Vitalik与Drake警告：AI数学突破或致ECDSA与格密码失效

撰文：小饼

10 月 7 日，以太坊基金会核心研究员 Justin Drake 在 X 上发了一篇长帖，开头只有一句话：「我呼吁整个区块链行业，冷静地开始为'掩体模式'（bunker mode）做准备。」

同一天，OpenAI 公开发布了 722 份数学研究手稿，覆盖 372 个数学问题族，其中包含数百个长期未解问题的解答。一个 24 天前才开始训练的内部模型，已经在几乎所有数学分支上取得突破，两周前还刚给出了纳维-斯托克斯方程的反例，七大千禧年数学难题之一。

两件事撞在同一天，时机耐人寻味。

Drake 的警告正是建立在这条证据链之上：AI 已经能在 24 天内解决人类数学家数十年攻不下的难题，那它找到一个攻破加密货币底层签名算法的经典方法，需要多久？

十个小时后，Vitalik Buterin 亲自下场回应。第一句话同样克制：「我不建议任何人今天急着把资金转到新钱包。」但紧接着，他给出了一个比 Drake 更令人不安的判断：ECDSA 可能被攻破，连整个行业寄予厚望的「后量子密码学」备选方案（格密码），也有「相当大的概率」在两年内遭到实质性削弱。

行业一直在问一个问题：量子计算机什么时候能破解加密货币？

ECDSA： 加密货币世界的「万能钥匙」

要理解 Drake 的警告，先要理解 ECDSA（椭圆曲线数字签名算法）在加密货币世界中扮演的角色。每一笔比特币和以太坊交易的签名，都依赖它。你的私钥生成公钥，公钥经过哈希生成地址，这条单向通道的安全性，就是整个加密资产体系的根基。从公钥反推出私钥，在今天的计算能力下被认为是不可能的。

行业多年来的安全叙事是围绕「Q-Day」（量子计算日）展开的：某一天，一台足够强大的量子计算机用 Shor 算法在多项式时间内解决离散对数问题，ECDSA 的单向通道被逆向打通，私钥从公钥中被直接导出。但那一天被广泛认为还有十年甚至更久。

Drake 提出了一个完全不同的威胁场景：不需要量子计算机。AI 驱动的数学超级智能可能找到一种全新的经典算法，就像当年快速傅里叶变换（FFT）把乘法的计算复杂度从 O（n²） 一下拉到 O（n log n），直接在传统硬件上攻破椭圆曲线密码学。

这个论点的关键在于：椭圆曲线拥有极其丰富的数学结构。结构越丰富，可供攻击的数学「攻击面」就越大。相比之下，哈希函数的设计哲学是刻意消除结构，让输出看起来像纯粹的随机噪声，给攻击者留下的立足点极少。Drake 用了一个尖锐的反问：「64 字节的 ECDSA 签名，会不会好得太不真实了？」

他给出的最坏情况估计：一个大型 GPU 集群，在大约一周内就能从暴露的公钥中恢复出私钥。这个数字来自他对 AI 数学进展速度的外推，是工程量级的估算。

2026：AI 数学能力的「寒武纪大爆发」

支撑 Drake 判断的，是一条加速度惊人的时间线。

2026 年 5 月，OpenAI 宣布一个未公开的模型反驳了数学家 Paul Erdős 提出的「单位距离猜想」，一个困扰了数学界近 80 年的问题。让数学家们意外的是路径本身：AI 找到了人类未曾尝试过的证明方向。

8 月 1 日，OpenAI 发布了 Astra 模型在 10 个数学与理论计算机科学开放问题上的成果。这 10 个问题每一个都至少停滞了十年，涵盖高维球体堆积、编码理论、群论、量子复杂性、格密码学等领域。249 页论文，每一个证明都用 Lean 4 进行了形式化验证，让机器可以独立核查正确性。计算成本？按 API 价格算，全部 10 个问题加起来大约 2000 美元。

9 月 8 日，OpenAI 投下一颗重磅炸弹：宣布一个内部模型给出了纳维-斯托克斯方程的反例，七大千禧年数学难题之一，正确解决者将获得 100 万美元奖金。虽然该结果尚未经过独立验证，但其引发的冲击波已经传遍了整个数学界。

9 月 21 日，事情变得令人眩晕。OpenAI 公布：一个 8 月 28 日才开始训练的内部模型，在短短 24 天内已经解决了超过 100 个长期未解的数学开放问题，跨越几乎所有数学分支。连 OpenAI 内部的数学家都对这个速度感到意外。该公司在普林斯顿高等研究院成立了一个独立顾问组，成员包括 Edward Witten 和 Timothy Gowers 等数学大师。

10 月 7 日，Drake 发出警告的同一天，OpenAI 正式发布 722 份手稿，覆盖 372 个数学问题族。平均每个结果的计算成本，大约相当于 3 小时的 ChatGPT Pro 使用时长。

把这条时间线排列在一起：5 月反驳 1 个猜想 → 8 月解决 10 个难题 → 9 月 24 天解决 100+ 个问题 → 10 月发布 372 个问题族的成果，增长曲线是指数级的。Drake 的原话：「数学超级智能已经到来。」

OpenAI 之外，Anthropic 的一个未发布研究版 Claude 模型在黎曼猜想（另一个千禧年难题）上取得了重大进展，Google DeepMind 的系统也已在国际数学奥林匹克竞赛中达到金牌水平。AI 数学能力的爆发是全行业、全领域的系统性跃迁。

