ภาพรวมรายงานการวิจัย: การรับมือกับ quantum attacks ในโลกคริปโต ทุกฝ่ายพร้อมแล้วหรือยัง?

ต้นฉบับ | Odaily 星球日报（@OdailyChina）

ผู้เขียน | jk

สิ่งที่ต้องรู้ก่อนอ่าน: ทำความเข้าใจห้าเรื่องก่อน

รายงานนี้ไม่ได้ตั้งสมมติฐานว่าผู้อ่านมีความรู้ด้านการเข้ารหัสหรือฟิสิกส์ควอนตัม หากคุณสนใจเพียงข้อสรุป สามารถข้ามไปที่"ข้อค้นพบหลัก"ได้เลย ก่อนเข้าสู่เนื้อหาหลัก เราจะอธิบายแนวคิดสำคัญห้าประการให้ชัดเจนด้วยการเปรียบเทียบในชีวิตประจำวันก่อน

หนึ่ง "กุญแจ" ใน cryptocurrency คืออะไร

บิตคอยน์หรืออีเธอรีอัมของคุณไม่ได้ถูกเก็บไว้ในไฟล์ใดไฟล์หนึ่ง แต่ถูกบันทึกไว้ภายใต้ที่อยู่หนึ่งบนบล็อกเชน การจะใช้จ่ายเงินนี้ คุณต้องแสดง "ลายเซ็นดิจิทัล" เพื่อพิสูจน์ต่อทั้งเครือข่ายว่าคุณคือเจ้าของที่อยู่นี้ การสร้างลายเซ็นต้องใช้กุญแจส่วนตัว (private key) ซึ่งมีเพียงคุณเท่านั้นที่รู้ ส่วนการตรวจสอบลายเซ็นใช้กุญแจสาธารณะ (public key) ซึ่งเปิดเผยต่อสาธารณะ ใครก็สามารถนำมาตรวจสอบได้

ลองนึกภาพว่าเป็นตัวอย่างลายเซ็นที่ธนาคารเก็บไว้ ธนาคารมีตัวอย่างลายเซ็นของคุณ (กุญแจสาธารณะ) เมื่อมีใครมาถอนเงิน ธนาคารจะนำตัวอย่างมาเทียบลายมือ (ตรวจสอบลายเซ็น) แต่ใครก็ตามที่เห็นตัวอย่างลายเซ็นก็ไม่สามารถเลียนแบบลายเซ็นจริงให้เหมือนได้ (อนุมานกุญแจส่วนตัว) กลไกนี้เชื่อถือได้ในปัจจุบัน เพราะการย้อนกลับจากกุญแจสาธารณะไปหากุญแจส่วนตัวนั้นถือว่ายากเกินกว่าจะทำได้ในทางคณิตศาสตร์ ภัยคุกคามจากคอมพิวเตอร์ควอนตัมอยู่ที่มันอาจทำให้ "สิ่งที่เป็นไปไม่ได้" นี้กลายเป็นไปได้

สอง คอมพิวเตอร์ควอนตัมเปลี่ยนอะไร

คอมพิวเตอร์ทั่วไปในการถอดรหัสเปรียบเหมือนคนถือพวงกุญแจใหญ่ลองทีละดอก ต่อให้ลองเร็วแค่ไหนก็ต้องใช้เวลาระดับดาราศาสตร์ คอมพิวเตอร์ควอนตัมไม่ได้ลองเร็วขึ้น แต่เปลี่ยนวิธีแก้ปัญหา สำหรับปัญหาคณิตศาสตร์บางประเภท อัลกอริทึม Shor ที่เสนอในปี 1994 สามารถบีบเวลาจาก "ระดับอายุของจักรวาล" ให้เหลือ "ไม่กี่นาทีถึงไม่กี่ชั่วโมง"

ต้องเน้นย้ำว่า คอมพิวเตอร์ควอนตัมไม่ใช่ยอดเยี่ยมทุกด้าน สำหรับงานคำนวณประจำวันส่วนใหญ่ มันไม่มีข้อได้เปรียบ แต่โชคร้ายที่ปัญหาประเภทที่มันเก่งนั้น恰好เป็นรากฐานของการเข้ารหัสกุญแจสาธารณะ (รวมถึง RSA และเส้นโค้งวงรี) ที่อินเทอร์เน็ตและบล็อกเชนในปัจจุบันพึ่งพาอยู่ ในทางกลับกัน ฟังก์ชันแฮช (เปรียบได้กับเครื่องบดเนื้อทางเดียวที่ปั่นข้อมูลใดๆ ให้เป็นลายนิ้วมือความยาวคงที่) จะถูกเร่งความเร็วโดยอัลกอริทึมควอนตัมเพียงเล็กน้อยเท่านั้น กลไกความปลอดภัยที่สร้างจากแฮชจึงค่อนข้างมั่นคง สิ่งนี้อธิบายว่าทำไมโซลูชันหลังควอนตัมส่วนใหญ่จึงมุ่งไปในทิศทาง "ที่อิงแฮช"

