Blockstream Research ha reducido las opciones prácticas de firmas poscuánticas para Bitcoin tras descartar Hawk, un diseño compacto basado en retículas que perdió credibilidad después de revelarse una nueva debilidad estructural. Su evaluación deja a Falcon y Dilithium como los principales candidatos basados en retículas, con compensaciones orientadas a Bitcoin que se dividen claramente entre tamaño de transacción, seguridad de implementación, velocidad de verificación y compatibilidad con monederos.
La revisión sitúa el colapso de Hawk en el centro de la comparación. Hawk había atraído atención por sus firmas pequeñas y su bajo consumo de memoria, cualidades que habrían limitado el coste en cadena de una actualización poscuántica. Una investigación de Straznickas y Weis encontró un problema estructural que reduce la dimensión efectiva del problema del vector más corto disponible para la recuperación de claves a aproximadamente la mitad del nivel asumido por los diseñadores de Hawk, reduciendo su margen de seguridad estimado.
Blockstream Research afirmó que los investigadores demostraron un ataque completo de recuperación de claves contra unos parámetros de prueba llamados HAWK-256. El trabajo no demostró rupturas prácticas equivalentes contra los conjuntos formales de parámetros HAWK-512 y HAWK-1024. Sin embargo, el equipo de Hawk retiró posteriormente su propuesta del proceso poscuántico del Instituto Nacional de Estándares y Tecnología de EE. UU., según la evaluación.
Corregir la debilidad aumentando sustancialmente los parámetros de Hawk erosionaría la eficiencia de espacio que lo hacía atractivo. Hawk-512 ofrecía una firma de 555 bytes y un requisito de memoria para el firmante de unos 6 kilobytes. Blockstream Research concluyó que el diseño ya no es una opción viable para la planificación de Bitcoin.
El problema de migración de Bitcoin se mide en décadas
Bitcoin utiliza actualmente firmas Schnorr y ECDSA para autorizar transacciones. Ambas son vulnerables en principio al algoritmo de Shor, el resultado de computación cuántica publicado por Peter Shor en 1994 que podría resolver los problemas matemáticos subyacentes a la criptografía de clave pública ampliamente utilizada si llegan a existir máquinas cuánticas con capacidad suficiente.
Blockstream Research considera el problema como una cuestión de migración e ingeniería más que como una emergencia inminente del protocolo. Las salidas de Bitcoin pueden permanecer sin gastar durante décadas, por lo que el informe sostiene que cualquier sustitución futura debería aspirar al menos a la categoría de seguridad de Nivel 3 del NIST. Ese estándar crea una tensión directa entre el margen criptográfico y el espacio en la cadena de bloques: la evaluación estima que elevar Dilithium del Nivel 2 al Nivel 3 añade aproximadamente 1,5 kilobytes a los datos combinados de clave pública y firma.
Los investigadores evaluaron los esquemas según cuatro restricciones operativas: coste en cadena, complejidad de implementación, riesgo de despliegue y potencial de desarrollo a largo plazo. Las claves públicas y las firmas se convierten en datos de transacción cuando se gastan las monedas, lo que hace que su tamaño sea especialmente importante en una red en la que cada nodo completo verifica de forma independiente cada firma.
Las preocupaciones de implementación tienen el mismo peso. Los diseños criptográficos que dependen de aritmética de coma flotante o de un delicado muestreo gaussiano pueden crear comportamientos específicos de la plataforma, exposición a canales laterales o errores de corrección. Los monederos hardware añaden otra restricción porque sus recursos de memoria y procesamiento son limitados en comparación con los sistemas de escritorio.
Dilithium ofrece una ingeniería más segura a un gran coste de espacio
Dilithium, estandarizado por el NIST como ML-DSA en FIPS 204, surgió como el candidato de implementación más sencillo. El esquema utiliza únicamente aritmética entera durante la firma y la verificación, evitando los desafíos de coma flotante y muestreo asociados con Falcon.
Esa ventaja de implementación conlleva una huella sustancial en cadena. En el Nivel 3 del NIST, el conjunto de parámetros ML-DSA-65 utiliza una clave pública de 1.952 bytes y una firma de 3.309 bytes, para un total combinado de 5.261 bytes. Blockstream Research estima que esto es unas 55 veces mayor que la huella actual combinada de clave pública y firma nativa de Bitcoin.
Tal expansión afectaría a la construcción de transacciones de forma más directa que los cambios habituales en las tarifas. Las comisiones de Bitcoin se pagan según el peso de la transacción, y un sistema de firmas que añada varios kilobytes por gasto haría que los patrones comunes de gasto fueran considerablemente más grandes. El coste variaría según las condiciones de las tarifas y la estructura más amplia de la transacción, pero la carga de datos subyacente estaría fijada por la elección de la firma.
Dilithium tiene otra ventaja en la investigación específica de Bitcoin. Fue el único candidato basado en retículas de la revisión con un cuerpo de trabajo a corto plazo orientado a la derivación jerárquica determinista de claves al estilo BIP-32 mediante claves rerandomizables. La derivación jerárquica permite a las carteras generar muchas direcciones a partir de una semilla maestra sin exponer material privado.
