A Blockstream Research reduziu as escolhas práticas de assinaturas pós-quânticas para o Bitcoin após excluir o Hawk, um design compacto baseado em reticulados que perdeu credibilidade na sequência de uma fraqueza estrutural recentemente divulgada. A sua avaliação deixa Falcon e Dilithium como os principais candidatos baseados em reticulados, com compromissos específicos para o Bitcoin que dividem claramente entre tamanho das transações, segurança de implementação, velocidade de verificação e compatibilidade com carteiras.
A análise coloca o colapso do Hawk no centro da comparação. O Hawk tinha atraído atenção pelas assinaturas pequenas e pela baixa utilização de memória, qualidades que teriam limitado o custo on-chain de uma atualização pós-quântica. Investigação de Straznickas e Weis encontrou um problema estrutural que reduz a dimensão efetiva do problema do vetor mais curto disponível para recuperação de chaves para cerca de metade do nível assumido pelos criadores do Hawk, reduzindo a sua margem de segurança estimada.
A Blockstream Research afirmou que os investigadores demonstraram um ataque completo de recuperação de chaves contra parâmetros de teste chamados HAWK-256. O trabalho não demonstrou falhas práticas equivalentes contra os conjuntos formais de parâmetros HAWK-512 e HAWK-1024. Ainda assim, a equipa do Hawk retirou posteriormente a sua submissão do processo pós-quântico do Instituto Nacional de Padrões e Tecnologia dos EUA, segundo a avaliação.
Corrigir a fraqueza através de um aumento substancial dos parâmetros do Hawk reduziria a eficiência de espaço que o tornava atrativo. O Hawk-512 oferecia uma assinatura de 555 bytes e uma exigência de memória para o signatário de cerca de 6 kilobytes. A Blockstream Research concluiu que o design já não é uma opção viável para o planeamento do Bitcoin.
O problema de migração do Bitcoin mede-se em décadas
O Bitcoin utiliza atualmente assinaturas Schnorr e ECDSA para autorizar transações. Ambas são vulneráveis, em princípio, ao algoritmo de Shor, o resultado da computação quântica publicado por Peter Shor em 1994 que poderia resolver os problemas matemáticos subjacentes à criptografia de chave pública amplamente utilizada caso se tornem disponíveis máquinas quânticas suficientemente capazes.
A Blockstream Research trata a questão como um problema de migração e engenharia, e não como uma emergência iminente do protocolo. As saídas de Bitcoin podem permanecer por gastar durante décadas, pelo que o relatório defende que qualquer substituição eventual deverá visar, pelo menos, a categoria de segurança Nível 3 do NIST. Essa norma cria uma tensão direta entre margem criptográfica e espaço na blockchain: a avaliação estima que elevar o Dilithium do Nível 2 para o Nível 3 acrescenta cerca de 1,5 kilobytes aos dados combinados de chave pública e assinatura.
Os investigadores avaliaram os esquemas segundo quatro restrições operacionais: custo on-chain, complexidade de implementação, risco de implementação e potencial de desenvolvimento a longo prazo. As chaves públicas e assinaturas tornam-se dados de transação quando as moedas são gastas, tornando o seu tamanho especialmente relevante numa rede em que cada nó completo verifica independentemente cada assinatura.
As preocupações de implementação têm igual peso. Os desenhos criptográficos que dependem de aritmética de vírgula flutuante ou de amostragem gaussiana delicada podem criar comportamentos específicos da plataforma, exposição a canais laterais ou erros de correção. As hardware wallets acrescentam outra restrição, porque os seus recursos de memória e processamento são limitados em comparação com sistemas de secretária.
Dilithium oferece uma engenharia mais segura com um elevado custo de espaço
O Dilithium, padronizado pelo NIST como ML-DSA em FIPS 204, surgiu como o candidato de implementação mais simples. O esquema utiliza apenas aritmética inteira durante a assinatura e verificação, evitando os desafios de vírgula flutuante e amostragem associados ao Falcon.
Essa vantagem de implementação traz uma pegada on-chain substancial. No Nível 3 do NIST, o conjunto de parâmetros ML-DSA-65 utiliza uma chave pública de 1.952 bytes e uma assinatura de 3.309 bytes, totalizando 5.261 bytes. A Blockstream Research estima que isto é cerca de 55 vezes maior do que a atual pegada nativa de chave pública mais assinatura do Bitcoin.
Tal expansão afetaria a construção de transações de forma mais direta do que alterações comuns nas taxas de comissão. As taxas do Bitcoin são pagas de acordo com o peso da transação, e um sistema de assinaturas que acrescente vários kilobytes por gasto tornaria os padrões comuns de utilização materialmente maiores. O custo variaria consoante as condições das taxas e a estrutura mais ampla da transação, mas a carga subjacente de dados seria fixa pela escolha da assinatura.
O Dilithium tem outra vantagem na investigação específica do Bitcoin. Foi o único candidato baseado em reticulados na revisão com um conjunto de trabalhos de curto prazo direcionados para a derivação hierárquica determinística de chaves ao estilo BIP-32 através de chaves rerandomizáveis. A derivação hierárquica permite que as carteiras gerem muitos endereços a partir de uma seed principal sem expor material privado.