สาม ทำไมถึงบอกว่า "ไม่ต้องตื่นตระหนก แต่ก็ละเลยไม่ได้"

คอมพิวเตอร์ควอนตัมในปัจจุบันยังห่างไกลจากการคุกคามบิตคอยน์มาก การถอดรหัสกุญแจบิตคอยน์หนึ่งดอกต้องใช้ควอนตัมบิตทางกายภาพประมาณ 500,000 ตัว ขณะที่ชิปสาธารณะที่ล้ำหน้าที่สุดในปัจจุบันมีเพียงร้อยกว่าตัว ช่องว่างต่างกันหลายพันเท่า ดังนั้นวันนี้จะไม่มีใครใช้คอมพิวเตอร์ควอนตัมขโมยเหรียญของคุณ

แต่ในไทม์ไลน์มีสองปัจจัยที่น่ากังวล ประการแรก การโยกย้ายเองใช้เวลานานมาก การเปลี่ยนทั้งบล็อกเชนให้เป็นระบบลายเซ็นใหม่ ต้องเขียนโค้ด ตรวจสอบ ทดสอบ ประสานงานอัปเกรดทั้งเครือข่าย แล้วให้ผู้ใช้หลายร้อยล้านคนย้ายสินทรัพย์ไป อุตสาหกรรมโดยทั่วไปเห็นว่าต้องใช้เวลาห้าถึงสิบปี ประการที่สอง ตัวเลขประมาณการลดลงอย่างรวดเร็ว เมื่อปีที่แล้วยังต้องใช้ควอนตัมบิตหลายล้านตัว (เข้าใจง่ายๆ คือพลังคำนวณที่คอมพิวเตอร์ควอนตัมต้องใช้ในการถอดรหัสบล็อกเชน) ปีนี้ลดลงเหลือไม่ถึง 500,000 ตัวแล้ว เปรียบเหมือนการสร้างสะพานต้องใช้สิบปี แต่น้ำท่วมจะมาถึงเมื่อไรไม่อาจคาดการณ์ได้ วิธีที่สมเหตุสมผลคือเริ่มลงมือสร้างตอนนี้ ไม่ใช่รอให้น้ำขึ้น

สี่ ทำไมเหรียญบางชนิดจึงอันตรายกว่า

เหรียญในที่อยู่หนึ่งจะอันตรายหรือไม่ ขึ้นอยู่กับว่ากุญแจสาธารณะถูกเปิดเผยแล้วหรือยัง ลองนึกภาพเป็นซองจดหมายที่ปิดผนึกไว้ ที่อยู่จำนวนมากไม่ได้เก็บกุญแจสาธารณะเอง แต่เก็บลายนิ้วมือแฮชของกุญแจสาธารณะ เท่ากับใส่กุญแจสาธารณะไว้ในซองจดหมาย จะเปิดซองก็ต่อเมื่อคุณใช้จ่ายเงินนี้เท่านั้น ตราบใดที่ซองยังไม่ถูกเปิด คอมพิวเตอร์ควอนตัมก็无从下手

ปัญหาคือ ที่อยู่บางส่วนถูกเปิดซองไปนานแล้ว ที่อยู่ประเภทหนึ่งในยุคแรกของบิตคอยน์ (รวมถึงยุคซาโตชิ นากาโมโตะ) เขียนกุญแจสาธารณะลงบนเชนโดยตรง ไม่มีซองจดหมาย และยังมีผู้ใช้จำนวนมากที่ใช้ที่อยู่เดิมซ้ำ เมื่อใช้จ่ายครั้งแรกซองก็ถูกเปิด หลังจากนั้นเหรียญที่เหลือยังคงอยู่ในที่อยู่เดิม กุญแจสาธารณะจึงเปิดเผยตลอดเวลา สิ่งเหล่านี้คือสินทรัพย์ที่ "เปิดเผย" ซึ่งกล่าวถึงซ้ำในรายงาน คิดเป็นประมาณหนึ่งในสามของปริมาณบิตคอยน์ทั้งหมด นอกจากนี้ แม้แต่ซองที่ปิดอยู่ ในช่วงเวลาสั้นๆ ที่คุณเริ่มโอนเงินและธุรกรรมยังไม่ได้รับการยืนยัน กุญแจสาธารณะก็จะถูกกระจายออกไป นี่คือโอกาสโจมตีที่เกิดขึ้นเพียงชั่วครู่แต่ไม่ใช่เป็นไปไม่ได้

