加密安全辩论出现新转向：AI加速或致椭圆曲线密码学崩溃

加密领域的安全辩论正呈现出一种不同寻常的态势。目前的焦点不再局限于黑客攻击、诈骗或交易所倒闭，而是转向了一种更为严峻的假设场景：攻击者可能利用日益进步的AI技术，比人类密码学家更快地发现数学弱点，从而从公钥中推导出私钥。

Ethereum研究员Justin Drake呼吁行业进入“掩体模式”（bunker mode）进行规划，他认为椭圆曲线密码学（包括ECDSA）可能在数月而非数年的时间内崩溃，为此做好心理准备是合理的。尽管部分专家将此警告视为谨慎且令人谦卑的建议，但也有人对此前提提出质疑，强调目前尚无针对ECDSA的可信公开攻击案例，并警告说，由恐慌驱动的迁移可能会带来新的风险。

核心要点

• Justin Drake敦促采取“掩体模式”规划，警告称AI可能会加速发现非量子类的经典攻击，从而破坏如ECDSA等椭圆曲线密码学。
• 批评者指出，缺乏针对ECDSA的可信公开进展证据，且行业尚未证明存在可行的破解方案；因此，仓促迁移地址可能弊大于利。
• 硬件钱包和账户系统细节至关重要：如果扩展公钥（xpubs）或钱包基础设施泄露，“新地址”可能无法完全保护资金。
• 一些生态系统已在探索后量子及替代签名方案，但时间表尚不确定，紧急硬分叉或恢复计划仍停留在提案阶段。
• 即使存在缓解措施，也无法修复所有相关组件（如共识机制、数据承诺、基础设施签名），且Bitcoin的地址实践因脚本类型而异。

Drake的“掩体模式”警告及其针对的密码学基础

Drake的担忧超越了遥远的量子计算机威胁。他在X平台（原Twitter）上发表文章指出，AI有助于揭示不需要量子硬件即可实施的数学攻击，这可能会削弱区块链广泛使用的椭圆曲线密码学。

“我认为，现在合理推测ECDSA [椭圆曲线数字签名算法] 在‘Qday’（量子计算可行之日）之前崩溃的可能性，在最坏情况下，可能是以月为单位，而非年为单位。”

Drake还建议制定侧重于将资产转移到未暴露对应公钥的新地址的缓解计划，以限制攻击者可利用的信息。该方法的核心假设是：如果椭圆曲线方案在实践中变得可破解，攻击者可以利用公钥中的信息来恢复私钥。

反驳意见：无证据表明ECDSA被削弱，“仓促行动”可能适得其反

并非所有人都认为需要恐慌。密码学教授Matthew Green对 stakes（利害关系）进行了评估，他认为公钥密码学可能会失效，这一观点加剧了人们对Drake警告的关注。

然而，Coinbase首席密码学家Yehuda Lindell表示，他不知道有任何证据表明椭圆曲线密码学背后的长期数学假设已被削弱。另一位著名的批评来自Trezor硬件钱包的Bitcoin分析师Lucien Bourdon，他向媒体表示，无论是借助AI还是其他手段，目前都没有针对ECDSA背后数学原理的可信公开进展。

Bourdon进一步警告不要将AI生成的数学论文视为即将崩溃的证明。他认为，即使存在此类研究，也不一定转化为针对ECDSA的实际攻击。Drake的立场也承认了不确定性，并将他的时间线定义为最坏情况。尽管如此，批评者表示，不应将此辩论解读为立即迁移资金的信号——因为快速、高压的行动往往会使用户更容易成为诈骗的目标。

Bourdon的警告集中在仓促应对的实际风险上：人们在匆忙中容易犯错，而欺诈者通常会利用关于“迫在眉睫”的技术崩溃的紧急叙事来实施诈骗。

为何“迁移至新地址”可能无法解决根本问题

即使暴露的公钥属于威胁模型的一部分，仅轮换地址可能还不够。硬件钱包FoundationHQ的首席执行官兼联合创始人Zach Herbert指出，扩展公钥（xpubs）可能会削弱“新地址”概念的有效性。如果xpub已经与钱包应用或第三方共享，他们可能已经掌握了推导你意图隐藏公钥所需的信息。

在这种情况下，攻击者可能不需要在链上观察新的接收地址即可对其进行攻击；共享的xpub可能允许推导相关的公钥，进而潜在地获取对应的私钥。Herbert还强调，泄露不仅发生在单个链交易历史的地址上，还可能通过钱包架构和账户管理发生。因此，“掩体模式”规划可能不仅仅是更换地址——可能需要更新钱包管理密钥的方式以及设备的操作规范。

