A possibilidade de uma computação quântica criptograficamente relevante, ou CRQC, introduz uma questão técnica que pode assumir importância em litígios, investigações patrimoniais e incidentes envolvendo ativos digitais: se uma assinatura ou uma chave for comprometida, o que exatamente isso permite concluir sobre autenticidade, controle e movimentação de ativos?
A resposta depende de uma distinção fundamental. Uma CRQC não afetaria todos os componentes de uma blockchain da mesma maneira. O risco mais direto está nos mecanismos de chave pública baseados em problemas de logaritmo discreto, como ECDSA e BLS. Já as funções hash, utilizadas em estruturas como hashes de blocos e raízes de Merkle, sofreriam uma aceleração quadrática associada ao algoritmo de Grover, e não uma quebra direta pelo algoritmo de Shor.
Para advogados litigantes e profissionais de investigação, essa diferença é decisiva. A hipótese de comprometimento criptográfico não demonstra, por si só, que uma transação foi forjada, que uma chave foi obtida por meios quânticos ou que a integridade histórica da cadeia foi destruída. É necessário distinguir o que um artefato registra, o que permite inferir e o que permanece como hipótese técnica.
A superfície de exposição não é uniforme
Uma CRQC é definida, neste contexto, como uma máquina capaz de executar algoritmos quânticos em instâncias de tamanho prático, tornando vulneráveis primitivas de chave pública atualmente utilizadas. O algoritmo de Shor resolve, em tempo polinomial, problemas de fatoração e logaritmo discreto. Em princípio, isso ameaça sistemas como ECDSA sobre secp256k1 e esquemas baseados em curvas, como BLS sobre BLS12-381.
Em blockchains e criptomoedas, essas primitivas aparecem em diferentes funções. Assinaturas de contas externas, chaves de administradores de contratos, chaves associadas a carteiras multisig e chaves de validadores podem controlar autorizações relevantes. Quando a chave pública correspondente está disponível, ela pode constituir uma superfície de exposição distinta daquela de um endereço que revela apenas um hash da chave pública.
No Bitcoin, por exemplo, determinados tipos de endereço, como P2PKH e P2WPKH, ocultam a chave pública até que o UTXO seja gasto. Enquanto o UTXO não é gasto e a chave pública não foi publicada na cadeia ou no mempool, o problema de logaritmo discreto não pode ser aplicado diretamente sobre o hash da chave pública. Quando uma transação de gasto é criada e transmitida, porém, a chave pública pode ser revelada no mempool.
Por isso, um inventário de exposição deve considerar mais do que o endereço visível: quando a chave pública foi observada, que autoridade ela representa e se a chave ainda pode autorizar movimentações.
O que Shor pode afetar — e o que isso não significa
O algoritmo de Shor pode, em princípio, recuperar uma chave privada a partir de uma chave pública em sistemas vulneráveis ao problema de logaritmo discreto. No contexto de ativos digitais, essa possibilidade poderia afetar a capacidade de produzir uma assinatura válida ou de exercer uma autoridade associada à chave.
Isso não equivale a dizer que toda transação assinada no passado será automaticamente inválida, nem que qualquer alteração na chave pública implica movimentação dos ativos. A pergunta forense é mais específica: a chave conferia autoridade para movimentar determinado ativo, alterar a configuração de um contrato, aprovar uma operação ou participar do consenso?
É necessário separar três proposições:
- uma chave pública ou assinatura foi exposta;
- uma chave privada foi obtida ou utilizada por alguém;
- uma transação ou operação específica foi autorizada por esse mecanismo.
A primeira não prova necessariamente a segunda. A segunda não identifica, sozinha, quem utilizou a chave. A terceira requer análise da transação, da cadeia de custódia e dos artefatos que sustentem a atribuição técnica.
Em Ethereum, as assinaturas BLS utilizadas por validadores para attestations também pertencem a uma família de mecanismos baseada em problemas de curva elíptica vulneráveis, em princípio, a Shor. Os efeitos de um comprometimento dependeriam do modelo de staking, das regras de slashing e da capacidade de gerar agregações válidas. A análise deve distinguir chaves de usuários, chaves administrativas, chaves de custódia e chaves de consenso.
