Чи є Zcash постквантовим?
Коротка відповідь
Ні, поки що ні.
Починаючи з оновлення Ironwood, Zcash має квантове відновлення для коштів у пулі Ironwood. Це справжній крок уперед, але не те саме, що постквантова безпека. ZIP 2005, специфікація, що лежить в його основі, прямо про це говорить: зміна «сама по собі не робить протокол захищеним від квантових супротивників». Вона готує кошти Ironwood до можливого переміщення через майбутній Recovery Protocol, щойно поточну криптографію буде вимкнено.
Ця сторінка розділяє те, що Zcash захищає сьогодні, те, що змінив Ironwood, те, що досі є вразливим, і те, що поки є лише пропозицією. Таблиця стану наприкінці показує стан кожної складової та дату останньої перевірки.
Для кого це
- Для всіх, хто бачив «квантове відновлення» й сприйняв це як «квантонепробивність»
- Для власників, які вирішують, чи переміщувати кошти до Ironwood
- Для авторів і модераторів, яким потрібна відповідь із посиланнями на джерела
Щоб дізнатися більше про самі квантові обчислення, почніть зі сторінки Постквантова безпека в Zcash.
Чому це питання заплутує
«Постквантовий» уживають так, ніби це одна властивість. Для Zcash це щонайменше чотири окремі питання, і відповіді на них різні:
- Приватність. Чи може квантовий зловмисник побачити, хто кому й скільки заплатив?
- Витрачання. Чи може квантовий зловмисник витратити монети, які йому не належать?
- Інфляція. Чи може квантовий зловмисник створити ZEC з нічого?
- Відновлення. Якщо поточну криптографію доведеться вимкнути, чи зможуть чесні користувачі все ще вивести свої кошти?
Ironwood змінює відповідь лише на четверте питання — і лише для нотаток у пулі Ironwood.
Загроза за всім цим — зловмисник, здатний обчислювати дискретні логарифми на еліптичних кривих, які використовує Zcash. Одним зі способів зробити це був би достатньо великий квантовий комп’ютер, що виконує алгоритм Шора. ZIP 2005 зазначає, що знаходження одного дискретного логарифма достатньо для довільної інфляції або викрадення коштів.
Що Zcash захищає сьогодні
Ця таблиця описує протокол у його поточному вигляді проти зловмисника, який може зламати дискретні логарифми. Вона стосується кожного екранованого пулу, зокрема Ironwood, оскільки Ironwood використовує ту саму схему Orchard, докази Halo 2 та підписи RedPallas, що й Orchard.
| Властивість | Проти квантового зловмисника сьогодні | Що змінив Ironwood |
|---|
| Приватність | Зберігається, якщо зловмисник не знає вашої екранованої адреси. Докази та повторно рандомізовані підписи не розкривають нічого додаткового. Якщо ж зловмисник знає адресу, він може розшифрувати надіслані на неї нотатки, зокрема старі, збережені з блокчейну. | Нічого. ZIP 2005: «Ситуація щодо Privacy не змінилася для жодного пулу». |
| Витрачання | Не захищене. Зловмисник міг би підробити докази або підписи витрачання та викрасти кошти з будь-якого екранованого пулу, навіть для адрес, яких він ніколи не бачив. | Поки нічого. Захист з’явиться лише після майбутнього переходу на Recovery Protocol. |
| Інфляція | Не захищена. Зловмисник міг би підробити правдоподібний доказ і створити ZEC у будь-якому екранованому пулі, можливо, так, що ніхто цього не помітить. Єдине обмеження — турнікет: жоден пул не може виплатити більше за свій зафіксований баланс. | Поки нічого. Нотатки Ironwood тепер фіксують увесь свій вміст способом, який квантовий зловмисник не повинен бути здатний підробити; саме це потрібне майбутньому Recovery Protocol для збереження цілісності емісії. |
| Відновлення | Нотатки Sprout, Sapling і Orchard не мають шляху відновлення. Після вимкнення їхніх протоколів усе, що в них залишиться, стане недоступним. | Кожну нотатку Ironwood у принципі можна відновити. Жодну нотатку Sapling або Orchard — ні. |
Прозорий ZEC — окремий випадок. Його підписи ECDSA можна підробити, щойно відкритий ключ стає відомим. Для звичайної прозорої адреси це трапляється вперше, коли ви витрачаєте кошти з неї; також існує коротке вікно, поки транзакція без підтвердження перебуває в мемпулі. ZIP 2005 нічого з цього не змінює.
