Является ли Zcash постквантовым?
Краткий ответ
Нет, пока нет.
После обновления Ironwood, Zcash является квантово-восстанавливаемым для средств, хранящихся в пуле Ironwood. Это существенный шаг, но он не равнозначен постквантовой безопасности. ZIP 2005, спецификация, лежащая в его основе, прямо говорит об этом: изменение «само по себе не делает протокол безопасным против квантовых противников». Оно подготавливает средства Ironwood, чтобы их можно было переместить через будущий протокол восстановления после отключения текущей криптографии.
Эта страница разделяет то, что Zcash защищает сегодня, что изменило Ironwood, что всё ещё уязвимо и что является лишь предложением. таблица статусов ближе к концу показывает состояние каждого компонента и дату последней проверки.
Для кого это
- Для всех, кто увидел «квантово-восстанавливаемый» и понял это как «защищённый от квантовых атак»
- Для держателей, решающих, следует ли переместить средства в Ironwood
- Для авторов и модераторов, которым нужен ответ с источниками, на который можно направлять людей
Чтобы ознакомиться с основами квантовых вычислений, начните с Постквантовая безопасность в Zcash.
Почему этот вопрос вызывает путаницу
«Постквантовый» используется так, будто это одно свойство. Для Zcash это как минимум четыре отдельных вопроса, и ответы на них различаются:
- Конфиденциальность. Может ли квантовый атакующий узнать, кто кому и сколько заплатил?
- Расходование. Может ли квантовый атакующий потратить монеты, которые ему не принадлежат?
- Инфляция. Может ли квантовый атакующий создать ZEC из ничего?
- Восстановление. Если текущую криптографию потребуется отключить, смогут ли честные пользователи всё ещё вывести свои средства?
Ironwood изменяет ответ только на четвёртый вопрос и только для записей в пуле Ironwood.
В основе всего этого лежит угроза атакующего, способного вычислять дискретные логарифмы на эллиптических кривых, используемых Zcash. Одним из способов сделать это был бы достаточно мощный квантовый компьютер с алгоритмом Шора. ZIP 2005 отмечает, что нахождения одного дискретного логарифма достаточно для произвольной инфляции или кражи средств.
Что Zcash защищает сегодня
Эта таблица описывает протокол в его текущем состоянии против атакующего, способного взламывать дискретные логарифмы. Она относится ко всем экранированным пулам, включая Ironwood, поскольку Ironwood использует ту же схему Orchard, доказательства Halo 2 и подписи RedPallas, что и Orchard.
| Свойство | Против квантового атакующего сегодня | Что изменило Ironwood |
|---|
| Конфиденциальность | Сохраняется, если атакующий не знает ваш экранированный адрес. Доказательства и повторно рандомизированные подписи не раскрывают ничего дополнительного. Если атакующий знает адрес, он может расшифровать отправленные на него записи, включая старые, сохранённые из блокчейна. | Ничего. ZIP 2005: «Ситуация в отношении конфиденциальности не изменилась ни для одного пула». |
| Расходование | Не защищено. Атакующий мог бы подделывать доказательства или подписи расходования и красть из любого экранированного пула, даже для адресов, которых он никогда не видел. | Пока ничего. Защита появится только после будущего перехода на протокол восстановления. |
| Инфляция | Не защищена. Атакующий мог бы подделать выглядящее действительным доказательство и создать ZEC внутри любого экранированного пула, возможно, так, что никто этого не заметит. Единственное ограничение — турникет: ни один пул не может выплатить больше своего учтённого баланса. | Пока ничего. Записи Ironwood теперь фиксируют всё своё содержимое способом, который квантовый атакующий не должен суметь подделать; это необходимо будущему протоколу восстановления для сохранения корректности эмиссии. |
| Восстановление | Записи Sprout, Sapling и Orchard не имеют пути восстановления. После отключения их протоколов всё, что останется в них, станет недоступным. | Каждая запись Ironwood в принципе восстанавливаема. Ни одна запись Sapling или Orchard не является такой. |
Прозрачный ZEC — отдельный случай. Его подписи ECDSA можно подделать, как только станет известен открытый ключ. Для обычного прозрачного адреса это происходит при первом расходовании с него, а также существует короткое окно, пока транзакция неподтверждённой находится в мемпуле. ZIP 2005 ничего из этого не меняет.
Что изменило Ironwood
Ironwood — это сетевое обновление NU6.3. Оно активировалось в Mainnet на блоке 3,428,143 28 июля 2026 года. Его основной целью была целостность эмиссии после ошибки корректности Orchard (см. страницу Ironwood), а квантовая восстанавливаемость из ZIP 2005 вошла в его состав.
