Bitcoin Magazin
Die Quantenfrage: Coins einfrieren oder nicht?
Die Debatte um Quantencomputer bei Bitcoin ist ein ziemliches Dilemma. Dabei geht es nicht nur um eine technische Diskussion über die Kompromisse zwischen verschiedenen Kryptografiearten und ihre Sicherheit gegenüber einem hypothetischen Quantencomputer. Es geht auch darum, welche Grundsätze der Bitcoin-Ethik sich in einem schwierigen Dilemma als am wichtigsten erweisen: das Versprechen zu halten, dass gültige Coins von ihren Eigentümern ausgegeben werden können, oder die Sicherheit des Systems zu schützen, indem man verhindert, dass ein erheblicher Teil der Geldmenge über eine Schwachstelle erbeutet wird, die seit vielen Jahren bekannt ist.
Der Kern dieses Konflikts ist, dass jede ernsthafte Option einen Grundsatz verletzt, der Bitcoin-Nutzern wichtig ist. Nichts zu tun mag die heutigen Konsensregeln bewahren, könnte aber künftigen Akteuren mit Quantencomputern ermöglichen, Coins zu stehlen, ohne dass deren Eigentümer jemals zugestimmt hätten. Verwundbare Coins einzufrieren könnte diesen Diebstahl verhindern, würde aber rückwirkend langjährige Ausgabebedingungen außer Kraft setzen. Eine erzwungene Migration zu quantenresistenten Signaturen mag aus technischer Sicht sinnvoll sein, kann aber auch wie ein durch eine Frist gestütztes Enteignungsregime wirken. Die Debatte ist so schwierig, weil es keinen klaren Weg gibt, der Eigentumsrechte, wirtschaftliche Vorhersehbarkeit, Zensurresistenz, Abwärtskompatibilität und die Souveränität der Nutzer gleichermaßen vollkommen wahrt.
Deshalb finde ich dieses Problem so faszinierend. Es ist vielschichtig: zugleich technischer, soziologischer, philosophischer und wirtschaftlicher Natur. Jede ernsthafte Diskussion des Problems muss daher alle Blickwinkel berücksichtigen.
In diesem Essay werde ich darlegen, dass die Debatte über die Migration in eine quantensichere Zukunft weitaus nuancierter ist als die bloße Frage, ob gefährdete Bitcoins eingefroren werden sollen oder nicht. Vielmehr geht es darum, wie sich Eigentumsrechtsverletzungen insgesamt minimieren lassen, sobald elliptische-Kurven-Signaturen rechtmäßiges Eigentum nicht mehr zuverlässig authentifizieren.
Die Quantenbedrohung
Bitcoins derzeitiges Autorisierungssystem, das sicherstellen soll, dass Guthaben nur von ihren rechtmäßigen Eigentümern ausgegeben werden, beruht auf elliptischer-Kurven-Kryptografie. Sowohl die älteren ECDSA-Signaturen als auch Schnorr-Signaturen verwenden die elliptische Kurve secp256k1. Unter den üblichen Annahmen zur klassischen Datenverarbeitung ist es rechnerisch nicht praktikabel, aus einem öffentlichen Schlüssel einen privaten Schlüssel abzuleiten. Ein kryptografisch relevanter Quantencomputer, auf dem Shors Algorithmus läuft, ändert diese Annahme: Sobald ein öffentlicher Schlüssel verfügbar ist, könnte ein ausreichend leistungsfähiger Quantenangreifer den dazugehörigen privaten Schlüssel ableiten und eine Transaktion signieren, mit der die Guthaben ausgegeben werden – und die vom Netzwerk als gültig akzeptiert würde. Quantencomputer bedrohen die Annahme, dass es schwierig ist, aus einem öffentlichen Schlüssel den privaten Schlüssel abzuleiten, auf der ECDSA und Schnorr beruhen.
Diese Unterscheidung ist wichtig, denn nicht alle Bitcoin-Outputs geben zur gleichen Zeit dieselben Informationen preis. Bei manchen Output-Typen wird der öffentliche Schlüssel sofort offengelegt und bleibt dauerhaft angreifbar. Bei anderen bleibt der öffentliche Schlüssel hinter einem Hash verborgen, bis der Besitzer die Coins ausgibt. Dadurch entstehen zwei große Angriffsklassen. Ein Langzeitangriff zielt auf Outputs, deren öffentliche Schlüssel bereits auf der Blockchain sichtbar sind, etwa alte Pay-to-Public-Key-Outputs und Taproot-Outputs. Ein kurzfristiger Angriff zielt auf Coins zum Zeitpunkt ihrer Ausgabe: Der Besitzer sendet eine Transaktion, der öffentliche Schlüssel wird sichtbar, und ein schneller Quantenangreifer versucht, den privaten Schlüssel schnell genug abzuleiten, um die Transaktion zu ersetzen oder ihr zuvorzukommen.
