ชิป Willow ของ Google กับ Bitcoin: ภัยคุกคามควอนตัมใกล้แค่ไหน?

เมื่อสิบวันก่อน ในวันที่ 9 ธันวาคม Google ประกาศเปิดตัว Willow โปรเซสเซอร์ควอนตัมขนาด 105 คิวบิตที่ทำสิ่งซึ่งวงการนี้ไล่ตามมาเกือบสามทศวรรษได้สำเร็จ นั่นคืออัตราความผิดพลาดที่ลดลงเมื่อเครื่องมีขนาดใหญ่ขึ้น การประกาศครั้งนี้ปลุกคำถามที่เก่าแก่ที่สุด ณ จุดตัดระหว่างการประมวลผลควอนตัมกับ Bitcoin ขึ้นมาอีกครั้งในทันที — การเข้ารหัสที่คอยปกป้องเครือข่ายอยู่นั้นกำลังอยู่บนเวลาที่ยืมมาแล้วหรือยัง? คำตอบสั้น ๆ คือ Willow เป็นหมุดหมายทางวิทยาศาสตร์ที่แท้จริง และมันไม่ได้เปลี่ยนแปลงอะไรเลยเกี่ยวกับความปลอดภัยในทางปฏิบัติของเหรียญของคุณในวันนี้

คำตอบแบบยาวคุ้มค่ากับเวลาเก้านาที เพราะระยะห่างระหว่าง "หมุดหมาย" กับ "ภัยคุกคาม" นั้นวัดกันเป็นลำดับขนาด (orders of magnitude) และเพราะ bitcoin กลุ่มย่อยที่เจาะจงและระบุตัวได้กลุ่มหนึ่งมีความเสี่ยงมากกว่าส่วนที่เหลือ ต่อไปนี้เราจะพาไปดูว่า Willow สาธิตอะไรได้จริง การทำลายการเข้ารหัสแบบ elliptic-curve ของ Bitcoin ต้องใช้อะไรบ้าง เหรียญกลุ่มใดจะโดนโจมตีเป็นอันดับแรก และอะไร — ถ้ามี — ที่ผู้ถือครองอย่างรอบคอบควรเปลี่ยนแปลง ณ เดือนธันวาคม 2024

Willow สาธิตอะไรได้จริง

Willow เป็นชิปควอนตัมแบบตัวนำยิ่งยวด (superconducting) ที่มีคิวบิตกายภาพ 105 ตัว สร้างขึ้นที่โรงงานผลิตชิปของ Google ในเมือง Santa Barbara Google เผยแพร่ผลลัพธ์สำคัญสองเรื่อง และเรื่องที่โด่งดังน้อยกว่ากลับสำคัญมากกว่ามาก เรื่องแรกคือ การแก้ไขข้อผิดพลาดควอนตัมแบบต่ำกว่าเกณฑ์ (below-threshold quantum error correction) คิวบิตนั้นเปราะบาง ทั้งความร้อน การสั่นสะเทือน และสัญญาณรบกวนแม่เหล็กไฟฟ้าที่กระจัดกระจายต่างทำให้มันเสียหายอยู่ตลอดเวลา นี่คือเหตุผลที่ในอดีตคอมพิวเตอร์ควอนตัมสร้างข้อผิดพลาดได้เร็วกว่าที่มันสร้างงานที่มีประโยชน์ วิธีแก้มาตรฐานคือการเข้ารหัสคิวบิต "เชิงตรรกะ" (logical) ที่เชื่อถือได้หนึ่งตัวกระจายลงบนคิวบิตกายภาพที่ไม่น่าเชื่อถือหลายตัว — แต่วิธีนี้จะช่วยได้ก็ต่อเมื่ออัตราความผิดพลาดของคิวบิตกายภาพอยู่ต่ำกว่าเกณฑ์วิกฤต หากสูงกว่านั้น การเพิ่มคิวบิตจะเพิ่มสัญญาณรบกวนมากกว่าที่มันกำจัดออกไป