ห้า "หลังควอนตัม" ที่กล่าวถึงนั้นแก้ปัญหาอะไรกันแน่

แนวทางแก้ไขไม่ซับซ้อน เปลี่ยนกุญแจใหม่ที่คอมพิวเตอร์ควอนตัมก็งัดไม่แตก วงการวิชาการได้เสนอตัวเลือกหลายประเภท เช่น ลายเซ็นที่อิงแฮช ลายเซ็นที่อิงแลตทิซ และ NIST ของสหรัฐฯ ได้เสร็จสิ้นการกำหนดมาตรฐานในปี 2024 สิ่งที่ยากจริงๆ คือสามเรื่องต่อไปนี้ กุญแจใหม่ใหญ่และหนักกว่า ขนาดลายเซ็นเป็น 10 ถึง 40 เท่าของปัจจุบัน ทำให้ความเร็วธุรกรรมช้าลงและต้นทุนสูงขึ้นโดยตรง การเปลี่ยนกุญแจต้องได้รับความเห็นชอบจากทั้งเครือข่าย และเครือข่ายแบบกระจายศูนย์เป็นสิ่งที่รวมความคิดเห็นได้ยากที่สุด และเหรียญที่เจ้าของขาดการติดต่อและจะไม่มีวันมาเปลี่ยนกุญแจ จะแช่แข็ง ทำลาย หรือปล่อยไว้เหมือนเดิม ไม่มี方案ใดที่ทำให้ทุกคนพอใจได้

ความเข้าใจผิดที่พบบ่อยหลายประการ

ความเข้าใจผิดประการแรกคือ "เมื่อคอมพิวเตอร์ควอนตัมเกิดขึ้น cryptocurrency ทั้งหมดจะกลายเป็นศูนย์" ในความเป็นจริง สิ่งที่ถูกคุกคามคือขั้นตอนการลงลายเซ็น เครือข่ายสามารถรับมือได้ด้วยการอัปเกรด方案ลายเซ็น ความคืบหน้าของแต่ละเชนแตกต่างกัน ความเสี่ยงไม่เท่ากัน

ความเข้าใจผิดประการที่สองคือ "คอมพิวเตอร์ควอนตัมจะทำให้การขุดไร้ความหมาย" การขุดพึ่งพาการคำนวณแฮช อัลกอริทึมควอนตัมให้ความเร็วเพิ่มขึ้นเพียงจำกัด ไม่สามารถล้มล้าง proof of work ได้

ความเข้าใจผิดประการที่สามคือ "นี่เป็นนิยายวิทยาศาสตร์ ไม่เกี่ยวข้องกับฉัน" ปัจจุบันคอมพิวเตอร์ควอนตัมยังไม่สามารถถอดรหัสบิตคอยน์ได้จริง แต่หน่วยงานกำกับดูแล ผู้ให้บริการรับฝากทรัพย์สิน และผู้ออก ETF ได้บรรจุมันไว้ในรายการความเสี่ยงอย่างเป็นทางการแล้ว และหน้าต่างเวลาการโยกย้ายก็ถูกเขียนไว้ในนโยบายของหลายประเทศแล้ว

ข้อค้นพบหลัก

ระดับความพร้อมของอุตสาหกรรมคริปโตต่อการโจมตีด้วยควอนตัมเพิ่มขึ้นอย่างชัดเจนเมื่อเทียบกับปีที่แล้ว แต่การป้องกันหลังควอนตัมที่ใช้งานได้จริงบนเมนเน็ตยังมีน้อยมาก โดยรวมแล้วยังไม่พร้อม

