反對密碼學末日論

作者：Haseeb Qureshi 來源：X，@hosseeb 翻譯：善歐巴，金色財經

兩天前，OpenAI 一口氣發布了 722 篇數學論文，號稱這是「數學史上最重要的時刻」。一些困擾數學家逾百年的基礎性難題正被攻克，而 OpenAI 在每道題上只投入了 3 小時算力。數學家們大為震驚。他們已經無法預測接下來會發生什麼。

看起來，密碼學就是下一個。

現在，區塊鏈必須認真思考「數學末日」了。當一群超級智能 AI 開始圍攻基礎密碼學，會發生什麼？

先說清楚：我們討論的，並不是 AI 加速量子計算時間表的風險。這當然有可能，但量子計算需要大量物理工程，AI 不可能一夜之間完成。這需要時間，而且整個過程會公開可見。為量子威脅做準備至關重要，但相對而言並不複雜。

我們真正討論的是某種意料之外的數學突破。它可能推翻經典密碼學的基礎假設，讓普通計算機也能計算離散對數，進而攻破現代公鑰密碼學。

這將是一場生存級災難。

正如 @drakefjustin 和 @matthew_d_green 都曾暗示的那樣，我們即將親眼看到數十年的數學進展集中發生。最終會出現什麼，我們一無所知。

Justin 那篇已經瘋傳的「地堡模式」帖子，本質上主張的是：先自救。保護好自己的幣。災難或許會降臨到其他所有人頭上，但至少你知道自己是安全的。

這就是密碼學末日論。它相當於在說：既然現在知道存在尾部風險，那就該開始囤積罐頭食品了。

末日論的問題，不在於它的核心判斷。當然，事情存在災難性失控的尾部風險。你無法斷言這個風險絕對為零。

末日論真正的問題在於它給出的應對方式：如果風險確實存在，我們該怎麼辦？

我們並不知道公鑰密碼學存在某種根本性弱點的機率究竟有多大。機率或許很低，但不是 0%。為了便於討論，假設它是 5%。這意味著有 95% 的機率一切安然無恙。我們會圍繞此事寫幾篇部落格，反覆斟酌、爭論不休，最終什麼壞事也不會發生。

事實上，在那 95% 的情形下，AI 最可能做的，是證實我們原本就相信的結論：公鑰密碼學是可靠的！

但如果我告訴你，嘿，我有一套密碼方案，有 95% 的機率能保護你的資金，你一定會覺得荒唐。密碼學家衡量安全風險時，使用的尺度更接近 2^-128。

有人會回應：沒錯，但如果 ECDSA 被攻破，社會面臨的問題可不只是區塊鏈！想想銀行、TLS 和證書頒發機構——到那時，區塊鏈反而是最不值得擔心的。

但這並不能讓你安心。銀行可以恢復。TLS 可以恢復。證書頒發機構也可以恢復。它們可以讓所有人重新完成 KYC，再切換到新的密碼學標準。

可我們這些區塊鏈，無法從公鑰密碼學失效中恢復。最壞情況下，任何人都能算出其他人的密鑰，也就能拿走其他人的錢。我們將不知道資產究竟歸誰，也沒有任何辦法證明所有權。那已經不再是貨幣，而是一面任人塗寫的牆。我們只能把整條區塊鏈扔進垃圾桶，一切從頭再來。

因此，我們必須為這種失效上保險。我們無法保證數學不會被攻破，但可以保證區塊鏈不會因此毀滅。這種免疫機制必須同時建立在協議層和社會層。要做到這一點，必須立即行動並展開協調。

人們通常會說：「這不是演習。」但實際上，這就是一場演習。

而且是一場絕對必要的演習。

我們就像某些不得不全民徵兵、教每個人如何開槍的國家。戰爭可能正在逼近。你大機率不會被徵召到前線，這沒錯。但如果那一刻真的到來，我們需要你從骨子裡明白原因，並且已經做好準備。

末日論的反面，是一套果斷的行動方案。我們不能後退，而要隨時準備抵禦潛在災難。這意味著，我們現在就必須落實這些改變。

為什麼治理必須改變

從歷史上看，我們對密碼學的信心一直建立在一套社會驗證過程之上。

密碼學家會連續數年嘗試攻擊一種密碼結構。如果它經受住了考驗，我們就說它大概沒問題。存續十年後，我們會說它幾乎肯定安全，並在生產環境中採用它。但幾乎所有密碼技術都會隨時間而磨損。攻擊不斷積累，安全邊界持續減弱，最終我們會淘汰舊方案，換用更好的結構。

這種演進速度一直足夠緩慢，區塊鏈也來得及應對。遷移可以歷時數年，社會共識也能跟上密碼技術變化的節奏。

如今，這個假設不再穩固。我們即將擁有比歷史上任何人類都更強的密碼分析者，它們會以前所未有的嚴密程度審視這些方案。全世界真正稱得上稱職的密碼分析者，可能只有數千人。而我們即將把這個規模擴大幾個數量級。

