AI「挑戰」密碼學？Web3 必須未雨綢繆，但絕不能倉促遷移

作者：imToken

這幾天，關於「AI 可能攻破密碼學」的討論，著實在 Crypto 社群掀起了一波恐慌。

事情起源於 10 月 7 日，Justin Drake 在 X 上呼籲整個區塊鏈行業冷靜地開始規劃「Bunker Mode」（堡壘模式），以應對未來可能出現的密碼學風險。

他的核心擔憂是，隨著 AI 在數學研究上的能力不斷進步，廣泛應用於比特幣、以太坊等網路的橢圓曲線密碼學，可能在真正具有密碼破解能力的量子電腦出現之前，就面臨新的數學攻擊方法。

在他提出的最壞情景中，相關突破甚至可能以「幾個月而非幾年」來衡量，因此建議大型持有人和機構率先考慮有序遷移資產，盡可能降低已暴露公鑰帶來的潛在風險。

隨後，Vitalik Buterin 也加入了討論。

有意思的是，Vitalik 並沒有否認 AI 可能加速密碼學研究，甚至進一步提出，某些被認為能夠抵禦量子攻擊的密碼學方案，也可能受到未來數學突破的影響。

但在普通用戶是否應該立即遷移資產的問題上，他卻強調倉促升級和遷移造成的真實損失，可能比尚未發生的密碼學攻擊更值得眼下警惕。

這也引出一個困擾整個加密行業的長期問題：當保護鏈上資產的底層密碼學假設開始面臨新的挑戰，公鏈需要提前多久準備，普通用戶又應該在什麼時候行動？

一、為什麼會有風險？先看懂「地址」與「公鑰」的距離

要理解這場討論的焦點，首先需要回到公鏈最基礎的帳戶與簽名機制。

眾所周知，在非託管錢包中，私鑰是控制資產的關鍵憑證，具體到技術層面，錢包正是透過數位簽章演算法，在不公開私鑰的情況下，證明一筆交易確實得到了相應密鑰持有者的授權。

其中，最典型的就是橢圓曲線密碼學（ECC）。

以以太坊為例，普通外部帳戶（EOA）使用 ECDSA 生成交易簽名，比特幣的傳統簽名體系同樣廣泛使用 ECDSA，而 Taproot 則採用了基於同一橢圓曲線的 Schnorr 簽名。

這些方案能夠長期可靠運行，依賴一個重要的數學假設：從私鑰計算公鑰非常容易，但僅憑公鑰反向推導私鑰，在目前已知的經典計算方法下幾乎不可行。

我們可以將其理解成一道容易驗證、卻極難逆向求解的數學題，網路上的任何人都可以利用公鑰驗證簽名是否有效，卻無法因此輕易推算出簽名者的私鑰。

正是這種不對稱性，構成了現代區塊鏈資產所有權的重要基礎。

但這裡還有一個容易被忽略的細節，那就是我們日常看到的「錢包地址」，並不總是完整的公鑰。

以以太坊普通 EOA 為例，錢包地址是從公鑰經過 Keccak-256 雜湊計算後，截取其中一部分生成的識別碼，而在比特幣中，P2PKH、P2WPKH 等常見地址類型，也採用了基於公鑰雜湊的設計。

這就形成了一個很有意思的安全差異。

對於一個從未發起過鏈上交易、也沒有透過其他途徑公開公鑰資訊的以太坊普通帳戶，外界通常只能看到經過雜湊處理後的錢包地址，由於現有計算方法難以從地址雜湊反推出完整公鑰，因此公鑰相當於多了一層保護。

但當這個帳戶主動發起交易並提交 ECDSA 簽名後，節點就可以根據簽名資訊恢復對應公鑰，由於鏈上交易記錄長期公開，這部分資訊也會持續暴露在外界面前。

這意味著，對於採用公鑰雜湊地址的帳戶，尚未暴露公鑰與已經暴露公鑰，在面對某些未來密碼學攻擊時，可能具有不同的風險水準。

需要強調的是，這並不意味著所有公鏈都遵循完全相同的規則。

例如，比特幣的 Taproot 輸出本身就包含可見的橢圓曲線公鑰，因此即使一個 Taproot 地址從未主動花費過資金，也不能簡單認為其公鑰仍然隱藏在雜湊函數之後；此外，部分公鑰資訊還可能透過地址重用、公開簽名、擴展公鑰或其他方式提前暴露。

所以，「沒有轉出過資產」並不必然等於「公鑰沒有暴露」，而一個新地址也不天然具有抗量子安全性。

理解了這層差異，再來看量子計算與 AI 帶來的挑戰，就容易多了。

理論上，一台具備足夠規模和糾錯能力的量子電腦，可以利用這一演算法高效解決橢圓曲線離散對數問題，從公鑰推導出私鑰，從而威脅 ECDSA、Schnorr 等簽名體系。