Що змінив Ironwood
Ironwood — це оновлення мережі NU6.3. Воно активувалося в Mainnet на блоці 3,428,143 28 липня 2026 року. Його головною метою була цілісність емісії після помилки коректності Orchard (дивіться сторінку Ironwood), а квантове відновлення з ZIP 2005 було впроваджено як його частину.
- Новий формат нотаток. Кожна вихідна нотатка Ironwood використовує формат із квантовим відновленням (старший байт відкритого тексту нотатки
0x03). Випадковість нотатки тепер виводиться з усіх її полів, тому нотатка прив’язана до свого вмісту хешем, а не лише математикою еліптичних кривих.
- Шлях відновлення лише для нотаток Ironwood. ZIP 326 прямо зазначає, що кожну нотатку Ironwood можна відновити, а жодну нотатку Orchard — ні. Налаштування гаманця цього не змінює.
- Orchard припинив приймати нову вартість. Винагороди Coinbase більше не можуть надходити до Orchard, а Orchard більше не може надсилати на іншу адресу Orchard, тому нова екранована вартість потрапляє до Ironwood.
- Гаманцям рекомендовано перемістити все. ZIP 2005 каже, що гаманці SHOULD перемістити всі кошти, якими вони керують, зокрема прозорі кошти, а також кошти Sprout і Sapling, до нотаток Ironwood щойно це стане практично можливим, і продовжувати це робити з надходженням нових коштів.
Чого Ironwood не змінив: криптографії, яка нині використовується для витрачання та доведення, шифрування нотаток і будь-чого, що стосується прозорого ZEC.
Обмеження, що залишаються
Існує вікно вразливості. Від активації Ironwood до вимкнення старих протоколів квантовий зловмисник все ще міг би викрасти, інфлювати або заблокувати кошти в кожному екранованому пулі. ZIP 2005 називає це «критичним періодом вразливості» й попереджає, що атака в цей час усе ще може зашкодити здатності власника відновити кошти пізніше. Саме тому він каже, що Zcash має вимкнути Orchard, Sapling і Sprout до того, як квантові атаки стануть здійсненними.
Дата вимкнення не визначена, за винятком Sprout. Жоден ZIP не передбачає вимкнення Orchard або Sapling. Sprout відрізняється: у ZIP 259 ZIP 2003 зазначено серед змін, які впроваджує NU7, тож транзакції версії 4 стануть недійсними після активації NU7, а будь-які ZEC, що залишаться в пулі Sprout, стане неможливо витратити. Активацію в основній мережі призначено на блок 3 543 405, запланований на 5 листопада 2026 року (ZIP 259, оголошення на форумі). Обговорення режиму лише виведення коштів для Sapling розпочалося на форумі у квітні 2026 року.
Recovery Protocol не завершений. ZIP 2005 лише окреслює його та каже, що деталі «можуть змінюватися». Нічого з цього не розгорнуто.
Збирати зараз, розшифровувати пізніше. Шифротексти нотаток для Ironwood, Orchard, Sapling і Sprout є публічними в блокчейні. Хтось може зберегти їх сьогодні та розшифрувати пізніше, якщо також знає адресу отримувача. Кожна адреса, яку ви публікуєте або комусь надаєте, є частиною цього ризику. ZIP 2005 каже, що для майбутніх переказів «розглядаються інші зміни протоколу».
Прозорі кошти не охоплені. Адреси, з яких уже витрачали кошти або які використовували повторно, мають розкриті відкриті ключі. Відновлюваність для деяких прозорих адрес поки що є лише ідеєю (ZIP 2007, дивіться нижче).
Налаштування FROST мають додаткове застереження. У FROST кожен учасник має квантовий ключ витрачання (qsk), і квантовий зловмисник, який ним володіє, може бути здатний викрасти кошти. ZIP 2005 рекомендує перемістити кошти FROST до повністю постквантового протоколу з підтримкою порогових схем, щойно такий з’явиться.
Пропозиції та дослідження
Жодна з них не працює в мережі.
- Recovery Protocol. Механізм, який фактично дозволив би витрачати кошти Ironwood після переходу. Окреслений у ZIP 2005, але не специфікований.
- ZIP 2007, відновлюваність деяких прозорих адрес. Лише зарезервований номер ZIP з обговоренням у zips#1302. Ідея полягає в тому, що виходи P2PKH і P2SH, чиї відкриті ключі ніколи не були розкриті, могли б бути відновлюваними, але з слабшими гарантіями, ніж Ironwood.
- Постквантова приватність для відомих адрес. Відкрита з 2022 року в zips#1133, де зазначено, що Zcash «вже призначений бути постквантово приватним», коли адреси тримаються в секреті, та поставлено питання, як поширити це на відомі адреси, наприклад за допомогою постквантової схеми інкапсуляції ключів на кшталт Kyber (тепер ML-KEM). У червні 2026 року zips#1307 запропонував ZIP для документування поточних властивостей приватності та можливих виправлень.
