Claude змусив біткоїн та банки пришвидшити процес за 53 години

Anthropic оптимізував квантові схеми для додавання точок еліптичних кривих за допомогою ШІ, значно зменшивши кількість воріт Toffoli, але це лише модульне вдосконалення. Оцінки квантового зламу біткоїна secp256k1 продовжують знижуватися, його стійкість до квантових атак важко координувати, тоді як банки мають чіткі плани переходу на постквантові криптографії. Скільки ще часу потрібно квантовим комп'ютерам для зламу підписів біткоїна? Які відмінності між зашифрованими з'єднаннями банківських сайтів та підписами в біткоїн-гаманцях? Що таке плани переходу на постквантову криптографію?

Автор: Conflux

Зашифровані з'єднання банківських сайтів та підписи в біткоїн-гаманцях базуються на одній і тій же категорії криптографії з відкритим ключем: еліптичних кривих або RSA.

Минулої п'ятниці Anthropic опублікував дослідження: вони запустили Claude Mythos 5 протягом 53 годин, переробивши квантову схему додавання точок еліптичних кривих. Цей етап займає більшість квантових бітів та витрат на виконання під час квантової атаки на підписи біткоїна.

Щоб квантовий комп'ютер зміг зламати підпис біткоїна, потрібно одночасно виконати дві умови: машина має бути достатньо потужною, а схема — економною. Машина наразі ще далека від цього. Але в плані схеми ШІ щойно перепроектував один з найвитратніших етапів.

Який етап вдалося зекономити

Найдорожчою частиною додавання точок є обернення модуля. Традиційні комп'ютери використовують алгоритм під назвою divsteps, який працює дуже швидко. Перенесення його на квантову схему ускладнює ситуацію: квантові обчислення повинні бути оборотними, і кожен вибраний шлях потрібно зберігати, щоб потім можна було повернутися назад і очистити чернетку. Зберігання цих записів займає велику кількість квантових бітів.

Claude виявив, що записи не потрібно зберігати. Після завершення кожного обчислення пара чисел, що залишилася, сама по собі містить достатньо слідів, щоб відновити, який шлях було обрано. Спочатку він спробував кілька простих правил, але всі вони виявилися неефективними на 256-бітних числах. Потім він перейшов до математичних висновків, довів набір алгебраїчних тотожностей і формалізував основні властивості divsteps за допомогою Lean.

В результаті було розроблено схему, яка використовує приблизно 12% більше квантових бітів, ніж попередня найекономніша схема, а кількість воріт Toffoli (основний показник витрат часу в квантових обчисленнях) зменшилася до приблизно однієї сімнадцятої.

Така ж методика (записана в коді, автоматичне оцінювання, циклічна ітерація) була застосована до ще 7 завдань, кожне з яких покращено завдяки різним відкриттям. Найбільше зниження зменшило добуток кількості квантових бітів та воріт на 39 разів.

Anthropic самі надали порівняння: в квантовій хімії одна оцінка зменшилася з 50 трильйонів воріт Toffoli до 340 мільйонів, над якою працювали кілька дослідницьких груп протягом 8 років. Цього разу це було 53 години безперервної роботи.

Межа однієї сімнадцятої

Тут потрібно розділити два числа: одне — це вартість певного модуля схеми, інше — вартість повної атаки. Зниження першого не означає, що друге знижується в такій же пропорції.

По-перше, оптимізовано лише один модуль. Від введення відкритого ключа біткоїна до відновлення закритого ключа є інші обчислювальні етапи, витрати на виправлення помилок, апаратна архітектура та час виконання. Тільки після того, як нову схему буде інтегровано в повну атаку та перераховано всі ресурси, можна буде дізнатися, скільки врешті-решт зекономлено.

По-друге, одна сімнадцята має чіткого суперника. Вона порівнюється з планом Luo та інших: приблизно 69,5 мільйона воріт Toffoli, 838 логічних квантових бітів. Схема Claude складається з приблизно 4 мільйонів воріт, 935.

