Bitcoin es la criptomoneda más valiosa y confiable del mundo y, al igual que otras blockchains, se enfrenta a una posible amenaza futura derivada de la computación cuántica, resistente a la criptografía. Desde nuestra perspectiva, proteger Bitcoin contra esta amenaza emergente implica más que simplemente elegir un esquema de firma digital resistente a la computación cuántica. Creemos que una estrategia de transición integral protegería idealmente los fondos expuestos y los recién creados, se ajustaría al escaso espacio de bloques de Bitcoin, preservaría la validación independiente con recursos limitados por nodos completos, funcionaría bajo custodia institucional, sería compatible con billeteras comunes y proporcionaría al ecosistema una ruta de migración creíble para las criptomonedas que no pueden o no quieren migrar.
Coinbase es uno de los custodios de criptomonedas más grandes del mundo y gestiona aproximadamente el 5 % de todos los BTC existentes. Durante más de 13 años, Coinbase ha protegido activos digitales a gran escala, ganándose la confianza de bancos, gestores de activos, fondos de cobertura e instituciones líderes a nivel mundial. Nuestra plataforma de custodia combina controles operativos de nivel institucional con generación segura de claves, flujos de trabajo de firma controlados, revisión de transacciones, monitoreo continuo y prácticas de resiliencia comprobadas.
Coinbase está preparando sus propios sistemas para un futuro post-cuántico, organizando debates con desarrolladores e investigadores de Bitcoin y apoyando el trabajo de código abierto mediante recursos de ingeniería y nuestra participación en el Consorcio de Seguridad de Bitcoin . Queremos contribuir a los esfuerzos de la comunidad y ayudar a crear las condiciones para un progreso cuidadoso y sostenido.
Este blog comparte consideraciones técnicas basadas en nuestro trabajo y en las necesidades que nos comunican nuestros clientes institucionales. Su objetivo es servir como punto de partida para un debate abierto, no como un conjunto de instrucciones ni como la postura definitiva de Coinbase. Algunas cuestiones, como la gestión de las monedas abandonadas o inaccesibles, son complejas y merecen un debate profundo. En nuestra opinión, este debate puede continuar paralelamente al trabajo técnico para añadir soporte de firma post-cuántica a Bitcoin.
Perspectiva de alto nivel
Coinbase cree que Bitcoin seguirá siendo la criptomoneda más confiable en un mundo poscuántico, y reconocemos que la migración será un proceso complejo, desafiante y que durará varios años. A medida que la comunidad se une para superar este desafío, nos gustaría compartir nuestra perspectiva.
A continuación, presentamos algunos puntos que nos gustaría destacar. Los desarrollaremos con más detalle en las secciones siguientes.
- Prepararse antes de la certeza. Creemos que es importante comenzar a prepararse con suficiente antelación a cualquier anuncio de CRQC. Los cambios en el consenso de Bitcoin y las migraciones del ecosistema pueden llevar años, por lo que es importante que comencemos este trabajo ahora.
- Separar el «contenedor» de la firma. En nuestra opinión, un diseño de salida PQ que permita introducir, reemplazar o complementar uno o más sistemas de firma PQ sin un rediseño completo sería muy beneficioso para el ecosistema. P2MR (BIP-360) y P2TRv2 parecen ofrecer este tipo de flexibilidad.
- Protección por etapas. Agradeceríamos un enfoque que permitiera a las carteras activas utilizar una configuración híbrida o compatible con PQ antes de que se defina la política final de firma heredada. Un posible diseño de transición sería una configuración 1 de 2: los mismos fondos tendrían dos rutas de gasto alternativas, una autorizada por una clave ECDSA/Schnorr clásica y otra autorizada por una clave PQ.
- Uso del estado. Si bien los esquemas de firma PQ con estado podrían ser más pequeños y rápidos que los que no lo tienen, la gestión del estado en las firmas digitales es notoriamente propensa a errores e incluso podría dar lugar a falsificaciones. Si se admiten firmas con estado, creemos que es importante contar también con una opción sin estado.
- Implementaciones robustas. Esperamos que el proceso de evaluación otorgue gran importancia a la verificación determinista y multiplataforma, a las implementaciones de tiempo constante, a la parametrización clara y a la resistencia a fallos en el generador de números aleatorios de firma.
