Тестируем программы для вскрытия биткойн-головоломок

После того как я написал статью «Головоломка на 1000 BTC» мне стали писать в личку авторы программ для их решения. В этой статье я расскажу о целом семействе таких программ и протестирую все те, что попали мне в руки, на скорость.

А заодно расскажу, как авторы этих программ выжимают соки из железа.

Речь идёт про головоломки, у которых известен только BTC-адрес формата P2PKH, но не известен публичный ключ. Это головоломки с номерами 71-159, кроме тех, чей номер кратен 5. У головоломок кратных 5 известен публичный ключ и для них применяются совсем другие алгоритмы — кенгуру Полларда или BSGS, на порядки более быстрые, чем bruteforce. Самая лёгкая ещё не вскрытая головоломка с известным публичным ключом — 135.

Краткая хронология программ

Я не претендую на полное знание этой сферы, поэтому, если я что-то упустил, , пишите в личку или в комментарии

BitCrack (2018)

Старейшина жанра. Первая массовая программа для перебора приватных ключей на GPU, поддерживает и CUDA, и OpenCL. Сегодня морально устарела — отстаёт от лидеров примерно в 5 раз. Технические причины разберём в разделе «Что используют авторы для ускорения перебора».

VanitySearch (2019)

Программа Жан-Люка Понса (JeanLucPons) задумывалась для генерации «красивых» биткойн-адресов (1Love…, 1Btc…), но архитектурно оказалась настолько удачна, что почти все последующие проекты связанные с биткойн-головоломками — её прямые потомки или форки. Канонические трюки массовой инверсии Монтгомери и работы с PTX зародились именно здесь.

KeyHunt (2021)

Программа-комбайн для CPU от Alberto: поддерживает Bloom-фильтр по списку адресов, режим BSGS (Baby-step Giant-step) для подбора по известному pubkey, несколько типов целей (BTC, ETH).

KeyHunt-Cuda (2021)

Порт логики KeyHunt + VanitySearch на CUDA от Qalander. Долгое время держался в топе по CUDA-производительности.

Cyclone (2024)

Современная CPU-перебиралка от @dookoo2. Некоторым эта программа знакома из комментариев к моей статье «Головоломка на 1000 BTC» — там автор объясняет принятые им архитектурные решения. За точку отсчёта в наших таблицах берётся именно Cyclone.

ecloop (2024)

Минималистичный C-проект от русскоязычного разработчика vladkens: main.c + несколько библиотек для хэшей, минимум зависимостей.

CUDACyclone (2025)

CUDA-версия Cyclone от того же @dookoo2.

BtcMole (2025)

Свежий проект от автора под ником keymole. Распространяется в виде бинарных сборок. Поддерживает Windows, Linux; процессоры amd64, arm64, arm; видеокарты Nvidia, AMD.

Методика бенчмаркинга

Почему нельзя верить «попугаям»

Каждая из этих программ во время работы рисует на экране собственную скорость в Mkey/s (миллионах ключей в секунду). Доверять этим цифрам нельзя по нескольким причинам:

1. Скам в крипте — обыденность. Цифру можно нарисовать любую.

2. Холодный VS горячий старт. Первые несколько секунд GPU/CPU показывают результат заметно выше среднего рабочего.

3. Внутренние счётчики бывают просто кривые.

В моём бенчмарке замеряется только время от запуска процесса до того момента, когда он в поток вывода попал искомый приватный ключ. Никаких внутренних метрик в зачёт.

Технически это «реши одну и ту же задачу»: каждой программе даётся одинаковый диапазон и случайный ключ-цель внутри него. Время — по системным часам, факт находки — по поиску известного hex в выводе.

Размер выборки: почему 100 итераций. Сначала я делал по 10–20 прогонов на программу. На таких выборках одна «неудачная» позиция ключа могла кардинально перевернуть таблицу: разные программы сканируют диапазон в разном порядке (последовательно, со смещением, случайно), и один и тот же случайный ключ оказывается для одной программы «на старте», а для другой «в самом конце». Один такой выброс при 10 запусках сдвигал среднее на десятки процентов. Мне пришлось увеличить поисковые интервалы примерно вдвое относительно первой версии бенча и поднять число прогонов до 100 на каждую программу — итоговый бенчмарк работал всю ночь. Стандартная ошибка среднего теперь ≈ σ/√100 ≈ σ/10, чего вполне достаточно для статистической достоверности.

