PTLC

Los contratos con bloqueo temporal (timelock) sobre un punto de la curva elíptica hacen el trabajo de un HTLC sin un hash compartido: cada salto recibe su propio bloqueo, derivado de un punto de la curva. Se basan en firmas adaptadoras Schnorr, que se volvieron viables en bitcoin cuando Taproot se activó en el bloque 709.632, en noviembre de 2021. Para un pagador, la ventaja es que los nodos de enrutamiento ya no pueden detectar el mismo pago pasando por dos de sus máquinas.

Cómo funciona

Una firma adaptadora es una firma a la que le falta deliberadamente una pieza, y la pieza que falta es el secreto de pago.

Empiece por el destinatario, que elige un número secreto y publica solo el punto de la curva que le corresponde. Con las reglas Schnorr de BIP340, un pagador puede construir una firma que no es válida por sí sola pero que se vuelve válida en el instante en que se le suma ese número secreto. Publicar la firma completa filtra, por tanto, el número, y filtrar el número es lo que permite al salto anterior completar su propia firma y reclamar su dinero. El efecto dominó es idéntico al de un HTLC, pero no se calcula ningún hash y no se comparte nada.

La privacidad proviene del ajuste (tweak). El pagador suma un desplazamiento aleatorio al punto en cada salto y comunica a cada nodo su desplazamiento dentro del paquete cebolla, de modo que el salto tres y el salto siete ven dos puntos sin relación entre sí para un mismo pago. Eso cierra la filtración por correlación, y también cierra el ataque de agujero de gusano, en el que dos saltos confabulados de la misma ruta se saltan los nodos honestos que hay entre ellos y se embolsan las comisiones de enrutamiento de esos nodos. Ninguna de las dos soluciones es posible mientras un único hash recorra toda la ruta.

Hay una ventaja adicional que importa en las disputas. Con un contrato sobre un hash, la preimagen demuestra que un pago se produjo, pero no dice nada de quién lo hizo, así que es una prueba débil. Un contrato sobre un punto produce una firma que solo la propia clave del pagador podría haber producido para esa factura, lo que es una prueba de pago en el sentido corriente de la expresión.

Dónde aparece

Todavía no se ven los PTLC, y reconocerlo con honestidad es el objetivo de esta entrada.

Taproot aportó los ingredientes, y los canales Taproot ya se han lanzado en las principales implementaciones Lightning, pero esos canales siguen enrutando contratos sobre un hash. El trabajo pendiente es infraestructura de protocolo: cargas útiles de la cebolla que lleven los ajustes de cada salto, transacciones de compromiso actualizadas y acuerdo entre implementaciones que tienen que interoperar todas entre sí. Hasta que eso llegue, cualquier billetera que se describa como privada en Lightning está hablando del enrutamiento cebolla, no de saltos imposibles de vincular.

Lo que significa para quien compra bitcoin es modesto y concreto. Si usted mantiene un saldo Lightning y le importa que un gran operador de enrutamiento no pueda hacerse una idea de sus gastos, los PTLC son la actualización que conviene buscar en las notas de la versión de su billetera. Nada de sus claves, del respaldo de su frase semilla ni de sus monedas on-chain cambia cuando lleguen.

PTLC frente a HTLC

Los PTLC y los HTLC ofrecen la misma garantía, el pago atómico de varios saltos, y se diferencian en lo que averiguan los nodos intermedios. Un contrato sobre un hash difunde un único identificador a lo largo de toda la ruta; un contrato sobre un punto da a cada salto un valor que a este le parece aleatorio. La lectura práctica: los HTLC son el Lightning de hoy y funcionan bien, los PTLC son estrictamente mejores en privacidad y en prueba de pago, y el cambio es un problema de especificación e implementación, no de consenso de bitcoin, porque Taproot ya hizo la parte de consenso.