但截至目前，尚無證據表明已經存在能夠實際破解比特幣或以太坊的主流簽名體系的量子電腦。

而 Justin Drake 這次提出的擔憂，就是在量子電腦之外，聚焦 AI 可能幫助人類發現現有數學演算法尚未找到的求解捷徑，尤其是隨著近一年來 AI 在數學推理、演算法搜尋與形式化證明等領域不斷取得進展，一部分研究者開始重新思考，那些經過數十年檢驗的計算困難問題，是否有可能因為新的數學發現而被重新評估？

二、Justin 與 Vitalik 無本質分歧

釐清了底層邏輯，再回頭看 Justin 與 Vitalik 的討論，就會發現兩人的判斷並不完全對立，只是對不同風險賦予了不同的優先順序。

先來看 Justin Drake。

傳統上，密碼學體系的更迭往往是一個漫長的過程。畢竟從識別潛在風險、制定新標準，到完成工程實現，再到公鏈、錢包、交易所、託管機構及硬體設備之間的相容協調，動輒就需要數年甚至更長時間。

更不用說比特幣、以太坊這樣體量龐大、需要廣泛協調的去中心化網路，底層升級通常不可能像普通軟體那樣，透過一次版本更新就完成。

Justin 擔心的恰恰是，這套漫長的升級週期，可能跟不上未來數學研究的突破速度。

譬如將來 AI 真的幫助研究者找到了新的密碼學攻擊方法，那麼即使沒有等到量子電腦具備實用破解能力，現有橢圓曲線簽名體系也可能提前受到威脅。

而一旦這種突破真正出現，留給公鏈和錢包生態的遷移窗口，可能遠比過去預想的短。

因此，他的立足點是防患於未然，強調對於交易所、大型機構以及持有大量資產的用戶，現在就應該開始思考未來的避險路徑。

這包括提前盤點已經暴露公鑰的地址，將部分長期持有的資產有序轉移至尚未暴露公鑰的新地址，並在後續使用中盡量減少不必要的簽名和地址重用。

從技術上講，這種建議確實有其合理性——如果未來的攻擊依賴從公開公鑰推導私鑰，那麼提前降低公鑰暴露面，就可能在特定條件下爭取到更多防禦時間。

但問題在於，將資金轉入尚未暴露公鑰的新地址，並不等於完成了真正的後量子密碼學遷移。

因為只要新地址仍然使用 ECDSA 等傳統簽名方案，其底層安全假設就沒有發生根本改變，一旦使用該地址發起交易，公鑰仍可能重新暴露；如果攻擊能力足夠強，甚至交易廣播後、確認前的短暫窗口，也可能成為新的風險所在。

換句話說，這是一種過渡性的風險緩解手段，而不是能夠一勞永逸解決問題的最終方案。更重要的是，從密碼學角度減少潛在風險，不代表從實際資產管理角度也一定更安全。

這也是 Vitalik 特別強調的地方。

在目前已知的技術條件下，透過公開公鑰直接恢復 ECDSA 私鑰仍然缺乏可行的實際攻擊方法，但鏈上資產遷移過程中，因為地址錯誤、密鑰備份失誤、惡意授權或其他操作問題造成的損失，卻是每天都可能發生的現實風險。

Vitalik 甚至提到，自己因遷移配置失誤遭受的損失，比駭客攻擊造成的損失還要多。

對於只持有少量 ETH 的普通用戶，遷移資產可能只是建立新地址、備份密鑰並發起幾筆轉帳；但對於長期參與 DeFi、質押、跨鏈交互，甚至透過多簽錢包管理資金的用戶，情況就複雜得多。

資產可能分散在不同網路，部分資金仍處於質押或借貸協議中，舊地址還可能擁有智慧合約管理員、資金提取或其他關鍵操作權限。

如果只是因為看到「AI 可能破解錢包」的消息，就臨時進行大規模資產遷移，反而可能因為轉錯網路、誤用跨鏈工具、簽署惡意交易或操作多簽失誤，造成不可逆的損失。

更不用說，一旦市場開始傳播「錢包即將被破解」的恐慌情緒，各種冒充官方的抗量子升級連結、資產保護工具和所謂遷移服務，也可能隨之出現。

值得注意的是，Vitalik 的謹慎，並不意味著他對底層密碼學升級持保守態度。

相反，他同樣認為 AI 帶來的數學進步值得嚴肅研究，甚至提醒行業重新審視部分基於格密碼學的後量子方案，避免因為某種演算法被貼上「抗量子」標籤，就默認它能夠抵禦未來所有數學突破。

在條件允許的情況下，他也傾向於更多考慮基於雜湊函數的密碼學結構，並對其他方案採用更加保守的安全參數。

因此，其實不能把 Justin 和 Vitalik 簡單歸為激進與保守兩派，二人並不存在本質上的深層矛盾。

三、從公鏈升級到錢包遷移：真正的抗量子準備，走到哪一步了？

很多用戶可能會問：既然底層密碼學存在長期風險，錢包能不能直接幫我升級成「抗量子錢包」？

僅靠更新錢包 App 還不夠。

因為對於區塊鏈而言，密碼學升級不僅涉及私鑰如何生成、交易如何簽名，還涉及整個網路是否能夠識別並驗證新的簽名，以及存量帳戶能否平穩過渡。

事實上，即使沒有這次 AI 引發的討論，主流公鏈和密碼學研究機構也早已開始為後量子時代做準備。

還是以以太坊為例，其抗量子準備已經涉及多個層面。

除了普通帳戶使用的 ECDSA，驗證者共識使用的 BLS 簽名、資料可用性相關的 KZG 承諾，以及部分零知識證明系統，都涉及未來需要重新評估或升級的密碼學結構。

