Bei 7,12 Millionen BTC und damit 35,4 Prozent der ausgegebenen Bitcoin sind die öffentlichen Schlüssel bereits auf der Blockchain sichtbar, wie Glassnode am 10. November meldete. Einen Tag später legte das Bitcoin Security Consortium gemeinsam mit Presidio Bitcoin eine Einschätzung vor, wie ein leistungsfähiger Quantencomputer solche Bestände angreifen könnte und welche Gegenmaßnahmen zur Debatte stehen.
Strategy gehört neben BlackRock und Coinbase zu den Gründungsmitgliedern des Konsortiums. Strategy-Chef Phong Le fasste dessen Einschätzung auf X zusammen.
„Die jüngsten Fortschritte bei Quantencomputern sind real, vollziehen sich aber in kleinen Schritten. Das Quantenrisiko für Bitcoin beschränkt sich auf das Signaturverfahren. Lösungsansätze wurden gefunden, und an ihnen wird bereits aktiv gearbeitet.“
Ein ausreichend leistungsfähiger Quantencomputer könnte mit dem Shor-Algorithmus aus einem öffentlichen Schlüssel den zugehörigen privaten Schlüssel berechnen und damit eine gültige Transaktion signieren. Jeder Versuch würde sich dabei auf einen einzelnen Schlüssel richten.
Tipp der Redaktion: BREAKING: Krypto-Haltefrist soll bleiben – BILD meldet Aus für Klingbeils Bitcoin-Steuer
Bei alten Pay-to-Public-Key-Ausgängen (P2PK) und bei Taproot-Ausgängen ist ein öffentlicher Schlüssel von Anfang an sichtbar. Bei anderen Adresstypen kann ihn erst eine Ausgabe offenlegen. Danach wären sowohl Restbestände als auch spätere Einzahlungen an dieselbe Adresse angreifbar.
Glassnode führt die betroffenen Börsenbestände als Teil der wiederverwendeten Adressen in seiner Aufschlüsselung des Bitcoin-Angebots. In seinem Beitrag schreibt der On-Chain-Datenanbieter:
„Bei 25,8 Prozent des Angebots sind die öffentlichen Schlüssel durch die Wiederverwendung von Adressen offengelegt, 11,6 Prozent liegen auf Börsen. Eine Übertragung dieser Coins an eine neue Adresse beseitigt dieses Risiko.“
Project Eleven kommt mit seiner eigenen Erhebung auf rund 7,1 Millionen BTC mit sichtbaren öffentlichen Schlüsseln. Knapp drei Viertel davon entfallen auf wiederverwendete Adressen, wie die Daten von Project Eleven zeigen. Börsen, Verwahrer und Selbstverwahrer können diesen Anteil bereits mit den heutigen Bitcoin-Regeln senken, indem sie Bestände an unbenutzte Adressen übertragen, die den öffentlichen Schlüssel zunächst verbergen.
Wie ein Angriff während einer Bitcoin-Transaktion aussehen könnte
Sobald eine Transaktion einen bis dahin verborgenen öffentlichen Schlüssel im Mempool offenlegt, könnte ein Angreifer versuchen, mit dem errechneten privaten Schlüssel eine konkurrierende Transaktion zu signieren.
Dafür bliebe ihm die Zeit bis zur Aufnahme der ursprünglichen Transaktion in einen Block. Zehn Minuten sind bei Bitcoin der durchschnittliche Abstand zwischen zwei Blöcken. Das Konsortium verweist für dieses Szenario auf eine Modellrechnung von Google Quantum AI.
„Ein ausreichend schneller Quantencomputer könnte dieses Zeitfenster nutzen, um Bitcoin während einer laufenden Transaktion zu stehlen. Google schätzt, dass ein vorbereiteter Quantencomputer mit hoher Taktgeschwindigkeit einen privaten Schlüssel in nur neun Minuten berechnen könnte, sodass selbst Bitcoin gestohlen werden könnten, deren öffentlicher Schlüssel bis zu einer gewöhnlichen Transaktion verborgen war.“
Bislang hat kein Quantencomputer nachweislich aus einem öffentlichen Bitcoin-Schlüssel den zugehörigen privaten Schlüssel berechnet. Google beschreibt eine Angriffsvariante mit rund 1.200 logischen Qubits und beziffert den Bedarf an physischen Qubits auf etwa ein Zwanzigstel früherer Schätzungen.
Das Konsortium führt einen Test von Quantinuum mit 48 logischen Qubits an. Der Engpass liegt laut Bericht bei zuverlässigen Operationen mit vielen fehlerkorrigierten Qubits zugleich.
Googles Willow-Chip zeigte 2024 Fortschritte bei der Fehlerkorrektur im Quantenspeicher. Im Oktober erreichte Google bei der Erzeugung sogenannter Magic States, die für bestimmte Quantenoperationen nötig sind, eine logische Genauigkeit von 99,99 Prozent. Quantinuum meldete für den logischen Speicher seines Helios-Systems 99,9995 Prozent, entsprechend fünf unkorrigierbaren Fehlern pro Million Operationen.
Das Projekt ECDSA.fail hat den Aufwand von Googles Angriffsschaltung nach eigener Metrik um knapp 70 Prozent gesenkt. Für seine eigene Hardware-Architektur veranschlagt IonQ rund 26 Tage pro Versuch und unter bestimmten Annahmen bis zu 63,3 Prozent Erfolgswahrscheinlichkeit.
Lesetipp: MSCI streicht Strategy und Metaplanet – Droht eine Bitcoin-Kurslawine auf 60.000 USD?
Was mit Satoshis Bitcoin geschehen könnte
Für einen dauerhaften Schutz arbeitet Blockstream an SHRINCS, einem quantenresistenten Signaturverfahren auf Basis von SHA-256. In einer kompakten Konfiguration kalkuliert das Unternehmen mit bis zu drei Transaktionen pro Sekunde.
Für das standardisierte SPHINCS+ liegt der Vergleichswert bei 0,36, wie Blockstream vorrechnet. Das Verfahren wurde im März im Liquid Network getestet. Der im August veröffentlichte Entwurf führt den formalen Sicherheitsbeweis als offen. Die Einführung auf Bitcoin würde einen Soft Fork erfordern.
Die Debatte über Satoshis Bestände betrifft auch andere frühe Bitcoin. Rund 1,7 Millionen BTC liegen in alten P2PK-Ausgängen. Davon werden schätzungsweise 1,1 Millionen BTC Satoshi Nakamoto zugeschrieben. Viele dieser Bestände gelten als verloren, sodass ihre Eigentümer sie womöglich gar nicht mehr auf neue Adressen übertragen können.
Das Netzwerk könnte Transaktionen nach den alten Regeln weiterhin zulassen, die Bewegung gefährdeter Bestände drosseln oder die Coins sperren. Bei einer Sperre könnten Eigentümer mit einem Zero-Knowledge-Proof nachweisen, dass sie die zugehörige Seed-Phrase besitzen. Bei vielen frühen P2PK-Beständen fehlen solche Seed-Phrasen, wie der Überblick von Presidio Bitcoin erläutert.
Wie viel Zeit Bitcoin für eine Umstellung bleibt, ist offen. Ein technischer Durchbruch könnte laut dem Konsortium zunächst unter Verschluss bleiben. Einzelne Diebstähle wären dann womöglich schwer von gewöhnlichen Umbuchungen bei Verwahrern zu unterscheiden.
