Heute fordere ich die Blockchain-Branche auf, ruhig mit der Planung für den „Bunker-Modus“ zu beginnen. Meine persönliche Empfehlung ist, eine kontrollierte Massenmigration von Vermögenswerten zu frischen Adressen in Gang zu setzen, d. h. Adressen, deren Pubkeys hinter einem Hash verborgen bleiben. Inhaber, beginnend mit großen und erfahrenen, sollten in Erwägung ziehen, den Großteil ihrer Gelder auf Adressen zu verschieben, die noch nie eine Transaktion signiert haben. Und wenn sie eine signieren, sollten sie auch verbleibende Gelder auf eine neue Adresse verschieben (möglicherweise generiert aus derselben seed phrase). Eilen Sie nicht. Zwar bin ich der Ansicht, dass Handlungsbedarf besteht, aber eine überstürzte Migration würde mehr schaden als nützen. Panik ist ebenfalls unangebracht. Das Verschieben von Vermögenswerten an geschützte Adressen ist ein einfacher, präventiver Schritt, der keine neue Kryptographie oder neue wallets erfordert. Meiner Meinung nach ist es jetzt vernünftig, sich auf die Möglichkeit einzustellen, dass ECDSA vor dem Q-Day bricht, im Worst-Case in Monaten statt in Jahren. Mit „brechen“ meine ich eine schnelle private key-Wiederherstellung (z. B. in einer Woche) auf verfügbarer Hardware (z. B. einem großen GPU-Cluster). Die letzten Tage waren demütigend für die menschliche mathematische Intuition. Lange gehegte, unbestrittene Hypothesen sind gefallen. Dazu gehören die n log(n)-Schranke für die ganzzahlige Multiplikation und die 3SUM-Vermutung. Im Nachhinein war die unerwartete Widerlegung der Erdős-Einheitsdistanz-Vermutung im Mai unser Warnschuss. Der gestrige OpenAI-Drop hat deutlich gemacht, dass mathematische Superintelligenz da ist. Man sagt, es gibt Wochen, in denen Jahrzehnte passieren. Wir sind im Begriff, Wochen zu erleben, in denen Jahrhunderte des mathematischen Fortschritts passieren. Könnten unsere magischen 64-Byte-ECDSA-Signaturen zu schön sein, um wahr zu sein? War es all die Zeit nur Sicherheit durch Unklarheit? Elliptische Kurven fühlen sich besonders anfällig für Superintelligenz an. Kurven haben eine reichhaltige Struktur mit Platz für ausgefallene Tricks wie Schoof, Frobenius, Pairings. (Im Gegensatz dazu sind Hashes darauf ausgelegt, die algebraische Struktur zu minimieren.) Abgesehen davon kann ein effizienter Quantenalgorithmus, wie Ewin Tang bestätigen kann, manchmal einen effizienten klassischen vorwegnehmen. Wir sollten offen sein für die Möglichkeit eines klassischen Pendants zu Shor, das elliptische Kurven und RSA auf einmal bricht. Bemerkenswert ist auch die auffällige Unterrepräsentation von kryptographischen Durchbrüchen unter den 722 mathematischen Ergebnissen, die OpenAI veröffentlicht hat. Ich habe aus erster Hand miterlebt, wie die US-Regierung akademische Quantenkryptanalyse-Ergebnisse zensiert hat. Interventionspolitik im Hinterzimmer ist mein Basis-Szenario. Ich fordere große, erfahrene Akteure auf, mit gutem Beispiel voranzugehen. Die „Risq List“ von Project11 (bitcoin-risq-list.projecteleven[.]com) ist ein großartiger Tracker für offengelegte BTC-Pubkeys. Binance, Bitbank, Robinhood, Bitfinex und Tether haben die Möglichkeit, ihre cold storage zu härten. Nächsten Monat werde ich in London in einer Live-Fragerunde zu Institutionen sprechen (forum.ethereuminstitutional[.]org/london-2026). Nochmals, bitte überstürzen Sie nichts. Wallets, die weniger als 50 BTC halten, genießen teilweisen Schutz durch „Satoshis Schild“, d. h. seine 20.000 offengelegten Adressen, die jeweils 50 BTC halten. Tragende Signierer wie Oracles und L2-Sicherheitsräte sollten in Erwägung ziehen, ECDSA-Pubkeys bei jeder signierten Nachricht zu rotieren und/oder mit hash-basierten Schemata wie SPHINCS multi zu signieren. Das sichere Verlassen des Bunker-Modus erfordert Post-AI-Kryptographie. Meine Neigung geht dahin, voll auf hash-basierte Kryptographie zu setzen und strukturierte mathematische Annahmen gänzlich zu vermeiden, egal ob von Kurven, Gittern oder Isogenien. Ein einzelner kampferprobter Hash (z. B. aus den SHA- oder BLAKE-Familien) liefert eine plausible Post-AI-Sicherheit. Die Ethereum-Roadmap auf strawmap[.]org befürwortet die hash-basierte Kryptographie mit durchgehender formaler Verifikation als Reaktion auf die Quantenbedrohung voll und ganz. Diese Zeitpläne müssen nun im Licht der mathematischen Superintelligenz überarbeitet und beschleunigt werden. Ich werde mich für eine maximale defensive Beschleunigung einsetzen.