- Compatibilidad con MPC. Para Coinbase y muchos de nuestros clientes, la compatibilidad con MPC es un factor importante a la hora de elegir esquemas PQ. Cuando se implementa de forma eficaz, MPC puede proporcionar una sólida protección contra el robo de claves y constituye una importante capa de defensa para las grandes organizaciones que se enfrentan a ataques constantes a su infraestructura.
- Una solución para las carteras que migren tarde. Si Bitcoin finalmente limita o elimina el gasto ECDSA/Schnorr, es posible que algunas carteras no hayan transferido sus fondos a salidas seguras para PQ para entonces. Creemos que sería útil considerar si esos usuarios podrían migrar sus fondos posteriormente y cómo hacerlo, reconociendo que el enfoque y sus ventajas y desventajas siguen siendo cuestiones abiertas. En nuestra opinión, esta discusión puede desarrollarse paralelamente, e independientemente, del trabajo técnico para agregar soporte para firmas PQ, por lo que no debería retrasar el progreso de dicho trabajo.
Comprendemos que será necesario tomar decisiones difíciles durante el proceso de migración a la era post-cuántica. También reconocemos que probablemente no exista una única solución que satisfaga todas las limitaciones del protocolo blockchain y las necesidades de cada usuario, custodio e institución. Nuestro objetivo es visibilizar nuestras necesidades e inquietudes para que se tengan en cuenta junto con las de todos los demás.
Necesidades y consideraciones detalladas
Arquitectura de salida y script
Desde nuestra perspectiva, una ruta de Bitcoin compatible con PQ idealmente proporcionaría:
- Una estructura de compromiso que oculta las claves públicas hasta que sean necesarias, evita una ruta de clave vulnerable a la computación cuántica y admite futuras hojas de script o algoritmos de firma.
- Sistemas de control de versiones e identificadores de algoritmos que asignan un identificador único e inequívoco a cada esquema PQ y conjunto de parámetros compatibles, sin necesidad de un nuevo tipo de salida para cada esquema futuro.
- Semántica explícita para la revelación de claves, bloques de control, hojas de script, señales de seguridad, maleabilidad e identificación de transacciones.
- Límites de consenso y de política para el tamaño de los testigos, el tamaño del script, el trabajo de verificación y el costo del bloqueo en el peor de los casos.
- Un formato de dirección y una representación de descriptores de baja fricción que pueden adoptar las carteras, los exchanges, las carteras de hardware y los flujos de pago/QR.
BIP-360 propone P2MR como un compromiso similar a Taproot, pero sin la ruta de clave y con la integración futura de PQ en mente. El debate público actual también incluye P2TRv2 y otras construcciones. Confiamos en que la comunidad llegue a un diseño que equilibre la protección contra la exposición prolongada y la exposición breve, la facilidad de migración, la privacidad, el costo de las tarifas, la flexibilidad de los scripts y la complejidad de la implementación.
Selección del esquema de firma
Creemos que un proceso de evaluación y recomendación específico para Bitcoin y reproducible sería de gran utilidad. Las clasificaciones genéricas de TLS o PKI no son directamente aplicables, ya que las firmas de Bitcoin se almacenan indefinidamente y son verificadas por cada nodo.
En nuestra opinión, una lista sólida de candidatos incluiría estándares finalizados, candidatos en proceso de estandarización, alternativas con diferentes supuestos y construcciones nativas de Bitcoin con una justificación operativa y de seguridad creíble. Nos gustaría que la evaluación incluyera ML-DSA, SLH-DSA, FN-DSA una vez estandarizado, y candidatos compactos o con diferentes supuestos que puedan modificar sustancialmente el panorama de las compensaciones. Creemos que SHRINCS encaja bien en este conjunto de evaluación como candidato compacto basado en hash. Su borrador combina una ruta FXMSS compacta con estado con una alternativa sin estado derivada de SLH-DSA, lo que crea una atractiva compensación entre tamaño y verificación, pero también convierte el estado del firmante, la recuperación y la garantía de implementación en cuestiones centrales para su adopción.
Los criterios que consideramos más importantes para evaluar a cada candidato son:
- Firma, clave pública, clave secreta y tamaño total del gasto.
- Tiempo de verificación, latencia de cola y comportamiento de verificación por lotes.
- Comportamiento a tiempo constante y de canal lateral.
- Tiempo de generación y firma de claves, incluido el rendimiento de la migración masiva.
- Dependencia del generador de números aleatorios, modos de firma deterministas o con cobertura y recuperación ante fallos.