Репозиторий бенчмарка

Скрипт и все патчи доступны на GitHub.

Запуск: ./bench.py --device cpu, ./bench.py --device cuda или ./bench.py --device amdgpu. Перед первым запуском — --prepare (clone + build). Все настройки (число итераций, прогревов, размер интервала, seed) — вверху скрипта.

Сам скрипт bench.py написан с помощью Claude Code.

Оборудование стенда

• CPU: AMD EPYC 7C13 (64 ядра / 128 потоков, 2.45 GHz base)

• GPU: NVIDIA CMP 90HX (Ampere, sm_86, 50 SM, 1530 MHz @ 200 W power-limit)

• AMDGPU: Radeon R9 Fury (gfx803, 56 CUs)

• OS: Linux (Calculate Linux, kernel 6.18)

Тестирование CPU-программ

Особенности тестирования на CPU

Эти программы рассчитаны на круглосуточную работу — в реальности процессор нагрет, может сбрасывать частоту. Холодный замер дал бы завышенные цифры. Поэтому перед каждой программой идёт прогревочный прогон, результаты которого не учитываются (константа WARMUP_PER_DEVICE в bench.py).

Сколько потоков отдаётся программе. Каждой CPU-программе передаётся 115 потоков из 128 доступных (~90%). Оставшиеся 13 потоков остаются за графической оболочкой, фоновыми службами, самим bench.py и т.п. Если отдать программе все 128, она будет конкурировать за процессорное время с GUI и системой — итог станет менее точным.

Важная оговорка про SIMD. На моей машине нет AVX-512, есть только AVX-2. Поэтому Cyclone собирается и тестируется именно в этом варианте. Бенчмарк ARM64 я тоже не проводил.

Тестируемые программы

Параметры прогона

• Диапазон поиска: [0x200000000, 0x3ffffffff] (size = 2^33 ≈ 8.6 миллиарда ключей).

• Ключи: 100 (разные случайные внутри диапазона).

• Эталон скорости: Cyclone (за 1.00× принят его суммарный результат).

Результаты

Тестирование GPU-программ

Особенности тестирования на GPU

Холодная карта ≠ рабочая карта: на холодной частота держится на разгонной, после прогрева начинаются сброс частот (так называемый тротлинг — защита от перегрева). Любитель публиковать рекорды просто запустит свою программу первой. Чтобы убрать этот эффект, частота и power limit GPU зафиксированы:

• CMP 90HX (NVIDIA): power-limit 200 W, clock 1530 MHz — при этих параметрах частота не сбрасывается, сколько бы карта ни работала. Откуда взялись именно такие значения — подробно разобрано в моей предыдущей статье «Максимально выгодно используем видеокарты с помощью школьной формулы из физики».

Плюс 2 прогревочных прогона перед общим тестированием, как и на CPU.

Что заявляют сами авторы

Заявленные скорости на топовой RTX 5090 (Blackwell, sm_120):

• CycloneCUDA (dookoo2) — 6200 Mkey/s.

• btcmole (keymole) — 9520 Mkey/s.

Значения приведены для справки, в тестах мы на них не ориентируемся.

Карты Nvidia

Тестируемые программы

Параметры прогона

• Диапазон поиска: [0x800000000, 0xfffffffff] (size = 2^35 ≈ 34.4 миллиарда ключей).

• Ключи: 100.

• Эталон скорости: CUDACyclone (за 1.00× принят его суммарный результат).

• Карта: NVIDIA CMP 90HX (sm_86, 50 SM, 200 W @ 1530 MHz).

Результаты

Карты AMD

На AMD-картах из публичных проектов работает только BitCrack через OpenCL — да и тот на нашем стенде стабильно возвращает Reached end of keyspace без находки.

BtcMole — единственная программа, авторы которой заморочились с поддержкой AMD-железа. Остальная индустрия молчаливо живёт в парадигме «есть только NVIDIA».