— Justin Drake (@drakefjustin) 7. Oktober 2026

Ich empfehle niemandem, sich heute zu beeilen, seine Gelder in neue wallets zu verschieben. Aber wir sollten die Risiken für die Kryptographie durch AI-beschleunigte Mathematik ernst nehmen und unsere Exposition nicht nur gegenüber quantum-anfälliger Kryptographie minimieren, sondern auch gegenüber potenziell AI-anfälliger Kryptographie. Der neue Kernbereich des Risikos aus dieser Sicht ist leider ML-DSA / FHE / Gitter. (und es ist auch ein weiterer Grund neben Quanten, warum ECDSA noch schneller als erwartet fallen könnte, daher die Empfehlung bezüglich der „frischen Adresse“) Bisher befanden sich die meisten Menschen in dem Modus zu denken: „elliptische Kurven gebrochen, Hashes sicher, Gitter sicher“. Aber es besteht eine gute Chance, dass die konkrete Sicherheit von Gittern durch die nächsten zwei Jahre der AI-Mathematik schwere Rückschläge erleidet. Das grundlegende Bedrohungsmodell ist: Faktorisierung ist etwas, das naiv 2^(n/2) Zeit beansprucht, aber über Jahrzehnte hinweg haben kluge Köpfe Zahlensieb-Verfahren gefunden und optimiert und dies auf 2^O(n^(1/3)) reduziert, weshalb RSA-Keys und -Signaturen ~400 Byte groß sein müssen (und nicht 64 Byte). Was, wenn es Leichen im Keller wie diese gibt, sowohl für elliptische Kurven als auch für Gitter, die wir einfach nicht klug genug sind zu entdecken, aber Bots bald sein werden? Dies ist ein Hauptgrund dafür, warum die schlanke Roadmap von Ethereum im vergangenen Jahr die „Hash-only“-Richtung eingeschlagen hat: keine Gitter, kein ML-DSA, kein Falcon, keine gitterbasierten Commitments innerhalb von ZK-Proofs usw. Signaturen in Lean Ethereum sind alle hash-basiert, entweder WOTS oder SPHINCS-. Für Signaturen und Proofs wissen wir bereits, wie man Hash-only vorgeht. Die größere Herausforderung besteht bei der *Public-Key-Verschlüsselung* – und das geht weit über Blockchains hinaus. Sichere Kommunikation, Anonymisierungsprotokolle, viele Dinge erfordern Public-Key-Verschlüsselung. Und leider gibt es seit langem bestehende mathematische Theoreme, die zeigen, warum Public-Key-Verschlüsselung nicht allein mit Hashes durchgeführt werden kann. Man muss eine Art Falltür-Objekt haben, das mindestens eine Form von nutzbarer „Struktur“ aufweist – entweder Gruppentheorie (inkl. Isogenien) oder Gitter oder code-basierte oder potenziell in Zukunft noch neuartige und unheimliche Dinge (lokales Mischen?). Aber bei allem, was eine Struktur hat, sollte man davon ausgehen, dass AI zumindest einige Fortschritte bei der Zerstörung dieser Struktur machen wird. Hier ist eine vernünftige Schlussfolgerung: Wenn Sie etwas plausibel langfristig sicher machen wollen, multiplizieren Sie die key-Größen mit 10. Für mich ist das eine sehr plausible Welt und etwas, das keineswegs extrem zu prognostizieren ist. Wenn AI uns in zwei Jahren 50 Jahre Mathematik bringt, dann kann diese 50 Jahre Mathematik sehr plausibel eine Verbesserung auf „naive Faktorisierung -> GNFS“-Niveau unserer Fähigkeit beinhalten, Gitter zu brechen. In dieser Welt werden Gitter immer noch existieren, aber sie müssen deutlich größer sein, um dasselbe Sicherheitsniveau zu garantieren. Und bei diesen neuen, größeren Größen