Die Bedrohung für das Mining ist eine andere. Grovers Algorithmus kann die brute-force-Suche nach einem gültigen Block-Hash theoretisch beschleunigen, bietet jedoch nur einen quadratischen Geschwindigkeitsvorteil, während Shors Algorithmus einen überpolynomialen Geschwindigkeitsvorteil bietet. Der Wettbewerbsvorteil ist also deutlich geringer, sodass sich der Einsatz eines Quantencomputers fürs Mining weit weniger lohnt.
Die Quanten-Quanten-Bedrohung
Amüsanterweise befindet sich die Bedrohung durch Quantencomputer selbst in einem quantenmechanischen Überlagerungszustand. Ein Quantencomputer, vor dem man sich in Acht nehmen müsste, wird möglicherweise gebaut – oder auch nicht –, und niemand kann beweisen oder widerlegen, dass es dazu kommen wird. Quantenskeptiker bestreiten nicht, dass Shors Algorithmus ECC knacken könnte. Sie behaupten, es gebe keinen guten Grund zu glauben, dass wir jemals die Art von leistungsstarkem, fehlertolerantem Quantencomputer bauen werden, die nötig ist, um Shors Algorithmus in einem kryptografisch relevanten Maßstab auszuführen.
Alle sind sich einig, dass sich ECC mit den heutigen verrauschten Quantenprozessoren nicht knacken lässt. Dafür sind zahlreiche zuverlässige logische Qubits, extrem niedrige Fehlerraten, lang andauernde Berechnungen mit hoher Kohärenz sowie eine Quantenfehlerkorrektur erforderlich, die im großen Maßstab erfolgreich funktioniert.
Ein starkes skeptisches Argument lautet, dass der Schwellenwertsatz zur Quantenfehlertoleranz von Annahmen abhängt, die sich mit der erforderlichen Präzision möglicherweise physikalisch nicht erfüllen lassen. Zu diesen Annahmen zählen ausreichend unabhängiges Rauschen, hinreichend präzise Gatter, begrenzte unerwünschte Wechselwirkungen und die Fähigkeit, Fehler in einem riesigen System unter einem akzeptablen Schwellenwert zu halten. Mikhail Dyakonov argumentiert, der Satz gehe von idealisierten Bedingungen aus und sage uns nicht, welche Präzision in der realen Technik erforderlich ist, um jede einzelne Annahme in einem tatsächlichen Gerät zu erfüllen.
Gil Kalais Kritik ist grundsätzlicher Natur. Seine These lautet, dass realistische Quantensysteme unter korreliertem Rauschen und einer Anhäufung von Rauschen leiden könnten, die die Entwicklung hochwertiger Quantenfehlerkorrekturcodes verhindern. In seiner Arbeit aus dem Jahr 2011 legt er dar, dass physikalische Realisierungen von Quantencodes, Korrelationen in stochastischen Systemen und angesammeltes Rauschen zum Scheitern skalierbarer Quantencomputer führen könnten.
Das könnte das stärkste Argument der Skeptiker sein: Quantenfehlerkorrektur funktioniert nur, wenn sich das Rauschen beherrschen lässt. Wenn reale Systeme mit vielen Qubits adversarial korrelierte Fehler erzeugen, könnte es durchaus sein, dass der Computer mit jedem weiteren Qubit anfälliger und unzuverlässiger wird.
