这几天，关于「AI可能攻破密码学」的讨论，着实在Crypto社区掀起了一波恐慌。事情起源于10月7日，Justin Drake在X上呼吁整个区块链行业冷静地开始规划「Bunker Mode」（堡垒模式），以应对未来可能出现的密码学风险。
01. 讨论的起点：Justin Drake的“堡垒模式”
他的核心担忧是，随着AI在数学研究上的能力不断进步，广泛应用于比特币、以太坊等网络的椭圆曲线密码学，可能在真正具有密码破解能力的量子计算机出现之前，就面临新的数学攻击方法。
| 维度 | 内容 |
|---|---|
| 最坏情景 | 相关突破甚至可能以 “几个月而非几年” 来衡量 |
| 建议 | 大型持有人和机构率先考虑有序迁移资产，尽可能降低已暴露公钥带来的潜在风险 |
Vitalik的回应
随后，Vitalik Buterin也加入了讨论。
有意思的是，Vitalik并没有否认AI可能加速密码学研究，甚至进一步提出，某些被认为能够抵御量子攻击的密码学方案，也可能受到未来数学突破的影响。
但在普通用户是否应该立即迁移资产的问题上，他却强调：
仓促升级和迁移造成的真实损失，可能比尚未发生的密码学攻击更值得眼下警惕。
这也引出了一个困扰整个加密行业的长期问题：当保护链上资产的底层密码学假设开始面临新的挑战，公链需要提前多久准备，普通用户又应该在什么时候行动？
02. 为什么会有风险？先看懂“地址”与“公钥”的距离
基础机制
在非托管钱包中，私钥是控制资产的关键凭证，具体到技术层面，钱包正是通过数字签名算法，在不公开私钥的情况下，证明一笔交易确实得到了相应密钥持有者的授权。
| 方案 | 应用 |
|---|---|
| ECDSA | 以太坊普通外部账户、比特币传统签名体系 |
| Schnorr签名 | 比特币Taproot |
这些方案能够长期可靠运行，依赖一个重要的数学假设：从私钥计算公钥非常容易，但仅凭公钥反向推导私钥，在目前已知的经典计算方法下几乎不可行。
一个容易被忽略的细节
我们日常看到的“钱包地址”，并不总是完整的公钥。
| 公链 | 地址设计 |
|---|---|
| 以太坊EOA | 从公钥经过Keccak-256哈希计算后，截取其中一部分生成 |
| 比特币P2PKH、P2WPKH | 采用基于公钥哈希的设计 |
安全差异
| 状态 | 风险水平 |
|---|---|
| 从未发起过链上交易、未公开公钥信息的账户 | 外界通常只能看到经过哈希处理后的钱包地址，公钥相当于多了一层保护 |
| 主动发起交易并提交ECDSA签名的账户 | 节点可以根据签名信息恢复对应公钥，由于链上交易记录长期公开，这部分信息也会持续暴露 |
⚠️ 需要强调的是：这并不意味着所有公链都遵循完全相同的规则。
| 例外情况 | 说明 |
|---|---|
| 比特币Taproot | 输出本身就包含可见的椭圆曲线公钥，即使从未主动花费过资金，也不能简单认为其公钥仍然隐藏在哈希函数之后 |
| 其他暴露方式 | 部分公钥信息还可能通过地址复用、公开签名、扩展公钥等方式提前暴露 |
所以，“没有转出过资产”并不必然等于“公钥没有暴露”，而一个新地址也不天然具有抗量子安全性。
03. 量子计算与AI带来的挑战
量子计算的威胁
理论上，一台具备足够规模和纠错能力的量子计算机，可以利用这一算法高效解决椭圆曲线离散对数问题，从公钥推导出私钥，从而威胁ECDSA、Schnorr等签名体系。
但截至目前，尚无证据表明已经存在能够实际破解比特币或以太坊主流签名体系的量子计算机。
