Pesquisadores propõem uma nova arquitetura de carteira segura quântica que reutiliza as ferramentas atuais do Ethereum para mitigar futuros ataques quânticos sem alterar o consenso ou os primitivos de assinatura.
Summary
Risco quântico para carteiras Ethereum e ECDSA
A ameaça que a computação quântica representa para a criptografia de curva elíptica está se tornando mais concreta, mesmo que uma máquina criptograficamente relevante ainda não exista. No entanto, o algoritmo de Shor já demonstra como poderia resolver eficientemente o problema do logaritmo discreto e, portanto, quebrar o ECDSA.
A Ethereum Foundation lançou iniciativas de pesquisa dedicadas ao pós-quântico, e um roteiro mais amplo de PQ foi esboçado. Além disso, desenvolvedores em todo o ecossistema estão explorando alternativas que poderiam fortalecer o Ethereum antes que o hardware quântico em larga escala chegue.
No Ethereum, uma conta de propriedade externa (EOA) que nunca enviou uma transação é efetivamente resistente a quânticos, porque sua chave pública está oculta atrás de um hash. Dito isso, uma vez que a EOA assina uma transação, a chave pública torna-se permanentemente exposta onchain, e esse endereço é efetivamente queimado do ponto de vista da resistência quântica.
Limitações dos esforços atuais de assinatura pós-quântica
Vários projetos visam trazer esquemas de assinatura pós-quântica para o EVM, com Falcon e Poqeth destacando-se como exemplos proeminentes. Essas soluções são essenciais para a segurança a longo prazo. No entanto, a verificação onchain continua cara, custando mais de 1M de gas por verificação Falcon, enquanto assinaturas baseadas em hash atualmente custam cerca de ~200k de gas.
Esses custos poderiam cair se propostas como EIP-8051 e EIP-8052 forem adicionadas ao EVM no futuro. Além disso, a eficiência de gas não é a única barreira: padronização, integração com carteiras de hardware e resistência testada em batalha contra ataques criptográficos clássicos continuam sendo obstáculos desafiadores para qualquer novo padrão de assinatura ETH.
Mesmo que uma assinatura pós-quântica robusta estivesse tecnicamente pronta, a padronização ainda levaria tempo, e substituir completamente o ECDSA exigiria mudanças no nível do protocolo. Em vez de descartar o ECDSA completamente, o design descrito aqui torna cada chave ECDSA descartável, usando-a exatamente uma vez.
Projetando segurança quântica através de pares de chaves efêmeros
O conceito central aproveita a abstração de conta para separar a identidade persistente do usuário da chave de assinatura. A carteira de contrato inteligente mantém uma identidade estática onchain enquanto o endereço do assinante autorizado gira após cada transação, criando efetivamente pares de chaves efêmeros.
Este design não impede que um computador quântico recupere a chave privada vinculada a uma transação passada. No entanto, garante que qualquer chave recuperada seja inútil para operações futuras, já que a carteira de contrato inteligente já terá passado para um novo assinante.
O fluxo de trabalho básico é simples e se encaixa naturalmente na lógica de carteira de contrato inteligente. Além disso, utiliza apenas a infraestrutura atual e não requer nenhuma alteração nas regras subjacentes do protocolo Ethereum.
Fluxo de transação e rotação de chave ECDSA
O esquema proposto segue quatro etapas claras para cada transação:
- O usuário anexa um novo endereço ao calldata de seu userOp.
- A carteira de contrato inteligente valida o userOp e verifica o assinante atual.
- O userOp é executado como de costume, por exemplo, realizando uma transferência de token.
- Finalmente, a carteira de contrato inteligente atualiza seu assinante autorizado para o novo endereço.
Após a execução, a chave privada antiga, mesmo que recuperada, não pode assinar nada significativo para essa carteira novamente. Apenas o novo endereço é armazenado na carteira de contrato inteligente, revelando apenas um valor derivado de hash e mantendo a nova chave resistente a quânticos até a próxima transação.
Na prática, a experiência do usuário pode ser melhorada gerando a sequência de novos endereços usando um caminho de derivação BIP44. Este método já é padrão em carteiras amplamente utilizadas, portanto, mantém o overhead de implementação baixo enquanto permite a rotação automática de chave ecdsa nos bastidores.
Implementação prática no Ethereum
Esta arquitetura pode ser implementada aplicando pequenas mudanças a um design base de SimpleWallet. Tudo o que é necessário é uma lógica para analisar o próximo endereço do assinante a partir do calldata e uma função que atualiza o proprietário da carteira de contrato inteligente de acordo.
Uma implementação de prova de conceito já existe e demonstra que a rotação do assinante pode ser finalizada mesmo quando o userOp reverte. Além disso, isso aborda uma questão chave: se a rotação ocorresse apenas com sucesso, uma transação revertida ainda exporia o assinante atual e deixaria a carteira vulnerável.