werden hash-basierte Konstruktionen gitterbasierte Konstruktionen in Bezug auf die konkrete Effizienz in jedem Anwendungsfall schlagen, in dem hash-basierte Konstruktionen überhaupt möglich sind. Theoretisch ist es natürlich möglich, dass auch Hashes gebrochen werden (z. B. P = NP würde das implizieren). Aber ich halte P = NP für sehr unwahrscheinlich. Und intuitiv ist es viel wahrscheinlicher, dass ein mathematisches Objekt exakt keine ausnutzbare Struktur hat (wie Hashes es beabsichtigen), als dass ein mathematisches Objekt exakt ~3 Formen ausnutzbarer Struktur hat (für elliptische Kurven: Assoziativität, Schoof, Pairings) und nicht irgendeine geheime vierte Strukturform, die wir noch nicht entdeckt haben, welche ihre Sicherheit stark beeinträchtigt (für elliptische Kurven, ECDLP- und Pairing-Sicherheit). Ähnliches gilt für LWE, SVP, RLWE und den Zoo der Gitterprobleme. Aus diesem Grund sehen wir noch keinen Grund zur Sorge, die Byte-Größe von Hashes aufzufüllen (wenn wir uns mehr Sorgen machen würden, würden wir zuerst die Rundenanzahl auffüllen, bevor wir etwas an der Byte-Größe ändern). Konkretes TLDR, meine eigenen persönlichen Ansichten: * Hash-basierte > gitterbasierte, in jenen Situationen, in denen hash-basierte überhaupt möglich sind * Seien Sie bei allem Gitterbasierten viel paranoider bei den Parametergrößen. Denken Sie daran, dass Blockchains nur einen kleinen Teil der Kryptographie-Geschichte ausmachen; dieser Punkt geht weit über Blockchains hinaus und gilt z. B. für den Zugriff auf Websites, sicheres Messaging, Tor / VPNs ... * Bevorzugen Sie für Datenschutzprotokolle dringend, KEINE verschlüsselten Notizen onchain zu platzieren. Senden Sie sie stattdessen über einen Drittanbieter-Mechanismus offchain. * Wenn es für Sie nicht schwierig ist, ist es eine gute Idee, Ihre Gelder in Adressen zu belassen, die noch nicht zum Tätigen einer Transaktion verwendet wurden. Wenn es für Sie einfach ist, tun Sie es. **Aber seien Sie vorsichtig bei Migrationen; ich persönlich habe bei verpatzten Migrationen mehr Geld verloren, als ich in allen Hacks zusammen verloren habe**. * Bei multisig wallets ist es besser, Bestätigungen offchain statt onchain durchzuführen, da auf diese Weise die Signaturen von Signierer-wallets nicht an die Öffentlichkeit gelangen. Wenn ECDSA also der AI viel schneller als erwartet zum Opfer fällt, „degradiert“ das multisig zumindest „anmutig“ zu einem 1-von-1, wobei die 1 derjenige ist, der die Signaturen sammelt – ein viel besserer Ort als „jeder kann das Geld nehmen“ https://t.co/oVjwZog2lL

— vitalik.eth (@VitalikButerin) 7. Oktober 2026

NEUESTE MELDUNG: Mit der US-Regierung verknüpfte wallets haben 12.267 BTC (1,01 Milliarden USD) von einer Bitfinex-Hack-Beschlagnahmungs-wallet auf neue, nicht markierte Adressen verschoben. Es wurde keine Börseneinzahlung verzeichnet, was eher auf ein Umschichten der wallet als auf einen Verkauf hindeutet. https://t.co/21hgXAO5HQ

CoinDesk (@CoinDesk) 8. Oktober 2026

🇪🇺 REGULIERUNG: EU-Kryptofirmen haben von der ESMA eine Frist bis zum 8. Januar erhalten, um ihr Engagement in nicht MiCA-konformen stablecoins abzuwickeln. https://t.co/29VBDKcMS2

– Cointelegraph (@Cointelegraph) 8. Oktober 2026