今天，我呼吁区块链行业冷静地开始规划“地堡模式”。我的个人建议是，启动资产向新地址（即公钥仍然隐藏在哈希之中的地址）的可控大规模迁移。 持有者（首先是大型且成熟的持有者）应考虑将大部分资金转移到从未签署过交易的地址。当他们确实签署交易时，也应将剩余资金转移到新地址（可能由同一个助记词生成）。 不要着急。虽然我认为有必要采取行动，但仓促迁移只会弊大于利。也不要恐慌。将资产转移到受保护的地址是一个简单的预防步骤，不需要新的密码学或新的钱包。 依我之见，现在有理由为 ECDSA 在 q-day 之前遭到破解的可能性做好准备，最坏情况下会在几个月而非几年内发生。这里所说的“破译”是指在可用硬件（例如大型 GPU 集群）上快速恢复私钥（例如在一周内）。 最近几天，人类的数学直觉备受打击。长期以来未曾动摇、毋庸置疑的假设已经破灭。这包括整数乘法的 n log(n) 界限以及 3SUM 猜想。事后看来，5 月份对埃尔德什单位距离猜想（Erdős unit distance conjecture）的意外反驳就是我们的警告信号。 昨天 OpenAI 的发布表明，数学超智能已经降临。他们说，某些周里会发生几十年的事。我们将亲历某些周里发生几个世纪数学进步的时期。难道我们神奇的 64 字节 ECDSA 签名好得不真实吗？难道这一切一直都只是通过隐蔽性来达到安全吗？ 椭圆曲线似乎特别容易受到超智能的攻击。曲线蕴含丰富的结构，有容纳诸如 Schoof、Frobenius、配对等花哨技巧的空间。（相比之下，哈希旨在最小化代数结构。） 另外，正如 Ewin Tang 可以证明的那样，高效的量子算法有时预示着高效经典算法的出现。我们应该对出现能够同时破解椭圆曲线和 RSA 的 Shor 算法经典对应版本的可能性持开放态度。 同样值得注意的是，在 OpenAI 发布的 722 个数学研究成果中，密码学突破的代表性极低，这令人瞩目。我曾亲眼目睹美国政府审查学术界的量子密码分析结果。幕后干涉是我的基本假设。 我敦促大型、成熟的参与者以身作则。Project11 的“risq 列表”（bitcoin-risq-list.projecteleven[.]com）是追踪暴露 BTC 公钥的出色工具。Binance、Bitbank、Robinhood、Bitfinex 和 Tether 有机会借此强化其冷存储。下个月，我将在伦敦举行的现场问答环节中向机构发表演讲（forum.ethereuminstitutional[.]org/london-2026）。 再次提醒，请不要着急。持有低于 50 BTC 的钱包享有来自“Satoshi 护盾”的部分保护，即他拥有的 20K 个公开地址，每个地址持有 50 BTC。诸如预言机和 L2 安全委员会等承载压力的签名者，应考虑在每次签署消息时轮换 ECDSA 公钥，和/或使用诸如 SPHINCS 之类的基于哈希的方案进行多重签名。 安全地退出地堡模式将需要后 AI 密码学。我的倾向是全力投入基于哈希的密码学，完全摒弃结构化的数学假设，无论是来自曲线、格还是同源。单一经过实战检验的哈希（例如来自 SHA 或 BLAKE 系列）便可带来合理的后 AI 安全性。 strawmap[.]org 上的 Ethereum 路线图完全接受了基于哈希的密码学，并以端到端的形式化验证作为对量子威胁的回应。鉴于数学超智能的出现，这些时间表现在必须重新审视并加快推进。我将全力推动最大的防御加速度。