O relatório examinou propostas incluindo DilithiumRK e DilithiumRKS, mas concluiu que nenhuma está pronta para implementação. Algumas variantes não possuem as provas de segurança necessárias, enquanto outras exigiriam alterações às regras de validação. Os desenhos também dependem de uma matriz partilhada globalmente, ligando muitas chaves a uma instância criptográfica comum e criando uma consideração adicional de implementação.
Falcon preserva espaço em bloco, mas levanta desafios para as carteiras
O Falcon, selecionado pelo NIST sob o nome FN-DSA, oferece a opção mais compacta entre as duas alternativas baseadas em reticulados restantes. A Blockstream Research indica um tamanho combinado de chave pública e assinatura de 1.563 bytes para o Falcon-512 e 3.073 bytes para o Falcon-1024.
O Falcon não tem um conjunto de parâmetros NIST de Nível 3. As opções disponíveis correspondem aos Níveis 1 e 5, levando os programadores de Bitcoin a optar pelo Falcon-1024 se preferirem uma margem de segurança mais elevada para saídas de longa duração. Mesmo nessa configuração, o tamanho combinado dos dados do Falcon-1024 é significativamente inferior aos 5.261 bytes do ML-DSA-65.
A sua principal desvantagem está na assinatura. As implementações tradicionais do Falcon utilizam operações de vírgula flutuante no domínio de Fourier durante a amostragem, o que pode produzir resultados diferentes entre ambientes de hardware e software. A Blockstream Research descreveu uma alternativa determinística que simula o comportamento necessário com aritmética inteira. A contrapartida é o desempenho: a assinatura torna-se cerca de 15 vezes mais lenta e a geração de chaves cerca de duas vezes mais lenta, segundo a avaliação.
A verificação é mais favorável. O relatório descreve a verificação do Falcon como determinística, baseada apenas em inteiros e a mais rápida entre os candidatos analisados. Essa distinção é relevante para o Bitcoin porque um utilizador assina uma vez, enquanto os nós completos da rede verificam a assinatura de forma independente.
A memória continua a ser uma preocupação prática para dispositivos com recursos limitados. O Falcon-1024 pode usar uma árvore de amostragem pré-computada que requer cerca de 90 quilobytes. Reconstruir essa estrutura dinamicamente reduz o uso de memória para aproximadamente 16 quilobytes, mas duplica o tempo de assinatura.
A derivação de chaves e a normalização continuam por resolver
Segundo a análise, o Falcon também carece de uma abordagem de derivação viável ao estilo BIP-32. A única construção pública examinada aumentaria as assinaturas on-chain para cerca de 23,7 kilobytes ao rerandomizar a base privada e aumentar o limite da norma. A Blockstream Research afirmou que os parâmetros propostos não cumprem as próprias condições de segurança do esquema, enquanto corrigi-los aumentaria ainda mais o tamanho.
O próprio FN-DSA ainda não foi finalizado, deixando incompletas as implementações auditadas, os vetores de teste oficiais e o amplo suporte de hardware. O relatório também discutiu o Falcon-WS, uma variante não padronizada com tamanhos combinados de 1.114 bytes no Nível 1 e 2.387 bytes no Nível 5. O Falcon-WS está fora da via oficial de padronização e necessita de mais análise após trabalhos anteriores terem encontrado uma falha numa prova de forte impossibilidade de falsificação, embora a impossibilidade de falsificação comum não tenha sido afetada.
A posição de curto prazo da Blockstream Research favorece assinaturas baseadas em hash como uma rota de transição de menor risco enquanto os esquemas de reticulados amadurecem. Também considerou construções híbridas que poderiam combinar uma assinatura de reticulado com uma alternativa baseada em hash, incluindo caminhos de recuperação em que uma grande assinatura SPHINCS+ é substituída por Falcon ou Falcon-WS para operações de recuperação pouco frequentes.
A avaliação não escolhe um esquema final de assinatura para Bitcoin. Em vez disso, enquadra claramente a escolha atual: o Dilithium reduz o risco de implementação, mas imporia um custo de dados elevado e permanente, enquanto o Falcon oferece transações muito menores e verificação rápida na rede, mas requer soluções para assinatura determinística, limites de memória das carteiras, padronização e derivação hierárquica de chaves.
Para aprofundar a sua compreensão da segurança das transações na era quântica, explore o nosso guia aqui seguinte.
Aviso legal: O conteúdo desta página é fornecido apenas para fins informativos gerais e não representa as opiniões nem aconselhamento financeiro da Toobit. Não damos quaisquer garantias quanto à exatidão ou integridade desta informação e não poderemos ser responsabilizados por quaisquer erros, omissões ou resultados decorrentes da sua utilização. Investir em ativos digitais envolve risco; os utilizadores devem avaliar de forma independente a sua situação financeira e os riscos envolvidos. Para mais detalhes, consulte os nossos Termos de Serviço e Divulgação de Risco.
