CEO Project Eleven Алекс Пруден беседует с Крисом Смитом о том, почему у криптографии на эллиптических кривых нет прямой замены, почему он ожидает, что ИИ сократит срок жизни криптографических алгоритмов, и почему обновление защищает только тех держателей, которые на него перешли.
Эта статья — отредактированное краткое изложение выступления Алекса Прудена в подкасте Quantus, вышедшего 6 августа 2026 года. Разговор сгруппирован по темам, а цитаты слегка отредактированы для удобства чтения.
Смотреть выпуск на YouTube. Подписывайтесь на подкаст в Spotify или Apple Podcasts.
Нужна расшифровка для вашей LLM? Скачайте полную расшифровку: quantum-and-the-race-to-upgrade-transcript.md.
Об Алексе Прудене
Алекс Пруден — CEO и сооснователь Project Eleven, которая создаёт инфраструктуру и инструменты постквантовой безопасности для цифровых активов. Ранее он руководил Aleo, блокчейном первого уровня, ориентированным на приватность: был его CEO и исполнительным директором Aleo Network Foundation. До этого он был инвестиционным партнёром в крипто-команде Andreessen Horowitz. Девять лет прослужил в армии США офицером пехоты и сил специальных операций.
Цитата выпуска
«Это двухэтапный процесс. Сначала нужно построить ковчег, а потом на него нужно попасть».
— Алекс Пруден, CEO Project Eleven, 36:31
Выпуск по минутам
- 00:41: Путь Алекса через армию, Andreessen Horowitz и Aleo.
- 03:20: Почему статья о Willow и отложенный мейннет подтолкнули его основать Project Eleven.
- 06:25: Реакция рынка на Willow и скептики, изменившие мнение.
- 10:14: Почему криптография на эллиптических кривых стала стандартом и почему, вероятно, она сломается первой.
- 12:52: Компромиссы между постквантовыми подписями и конец общего стандарта.
- 17:59: ML-DSA, хеш-схемы и цена подписей с состоянием.
- 21:55: Falcon, атаки по побочным каналам и аргументы в пользу решёток.
- 25:11: Доверие к NIST, АНБ и национальным криптографическим стандартам.
- 28:44: Скрытая схема Google, ECDSA.fail и криптоанализ с помощью ИИ.
- 35:27: Почему существующие блокчейны ждёт двухэтапная миграция.
- 39:56: Когда может наступить Q-Day и почему о нём может никто не объявить.
- 48:00: Децентрализация, институты и административные ключи стейблкоинов.
- 53:44: Что умеют блокчейны и не умеет ни одна централизованная система.
До криптовалют Алекс Пруден около десяти лет прослужил в армии США. С Bitcoin он познакомился, работая на Ближнем Востоке примерно в 2015 году, затем инвестировал в крипто в Andreessen Horowitz, а потом возглавил Aleo — блокчейн, ориентированный на приватность, запуск которого сдвинулся с запланированного 2022 года на конец 2024-го.
Эта задержка показала ему, как медленно криптографические системы выходят в продакшн. Он также замечал оговорку, которую часто упоминают на курсах по криптографии: используемые сегодня асимметричные системы не выдержат большого квантового компьютера. Эту сноску обычно отбрасывали, потому что такие машины казались далёкими. Когда в конце 2024 года Google объявил о Willow, он сопоставил одно с другим. Постквантовая криптография сложна и относительно нова, и он пришёл к выводу, что люди недооценивают, сколько времени существующим системам потребуется на её внедрение. В том же году он основал Project Eleven.
Его разговор с CEO Quantus Крисом Смитом состоялся незадолго до запуска мейннета Quantus. Они обсуждают, что заменит эллиптические кривые, что идёт не так между научной статьёй и внедрением, и почему самым трудным в обновлении может оказаться убеждение владельцев перейти.
1. Эллиптические кривые делали почти всё, и Алекс ожидает, что они сломаются первыми
Криптография на эллиптических кривых стала стандартом для блокчейнов, потому что один примитив закрывал почти все потребности. Алекс перечисляет их: подписи и аутентификация, доказательства с нулевым разглашением, многосторонние вычисления для пороговых подписей и криптография на спариваниях, которую использует сеть Ethereum с доказательством доли. Он называет её «швейцарским ножом».