Hashes, integridade histórica e mineração
As funções hash ocupam uma posição diferente. SHA-256 e Keccak-256 não são quebradas diretamente por Shor. O algoritmo de Grover oferece uma aceleração quadrática para buscas não estruturadas, incluindo ataques de força bruta e determinados ataques de pré-imagem. Em termos de segurança efetiva, isso é normalmente descrito como uma redução aproximada pela metade dos bits de segurança, sujeita aos pressupostos do modelo considerado.
Essa distinção importa para a reconstrução de evidências. A simples presença de uma CRQC não implica, por si só, que blocos históricos, raízes de Merkle ou registros de transações possam ser reescritos diretamente. Uma alteração histórica envolveria outros mecanismos, como uma reescrita da cadeia, uma reorganização relevante ou a produção de colisões ou pré-imagens em escala prática. Os obstáculos e pressupostos são diferentes daqueles envolvidos na quebra de uma assinatura.
O mesmo cuidado se aplica à mineração baseada em prova de trabalho. Grover pode fornecer aceleração quadrática na busca por um nonce, mas fatores como paralelização, custos de correção de erros, ajuste de dificuldade e limitações operacionais impedem concluir, apenas pela existência de uma CRQC, que a mineração se tornaria trivialmente dominante. A pesquisa reunida no Research Pack trata a quebra de assinaturas como um vetor mais direto e relevante do que a transformação imediata da mineração em um mecanismo inútil.
Três modelos de comprometimento relevantes para a investigação
Exposição em repouso: registrar agora, explorar posteriormente
Chaves públicas e assinaturas registradas hoje podem permanecer disponíveis para exploração futura, caso uma CRQC prática venha a existir. O risco é mais evidente em contas já utilizadas, registros de validadores, chaves administrativas e contratos que publiquem ou registrem chaves públicas.
Esse modelo não demonstra comprometimento atual. Ele indica que a exposição deve ser tratada como elemento persistente do histórico técnico. Para uma investigação, importa estabelecer quando a chave foi observada e qual autoridade permanecia associada a ela.
On-spend ou front-running quântico
No modelo on-spend, a chave pública é revelada quando uma transação é transmitida. Um atacante com uma CRQC poderia, em teoria, tentar derivar a chave privada e criar uma transação concorrente antes que a transação legítima fosse confirmada.
A hipótese depende de recursos quânticos, tempo de cálculo, latência de rede, propagação, políticas de mempool, uso de RBF, taxas e comportamento de mineradores ou validadores. A possibilidade teórica de um ataque on-spend não demonstra que um ataque prático seja atualmente realizável.
Uma investigação que considere essa hipótese precisaria preservar as observações disponíveis do mempool, reconstruir a sequência temporal observada de broadcast e confirmação, identificar possíveis competing spends e examinar se a janela operacional seria compatível com o mecanismo alegado. Estimativas precisas de qubits, tempos de execução ou probabilidade de sucesso permanecem sujeitas à revisão técnica D2.
Comprometimento na geração ou no controle da chave
Um processo de geração de chaves comprometido, inclusive por falhas de aleatoriedade ou de cadeia de suprimentos, pode tornar inseguras as utilizações subsequentes. Esse cenário não é consequência exclusiva da computação quântica e deve ser considerado como hipótese alternativa ou concorrente.
Na prática forense, uma transação suspeita pode resultar de exfiltração de seed, malware, acesso ao dispositivo, comprometimento de custódia, coerção ou uso indevido de credenciais. Distinguir essas hipóteses de uma recuperação quântica de chave é uma lacuna metodológica e não deve ser resolvido por inferência automática.
Que evidências devem ser preservadas
A resposta forense deve começar pela preservação imediata, antes que dados voláteis desapareçam. Quando pertinente e autorizado, podem ser coletadas representações do estado da blockchain provenientes de múltiplas fontes, com registro do momento e das condições de aquisição. Um snapshot representa o estado observado por determinada fonte em determinado momento; não prova, sozinho, sua completude, autenticidade, origem ou a ordem global dos eventos históricos.
É importante distinguir os tempos envolvidos: o timestamp do protocolo é um dado produzido ou aceito segundo as regras do protocolo; o timestamp local corresponde ao relógio do dispositivo que realizou a coleta; e um timestamp externo ou uma ancoragem pode corroborar que um artefato existia ou foi adquirido até certo momento. Nenhum deles, isoladamente, equivale necessariamente ao momento físico exato de criação ou transmissão.