Willow ข้ามเส้นนั้นไปได้ เมื่อ Google ขยาย surface code สำหรับแก้ไขข้อผิดพลาดจากตารางคิวบิตกายภาพขนาด 3×3 เป็น 5×5 แล้วเป็น 7×7 อัตราความผิดพลาดเชิงตรรกะลดลงราวครึ่งหนึ่งในแต่ละขั้น การแก้ไขข้อผิดพลาดแบบต่ำกว่าเกณฑ์หมายความว่าการเพิ่มคิวบิตกายภาพเข้าไปในคิวบิตเชิงตรรกะที่เข้ารหัสไว้ทำให้อัตราความผิดพลาดเชิงตรรกะลดลงแทนที่จะเพิ่มขึ้น นักวิจัยพยายามสาธิตสิ่งนี้ให้เห็นอย่างน่าเชื่อถือมาตั้งแต่ทศวรรษ 1990 นี่คือความก้าวหน้าที่แท้จริงและผ่านการตรวจสอบโดยผู้เชี่ยวชาญ (peer-reviewed) และสมควรได้รับการพิจารณาอย่างจริงจัง

ผลลัพธ์เรื่องที่สองคือเรื่องที่สร้างพาดหัวข่าว Willow ทำการทดสอบมาตรฐานแบบ random circuit sampling เสร็จภายในเวลาไม่ถึงห้านาที ซึ่งตามที่ Google ประเมินเอง ซูเปอร์คอมพิวเตอร์ที่เร็วที่สุดในปัจจุบันเครื่องหนึ่งจะต้องใช้เวลาราว 10²⁵ ปี การเปรียบเทียบนี้เป็นกรอบมุมมองของ Google เองและควรอ่านด้วยความเข้าใจเช่นนั้น random circuit sampling เป็นงานที่ถูกเลือกมาโดยเฉพาะเพราะฮาร์ดแวร์ควอนตัมทำได้ดีโดยธรรมชาติ ในขณะที่ฮาร์ดแวร์แบบดั้งเดิม (classical) ทำได้แย่โดยธรรมชาติ มันไม่มีการใช้งานเชิงพาณิชย์หรือเชิงการเข้ารหัสที่รู้จักเลย มันคือการทดสอบความทนทาน ไม่ใช่เครื่องมือถอดรหัส

การทดสอบมาตรฐานไม่ใช่อัลกอริทึมของ Shor

การโจมตีด้วยควอนตัมที่สำคัญต่อ Bitcoin นั้นเจาะจงมาก คือการรันอัลกอริทึมของ Shor เพื่อโจมตี secp256k1 ซึ่งเป็น elliptic curve ที่อยู่เบื้องหลังลายเซ็นของ Bitcoin ทุกอัน เพื่อคำนวณหา private key จาก public key ที่รู้อยู่แล้ว การคำนวณนั้นต้องรันบนคิวบิตเชิงตรรกะที่ผ่านการแก้ไขข้อผิดพลาดแล้ว เป็นเวลาหลายชั่วโมง โดยไม่ล่มสลายลงภายใต้สัญญาณรบกวนที่สะสมมากขึ้น

การทำลาย secp256k1 ด้วยอัลกอริทึมของ Shor จะต้องใช้คิวบิตเชิงตรรกะที่ผ่านการแก้ไขข้อผิดพลาดในระดับหลายพันตัว ซึ่งเมื่อคิดที่อัตราความผิดพลาดตามความเป็นจริงแล้วจะเท่ากับคิวบิตกายภาพหลายล้านตัว ตามที่งานวิจัยที่ถูกอ้างอิงอย่างกว้างขวางประเมินไว้ Willow มีคิวบิตกายภาพ 105 ตัวและสาธิตคิวบิตเชิงตรรกะที่ดีได้ราวหนึ่งตัว ช่องว่างนี้ไม่ใช่แค่รอบการพัฒนาผลิตภัณฑ์รอบเดียว แต่มันคือราวสี่ลำดับขนาดในจำนวนคิวบิตกายภาพ บวกกับปัญหาทางวิศวกรรมที่ยังไม่มีคำตอบทั้งด้านการทำความเย็นระดับเยือกแข็ง (cryogenics) การเดินสายควบคุม และอัตราผลผลิตในการผลิต ซึ่งยิ่งยากขึ้น — ไม่ใช่ง่ายขึ้น — เมื่อเครื่องมีขนาดใหญ่ขึ้น