Зміна суперника змінює висновок. Схема Schrottenloher цього року потребує лише близько 1,9 мільйона воріт, але вимагає 1,446 логічних квантових бітів. Кількість воріт у Claude в 2,1 рази більша, але квантових бітів менше приблизно на 35%. Яке з цих двох показників важливіше, залежить від конкретних обмежень апаратного забезпечення. Це більше схоже на додаткову можливість дизайну, а не на повне переважання.

По-третє, схема допускає дуже незначну кількість невдалих входів. Допустима ймовірність невдачі становить максимум 2×10⁻⁴ для кожного додавання точок, що дозволяє зекономити ресурси. Доказ Lean також охоплює лише частину властивостей divsteps, не охоплюючи всю схему та оцінку кількості воріт.

По-четверте, схема не тестувалася на жодному квантовому апаратному забезпеченні. Перевірка базується на автоматичній оцінці кандидатних схем. Anthropic також визнає, що Claude на ранніх етапах був занадто обережним, повторно перевіряючи вже підтверджені висновки, дослідники вимагали, щоб він одночасно проходив кілька шляхів і час від часу нагадували йому про необхідність розширити свої ідеї.

Отже, це дослідження не може стверджувати, що «час зламу біткоїна скоротився в сімнадцять разів». Воно доводить, що в ключових модулях існує значний простір для оптимізації, і ШІ вже може брати участь у пошуку цих покращень.

Цей замок вже тричі відкривався

Біткоїн використовує криву secp256k1. Оцінки її зламу протягом останніх кількох років постійно знижуються.

У 2017 році оцінка дослідників Microsoft становила приблизно 2,330 логічних квантових бітів, 2.3×10¹¹ воріт Toffoli.

На кінець березня цього року команда Google Quantum AI (до складу якої входять Justin Drake з Ethereum Foundation та Dan Boneh зі Стенфордського університету) представила два набори схем: один з яких потребує менше 1,200 логічних квантових бітів, менше 90 мільйонів воріт, а інший — менше 1,450 логічних квантових бітів, менше 70 мільйонів воріт, і обидва потребують менше 50 тисяч фізичних квантових бітів. У сценарії «попередньо обчислити половину, чекати на появу цілі» час виконання становить приблизно 9 хвилин. У вересні компанія IonQ знову оцінила, що з використанням приблизно 20 тисяч іонних квантових бітів можна виконати обчислення за приблизно 26 днів.

З 2017 року до березня цього року пройшло майже 9 років, а до вересня нова оцінка IonQ з'явилася лише через півроку.

Що стосується апаратного забезпечення, Anthropic у своєму тексті зазначає: наразі квантові комп'ютери мають лише кілька сотень до кількох тисяч квантових бітів. Вже продемонстровані логічні квантові біти коливаються від десятків до майже сотні. Згідно з записами нагороди Q-Day Project Eleven у квітні цього року, найбільший еліптичний ключ, зламаний на реальному квантовому апаратному забезпеченні, становив лише 15 біт.

Ще одна стаття цього року під назвою ECDSA.Fail зосередилася на оптимізації того ж етапу додавання точок під заголовком «Відкрите автоматизоване дослідження». Project Eleven також зазначає, що наступний раунд викликів зосередиться на перетині передових моделей ШІ та квантового криптоаналізу.

Дослідження Anthropic не можна безпосередньо порівнювати з оцінками Google та IonQ: перше є дизайном одного модуля, тоді як останні два є оцінками ресурсів для повної атаки.

Чия модернізація повільніша

Біткоїн не має CEO, тому не може віддати наказ про модернізацію.

BIP-360 було включено до офіційного пропозиційного реєстру 11 лютого, і досі залишається проектом; воно пропонує лише новий тип адреси, до якого користувачі можуть добровільно перейти. Більш радикальне BIP-361 було запропоновано розробниками Jameson Lopp та іншими, яке передбачає остаточну відмову від визнання старих підписів, що викликає суперечку про те, чи слід заморожувати старі монети, які довгий час не рухалися. Співавтор BIP-360 Ethan Heilman оцінює, що навіть якщо перехід розпочнеться зараз, повний перехід біткоїна на постквантові технології займе близько 7 років.

