El dilema cuántico: ¿congelar las monedas o no?

Revista Bitcoin

La cuestión cuántica: ¿congelar las monedas o no?

El debate cuántico de Bitcoin es un verdadero embrollo. No se trata simplemente de un debate técnico sobre las ventajas y desventajas de distintos tipos de criptografía y su resistencia frente a una computadora cuántica teórica. Es un debate sobre qué principios del ideario de Bitcoin deben prevalecer ante un dilema difícil: respetar la promesa de que sus dueños puedan gastar las monedas válidas, o priorizar la seguridad del sistema impidiendo que se sustraiga una parte significativa de su oferta monetaria mediante una vulnerabilidad conocida desde hace muchos años.

El dilema central de esta controversia es que toda opción seria vulnera algún principio que les importa a los usuarios de Bitcoin. No hacer nada quizá preserve las reglas de consenso actuales, pero permitiría que actores con capacidades cuánticas en el futuro se apoderaran de monedas sin el consentimiento de sus dueños. Congelar las monedas vulnerables podría impedir ese robo, pero invalidaría retroactivamente condiciones de gasto vigentes desde hace mucho tiempo. Obligar a migrar a firmas resistentes a la computación cuántica podría ser una decisión prudente desde el punto de vista de la ingeniería, pero también podría parecer un régimen de confiscación impuesto mediante un plazo límite. El debate es espinoso porque no hay una solución sencilla que preserve a la perfección y al mismo tiempo los derechos de propiedad, la previsibilidad económica, la resistencia a la censura, la compatibilidad con versiones anteriores y la soberanía de los usuarios.

Por eso considero que el problema es fascinante. Tiene múltiples facetas: es, a la vez, técnico, sociológico, filosófico y económico. Por lo tanto, cualquier debate serio sobre el problema debe considerar todos los ángulos.

A lo largo de este ensayo sostendré que el debate sobre la migración cuántica tiene muchos más matices que una simple disyuntiva entre congelar o no los bitcoins vulnerables. Se trata, más bien, de cómo minimizar las violaciones totales de los derechos de propiedad cuando las firmas de curva elíptica ya no autentiquen de forma fiable la titularidad legítima.

La amenaza cuántica

El esquema de autorización actual de Bitcoin, que garantiza que los fondos solo los gasten sus legítimos propietarios, depende de la criptografía de curva elíptica. Tanto las firmas ECDSA heredadas como las firmas Schnorr utilizan la curva elíptica secp256k1. Bajo los supuestos habituales de la computación clásica, es computacionalmente inviable derivar una clave privada a partir de una clave pública. Un ordenador cuántico criptográficamente relevante que ejecute el algoritmo de Shor cambia ese supuesto: una vez que se dispone de una clave pública, un atacante cuántico con capacidad suficiente podría derivar la clave privada correspondiente y firmar una transacción para gastar los fondos, que la red aceptaría como válida. Los ordenadores cuánticos amenazan con romper el supuesto de dificultad que impide obtener la clave privada a partir de la clave pública y que sustenta ECDSA y Schnorr.

Esa distinción importa porque no todas las salidas de Bitcoin revelan la misma información al mismo tiempo. Algunos tipos de salida revelan una clave pública de inmediato y siguen siendo vulnerables indefinidamente. Otros ocultan la clave pública tras un hash hasta que el propietario gasta los fondos. Esto da lugar a dos grandes clases de ataques. Un ataque de largo alcance apunta a salidas cuyas claves públicas ya son visibles en la cadena, como las antiguas salidas de pago a clave pública y las salidas Taproot. Un ataque de corto alcance apunta a las monedas en el momento del gasto: el propietario difunde una transacción, la clave pública se vuelve visible y un atacante cuántico rápido intenta derivar la clave privada con la suficiente rapidez como para reemplazar la transacción o adelantarse a ella.

La amenaza para la minería es distinta. En teoría, el algoritmo de Grover puede acelerar la búsqueda por fuerza bruta de un hash de bloque válido, pero solo ofrece una aceleración cuadrática, mientras que el algoritmo de Shor ofrece una aceleración superpolinómica. Por lo tanto, la ventaja competitiva es mucho menos práctica y no justifica usar una computadora cuántica para minar.