過去 40 年人類完成的密碼分析工作，與 AI 即將完成的工作相比，可能會黯然失色。過去需要十年的事情，如今可能幾個月就會發生。

甚至一夜之間。

我們現有的區塊鏈治理節奏，不適用於這樣的世界。

現在已經進入密碼學戰時狀態。和平時期的規範不再適用。我們必須具備極快行動的能力，因為局勢也可能極快變化。如果社會共識再也跟不上技術與密碼學變化的速度，那就必須立即調整社會共識機制。

但這不會引發恐慌嗎？

恐慌同樣不是答案。我贊同 Vitalik 的觀點：如果我們鼓勵人們恐慌，他們更可能在倉促遷移中傷害自己。相比 ECDSA 密鑰真被人截獲，這種風險反而更大。

所謂「地堡模式」也不是真正的解決方案。如果你作為個人把密鑰遷移到一個新地址，也許能保住安全。但接下來呢？地堡模式意味著你不能行動自己的幣。只有原地不動，它才能保護你的資產。如果你周圍的區塊鏈已經分崩離析，這又能帶來什麼安慰？如果其他人的幣都被盜走並遭到大規模拋售，你的幣也會一文不值。即使你的地址安然無恙，又有什麼意義？

不，解決方案必須是系統級的。鼓勵每個人各自為戰，沒有任何幫助。

與此同時，「最重要的是別讓人們恐慌」這種觀念，也早已被事實證明經不起時間檢驗。我們應該誠實、直接地說明風險。只有這樣，人們才會認真對待，並真正採取行動。

我總會想到冷戰。冷戰期間，西方社會被反覆灌輸一個觀念：核戰爭可能爆發。對大多數人來說，那些演習很荒唐。鑽到課桌下面，根本救不了遭受核彈襲擊的人。但因為所有人都參與演習，整個社會都理解了風險的嚴重性。我們的政治態度因此發生轉變，不惜一切代價避免戰爭；與此同時，為防萬一，我們還修建了防空洞。事實上，我們有好幾次都險些陷入核戰爭。我們確實足夠幸運。古巴導彈危機和 Stanislav Petrov 的經歷都在告訴我們：這個機率並非為零。

面對密碼學，我們或許也會走運。大機率確實如此。但我們必須做好準備，以防幸運沒有站在我們這一邊。

那麼，治理究竟該如何適應？

1）危機中，速度勝過去中心化。能夠快速協調的鏈，表現會最好。去中心化社會共識的運行周期，無法匹配技術的超高速變化。治理必須儘快調整。如果這意味著放寬決策規範，那就放寬。如果這意味著賦予驗證者更多權力，那就這麼做。潛在危機需要快速、果斷的回應。

2）整個生態系統都必須動員起來。不只是協議開發者，錢包、交易所、RPC 提供商、應用、資產發行方和終端用戶都要步調一致，共同制定覆蓋整個生態的應對方案。

3）計劃必須在真正需要啟動之前就準備好。如果等到一切已經崩潰，我們還沒有方案，那我們就徹底完了。

市場會觀察哪些鏈真正嚴肅對待此事。我已經開始收到大型投資者的詢問。他們明白這件事為何令人擔憂，也想確認我們這個行業確實有答案。

那就讓我們拿出一個答案。

加密恢復模式

我建議，每條主流區塊鏈都儘快實現一種我稱之為「加密恢復模式」的機制。這是一套為絕對最壞情形準備的核戰級方案。

它大致可以這樣運作：

在下一次協議升級中，引入一套全新且極其簡單的基於哈希的公鑰系統。（基於哈希的簽名通常依賴最簡單的密碼學假設。）這就像冷戰時期極度簡陋的密碼技術。它速度慢、成本高，而且難用至極。我們真的、真的不想使用這種簽名方案。只要還有選擇，我們幾乎會選擇任何其他方案。如果真啟用它，整條鏈會慢得像糖漿，DeFi 基本無法使用，出塊速度會降到龜速，一切都會糟透。

但它能用。從技術上說，它確實能運行。至少我們還有東西可用。

每個人都要用這套糟糕透頂的簽名方案創建一個備用密鑰。所有用戶都必須建立普通地址與基於哈希的備用密鑰之間的映射。起初可以自願設置，但幾個月後就要強制執行。一旦強制執行，在設置好基於哈希的備用密鑰之前，任何人都不能再用 ECDSA 密鑰簽署新交易。沒有備用密鑰，交易會直接失敗。

屆時，每家交易所都會開始為自己的地址創建備用密鑰。Coinbase、Metamask、Ledger 如果發現你沒有備用密鑰，會先提示你創建一個，否則不允許你簽署交易。這樣，每個人都有了備用系統。當然，我們仍會繼續使用 ECDSA，因為它非常好用，而且我們又沒瘋。

