Procurar uma chave em 2^256 e procurar uma chave em 2^70 não são o mesmo problema em escalas diferentes. São problemas diferentes. O primeiro é impossível por física, como a trilha intermediária mediu. O segundo é um projeto: caro, demorado, com hardware que existe e gente que já o executou. Tudo neste módulo mora nessa diferença.
Um intervalo de busca é exatamente o que o nome diz: um começo e um fim. Dizer que uma chave está no intervalo de setenta bits significa que ela é maior ou igual a 2^69 e menor que 2^70 — ou seja, que há 2^69 candidatos, e nenhum fora dali. O intervalo não torna a matemática mais fraca. Ele reduz o campo onde se procura.
A medida certa desse campo é o número de bits, e é ela que dá as proporções corretas. Cada bit a mais dobra o trabalho: um intervalo de 71 bits custa o dobro de um de 70, e um de 80 custa mil vezes mais. Falar em bits em vez de em números com vinte algarismos evita que a intuição se perca — a diferença entre 70 e 80 parece pequena escrita assim, e é a diferença entre semanas e séculos.
Agora a distinção que decide tudo neste módulo, e que muita gente descobre tarde. Existem duas situações completamente diferentes, dependendo do que se sabe sobre o alvo.
Na primeira, a chave pública é conhecida. Isso acontece sempre que o endereço já gastou alguma coisa: para gastar é preciso apresentar a chave pública, e a partir daquele instante ela está publicada na blockchain para sempre. Com a chave pública na mão, o problema vira um logaritmo discreto num intervalo pequeno, e os algoritmos de raiz quadrada das próximas aulas atacam 2^69 candidatos com algo em torno de 2^35 passos. Trinta e cinco bits é uma tarde de trabalho.
Na segunda, só se conhece o endereço. Um endereço é o hash da chave pública, e hash não se desfaz — a Aula 1 do Módulo 4 insistiu nisso. Sem a chave pública não há curva para atacar, não há atalho de raiz quadrada, e resta o caminho longo: sortear um número, derivar a chave pública, calcular o hash, comparar com o endereço, repetir. São 2^69 voltas completas, e não 2^35.
Guarde essa assimetria, porque ela explica quase toda a história dos desafios que o último módulo vai contar: os que caíram primeiro foram, em geral, aqueles cuja chave pública estava exposta, e os que resistem são os que continuam intocados, protegidos não pela curva, mas pela função de hash à frente dela.
Vale dizer também de onde vêm os intervalos pequenos, porque eles não aparecem sozinhos. Alguns são deliberados: em 2015, alguém criou uma carteira em que a chave de cada endereço foi sorteada dentro de um intervalo de tamanho crescente, um bit de cada vez, e financiou os 256. Outros são acidentais e bem mais tristes: uma frase escolhida por uma pessoa tem talvez trinta bits de imprevisibilidade, um gerador defeituoso pode reduzir 256 bits a poucas dezenas, e um programa de teste que virou carteira de verdade costuma sortear num intervalo minúsculo.
Uma chave sorteada corretamente, com 256 bits de entropia de verdade, não está em intervalo nenhum — ou melhor, está no único intervalo que ninguém varre. Nada neste módulo a ameaça, e é importante que isso fique dito antes das seis aulas que vêm.
O que vem agora é a conta honesta de cada método, começando pelo mais simples de todos. Na próxima aula, quanto custa tentar um número por vez — em chaves por segundo, em contas de luz e no ponto exato em que a conta deixa de fechar.