lo inmutable y lo expuesto: bitcoin protege su pasado, nostr no puede

la debilidad compartida

las claves de bitcoin y las claves de nostr son el mismo tipo de objeto: un par de claves secp256k1 donde la clave pública se deriva de la clave privada mediante multiplicación de curva elíptica. esa operación hoy es de una sola dirección. el algoritmo de Shor la vuelve de doble dirección. dada una clave pública, una máquina cuántica lo suficientemente grande recupera la clave privada resolviendo el problema del logaritmo discreto en tiempo polinomial

hasta acá, exposición idéntica. la divergencia está enteramente en lo que cada sistema hace con esa clave, y en lo que está a la intemperie esperando a ser atacado

bitcoin: el pasado es permanente, el riesgo está adelante

el libro contable de bitcoin es una cadena de hashes asegurada por prueba de trabajo SHA-256. el hashing no lo rompe Shor, y el algoritmo de Grover solo lo debilita cuadráticamente, bajando la seguridad de 256 bits a unos 128 bits efectivos, que sigue siendo cómodamente seguro. eso significa que ninguna computadora cuántica reescribe la historia de bitcoin. una transacción confirmada en 2011 sigue confirmada. el registro es inmutable de la forma en que siempre se prometió que sería

lo que sí amenaza lo cuántico en bitcoin es la propiedad, no la historia. si tu clave pública está expuesta en la cadena, un atacante puede derivar tu clave privada y mover tus monedas. la exposición pasa con direcciones reutilizadas, con viejas salidas de pago a clave pública, y con cualquier dirección que ya gastó una vez y reveló su clave. las monedas de la era Satoshi en salidas P2PK son el ejemplo de manual

acá está la parte que importa: la amenaza mira hacia adelante, y podés actuar sobre ella. podés mover tus monedas a una dirección nueva cuya clave pública nunca fue revelada, y algún día a un esquema de dirección post cuántico cuando la red adopte uno. el peligro está delante tuyo, lo que significa que hay algo que podés hacer antes de que llegue

nostr: el pasado es el pasivo, y no podés actuar sobre él

nostr invierte esto por completo. en nostr tu clave pública es tu identidad, el npub, y se transmite en texto plano dentro de cada evento que publicás. no hay envoltura de hash que la oculte, no hay revelación de un solo gasto, no hay ventana estrecha. queda en los relays permanentemente, completamente expuesta, desde el primer día que lo usás

ahora pensá en los mensajes directos. los DMs de nostr cifran el cuerpo con un cifrado simétrico, AES-256 en el viejo NIP-04, ChaCha20 en el más nuevo NIP-44. la capa simétrica en sí está bien frente a lo cuántico. pero la clave simétrica no se elige al azar y se mantiene en secreto. se deriva de un intercambio de claves ECDH sobre las mismas claves secp256k1. la cerradura es fuerte, la llave de la cerradura está colgada de un gancho de curva elíptica que Shor arranca de un tirón

juntá las piezas y obtenés el ataque conocido como cosechar ahora, descifrar después:

1. cosechar: el mensaje cifrado ya vive en relays públicos, recuperable por cualquiera, almacenado indefinidamente. las claves públicas de ambos, emisor y receptor, están ahí al lado. el atacante junta todo esto hoy, a costo cero, y simplemente lo guarda

2. esperar: todavía no hace falta hardware cuántico. el adversario es paciente porque los datos nunca expiran de los relays

3. descifrar: cuando exista una máquina capaz de correr Shor, el atacante recupera la clave privada de cualquiera de las partes a partir de la clave pública, recalcula el secreto compartido ECDH, deriva la clave simétrica, y descifra el mensaje almacenado de forma retroactiva. nada del viejo texto cifrado necesita cambiar

y no hay secreto hacia adelante que suavice esto. Signal rota claves efímeras con un doble ratchet, de modo que romper una clave expone apenas una astilla de conversación. nostr no. una única clave de identidad de larga vida descifra toda tu historia de mensajes. cuando esa única clave cae, todo lo que enviaste alguna vez cae con ella, todo de golpe

la crueldad de la asimetría es esta: en bitcoin podés mover tus monedas antes de la tormenta. en nostr no hay acción que des-envíe un mensaje que ya enviaste. la cosecha ya pasó. lo que sea que escribiste en un DM de nostr es, desde un punto de vista criptográfico, un sobre sellado descansando en un estante público con una cerradura que eventualmente se va a abrir sola

la acusación precisa, para que nadie la pueda descartar

sería perezoso decir que nostr se construyó con descuido. secp256k1 era la opción fuerte, dominante y bien dotada de herramientas en su ventana de diseño, y prácticamente ningún sistema de mensajería desplegado tenía intercambio de claves post cuántico. la misma debilidad de curva elíptica vive en TLS, SSH, PGP, y en el propio bitcoin. nostr no es excepcionalmente blando

lo que es específico de nostr, y lo que hace que el caso de los DM sea genuinamente peor que la mayoría, es la combinación de tres hechos de diseño:

1. almacenamiento público permanente: el texto cifrado es abiertamente recuperable y nunca se borra, así que la cosecha está garantizada, no es oportunista

2. la identidad como clave pública: la clave necesaria para romper el intercambio se publica en texto claro en cada evento, no escondida detrás de un hash ni revelada solo por un momento

3. sin rotación de claves, sin secreto hacia adelante: una única clave de larga vida abre todo el archivo, así que la ruptura eventual es total en vez de parcial

esa es una crítica arquitectónica filosa. es mucho más fuerte que una acusación vaga de debilidad, y es la versión que sobrevive al escrutinio

la advertencia práctica

tratá cada DM de nostr como eventualmente público. no con certeza, no en una fecha fija, el hardware cuántico grande y tolerante a fallas puede estar a diez o quince años o puede estancarse, la línea de tiempo es una probabilidad y no una promesa. pero la asimetría de las consecuencias es brutal: si el hardware nunca llega no perdiste nada por ser cuidadoso, y si llega entonces todo lo que protegiste quedándote callado es lo único que se mantiene privado

así que la regla es simple. no envíes secretos, contraseñas, claves, ni nada que necesites mantener confidencial por una década a través de DMs de nostr. cualquier cosa sensible debería ir por un canal con secreto hacia adelante y, idealmente, intercambio de claves post cuántico. nostr es excelente para el discurso público, firmado y resistente a la censura, que es para lo que realmente fue construido. es el lugar equivocado para susurrar

el titular se sostiene en una línea: el diseño de bitcoin hace el pasado seguro y el futuro defendible, mientras que el diseño de nostr hace del pasado la cosa misma que está expuesta, sin nada que puedas hacer ahora para recuperarlo