Kvantefaren for krypto: Panikken er for tidlig

Da Googles kvanteforskningshold i marts offentliggjorde en artikel, der reviderede ressourceestimatet for at bryde elliptisk-kurve-kryptografi, reagerede kryptoindustrien temmelig overdrevet. Nogle gik så langt som til at kalde det enden på Bitcoin.

Tidligere estimater konkluderede, at det ville kræve titusindvis af logiske qubits at knække 256-bit elliptisk-kurve-kryptografi med Shors algoritme. Googles hold sænkede imidlertid tallet til færre end 1.200 logiske qubits – en 20 gange reduktion i de anslåede omkostninger ved angrebet.

Nu hvor angrebet teoretisk set er billigere, hvordan påvirker det så de Bitcoin, du har i din tegnebog, om ti år? Når alt kommer til alt, er ingen kvantecomputer på Jorden i nærheden af at kunne opretholde 1.200 fejltolerante logiske qubits.

Det skal ikke være som med den herre, der hævdede, at mennesket ikke ville komme til at flyve i en million år, blot 9 dage før brødrene Wright kom på vingerne. Men at nå dertil ville kræve den slags gennembrud, man ser i tredje akt af science fiction-film.

Lad os derfor antage, at gennembruddet er nært forestående. For alle, der har aktiver på en blockchain sikret med elliptisk-kurve-kryptografi, bliver det eneste spørgsmål: Hvor meget tid har vi?

Efter min mening er det en mere nyttig måde at tænke på problemet på: ikke om kvantecomputere på et tidspunkt vil bryde dagens kryptografi, men om branchen kan gennemføre overgangen, inden det bliver muligt.

Ikke al krypto

Shors algoritme genskaber en privat nøgle ud fra en offentlig nøgle. Hvis den offentlige nøgle ikke er eksponeret på kæden, har algoritmen ikke noget at arbejde med.

De fleste moderne Bitcoin-adressetyper holder den offentlige nøgle skjult, indtil midlerne bruges. P2PKH og P2WPKH hasher den, mens P2PK og Taproot eksponerer den med det samme. Risikoen er koncentreret omkring adresser, hvor en tidligere transaktion allerede har afsløret nøglen.

Analyse af kæden viser, at over 34 % af alle Bitcoin i omløb har fået deres offentlige nøgler eksponeret. Det drejer sig om cirka 1,7 millioner BTC fordelt på omtrent 20.000 eksponerede nøgler i ældre adresser.

Ethereum står over for en bredere udgave af det samme problem. Alle eksternt ejede konti, der nogensinde har underskrevet en transaktion, har afsløret tilstrækkelige oplysninger til, at deres offentlige nøgle kan genskabes. Ud over de enkelte konti afhænger validatorernes BLS-signaturer, KZG-forpligtelser og nogle nulvidensbevis-systemer også af kryptografi, som en tilstrækkeligt kraftig kvantecomputer kunne bryde.

Overgangen er allerede i gang

Kvantecomputere udgør en trussel mod RSA og elliptisk-kurve-kryptografi inden for bankvæsen, offentlige PKI-systemer og sikker kommunikation, så blockchain-netværk er blot en del af en langt større omstilling.

NIST færdiggjorde sine første tre standarder for postkvantekryptografi i august 2024: ML-KEM til etablering af nøgler samt ML-DSA og SLH-DSA til digitale signaturer. På blockchainområdet har Bitcoin BIP-360, som blev indlemmet i det officielle arkiv i februar 2026. Forslaget fjernede behovet for at eksponere en klassisk offentlig nøgle på kæden.

Ethereums protokolgruppe sigter mod et kvantemodstandsdygtigt basislag inden december 2029, der omfatter eksekvering, konsensus og data.

Det kræver fem hard forks at gennemføre dette, med omtrent syv måneder mellem hver.

Disse tidsplaner er ikke særlige for krypto. Google har sat sig et internt mål om 2029 for at gennemføre sin egen overgang til postkvantekryptografi, mens Storbritanniens National Cyber Security Centre har sat 2035 som mål for at være færdig. Blockchain-netværk gennemgår altså overgangen som led i en langt bredere kryptografisk omstilling, ikke som reaktion på en trussel, der er unik for krypto.

Regnestykket bag tidsplanen

En rapport fra Citigroup tidligere i år anslog en 19-34 % sandsynlighed for, at en kvantecomputer med kryptografisk relevans dukker op inden 2034.

De fleste blockchain-netværks overgangsplaner sigter alle mod at være færdige inden 2034, så kapløbet er i øjeblikket til forsvarernes fordel.

Jeg mener, at det er her, kryptoindustriens aktuelle panik bygger på en forkert tidsplan. Kvantetruslen er reel, men den relevante frist er ikke den dag, en kvantecomputer bliver tilgængelig. Det er fristen for at flytte sårbare aktiver og infrastrukturer, inden det sker.

Den eneste bekymring nu er smuthullet med at indsamle nu og dekryptere senere. En angriber kan katalogisere eksponerede offentlige nøgler i dag og forsøge at genskabe nøglerne, når der findes en tilstrækkeligt kapabel maskine.

Derfor kan planlægningen af overgangen ikke vente, til kvantecomputerne kommer. Når de først er her, er alle eksponerede nøgler allerede i fare.

Hvad vi kan gøre nu

For de fleste brugere er phishing, signering af transaktioner i ondsindede dApps, kompromitteret firmware og dårlig entropi ved generering af nøgler stadig langt mere sandsynlige årsager til økonomiske tab end en kvantecomputer.

Det fornuftige er at holde fast i begge forhold på én gang. Styrk forsvaret mod aktuelle angreb. Lad være med at genbruge adresser. Brug tegnebogssoftware, der som standard benytter outputtyper, som skjuler offentlige nøgler. Og følg med i tidsplanerne for overgangen.