ไม่มีนักวิจัยที่น่าเชื่อถือคนใดอ้างว่ามีคอมพิวเตอร์ควอนตัมที่มีนัยสำคัญต่อการเข้ารหัสอยู่ในวันนี้ และแผนงานที่ Google เผยแพร่เองก็วางเครื่องขนาดใหญ่ที่ผ่านการแก้ไขข้อผิดพลาดไว้ห่างออกไปอีกหลายหมุดหมายสำคัญ การประเมินอย่างจริงจังว่าเมื่อไหร่การประมวลผลควอนตัมจะไปถึงระดับนั้นมีตั้งแต่ราวหนึ่งทศวรรษ ไปจนถึงหลายทศวรรษ ไปจนถึงไม่มีวันเกิดขึ้น การประเมินเหล่านี้อาจหดสั้นลงได้ — ประเด็นสำคัญทั้งหมดของ Willow ก็คือการขยายขนาดในตอนนี้ช่วยได้มากกว่าที่จะเป็นโทษ — แต่การหดสั้นลงใด ๆ จะมองเห็นได้ล่วงหน้าเป็นเวลานาน เพราะจำนวนคิวบิตเชิงตรรกะเป็นผลงานวิจัยที่ถูกเผยแพร่ ไม่ใช่ความลับ

bitcoin กลุ่มใดจะโดนโจมตีเป็นอันดับแรก

นี่คือส่วนที่รายงานข่าวส่วนใหญ่มองข้าม ผู้โจมตีด้วยควอนตัมที่รันอัลกอริทึมของ Shor ต้องการ public key ของคุณ และไม่ใช่ทุกเหรียญที่เปิดเผยมันออกมา เอาต์พุตของ Bitcoin แบ่งออกได้เป็นสองกลุ่มกว้าง ๆ

• public key ที่เปิดเผยแล้ว เหรียญยุคแรกสุด — รวมถึง BTC ราวหนึ่งล้านเหรียญที่มักถูกระบุว่ามาจากการขุดในยุค Satoshi — ถูกจ่ายตรงไปยัง public key แบบดิบ (P2PK) ซึ่งอยู่บนเชนให้เห็นกันเต็ม ๆ ทุกที่อยู่ที่ยังคงมียอดคงเหลือหลังจากมีการใช้จ่ายออกไปแล้วก็ถูกเปิดเผยเช่นกัน เพราะการใช้จ่ายครั้งแรกจะเปิดเผย public key ของมัน และเอาต์พุตแบบ Taproot ก็วาง public key ที่ถูกปรับแต่ง (tweaked) ไว้บนเชนโดยการออกแบบเช่นกัน
• เอาต์พุตที่ปกป้องด้วยแฮช ที่อยู่ Bitcoin ที่ยังไม่เคยถูกใช้จ่ายออกไปเลยจะเปิดเผยเพียงแฮชของ public key เท่านั้น ไม่ใช่ตัว public key เอง และอัลกอริทึมของ Shor ไม่สามารถเล็งไปที่แฮชได้ สำหรับเหรียญเหล่านี้ ช่องเดียวของผู้โจมตีคือช่วงเวลาสั้น ๆ ระหว่างการกระจายธุรกรรม (broadcast) ซึ่งเปิดเผยกุญแจ กับตอนที่ธุรกรรมนั้นได้รับการยืนยัน — เป็นการแข่งกับเครือข่ายที่ยากยิ่งกว่ามาก