Die Skalierbarkeit von Quantencomputern ist eine große Unbekannte. Skeptiker wenden ein, dass sich Fortschritte bei 50, 100 oder 1.000 physikalischen Qubits nicht automatisch auf Millionen physikalischer oder Tausende logischer Qubits übertragen lassen. Quantensysteme sind analog, empfindlich und an ihre Umgebung gekoppelt. Die technische Herausforderung besteht nicht einfach darin, „mehr Qubits zu bauen“, sondern darin, „mehr Qubits zu bauen und dabei Übersprechen, Leckeffekte, korrelierte Fehler, Kalibrierungsdrift, thermische Effekte, Messfehler, Fertigungsschwankungen und Steuerungsrauschen zu unterdrücken“. Deshalb lehnen Kritiker einfache Extrapolationen von Zeitplänen ab. Sie halten die Argumentation „Wir haben die Qubitzahl in diesem Jahrzehnt um X erhöht, also werden wir bis zum Jahr Y die Fehlerkorrektur mit Quantenfehlerkorrektur überwinden“ für schwach.
Schließlich haben Demonstrationen von Quantencomputern gezeigt, dass aktuelle Geräte klassische Simulationen nur bei sorgfältig ausgewählten Stichprobenaufgaben übertreffen können. Kritiker haben einen berechtigten Einwand: Das sagt wenig darüber aus, ob sich lange, strukturierte Algorithmen wie Shors Algorithmus zuverlässig genug ausführen lassen, um einen privaten ECC-Schlüssel mit 256 Bit wiederherzustellen.
Warum die Migration zu Post-Quanten-Kryptografie wichtig ist
Selbst wenn man davon ausgeht, dass ein kryptografisch relevanter Quantencomputer verfügbar wird, reicht es nicht aus, Bitcoinern lediglich die Möglichkeit zu geben, Post-Quanten-Kryptografie zu verwenden, um einen Quantenangriff zu verhindern. Zu den insgesamt durch Quantencomputer gefährdeten Bitcoins gehören frühe Coins mit Pay-to-Public-Key-Skripten, Coins, die von wiederverwendeten öffentlichen Schlüsseln kontrolliert werden, Taproot-Ausgaben sowie Fälle, in denen öffentliche Schlüssel oder erweiterte öffentliche Schlüssel außerhalb der Blockchain offengelegt wurden. Besonders auffällig ist die Konzentration von BTC in alten P2PK-Ausgaben: Sie machen nur einen winzigen Anteil der UTXOs aus, repräsentieren aber einen deutlich größeren Wertanteil von etwa 1,7 Millionen BTC. Umfassendere Schätzungen auf Grundlage von On-Chain-Analysen der Ausgabetypen, Aktivitätsmuster und bekannten Besitzverhältnisse lassen uns vermuten, dass mindestens 2,6 Millionen BTC weiterhin gefährdet wären, selbst wenn alle aktiven Bitcoin-Nutzer ihre Wallets auf Post-Quanten-Kryptografie umstellen würden.
Daher sollten wir selbst bei Opt-in-Post-Quanten-Kryptografie (PQ-Kryptografie) davon ausgehen, dass auf unbestimmte Zeit ein Pool gefährdeter Coins bestehen bleibt, der groß genug ist, um ein systemisches Risiko darzustellen. Ein Quantenangreifer könnte diese Coins auf vielfältige Weise nutzen, um dem System zu schaden – nicht nur, indem er sie verkauft und dadurch den Spotpreis von BTC drückt. Um diese gefährdeten Coins vor einer Quantenbedrohung zu schützen, wären daher wohl Regeländerungen nötig, die einen Quantenangreifer effektiv „aussperren“ würden.
In der Debatte zu diesem Thema fallen oft Begriffe wie „Enteignung“, „Verbrennen“, „Einfrieren“, „Stehlen“ oder „Wiederherstellung“. Sie bezeichnen jedoch unterschiedliche Mechanismen. Bei einem Einfrieren würden die Coins weder auf den Staat noch auf Miner, Entwickler oder einen Wiederherstellungsfonds übertragen. In der einfachsten Form würde es bedeuten, die Konsensregeln so zu ändern, dass bestimmte Outputs nicht mehr mit anfälligen ECDSA- oder Schnorr-Signaturen ausgegeben werden können. Deshalb sprechen Befürworter manchmal von „Verbrennen“ statt von „Enteignen“: Die Coins werden niemand anderem zugewiesen, sondern lassen sich mit ihrem privaten Schlüssel nicht mehr ausgeben. Für einen rechtmäßigen Eigentümer, der noch über den ursprünglichen Schlüssel verfügt, kann sich das in der Praxis dennoch wie eine Enteignung anfühlen: Eine Ausgabe, die zuvor gültig war, ist es dann nicht mehr.
