[论文解读] Quantum attacks on Bitcoin, and how to protect against them

Divesh Aggarwal, Gavin K. Brennen+3 more|RePEc: Research Papers in Economics|Oct 28, 2017

Quantum Computing Algorithms and Architecture被引用 8

一句话总结

本文分析了比特币对量子攻击的脆弱性，发现尽管其工作量证明机制由于ASIC挖矿速度极高，对近期量子计算机相对安全，但其椭圆曲线数字签名则面临极高风险——可能早在2027年就被量子计算机破解。作者提出了抗量子的替代方案，包括Momentum工作量证明和后量子签名方案，以保障未来区块链系统的安全。

ABSTRACT

The key cryptographic protocols used to secure the internet and financial transactions of today are all susceptible to attack by the development of a sufficiently large quantum computer. One particular area at risk are cryptocurrencies, a market currently worth over 150 billion USD. We investigate the risk of Bitcoin, and other cryptocurrencies, to attacks by quantum computers. We find that the proof-of-work used by Bitcoin is relatively resistant to substantial speedup by quantum computers in the next 10 years, mainly because specialized ASIC miners are extremely fast compared to the estimated clock speed of near-term quantum computers. On the other hand, the elliptic curve signature scheme used by Bitcoin is much more at risk, and could be completely broken by a quantum computer as early as 2027, by the most optimistic estimates. We analyze an alternative proof-of-work called Momentum, based on finding collisions in a hash function, that is even more resistant to speedup by a quantum computer. We also review the available post-quantum signature schemes to see which one would best meet the security and efficiency requirements of blockchain applications.

研究动机与目标

• 评估量子计算机对比特币核心密码原 primitive 的威胁，特别是其工作量证明和椭圆曲线签名。
• 评估对比特币当前密码基础设施进行量子攻击的可行性与时间表。
• 提出并分析抗量子的替代方案，包括Momentum工作量证明和后量子签名方案，用于区块链应用。
• 估算能够破解比特币当前安全模型的量子计算机的发布时间表，特别关注签名伪造的时间窗口。

提出的方法

• 利用2015–2017年的历史数据，对比特币网络算力和难度的增长进行建模，以预测未来的挖矿抗性。
• 基于量子比特数量、门频率和门保真度，构建量子计算机发展模型，假设其呈指数增长并设有上限。
• 使用Shor算法估算量子计算机破解椭圆曲线密码学（ECC）以解决离散对数问题所需的时间。
• 分析基于寻找哈希碰撞的Momentum工作量证明方案，并将其与比特币的Hashcash PoW在抗量子加速方面的表现进行比较。
• 调查并评估后量子签名方案在区块链系统中的适用性，依据安全性、效率和密钥大小进行评估。
• 结合容错量子计算的理论进展，通过建模随时间变化的开销因子，以减少对所需量子比特和门数的需求。

实验结果

研究问题

• RQ1 在最乐观的假设下，量子计算机何时可能破解比特币的椭圆曲线数字签名方案？
• RQ2 量子计算机在多大程度上能加速比特币的工作量证明挖矿？这种加速是否足以在十年内危及系统？
• RQ3 与比特币的Hashcash PoW相比，Momentum工作量证明方案在抗量子加速方面表现如何？
• RQ4 哪些后量子签名方案最适合在区块链系统中部署，以在安全性和效率之间取得平衡？
• RQ5 预计何时会出现能够破解比特币当前密码安全模型的容错量子计算机？

主要发现

• 在最乐观的量子计算机发展情景下，量子计算机可能在10分钟内破解比特币的椭圆曲线签名方案——相当于比特币的区块时间——最早可能在2027年发生。
• 比特币当前的工作量证明机制对量子加速具有相对抗性，因为ASIC矿机的运行速度远超近期量子计算机，即使具备量子优势也难以追上。
• 基于哈希碰撞寻找的Momentum工作量证明方案，其量子加速效应甚至小于比特币的Hashcash PoW，使其对量子攻击更具韧性。
• 量子计算机发展被建模为两种情景：乐观情景（量子比特数量每10个月翻倍，门频率最高达50 GHz）和悲观情景（每20个月翻倍，最高5 GHz），门保真度预计稳定在5×10⁻⁶（乐观）或5×10⁻⁵（悲观）。
• 理论进展预计每年可使容错量子算法的开销降低0.75倍（乐观）或0.85倍（悲观），从而提升大规模量子攻击的可行性。
• 后量子签名方案被确认为可行的替代方案，但其部署需要在区块链环境中仔细评估性能与密钥大小之间的权衡。