กลุ่มที่เปิดเผยแล้วนี้ไม่ได้เล็ก บทวิเคราะห์ของ Deloitte ที่ถูกอ้างอิงอย่างกว้างขวางชิ้นหนึ่งประเมินว่าเอาต์พุตที่มี public key เปิดเผยถือครอง bitcoin อยู่ราวหนึ่งในสี่ของทั้งหมด ส่วนใหญ่เป็นเหรียญ P2PK ยุคแรกและที่อยู่ที่ถูกใช้ซ้ำ หากเครื่องที่มีนัยสำคัญต่อการเข้ารหัสมาถึงจริงสักวัน เหรียญเหล่านั้น — จำนวนมากพิสูจน์ได้ว่านิ่งสนิท เจ้าของจากไปนานแล้ว — คือนกขมิ้นในเหมือง (canary) พวกมันจะถูกโจมตีก่อนอย่างเปิดเผยและชัดเจนจนไม่อาจเข้าใจผิด และเครือข่ายจะได้รับสัญญาณเตือนที่ชัดเจนไม่กำกวมก่อนที่เหรียญซึ่งปกป้องด้วยแฮชจะถูกแตะต้องได้

วิธีแก้มีอยู่แล้ว การย้ายต่างหากคือส่วนที่ยาก

การเข้ารหัสแบบ post-quantum ไม่ใช่เรื่องทางทฤษฎีอีกต่อไป ในเดือนสิงหาคม 2024 NIST ได้สรุปมาตรฐาน post-quantum สามฉบับแรกอย่างเป็นทางการ — FIPS 203, 204 และ 205 — ซึ่งครอบคลุมการห่อหุ้มกุญแจ (key encapsulation) และลายเซ็นดิจิทัลที่ออกแบบมาเพื่อต้านทานการโจมตีด้วยควอนตัม Bitcoin สามารถนำเอาต์พุตประเภทที่ต้านทานควอนตัมมาใช้ได้ผ่าน soft fork ซึ่งเป็นเส้นทางอัปเกรดแบบเดียวกับที่นำ SegWit และ Taproot มาสู่เครือข่าย

ปัญหาที่ยากจริง ๆ นั้นเป็นเรื่องเชิงปฏิบัติ ไม่ใช่เชิงคณิตศาสตร์ ลายเซ็นแบบ post-quantum มีขนาดใหญ่ — เป็นกิโลไบต์ เทียบกับราว 70 ไบต์สำหรับลายเซ็น secp256k1 — ซึ่งกดดันพื้นที่ในบล็อก การย้ายกำหนดให้ผู้ถือครองทุกคนต้องโอนเหรียญไปยังเอาต์พุตประเภทใหม่ เป็นการประสานงานข้ามผู้เข้าร่วมนับสิบล้านคน และเหรียญนับล้านที่กุญแจสูญหายไปแล้วจะไม่มีวันย้ายได้เลย ซึ่งท้ายที่สุดจะบีบให้ชุมชนต้องตัดสินใจในเรื่องที่ไม่สบายใจนัก คือปล่อยให้มันเป็นรางวัลล่อสำหรับควอนตัม (quantum bounty) หรือแช่แข็งมันไว้ที่ระดับโปรโตคอล เหล่านี้เป็นคำถามด้านการกำกับดูแล (governance) และการกำกับดูแลเคลื่อนที่ช้ากว่าคณิตศาสตร์ นี่คือเหตุผลที่ตรงไปตรงมาสำหรับการเริ่มใส่ใจแต่เนิ่น ๆ — ไม่ใช่ความตื่นตระหนก แต่คือเวลาเผื่อล่วงหน้า

