AI «виклик» криптографії? Web3 повинен заздалегідь підготуватися, але ніколи не поспішати з міграцією

Довгострокові припущення безпеки криптографії переглядаються, але підготовка заздалегідь та поспішна міграція – це зовсім різні речі.

Автор: imToken

Останніми днями обговорення про те, що «AI може зламати криптографію», дійсно викликало паніку в крипто-спільноті.

Все почалося 7 жовтня, коли Джастін Дрейк на X закликав всю блокчейн-індустрію спокійно почати планувати «Bunker Mode» (режим укриття), щоб впоратися з можливими ризиками криптографії в майбутньому.

Його основна тривога полягає в тому, що з розвитком можливостей AI в математичних дослідженнях, широко використовувана в мережах Bitcoin, Ethereum та інших еліптична криптографія може зіткнутися з новими математичними атаками ще до того, як з'являться квантові комп'ютери, здатні на справжнє зламу.

У найгіршому сценарії, який він запропонував, відповідні прориви можуть бути виміряні «місяцями, а не роками», тому він рекомендує великим власникам та установам першими розглянути можливість упорядкованої міграції активів, щоб зменшити потенційні ризики, пов'язані з уже відкритими публічними ключами.

Потім до обговорення приєднався Віталік Бутерін.

Цікаво, що Віталік не заперечує, що AI може прискорити дослідження криптографії, навіть більше того, він зазначає, що деякі криптографічні рішення, які вважаються стійкими до квантових атак, також можуть бути під впливом майбутніх математичних проривів.

Але щодо питання, чи повинні звичайні користувачі негайно мігрувати свої активи, він підкреслює, що реальні втрати, викликані поспішними оновленнями та міграцією, можуть бути більш тривожними, ніж ще не відбулися атаки на криптографію.

Це також піднімає тривале питання, яке турбує всю криптоіндустрію: коли захист активів на блокчейні починає стикатися з новими викликами в криптографії, як рано повинні готуватися публічні блокчейни, і коли звичайні користувачі повинні діяти?

1. Чому існує ризик? Спочатку розгляньте відстань між «адресою» та «публічним ключем»

Щоб зрозуміти фокус цього обговорення, спочатку потрібно повернутися до основних механізмів облікових записів та підписів у публічних блокчейнах.

Як відомо, у неуправлінських гаманцях приватний ключ є ключовим документом для контролю активів. Технічно гаманець використовує алгоритм цифрового підпису, щоб підтвердити, що транзакція дійсно отримала авторизацію відповідного власника ключа, не розкриваючи приватний ключ.

Найтиповішим прикладом є еліптична криптографія (ECC).

Наприклад, у Ethereum звичайні зовнішні облікові записи (EOA) використовують ECDSA для генерації підписів транзакцій, традиційна система підписів Bitcoin також широко використовує ECDSA, а Taproot використовує підписання Schnorr на основі тієї ж еліптичної кривої.

Ці рішення можуть надійно працювати в довгостроковій перспективі, спираючись на важливе математичне припущення: обчислення публічного ключа з приватного є дуже простим, але зворотне виведення приватного ключа лише з публічного ключа практично неможливе за відомими класичними методами.

Ми можемо розглядати це як задачу, яку легко перевірити, але надзвичайно важко розв'язати в зворотному напрямку. Будь-хто в мережі може використовувати публічний ключ для перевірки, чи є підпис дійсним, але не може легко вивести приватний ключ підписувача.

Саме ця асиметрія є важливою основою для володіння активами в сучасному блокчейні.

Але тут є ще один деталь, яка може бути легко проігнорована, а саме те, що «адреса гаманця», яку ми зазвичай бачимо, не завжди є повним публічним ключем.

Наприклад, звичайна адреса EOA в Ethereum є ідентифікатором, отриманим шляхом хешування публічного ключа за допомогою Keccak-256, а в Bitcoin типи адрес P2PKH, P2WPKH та інші також використовують дизайн на основі хешу публічного ключа.

Це створює цікаву різницю в безпеці.

Для облікового запису Ethereum, який ніколи не ініціював транзакцій у ланцюзі і не розкривав інформацію про публічний ключ іншим способом, зовнішній світ зазвичай може бачити лише адресу гаманця, оброблену через хешування. Оскільки існуючі методи обчислення важко вивести повний публічний ключ з адреси, публічний ключ фактично отримує додатковий рівень захисту.

Але коли цей обліковий запис ініціює транзакцію та подає підпис ECDSA, вузли можуть відновити відповідний публічний ключ на основі інформації підпису, і оскільки записи транзакцій у ланцюзі залишаються публічними, ця інформація буде постійно доступна зовнішньому світу.

