, а до сентября новая оценка IonQ была получена всего через полгода.

Что касается оборудования, Anthropic в оригинале написала: в настоящее время квантовые компьютеры имеют всего несколько сотен или тысяч квантовых битов. Доказанные логические квантовые биты варьируются от десятков до почти сотни. Согласно записям наград Q-Day от Project Eleven в апреле этого года, максимальный ключ эллиптической кривой, взломанный на реальном квантовом оборудовании, составляет всего 15 бит.

В другой статье этого года под названием ECDSA.Fail, оптимизировалась также стадия сложения точек. Project Eleven также заявляет, что следующий раунд вызовов будет сосредоточен на пересечении передовых ИИ моделей и квантового криптоанализа.

Исследование Anthropic нельзя напрямую складывать с оценками Google и IonQ: первое — это проектирование одного модуля, а последние два — это оценка ресурсов для полной атаки.

Чья модернизация идет медленнее

У биткойна нет CEO, который мог бы приказать о модернизации.

BIP-360 был включен в официальный репозиторий предложений 11 февраля и до сих пор остается проектом, он предлагает только новый тип адреса, на который пользователи могут перейти добровольно. Более радикальный BIP-361 был предложен разработчиками Jameson Lopp и др., который предполагает окончательную остановку признания старых подписей, что вызывает споры о том, следует ли замораживать старые монеты, которые долгое время не использовались. Соавтор BIP-360 Ethan Heilman оценивает, что даже если переход начнется сейчас, полная миграция биткойна на постквантовые методы займет около 7 лет.

Уязвимость значительна. Согласно статистике Glassnode за май этого года, около 6,04 миллиона биткойнов с открытыми публичными ключами составляют 30,2% от общего объема выпущенных.

Ethereum действует более активно: в январе этого года была создана специальная команда по безопасности после квантовых атак, а Vitalik Buterin в феврале представил дорожную карту.

А как насчет банков? Переходный график NIST (Национального института стандартов и технологий США) все еще находится на стадии проекта: алгоритмы с силой 112 бит, такие как RSA-2048, будут выведены из обращения после 2030 года; все уязвимые для квантовых атак алгоритмы открытых ключей будут запрещены после 2035 года. SWIFT планирует запустить SwiftNet 8.0 с поддержкой постквантовой криптографии в 2027 году. Исследование сложения точек касается secp256k1, но будет ли у него такой же эффект на кривые, часто используемые банками?

Проблема банков заключается в том, что, как сообщает BankInfoSecurity, большинство банков не могут четко объяснить, где находятся их криптографические развертывания.

Позиция BlackRock более близка к «раскрытому». В мае 2025 года в регистрационных документах биткойн ETF (IBIT) они впервые упомянули о квантовых рисках, когда чистые активы фонда составляли около 64 миллиардов долларов. Аналитик Bloomberg Intelligence James Seyffart тогда напомнил, что такие раскрытия должны перечислять все риски, включая маловероятные.

Что касается цен, на рынке нет единого мнения. Некоторые аналитики считают, что квантовые риски являются одной из причин ослабления биткойна по сравнению с золотом. Аналитик Glassnode James Check считает, что слабые цены в основном вызваны продажами долгосрочных держателей; разработчик биткойна Matt Corallo указывает, что если квантовые риски действительно являются основной причиной, Ethereum должен быть намного сильнее биткойна.

Кто заплатит за модернизацию

Банкам необходимо провести инвентаризацию, замену, тестирование совместимости и миграцию исторических систем, что является огромной работой, но бюджет и график могут быть определены руководством, а регулирующие органы и поставщики могут помочь. Расходы централизованы, пути ясны.

Расходы биткойна распределены между всеми. Кошельки, биржи, операторы узлов и держатели монет должны модернизироваться самостоятельно, никто не может гарантировать синхронизацию. Активные держатели могут снизить риски, но те, кто потерял закрытые ключи или больше не использует старые кошельки, не имеют такого выбора.

Выигрыши с обеих сторон также различаются. Компании квантового оборудования могут повысить эффективность своих машин с помощью более эффективных алгоритмов; переход на постквантовую криптографию станет новым бизнесом для поставщиков безопасности.

Следующие «53 часа»

Метод Anthropic очень прост: сформулировать проблему в виде кода, сопроводить автоматической оценкой, сосредоточиться на одном показателе и позволить модели непрерывно итеративно работать несколько дней. Anthropic в оригинале заявила, что коды исправления ошибок, декодеры и управление оборудованием также имеют аналогичные характеристики, и ИИ может совместно оптимизировать, создавая целую отказоустойчивую квантовую вычислительную машину для конкретной задачи.

На данный момент эти уровни в основном проектируются отдельно. Если следующий раунд «53 часа» будет направлен на эти уровни, сколько всего это обойдется, пока никто не объявил. Это не означает, что ИИ скоро сможет самостоятельно разработать квантовый компьютер для взлома биткойна, исследования все еще ограничены определением задач, методами оценки и областью проверки.

Но можно представить, что на координацию миграции потребуется несколько лет, в то время как кривая затрат на атаки не ждет.

Банки могут продвигаться по графику 2030 года, биткойн также уже имеет проект. Но часть монет не будет активно мигрировать и, возможно, у них больше нет закрытых ключей. К тому времени, когда обновление станет неизбежным, судьба этих старых активов с открытыми публичными ключами будет решена кем-то другим?