Het plan om kwantumkwetsbare bitcoin te bevriezen kreeg altijd al kritiek omdat het permanent eigendom leek te breken. Project Eleven denkt daar nu een antwoord op te hebben: een zero-knowledge-bewijs waarmee de echte eigenaar zijn munten kan terughalen nadat een kwantumcomputer handtekeningen kan vervalsen. Alleen werkt die uitweg juist niet voor de oudste portefeuilles, waaronder de naar schatting 1,1 miljoen BTC die aan Satoshi Nakamoto worden toegeschreven.
Kerncijfers
- Bewijs genereren: 243 milliseconden op vier cores (M5 MacBook Air)
- Verificatie: 40 milliseconden, ongeveer 2 GB geheugen, geen GPU
- Snelheidswinst: 16x sneller dan eerder werk, tot circa 60x zonder eenmalige setup
- Getroffen aanbod onder BIP-361: meer dan 34% van alle bitcoin, waarvan circa 1,1 miljoen BTC van Satoshi
De aanleiding is BIP-361, in april gepubliceerd door Jameson Lopp en vijf co-auteurs. Dat voorstel zou nieuwe stortingen naar kwetsbare adressen na drie jaar blokkeren en na vijf jaar bevriezen wat er nog staat, samen meer dan een derde van het aanbod. Het idee was steeds dat er later een herstelpad zou komen via zero-knowledge-bewijzen, een techniek waarmee je iets aantoont zonder de onderliggende informatie prijs te geven. Project Eleven bouwde dat pad nu samen met Jim Posen, hoofdontwikkelaar van het open-source bewijssysteem Binius.
Waarom hashing de redding is
De dreiging draait om Q-Day, het theoretische moment waarop een kwantumcomputer een private sleutel uit een publieke sleutel kan afleiden. Vanaf dat punt kan een aanvaller net zo makkelijk een geldige handtekening zetten als de eigenaar zelf, en de keten ziet het verschil niet. Dat komt door de elliptische-krommecryptografie waar bitcoin op leunt, die met Shor’s algoritme uit 1994 in principe te kraken is.
Hashing werkt anders. Een hash is een eenrichtingsfunctie, en de beste kwantumaanval erop, Grover’s algoritme, halveert alleen de exponent: van 2^256 naar 2^128 pogingen, nog altijd onbereikbaar veel. Moderne wallets leunen op precies die eigenschap. Ze leiden sleutels af in een boomstructuur, waarbij een hardened-stap de ouderlijke sleutel door HMAC-SHA512 haalt. Een aanvaller die na Q-Day een adres kraakt, kan daardoor niet omhoog klimmen naar de sleutel waar het adres uit voortkwam. Precies daar grijpt het bewijs op in: de gebruiker toont aan dat hij het sleutelmateriaal boven zijn adres kent en koppelt dat aan een migratietransactie, zonder een stukje sleutel te lekken. Project Eleven-CEO Alex Pruden vatte het samen: bewijzen dat je die bovenliggende sleutel kent, “zonder die prijs te geven”, is iets wat alleen de echte eigenaar kan.
De cijfers die opvallen
Op een M5 MacBook Air kost het genereren van een bewijs 243 milliseconden, verificatie 40 milliseconden, met ongeveer 2 gigabyte geheugen en zonder GPU of trusted setup. Vergeleken met eerder werk van Olaoluwa Osuntokun, dat wel zware GPU’s vergde, noemt Project Eleven zijn versie zo’n 16 keer sneller, en zonder de eenmalige setup loopt dat op tot ruwweg 60 keer.
| Onderdeel | Prestatie |
|---|---|
| Bewijs genereren | 243 ms (vier cores) |
| Verificatie | 40 ms |
| Geheugen | ongeveer 2 GB, geen GPU |
| Snelheid t.o.v. eerder werk | 16x tot circa 60x sneller |
Waarom Satoshi buiten schot blijft
De hele truc leunt op het bestaan van een sleutel boven het adres, en die boomstructuur kwam pas met BIP-32, op 11 februari 2012 toegewezen. Daarvoor genereerden wallets elke sleutel los en willekeurig. Satoshi mijnde in 2009 en 2010 en was in 2011 verdwenen. Die munten zitten in pay-to-public-key-uitgangen met de publieke sleutel rechtstreeks op de keten, gemaakt door software zonder seed phrase, afleidingspad of ouderlijke sleutel. Er staat simpelweg niets boven in een boom, want die bomen bestonden nog niet. Datzelfde geldt voor vrijwel elke portefeuille van voor 2012, uitgerekend de oudste en meest slapende bitcoin die BIP-361 op het oog heeft.
Het bedrijf is eerlijk over de beperkingen. Het prototype is niet geauditeerd, ondersteunt drie adrestypes in plaats van Taproot, wortelt het bewijs in de coin-type-sleutel in plaats van de seed, en haalt op dit moment op geen enkele live keten iets terug. Bovendien is protocolwijziging nodig, in bitcoin een langdurig en verdeeld proces. Ter context: de kwantumadviesraad van Coinbase waarschuwde in juni dat uiteindelijk zo’n 7 miljoen BTC kwetsbaar kan worden als eigenaren hun munten niet verplaatsen.
Wat er verschuift
De belangrijkste verandering is niet technisch maar politiek. Lopp heeft zelf gezegd dat hij BIP-361 niet mooi vindt en het schreef omdat hij het alternatief nog minder ziet zitten. Het luidste bezwaar was steeds dat bevriezen het beloofde permanente eigendom breekt, en dat argument gaat ervan uit dat de bevriezing definitief is. Met een werkend herstelbewijs wordt de bevriezing eerder een slot dan een verbranding, en de sleutel komt bij iedereen te liggen die zijn seed phrase nog heeft. Satoshi had er nooit een.