Це означає, що для облікових записів, які використовують адреси на основі хешу публічного ключа, ризики можуть суттєво відрізнятися між ще не розкритими публічними ключами та вже розкритими публічними ключами в умовах деяких майбутніх атак на криптографію.

Слід підкреслити, що це не означає, що всі публічні блокчейни дотримуються абсолютно однакових правил.

Наприклад, вихід Taproot у Bitcoin сам по собі містить видимий публічний ключ еліптичної кривої, тому навіть якщо адреса Taproot ніколи не витрачала кошти, не можна просто вважати, що її публічний ключ все ще прихований за хеш-функцією; крім того, частина інформації про публічний ключ може бути заздалегідь розкрита через повторне використання адрес, публічні підписи, розширені публічні ключі або інші способи.

Отже, «не витрачав активи» не обов'язково означає «публічний ключ не розкритий», а нова адреса не має природної стійкості до квантових загроз.

Зрозумівши цю різницю, легше перейти до викликів, які несуть квантові обчислення та AI.

Теоретично, квантовий комп'ютер з достатньою потужністю та можливостями виправлення помилок може ефективно вирішити задачу дискретного логарифму еліптичної кривої, вивівши приватний ключ з публічного ключа, що загрожує системам підпису ECDSA, Schnorr та іншим.

Але на сьогодні немає жодних доказів того, що вже існують квантові комп'ютери, здатні фактично зламати основні системи підпису Bitcoin або Ethereum.

Тривога Джастіна Дрейка полягає в тому, що, окрім квантових комп'ютерів, AI може допомогти людям виявити шляхи вирішення існуючих математичних алгоритмів, які ще не були знайдені, особливо з огляду на те, що протягом останнього року AI досяг значних успіхів у математичному міркуванні, пошуку алгоритмів та формалізації доказів, частина дослідників почала переосмислювати, чи можуть ті обчислювальні проблеми, які перевірялися протягом десятиліть, бути переоцінені через нові математичні відкриття?

2. Джастін і Віталік не мають суттєвих розбіжностей

Уточнивши базову логіку, повертаючись до обговорення Джастіна та Віталіка, можна помітити, що їхні оцінки не є абсолютно протилежними, а лише надають різні пріоритети різним ризикам.

Спочатку розглянемо Джастіна Дрейка.

Традиційно зміна криптографічних систем є тривалим процесом. Адже від виявлення потенційних ризиків, розробки нових стандартів до завершення інженерної реалізації, а також до узгодження між публічними блокчейнами, гаманцями, біржами, установами з управління та апаратними пристроями може знадобитися кілька років або навіть більше.

Не кажучи вже про такі великі децентралізовані мережі, як Bitcoin та Ethereum, де базові оновлення зазвичай не можуть бути завершені простим оновленням версії, як це робиться в звичайному програмному забезпеченні.

Джастін турбується, що цей тривалий цикл оновлення може не встигнути за швидкістю проривів у майбутніх математичних дослідженнях.

Наприклад, якщо AI дійсно допоможе дослідникам знайти нові методи атак на криптографію, тоді навіть якщо не дочекатися, поки квантові комп'ютери стануть здатними на практичне зламу, існуючі системи підпису еліптичної кривої можуть бути під загрозою раніше.

І якщо такий прорив дійсно станеться, вікно для міграції для публічних блокчейнів та екосистеми гаманців може бути значно коротшим, ніж раніше очікувалося.

Отже, його позиція полягає в тому, щоб запобігти можливим ризикам, підкреслюючи, що для бірж, великих установ та користувачів з великими активами вже зараз слід почати думати про майбутні шляхи захисту.

Це включає попередню перевірку адрес, які вже відкрили публічні ключі, упорядковану міграцію частини довгострокових активів до нових адрес, які ще не відкрили публічні ключі, і в подальшому намагатися зменшити непотрібні підписи та повторне використання адрес.

З технічної точки зору, ця пропозиція дійсно має свою обґрунтованість — якщо майбутні атаки залежать від виведення приватного ключа з публічного ключа, то зменшення відкритості публічного ключа заздалегідь може дати більше часу для захисту за певних умов.

Але проблема в тому, що переміщення коштів на нову адресу, яка ще не відкрила публічний ключ, не означає завершення справжньої міграції до постквантової криптографії.