- Новый формат записи. Каждая выходная запись Ironwood использует квантово-восстанавливаемый формат (ведущий байт открытого текста записи
0x03). Случайность записи теперь выводится из всех её полей, поэтому запись привязана к своему содержимому хешем, а не только математикой эллиптических кривых.
- Путь восстановления только для записей Ironwood. ZIP 326 прямо указывает, что каждая запись Ironwood восстанавливаема, а ни одна запись Orchard — нет. Настройка кошелька этого не меняет.
- Orchard перестал принимать новую стоимость. Награды Coinbase больше нельзя направлять в Orchard, а Orchard больше не может отправлять на другой адрес Orchard, поэтому новая экранированная стоимость поступает в Ironwood.
- Кошелькам предписано переместить всё. ZIP 2005 говорит, что кошельки ДОЛЖНЫ переместить все контролируемые ими средства, включая прозрачные средства, средства Sprout и Sapling, в записи Ironwood, как только это практически возможно, и продолжать делать это по мере поступления новых средств.
Что Ironwood не изменило: криптографию, используемую сегодня для расходования и доказательств, шифрование записей и всё, что касается прозрачного ZEC.
Остающиеся ограничения
Существует окно уязвимости. С момента активации Ironwood до отключения старых протоколов квантовый атакующий всё ещё мог бы красть, создавать инфляцию или блокировать средства в каждом экранированном пуле. ZIP 2005 называет это «критическим периодом уязвимости» и предупреждает, что атака в этот период всё ещё может повредить способности держателя восстановить средства позднее. Поэтому в нём сказано, что Zcash должен отключить Orchard, Sapling и Sprout до того, как квантовые атаки станут осуществимы.
Дата отключения не назначена, за исключением Sprout. Ни один ZIP не предусматривает отключение Orchard или Sapling. С Sprout иначе: ZIP 259 включает ZIP 2003 в число изменений, разворачиваемых NU7, поэтому транзакции версии 4 станут недействительными после активации NU7, а любые ZEC, оставшиеся в пуле Sprout, станет невозможно потратить. Активация в Mainnet назначена на блок 3 543 405 и запланирована на 5 ноября 2026 года (ZIP 259, объявление на форуме). Обсуждение режима только вывода Sapling началось на форуме в апреле 2026 года.
Протокол восстановления не завершён. ZIP 2005 лишь описывает его в общих чертах и говорит, что детали «могут измениться». Ничего из него не развёрнуто.
Собрать сейчас, расшифровать позже. Шифротексты записей для Ironwood, Orchard, Sapling и Sprout публичны в блокчейне. Кто-то может сохранить их сегодня и расшифровать позже, если также знает адрес получателя. Каждый опубликованный или переданный вами адрес является частью этого риска. ZIP 2005 говорит, что для будущих переводов «рассматриваются другие изменения протокола».
Прозрачные средства не охвачены. У адресов, с которых уже тратили средства или которые использовали повторно, раскрыты открытые ключи. Восстанавливаемость для некоторых прозрачных адресов пока является лишь идеей (ZIP 2007, см. ниже).
У схем FROST есть дополнительная оговорка. В FROST каждый участник хранит квантовый ключ расходования (qsk), и квантовый атакующий, завладевший им, может получить возможность украсть средства. ZIP 2005 рекомендует переместить средства FROST в полностью постквантовый протокол с пороговой поддержкой, когда такой появится.
Предложения и исследования
Ничто из этого не работает в сети.
- Протокол восстановления. Механизм, который действительно позволил бы расходовать средства Ironwood после перехода. Описан в общих чертах в ZIP 2005, но не специфицирован.
- ZIP 2007, восстанавливаемость для некоторых прозрачных адресов. Лишь зарезервированный номер ZIP с обсуждением в zips#1302. Идея в том, что выходы P2PKH и P2SH, чьи открытые ключи никогда не раскрывались, могли бы быть восстанавливаемыми с более слабыми гарантиями, чем Ironwood.
- Постквантовая конфиденциальность для известных адресов. Открыта с 2022 года в zips#1133, где отмечается, что Zcash «уже предназначен для постквантовой конфиденциальности», когда адреса хранятся в секрете, и ставится вопрос о распространении этого на известные адреса, например с помощью постквантовой схемы инкапсуляции ключей, такой как Kyber (теперь ML-KEM). В июне 2026 года zips#1307 предложил ZIP для документирования текущих свойств конфиденциальности и возможных исправлений.