Com a implementação atual, transações de amostra mostram custos de cerca de ~136k de gas unidades para uma transferência ERC20. Isso implica um overhead de gas de menos de 100k de gas em comparação com uma transferência de token padrão na mesma cadeia. O overhead é significativamente inferior ao custo de verificação da maioria das assinaturas pós-quânticas onchain hoje.
Perfil de custo e benefícios da abstração de conta no Ethereum
O custo de gas apenas para a lógica de rotação do assinante, quando conectado a uma carteira baseada em abstração de conta existente, é ainda menor e quase insignificante no contexto mais amplo de interações complexas de DeFi. Além disso, os usuários herdam todos os benefícios usuais da abstração de conta do ethereum, como operações em lote e regras de validação flexíveis.
Como o endereço da carteira permanece constante enquanto os assinantes mudam, este design preserva uma identidade estável onchain para dapps, exploradores e contrapartes. Dito isso, ele altera o modelo de segurança: os usuários devem garantir que sua configuração de geração e armazenamento de chaves possa lidar com um fluxo contínuo de novas chaves com segurança.
Usando mecanismos de recuperação social para rotação de chaves
Uma maneira alternativa de alcançar um comportamento semelhante é reutilizando os recursos de recuperação social já presentes em muitas carteiras de contrato inteligente. A menos que uma restrição específica o proíba, um usuário pode definir seu próprio endereço como o guardião de recuperação e acionar um procedimento de recuperação após cada transação.
Essa abordagem efetivamente rotaciona o controle para uma nova chave através da lógica de recuperação. No entanto, incorre em um custo de gas ligeiramente mais alto porque um mecanismo projetado para recuperação de emergência está sendo reutilizado para uso rotineiro. O lado positivo é que os usuários podem adotar essa estrutura consciente de quânticos sem implantar arquiteturas customizadas onchain.
Experimentos sugerem que o custo adicional de gas para esta operação baseada em recuperação é de aproximadamente ~30k de gas, enquanto o overhead total da arquitetura base sem recuperação é de cerca de ~110k de gas. Além disso, os desenvolvedores de carteiras podem ajustar esses parâmetros dependendo de suas prioridades de segurança e UX.
Risco de exposição no mempool e vulnerabilidades restantes
Os autores reconhecem uma vulnerabilidade chave que este modelo não remove completamente: risco de exposição no mempool durante o período de espera antes de uma transação ser minerada. Durante essa janela, a chave pública do usuário é visível no mempool, e um atacante com capacidade quântica poderia, em teoria, recuperar a chave privada e antecipar a transação.
Dadas as capacidades quânticas atuais, esse cenário não é considerado imediatamente alarmante, pois o atacante teria apenas um período muito curto para realizar o cálculo. No entanto, se alguém quiser ser o mais conservador possível, encaminhar transações através de mempools privados pode virtualmente eliminar esse vazamento no nível do mempool.
Além disso, implantar essa arquitetura em redes de Layer 2 ajuda a mitigar o risco. As L2s geralmente têm tempos de confirmação mais curtos e mecanismos de sequenciamento diferentes, reduzindo a janela durante a qual a chave pública é exposta a um adversário.
Posicionamento dentro de estratégias mais amplas de mitigação pós-quântica
Este design deve ser visto como uma ferramenta complementar dentro do panorama mais amplo de mitigação pós-quântica no Ethereum. Não tenta ser a melhor carteira segura quântica em um sentido absoluto, nem substitui a necessidade a longo prazo de assinaturas nativas pós-quânticas no protocolo.
Em vez disso, aborda uma fraqueza específica: a exposição de chave pública a longo prazo que o algoritmo de Shor exploraria na camada de execução. Além disso, utiliza apenas a infraestrutura atual e padrões familiares de contratos inteligentes, tornando-o implantável sem esperar por novos EIPs ou padrões de assinatura.
Perspectivas para transações seguras quânticas no Ethereum
O esquema de carteira segura quântica proposto alcança segurança quântica na camada de execução ao rotacionar pares de chaves ECDSA após cada transação, enquanto preserva um endereço de contrato inteligente estável. Não requer mudanças no protocolo e adiciona aproximadamente ~100k de gas sobre uma transferência base, uma fração dos custos atuais de verificação pós-quântica.
Não substitui os esquemas de assinatura pós-quântica que estão por vir, que permanecem vitais para uma solução completa e a longo prazo no Ethereum. No entanto, ao eliminar a exposição de chave pública de longa duração, oferece uma defesa prática e incremental que usuários e desenvolvedores de carteiras podem adotar hoje, com mempools privados fornecendo a mitigação mais forte para a exposição restante no nível do mempool.