600 万 BTC 的公钥已经「裸奔」在链上

理解了威胁，下一个问题是：有多少资产真正暴露在风险之下？

答案是惊人的。根据 Glassnode 的研究，约 604 万枚 BTC，占已发行总供应量的 30.2%，其公钥已经暴露在链上。这些 BTC 分为两类风险敞口。

「结构性暴露」影响约 192 万枚 BTC，这些币的脆弱性是由地址类型本身决定的，与持有者的行为无关。最大的一块来自比特币早期使用的 P2PK（Pay-to-Public-Key）格式——公钥直接写在锁定脚本中，永久暴露在链上。中本聪的约 110 万枚 BTC 几乎全部存储在这类地址中，分布在大约 22000 个独立的输出里。这些币不会被转移，私钥可能已经丢失，中本聪本人也可能已经不在了。它们是区块链上最有价值的「蜜罐」，也是最无法自救的资产。

「操作性暴露」影响另外约 412 万枚 BTC，这些币原本受到哈希保护，但由于地址重复使用或特定的托管操作，公钥在链上被二次暴露。其中约 166 万枚 BTC 属于交易所持有的余额，占全部操作性暴露资产的约 40%。

两者的区别：操作性暴露可以修复，把币转到新地址就行；结构性暴露是永久的，P2PK 地址里的币，除非持有者自己转走，否则永远是潜在攻击目标。中本聪的币，几乎可以确定不会被转走。

ECDSA 一旦被攻破，攻击路径清晰得令人不安：扫描链上所有暴露的公钥，计算对应私钥，签名交易，把币转走。最大的目标，中本聪的 110 万枚 BTC，按今天价格超过 900 亿美元，将成为历史上最大的单一资产盗窃案，没有任何人能阻止。

Vitalik 的回应：连逃生舱都可能漏水

Drake 的警告让人警觉，Vitalik 的回应让人真正不安。

面对量子威胁和 AI 威胁，加密行业多年来的标准答案是：切换到「后量子密码学」。这个方案的主力选手是「格密码」（lattice-based cryptography），它的安全性基于格上最短向量问题的计算困难性，被认为是抗量子计算机的。NIST 已经在 2024 年发布了基于格密码的联邦标准（ML-DSA、ML-KEM），以太坊基金会今年 1 月也成立了专门的后量子安全团队。

格密码是整个行业的 Plan B。

但 10 月 7 日，Vitalik 在 X 上说了这样一段话：他认为 AI 驱动的数学研究加速，可能在未来两年内对格密码体系的实际安全性造成「实质性打击」。他用了「good chance」这个措辞，语气远比「不能排除」或「理论上可能」更重。

Vitalik 的逻辑比 Drake 更深一层：AI 在未来两年内推动的数学进展，可能相当于过去 50 年的总和。这种加速下，椭圆曲线（ECDSA 的基础）可能被攻破，格密码的安全性假设同样可能动摇。他的原话：「如果椭圆曲线和格密码背后都藏着'骷髅'，人类可能不够聪明去发现它们，但机器人很快就能。」

换个说法：行业正在为量子计算建造逃生舱（格密码），但这个逃生舱本身也可能被 AI 数学击穿。Plan B 可能比 Plan A 更早失效。

Vitalik 给出的方向：以太坊的技术路线图在过去一年已经逐步转向「纯哈希密码学」（hash-based cryptography），包括用 leanXMSS 替代 BLS 共识签名，以及基于 STARK 的承诺方案。这些方案只依赖哈希函数的安全性，而哈希函数因为缺乏可利用的数学结构，被认为是最耐打的密码学原语。

但他同时强调：「一次搞砸的钱包迁移造成的资产损失，比一个尚未发生的密码学攻击更真实。」残酷的现实是，在加密货币的世界里，用户自己犯错丢币的概率，远高于被密码学攻击偷币的概率。

「掩体模式」：一个理想方案与现实落差

Drake 给出的行动方案看起来直截了当：把资产转移到公钥从未在链上暴露过的新地址，也就是从未签署过任何交易的地址。公钥仍然藏在哈希背后，攻击者拿不到靶子，就无从下手。

具体执行上，他建议分三步走：大型机构和老练的持有者率先行动，做出示范；每次签名交易后，把剩余资金也转移到新地址；整个过程必须缓慢、可控，绝不能恐慌性抢跑。

他点名了 Binance、Robinhood、Bitfinex、Tether 等机构，建议它们考虑强化冷钱包的安全策略。他还提到，要安全退出「掩体模式」，需要等待「后 AI 密码学」（post-AI cryptography）的成熟——一种在 AI 已经成为数学研究主力之后仍然可靠的密码学体系。

方案的逻辑是自洽的，但现实挑战同样清晰。

让数百万用户协调一致地迁移资金，是加密行业从未成功完成过的任务。以太坊的 DAO 分叉算是最大规模的一次社区协调行动，那还只是一条链上的一次代码变更。Drake 要求的是整个行业（比特币、以太坊以及所有依赖 ECDSA 的链）的用户同时改变行为习惯。

对比特币来说，挑战更加结构性。以太坊有基金会推动路线图迭代的传统，但比特币的治理文化极度保守。BIP-360 提案（引入抗量子地址类型）已经在讨论中，但从提案到激活，比特币历史上的每一次软分叉都以年为单位计算。更棘手的是，那些 P2PK 地址里的远古币，包括中本聪的，根本没有人能代为操作。

Drake 自己也承认：「仓促的迁移造成的伤害，会比它试图防止的威胁更大。」

过去，行业一直在问：「量子计算机什么时候到？」，现在，正确的问题应该是：「下一个数学突破什么时候来？」而这个问题的答案，可能比任何人想象的都要快。