Trezor рассматривает безопасные подписи SHRINCS по умолчанию для постквантового биткоина

Производитель аппаратных кошельков Trezor готовится к переходу биткоина на постквантовые подписи и обсуждает, как сделать такой переход безопасным для пользователя. Главный технический директор компании Томаш Сушанка в недавнем выпуске MARA Foundation TV описал трудности, которые при этом возникнут.

Речь идёт о схеме SHRINCS. Её предложили в конце 2025 года Йонас Ник, директор исследований Blockstream Research, и криптограф Михаил Кудинов. Это один из ведущих кандидатов на постквантовую схему подписей для биткоина. SHRINCS построена на хеш-функциях и позволяет выбирать между двумя типами подписей.

Почему подписи с учётом состояния рискованны

Подписи без учёта состояния (stateless) большие, из-за этого могут вырасти комиссии и замедлиться подписание, но ими можно пользоваться повторно без вреда. Подписи с учётом состояния (stateful) заметно компактнее и эффективнее, однако кошелёк должен точно вести счёт использованным ключам. Если одноразовый ключ применить больше одного раза, по открытой информации подписи можно подделать и вывести средства.

Сушанка сравнил это с ошибкой, которую разработчики не должны перекладывать на пользователя. «Вы даёте им возможность всё испортить, — сказал он. — Наша задача сделать это безопасно, правильно? Это не должно быть работой пользователя». Он также указал на сложность с восстановлением: если две Trezor используют одну и ту же seed-фразу, непонятно, как им синхронизировать счётчик состояния.

Что предлагает Trezor

Компания рассматривает вариант, при котором подписи без учёта состояния станут настройкой по умолчанию для всех пользователей, а подписи с учётом состояния будут доступны только в расширенных настройках. Сушанка признал, что SHRINCS может быть консервативным криптографическим выбором, поскольку опирается на те же предположения, что и SHA-256. При этом он сказал, что относится к вопросу неоднозначно, потому что ведение состояния остаётся обузой. «Всё это компромиссы, — добавил он. — Подписи с учётом состояния в десять раз меньше, и это большая разница. Поэтому я не хочу полностью сбрасывать их со счетов».

Устройства тоже нужно обновлять

По словам Сушанки, переход самого биткоина — лишь часть задачи. Аппаратные кошельки тоже придётся обновлять, потому что большинство устройств используют уязвимую для квантовых компьютеров криптографию для прошивки и аутентификации. Trezor Safe 7 уже поддерживает постквантовую криптографию для аутентификации кошелька, но транзакции с такого устройства станут по-настоящему защищёнными только после того, как сам биткоин перейдёт на постквантовую схему.

Сушанка предупредил разработчиков, что ждать с вариантами миграции для пользователей не стоит, поскольку переход потенциально миллионов пользователей займёт время. «Людям нужно быть готовыми к компромиссам, — сказал он. — Если все будут требовать строгих ограничений на то, что можно делать, а что нельзя, мы никуда не продвинемся».