Её эффективность обеспечивали маленькие ключи. RSA, более старой системе с открытым ключом, для достижения заданного уровня безопасности нужны большие ключи. Алекс сравнивает 4096-битные ключи RSA с 256-битными ключами криптографии на эллиптических кривых.
Алекс говорит, что в квантовом контексте эти короткие ключи имеют значение. Исследователи долго мерили свои машины по RSA, объясняет он, а задача на эллиптических кривых оказалась легче для атаки. Поэтому, по его словам, опасность «оказалась намного ближе, чем люди поначалу понимали». Статья Google Quantum AI от марта 2026 года оценила, что для взлома 256-битной криптографии на эллиптических кривых на предполагаемой сверхпроводящей архитектуре потребуется менее 500 000 физических кубитов. Алекс говорит, что Project Eleven была среди групп, с которыми авторы разговаривали при подготовке. Объяснение Quantus о том, что делает квантовый компьютер криптографически значимым, рассматривает разрыв между этой оценкой и любой построенной на сегодня машиной.
2. У каждого постквантового варианта есть своя цена
«Прямой замены криптографии на эллиптических кривых не существует», — говорит Алекс на 12:52.
Он делит компромиссы на три группы. Первая — производительность: размер подписи, размер открытого ключа, скорость подписи и проверки. Вторая — насколько новы предположения безопасности схемы. Третья — сложность реализации: расстояние между схемой, которая работает в научной статье, и схемой, которая выдерживает эксплуатацию.
По словам Алекса, блокчейны уже по-разному взвешивают эти три фактора. Он ожидает, что общая основа, которая есть у блокчейнов сегодня, уступит место тому, что он называет «балканизацией»: цепочки будут защищены совершенно разными семействами криптографических предположений.
Крис предпочёл бы, чтобы индустрия сошлась хотя бы на одном семействе. Он ссылается на июльскую статью Cloudflare 2026 года, где утверждается, что пока придётся обходиться ML-DSA. ML-DSA — схема подписи на основе решёток, которую NIST стандартизовал в 2024 году как FIPS 204. В статье цитируется инженер Эрик Рескорла: «На войну идёшь с теми алгоритмами, что у тебя есть, а не с теми, что хотелось бы».
3. Для подписи с состоянием счётчик так же важен, как ключ
Алекс пока не видит, чтобы индустрия остановилась на ML-DSA. По его словам, работа, которую он наблюдает вокруг Bitcoin и вокруг консенсусного уровня Ethereum, рассматривает хеш-подписи, и именно подписи с состоянием.
Хеш-схема с состоянием подписывает безопасно только тогда, когда подписывающий отслеживает, сколько подписей данный ключ уже создал.
«Потерять счёт этого числа почти так же плохо, как потерять приватный ключ», — говорит он на 18:57.
Хеш-схемы привлекают осторожных разработчиков, потому что их безопасность опирается на хорошо изученные предположения о хеш-функциях. Взамен либо подписывающий управляет состоянием, либо схема отказывается от состояния и выдаёт гораздо более крупные подписи.
Крис смотрит на это со стороны держателя. Большинству людей трудно хотя бы один раз сделать резервную копию сид-фразы, говорит он, а сегодня эта единственная копия покрывает все адреса кошелька. Схема, которая требовала бы новых копий или дополнительной информации после каждой транзакции, по его мнению, провалится уже из-за удобства использования.
Алекс применяет тот же тест к SHRINCS — предложению Blockstream, которое он называет ведущим кандидатом для Bitcoin. Оно сочетает компактный режим с состоянием и более крупный резервный режим без состояния на случай потери состояния, например при восстановлении кошелька из резервной копии сид-фразы. Алекс называет дизайн элегантным, а затем ставит под сомнение стимулы. Он сомневается, что держатели выберут путь с состоянием, если он добавляет хоть какую-то вероятность неправильно обращаться с состоянием. В таком случае, утверждает он, компактные подписи остаются неиспользованными, а добавленная сложность остаётся.
Он видел, как команды проходят варианты в предсказуемом порядке: сначала необычная схема, затем отступление к консервативным хеш-конструкциям и, наконец, возвращение к стандарту. «Знаешь, ML-DSA не так уж плох», — заключают они, как он рассказывает на 21:49.
4. Надёжную схему всё равно нужно реализовать безопасно
Quantus сам прошёл часть этой последовательности. Крис рассказывает, что команда сначала изучала Falcon — ещё одну решётчатую подпись, выбранную NIST, — пока Томас Порнин, один из авторов Falcon, не спросил, понимают ли они, во что ввязываются.