Вразливість досить велика. За статистикою Glassnode у травні цього року, приблизно 6,04 мільйона біткоїнів з публічними відкритими ключами становлять 30,2% від загальної кількості випущених.

Ethereum діє більш активно: у січні цього року було створено спеціальну команду з постквантової безпеки, а Віталік Бутерін у лютому оприлюднив дорожню карту.

А що з банками? Часовий графік переходу NIST (Національного інституту стандартів і технологій США) все ще є проектом: алгоритми з міцністю 112 біт, такі як RSA-2048, будуть заборонені після 2030 року; всі відкриті ключі, які підлягають квантовим атакам, будуть заборонені після 2035 року. SWIFT планує запустити SwiftNet 8.0 з підтримкою постквантової криптографії у 2027 році. Дослідження додавання точок стосується secp256k1, чи матиме воно такий же ефект на криві, які часто використовуються банками?

Проблема банків полягає в тому, що, як зазначає коментар BankInfoSecurity, більшість банків не можуть чітко пояснити, де розгорнуті їхні криптографічні системи.

Позиція BlackRock ближча до «вже розкрито». У травні 2025 року в документах реєстрації біткоїн ETF (IBIT) вперше було вказано на квантові ризики, коли чисті активи фонду становили приблизно 64 мільярди доларів. Аналітик Bloomberg Intelligence Джеймс Сейффарт тоді зауважив, що такі розкриття повинні включати всі ризики, навіть малоймовірні.

Щодо цін, ринок не має єдиної думки. Деякі аналітики вважають, що квантові ризики є однією з причин, чому біткоїн слабшає відносно золота. Аналітик Glassnode Джеймс Чек вважає, що слабкість цін головним чином викликана продажем довгострокових власників; розробник біткоїна Метт Корралло зазначає, що якщо квантові ризики дійсно є основною причиною, то Ethereum має бути значно сильнішим за біткоїн.

Хто заплатить за модернізацію

Банкам потрібно буде провести інвентаризацію, заміну, тестування на сумісність та міграцію історичних систем, що є величезним обсягом роботи, але бюджет і графік можуть бути визначені керівництвом, а регулятори та постачальники можуть також допомогти. Витрати зосереджені, а шляхи чіткі.

Витрати біткоїна розподілені між усіма. Гаманці, біржі, оператори вузлів та власники монет повинні модернізуватися самостійно, і ніхто не може гарантувати синхронізацію. Власники монет, які можуть активно перейти, можуть знизити ризики, але ті, хто втратив свої закриті ключі або більше не користується старими гаманцями, не мають цього вибору.

Вигоди для обох сторін також різні. Компанії квантового апаратного забезпечення можуть підвищити використання своїх машин за допомогою більш ефективних алгоритмів; перехід на постквантову криптографію стане новим бізнесом для постачальників безпеки.

Наступні «53 години»

Метод Anthropic дуже простий: сформулювати проблему в коді, додати автоматичну оцінювальну програму, зосередитися на одному показнику та дати моделі кілька днів для безперервної ітерації. Anthropic у своєму тексті зазначає, що коди виправлення помилок, декодери та управління апаратним забезпеченням також мають подібні характеристики, і ШІ може спільно оптимізувати, розробляючи повністю відмовостійкий квантовий комп'ютер для конкретних проблем.

Наразі ці кілька рівнів в основному проектуються окремо. Якщо наступні «53 години» будуть спрямовані на ці кілька рівнів, скільки всього це коштуватиме, наразі ніхто не може сказати. Це не означає, що ШІ незабаром зможе самостійно розробити квантовий комп'ютер для зламу біткоїна, дослідження все ще обмежене визначенням завдань, методами оцінювання та обсягом перевірки.

Але можна уявити, що перехід вимагатиме кілька років координації, тоді як крива витрат на атаки не чекає.

Банки можуть просуватися за графіком 2030 року, біткоїн також вже має проект. Але частина монет не буде активно переходити, і не всі з них матимуть закриті ключі. Коли настане день, коли оновлення стане неминучим, ці старі активи з публічними відкритими ключами вже давно були б опубліковані, і хто вирішить їхню долю?