PQ1 - Chiếc ví hậu lượng tử đang bán một câu chuyện mà chính nó chưa chứng minh được

Ba ngày trước, tôi nhận được một câu hỏi từ một quỹ đầu tư ở São Paulo: "Bọn tôi có nên mua PQ1 để cất 500 ETH không?". Thay vì trả lời ngay, tôi mở mã nguồn và whitepaper của Freedom Factory. Hai giờ sau, tôi có câu trả lời: chưa ai chứng minh được chiếc ví này thực sự an toàn hơn Ledger trong môi trường vận hành thực tế. Nhưng điều đó không có nghĩa nó không đáng để quan tâm. PQ1 đang đánh dấu một thời điểm hiếm hoi mà ngành công nghiệp tiền mã hóa đối mặt với một câu hỏi định mệnh: liệu chúng ta có đang bảo vệ tài sản của mình chống lại một kẻ thù chưa tồn tại, hay chúng ta đang lãng phí nguồn lực vào một nỗi sợ hão huyền? Trong khi toàn thị trường đang lo lắng về thanh khoản và tỷ lệ tài trợ âm, một nhóm nhỏ các kỹ sư lại đang lo lắng về một điều hoàn toàn khác: Shor's algorithm, các qubit ổn định, và kịch bản "thu hoạch hôm nay, giải mã sau này". Kịch bản đó không còn là chuyện khoa học viễn tưởng. Nó đã trở thành một chủ đề thảo luận nghiêm túc trong giới tình báo và an ninh mạng từ năm 2020, khi các cơ quan chính phủ bắt đầu khuyến nghị doanh nghiệp chuyển sang mã hóa hậu lượng tử. Còn với crypto, chúng ta có một vấn đề lớn hơn: mọi giao dịch ECDSA đều để lộ chữ ký, và mọi chữ ký đều là một mảnh ghép cho phép kẻ tấn công giải mã khóa riêng khi máy tính lượng tử đủ mạnh. Freedom Factory, công ty đứng sau hệ điều hành di động Ethereum ethOS, vừa công bố PQ1 - một phần cứng ví sử dụng chữ ký dựa trên hàm băm (hash-based signatures) thay vì ECDSA truyền thống. Đây là một lựa chọn thiết kế quan trọng. Không dùng Kyber, không dùng Dilithium - những thuật toán lattice-based đã được NIST chuẩn hóa. Họ chọn SPHINCS+, XMSS, hoặc một biến thể Winternitz nào đó, vì hàm băm có lịch sử nghiên cứu lâu đời hơn, an toàn hơn trước các cuộc tấn công lượng tử, và quan trọng nhất: không dựa trên giả định độ khó của bài toán LWE vốn vẫn đang được kiểm chứng. Nhìn từ góc độ lý thuyết, đây là một quyết định thận trọng. Nhìn từ góc độ kỹ thuật, đây là một cơn ác mộng về hiệu suất. Hash-based signatures có một vấn đề cố hữu: kích thước chữ ký. Một chữ ký SPHINCS+ có thể dài tới 8-16 KB, trong khi chữ ký secp256k1 chỉ dài 64 byte. Trên một blockchain như Ethereum, việc lưu trữ và xác minh một chữ ký 16 KB sẽ ngốn một lượng gas khổng lồ. Bạn có thể tưởng tượng một giao dịch đơn giản tốn 5 triệu gas thay vì 21.000 gas? Điều đó biến PQ1 thành một giải pháp chỉ khả thi về mặt chi phí cho những giao dịch có giá trị cực cao và tần suất cực thấp. Vậy câu hỏi đặt ra: Freedom Factory đã giải quyết vấn đề này như thế nào? Họ có đang xác minh chữ ký trên một hợp đồng thông minh tùy chỉnh không? Hay họ chỉ đang tạo chữ ký lượng tử ở lớp local, rồi vẫn bọc nó trong một chữ ký ECDSA thông thường trước khi gửi lên mạng? Nếu câu trả lời là vế sau, thì danh xưng "ví lượng tử" chỉ đúng ở một nửa. Kẻ tấn công có thể không cần bẻ khóa phần hậu lượng tử; chúng chỉ cần tấn công điểm yếu nhất trong chuỗi: lớp ECDSA cuối cùng. Điều này giống như việc lắp một ổ khóa chống khoan vào cánh cửa gỗ mục - an toàn ở một khâu, nhưng xa rời nghĩa đen của sự an toàn. Và nếu câu trả lời là vế trước - tức họ triển khai một hợp đồng xác minh chữ ký hash-based trên EVM - thì chi phí gas sẽ trở thành rào cản kinh tế. Không một ai bình thường sẽ trả 200 đô la phí gas để chuyển 1 ETH, trừ khi ETH đó trị giá 10 triệu đô la và họ đang sợ một cuộc