Та работа стала для Криса первым опытом чтения кода, написанного для выполнения за постоянное время. Его арифметика казалась ему перевёрнутой, пока он не понял цель: в скомпилированной программе нет ветвлений, время выполнения которых могло бы выдать секрет. Время — один из видов побочного канала, способа узнать секрет, наблюдая, как ведёт себя устройство во время вычислений. Другие связаны с энергопотреблением или электромагнитным излучением. Алекс противопоставляет атакующего, которому пришлось бы проникнуть в дата-центр с антенной, ключам, хранящимся на пользовательских устройствах, которые люди носят в карманах.
Он также отвечает на распространённое возражение против ML-DSA: что решётчатая криптография слишком нова, чтобы ей доверять. Решётки изучают в криптографических целях почти три десятилетия, говорит он, а хеш-схем для обмена ключами не существует. Когда кошелёк подключается к ноде по TLS, протоколу, защищающему соединение, обмен ключами всё чаще основан на решётках.
«Вы уже принимаете некоторые предположения на основе решёток, что бы вы ни делали», — говорит он на 24:21.
Ни одна схема не гарантирована навсегда, поэтому Алекс возвращается к термину, который раньше использовал Крис: криптогибкость — способность снова сменить схему без перестройки системы.
5. Алекс ожидает, что ИИ сократит срок жизни любого алгоритма
Алгоритм Шора — квантовая процедура, которая восстановила бы приватный ключ по открытому. Когда Google опубликовал оценки ресурсов, он скрыл схемы, реализующие алгоритм, и выпустил доказательство с нулевым разглашением того, что эти схемы укладываются в заявленные затраты. Google сообщил, что перед публикацией взаимодействовал с правительством США.
Затем появился ECDSA.fail. Это открытый конкурс, запущенный Eigen Labs в конце мая 2026 года, цель которого — снизить стоимость сложения точек, одного из шагов алгоритма Шора на кривой Bitcoin. Конкурс оценивает схему, умножая число необходимых ей логических кубитов на количество выполняемых дорогостоящих вентилей. Согласно статье проекта, более ста участников, работавших с ИИ-агентами для программирования, к концу июля снизили этот показатель более чем на 50 % ниже заявленного Google значения для того же шага. В статье предупреждается, что эти два значения измерялись по разным соглашениям. Алекс подчёркивает, что конкурс касался одной подпрограммы. Тем не менее он считает это свидетельством того, как быстро теперь может двигаться криптоанализ.
«Срок годности любого криптографического алгоритма, на мой взгляд, резко сократился», — говорит он на 31:33.
Вывод у него практический. Тот, кто будет внедрять криптографию в ближайшее десятилетие, должен ожидать, что ещё через десять лет придётся с неё мигрировать, и планировать эту миграцию с самого начала.
Крис связывает те же события с политикой. 22 июня 2026 года указ президента США перенёс федеральные сроки постквантового перехода для некоторых особо важных систем на 2030 или 2031 год, раньше прежней цели 2035 года. Крису это показалось признаком того, что правительство удивила скорость, с которой ИИ ускоряет квантовые исследования. Алекс так же читает более широкую реакцию. Раньше люди считали квантовую угрозу вечно отстоящей на двадцать лет, говорит он. Теперь правительства и компании пишут планы с датами.
6. Планируйте Q-Day, о котором никто не объявит
Крис избегает предсказывать дату Q-Day. Технологический прогресс нелинеен, говорит он, и мир может не узнать, когда наступит этот момент. Алекс согласен. Правительство или лаборатория, построившие криптографически значимую машину, потеряли бы преимущество, раскрыв это, поэтому он ожидает мало публичных сигналов по мере приближения порога.
Алекс уважает скептиков, которым нужны более весомые экспериментальные доказательства. Один участник сообщества Bitcoin, с которым он спорил, хочет сначала увидеть долгоживущие логические кубиты. После двух десятилетий ложных стартов Алекс называет это «очень рациональной позицией». Его беспокоит, что рядом с порогом прогресс станет тихим, а затем последует резкая перемена.