El informe examinó propuestas como DilithiumRK y DilithiumRKS, pero concluyó que ninguna está lista para desplegarse. Algunas variantes carecen de las pruebas de seguridad necesarias, mientras que otras requerirían cambios en las reglas de validación. Los diseños también dependen de una matriz compartida globalmente, vinculando muchas claves a una instancia criptográfica común y creando una consideración adicional para el despliegue.
Falcon conserva espacio en bloque pero plantea desafíos para las carteras
Falcon, seleccionado por NIST con el nombre FN-DSA, ofrece la ruta más compacta entre las dos opciones de retículas restantes. Blockstream Research enumera un tamaño combinado de clave pública y firma de 1.563 bytes para Falcon-512 y 3.073 bytes para Falcon-1024.
Falcon no tiene un conjunto de parámetros NIST de Nivel 3. Las opciones disponibles corresponden a los Niveles 1 y 5, lo que empuja a los desarrolladores de Bitcoin hacia Falcon-1024 si prefieren un mayor margen de seguridad para salidas de larga duración. Incluso con esa configuración, el tamaño combinado de datos de Falcon-1024 está sustancialmente por debajo de los 5.261 bytes de ML-DSA-65.
Su principal inconveniente está en la firma. Las implementaciones tradicionales de Falcon utilizan operaciones de coma flotante en el dominio de Fourier durante el muestreo, lo que puede producir resultados diferentes según el entorno de hardware y software. Blockstream Research describió una alternativa determinista que simula el comportamiento requerido con aritmética entera. La contrapartida es el rendimiento: la firma se vuelve unas 15 veces más lenta y la generación de claves aproximadamente el doble de lenta, según la evaluación.
La verificación es más favorable. El informe describe la verificación de Falcon como determinista, basada únicamente en enteros y la más rápida entre los candidatos revisados. Esa distinción es relevante para Bitcoin porque quien gasta firma una vez, mientras que los nodos completos de la red verifican la firma de forma independiente.
La memoria sigue siendo una preocupación práctica para los dispositivos con recursos limitados. Falcon-1024 puede usar un árbol de muestreo precalculado que requiere unos 90 kilobytes. Reconstruir esa estructura dinámicamente reduce el uso de memoria a aproximadamente 16 kilobytes, pero duplica el tiempo de firma.
La derivación de claves y la estandarización siguen sin resolverse
Falcon también carece de un enfoque de derivación viable al estilo BIP-32, según la revisión. La única construcción pública examinada ampliaría las firmas on-chain a unos 23,7 kilobytes al volver a aleatorizar la base privada y aumentar el límite de norma. Blockstream Research afirmó que los parámetros propuestos no cumplen las propias condiciones de seguridad del esquema, mientras que corregirlos aumentaría aún más el tamaño.
El propio FN-DSA aún no ha alcanzado la fase final, por lo que las implementaciones auditadas, los vectores de prueba oficiales y el amplio soporte de hardware siguen incompletos. El informe también analizó Falcon-WS, una variante no estándar con tamaños combinados de 1.114 bytes en el Nivel 1 y 2.387 bytes en el Nivel 5. Falcon-WS se sitúa fuera de la vía oficial de estandarización y necesita un análisis adicional tras trabajos anteriores que detectaron un fallo en una prueba de fuerte infalsificabilidad, aunque la infalsificabilidad ordinaria no se vio afectada.
La postura a corto plazo de Blockstream Research favorece las firmas basadas en hash como una vía de transición de menor riesgo mientras los esquemas de retícula maduran. También consideró construcciones híbridas que podrían combinar una firma de retícula con un respaldo basado en hash, incluidas rutas de recuperación en las que una gran firma SPHINCS+ se sustituye por Falcon o Falcon-WS para operaciones de recuperación poco frecuentes.
La evaluación no selecciona un esquema final de firma para Bitcoin. En su lugar, plantea claramente la elección actual: Dilithium reduce el riesgo de implementación, pero impondría un coste de datos grande y permanente, mientras que Falcon ofrece transacciones mucho más pequeñas y una rápida verificación de red, pero requiere soluciones para la firma determinista, los límites de memoria de las carteras, la estandarización y la derivación jerárquica de claves.
Para profundizar en tu comprensión de la seguridad de las transacciones en la era cuántica, explora nuestra guía aquí a continuación.
Aviso legal: El contenido de esta página se proporciona únicamente con fines informativos generales y no representa las opiniones ni el asesoramiento financiero de Toobit. No ofrecemos garantías sobre la exactitud o integridad de esta información y no asumimos responsabilidad alguna por errores, omisiones o resultados derivados de su uso. Invertir en activos digitales implica riesgos; los usuarios deben evaluar de forma independiente su situación financiera y los riesgos involucrados. Para más detalles, consulta nuestros Términos del servicio y Divulgación de riesgos.