Mempools e capturas de tráfego P2P, inclusive arquivos pcap quando disponíveis, podem registrar o que foi observado por um nó, dispositivo ou ponto de rede específico. Podem contribuir para reconstruir broadcasts, propagação, taxas, transações concorrentes e o intervalo observado entre a divulgação de uma chave pública e a inclusão em bloco. Não demonstram necessariamente a ordem global dos broadcasts, o primeiro momento de divulgação na rede ou a totalidade dos eventos de propagação. Para uma inferência mais robusta, são necessários múltiplos pontos de observação, sincronização, validação da origem e avaliação da integridade e cobertura dos dados.
A coleta deve ser limitada ao escopo, à autoridade e à necessidade do caso, com minimização de dados e controles de segurança apropriados. Conforme aplicável, podem ser considerados:
- logs e backups de carteiras;
- imagens forenses de dispositivos e hardware wallets, quando autorizadas e tecnicamente necessárias;
- informações de derivação e materiais relacionados a chaves, somente mediante controles específicos;
- registros de geração, custódia e acesso às chaves;
- registros de exchanges ou VASPs, obtidos por processo apropriado e dentro da autoridade aplicável;
- configurações de chaves administrativas e políticas multisig;
- eventos on-chain de registro de chaves;
- logs de operadores de nós e registros de validadores;
- ancoragens independentes e documentação de cadeia de custódia.
Seeds e outros materiais capazes de autorizar movimentação de ativos não devem ser expostos, copiados ou manuseados indiscriminadamente. Se a preservação for necessária, devem existir controles específicos de acesso, isolamento, minimização e segurança. Imagens de dispositivos e registros de KYC podem conter dados pessoais, segredos de custódia ou informações fora do escopo; sua aquisição e retenção devem observar o processo e a autoridade aplicáveis.
A preservação deve documentar identificação, coleta, aquisição, tratamento, acesso e armazenamento. Hashes calculados sobre os artefatos registram a identidade ou a consistência do objeto na etapa em que foram calculados e podem ajudar a comparar cópias ou demonstrar que um arquivo não mudou depois daquele ponto. Não provam, sozinhos, autenticidade, completude, origem ou ausência de alteração anterior à aquisição. Por isso, devem ser combinados com método de aquisição, cadeia de custódia, controles de acesso, logs e validação da fonte.
Da preservação à reconstrução da hipótese
Uma investigação tecnicamente defensável pode começar pelo isolamento e preservação das fontes relevantes, seguido do registro das condições de aquisição, dos hashes dos artefatos e dos timestamps disponíveis. Em seguida, deve mapear a exposição: a chave pública já havia sido observada? Foi publicada somente no momento do gasto? A chave controlava diretamente o ativo ou participava de outra função?
A triagem deve reconstruir, com as limitações registradas, a linha do tempo entre geração, exposição, broadcast, confirmação e eventual movimentação subsequente. A análise de múltiplos nós, mempools e capturas de rede pode corroborar uma sequência observada, sem convertê-la automaticamente em uma ordem global. Registros de custódia, dispositivos e exchanges podem fornecer contexto para avaliar posse, controle e acesso, desde que obtidos e interpretados dentro do escopo aplicável.
A análise blockchain pode complementar essa reconstrução por meio de grafos, agrupamento de endereços, heurísticas de identificação de carteiras e rastreamento entre exchanges. Os resultados devem ser preservados em formato reproduzível, com identificação dos dados de entrada, métodos utilizados, hashes e limitações da análise.
Uma assinatura verificada sob determinada chave pública sustenta uma afirmação sobre a validade criptográfica dos dados segundo o esquema aplicável. Isso não identifica automaticamente uma pessoa, um dispositivo, o custodiante da chave, a intenção ou a autoria humana. A atribuição exige correlação com registros de custódia, artefatos de chave e outras evidências de acesso.
A conclusão específica de que uma chave foi derivada por uma CRQC a partir de uma chave pública revelada no mempool exigiria, entre outros elementos, registros confiáveis das observações disponíveis, timestamps e condições de aquisição, uma reconstrução da janela alegada e perícia criptográfica capaz de avaliar a compatibilidade do procedimento com recursos quânticos plausíveis. Esse componente permanece sensível à revisão D2.