บล็อกเชนอาศัยลายเซ็นกุญแจส่วนตัวเพื่อพิสูจน์ความเป็นเจ้าของสินทรัพย์ ความปลอดภัยของลายเซ็นสร้างอยู่บนปัญหาทางคณิตศาสตร์ที่เรียกว่าลอการิทึมไม่ต่อเนื่องบนเส้นโค้งวงรี คอมพิวเตอร์คลาสสิกไม่สามารถแก้ปัญหานี้ได้ในเวลาที่เป็นไปได้ แต่คอมพิวเตอร์ควอนตัมที่มีขนาดใหญ่พอและมีความสามารถแก้ไขข้อผิดพลาด ด้วยอัลกอริทึม Shor ในทางทฤษฎีสามารถอนุมานกุญแจส่วนตัวจากกุญแจสาธารณะที่เปิดเผย แล้วโอนสินทรัพย์ของผู้อื่นได้ การเข้ารหัสหลังควอนตัมหมายถึง方案ลายเซ็นและการเข้ารหัสที่ยังถือว่าปลอดภัยแม้เผชิญกับคอมพิวเตอร์ควอนตัม

"ลอการิทึมไม่ต่อเนื่องบนเส้นโค้งวงรี" ฟังดูเป็นนามธรรม สามารถเข้าใจได้ด้วยการเปรียบเทียบในชีวิตประจำวัน ลองจินตนาการว่าบนตารางที่มีรูปร่างพิเศษมีจุดเริ่มต้นที่เปิดเผย เดิน "กระโดด" ต่อเนื่องหลายครั้งจากจุดเริ่มต้นตามกฎที่กำหนด สุดท้ายตกลงที่ตำแหน่งหนึ่ง กุญแจส่วนตัวของคุณคือจำนวนครั้งที่กระโดด ซึ่งเป็นจำนวนสุ่มที่ใหญ่มาก กุญแจสาธารณะของคุณคือตำแหน่งของจุดสุดท้าย ซึ่งจะถูกเปิดเผย เมื่อรู้จำนวนครั้งที่กระโดด การคำนวณตำแหน่งสุดท้ายทำได้ง่าย ใช้การคำนวณเพียงไม่กี่ร้อยขั้นตอนก็เสร็จ ในทางกลับกัน เห็นเพียงตำแหน่งสุดท้าย ต้องการรู้ว่ากระโดดไปกี่ครั้ง นอกจากลองจำนวนที่เป็นไปได้ทั้งหมดทีละตัวแล้ว ปัจจุบันไม่มีวิธีใดดีกว่า เส้นโค้งที่บิตคอยน์และอีเธอรีอัมใช้ มีจำนวนที่เป็นไปได้มากถึงประมาณ 2 ยกกำลัง 256 ซึ่งเป็นตัวเลขระดับดาราศาสตร์ แม้ใช้คอมพิวเตอร์ทั้งหมดในโลกก็ไม่สามารถลองได้หมดภายในอายุขัยของมนุษย์หรือแม้แต่จักรวาล นี่คือเหตุผลที่กุญแจส่วนตัวไม่สามารถถูกอนุมานจากกุญแจสาธารณะได้

คอมพิวเตอร์ควอนตัมเป็นภัยคุกคามเพราะมันไม่จำเป็นต้องลองทีละตัว อัลกอริทึม Shor ใช้คุณสมบัติการซ้อนทับของควอนตัม พิจารณาจำนวนที่เป็นไปได้จำนวนมากพร้อมกัน และสกัดกฎที่ซ่อนอยู่ในกระบวนการกระโดดออกมา บีบการค้นหาที่เดิมต้องใช้ขั้นตอนระดับดาราศาสตร์ให้เหลือปริมาณการคำนวณที่ควบคุมได้ กล่าวอีกนัยหนึ่ง คอมพิวเตอร์คลาสสิกคือการตักเข็มทีละหยดจากทะเล whereas คอมพิวเตอร์ควอนตัมค้นพบกฎที่เข็มอยู่

เมื่อเจาะจงถึงการโจมตีจริง กระบวนการแบ่งออกเป็นสามขั้นตอนโดยประมาณ ขั้นแรก ผู้โจมตีอ่านกุญแจสาธารณะที่เปิดเผยแล้วของที่อยู่หนึ่งจากบล็อกเชน ขั้นที่สอง ใช้คอมพิวเตอร์ควอนตัมที่ใหญ่พอคำนวณกุญแจส่วนตัวที่สอดคล้องกัน ขั้นที่สาม ใช้กุญแจส่วนตัวนี้ปลอมแปลงลายเซ็นที่ถูกต้อง และโอนเหรียญในที่อยู่นั้นไปเป็นชื่อของตนเอง เครือข่ายไม่สามารถแยกลายเซ็นนี้ว่าจริงหรือปลอม เพราะในทางคณิตศาสตร์มันเหมือนกับที่เจ้าของเซ็นด้วยมือเปล่าทุกประการ นี่คือเหตุผลที่บทความนี้เน้นย้ำซ้ำว่า "กุญแจสาธารณะถูกเปิดเผยแล้วหรือไม่" หากกุญแจสาธารณะไม่ถูกเปิดเผย ขั้นตอนแรกของการโจมตีก็无从开始

ภัยคุกคามจะมาถึงเมื่อไร?