- Проєкт Tachyon. Запропоноване оновлення масштабування. Його сайт каже, що він отримав би «повну постквантову приватність» як побічний ефект, перемістивши доставку платежів поза блокчейн і використовуючи постквантовий обмін ключами. Його бібліотеку даних із доказами, Ragu, описано як таку, що «все ще перебуває в розробці». Дивіться Проєкт Tachyon.
- Повністю постквантовий Zcash. Постквантові докази, підписи та зобов’язання разом. Відстежується в zips#1134, відкритому з 2016 року. Специфікації або графіка немає.
Таблиця стану
Востаннє перевірено 13 вересня 2026 року, за винятком рядка Sprout, який було оновлено 9 жовтня 2026 року. Статус у заголовку ZIP та його статус у мережі — різні речі: у заголовку ZIP 2005 досі зазначено «Proposed», хоча його правила виконуються в Mainnet із липня 2026 року.
| Елемент | Статус ZIP | Статус мережі | Дата | Джерело |
|---|
| Пул Ironwood із нотатками з квантовим відновленням (NU6.3) | ZIP 2005 Запропоновано, ZIP 229 і ZIP 258 Чернетка | Активовано в Mainnet | 28 липня 2026, блок 3,428,143 | ZIP 2005, ZIP 258 |
| Orchard закрито для нової вартості | ZIP 2006 Зарезервовано, правила в ZIP 258 | Активовано в Mainnet | 28 липня 2026 | ZIP 258 |
| Гаманці переміщують кошти до Ironwood | Рекомендації в ZIP 2005, ZIP 318 і ZIP 326 (Чернетка) | Рекомендовано, залежить від вашого гаманця | Від 28 липня 2026 | ZIP 318, ZIP 326 |
| Протокол відновлення | Окреслено лише в ZIP 2005 | Не реалізовано | Немає дати | ZIP 2005 |
| Вимкнення Orchard і Sapling | Немає ZIP | Не заплановано | Обговорення Sapling від квітня 2026 | Форум |
|
В опитуваннях настроїв Zcash Foundation щодо NU7 (лютий 2026 року) квантове відновлення отримало 90,5% підтримки від ZCAP і 94,6% від власників монет, а Tachyon мав майже одностайну підтримку. Це були опитування настроїв, а не рішення про те, що увійде до NU7.
Що ви можете зробити зараз
- Перемістіть свої кошти до Ironwood. Нотатки Sapling та Orchard ніколи не будуть відновлюваними. Переміщення вартості між пулами показує суму в блокчейні, тому ZIP 318 передбачає, що гаманці ділять баланси на фіксовані суми та надсилають їх з часом. Дозвольте це зробити вашому гаманцю, а не переміщуйте все за один раз.
- Не публікуйте екрановані адреси, які вам не потрібні. Приватність проти майбутнього квантового зловмисника залежить від того, чи знає він вашу адресу. Уніфіковані адреси дешево генерувати, тому надавайте кожному платнику нову адресу. ZIP 229 рекомендує ротацію адрес із цієї причини.
- Не використовуйте прозорі адреси повторно. Щойно ви витрачаєте кошти з такої адреси, її відкритий ключ назавжди потрапляє в блокчейн.
- Бережіть свою seed-фразу. В окресленому Recovery Protocol витрачання для відновлення має довести, що ви знаєте свій ключ витрачання, а звичайні гаманці виводять цей ключ із seed-фрази.
- Ігноруйте твердження, що «Zcash квантонепробивний». Поки це не так, і люди, які пишуть специфікації, прямо про це говорять.
Поширені непорозуміння
- «Ironwood є постквантовим». Ні. Він використовує ту саму криптографію Orchard, а ZIP 2005 каже, що ця можливість «не робить протокол Orchard захищеним від квантових атак».
- «Квантове відновлення означає захист від квантових комп’ютерів уже сьогодні». Ні. Це означає, що кошти Ironwood можна буде відновити після майбутнього переходу, якщо цей перехід станеться вчасно.
- «Екранований Zcash уже має постквантову приватність». Лише коли зловмисник не знає вашої адреси. Відомі адреси вразливі в кожному пулі.
- «Tachyon уже додав постквантову приватність». Tachyon — це пропозиція. Ніщо з неї не працює в мережі.
- «Квантові комп’ютери руйнують кожну частину Zcash». Відомі квантові атаки лише послаблюють хеш-функції, а не зламують їх. Квантове відновлення спирається саме на цю відмінність.
Пов’язані сторінки
Джерела