- Viabilidad de la firma mediante monederos de hardware, elementos seguros, HSM y MPC/umbral.
- Categoría de seguridad, historial criptoanalítico, diversidad de supuestos, estado de estandarización y madurez de la implementación.
- Compatibilidad con resultados de clave comprometida, transiciones híbridas y plazos de migración.
Nos ha resultado útil analizar tanto las mediciones criptográficas brutas como las métricas derivadas de Bitcoin, tales como:
- Capacidad de bloqueo y rendimiento para gastos representativos de firma única y multipartitos.
- Coste de la tarifa según las tarifas representativas.
- Validación de nodos completos e impacto de IBD bajo combinaciones de adopción realistas.
- Impacto de la propagación en bloque y el riesgo de enfermedades huérfanas.
- Máximo trabajo seguro de PQ por bloque bajo carga adversa.
- Tiempo y coste necesarios para migrar a una población representativa de UTXO vulnerables.
Creemos que una recomendación final sería más práctica si incluyera una opción principal, una alternativa de reserva, las razones para excluir otras opciones y un análisis de sensibilidad que muestre cómo cambia el resultado cuando se ponderan de manera diferente el espacio en bloques, la categoría de seguridad, la madurez de la implementación y la viabilidad de la custodia.
Con estado frente a sin estado
Si bien los esquemas de firma PQ con estado podrían ser más pequeños y rápidos que los que no lo tienen, gestionar el estado en las firmas digitales es notoriamente difícil. La reutilización del estado puede ser catastrófica y provocar una falsificación inmediata.
Nos preocupa que las personas que se autogestionan sus fondos tengan dificultades para actualizar el estado de forma verificable. Podrían reutilizar accidentalmente el estado porque el anterior se perdió o no se actualizó correctamente. Tampoco pueden basarse en consultar las transacciones antiguas de la cadena de bloques, ya que no todas las firmas o actualizaciones de estado se registran necesariamente en ella. En consecuencia, podrían firmar una nueva transacción sin darse cuenta de que el estado no es válido, exponiéndose así a la falsificación y a la posible pérdida de fondos.
Grandes exchanges como Coinbase ejecutan múltiples instancias de servidor en diferentes zonas que operan de forma independiente para procesar firmas con baja latencia y alta disponibilidad. Con firmas con estado, un servidor necesitaría un bloqueo exclusivo de lectura y escritura sobre una clave y su estado durante la generación de la firma, lo que haría inviable la operación independiente. Esquemas como SHRINCS incluyen mecanismos para gestionar el estado, pero la operación segura depende de saber si cada actualización de estado se realizó correctamente y se registró de forma duradera. Si una actualización falla, se pierde o su resultado no está claro, y el sistema no puede detectarlo, el firmante podría reutilizar sin saberlo un estado que ya se ha utilizado. Esto dificulta la recuperación ante fallos y la restauración a partir de copias de seguridad: el sistema necesita una forma fiable de establecer el estado actual antes de volver a firmar.
Por estas razones, recomendamos tener cuidado al proponer y evaluar esquemas de firma con estado. Como mínimo, creemos que sería útil que:
- Los riesgos de una mala gestión del Estado se dejan claros desde el principio.
- Los proveedores de monederos digitales reciben instrucciones claras sobre cómo gestionar el estado.
- Se encuentra disponible una ruta de respaldo sin estado, es decir, un modo de operación sin estado que solo requiere firma electrónica.
Modos de transición y firmas heredadas
Creemos que sería beneficioso definir los modos de transición antes de establecer una política de extinción definitiva. Las opciones que consideramos que vale la pena evaluar incluyen:
- Salidas solo para PQ para usuarios que deseen migrar pronto, por ejemplo, P2QR .
- Diseños híbridos 1 de 2 (clásico más PQ) o equivalentes, donde la firma clásica se puede usar inicialmente y la firma PQ está disponible cuando sea necesaria. P2MR , P2TRv2 , etc., admiten este tipo de diseños híbridos.
- Mecanismos de confirmación/revelación u otros que reduzcan la exposición de la clave pública durante la migración.
- Una política gradual para nuevos productos, envíos a productos heredados y gastos de productos heredados.
- Alternativas para la eliminación, congelación, limitación de velocidad o recuperación de firmas heredadas.
- Comportamiento de los nodos y monederos no actualizados en cada etapa.