AI带来的新变量
而Justin Drake这次提出的担忧，就是在量子计算机之外，聚焦AI可能帮助人类发现现有数学算法尚未找到的求解捷径。
尤其是随着近一年来AI在数学推理、算法搜索与形式化证明等领域不断取得进展，一部分研究者开始重新思考：那些经过数十年检验的计算困难问题，是否有可能因为新的数学发现而被重新评估？
04. Justin与Vitalik无本质分歧
澄清了底层逻辑，再回头看Justin与Vitalik的讨论，就会发现两人的判断并不完全对立，只是对不同风险赋予了不同的优先级。
Justin Drake的立足点：防患于未然
传统上，密码学体系的更迭往往是一个漫长的过程。从识别潜在风险、制定新标准，到完成工程实现，再到公链、钱包、交易所、托管机构及硬件设备之间的兼容协调，动辄就需要数年甚至更长时间。
Justin担心的恰恰是，这套漫长的升级周期，可能跟不上未来数学研究的突破速度。
| 建议 | 说明 |
|---|---|
| 提前盘点 | 已经暴露公钥的地址 |
| 有序转移 | 将部分长期持有的资产转移至尚未暴露公钥的新地址 |
| 减少暴露 | 在后续使用中尽量减少不必要的签名和地址复用 |
⚠️ 但问题在于：将资金转入尚未暴露公钥的新地址，并不等于完成了真正的后量子密码学迁移。
因为只要新地址仍然使用ECDSA等传统签名方案，其底层安全假设就没有发生根本改变，一旦使用该地址发起交易，公钥仍可能重新暴露。
换句话说，这是一种过渡性的风险缓解手段，而不是能够一劳永逸解决问题的最终方案。
Vitalik的强调：真实损失可能更大
在目前已知的技术条件下，通过公开公钥直接恢复ECDSA私钥仍然缺乏可行的实际攻击方法，但链上资产迁移过程中，因为地址错误、密钥备份失误、恶意授权或其他操作问题造成的损失，却是每天都可能发生的现实风险。
Vitalik甚至提到，自己因迁移配置失误遭受的损失，比黑客攻击造成的损失还要多。
| 用户类型 | 迁移复杂度 |
|---|---|
| 只持有少量ETH的普通用户 | 创建新地址、备份密钥并发起几笔转账 |
| 长期参与DeFi、质押、跨链交互，甚至通过多签钱包管理资金的用户 | 资产可能分散在不同网络，部分资金仍处于质押或借贷协议中，旧地址还可能拥有智能合约管理员、资金提取或其他关键操作权限 |
如果只是因为看到“AI可能破解钱包”的消息，就临时进行大规模资产迁移，反而可能因为转错网络、误用跨链工具、签署恶意交易或操作多签失误，造成不可逆的损失。
更不用说，一旦市场开始传播“钱包即将被破解”的恐慌情绪，各种冒充官方的抗量子升级链接、资产保护工具和所谓迁移服务，也可能随之出现。
Vitalik的谨慎不等于保守
值得注意的是，Vitalik的谨慎，并不意味着他对底层密码学升级持保守态度。
相反，他同样认为AI带来的数学进步值得严肃研究，甚至提醒行业重新审视部分基于格密码学的后量子方案，避免因为某种算法被贴上“抗量子”标签，就默认它能够抵御未来所有数学突破。
在条件允许的情况下，他也倾向于更多考虑基于哈希函数的密码学结构，并对其他方案采用更加保守的安全参数。
因此，其实不能把Justin和Vitalik简单归为激进与保守两派，二人并不存在本质上的深层矛盾。
05. 真正的抗量子准备，走到哪一步了？
很多用户可能会问：既然底层密码学存在长期风险，钱包能不能直接帮我升级成“抗量子钱包”？
仅靠更新钱包App还不够。
因为对于区块链而言，密码学升级不仅涉及私钥如何生成、交易如何签名，还涉及整个网络是否能够识别并验证新的签名，以及存量账户能否平稳过渡。
