AI 或加速密码学攻击？Web3 需未雨绸缪，切忌仓促迁移

近日，关于 AI 可能攻破密码学的讨论在 Crypto 社区引发恐慌。10 月 7 日，Justin Drake 在 X 上呼吁区块链行业冷静规划“Bunker Mode”（堡垒模式），以应对未来可能出现的密码学风险。其核心担忧是，随着 AI 在数学研究上的能力进步，广泛应用于比特币、以太坊等网络的椭圆曲线密码学，可能在真正具备密码破解能力的量子计算机出现前，就遭遇新的数学攻击。

随后，Vitalik Buterin 加入讨论。他并未否认 AI 可能加速密码学研究，甚至提出部分“抗量子”方案也可能受未来数学突破影响。但在普通用户是否应立即迁移资产的问题上，他强调，仓促升级和迁移造成的真实损失，可能比尚未发生的密码学攻击更值得警惕。

一、风险根源：地址与公钥之间并非零距离

要理解讨论焦点，需回到公链账户与签名机制。非托管钱包中，私钥控制资产，钱包通过数字签名算法证明交易获得授权。最典型的是椭圆曲线密码学（ECC）。以太坊普通外部账户（EOA）使用 ECDSA 生成交易签名，比特币传统签名体系广泛使用 ECDSA，Taproot 则采用同一椭圆曲线上的 Schnorr 签名。

这些方案长期可靠运行，依赖一个重要数学假设：从私钥计算公钥很容易，但仅凭公钥反向推导私钥，在已知经典计算方法下几乎不可行。正是这种不对称性，构成区块链资产所有权的重要基础。

但日常看到的“钱包地址”并不总是完整公钥。以太坊 EOA 地址由公钥经 Keccak-256 哈希后截取生成；比特币 P2PKH、P2WPKH 等地址也采用公钥哈希设计。对于从未发起交易、未公开公钥的账户，外界通常只能看到哈希后的地址，公钥相当于多一层保护。但当账户主动发起交易并提交 ECDSA 签名后，节点可根据签名恢复公钥，链上公开记录会持续暴露这部分信息。

这并不意味着所有公链规则相同。例如比特币 Taproot 输出本身包含可见椭圆曲线公钥，即使从未花费，也不能简单认为公钥仍隐藏在哈希之后。地址复用、公开签名、扩展公钥等也可能提前暴露公钥。因此，“没有转出过资产”不等于“公钥没有暴露”，新地址也不天然具备抗量子安全性。

二、Justin 与 Vitalik 无本质分歧，优先级不同

传统密码学体系更迭漫长：从识别风险、制定标准，到工程实现，再到公链、钱包、交易所、托管机构和硬件设备兼容协调，往往需要数年甚至更久。比特币、以太坊体量庞大、协调去中心化，底层升级难以像普通软件一次版本更新完成。Justin 担心的是，这套漫长升级周期可能跟不上未来数学研究突破速度。若 AI 帮助研究者找到新的密码学攻击方法，现有椭圆曲线签名体系可能提前受威胁，迁移窗口可能远比预想短。

因此，他的立足点是防患于未然，建议交易所、大型机构和大额持有人提前盘点已暴露公钥的地址，将部分长期资产有序转移至尚未暴露公钥的新地址，并减少不必要签名和地址复用。但将资金转入新地址，并不等于完成后量子密码学迁移。只要新地址仍使用 ECDSA 等传统签名方案，底层安全假设未根本改变；一旦发起交易，公钥仍可能重新暴露。即便交易广播后、确认前的短暂窗口，也可能成为风险点。

Vitalik 强调的则是现实操作风险。目前通过公开公钥直接恢复 ECDSA 私钥仍缺乏可行实际攻击方法，但链上资产迁移中，地址错误、密钥备份失误、恶意授权等造成的损失每天都在发生。对长期参与 DeFi、质押、跨链交互或多签管理的用户，资产分散在不同网络，旧地址可能拥有合约管理员、资金提取等权限，临时大规模迁移反而可能造成不可逆损失。同时，恐慌情绪还可能催生冒充官方的“抗量子升级”链接、资产保护工具和迁移服务。Vitalik 的谨慎不意味着反对底层升级，他也认为 AI 带来的数学进步值得严肃研究，并提醒重新审视部分格密码学后量子方案。