ในช่วงปีที่ผ่านมา การประมาณการทรัพยากรควอนตัมที่จำเป็นในการเจาะ cryptocurrency ในวงการวิชาการลดลงอย่างมาก Google Quantum AI ในสมุดปกขาวที่เผยแพร่เมื่อเดือนมีนาคม 2026 (ผู้ร่วมเขียน包括 Dan Boneh จากมหาวิทยาลัยสแตนฟอร์ด และ Justin Drake จากมูลนิธิอีเธอรีอัม) ได้ให้วงจรโจมตีสองชุดสำหรับเส้นโค้ง secp256k1 ซึ่งต้องใช้ควอนตัมบิตเชิงตรรกะไม่เกิน 1,200 และ 1,450 ตัวตามลำดับ ควอนตัมบิตเชิงตรรกะหมายถึงควอนตัมบิตที่ผ่านการแก้ไขข้อผิดพลาดและคำนวณได้อย่างเชื่อถือได้ เมื่อแปลงเป็นฮาร์ดแวร์จริง บนเส้นทางตัวนำยิ่งยวดที่มีอัตราข้อผิดพลาดประมาณหนึ่งในพัน ต้องใช้ควอนตัมบิตทางกายภาพไม่ถึง 500,000 ตัว ใช้เวลาเรียกใช้ทั้งหมดประมาณ 18 ถึง 23 นาที เนื่องจากประมาณครึ่งหนึ่งของการคำนวณสามารถทำล่วงหน้าได้ เมื่อกุญแจสาธารณะถูกเปิดเผยขณะกระจายธุรกรรม ผู้โจมตีใช้เวลาเพียงประมาณ 9 นาทีในการอนุมานกุญแจส่วนตัว CoinDesk กล่าวในรายงานว่า นี่หมายความว่าผู้โจมตีมีโอกาสประมาณ 41% ที่จะเปลี่ยนเส้นทางเงินก่อนธุรกรรมเดิมได้รับการยืนยัน Forbes เห็นว่าผลลัพธ์นี้ลดลงประมาณ 20 เท่าเมื่อเทียบกับการประมาณการก่อนหน้าที่มักเป็นหลายล้านควอนตัมบิตทางกายภาพ

ควอนตัมบิตสามารถเข้าใจง่ายๆ ว่าเป็นพลังคำนวณที่คอมพิวเตอร์ควอนตัมต้องใช้ในการถอดรหัสบล็อกเชน ดังนั้น Q-day จึงหมายถึงวันที่คอมพิวเตอร์ควอนตัมที่แข็งแกร่งพอจะปรากฏขึ้น

Craig Gidney ใน preprints เดือนพฤษภาคม 2025 ชี้ให้เห็นว่าควอนตัมบิตที่มีสัญญาณรบกวนซึ่งจำเป็นในการถอดรหัส RSA-2048 ลดลงเหลือไม่ถึง 1 ล้านตัว ขณะที่การประมาณการของเขาและ Ekerå ในปี 2019 อยู่ที่ 20 ล้านตัว preprints อีกฉบับที่ส่งโดย California Institute of Technology, Oratomic และ University of California, Berkeley ในวันเดียวกับที่เผยแพร่สมุดปกขาว อ้างว่าใช้เส้นทางอะตอมเป็นกลาง 10,000 ถึง 26,000 ควอนตัมบิตอาจเพียงพอ แต่ข้อสรุปนี้มาจากการจำลอง ยังไม่มีการตรวจสอบด้วยฮาร์ดแวร์ นอกจากนี้ Google ไม่ได้เปิดเผยวงจรโจมตีเอง ใช้เพียง zero-knowledge proof เพื่อแสดงว่าวงจรมีประสิทธิภาพ นี่เป็นวิธี "การเปิดเผยอย่างรับผิดชอบ" ครั้งแรกที่ใช้ในสาขานี้