К сожалению, внешне работающая под AMD clBitCrack в реальности совсем не ищет ключи. Она сдулась на первом же ключе из бенча: диапазон 0x40000000:0x7fffffff (всего 2³⁰ ≈ 1.07 млрд ключей), цель — адрес 1Q4U2cBxgduTyEiWFWBF16tjsb4hR7zee9, известный приватный ключ 0x6d06ef13. BtcMole-AMDGPU нашёл ключ за секунды. clBitCrack прокрутил весь диапазон и завершился сообщением Reached end of keyspace — ключ не найден. То же самое — на остальных трёх итерациях. Похоже, в OpenCL-ядре BitCrack есть баг арифметики или хеширования. Поэтому скрипт пометил все запуски clBitCrack как FAIL.

Грубая оценка скорости clBitCrack. На независимом тесте на AMD RX 580 clBitCrack показывает ~9.42 Mkey/s, btcmole-AMDGPU на той же карте — ~240 Mkey/s. То есть даже если бы clBitCrack находил ключи, отрыв был бы в 25 раз в пользу BtcMole. Это уже не «оптимизация», а просто другая весовая категория.

Тестируемые программы

Параметры прогона

• Диапазон поиска: [0x40000000, 0x7fffffff] (size = 2^30 ≈ 1.07 миллиарда ключей) — короткий, потому что BitCrack-OpenCL заведомо FAIL и тратить на него больше времени смысла нет.

• Ключи: 4 — достаточно для проверки работоспособности BtcMole-AMDGPU, не претендует на статистическую значимость.

• Карта: AMD Radeon RX 580.

Результаты

Если кто-то знает другие живые решатели для карт AMD — сообщите мне.

Что используют авторы для ускорения перебора

Все рассматриваемые проекты решают одну и ту же задачу — массовое сложение точек на secp256k1, хеширование SHA-256 + RIPEMD-160, сравнение с целью. Различаются они где считают и как глубоко оптимизируют. Ниже — основные технические приёмы, упорядоченные по программам.

BitCrack — «в лоб», без массовой инверсии

Старейшина считает каждое сложение точек отдельно. На каждом шаге — собственная модулярная инверсия (InvMod в конечном поле). Это самая дорогая операция в EC-арифметике (грубо в 100 раз дороже умножения). VanitySearch и все последующие убирают эту цену через массовую инверсию — отсюда и пятикратное отставание BitCrack.

VanitySearch — массовая инверсия Монтгомери

Здесь нужно отдельно сказать спасибо Жан-Люку Понсу (JeanLucPons на GitHub). Его проект VanitySearch 2019 года — это, без преувеличения, фундамент всей современной ниши. По моим оценкам, больше 90% всех CPU- и GPU-программ для перебора приватных ключей так или иначе содержат куски его C+±кода: классы Int, IntGroup, IntMod, Point, SECP256K1, файлы Random.cpp, Timer.cpp, GMP-обёртки, базовые PTX-макросы для 256-битной арифметики. Это видно невооружённым глазом — открываешь репозиторий любого «нового» решателя, а внутри лежит копия этих файлов с минимальными правками. KeyHunt, KeyHunt-Cuda, KeyKiller, KeyScanner, частично Cyclone — все они стоят на плечах этого человека.

Ценность работы Понса не в одной идее, а в их сочетании: он принёс в нишу высокопроизводительный 256-битный класс Int с inline-asm для x86-64, батчи для обработки точек, принципы работы с памятью CUDA (__constant__, __ldg), компактную реализацию EC-арифметики над secp256k1 без зависимости от тяжёлого OpenSSL/libsecp256k1. И — главное изобретение, ставшее каноном для всех последователей: одна инверсия по модулю на батч из ~1024 точек.

Идея массовой инверсии: копим произведение разностей (x_i − x_target), делаем единственный InvMod от полного произведения, потом «раскручиваем» обратно, получая инверсию каждой разности по очереди. Эффективная стоимость самой дорогой операции в EC-арифметике падает до пары умножений на точку. Эту схему сейчас использует каждая CUDA-программа из обзора, кроме BitCrack — и каждая вторая CPU-программа.

То, что один человек проделал такую колоссальную работу и выложил её под свободной лицензией, — большое везение для всей индустрии. Без VanitySearch не было бы ни KeyHunt-Cuda, ни Cyclone, ни большинства проектов, которые мы здесь сравниваем.