三、从公链升级到钱包迁移，抗量子准备走到哪一步？

仅靠更新钱包 App 还不足以实现抗量子。区块链密码学升级不仅涉及私钥生成、交易签名，还涉及整个网络能否验证新签名，以及存量账户如何平稳过渡。即使没有此次 AI 讨论，主流公链和密码学研究机构也早已为后量子时代做准备。

以太坊的抗量子准备涉及多个层面。除普通账户 ECDSA 外，验证者共识使用的 BLS 签名、数据可用性相关 KZG 承诺、部分零知识证明系统，都需要未来重新评估或升级。以太坊基金会成立了专门 Post-Quantum Security 研究团队，并探索 leanXMSS、leanVM 等技术，为共识层提供新签名与证明方案。账户层面，账户抽象提供了另一条路径：不同于传统 EOA 签名验证机制与底层协议紧密绑定，账户抽象和可替换签名验证机制，未来有望让用户账户采用不同签名算法，为后量子升级保留空间。仍在讨论中的 EIP-8141 与以太坊原生账户抽象有关，但部署时间和实现方式仍待社区讨论与测试。

比特币因采用 UTXO 模型、历史地址类型复杂、部分早期资产长期休眠，不仅需考虑新签名算法和输出结构，还必须解决大量存量资产迁移问题，相关草案仍处提案和协调阶段。其他公链已有工程落地尝试，例如 NEAR 宣布主网升级支持基于 FIPS 204 的 ML-DSA 后量子签名，为账户提供增加量子安全密钥的能力。但支持某一种后量子签名，并不意味着整条公链及其所有账户、应用和基础设施已完成抗量子迁移。

行业真正难题在于：新密码学方案必须理论安全，还要兼顾签名大小、链上验证成本、节点性能、硬件兼容性，以及大量存量账户平稳过渡。这些协议层变化最终会落到钱包上。对 imToken 等多链非托管钱包而言，未来升级不可能只是简单版本更新：钱包需随公链升级适配新账户与地址类型、密钥管理方式、交易签名及验证机制，还涉及硬件钱包、智能合约账户、多签系统兼容；同时需把复杂底层变化转化为普通用户可理解的操作。用户真正关心的是原地址能否继续使用、是否需创建新账户、助记词和硬件设备是否兼容，以及 Token、NFT、质押资产和 DeFi 头寸如何处理。有些问题可由钱包产品解决，有些必须等待公链协议、智能合约和生态支持。因此，底层安全升级越复杂，用户侧迁移流程越需充分测试，而非临时推出“一键抗量子”入口。

四、普通用户当下应如何行动？

首先，不必仅因这场讨论立即转移所有资产。目前没有证据表明主流公链签名算法已被实际攻破。尤其需警惕借“抗量子升级”名义传播的陌生链接和迁移工具，任何要求导入助记词、私钥或诱导签署不明交易的操作，都应高度警惕。

其次，对于大额、长期持有资产，可开始有意识改善地址管理习惯。例如了解所用公链与地址类型，减少高价值资产地址不必要的重复使用和签名操作。如果确实需要调整资产存储结构，应先确认钱包和网络兼容性，做好密钥备份、核对收款地址，并通过小额测试和分批操作降低迁移风险。

最后，钱包未来是否支持后量子签名，与用户今天是否有必要迁移资产，是两个不同问题。

写在最后

在区块链世界，我们依靠数学与代码构建信任。对于一个希望长期承载数万亿美元资产的开放金融网络，没有人能保证今天足够安全的密码学方案在未来几十年都不需要调整。但这并不意味着每一次前沿研究突破，都需要普通用户立即重新安排资产。密码学研究者需关注最坏可能性，公链开发者需提前设计新安全机制，钱包团队需为未来升级和迁移提供可靠支持，普通用户则需在真正理解风险基础上，避免因未经证实消息仓促决定。不必预设危机已在眼前，也不必低估演进必然。保持清醒，谨慎操作，这是面对未知的最好方式。