StarkWare联合创始人兼首席执行官Eli Ben-Sasson也对“通过移动硬币就能解决问题”的观点提出了反驳。他指出，如果密码学崩溃，变化可能不仅仅局限于钱包签名。在Ethereum上，这可能涉及基础设施级别的签名、共识机制以及用于blob数据的Kate-Zaverucha-Goldberg (KZG) 多项式承诺方案。Ben-Sasson补充道，网络层面的影响可能是严重的，如果大部分功能依赖于失败的密码学原语，gas费用可能会急剧上升。

Bitcoin展示了缓解措施如何因设计而异。某些Bitcoin地址类型在花费之前会将完整公钥隐藏在密码学哈希之后。相比之下，Taproot直接在链上暴露公钥。Bourdon指出，常见的SegWit地址（以bc1q开头）在花费前保持公钥隐藏，且像Trezor这样的钱包会生成新的接收地址以限制地址重用。尽管如此，讨论中包含一个让Bitcoin用户感到不安的细节：每当比特币被花费时，公钥会在内存池（mempool）中暴露，这可能给任何针对签名方案的经典攻击提供机会窗口。

各链的后量子努力各不相同，“恢复计划”仍属提案

尽管关于紧迫性和可行性的争论激烈，一些网络已经在向抗量子方法迈进——尽管设计和范围各不相同。

根据NEAR Protocol发布的抗量子路线图，用户可以在单笔交易中为现有的主网账户添加一个符合FIPS-204标准的量子安全密钥，而无需移动资产。Meteor等钱包也被描述为支持量子安全签名，该方法依赖于基于格（lattice-based）的密码学。Ethereum创始人Vitalik Buterin曾提出担忧，认为基于格的密码学也可能面临漏洞，使得长期前景变得复杂。

Ethereum正在推进更广泛的抗量子路线图，涉及基于哈希的签名和零知识证明聚合。该网络还在纸面上规划了紧急硬分叉和恢复概念。2024年3月，Vitalik Buterin概述了一种潜在的硬分叉策略，重点是在大规模盗窃后回滚区块、禁用常规钱包交易，并启用用户使用种子短语的零知识证明来追回资金——不过，Bitwise Europe高级研究助理Max Shannon将其描述为没有既定时间表，并将其框定为提案而非即将部署的方案。

Starknet的账户抽象架构提供了另一种对比。Ben-Sasson认为，账户抽象的核心思想意味着可以无需迁移资金到新地址即可交换签名方案，尽管其他组件仍需关注——特别是网络状态树的某些部分以及以太坊背书安全的方式。

在Solana上，如果公钥默认暴露，地址迁移可能不是有意义的应对措施。Solana Foundation技术副总裁Jacob Creech表示，如果其签名方案变得可破解，Solana用户不需要进入“掩体模式”。他描述了一种潜在的升级，允许用户通过基于哈希的证明来证明其对秘密种子的所有权，并迁移到更安全的签名方案，并指出即使升级本身尚未部署，也存在可行的概念验证。

威胁是否足够真实以至于现在就要采取行动？

Bitwise的Max Shannon表示，他不将这种理论风险视为 immediate concern（即时关切），但他认为从长远来看，保持谨慎仍是值得的。Herbert同样表示，虽然讨论新地址和xpub暴露作为思维实验是有用的，但这些步骤并不构成密码学崩溃的实际完整计划。

此外还存在运营局限性：一些用户拥有旧设备、复杂的多重签名设置，或者持有多年未动的Bitcoin头寸。在这些情况下，仅靠软件更新并不能自动保护资金。

Bourdon还指出了更具针对性的批评：Drake的警告及其对Ethereum路线图的讨论似乎交织在一起，Bourdon暗示该信息可能起到推动路线图优先事项的作用。即使这种解读存在争议，它也强化了读者关注的核心问题：在没有具体、公开演示的攻击之前，正确的做法是谨慎规划，而非冲动迁移。

加密行业在未来可能达成共识的一点是：如果密码学原语在实践中失败，行业需要在钱包、协议和基础设施之间协调响应。地址更改可能是最容易的部分——如果它们确实相关的话——而更深层的系统迁移可能会证明更加困难。

目前，最重要的观察点是研究人员是否从理论风险转向具体、可复现的攻击，以及主要链和钱包提供商是否在路线图和提案之外实际部署了后量子选项。