Cory Fields的比特币(BTC)量子地雷机制迫使窃贼质押1 BTC锁仓30天

Cory Fields的量子地雷设计

一名Bitcoin (BTC) Core开发者提出了一种方案,让未来的量子窃贼在动别人的币之前,必须先押上自己的币。在麻省理工学院数字货币计划(MIT Digital Currency Initiative)参与比特币软件开发的Cory Fields,于星期三在比特币开发者邮件列表上公布了这一构想,他称之为量子地雷。方案公布之际,比特币价格在过去24小时内下跌5.9%,不过这一提案针对的是协议设计,与行情交易本身无关。Fields要解决的问题由来已久:一台足够强大的量子计算机可以从公钥反推出钱包的私钥,而一些早期的比特币支付格式从生成之初就把公钥完整暴露在链上,与中本聪(Satoshi Nakamoto)相关的币因此成为潜在目标。薄弱环节并不在由区块链工作量证明机制所保护的账本本身,而在于公钥已经公开的那些币所依赖的密码学;随隔离见证引入的新地址格式则把币锁定为密钥的哈希值,公钥在花出之前始终处于隐藏状态。社区多年来一直在争论:是冻结易受攻击的币(这也会把从未升级钱包的原持有人一并锁在门外),还是让 whoever 先给出有效签名的人拿走它们。Fields的设计给窃取行为本身加上了成本:要偷走1 BTC,攻击者必须从一个抗量子钱包再拿出1 BTC作为抵押,两笔币同时锁定30天的等待期。在量子攻击真正可行之前,原持有人可以预先布设一个独立的抗量子地雷,其中保存着隐藏的所有权证明。一旦窃贼转移了易受攻击的输出,被盗币与押金便会一同冻结;在等待期内,原持有人揭示证明,取回自己的币,并没收窃贼的押金作为惩罚。这种不对称正是设计要点:窃贼在资金入局之前,无从判断哪笔持仓里埋着陷阱。在Fields设想的Alice场景中,攻击者必须等满30天才能再次花出该输出,而Alice在此期间把这批悬置的币(连同自己的地雷作为输入)一并花出,并揭示证明。

休眠币与诚实持有人

地雷机制有一条硬边界:它只保护仍然握有私钥的持有人。被认为已丢失的币不在方案覆盖范围之内,其中包括这种资产历史上最著名的一笔持仓,即中本聪多年未动的比特币,也包括那些持有人遗失私钥、或干脆选择hodl从不转移的币。针对这部分休眠供应,Fields勾勒了第二套机制,形式上是一场拍卖。网络上的竞争者可以提前对一个易受攻击的钱包提交隐藏出价,这些出价本身就是密码学陷阱。一旦量子窃贼发起攻击,最高出价者的智能合约自动触发,目标币被烧毁或销毁,同时窃贼被锁定的抵押遭到没收,作为赏金支付给中标者。拍卖回答了地雷无法回答的问题:当无人能证明所有权时,就没有证明可以揭示,此时销毁目标币等于让窃贼彻底一无所获,而赏金则给了诚实参与者埋设陷阱而非干等下去的理由。这套设计同样向诚实用户收费。区块链无法区分量子攻击者与真正的持有人,因此按同样的规则,用户转移自己的1 Bitcoin (BTC)也需要再拿出1 BTC作为抵押。一位全部身家都放在旧钱包里的早期持有人,实际上相当于初代版本的山寨币语境之外的加密巨鲸,仅仅为了转移本来属于自己的币,就得先凑齐等额资金。Fields自己也划清了界限:这些想法只是思想实验,它们以比特币先获得抗量子钱包为前提,而执行地雷或拍卖所需的规则至今尚未被写出来。

给攻击行为定价

这份提案出台之际,整个比特币生态正在就量子就绪程度展开讨论,此前的讨论大多围着时间表打转:Galaxy Digital已向一项比特币量子就绪资助计划投入500万美元,而获英伟达(Nvidia)投资的量子计算公司PsiQuantum正朝着商业化运营迈进。Fields把问题从时间表转到了激励设计上:协议是否应该让攻击变得昂贵,而不只是难以实现。在我们看来,这种重构带来一个结构性难题:任何没收窃贼抵押的规则,同时也在向合法持有人征税,因为链无法把两者区分开来;至于冻结乃至销毁币的共识,从未接近形成。帖子中的任何内容都没有被激活,它只是开发者邮件列表上的一场设计论证,其现实分量现在取决于一点:抗量子钱包标准能否赶在威胁到来之前落地。