Оскільки, якщо нова адреса все ще використовує традиційні схеми підпису, такі як ECDSA, її базове припущення безпеки не змінюється. Як тільки ця адреса використовується для ініціювання транзакції, публічний ключ все ще може бути знову відкритий; якщо атакуюча здатність достатньо сильна, навіть короткий проміжок часу між трансляцією транзакції та підтвердженням може стати новим ризиком.

Іншими словами, це є тимчасовим засобом зменшення ризиків, а не остаточним рішенням проблеми. Що ще важливіше, зменшення потенційних ризиків з криптографічної точки зору не означає, що з точки зору фактичного управління активами це також буде безпечніше.

Це також те, на чому особливо наголошує Віталік.

За відомими технічними умовами, відновлення приватного ключа ECDSA безпосередньо з публічного ключа все ще не має практичних методів атаки, але під час міграції активів у ланцюзі реальні ризики, пов'язані з помилками адрес, помилками резервного копіювання ключів, зловмисними авторизаціями або іншими проблемами, можуть виникати щодня.

Віталік навіть зазначив, що його втрати через помилки в налаштуванні міграції перевищують втрати від атак хакерів.

Для звичайних користувачів, які мають лише невелику кількість ETH, міграція активів може бути просто створенням нової адреси, резервним копіюванням ключів і ініціюванням кількох переказів; але для тих, хто довгостроково бере участь у DeFi, стейкінгу, міжланцюгових взаємодіях або навіть управляє коштами через мультипідписи, ситуація стає набагато складнішою.

Активи можуть бути розподілені в різних мережах, частина коштів може залишатися в стейкінгу або кредитних протоколах, а стара адреса може мати права адміністратора смарт-контракту, права на вилучення коштів або інші ключові операції.

Якщо просто через новини про те, що «AI може зламати гаманці», провести масову міграцію активів, це може призвести до незворотних втрат через помилки в мережі, неправильне використання міжланцюгових інструментів, підписання зловмисних транзакцій або помилки в мультипідписах.

Не кажучи вже про те, що, як тільки ринок почне поширювати паніку про те, що «гаманці незабаром будуть зламані», можуть з'явитися різні фальшиві посилання на оновлення, інструменти захисту активів та так звані послуги міграції.

Слід зазначити, що обережність Віталіка не означає, що він має консервативну позицію щодо оновлення базової криптографії.

Навпаки, він також вважає, що математичний прогрес, спричинений AI, заслуговує на серйозне дослідження, і навіть попереджає індустрію переглянути деякі постквантові рішення на основі решіток, щоб уникнути ситуації, коли певний алгоритм отримує етикетку «стійкий до квантів», і вважається, що він може витримати всі майбутні математичні прориви.

За можливості він також схиляється до більшого розгляду криптографічних структур на основі хеш-функцій і застосування більш консервативних параметрів безпеки для інших рішень.

Отже, насправді не можна просто віднести Джастіна та Віталіка до радикалів і консерваторів; між ними немає суттєвих глибоких суперечностей.

3. Від оновлення публічних блокчейнів до міграції гаманців: на якому етапі ми в підготовці до квантової стійкості?

Багато користувачів можуть запитати: якщо базова криптографія має довгострокові ризики, чи може гаманець безпосередньо допомогти мені оновитися до «квантового стійкого гаманця»?

Просто оновлення програми гаманця недостатньо.

Оскільки для блокчейну оновлення криптографії не лише стосується того, як генеруються приватні ключі, як підписуються транзакції, але й того, чи може вся мережа розпізнавати та перевіряти нові підписи, а також чи можуть існуючі облікові записи плавно перейти.

Насправді, навіть без обговорення, викликаного AI, основні публічні блокчейни та криптографічні дослідницькі установи вже почали готуватися до постквантової епохи.

Знову ж таки, в Ethereum підготовка до квантової стійкості вже охоплює кілька аспектів.

Крім звичайних облікових записів, які використовують ECDSA, підпис BLS, що використовується для консенсусу валідаторів, зобов'язання KZG, пов'язані з доступністю даних, а також деякі системи нульових знань, всі вони стосуються криптографічних структур, які потребують повторної оцінки або оновлення в майбутньому.

Фонд Ethereum створив спеціальну дослідницьку групу з постквантової безпеки та досліджує нові підписні та доказові рішення для рівня консенсусу за допомогою технологій, таких як leanXMSS та leanVM.

На рівні облікових записів звичайних користувачів абстракція облікових записів пропонує ще один шлях, який варто розглянути. На відміну від традиційного механізму перевірки підписів EOA, який тісно пов'язаний з основним протоколом, абстракція облікових записів та замінні механізми перевірки підписів у майбутньому можуть дозволити користувачам використовувати різні алгоритми підпису, залишаючи більше простору для оновлень після квантових технологій.