— Justin Drake (@drakefjustin) 2026年10月7日

我不建议任何人今天就手忙脚乱地将资金转移到新钱包。但我们应该认真对待 AI 加速的数学对密码学构成的风险，并最大限度地减少我们对量子脆弱型密码学以及潜在的 AI 脆弱型密码学的暴露。 从这个角度来看，核心的新风险领域不幸地是 ML-DSA / FHE / 格。 （这也是除了量子之外，ECDSA 崩塌速度可能比预期更快的另一个原因，因此才有了“新地址”的建议） 到目前为止，大多数人的思维模式都是“椭圆曲线已破，哈希安全，格安全”。但很有可能格的具体安全性将在未来两年的 AI 数学发展中遭受沉重打击。 基本威胁模型是：对大数进行因式分解原本需要 2^(n/2) 的时间，但几十年来聪明人已经发现并优化了数域筛法，将其降低到 2^O(n^(1/3))，这就是为什么 RSA 密钥和签名需要 ~400 字节（而不是 64 字节）的原因。如果像椭圆曲线和格那样，衣橱里也藏着这样的秘密，而我们不够聪明无法发现，但机器人很快就会发现呢？ 这就是过去一年 Ethereum 精简路线图一直朝着“纯哈希”方向发展的主要原因：没有格，没有 ML-DSA，没有 Falcon，没有 ZK 证明内部基于格的承诺等。精简版 Ethereum 中的签名全部基于哈希，要么是 WOTS，要么是 SPHINCS-。 对于签名和证明，我们已经知道如何做到纯哈希。更大的挑战在于*公钥加密*，这远远超出了区块链的范畴。安全通信、匿名化协议以及许多事情都需要公钥加密。 不幸的是，长期存在的数学定理表明，为什么仅靠哈希无法完成公钥加密。你必须拥有某种具有至少一种形式可用“结构”的陷门对象，无论是群论（包括同源）、格、基于代码的结构，还是未来可能出现的更新颖、更诡异的东西（局域混合？）。但对于任何具有结构的事物，你都应该假设 AI 在打破这种结构方面至少会取得一些进展。在这里，一个合理的推断是，如果你想让某东西具有合理的长期安全性，请将密钥大小乘以 10。 对我来说，这是一个非常合理的假设世界，预测这一点一点也不极端。如果 AI 能在 2 年内带给我们相当于 50 年的数学成果，那么这 50 年的数学成果很可能包括将我们破解格的能力提升到“朴素因式分解 -> GNFS”水平的改进。在那个世界里，格依然存在，但它们必须显著变大才能保证同等水平的安全。 而在这些新的更大尺寸下，在所有完全可能使用基于哈希的结构的用例中，基于哈希的结构将在具体效率上击败基于格的结构。 从理论上讲，哈希也被破解当然是有可能的（例如 P = NP 就意味着这一点）。但我认为 P = NP 的可能性极小。直观地说，数学对象完全没有可利用的结构（就像哈希所设计的那样）的可能性，要远远大于数学对象恰好具有 ~3 种可利用结构（对于椭圆曲线：结合性、Schoof、配对）而没有某种我们尚未发现的、极大地降低其安全性的秘密第四种结构（对于椭圆曲线，ECDLP 和配对安全性）的可能性。LWE、SVP、RLWE 以及各种格问题也是如此。 出于这个原因，我们目前没有看到任何理由去担心并开始填充哈希的字节大小（如果我们开始更加担心，我们会先增加轮数，然后再对字节大小做任何事情）。 具体的 TLDR，我个人的观点： * 在完全可能使用基于哈希的情况下，基于哈希 > 基于格 * 对于任何基于格的事物，在参数大小上要保持更高的警惕。请记住，区块链只是密码学故事的一小部分；这一点远远超出了区块链的范畴，适用于例如访问网站、安全消息传递、Tor / VPN 等…… * 对于隐私协议，强烈倾向于不要将加密便签放在链上。相反，通过某些第三方机制将其发送到链下。 * 如果对你来说并不困难，将资金保存在尚未用于进行交易的地址中是一个好主意。如果对你来说很容易，那就去做。**但要注意迁移；我个人在搞砸的迁移中损失的资金，比我在所有黑客攻击中损失的总和还要多**。 * 对于多签钱包，在链下进行确认比在链上更好，因为这样签名钱包的签名不会暴露给公众，所以如果 ECDSA 被 AI 破解的速度比预期快得多，至少多签会“优雅地降级”为 1-of-1，其中的 1 是任何正在收集签名的人，这比“任何人都可以拿走资金”要好得多 https://t.co/oVjwZog2lL

—— vitalik.eth (@VitalikButerin) 2026年10月7日

最新：与美国政府相关的钱包将 12,267 BTC（10.1 亿美元）从 Bitfinex 黑客扣押钱包转移到新的、未标记的地址。未记录到交易所充值，这表明这是钱包内部调配而非抛售。https://t.co/21hgXAO5HQ

— CoinDesk (@CoinDesk) 2026年10月8日

🇪🇺 监管：ESMA 给予欧盟加密货币公司 1 月 8 日的最后期限，以平仓对不符合 MiCA 标准的稳定币的敞口。https://t.co/29VBDKcMS2

— Cointelegraph (@Cointelegraph) 2026年10月8日