La amenaza cuántica cuántica

Curiosamente, la amenaza de las computadoras cuánticas se encuentra ella misma en un estado cuántico de superposición. Puede que se construya o no una computadora cuántica que merezca preocuparnos, y nadie puede demostrar ni refutar que vaya a suceder. Los escépticos de la computación cuántica no discuten que el algoritmo de Shor podría romper ECC. Afirman que no hay buenas razones para creer que alguna vez construiremos el tipo de computadora cuántica potente y tolerante a fallos que se necesita para ejecutar el algoritmo de Shor a una escala criptográficamente relevante.

Todos coinciden en que no es posible romper ECC con los procesadores cuánticos ruidosos actuales. Para ello se necesitan muchos cúbits lógicos fiables, tasas de error extremadamente bajas, cálculos prolongados con alta coherencia y corrección de errores cuánticos que funcione correctamente a gran escala.

Un argumento escéptico sólido sostiene que el teorema del umbral de tolerancia a fallos cuánticos depende de supuestos que quizá no puedan satisfacerse físicamente con la precisión requerida. Entre ellos figuran que el ruido sea suficientemente independiente, que las puertas sean lo bastante precisas, que las interacciones no deseadas sean limitadas y que se puedan mantener los errores por debajo de un umbral aceptable en un sistema enorme. Mikhail Dyakonov sostiene que el teorema presupone condiciones idealizadas y no nos indica la precisión de ingeniería real necesaria para satisfacer cada supuesto en un dispositivo práctico.

La crítica de Gil Kalai es más estructural. Su argumento es que los sistemas cuánticos realistas pueden sufrir ruido correlacionado y acumulación de ruido, lo que impide la formación de códigos cuánticos de corrección de errores de alta calidad. En su artículo de 2011, plantea que las realizaciones físicas de códigos cuánticos, las correlaciones en sistemas estocásticos y el ruido acumulado podrían provocar el fracaso de las computadoras cuánticas escalables.

Este podría ser el argumento escéptico más sólido: la corrección de errores cuánticos solo funciona si el ruido se puede controlar. Si los sistemas reales con muchos cúbits generan errores correlacionados de forma adversaria, añadir más cúbits podría volver la computadora mucho más frágil y poco fiable.

La escalabilidad cuántica es una gran incógnita. Los escépticos sostienen que los avances de 50, 100 o 1.000 cúbits físicos no se extrapolan automáticamente a millones de cúbits físicos o miles de cúbits lógicos. Los sistemas cuánticos son analógicos, delicados y están acoplados a su entorno. El desafío de ingeniería no consiste simplemente en «crear más cúbits», sino en «crear más cúbits mientras se suprimen la diafonía, las fugas, los errores correlacionados, la deriva de calibración, los efectos térmicos, los errores de medición, las variaciones de fabricación y el ruido de control». Por eso los críticos rechazan las extrapolaciones temporales simplistas. Consideran que «aumentamos el número de cúbits en X durante esta década, así que lograremos superar la ECC para el año Y» es un razonamiento débil.

Por fin, las demostraciones de computación cuántica han mostrado que los dispositivos actuales solo pueden superar a las simulaciones clásicas en tareas de muestreo cuidadosamente seleccionadas. Los críticos tienen razón al señalar que esto dice poco sobre la ejecución de algoritmos largos y estructurados, como el algoritmo de Shor, con la fiabilidad suficiente para recuperar una clave privada ECC de 256 bits.

Por qué es importante la migración poscuántica

Suponiendo que aparezca un ordenador cuántico criptográficamente relevante, limitarse a añadir la opción de usar criptografía poscuántica para los usuarios de Bitcoin no bastará para detener un ataque cuántico. El conjunto total de bitcoins vulnerables a la computación cuántica incluye las monedas antiguas enviadas a claves públicas (P2PK), las monedas controladas por claves públicas reutilizadas, las salidas Taproot y los casos en que se han revelado claves públicas o claves públicas extendidas fuera de la cadena. Una cifra llamativa es la concentración de BTC en salidas P2PK antiguas: representan una fracción minúscula de los UTXO por número, pero una proporción mucho mayor del valor, alrededor de 1,7 millones de BTC. Estimaciones más amplias, basadas en el análisis en cadena de los tipos de salida, los patrones de actividad y la titularidad conocida, nos llevan a creer que al menos 2,6 millones de BTC seguirían siendo vulnerables incluso si todos los usuarios activos de Bitcoin migraran sus monederos a la criptografía poscuántica.

