Dragonfly 合伙人 hosseeb 在一篇由 Foresight News 编译、PANews 发布的文章中提出，随着 AI 在数学研究上的推进，密码学可能成为下一个被集中攻克的目标。文章称，两天前，OpenAI 一次性放出 722 篇数学手稿，并将其称为「数学史上最重要的时刻」；一些困扰数学家一个多世纪的基础难题被连续攻破，而每道题只用了 3 小时算力。
文章援引 Scott Aaronson 的说法称，OpenAI 已把目光投向破解密码学。作者认为，加密行业需要正面讨论一种「数学末日」情景：如果超级智能 AI 集群开始针对基础密码学，区块链该如何应对。
讨论的不是量子计算，而是意外的数学突破
文中先区分了两类风险。其一是 AI 加速量子计算进程，但作者认为，量子计算仍依赖大量物理工程，不可能在一夜之间完成，推进过程也相对可见，因此行业虽然需要为量子时代做准备，但路径较为明确。
文章真正担心的是另一种情况：出现某种意料之外的数学突破，直接推翻经典密码学的基础假设，让普通计算机也能计算离散对数，进而攻破现代公钥密码学。作者将这种后果描述为一场「生存级的灾难」。
文中提到，Matthew Green 在 10 月 8 日回复 @kmad 和 @matthew_pines 时表示：「我觉得我们可能会失去公钥密码学。」
「地堡模式」为何不足以解决问题
Justin Drake 在 10 月 7 日提出，区块链行业应冷静规划「地堡模式」。按他给出的建议，资产应有控制地迁移到新地址，也就是公钥仍隐藏在哈希之后的地址。文章认为，这种思路本质上是在提醒用户先保护自己的代币资产。
但作者指出，问题不在于是否存在尾部风险，而在于如果风险成立，行业该如何应对。文中假设，公钥密码学存在根本弱点的概率为 5%，也就是有 95% 的概率一切正常。即便如此，这样的安全水平仍不足以让密码学家接受，因为密码学通常要求失败概率低到 2^-128 量级，而不是「大概率不会失败」。
文章还反驳了一种常见说法：如果 ECDSA 被攻破，银行、TLS 和证书机构面临的问题会更大，区块链反而不是最需要担心的部分。作者认为，这并不能构成安慰，因为银行、TLS 和证书机构可以重新做 KYC，也可以切换到新的密码学标准；而区块链一旦失去公钥密码学支撑，最坏情况下任何人都能算出别人的密钥、拿走别人的钱，系统将无法证明资产归属，链本身也失去恢复基础。
在作者看来，单个用户把资产转到新地址，也许能暂时自保，但如果整条链陷入失效，个人地址是否安全并不能改变资产整体价值受损的结果。「地堡模式」保护的是不动的币，可一旦全链崩溃，个人安全也难以转化为系统安全。
作者主张把风险演练前置到治理层
文章认为，过去行业对密码学的信心，建立在一套缓慢的社会过程之上：密码学家会用数年时间尝试攻击某种结构，如果多年未被攻破，行业才逐步建立信任；十年后，相关方案才会被视为几乎可靠，并进入生产环境。与此同时，攻击手段也会持续进步，旧方案最终仍要被更好的方案替代。
作者称，这种节奏过去对区块链尚可接受，因为迁移可以花几年，社会共识也能跟上密码学变化。但在 AI 可能带来数量级提升的密码分析能力后，这一前提正在动摇。文中写道，全球真正合格的密码分析者大概只有几千人，而这个数量可能在 AI 作用下暴增几个数量级。过去 40 年人类在密码分析上的积累，未来可能在几个月甚至一夜之间被 AI 大幅推进。
基于这一判断，作者提出，区块链治理不能继续沿用和平时期的节奏，而要进入「密码学战时」状态。文中给出三点主张：
- 危机中，速度比去中心化更重要。能快速协调的链会占优势，治理机制需要尽快调整，即便这意味着放宽决策规则，或给予验证者更多权力。
- 整个生态必须全体动员。协议开发者之外，钱包、交易所、RPC 提供商、应用、资产发行方和终端用户都需要同步行动。
- 计划必须提前制定。如果等到系统已经出问题才开始讨论，时间将不够用。
文章称，市场会关注哪些链认真对待这一问题，作者本人也已收到大型投资者的询问，对方希望知道行业是否已有应对方案。
Vitalik 反对恐慌式迁移
对于是否应立即推动用户迁移资产，文章援引 Vitalik 在 10 月 8 日的表态称：「我不建议任何人今天急着把资金转到新钱包。但我们应该认真对待 AI 加速数学给密码学带来的风险，并尽量减少我们对不仅是量子脆弱型密码学、还有可能 AI 脆弱型密码学的暴露。」
作者认同这一判断，认为如果鼓励用户恐慌迁移，仓促操作造成的损失，可能比 ECDSA 密钥被截获的现实风险更大。文章同时指出，「最重要的是大家别慌」也不足以构成完整答案，行业需要更直接地说明风险，并推动系统层面的准备工作。
