Anthropic confirma el ‘fin de la revisión humana’: ¿presiona la migración cuántica de BTC?

Anthropic informó este 28 de julio que su modelo Claude Mythos Preview vulneró, en 60 horas de trabajo mayormente autónomo, un esquema de firma digital poscuántica que el Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) evalúa para estandarización y que llevaba dos años bajo revisión de expertos.

Si bien el hallazgo de Anthropic, por sí mismo, no afecta a ningún sistema en producción, para Bitcoin, que todavía no eligió qué firma poscuántica usará en su propia migración, la lección detrás del ataque importa más que el ataque en sí.

El esquema afectado se llama HAWK, y competía en la ronda adicional de firmas poscuánticas del NIST por dos razones concretas que le daban una presunta ventaja por sobre otros sistemas de firmas digitales: sus firmas ocupan apenas 555 bytes en su nivel de seguridad básico, y no depende de aritmética de punto flotante, a diferencia de por ejemplo Falcon, otro candidato de esa misma ronda.

Claude Mythos Preview encontró un automorfismo (una simetría matemática hasta entonces no explotada) dentro de la estructura de HAWK, lo que le permitió construir un ataque de recuperación de clave más rápido que cualquiera de los conocidos hasta ahora. Es decir, Mythos logró diseñar un método para obtener la clave privada de un sistema criptográfico a partir de información que, en condiciones normales, no debería permitir recuperarla.

Esta aceleración no es un caso aislado: como reportó CriptoNoticias, un investigador ya advirtió que la revisión humana quedó obsoleta frente a la velocidad de la IA.

El impacto en Bitcoin: el tamaño de las firmas poscuánticas

Según el propio paper técnico de Anthropic, el ataque efectuado redujo el costo de romper HAWK de 2¹⁵⁰ a 2¹⁰⁸ operaciones, una caída equivalente a la mitad de su fortaleza efectiva, lo que en la práctica obliga a duplicar el tamaño de sus claves para restaurar el nivel de seguridad que sus creadores habían prometido originalmente.

El tamaño de una firma determina directamente cuánto espacio ocupa cada transacción dentro de un bloque de Bitcoin, y por lo tanto cuánto cuesta y cuántas transacciones caben en cada bloque. Cuanto más pesada es la firma elegida, menos transacciones entran en el mismo espacio, o más comisiones deben pagar los usuarios por la competencia de bloque.

Actualmente, una firma Schnorr (introducida en Bitcoin con Taproot en 2021) pesa 64 bytes, mientras que las firmas digitales ECDSA (las más comunes en Bitcoin) tienen un peso promedio de 71/72 bytes.

Para dimensionar el impacto de usar esquemas de firmas de transacciones más pesados, y tomando como referencia los pesos en bytes de Schnorr y ECDSA, la siguiente comparativa refleja cuánto más pesan los esquemas poscuánticos en términos porcentuales:

• Falcon-512: cerca de 666 bytes, un 941% más pesada.
• HAWK-512, antes del hallazgo de Anthropic: 555 bytes, un 767% más pesada, hoy con un margen de seguridad reducido a la mitad.
• ML-DSA-44 (antes conocido como Dilithium): 2.420 bytes, un 3.681% más pesada, con ocho años de revisión académica acumulada.
• SLH-DSA (antes conocido como SPHINCS+): entre 7.856 y 17.088 bytes, entre un 12.175% y un 26.600% más pesada.

¿El hallazgo de Anthropic acelera la urgencia poscuántica?

El caso de HAWK deja una lección incómoda para cualquier discusión sobre la migración poscuántica de Bitcoin. Si un modelo de IA fue capaz de reducir a la mitad la fortaleza de un esquema que había superado dos años de revisión de expertos humanos, el margen de tiempo para elegir bien un esquema de firma se reduce todavía más.

Bitcoin no puede permitirse elegir un esquema solo porque sus firmas son livianas o su diseño es más simple de implementar, si ese mismo esquema puede perder buena parte de su margen de seguridad después de adoptado. Esa lógica empuja a priorizar la madurez de revisión por sobre las ventajas de diseño más recientes.

Bitcoin ya tiene un ejemplo concreto, aunque parcial, de cuánto pesa adaptarse a la amenaza cuántica. La propuesta BIP-360, incoporada el repositorio de Bitcoin y en estado de revisión, propone Pay to Merkle Root (P2MR), un nuevo formato de dirección basado en Taproot que, si bien no introduce ninguna firma poscuántica, por su estructura convierte más pesada cada transacción: según cálculos del desarrollador Anthony Towns, publicados en la lista de correo de Bitcoin Core, P2MR añade hoy un costo adicional de cerca de 14% por cada entrada de una transacción comparado con un gasto simple con clave de Taproot.

Towns también calculó que, una vez que se sume una firma poscuántica real a la estructura de P2MR, ese porcentaje adicional bajaría a cerca de 7% con el esquema SHRINCS, o a apenas 1% con un esquema basado en funciones Winternitz, porque el peso de la firma poscuántica pasaría a dominar el tamaño total de la transacción.

Por otro lado, la idea de que Bitcoin pueda cambiar de algoritmo de firma no es nueva. Ya en 2010, en el foro BitcoinTalk, Satoshi Nakamoto planteó que la red podría volver a firmar los fondos de cada usuario con un algoritmo más fuerte si la amenaza contra su criptografía llegaba de forma gradual, como lo notificó CriptoNoticias.

Ese modelo asume que la comunidad tiene tiempo para coordinar la actualización y elegir bien el nuevo esquema. El hallazgo de Anthropic pone en duda esa segunda parte: incluso si Bitcoin logra coordinar una migración a tiempo, el esquema elegido podría debilitarse después, por un modelo de IA y no solamente por el avance de la computación cuántica.

El hallazgo de Anthropic no cambia ninguna de esas dos posturas de fondo. Lo que sí hace es agregar una tercera variable a una discusión que ya enfrentaba la elección entre esquemas maduros y esquemas livianos, y entre una migración rápida y una conservadora: ahora, además, cualquier candidato elegido hoy podría debilitarse mañana, no por el avance de una computadora cuántica, sino por el trabajo de un modelo de IA explorando la criptografía que sostiene a redes de criptoactivos como Bitcoin.