Een kunstmatig-intelligentiemodel van Anthropic had minder dan 30 minuten nodig om een van de langstlopende mysteries in de cryptografie op te lossen: het herleiden van vijf onverklaarde seed-waarden achter de ellipscurves van de Amerikaanse overheid naar een gewone random-nummer-generator met timestamps uit 1997 en 1998.

De getallen waren eind jaren '90 door de National Security Agency (NSA) aan de Amerikaanse overheid geleverd en werden lang verdacht van het verbergen van een achterdeurtje. De bevinding maakt een verborgen NSA-achterdeurtje aanzienlijk onwaarschijnlijker en vereist geen actie van gebruikers van de NIST-curves, al blijven er vragen over hoe sommige elementen zijn gekozen.

Bitcoin was nooit blootgesteld. Het netwerk draait op secp256k1, een eenvoudigere curve met weinig ruimte om een zwakte te verbergen, hoewel voldoende krachtige quantumcomputers uiteindelijk een aparte dreiging kunnen vormen.

Het model had ongeveer een halfuur nodig om het antwoord te vinden dat cryptografen 25 jaar hadden achtervolgd.

Een slot met een onverklaard ontwerp

Een groot deel van het internet is afhankelijk van cryptografie met ellipscurves, de tak van wiskunde die ook bitcoin-portemonnees beschermt. Hiermee kan iemand bewijzen dat hij een geheime sleutel bezit zonder de sleutel zelf prijs te geven. Dezelfde wiskunde beveiligt de versleutelde verbindingen die browsers aangaan bij het laden van een website.

Zie de curve als een slotontwerp dat iedereen kan inspecteren. Elke gebruiker heeft zijn eigen geheime sleutel, maar iedereen vertrouwt erop dat het ont moeilijk te kraken is.

De vraag bleef: wie koos de wiskunde waar de wereld op moest vertrouwen?

In 2000 nam het Amerikaanse National Institute of Standards and Technology (NIST) een set curves aan die door de NSA was geleverd, zoals vastgelegd in het cryptografie-historyarchief van NIST. Het agentschap leverde de ontwerpen zonder uit te leggen waar sommige getallen die erbij gebruikt waren vandaan kwamen. Die geheimhouding werd moeilijker van de hand te wijzen nadat de Snowden-onthullingen de NSA verbonden aan pogingen om cryptografische standaarden te verzwakken, en NIST verwijderde later de bijbehorende tool, de Dual EC random-nummer-generator, uit zijn aanbevelingen.

De begingetallen, bekend als seeds, waren openbaar. Maar de NSA heeft nooit uitgelegd hoe ze tot stand kwamen, wat jarenlang vermoedens voedde dat het agentschap vele alternatieven had getest totdat het een curve vond met een zwakte die alleen zij wist te misbruiken. De meest paranoïde versie van de theorie hield in dat de NSA een achterdeurtje had in elk systeem dat de standaarden gebruikte.

Cryptografen Neal Koblitz en Alfred Menezes onderzochten de controverse in hun paper uit 2015, "A Riddle Wrapped in an Enigma." Menezes had meegeholpen de oorspronkelijke standaard te schrijven en herinnerde zich dat hij de seeds in 1997 van NSA-wiskundige Jerry Solinas had ontvangen.

Beveiligingsonderzoeker Steve Weis heeft jarenlang naar een verklaring gezocht, documenteerde zijn pogingen en diende in 2018 verzoeken in op grond van openbaarmakingswetgeving. NIST zei geen documentatie te hebben en de NSA reageerde niet meer. Een veelbelovende spoor suggereerde dat de getallen afkomstig waren van een humoristische zin die Solinas was vergeten, waardoor onderzoekers op zoek gingen naar mogelijke woordcombinaties.

In 2023 loofde cryptografie-ingenieur Filippo Valsorda samen met andere bijdragers een beloning van $12.288 uit voor een antwoord, oplopend tot meer dan $36.000 als de winnaar het bedrag aan een goed doel doneerde. Solinas was eerder dat jaar overleden, waardoor onderzoekers met oude herinneringen en de getallen zelf bleven worstelen zonder resultaat.

Claude gaat graven

Toen kwam Claude in beeld. Deze maand vroeg een Anthropic-medewerker een intern onderzoekmodel de zaak te onderzoeken, zonder de oude theorie te delen dat de seeds uit een vergeten zin afkomstig waren.