KeyHunt — гибкость и BSGS

KeyHunt берёт код secp256k1 от Жан-Люка Понса, но накручивает поверх Bloom-фильтр (для проверки по большому списку адресов) и BSGS (для поиска по известному pubkey). Никаких AVX, никакой массовой инверсии в основных режимах перебора. Зато умеет: BTC + ETH, P2PKH + P2SH + bech32, файлы со списками целей. Сила этой программы в алгоритме BabyStep-GiantStep (работает с известными публичными ключами), в простом брутфорсе P2PKH она работает хорошо, но отстаёт от лидеров.

KeyHunt-Cuda и CUDACyclone — inline PTX

На первый взгляд — там C++ код, но если присмотреться, то многие макросы разворачиваются в inline PTX-ассемблер для 256-битной арифметики:

#define UADDO(c, a, b) asm volatile ("add.cc.u64 %0, %1, %2;" : "=l"(c) : "l"(a), "l"(b) : "memory");
#define UADDC(c, a, b) asm volatile ("addc.cc.u64 %0, %1, %2;" : "=l"(c) : "l"(a), "l"(b) : "memory");

CUDACyclone дополнительно реализует батчевую инверсию — тот же приём массовой инверсии Монтгомери, перенесённый в ядро. По умолчанию: батч в 128 точек.

Cyclone — AVX-2 интринсики для хешей

Cyclone использует __m256i напрямую: SHA-256 и RIPEMD-160 для 8 параллельных потоков сжимаются в одно 256-битное регистр-поле. Файлы sha256_avx2.cpp и ripemd160_avx2.cpp — почти учебник по SIMD-хешированию:

#define Maj(x, y, z) _mm256_or_si256(_mm256_and_si256(x, y), _mm256_and_si256(z, _mm256_or_si256(x, y)))
#define Ch(x, y, z)  _mm256_xor_si256(_mm256_and_si256(x, y), _mm256_andnot_si256(x, z))
#define ROR(x, n)    _mm256_or_si256(_mm256_srli_epi32(x, n), _mm256_slli_epi32(x, 32 - n))

Модулярная арифметика — на стандартных C+±операторах + наработки Жана-Люка. Есть отдельный AVX-512-вариант для процессоров с поддержкой AVX-512.

ecloop — компиляторные builtin’ы + AVX2

ecloop сознательно отказался от inline-ассемблера, но взял AVX2-интринсики. 256-битная арифметика — через GCC/Clang-builtin’ы:

__builtin_addcll(x, y, carryin, &carryout)   // add-with-carry
__builtin_uaddll_overflow(x, y, &rs)         // overflow detection

Расчёт на то, что современный clang сам поднимет это в adc/adcx-инструкции (вместо ручного inline-asm).

Хеши — полноценный AVX2 и AVX-512 в lib/rmd160s.c: SHA-256 и RIPEMD-160 параллельно по 8 потоков через __m256i и т.п. Размер батча для инверсии — 2048 точек. Итог — 1.06× от Cyclone при компактном коде.

BtcMole — возможные оптимизации

С BtcMole сложнее — исходники закрыты, все суждения только по бинарникам. Что можно утверждать наверняка:

• Аппаратная поддержка x86-64 + ARM64 — обычно достигается компиляторными SIMD-интринсиками (__m256i/__m512i под Intel, vqaddq_*/vmlal_* под NEON), либо отдельными asm-вставками для каждой архитектуры. Раз скорость на x86 опережает Cyclone, велика вероятность использования более подходящих интрисинков и ручных asm-вставок.

• CUDA-сборка единая для sm_50…sm_120 — это Fat Binary с заранее скомпилированными .cubin-ами. Внутри почти наверняка inline PTX (как у конкурентов) или даже SASS (если автор пошёл дорогой Retired Coder).

• AMDGPU-сборка покрывает GCN 3-4, CDNA, RDNA1-4

• Массовая инверсия Монтгомери — с такой скоростью без неё нельзя; вопрос только в размере группы.

Fat Binary — почему некоторые программы такие большие

Технология Fat Binary в CUDA-мире — это упаковка нескольких прекомпилированных .cubin-ов под разные compute capabilities в один исполняемый файл, плюс PTX-код для архитектур, для которых нет предкомпилированного ядра. Преимущество: один бинарник работает «и на 1080Ti, и на RTX 4090, и на новых Blackwell без перекомпиляции». Недостаток — размер.