以太坊的抗量子准备
| 层面 | 涉及内容 |
|---|---|
| 普通账户 | ECDSA |
| 验证者共识 | BLS签名 |
| 数据可用性 | KZG承诺 |
| 零知识证明 | 部分系统 |
| 研究团队 | 以太坊基金会成立了专门的 Post-Quantum Security 研究团队 |
| 技术探索 | leanXMSS、leanVM等 |
| 账户层面 | 账户抽象和可替换的签名验证机制，未来有望让用户账户采用不同的签名算法 |
| 相关提案 | EIP-8141，与以太坊原生账户抽象有关 |
比特币的挑战
由于采用UTXO模型，加上历史地址类型复杂、部分早期资产长期休眠，比特币不仅需要考虑新的签名算法和输出结构，还必须解决大量存量资产如何迁移的问题，目前社区相关草案仍处于提案和协调阶段。
其他公链的尝试
譬如NEAR在2026年7月宣布，其主网升级已经支持基于FIPS 204的ML-DSA后量子签名，为账户提供了增加量子安全密钥的能力。
⚠️ 当然，支持某一种后量子签名，并不意味着整条公链及其所有账户、应用和基础设施，都已经完成了抗量子迁移。
06. 钱包面临的挑战
对于imToken这样的多链非托管钱包而言，未来的密码学升级，也不可能只是一项简单的版本更新：
| 层面 | 挑战 |
|---|---|
| 协议适配 | 钱包需要随着不同公链的升级，逐步适配新的账户与地址类型、密钥管理方式、交易签名及验证机制，还可能涉及与硬件钱包、智能合约账户、多签系统之间的兼容 |
| 用户体验 | 钱包还需要把复杂的底层技术变化，转化为普通用户能够理解的操作 |
| 用户真正关心的 | 原来的地址还能不能继续使用，是否需要创建新账户，现有助记词和硬件设备是否兼容，以及已经持有的Token、NFT、质押资产和DeFi头寸该如何处理 |
这也是为什么，底层安全升级越复杂，用户侧的迁移流程就越需要经过充分测试，而不是临时推出一个所谓的“一键抗量子”入口。
07. 现阶段，普通用户究竟应该做什么？
| 建议 | 说明 |
|---|---|
| 不必立即转移所有资产 | 目前没有证据表明主流公链的签名算法已经被实际攻破，尤其需要警惕借“抗量子升级”名义传播的陌生链接和迁移工具 |
| 改善地址管理习惯 | 对于大额、长期持有的资产，可以开始有意识地了解自己所使用的公链与地址类型，减少高价值资产地址不必要的重复使用和签名操作 |
| 谨慎操作 | 如果确实需要调整资产存储结构，也应先确认钱包和网络兼容性，做好密钥备份、核对收款地址，并通过小额测试和分批操作降低迁移风险 |
| 区分两个问题 | 钱包未来是否能够支持后量子签名，与用户今天是否有必要迁移资产，是两个不同的问题 |
08. 写在最后
在区块链的世界里，我们依靠数学与代码构建信任。
站在这个角度，对于一个希望长期承载数万亿美元资产的开放金融网络来说，没有人能保证今天足够安全的密码学方案，在未来几十年都不需要调整。
但这并不意味着，每一次前沿研究取得突破，都需要普通用户立即重新安排自己的资产。
| 角色 | 需要做的事 |
|---|---|
| 密码学研究者 | 关注最坏的可能性 |
| 公链开发者 | 提前设计新的安全机制 |
| 钱包团队 | 为未来的升级和迁移提供可靠支持 |
| 普通用户 | 在真正理解风险的基础上，避免因为未经证实的消息作出仓促决定 |
不必预设危机已在眼前，也不必低估演进的必然，保持清醒，谨慎操作。
对于每一位持币者而言，这都是面对未知的最好方式。
