Qué pasó
El 8 de junio de 2024, Hunter Beast envió a la lista de correo de desarrollo de Bitcoin un borrador titulado "Proposing a P2QRH BIP towards a quantum resistant soft fork". P2QRH significa pay to quantum resistant hash. Se describe como "the first in a series of BIPs regarding a hypothetical 'QuBit' soft fork", y el autor admite con franqueza que es "a rough draft and not the finished BIP".
El argumento para empezar ahora es de procedimiento más que de urgencia: "Bitcoin development and activation is slow, so it's important that those with low time preference start discussing this as a serious possibility sooner rather than later."
Qué cambia
Nada todavía. Lo que identifica es una regresión concreta, y esa parte vale la pena seguirla aunque el borrador no llegue a ningún lado.
Una computadora cuántica que corriera el algoritmo de Shor derivaría una clave privada a partir de una clave pública. Así que la pregunta para cualquier salida es simple: ¿está visible la clave pública antes de que la moneda se mueva?
Para una salida pay to witness public key hash, no lo está. La cadena guarda un hash de 20 bytes. La clave aparece solo en el witness de la transacción que gasta, y para entonces la moneda ya se movió. La exposición dura lo que la transacción esté sin confirmar, y se cierra sola.
Taproot es distinto, y ese es el punto del borrador. BIP 341 define una salida Taproot como un valor de 32 bytes que no es un hash: es la propia clave de salida, un punto de la curva, formado ajustando una clave interna con la raíz de Merkle del árbol de scripts. Una salida Taproot publicó su clave pública en el momento en que se fondeó, y esa clave queda a la vista mientras la moneda siga sin gastarse. Lo único que la protege es un supuesto sobre lo difícil que es el problema del logaritmo discreto, sostenido durante un periodo ilimitado en lugar de unos minutos.
La respuesta de la propuesta es definir una salida que conserve el árbol de scripts pero no tenga gasto por key path, de modo que lo comprometido en cadena vuelva a ser un hash.
Qué no cambia
No protege monedas que ya están en salidas expuestas. Las monedas muy tempranas se pagaron directamente a claves públicas, sin hash alguno, y reutilizar cualquier dirección publica su clave en el primer gasto. Un tipo de salida nuevo no las alcanza, y el borrador no propone mover las monedas de nadie.
Tampoco defiende la ventana sin confirmar. Sea cual sea el tipo de salida, gastar revela lo necesario para verificarlo, y un atacante lo bastante rápido podría actuar antes de la confirmación.
Sobre todo, no vuelve poscuántico a Bitcoin. Quitar una clave expuesta reduce el blanco; no reemplaza el esquema de firma. El propio autor lo plantea diciendo que en algún momento "we will need to pick a signature algorithm, implement it, and have it ready", y esa elección no se hace acá.
Esto es un mensaje en una lista de correo. No hay número de BIP, ni implementación, ni mecanismo de activación, ni consenso para uno.
Contexto
Taproot se activó en noviembre de 2021, y la exposición que se describe acá es una consecuencia conocida de cómo funciona, aceptada por beneficios que nada tenían que ver con computadoras cuánticas: gastos cooperativos más chicos, y arreglos de gasto que no anuncian su forma.
La criptografía para reemplazar lo que está en riesgo tampoco está definida. NIST publicó borradores de estándares de firma poscuántica en agosto de 2023 y todavía no los ha finalizado, que es parte de por qué una propuesta escrita ahora puede nombrar el problema con más confianza que la solución.