Willow เปลี่ยนวิธีที่คุณถือกุญแจอย่างไร: ไม่เปลี่ยนเลย และนั่นแหละคือประเด็น

ณ ขณะที่เขียนบทความนี้ ภัยคุกคามที่ทำให้ผู้คนต้องสูญเสีย bitcoin จริง ๆ นั้นไม่เปลี่ยนแปลง ทั้งฟิชชิง การถูกขโมย seed phrase มัลแวร์บนอุปกรณ์ที่ออนไลน์ ความล้มเหลวของผู้ดูแล และการสูญหายไปเฉย ๆ การอ่าน Willow อย่างมีสติทำให้เช็กลิสต์ความปลอดภัยของคุณอยู่ที่เดิมทุกประการ — แม้จะน่าสังเกตว่าสุขอนามัยกุญแจที่ดีกับสุขอนามัยควอนตัมที่ดีนั้นแทบจะเป็นรายการเดียวกัน:

• อย่าใช้ที่อยู่ซ้ำ การใช้ซ้ำทำให้ public key ของคุณรั่วไหลอย่างถาวรและย้ายเหรียญของคุณเข้าไปอยู่ในกลุ่มที่เปิดเผยแล้ว สำหรับฮาร์ดแวร์ใดก็ตามที่จะมีในอีกหลายสิบปีข้างหน้า กระเป๋าสมัยใหม่หมุนเวียนที่อยู่ให้โดยอัตโนมัติ ปล่อยให้มันทำหน้าที่ไป
• เก็บกุญแจไว้แบบออฟไลน์ ไม่ว่าอนาคตอันไกลจะเป็นอย่างไร การโจมตีในวันนี้ล้วนมาทางเครือข่าย เวิร์กโฟลว์กระเป๋าเย็นของ Ownbit เปลี่ยนโทรศัพท์เครื่องสำรองให้กลายเป็นเครื่องลงนามแบบ air-gapped ที่แลกเปลี่ยนธุรกรรมที่ยังไม่ได้ลงนามและลายเซ็นด้วย QR code ล้วน ๆ และโมเดลความปลอดภัยของเราถูกสร้างขึ้นเพื่อให้การกู้คืนไม่ต้องพึ่งพาเซิร์ฟเวอร์ของ Ownbit เลย
• กำจัดจุดล้มเหลวเพียงจุดเดียว seed phrase ชุดเดียวอยู่ห่างจากการสูญเสียทั้งหมดเพียงการถูกขโมยครั้งเดียว ไฟไหม้บ้านครั้งเดียว หรือทายาทที่สับสนเพียงคนเดียว — เป็นความเสี่ยงที่เกิดขึ้นจริงทุกวัน ไม่เหมือนอัลกอริทึมของ Shor

มีข้อควรระวังที่ตรงไปตรงมาข้อหนึ่งที่ควรกล่าวไว้ตรงนี้ ไม่มีระบบจัดการกุญแจใดเปลี่ยนแปลง curve ที่อยู่เบื้องหลังได้ ทั้ง multisig, MPC และ hardware wallet ล้วนลงเอยที่ลายเซ็นซึ่งถูกตรวจสอบด้วยคณิตศาสตร์ elliptic-curve แบบเดียวกันบนเชน ประเด็นที่เราได้กล่าวไว้ในบทเปรียบเทียบ MPC กับ MultiSigของเราเช่นกัน สิ่งที่ Ownbit MultiSig เปลี่ยนแปลงคือทุกอย่างที่คุกคามคุณก่อนที่เครื่องควอนตัมใด ๆ จะมีอยู่จริง มันแยกอำนาจการควบคุมออกไปยัง seed phrase มาตรฐานแบบ BIP39 ที่เป็นอิสระต่อกัน ดังนั้นการที่อุปกรณ์เพียงเครื่องเดียวถูกเจาะหรือข้อมูลสำรองชุดเดียวสูญหายจึงไม่สามารถย้ายเงินได้ และเพราะมันถูกสร้างบนมาตรฐานเปิดด้วยสัญญาแบบโอเพนซอร์ส มันจึงอยู่บนเส้นทางอัปเกรดเดียวกับส่วนที่เหลือของระบบนิเวศเมื่อลายเซ็นประเภท post-quantum มาถึงในที่สุด

คำถามที่พบบ่อย