In minder dan halfuur herleidde het model de vijf NIST-curve-seeds naar lrand48, een random-nummer-generator uit oudere C-softwarebibliotheken die nooit voor cryptografisch gebruik was ontworpen. Claude reproduceerde de reeks achter P-256, een veelgebruikte curve, en vond een exacte match met de gepubliceerde seed bij de 1.842e kandidaat.

"Dit is verbazingwekkend: het lost het 25 jaar oude mysterie op," schreef het model in zijn opgenomen redenering, nadat het zich kort had afgevraagd of het binnen een gesimuleerde test werkte. "Hmm, is het plausibel in de realiteit? Voor zover ik weet ... de bounty was onopgelost. ... Alle bovenste bits zijn nul—20 bits, kans 1e-6. Dus inderdaad real-world."

"Wow, it's a real discovery."

Iedereen kan het programma nu opnieuw draaien en de getallen regenereren die de NSA heeft geleverd. Anthropic zegt dat dat een verborgen zwakte veel onwaarschijnlijker maakt, al kan het team nog steeds niet verklaren waarom het programma soms bruikbare kandidaten oversloeg, of hoe andere onderdelen van de curves zijn gekozen.

Die voorspelbaarheid stelde Claude in staat de getallen te reconstrueren, en binnen een portemonnee zou dat een ramp zijn. Een met lrand48 gegenereerde geheime sleutel kon door iedereen worden nagemaakt die ongeveer kon vaststellen wanneer deze was aangemaakt, waardoor die alles in handen kreeg om het geld weg te sluizen. De seeds van de NSA waren echter vanaf dag één openbaar, dus er was nooit een geheim om te stelen.

Waar bitcoin past

Bitcoin maakte nooit deel uit van dit raadspel. Zijn portemonnees draaien op secp256k1, een curve gebouwd op een eenvoudigere vergelijking. De bitcoin-versie wordt gedefinieerd door twee kleine, vaste getallen die vrijwel niets te verstellen laten, terwijl P-256 een getal van 77 cijfers draagt dat voortkwam uit de onverklaarde seed van de NSA. Met zo weinig knoppen om aan te draaien is er weinig ruimte voor wie stilletjes een zwakte in de bitcoin-curve wilde bouwen, een eigenschap die crypten al lang als voordeel aanhalen. Dat beginsel — parameters waarvan iedereen de oorsprong kan controleren, door cryptografen "nothing-up-my-sleeve numbers" genoemd — heeft sindsdien vormgegeven aan hoe nieuwere cryptografische standaarden worden geschreven.

Schepper Satoshi Nakamoto heeft nooit publiekelijk uitgelegd waarom hij voor de curve koos, die zelden werd gebruikt voordat bitcoin hem beroemd maakte. Ethereum nam hem later ook over, en bitcoin behield hem bij de Taproot-upgrade van 2021, die een nieuwere vorm van handtekening introduceerde.

Een krachtige quantumcomputer zou een ander gevaar opleveren, zoals CoinDesk eerder dit jaar uiteenzette: zo'n machine zou vanuit een openbare sleutel die zichtbaar is op de bitcoin-blockchain kunnen terugrekenen naar de geheime sleutel erachter, ongeacht hoe de curve is gekozen. Hardwarevooruitgang blijft de kloof tussen die theorie en een werkende aanval verkleinen. Google zei deze week dat zijn Willow-chip fouten in een van de duurste stappen die zo'n machine nodig zou hebben met ongeveer een factor 40 reduceerde, een ontwikkeling die volgens CoinDesk-rapportage bitcoin uit het satoshi-tijdperk met een grotere quantumdreiging confronteert.

Toch heeft nog niemand een quantumcomputer gebouwd die ook maar in de buurt komt van groot of betrouwbaar genoeg om een bitcoin-sleutel te kraken, en er is geen duidelijke tijdlijn voor wanneer dat zover kan zijn. De migratievraag beweegt inmiddels ook zonder die machine: NIST publiceerde in 2024 zijn eerste post-quantum-encryptie- en handtekeningstandaarden, de eerste stap richting het uiteindelijk vervangen van de huidige curves.

Anthropic zei in zijn blog dat mensen die de NIST-curves gebruiken niets hoeven te veranderen. Na decennia van vragen over waar de seeds vandaan kwamen, kan iedereen nu het programma draaien en het pad naar de gepubliceerde getallen volgen.

De zoektocht had ook een prijs. De bounty van $36.864 gaat naar de Internet Security Research Group, de non-profit achter Let's Encrypt, die websites gratis beveiligingscertificaten verstrekt.