如果地缘政治紧张局势尚不足以令市场不安，加密行业如今又多了一项与“核”相关的焦虑。整个行业的研究人员与分析师正在讨论一场密码学末日情景：攻击者可以直接从公钥推导出私钥——这一此前被视为遥不可及、如今因人工智能进展而被认为具有潜在可信度的场景，正将所有人的加密资产置于风险之中。

以太坊研究员Justin Drake于上周三呼吁启动“地堡模式”规划，他援引人工智能领域“令人警醒”的进展称，AI可能加速数学攻击的发现，并最终“攻破”密码学。他写道：“我认为，现在有必要为ECDSA[椭圆曲线数字签名算法]在Qday之前被攻破的可能性做好准备，最坏情况下是数月而非数年。”在行业术语中，“Qday”指量子计算机有能力攻破加密货币公钥密码学的假想之日。

在Drake看来，行业应开始规划一次受控的资产迁移，将资产转移至公钥从未暴露过的新地址，从而减少潜在攻击者可利用的信息。

但这一警告究竟基于什么——是否真的有理由感到担忧？

加密行业的恐慌是否有依据？

Drake的担忧并不局限于AI是否会加速能够攻破密码学的量子计算机的到来。他还担心，AI系统可能帮助发现人类密码学家遗漏的、可在经典计算机上执行的数学攻击。

他提出，椭圆曲线——支撑大多数区块链密码学的数学基础——由于具有更强的数学结构，可能比哈希函数更容易受到此类突破的影响。这进而引出了一种可能性：某个经典算法可以攻破椭圆曲线密码学——而这正是让钱包软件签署交易并证明资金控制权的工具。

约翰霍普金斯大学密码学教授Matthew Green为已在行业内蔓延的恐慌火上浇油，表示：“我认为我们可能会失去公钥密码学。”

并非所有人都认同这种担忧。Coinbase密码学主管Yehuda Lindell表示，据他所知，“没有任何证据”表明支撑椭圆曲线密码学的数十年数学假设已被削弱。

硬件钱包公司Trezor的比特币分析师Lucien Bourdon告诉Cointelegraph Magazine：“无论是借助AI还是其他任何手段，目前都没有针对ECDSA背后数学的可信公开进展。”

Bourdon指出，OpenAI近期发布的AI撰写的数学论文中，没有任何一篇包含对ECDSA的攻击——尽管Drake认为这种缺席值得怀疑，而非令人安心。Drake的另一条论据是，椭圆曲线比哈希函数带有更多数学结构，这可能使其更容易被攻破。

“他没有说明如何做到，”Bourdon说。“他还把自己的时间线称为最坏情况，并告诫人们不要操之过急。”

硬件钱包公司FoundationHQ的联合创始人兼首席执行官Zach Herbert告诉Cointelegraph Magazine，如果扩展公钥（xpub）已经共享给钱包应用或第三方，那么将资金转移到新地址可能收效甚微。他说，在这种情况下，“他们已经掌握了推导出你试图隐藏的公钥所需的信息。”

正如以太坊钱包MetaMask的创始人兼首席执行官Taylor Monahan指出的，一旦密码学被攻破持仓价格将是最不值得担心的问题：“如果椭圆曲线被攻破，任何暴露的公钥都会导致资产失窃，而且攻击者是以为窃取加密资产为首要目标、受经济利益驱动的黑客，那么整个世界都将归零。把你的神奇网络币放进地堡也无济于事。”

为什么转移代币可能并不足够

Herbert解释说，xpub允许钱包为同一账户生成多个公钥，包括从未使用过的地址的密钥。如果钱包应用或第三方已经掌握该信息，将资金转移到同一账户下的新地址，可能无法向其隐藏新地址的公钥。他说，如果ECDSA变得实际上可被攻破，“攻击者可以在完全不接触你硬件钱包的情况下恢复对应的私钥。”

“不，这显然不是足够的保护，”以太坊扩容协议StarkWare联合创始人兼首席执行官Eli Ben-Sasson说。“除了转移代币之外，如果你还想再次使用它们，就需要下载新型钱包。”