CycloneCUDA и BtcMole заработали без всяких патчей. KeyHunt-Cuda требует ручной сборки под целевую архитектуру (make ccap=89) — для пользователя без NVCC это барьер.

Сводка по стеку оптимизаций

Двигаемся к потолку производительности

Retired Coder и проект RCAsm

Разработчик под ником Retired Coder (RC) известен как автор серии быстрых решателей биткойн-головоломок по алгоритму кенгуру Полларда. На днях он опубликовал проект RCAsm — DSL-обёртку над cuAssembler для написания CUDA-ядер прямо на уровне SASS, без участия PTX и nvcc.

Зачем это нужно? Цитирую RC из README:

PTX is not powerful enough: 1. You still cannot control registers usage. 2. PTX does not provide all instructions, some of them can be really important. 3. There is no way to declare fast functions. 4. There is no way to use uniform registers and instructions directly. 5. There is no way to specify control codes. 6. There is no good management for carry flags. 7. You have to check what SASS is generated every time.

PTX — это промежуточное представление, которое NVIDIA-компилятор ptxas потом транслирует в реальный машинный код для GPU (SASS). На многих этапах ptxas принимает решения «за разработчика» в ущерб эффективности.

RCAsm обходит это, давая прямой доступ к SASS ценой головной боли — синтаксис SASS намного ужаснее обычного ассемблера.

Под капотом — модифицированный cuAssembler и Python-обёртка. Требуется CUDA v12.8 (другие версии не поддерживаются).

Работает хакерским образом — вначале пишется обычное ядро, компилируется, а потом патчится.

Это и есть последнее слово индустрии для перебора приватных ключей. Если кто-то решит побить рекорды Retired Coder (19 Mkey/s на 5090 в алгоритме кенгуру Полларда), наверное, ему придётся идти тем же путём.

Команды для индивидуального поиска

Если хочется попробовать всё-таки вскрыть нерешённую головоломку — это для тех, кто верит в удачу или у кого куча собственного железа (см. ниже про математику лотереи). Команды ниже — для головоломки № 71 (BTC-адрес 1PWo3JeB9jrGwfHDNpdGK54CRas7fsVzXU, диапазон 2^70..2^71-1). Подставьте свой кошелёк/диапазон по аналогии для других номеров.

CPU

# Cyclone (AVX2)
./Cyclone -t 24 -r 400000000000000000:7fffffffffffffffff \
  -a 1PWo3JeB9jrGwfHDNpdGK54CRas7fsVzXU

# ecloop — режим mul (умножение точек)
./ecloop mul -t 24 -f target.h160 \
  -r 400000000000000000:7fffffffffffffffff

# keyhunt — последовательный режим по адресу
./keyhunt -m address -t 24 -l c \
  -r 400000000000000000:7fffffffffffffffff \
  -a 1PWo3JeB9jrGwfHDNpdGK54CRas7fsVzXU

# BtcMole — единый бинарник для всех устройств
./bm bf -pz 71 +cpu              # только CPU
./bm bf -pz 71 +cpu:50%          # 50% ядер
./bm bf --address 1PWo3JeB9jrGwfHDNpdGK54CRas7fsVzXU \
        --range 400000000000000000:7fffffffffffffffff +cpu

CUDA

CUDACyclone

./CUDACyclone --address 1PWo3JeB9jrGwfHDNpdGK54CRas7fsVzXU \
  --range 400000000000000000:7fffffffffffffffff \
  --grid 128,8 --slices 64

KeyHunt-Cuda

./KeyHunt -t 0 -g --gpui 0 --gpux 256,256 \
  -m address -l c \
  -r 400000000000000000:7fffffffffffffffff \
  1PWo3JeB9jrGwfHDNpdGK54CRas7fsVzXU

KeyKiller-Cuda — принимает только размер диапазона в битах

./kk -r 71 -a 1PWo3JeB9jrGwfHDNpdGK54CRas7fsVzXU

KeyScanner

./keyscanner -a 1PWo3JeB9jrGwfHDNpdGK54CRas7fsVzXU \
  -r 400000000000000000:7fffffffffffffffff

BitCrack (CUDA)

./cuBitCrack --keyspace 400000000000000000:7fffffffffffffffff \
  -o found.txt 1PWo3JeB9jrGwfHDNpdGK54CRas7fsVzXU

BtcMole — CUDA с тонкой настройкой числа SM

./bm bf -pz 71 -cpu +cuda            # все SM
./bm bf -pz 71 -cpu +cuda:30,40      # 30 SM на карте 0, 40 на карте 1

AMDGPU

BtcMole — единственный реально работающий вариант на картах AMD.

