Zcash-voorstel pakt kwantumrisico’s in shielded pools aan

Het beschrijft een post-kwantum binary-field SNARK genaamd Flock en een herstelprotocol voor privacy pools in de stijl van Tornado Cash.

De kwetsbaarheid is specifiek. Privacy pools steunen op de moeilijkheidsgraad van het discrete-logaritmeprobleem. Een voldoende krachtige kwantumcomputer doorbreekt die aanname en zou bij Zcash een inkomende viewing key kunnen compromitteren op een manier die eerder shielded betalingen aan een account koppelt.

De auteur van het voorstel, @winderica, schreef: “we porten Tornado Cash naar Flock, een post-kwantum binary-field SNARK, waarmee we een opname met een diepte van 32 over SHA-256 bewijzen in minder dan 30 ms, en beschrijven we een eenvoudig herstelprotocol, dat alleen vereist dat wallets notitiegeheimen afleiden van een seed, waardoor bestaande pools een discrete-log-breuk kunnen overleven.”

De omgang met de seed is de centrale vereiste. Wallets zouden notitiegeheimen afleiden van een 256-bit seed s, waarbij specifiek (k, r) daaruit wordt afgeleid — en het herstelprotocol werkt alleen voor pools die een recovery verifier invoeren.

De cijfers tonen de afweging in de implementatie. Eén opname wordt bewezen in 19,5 milliseconden en levert een bewijs van 203,6 KiB op. Geaggregeerd groeit dat naar 343,9 KiB, met een verificatietijd tussen 46 en 64 milliseconden. De kant van de aggregator is trager: het samenvoegen van elke opname duurt ongeveer 0,68 seconden. Het bewijzen per gebruiker is snel; de dienst die opnames combineert, neemt het grootste deel van de rekenkracht voor zijn rekening.

Het document vergelijkt twee bewijsroutes rechtstreeks met elkaar. De monolithische prover met diepte 32 duurt 0,81 seconden; de stapsgewijze route duurt 28,6 milliseconden — een verhouding van ongeveer 28,3x, wat overeenkomt met het “28x sneller”-cijfer uit het voorstel. Dit zijn benchmarks uit het voorstel, geen bevestigde productiecijfers.

Voor gebruikers van de pool zouden notities die zijn aangemaakt met uit de seed afgeleide geheimen een herstelpad hebben mocht de discrete-log-aanname ooit falen. Aggregators dragen de kosten van ongeveer 0,68 seconden aan folding per opname. Het voorstel geeft geen implementatiedatum, en herstel werkt alleen voor pools die een recovery verifier invoeren.

De richting die @winderica aangeeft, is dat “privacy pools nu moeten beginnen met de overgang van hun stack naar cryptografische primitieven die hun waarde in de praktijk hebben bewezen.”

Zakura-ontwikkelaar Adam Tucker stelde “eenmalige” viewing keys voor, voor elk adres dat publiekelijk gepost moet worden tijdens NEAR Intents-swaps, waarbij voor elk gepubliceerd adres een afzonderlijke inkomende viewing key wordt afgeleid, terwijl de spending key onaangeroerd blijft. Het artikel van Decrypt behandelt het voorstel in detail.

Tuckers zorg betreft hergebruik tussen swaps. Zonder de aanpassing beschreef hij de blootstelling, zo meldt Decrypt, als volgt: “één gepubliceerd shielded adres stelt een kwantumaanvaller in staat om elke betaling te koppelen die de key van dat adres ooit heeft ontvangen.” Eenmalige viewing keys betekenen dat het doorbreken van een gepubliceerd swap-adres niet zou doordringen tot de bredere transactiegeschiedenis van het account.

Zakura’s oplossing vereist geen netwerkupgrade. Wallets zouden private information retrieval gebruiken om te voorkomen dat de extra keys het herstellen van seed phrases vertragen. Wallets die gebouwd zijn op Zakura’s opensource-bibliotheken, waaronder Vizor, zouden de functie naar verwachting binnen enkele weken toevoegen; ondersteuning voor hardware wallets volgt zodra de firmware is bijgewerkt.

De twee voorstellen opereren op verschillende lagen. Flock richt zich op herstel en bewijsvoering voor pools in de stijl van Tornado Cash. Zakura’s eenmalige viewing keys richten zich op shielded adressen die worden gepost voor NEAR Intents-swaps. Beide zijn gericht op hetzelfde faalscenario — een toekomstige kwantumdoorbraak die van één onthulde key een plattegrond van eerdere betalingen maakt.

Het bredere stappenplan van Zcash omvat post-kwantum signature-opcodes die in januari worden verwacht. Josh Swihart, CEO van Zcash Open Development Lab, zei in mei dat Zcash binnen 12 tot 18 maanden volledige post-kwantumstatus wil bereiken. De twee voorstellen voegen eisen voor wallets en bewijsvoering toe aan dat tijdpad, al blijft het volledige implementatieschema voor de oplossing voor privacy pools ongespecificeerd.

Zcash werd maandagochtend verhandeld op $1.165, een stijging van 3,6% op de dag, aldus Decrypt.