- Проект Tachyon. Предлагаемое обновление масштабирования. Его сайт говорит, что он обеспечил бы «полную постквантовую конфиденциальность» как побочный эффект, перенеся доставку платежей вне блокчейна и используя постквантовый обмен ключами. Его библиотека данных с доказательствами, Ragu, описывается как «всё ещё находящаяся в разработке». См. Проект Tachyon.
- Полностью постквантовый Zcash. Постквантовые доказательства, подписи и обязательства в совокупности. Отслеживается в zips#1134, открытом с 2016 года. Нет ни спецификации, ни сроков.
Таблица статусов
Последняя проверка: 13 сентября 2026 года, за исключением строки Sprout, обновлённой 9 октября 2026 года. Статус в заголовке ZIP и его сетевой статус — разные вещи: ZIP 2005 всё ещё говорит «Предложен» в своём заголовке, хотя его правила применяются в Mainnet с июля 2026 года.
| Элемент | Статус ZIP | Статус сети | Дата | Источник |
|---|
| Пул Ironwood с квантово-восстанавливаемыми записями (NU6.3) | ZIP 2005 предложен, ZIP 229 и ZIP 258 в статусе проекта | Активирован в основной сети | 28 июля 2026, блок 3,428,143 | ZIP 2005, ZIP 258 |
| Orchard закрыт для новых средств | ZIP 2006 зарезервирован, правила в ZIP 258 | Активирован в основной сети | 28 июля 2026 | ZIP 258 |
| Кошельки, перемещающие средства в Ironwood | Рекомендации в ZIP 2005, ZIP 318 и ZIP 326 (проект) | Рекомендуется, зависит от вашего кошелька | С 28 июля 2026 | ZIP 318, ZIP 326 |
| Протокол восстановления | Описан в общих чертах только в ZIP 2005 | Не реализован | Нет даты | ZIP 2005 |
| Отключение Orchard и Sapling | Нет ZIP | Не запланировано | Обсуждение Sapling с апреля 2026 | Форум |
В опросах настроений Zcash Foundation о NU7 (февраль 2026 года) квантовая восстанавливаемость получила поддержку 90,5 % от ZCAP и 94,6 % от держателей монет, а Tachyon получил почти единодушную поддержку. Это были опросы настроений, а не решения о том, что войдёт в NU7.
Что вы можете сделать сейчас
- Переместите свои средства в Ironwood. Записи Sapling и Orchard никогда не будут восстанавливаемыми. Перемещение стоимости между пулами показывает сумму в блокчейне, поэтому ZIP 318 предписывает кошелькам разделять балансы на фиксированные суммы и отправлять их постепенно. Позвольте своему кошельку сделать это вместо перемещения всего сразу.
- Не публикуйте экранированные адреса, которые вам не нужны. Конфиденциальность против будущего квантового атакующего зависит от того, что он не знает ваш адрес. Унифицированные адреса легко создавать, поэтому выдавайте каждому плательщику новый. ZIP 229 рекомендует ротацию адресов именно по этой причине.
- Не используйте прозрачные адреса повторно. Как только вы тратите с такого адреса, его открытый ключ навсегда оказывается в блокчейне.
- Храните seed-фразу в безопасности. В изложенном протоколе восстановления транзакция восстановления должна доказать, что вы знаете свой ключ расходования, а обычные кошельки выводят этот ключ из seed-фразы.
- Игнорируйте утверждения «Zcash защищён от квантовых атак». Это пока не так, и авторы спецификаций сами говорят об этом.
Распространённые заблуждения
- «Ironwood постквантовый». Нет. Он использует ту же криптографию Orchard, а ZIP 2005 говорит, что эта функция «не делает протокол Orchard безопасным против квантовых атак».
- «Квантово-восстанавливаемый означает защищённый от квантовых компьютеров уже сегодня». Нет. Это означает, что средства Ironwood могли бы быть восстановлены после будущего перехода, при условии, что он произойдёт вовремя.
- «Экранированный Zcash уже постквантово конфиденциален». Только когда атакующий не знает вашего адреса. Известные адреса уязвимы в каждом пуле.
- «Tachyon уже добавил постквантовую конфиденциальность». Tachyon — предложение. Ничто из него не работает в сети.
- «Квантовые компьютеры ломают каждую часть Zcash». Хеш-функции известные квантовые атаки лишь ослабляют, но не ломают. Квантовая восстанавливаемость основана именно на этом различии.
Связанные страницы
Источники