./bm bf -pz 71 -cpu -cuda +amdgpu
# Оставляем 20% GPU для интерфейса и роликов
./bm bf -pz 71 -cpu -cuda +amdgpu:80%

Сохранение прогресса между рестартами

После проверки CLI каждой программы и кода — поддержка чек-поинтов есть у большего числа проектов, чем казалось:

Вероятность открытия головоломки

Если у вас нет сотен видеокарт, то вскрытие нерешённой головоломки (№ 71, 72, …) — это лотерея. Победит либо тот, кто сильно раньше начал, либо тот, у кого больше железок.

Поясню масштаб. Размер диапазона головоломки № 71 — 2^70 ≈ 1.18 × 10^21 ключей. Производительность одной CMP 90HX в btcmole-cuda ≈ 1950 Mkeys/s (среднее по нашему бенчу). Одной картой полный перебор 50% интервала займёт 9 599 лет. То есть если вы 1 год перебираете, то у вас примерно 1 шанс из 19 000, что именно вы вскроете головоломку. Это выше, чем сорвать джекпот в лотерею, но всё равно мало.

Заключение

Победители:

• Среди программ с открытым кодом:

  • На CPU — ecloop (1.06× относительно Cyclone). Cyclone почти не уступает (1.00×).

  • На CUDA — KeyHunt-Cuda (1.01×) с минимальным отрывом от CUDACyclone (1.00×); фактически паритет.

• Среди всех программ (включая закрытый код):

  • На CPU — btcmole (1.32× относительно Cyclone).

  • На CUDA — btcmole (1.46× относительно CUDACyclone).

  • На AMD GPU — btcmole (единственный, кто работает; остальные либо не пытались поддержать AMD, либо не работают на свежем ROCm).

Конкретные источники преимущества BtcMole проверить нельзя — код закрыт. Но судя по поведению, набор приёмов мало отличается от лидеров с открытым кодом: массовая инверсия Монтгомери, низкоуровневая работа с флагами переноса, толстый Fat Binary под все актуальные железки.

Про внутренние «попугаи». В целом, к моему удивлению, заявленные авторами цифры более или менее соответствуют реальности — относительный расклад программ на «их» Mkey/s примерно совпадает с тем, что показывает наш честный wall-clock-бенчмарк. Единственное яркое исключение — KeyKiller-Cuda: там внутренний счётчик завышал результат раза в полтора (учитывалось только GPU-время, без CPU-составляющей), и без патча программа выглядела бы намного сильнее, чем есть. У CUDACyclone цифры в Mkey/s заметно «пляшут» от запуска к запуску, но среднее всё равно близко к реальной скорости. Так что общее правило «не верьте экранным цифрам» сохраняется, но конкретно у этих авторов — без злого умысла.

Индустрия не стоит на месте. Retired Coder (человек решивший 120, 125 и 130 головоломки) уже показал, что чистый SASS даёт ещё 15-25 процентов по сравнению с PTX. Правда, по его словам, программироание на SASS несёт серьёзные риски потери психического здоровья.

Про пулы. На базе почти каждой программы из списка есть свой пул для совместного перебора. Я не буду брать на себя ответственность кого-то рекомендовать: основатели пулов, как правило, анонимны, проверить их репутацию невозможно, гарантий выплаты вашей доли в случае находки нет.

Я прошу прощения у авторов непротестированных программ — я протестировал всё, что нашёл из поиска гугла и телеграм-чатов. Хотя, уверен, что есть масса авторов со своими самописными решениями, которые не попали в обзор.

Но комментарии открыты — напишите там о своих программах. Запускайте бенчмарк на своём железе со своими программами, пишите свои результаты.

В следующей части (она будет не ранее чем через месяц) мы будем рассматривать программы для решения 135-й и 140-й головоломок. Так что допиливайте ваш софт и присылайте ссылки в личку.

Всем цифровым кладоискателям — удачи!

© 2026 ООО «МТ ФИНАНС»