以太坊基金會為此成立了專門的 Post-Quantum Security 研究團隊，並探索透過 leanXMSS、leanVM 等技術，為共識層提供新的簽名與證明方案。

而在普通用戶的帳戶層面，帳戶抽象則提供了另一條值得關注的路徑，不同於傳統 EOA 的簽名驗證機制與底層協議緊密綁定，帳戶抽象和可替換的簽名驗證機制，未來有望讓用戶帳戶採用不同的簽名演算法，從而為後量子升級保留更靈活的空間。

例如，目前仍在討論中的 EIP-8141，就與以太坊原生帳戶抽象有關，有望成為未來支援更靈活簽名驗證的重要基礎，不過其具體部署時間和最終實現方式，仍有待社群進一步討論與測試。

相比之下，比特幣面臨的挑戰則有所不同。

由於採用 UTXO 模型，加上歷史地址類型複雜、部分早期資產長期休眠，比特幣不僅需要考慮新的簽名演算法和輸出結構，還必須解決大量存量資產如何遷移的問題，目前社群相關草案仍處於提案和協調階段。

此外其他一些公鏈也已經開始嘗試更直接的工程落地。譬如 NEAR 在 2026 年 7 月宣布，其主網升級已經支援基於 FIPS 204 的 ML-DSA 後量子簽名，為帳戶提供了增加量子安全密鑰的能力。

當然，支援某一種後量子簽名，並不意味著整條公鏈及其所有帳戶、應用和基礎設施，都已經完成了抗量子遷移。

將這些進展放在一起，會發現行業真正面對的難題是多樣化的，不僅包括新的密碼學方案必須在理論上足夠安全，還得兼顧簽名大小、鏈上驗證成本、節點性能、硬體相容性，以及大量存量帳戶能否平穩過渡。

而這些協議層的變化，最終都會落到用戶每天使用的錢包上。

對於 imToken 這樣的多鏈非託管錢包而言，未來的密碼學升級，也不可能只是一項簡單的版本更新：

• 一方面，錢包需要隨著不同公鏈的升級，逐步適配新的帳戶與地址類型、密鑰管理方式、交易簽名及驗證機制，還可能涉及與硬體錢包、智慧合約帳戶、多簽系統之間的相容；
• 另一方面，錢包還需要把複雜的底層技術變化，轉化為普通用戶能夠理解的操作，假設未來某條公鏈正式支援新的後量子簽名方案，用戶真正關心的只是原來的地址還能不能繼續使用，是否需要建立新帳戶，現有助記詞和硬體設備是否相容，以及已經持有的 Token、NFT、質押資產和 DeFi 頭寸該如何處理；

其中有些問題可以透過錢包產品能力逐步解決，有些則必須等待公鏈協議、智慧合約和整個生態提供支援。

這也是為什麼，底層安全升級越複雜，用戶側的遷移流程就越需要經過充分測試，而不是臨時推出一個所謂的「一鍵抗量子」入口。

那現階段，普通用戶究竟應該做什麼？

• 首先，不必僅僅因為這場討論，就立即轉移所有資產，目前沒有證據表明 主流公鏈的簽名演算法已經被實際攻破，尤其需要警惕借「抗量子升級」名義傳播的陌生連結和遷移工具，任何要求導入助記詞、私鑰或誘導簽署不明交易的操作，都應該高度警惕；
• 其次，對於大額、長期持有的資產，可以開始有意識地改善地址管理習慣。 例如，了解自己所使用的公鏈與地址類型，減少高價值資產地址不必要的重複使用和簽名操作，如果確實需要調整資產儲存結構，也應先確認錢包和網路相容性，做好密鑰備份、核對收款地址，並透過小額測試和分批操作降低遷移風險；
• 最後，也是最容易被忽略的一點：錢包未來是否能夠支援後量子簽名，與用戶今天是否有必要遷移資產，是兩個不同的問題；

寫在最後

在區塊鏈的世界裡，我們依靠數學與程式碼構建信任。

站在這個角度，對於一個希望長期承載數萬億美元資產的開放金融網路來說，沒有人能保證今天足夠安全的密碼學方案，在未來幾十年都不需要調整。

但這並不意味著，每一次前沿研究取得突破，都需要普通用戶立即重新安排自己的資產。

密碼學研究者需要關注最壞的可能性，公鏈開發者需要提前設計新的安全機制，錢包團隊需要為未來的升級和遷移提供可靠支援，而普通用戶則需要在真正理解風險的基礎上，避免因為未經證實的消息作出倉促決定。

不必預設危機已在眼前，也不必低估演進的必然，保持清醒，謹慎操作。

對於每一位持幣者而言，這都是面對未知的最好方式。