Сооснователь Ethereum Виталик Бутерин предупредил в среду, что математика на основе ИИ может в течение двух лет подорвать решетчатую криптографию — ведущую постквантовую замену современных схем подписи, — однако призвал держателей не спешить с переводом средств в новые кошельки.

В публикации на X Бутерин отметил, что большинство планов подготовки к квантовой эре исходят из того, что эллиптические кривые будут взломаны, а хеши и решетки устоят. «Но есть большая вероятность, что конкретная стойкость решеток серьезно пострадает от математических достижений ИИ в ближайшие два года», — написал он в публикации на X.

Он назвал ML-DSA, полностью гомоморфное шифрование и решетки ключевыми новыми зонами риска и заявил, что под тем же давлением ECDSA — схема подписи, лежащая в основе кошельков Bitcoin и Ethereum, — может быть взломана раньше ожидаемого.

Ключи на решетках, возможно, придется увеличить в десять раз

Бутерин отметил, что взлом ключей RSA, на который раньше уходили десятилетия человеческого труда, теперь стал дешевле, и задался вопросом, не найдут ли боты в ближайшее время подобных обходных путей против кривых и решеток. Если ИИ выдаст 50 лет математического прогресса за два, решеткам потребуются гораздо более крупные ключи для того же уровня безопасности; его эмпирическое правило для долгосрочной безопасности — умножать размер ключей на 10.

«Экономная» дорожная карта Ethereum в прошлом году была ориентирована только на хеши: подписи на WOTS или SPHINCS- без ML-DSA или Falcon. Разрыв в размере значителен: подпись secp256k1 ECDSA занимает около 64 байт, тогда как финализированная NIST подпись ML-DSA-87 — около 4 627 байт, по данным Cryptopolitan. Поскольку подписи хранятся в блокчейне при каждой транзакции, этот разрыв — реальная стоимость блочного пространства для любой сети, принимающей более тяжелую схему, — одна из причин, по которой более крупные постквантовые подписи остаются сложным компромиссом.

Призыв Дрейка к «бункерному режиму» послед за публикацией OpenAI 722 рукописей

Бутерин отвечал исследователю Ethereum Foundation Джастину Дрейку, который в среду призвал индустрию «спокойно начать планирование в 'бункерном режиме'», по данным Cryptopolitan.

Дрейк сказал, что ECDSA может быть взломана до q-дня — дня, когда квантовые компьютеры взломают криптографию с открытым ключом, — и в худшем случае речь идет о месяцах, а не годах. Его план — переводить средства на адреса, которые никогда не подписывали транзакцию, начиная с крупнейших держателей, поскольку такие адреса скрывают открытый ключ за хешем до первой подписи. В этом сокрытии и суть: взлом ECDSA начинается с открытого ключа, поэтому адреса, раскрывшие лишь хеш, не дают злоумышленнику никакой отправной точки.

Бутерин поддержал новые адреса только там, где переход несложен. «Я не рекомендую никому сегодня спешить переводить свои средства в новые кошельки», — написал он, добавив, что потерял на неудачных миграциях больше денег, чем на всех взломах вместе взятых. Он также сказал, что протоколы конфиденциальности должны хранить зашифрованные заметки вне цепочки и передавать их через третью сторону, а офчейн-подтверждения помогают мультиподписным кошелькам скрывать подписи подписантов от общего доступа.

Дрейк связал свое предупреждение с публикацией OpenAI во вторник 722 рукописей от невыпущенной внутренней модели, сгруппированных в 372 семейства, где большинство доказательств написано на языке Lean, что позволяет проверять их компьютером.

В июле Anthropic сообщила, что ее модель Claude Mythos Preview за 60 часов снизила стойкость ключа HAWK — постквантового кандидата в подписи, поданного в NIST, — на 50%, добавив, что этот результат не касается действующих систем, поскольку HAWK так и не был развернут. Открытый вопрос после обоих эпизодов: распространяется ли криптоанализ с помощью ИИ с кандидатов и невыпущенных моделей на стандартизированные схемы, которые защищают реальные средства.

По данным Cryptopolitan, по состоянию на май 2026 года Europol ссылалась на блокчейн-подсчет в 6,04 млн BTC, около 30,2% эмиссии, с видимыми открытыми ключами — именно эту уязвимость и призваны защитить адреса, никогда не подписывавшие транзакции.