我們預先部署一個緊急開關。如果災難來臨，AI 發現了 ECDSA 的漏洞，驗證者就可以達成一致，打破玻璃，進入危機模式。驗證者只需通過信號表決，就能投票啟動緊急開關，無須進行協議升級。

緊急開關會強制所有地址進入加密恢復模式。此時，ECDSA 正式死亡。徹底結束。炸彈已經爆炸，離散對數問題也不會恢復原樣。

然後呢？

然後，這條鏈會變得糟糕透頂。什麼都運行不暢，幾乎無法使用。但從技術上說，它仍然能工作。開發者隨後開始評估損失，判斷哪些密碼技術依舊完好，並研究如何重建一套真正能以可接受性能運行的新鏈遷移方案。但至少在當下，所有人的餘額都是安全的，而且系統仍有恢復路徑。

那些沒有遷移的人怎麼辦？幾乎可以肯定，會有相當一部分地址遲遲沒有行動。

仍然持有助記詞的人，可以隨時為自己的助記詞生成基於哈希的 ZK 證明，並為自己指定一個新的基於哈希的地址，類似 @VitalikButerin 在 2024 年提出的方案。如果他們的地址從未簽署過任何交易，也就是所謂的「地堡模式」，那麼藉助 ZK 恢復會非常簡單。

但很多人做不到這一點。對他們來說，倒計時已經開始。恢複方式如下：他們必須同時生成 ECDSA 簽名，並解開一道 PoW 哈希謎題，才能解鎖地址並遷移資產。PoW 難度會根據該地址持有的原生資產數量調整。也就是說，如果你持有 100 ETH，PoW 難度就是 100N。

但這個 N 會呈指數級增長。第一天，成本是 100N；第二天變成 200N，之後依次是 400N、800N。驗證者可以根據漏洞的具體情況及其風險模型，通過投票調節 N，或調節增長速度。我們可能還有幾個月，也可能只剩幾個小時。

需要明確的是，在真實攻擊場景中，這會變成一場競賽。如果攻擊者能夠高效攻破 ECDSA 密鑰，真正所有者唯一的優勢在於：攻擊者必須先破解密鑰，再完成 PoW；而真正所有者只需完成 PoW，理論上應該比攻擊者更快。這會增加大規模盜竊的難度。如果系統觀察到大規模盜竊，驗證者可以按指數級加快難度增長，阻止更多資金被抽走；或者在徹底失控的情況下，將難度提高到無窮大，讓所有存在漏洞的幣永久失去歸屬。

我確信，這裡遺漏了很多關鍵細節。這只是一個提議，而我既不是密碼學家，也不是協議設計者。但總體思路是：每一條區塊鏈都應該儘快實現某種類似機制。

用不了多久，市場就會提出這種要求。鑒於數學領域正在發生的一切，每條區塊鏈都需要一套備用恢複方案，而且必須提前達成共識。這樣，當那一刻到來時，就不會還有人在爭論如何完成遷移。

危機之中，速度就是一切。

在這種情況下，不能讓追求完美阻礙我們先做出可用方案。如果 OpenAI 此刻正在研究這些問題，我們不知道還要多久才會看到意外的密碼學突破。加密恢復模式的第一個版本可以非常糟糕——它或許本來就應該很糟糕！但只要先建立起一套機制，之後就能持續迭代改進。（需要說明的是，如果量子技術突然取得突破，這套機制同樣適用。但它最主要的用途，仍是應對密碼學基礎被攻破。）

重要的是，我們不能只是坐着爭論，或陷入 Twitter 罵戰。我們必須採取行動。

沒有什麼能就此固守不變

幾周前，我曾主張 Zcash 應該推出後量子遷移方案，然後就此「固守」。

我錯了，我收回這句話。當我們腳下的數學基礎像現在這樣搖搖欲墜時，沒有什麼能就此固守不變。

也許幾年後，我們會對密碼學基礎更有信心。但眼下，一切都處於劇烈變化之中。

面對快速且仍在加速的技術變革，為了確保加密行業安全，我們必須更加靈活，更信任協議團隊能夠明智行動，也必須更誠實地面對擺在眼前的各種權衡。

數學末日正在逼近密碼學，我們必須做好準備。

我想說清楚：最可能的情況是什麼也不會發生。最可能的情況是一切都會安然無恙。AI 會在這些系統上投入相當於人類數年工作的超強算力，然後得出結論：你們發明的所有密碼技術都堅不可摧。幹得漂亮，密碼學家們。

但我們必須百分之百確保：即使密碼學出了問題，即使遭遇絕對最壞的情況，區塊鏈也依然能夠安然無恙。

披露：本人投資了文中提及的多種資產。以上僅代表個人觀點，我並非任何領域的專家。

來源：金色財經

發佈者對本文章的內容承擔全部責任
在投資加密貨幣前，請務必深入研究，理解相關風險，並謹慎評估自己的風險承受能力。不要因為短期高回報的誘惑而忽視潛在的重大損失。