BIP-361 unterteilt das Migrationskonzept in Phasen. Sobald ein quantenresistenter Adresstyp existiert, würde das Bitcoin-Netzwerk zunächst keine neuen Coins mehr an quantenanfällige Adressen senden lassen. Später, nach einem mehrjährigen Zeitfenster, würden Ausgaben mit älteren ECDSA- und Schnorr-Signaturen ungültig. Schließlich bleibt die Frage nach Wiederherstellungsoptionen für Nutzer, die nachweisen können, dass sie die rechtmäßigen Eigentümer sind, ohne sich dabei ausschließlich auf gebrochene ECC zu stützen – etwa durch einen Zero-Knowledge-Beweis, der aus einer Seed-Phrase oder der Struktur einer HD-Wallet abgeleitet wird. Der Hauptzweck des Vorschlags besteht nicht darin, einen Post-Quanten-Signaturalgorithmus auszuwählen. Vielmehr sollen Anreize und Fristen geschaffen werden, damit Nutzer, Börsen, Verwahrer, Wallets und Institutionen tatsächlich rechtzeitig migrieren und wir so ECC außer Betrieb nehmen können, um einen Quantenangriff zu verhindern.
Das Argument für das Einfrieren
Das stärkste Argument für eine Einfrierung geht von einer einfachen Behauptung aus: Ein Quantenangreifer, der aus einem öffentlichen Schlüssel einen privaten Schlüssel ableitet, ist in keinem moralisch bedeutsamen Sinne der rechtmäßige Eigentümer. Aus dieser Sicht ist „lasst einfach zu, dass gefährdete Coins genommen werden“ keine Neutralität; es bedeutet vielmehr, einer neuen Gruppe von Akteuren zu erlauben, alte Outputs zu plündern, weil das Protokoll ein bekanntermaßen schwaches Schloss nicht verstärkt hat. Befürworter einer Einfrierung argumentieren, dass der Schaden, der entsteht, wenn man Quantendiebstahl zulässt, nicht nur fahrlässige Eigentümer betrifft, sondern alle Inhaber, denn ein erfolgreicher Quantenangriff würde Vermögen an diejenigen umverteilen, die als Erste über Quantencomputer mit entsprechenden Fähigkeiten verfügen. Das ist problematisch, denn eine solche Menge an Bitcoin in den Händen eines einzelnen Akteurs, der vergleichsweise wenig Ressourcen aufwenden musste, um sie zu erlangen, kann für die Sicherheit des Ökosystems durchaus gefährlich sein. Das Sicherheitsmodell von Bitcoin geht von wirtschaftlich rationalen Teilnehmern aus, die einen Anreiz haben, den Wert ihrer Coins zu schützen; ein Akteur mit Quantencomputer hat jedoch das Potenzial, diese Annahme zu untergraben. Die Position der Befürworter einer Einfrierung lautet, dass Bitcoin nicht die ersten Akteure, denen es gelingt, ECC zu brechen, mit Munition belohnen sollte, die dazu eingesetzt werden könnte, dem System zu schaden.
Dieses Argument gilt besonders für Coins, von denen angenommen wird, dass sie verloren gegangen sind. Wenn Quantenangreifer plötzlich verlorene Coins wiederherstellen können, erhöht sich das umlaufende Angebot effektiv. Das verletzt zwar nicht die formelle Obergrenze von 21 Millionen, verändert aber die wirtschaftlichen Rahmenbedingungen: Coins, die der Markt möglicherweise als inaktiv betrachtet hat, können wieder in Umlauf kommen – womöglich schnell und in konzentrierten Händen.
Befürworter eines Einfrierens argumentieren außerdem, dass die Bedrohung nicht auf gewöhnliche, profitorientierte Akteure beschränkt ist. Ein Angreifer mit Quantenkapazitäten könnte Bitcoin aus politischen Motiven angreifen, die Märkte destabilisieren, das Vertrauen der Öffentlichkeit untergraben, dem Netzwerk über viele Jahre hinweg Schaden zufügen oder sogar genug Hashrate auf sich vereinen, um einen 51-%-Angriff auf das Netzwerk durchzuführen. Eine Analyse der zugrunde liegenden Spieltheorie zeigt, dass wir nicht einfach davon ausgehen können, ein Angreifer würde anfällige BTC aufspüren, verkaufen und sich anschließend zur Ruhe setzen; es gibt ein weitaus breiteres Spektrum an Strategien und unerwünschten Folgen.
Quelle: BitcoinMagazine