Implicações para advogados e investigadores
A avaliação de risco não deve começar perguntando apenas se uma blockchain é “quântica” ou “não quântica”. A pergunta útil é quais chaves foram expostas, que autoridade representavam, quando foram observadas e que vestígios podem corroborar o uso dessa autoridade.
Em diligências e investigações, contas já utilizadas, chaves de administradores, configurações multisig, contratos críticos e chaves de validadores merecem prioridade. O NIST fornece orientação e trabalhos de padronização sobre transição criptográfica; o roadmap do Ethereum descreve uma direção de desenvolvimento do protocolo; e EIPs, como a EIP-8292, são propostas ou especificações em discussão cuja implementação e aplicabilidade devem ser verificadas. Essas fontes não são equivalentes nem constituem, por si só, uma recomendação universal ou um mecanismo disponível em toda arquitetura.
A migração para mecanismos pós-quânticos ou desenhos híbridos pode ser considerada quando disponível e tecnicamente adequada, mas depende do protocolo, da custódia, da arquitetura e do estágio de implementação. Essa consideração não substitui uma análise específica do ambiente envolvido.
Também é prudente tratar chaves públicas on-chain como dados persistentes para fins de inventário técnico. A exposição registrada hoje pode ser relevante em uma avaliação futura, ainda que não exista evidência de comprometimento atual. Estimativas numéricas sobre qubits, tempos de execução e janelas de ataque não devem ser apresentadas como fatos estáveis sem validação independente.
Uma perspectiva de evidência, não de especulação
A questão central para uma investigação não é apenas se a computação quântica poderá afetar determinado algoritmo. É determinar o que uma exposição concreta permite inferir sobre autenticidade, integridade e controle de ativos, quais registros podem corroborar ou enfraquecer essa inferência e quais limitações permanecem.
A forense digital e a análise blockchain têm, nesse contexto, um papel de reconstrução: preservar estados e eventos voláteis, estabelecer cronologias qualificadas, mapear autoridades criptográficas, correlacionar evidências on-chain e off-chain e manter separadas as hipóteses comprovadas, plausíveis e ainda não demonstradas.
Para organizações que custodiam ativos, administram contratos ou operam infraestrutura de consenso, o momento adequado para mapear exposição e planejar migrações é anterior a um incidente. Para advogados e investigadores, o ponto de partida diante de um evento suspeito é a preservação imediata e a formulação disciplinada das hipóteses, sem transformar uma possibilidade quântica em uma conclusão pericial.
A IVIDENTIA pode apoiar a estruturação técnica de questões de evidência digital, preservação e reconstrução de eventos relacionados a ativos digitais, sempre distinguindo o que os artefatos demonstram do que permanece sujeito a validação especializada.
Fontes
- Post-Quantum Cryptography | NIST — NIST.
- What Is Post-Quantum Cryptography? | NIST — NIST.
- Transitioning the Use of Cryptographic Algorithms and Key Lengths (SP 800-131A Rev.3) — NIST CSRC.
- NIST IR 8105 — Report on Post-Quantum Cryptography — NIST.
- Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations — Google Quantum AI / PRX Quantum.
- Ethereum — Post-Quantum Cryptography / Roadmap — Ethereum Foundation.
- EIP-8292: Scheme-Agile Transactions / Post-Quantum Attestation Aggregators — Ethereum Improvement Proposals.
- On-Spend Attack discussions and analyses — Ledger.
- ISO/IEC 27037 — Guidelines for identification, collection, acquisition and preservation of digital evidence — ISO/IEC.
- FATF Updated Guidance: A risk-based approach to virtual assets and VASPs — FATF.
- BIP / Bitcoin developer documentation / HD wallets — Bitcoin developer resources / BIPs.
- Quantum attacks on Bitcoin, and how to protect against them — Aggarwal et al., arXiv.
- Status Report on the Fourth Round of the NIST Post-Quantum Cryptography Standardization Process — NIST.
- Google research blog: Safeguarding cryptocurrency by disclosing quantum vulnerabilities responsibly — Google Research.
- Quantum Horizon: An evaluation of quantum computing as a threat to Bitcoin and Ethereum — arXiv.