他补充说，密码学被攻破的影响远不止钱包签名。以太坊基础设施层的签名和共识机制也需要处理，用于blob数据的Kate-Zaverucha-Goldberg（KZG）多项式承诺方案同样如此。“最后，gas价格也可能大幅上涨，因为很多功能都会失效。”

在比特币上，某些地址类型会在代币被花费之前，通过加密哈希隐藏完整公钥。如果相关哈希函数保持安全，这可以为试图从公钥推导私钥的攻击者提供额外一层保护。相比之下，Taproot地址会将公钥直接暴露在链上。

Bourdon指出，以bc1q开头的常见SegWit地址在花费之前会隐藏公钥，而Trezor等钱包会生成全新的接收地址以限制地址复用。“现在无需采取任何行动，”他说，并补充称，恐慌性迁移弊大于利。“急于转移资金的人容易犯错，而骗子则会利用这类报道来接近他们。”

同样值得注意的是，每当花费一枚比特币，公钥都会在内存池中暴露，从而为攻击提供了一个可乘之机。

并非所有加密资产都生而平等

一些区块链已经在为密码学威胁做准备，不过它们提出的解决方案差异颇大。

在专注AI的NEAR Protocol上，根据其抗量子路线图，用户可以通过单笔交易向现有主网账户添加抗量子的FIPS-204密钥，而无需转移资产，Meteor等钱包也支持抗量子签名。这一方法依赖于基于格的密码学——而以太坊创始人Vitalik Buterin本人也曾担心该技术可能同样易受攻击。

以太坊正在借助基于哈希的签名和ZK证明聚合，制定一项更广泛的抗量子路线图，涵盖从交易签名到共识和数据安全的各个方面。纸面上还规划了一项紧急的硬分叉与恢复提案。在2024年3月的一篇帖子中，Buterin提出了一种潜在的硬分叉方案：在大规模盗窃发生后回滚区块、禁用常规钱包交易，并让用户通过种子短语的零知识证明找回资金。

Bitwise Europe高级研究助理Max Shannon表示，这仍然只是一份“没有既定时间表”的提案。虽然迄今尚未有人展示可行的攻击，但他说，用户“从长远来看”应转向抗量子签名。

量子紧急情况下的硬分叉。来源：Eth Research

Starknet的账户抽象架构允许用户在不迁移资金至新地址的情况下更换签名方案。Ben-Sasson表示，核心技术无需更改，“因为账户抽象意味着可以采用任何签名方案。”不过，其他组件仍需关注，包括网络状态树的某些部分及其在安全上对以太坊的依赖。

对于Solana用户而言，换用新地址并无帮助，因为公钥在该网络上默认即被公开——不过他们可以将资金迁移至Winter Wallet等抗量子保险库。Solana基金会技术副总裁Jacob Creech表示，如果Solana的签名方案变得可被攻破，用户也无需进入“地堡模式”。一次网络升级可以让用户使用基于哈希的证明来证明其对秘密种子的所有权，并将账户迁移至更安全的签名方案。他说，目前已有可运行的概念验证，但升级本身尚未部署。

那么，加密资产持有应该恐慌吗？

Shannon表示，Bitwise目前并不担心这一理论性风险，但它“值得保持审慎”。

“我们可以把新地址和xpub暴露当作一个思想实验来讨论，”Herbert说，“但我不愿假装这些步骤足以构成应对该情景的实用方案。”他还表示，由于一些人使用老旧设备、复杂的多签安排，或多年未动的比特币，软件更新“不会自动保护那些代币”。

Bourdon提醒持有者审视信息来源，他指出，Drake的警告还伴随着对以太坊转向他所推荐的基于哈希的密码学的讨论。“因此，对一个未经证实的威胁的警告，同时也是对以太坊路线图的一次推介。”

尽管这并不能证明Drake错了，但目前仍没有证据表明ECDSA即将被攻破——而急于转移资金却伴随着大量风险。就目前而言，值得关注的指标是具体的：是否会出现任何可信的、针对ECDSA的公开攻击，以及以太坊紧急硬分叉、Solana基于哈希的种子证明升级等抗量子提案能否从纸面走向实际部署的网络升级。但如果支撑加密钱包和区块链的密码学真的失效，转移代币或许只是行业应对中最容易的一环。

基于Cointelegraph Magazine的报道。