Por lo tanto, incluso con criptografía poscuántica (PQ) opcional, debemos esperar que siga existiendo indefinidamente un conjunto de monedas vulnerables lo bastante grande como para representar un riesgo sistémico. Un atacante cuántico podría usar estas monedas para perjudicar al sistema de muchas maneras, no solo vendiéndolas y haciendo caer el precio al contado de BTC. Por ello, proteger esas monedas vulnerables frente a una amenaza cuántica requiere algún tipo de cambio en las reglas que, en la práctica, «deje fuera» a un atacante cuántico.

La retórica en torno a este tema suele recurrir a términos como «confiscación», «quema», «congelación», «robo» o «recuperación», pero estos describen mecanismos diferentes. Una congelación no transferiría las monedas al Estado, a los mineros, a los desarrolladores ni a un fondo de recuperación. En su forma más básica, consistiría en cambiar las reglas de consenso para que ciertos resultados de transacciones ya no pudieran gastarse mediante firmas ECDSA o Schnorr vulnerables. Por eso, quienes defienden esta medida a veces dicen «quemar» en vez de «confiscar»: las monedas no se reasignan, sino que dejan de poder gastarse con su clave privada. Sin embargo, para un propietario legítimo que aún conserva la clave original, el efecto práctico puede seguir pareciendo confiscatorio: un gasto que antes era válido deja de serlo.

BIP-361 divide el concepto de migración en fases. Primero, una vez que exista un tipo de dirección resistente a la computación cuántica, la red Bitcoin dejaría de permitir que se envíen monedas nuevas a direcciones vulnerables a la computación cuántica. Más adelante, tras un período de varios años, los gastos con ECDSA y Schnorr heredados dejarían de ser válidos. Por último, queda la cuestión de las opciones de recuperación para los usuarios que puedan demostrar, sin depender únicamente de la ECC vulnerada, que son los legítimos propietarios; por ejemplo, mediante una prueba de conocimiento cero derivada de una frase semilla o de la estructura de una billetera HD. El propósito principal de la propuesta no es elegir un algoritmo de firma poscuántico, sino crear incentivos y fijar plazos para que los usuarios, exchanges, custodios, billeteras e instituciones migren efectivamente y a tiempo, lo que nos permitiría retirar progresivamente la ECC para prevenir un ataque cuántico.

Argumentos a favor de congelar

El argumento más sólido a favor de la congelación parte de una afirmación sencilla: un atacante cuántico que obtiene una clave privada a partir de una clave pública no es el propietario legítimo en ningún sentido moral significativo. Desde este punto de vista, «dejar que se lleven las monedas vulnerables» no es neutralidad; es permitir que una nueva clase de actores saquee salidas antiguas porque el protocolo no reforzó una cerradura que se sabe débil. Quienes defienden la congelación sostienen que el daño resultante de permitir robos cuánticos no afectaría solo a los propietarios negligentes, sino a todos los titulares, porque un barrido cuántico exitoso redistribuiría la riqueza en favor de quien disponga primero de capacidades cuánticas. Esto es problemático porque una cantidad tan grande de bitcoins en manos de un solo actor, que habría invertido relativamente pocos recursos para obtenerlos, podría resultar bastante peligrosa para la seguridad del ecosistema. El modelo de seguridad de Bitcoin presupone participantes económicamente racionales, incentivados a proteger el valor de sus monedas, pero un actor con capacidad cuántica podría quebrar ese supuesto. La postura a favor de la congelación es que Bitcoin no debería recompensar a las primeras entidades que rompan ECC con munición que podrían usar para perjudicar al sistema.

Este argumento es especialmente válido para las monedas que se cree que están perdidas. Si los atacantes cuánticos pudieran recuperar de repente las monedas perdidas, la oferta circulante aumentaría de hecho. Eso no infringiría el límite formal de 21 millones, pero sí cambiaría el panorama económico: las monedas que el mercado quizá consideraba inactivas podrían volver a circular, posiblemente con rapidez y concentradas en pocas manos.

Quienes defienden la congelación también sostienen que la amenaza no se limita a quienes buscan beneficios económicos. Un adversario con capacidad cuántica podría atacar Bitcoin por motivos políticos, desestabilizar los mercados, socavar la confianza pública, perjudicar la red durante muchos años o incluso adquirir suficiente poder de hash para llevar a cabo un ataque del 51 % contra ella. El análisis de la teoría de juegos en cuestión muestra que no podemos simplemente dar por hecho que un atacante se apoderaría de los BTC vulnerables para venderlos y marcharse tan tranquilo; existe una gama mucho más amplia de estrategias y resultados indeseables.

Fuente: BitcoinMagazine