Когда его всё же просят назвать дату, он ссылается на модели, лежащие в основе отчёта Project Eleven за 2026 год: ежегодный опрос экспертов, опубликованные дорожные карты производителей оборудования и собственные прогнозы компании. В разговоре он называет базовым сценарием 2032 год: к этому времени криптографически значимый квантовый компьютер скорее будет существовать, чем нет, при «разумной вероятности, что к 2030 году мы уже там».
Эти даты он меряет неравенством Моски. Если время, в течение которого актив должен оставаться защищённым, плюс время миграции превышает время до появления мощного квантового компьютера, миграция уже опаздывает. Шесть лет, утверждает Алекс, оставляют мало запаса, если учесть проектирование, проверку и внедрение. Google установил 2029 год как собственный срок постквантовой миграции, а Крис отмечает, что у Cloudflare та же цель. Алекс считает обязательство Google значимым, потому что Google написал эту статью и платит за инженерную работу.
«Эта неопределённость в конечном счёте требует, как я думаю, консерватизма», — говорит он на 46:11. Под консерватизмом он понимает подготовку, которая начинается сейчас, предположение, что прогресс придёт быстрее ожидаемого, и согласие с тем, что следующая схема может оказаться не последней.
7. У миграции два шага, и второй принадлежит пользователю
Проблема обновления острее всего в децентрализованных блокчейнах. Разработчики Bitcoin могут выпустить вариант постквантовой подписи, говорит Алекс, но выпуск не делает Bitcoin постквантово защищённым. Держатели всё равно должны действовать. Он сравнивает это с обновлением телефона, когда пользователи перезагружают устройство и оказываются на новой версии. В описываемой им миграции Bitcoin держателям пришлось бы перемещать монеты на адреса с новой схемой подписи, и он ожидает, что на этом шаге столько же способов ошибиться, сколько при создании новой криптографии. Крис добавляет ограничение, специфичное для Bitcoin: блоки малы, а постквантовые подписи гораздо крупнее.
Когда квантовый компьютер сможет вычислять приватные ключи, само перемещение станет труднее.
«Если я могу подделать вашу подпись со старого типа адреса, что тогда вообще означает владение?» — спрашивает Алекс на 37:27.
Цепочки, запускающиеся с постквантовыми подписями, пропускают этот первый переход. Алекс приводит в пример Quantus: его подписи постквантовые по умолчанию. (Quantus запустил мейннет 9 сентября 2026 года, уже после записи этого разговора.) Крис указывает на сосредоточенный риск в существующих цепочках: административные ключи, управляющие эмиссией стейблкоинов. Квантовый атакующий, завладевший одним из них, мог бы выпустить огромные суммы и торговать ими до любого юридического отката. Алекс добавляет, что такая атака подошла бы государству, потому что её практически невозможно приписать.
Он также высказывает мнение, которое, по его ожиданию, вызовет у некоторых в крипто сопротивление. Чисто децентрализованные системы будут переживать постквантовую миграцию медленнее и тяжелее, а более крупные подписи обходятся дороже по мере децентрализации сети. Институты, управляемые доверенными лицами, будут ожидать надёжной поддержки, и он сомневается, что цепочки, брошенные основателями, когда-либо мигрируют. Он ожидает, что в результате индустрия станет несколько более централизованной и профессиональной, и считает, что задача — сохранить то, что остаётся особенным в блокчейнах.
«Единственное, что блокчейны позволяют и чего не может повторить ни одна централизованная система, — это взаимодействие между взаимно недоверяющими сторонами», — говорит он на 53:49.
Постквантовая миграция должна сохранить это свойство, одновременно требуя от владельцев действий.
Связанные материалы
- The Quantum Threat to Blockchains 2026 Report: модель Project Eleven для оценки Q-Day с базовым, оптимистичным и пессимистичным сценариями.
- Исследование Google Quantum AI о криптовалютах: оценки ресурсов для квантовых атак на криптовалюты на эллиптических кривых и предлагаемые меры защиты.
- ML-DSA will have to do: аргументы Cloudflare в пользу внедрения ML-DSA уже сейчас.
- SHRINCS: хеш-схема подписи с состоянием, которую Алекс обсуждает применительно к Bitcoin.
- Что такое Q-Day?: как квантовые возможности, уязвимость и миграция влияют на безопасность криптовалют.
- Q-Day, квантовые технологии и Bitcoin: Колтон Диллион: предыдущий выпуск Conversations о проблеме миграции Bitcoin.