tấn công lượng tử sắp xảy ra vào tuần tới. Hãy nói về Bitcoin. Freedom Factory loại bỏ Bitcoin khỏi thiết kế của họ, và điều đó không phải là ngẫu nhiên. Bitcoin không có hợp đồng thông minh linh hoạt. Các địa chỉ P2PKH và P2WPKH hoàn toàn phụ thuộc vào secp256k1. Để thêm chữ ký hash-based vào Bitcoin, bạn cần một soft fork, một BIP mới, và sự đồng thuận từ toàn bộ hệ sinh thái. Khả năng xảy ra điều đó trong vòng năm năm tới là rất thấp. Ethereum, ngược lại, cho phép bất kỳ ai triển khai một hợp đồng xác minh chữ ký tùy chỉnh. Điều này biến EVM thành một phòng thí nghiệm lý tưởng cho các thử nghiệm hậu lượng tử. Nhưng mảnh đất màu mỡ này cũng đi kèm một cái bẫy: nếu không có một chuẩn chung, chúng ta sẽ có hàng chục hợp đồng xác minh khác nhau, mỗi cái một cách triển khai, và sự phân mảnh này sẽ tạo ra các điểm cô lập thanh khoản và các lỗ hổng tiềm ẩn. Trong báo cáo kỹ thuật của mình, Freedom Factory nhấn mạnh rằng người dùng có thể tự mua linh kiện và tự xây dựng PQ1. Đây là một tuyên bố mang tính biểu tượng mạnh mẽ: minh bạch tuyệt đối, không có cửa hậu. Nhưng từ kinh nghiệm audit của tôi trong 5 năm qua, tôi có thể nói rằng open-source hardware không giải quyết được vấn đề an ninh vật lý. Nó chỉ giải quyết được vấn đề niềm tin vào mã nguồn. Khi bạn tự hàn một chiếc PCB và mua chip từ một nhà phân phối không chính thức, bạn đang tự gánh lấy rủi ro mà một nhà sản xuất chuyên nghiệp có thể kiểm soát: kiểm tra nguồn gốc linh kiện, chống hàng giả, bảo vệ chống can thiệp vật lý. Tự build không phải là một khuyến nghị cho người dùng phổ thông; nó là một lời khẳng định dành cho các nhà nghiên cứu bảo mật: "các bạn có quyền kiểm tra chúng tôi". Còn với người dùng cuối, họ nên mua bản hoàn chỉnh từ nhà máy và tin rằng chuỗi cung ứng của Freedom Factory không bị xâm phạm. Điểm mù lớn nhất của PQ1 nằm ở một nơi không ngờ tới: quản lý trạng thái. Nhiều thuật toán hash-based như XMSS là có trạng thái - mỗi khóa ký phải được sử dụng đúng một lần theo thứ tự tăng dần. Nếu bạn khôi phục ví từ một bản sao lưu, và bản sao đó chứa một trạng thái đã cũ, bạn có thể vô tình tái sử dụng một khóa ký. Và trong thế giới chữ ký OTS (one-time signature), chỉ cần tái sử dụng một lần là kẻ tấn công có thể tái tạo khóa riêng. Đây là loại lỗi không xảy ra trong ECDSA, nơi mỗi chữ ký đều tạo ra một nonce mới. Với hash-based signatures, việc đồng bộ trạng thái giữa nhiều thiết bị, hoặc giữa ví và bản sao lưu, trở thành một bài toán phức tạp về mặt kỹ thuật. Nếu Freedom Factory chọn SPHINCS+, họ có thể né được vấn đề trạng thái, vì SPHINCS+ là stateless. Nhưng đổi lại, họ phải chấp nhận chữ ký lớn hơn và chi phí xác minh cao hơn. Nếu họ chọn XMSS, họ sẽ có chữ ký nhỏ hơn, nhưng họ sẽ phải xây dựng một lớp phần mềm để quản lý chỉ số khóa - một lớp phức tạp mới có thể chứa những lỗ hổng mà kẻ tấn công có thể khai thác. Trong khi tất cả các tranh luận kỹ thuật vẫn đang diễn ra, một sự thật quan trọng bị bỏ qua: thị trường cho sản phẩm này gần như không tồn tại. Những người mua PQ1 ngày hôm nay không phải là nạn nhân tiềm năng của một cuộc tấn công lượng tử trong tương lai. Họ là những người đang phòng thủ trước một kịch bản mà họ đọc được trên một bài phân tích hay một dòng tweet. Họ cũng có thể là những nhà quản lý quỹ cần chứng minh với nhà đầu tư của mình rằng họ đã thực hiện "thẩm định bảo mật tiên tiến". Điều này giải thích vì sao Freedom Factory lại tập trung vào phân khúc EVM và bỏ qua Bitcoin: không