作者把这种状态类比为冷战时期的民防演习。对多数人来说，演习本身未必能直接解决问题，但它能让整个社会真正理解风险严重性，并推动政治和制度层面的准备。文中提到古巴导弹危机以及斯坦尼斯拉夫·彼得罗夫的故事，以说明极端风险的概率并非为零。
「密码学恢复模式」的设想
文章提出，每条主要区块链都应尽快上线一套「密码学恢复模式」，作为最坏情况下启用的预案。作者给出的思路包括以下几个部分。
首先，在下一次协议升级中，加入一套全新的、极其简单的基于哈希的公钥系统。文中认为，基于哈希的签名依赖的密码学假设通常最少，因此适合作为极简备用方案。作者同时承认，这套方案会很慢、很贵、使用体验也很差，链在启用后会变得非常迟缓，DeFi 基本瘫痪，但至少技术上仍可运行。
其次，所有用户都应使用这套签名方案创建一个备用密钥，并在普通地址与基于哈希的备用密钥之间建立关联。起初这一要求可以是可选的，几个月后转为强制。强制执行后，如果用户尚未设置基于哈希的备用密钥，就不能再用 ECDSA 密钥签署新交易，交易会直接失败。
文章还设想，交易所和钱包也要同步推进这一过程。比如 Coinbase、Metamask、Ledger 在发现用户没有备用密钥时，应在签名前提示创建。这样一来，整个生态都会拥有一套备用路径，而平时仍继续使用 ECDSA。
再次，链上需要预设一个紧急开关。一旦 AI 发现 ECDSA 的漏洞，验证者可以在无需再次协议升级的情况下，仅通过表态投票启动危机模式。开关触发后，所有地址都进入密码学恢复模式，ECDSA 被视为彻底失效。
恢复阶段如何处理未迁移地址
文章认为，进入恢复模式后，链会变得极难使用，但至少仍能维持技术上的运行。此后，开发者需要评估损害范围、判断哪些密码学工具仍然可用，并研究如何过渡到一条性能更可接受的新链。作者强调，在这种安排下，至少每个人的余额仍有机会保持安全，也存在恢复路径。
对于那些没有提前迁移的地址，文章给出两类设想。
第一类是仍持有助记词的用户。文中称，这类用户可以生成助记词的基于哈希的零知识证明，类似 @VitalikButerin 在 2024 年的提议，再为自己分配一个新的基于哈希地址。如果原地址从未签过任何交易，也就是 Justin Drake 所说的「地堡模式」，那么用零知识证明恢复会相对简单。
第二类是无法走上述路径的用户。作者设想，这类地址的恢复需要同时满足两个条件：既要生成 ECDSA 签名，又要解出一道工作量证明的哈希难题，才能解锁地址并转移资产。难题难度会根据地址中持有的原生代币数量调整。文中举例称，如果地址持有 100 ETH，难度就是 100N。
同时，这个 N 会按时间指数增长：1 天后是 100N，2 天后是 200N，然后 400N、800N。验证者可以根据漏洞形态和风险建模结果，投票限制 N 或限制其增长速度。作者称，留给用户的窗口期也许是几个月，也可能只有几小时。
文章进一步解释，在真实攻击场景中，这会变成一场赛跑。如果有人找到高效破解 ECDSA 密钥的方法，攻击者必须先破解密钥，再完成工作量证明；而真正的所有者只需要完成工作量证明，因此理论上速度会更快。这会提高大规模盗窃的难度。一旦发现大规模盗窃，验证者还可以大幅提高难度增长速度，阻止更多资金流出；如果情况彻底失控，也可以把难度提高到无穷大，永久冻结所有脆弱资产。
作者称方案仍不完善，但行业需要尽快形成共识
作者承认，这一设想遗漏了许多关键细节，而且自己既不是密码学家，也不是协议设计者。不过他认为，类似机制应尽快在每条区块链上落地。随着数学领域变化加快，市场很快就会要求各链拿出备用恢复方案，而且必须提前形成共识，避免真正出事时还在争论如何过渡。
文中还指出，不应为了追求完美而拖延行动。如果 OpenAI 已在推进相关研究，没人知道意外的密码学突破会在多久后出现。密码学恢复模式的第一版可以很粗糙，后续再逐步完善。作者补充称，如果突然出现量子突破，这套机制同样适用，但它最主要针对的仍是底层密码学被根本性攻破的情形。
「没有什么可以一劳永逸」
文章最后提到，作者几周前曾主张 Zcash 应完成后量子迁移后不再改动，但现在收回这一说法。原因是，在数学基础仍处于剧烈变化中的阶段，没有任何方案可以被视为一劳永逸。
作者认为，也许几年后，行业会对密码学根基重新建立更强信心；但在当下，系统必须反应更快，更信任协议团队的判断，也更诚实地面对现实取舍。文章最后写道，大概率什么都不会发生，AI 可能投入海量算力后得出的结论仍是现有密码学足够安全；但行业必须确保，即便在最坏情况下，区块链依然安全。