phải vì họ không đủ năng lực kỹ thuật, mà vì phân khúc người dùng EVM quan tâm đến công nghệ mới, chấp nhận rủi ro, và sẵn sàng trả phí cao hơn để thử nghiệm. Nhưng có một kịch bản mà PQ1 có thể trở thành một trong những sản phẩm mang tính thời đại: nếu ngành tài chính chính thống - đặc biệt là các tổ chức lưu ký, sàn giao dịch, và các quỹ hưu trí - bắt đầu yêu cầu các tiêu chuẩn bảo mật hậu lượng tử cho các tài sản kỹ thuật số. Khi đó, bất kỳ ai sở hữu một sản phẩm phần cứng đã tương thích với các thuật toán hậu lượng tử sẽ nắm giữ lợi thế cạnh tranh khổng lồ. Nhưng chúng ta vẫn chưa ở đó. Còn hiện tại, chúng ta chỉ có một công ty nhỏ, một sản phẩm phần cứng beta với một lời hứa lớn, và một câu chuyện nghe có vẻ thuyết phục. Nếu tôi phải đầu tư vào một trong hai điều sau: một chiếc PQ1, hay một khoản phí bảo hiểm chống lại một thảm họa hạt nhân, tôi sẽ chọn khoản bảo hiểm. Vì tôi biết xác suất xảy ra thảm họa hạt nhân trong vòng 10 năm tới cao hơn xác suất một máy tính lượng tử đủ mạnh để bẻ khóa secp256k1 trong cùng khoảng thời gian. Nhưng điều đó không có nghĩa PQ1 vô nghĩa. Nó có giá trị như một tín hiệu. Nó cho thấy rằng một phần của ngành công nghiệp này đã bắt đầu suy nghĩ về vòng đời 20-30 năm của tài sản, chứ không chỉ là chu kỳ 4 năm. Và khi bạn sở hữu một tài sản có thời hạn dài, việc suy nghĩ về một kẻ thù chưa tồn tại là điều khôn ngoan, miễn là bạn nhận thức được rằng bạn đang trả tiền cho sự an tâm, không phải cho một sự đảm bảo tuyệt đối. Câu hỏi thực sự không phải là PQ1 có an toàn không. Câu hỏi thực sự là: liệu chúng ta có đang giải quyết đúng vấn đề? Bởi vì có một thực tế rằng: hầu hết các vụ hack trong crypto không đến từ việc bẻ khóa chữ ký. Chúng đến từ việc lừa đảo người dùng ký một giao dịch độc hại, hoặc từ việc đánh cắp hạt giống, hoặc từ các lỗ hổng trong ứng dụng. Và không một chiếc ví hậu lượng tử nào có thể bảo vệ bạn khỏi việc bạn tự tay chuyển tài sản cho một kẻ lừa đảo. Trong thế giới của các mối đe dọa, con người vẫn là điểm yếu nhất. Hãy nhìn vào cấu trúc sở hữu của PQ1: một công ty tư nhân, kiểm soát tập trung, không có mã thông báo, không có cơ chế quản trị phi tập trung. Nếu Freedom Factory phá sản, hoặc bị mua lại bởi một bên thứ ba, PQ1 của bạn sẽ phụ thuộc vào quyết định của một thực thể tập trung. Liệu một thiết bị "tự do" có thể phát hành một bản cập nhật phần mềm độc hại từ xa? Liệu một công ty có thể bị ép buộc bởi chính phủ để cài một backdoor vào bản cập nhật firmware tiếp theo? Với mã nguồn mở, bạn có thể kiểm tra, nhưng bạn vẫn phải tin vào những gì bạn đọc. Và khi nói đến bảo mật, niềm tin là thứ đắt giá nhất. Tương lai của PQ1 phụ thuộc vào ba yếu tố. Thứ nhất, liệu họ có công bố kết quả kiểm toán độc lập từ bên thứ ba và các chi tiết kỹ thuật đầy đủ về việc xác minh chữ ký trên chuỗi hay không. Thứ hai, liệu họ có thể xây dựng một quan hệ đối tác chiến lược với một tổ chức lưu ký hoặc một sàn giao dịch lớn hay không. Thứ ba, liệu họ có thể mở rộng hỗ trợ sang các chuỗi khác ngoài EVM, hoặc ít nhất là chứng minh rằng chi phí gas của họ không khiến sản phẩm trở nên xa xỉ phẩm. Nhưng như tôi đã nói, ngay cả khi PQ1 không trở thành tiêu chuẩn của ngành, nó vẫn có một vai trò. Nó đã đặt một câu hỏi mà ngành này cần phải trả lời: nếu chúng ta tin rằng tài sản sẽ tồn tại trong 50 năm, chúng ta phải bảo vệ nó khỏi những gì sẽ xuất hiện trong 50 năm tới. Và nếu câu trả lời là ECDSA, thì có lẽ chúng ta đang lừa dối chính mình.