Наприклад, EIP-8141, який все ще обговорюється, пов'язаний з абстракцією облікових записів Ethereum і має потенціал стати важливою основою для підтримки більш гнучкої перевірки підписів у майбутньому. Однак конкретний час впровадження та остаточний спосіб реалізації все ще потребують подальшого обговорення та тестування в спільноті.

На відміну від цього, виклики, з якими стикається Bitcoin, є іншими.

Оскільки Bitcoin використовує модель UTXO, а також через складність історичних типів адрес і тривалу сплячку частини ранніх активів, Bitcoin повинен враховувати не лише нові алгоритми підпису та структури виходу, але й вирішувати питання, як мігрувати велику кількість активів. Наразі відповідні проекти в спільноті все ще перебувають на стадії пропозицій та координації.

Крім того, інші публічні блокчейни вже почали намагатися реалізувати більш прямі інженерні рішення. Наприклад, NEAR оголосив у липні 2026 року, що його основна мережа оновлена для підтримки постквантових підписів ML-DSA на основі FIPS 204, що надає можливість додавання квантово-безпечних ключів до облікових записів.

Звичайно, підтримка певного типу постквантового підпису не означає, що весь публічний блокчейн і всі його облікові записи, додатки та інфраструктура вже завершили міграцію на квантову стійкість.

Якщо зібрати ці досягнення разом, можна побачити, що справжні проблеми, з якими стикається галузь, є різноманітними. Вони включають не лише те, що нові криптографічні рішення повинні бути теоретично достатньо безпечними, але й враховувати розмір підпису, вартість перевірки в ланцюгу, продуктивність вузлів, апаратну сумісність, а також те, чи можуть великі обсяги існуючих облікових записів перейти безперешкодно.

І ці зміни на протоколі в кінцевому підсумку вплинуть на гаманці, які користувачі використовують щодня.

Для багатоканальних некастодіальних гаманців, таких як imToken, майбутнє оновлення криптографії не може бути простою версією оновлення:

• По-перше, гаманець повинен поступово адаптуватися до нових типів облікових записів і адрес, методів управління ключами, механізмів підпису та перевірки транзакцій у міру оновлення різних публічних блокчейнів. Це також може включати сумісність з апаратними гаманцями, обліковими записами смарт-контрактів та системами мультипідпису;
• По-друге, гаманець також повинен перетворити складні зміни в основних технологіях на дії, які можуть зрозуміти звичайні користувачі. Якщо в майбутньому певний публічний блокчейн офіційно підтримує нову постквантову підписну схему, користувачі насправді цікавляться лише тим, чи можуть вони продовжувати використовувати свої старі адреси, чи потрібно створювати нові облікові записи, чи сумісні їхні існуючі мнемонічні фрази та апаратні пристрої, а також як обробити вже наявні токени, NFT, активи, що стейкуються, та позиції DeFi;

Деякі з цих питань можуть бути поступово вирішені через можливості продукту гаманця, інші ж повинні дочекатися підтримки протоколів публічного блокчейну, смарт-контрактів та всієї екосистеми.

Ось чому, чим складнішими є оновлення безпеки на базовому рівні, тим більше процес міграції з боку користувачів потребує ретельного тестування, а не термінового впровадження так званого "однокнопкового квантового захисту".

Отже, що звичайні користувачі повинні робити на даному етапі?

• По-перше, не варто відразу ж переносити всі активи лише через цю дискусію. Наразі немає доказів того, що алгоритми підпису основних публічних блокчейнів були фактично зламані, особливо слід бути обережними з незнайомими посиланнями та інструментами міграції, які поширюють інформацію під приводом "квантового оновлення". Будь-які дії, що вимагають імпорту мнемонічних фраз, приватних ключів або спонукають до підписання невідомих транзакцій, повинні викликати велику підозру;
• По-друге, для великих, довгострокових активів можна почати свідомо покращувати звички управління адресами. Наприклад, дізнатися, які публічні блокчейни та типи адрес ви використовуєте, зменшити непотрібне повторне використання адрес з високою вартістю активів та підписних операцій. Якщо дійсно потрібно змінити структуру зберігання активів, слід спочатку підтвердити сумісність гаманця та мережі, зробити резервне копіювання ключів, перевірити адреси отримання та зменшити ризики міграції за допомогою тестування малими сумами та поетапних операцій;
• По-третє, і це найчастіше ігнорується: чи зможе гаманець у майбутньому підтримувати постквантові підписи, і чи потрібно користувачам сьогодні мігрувати активи, є двома різними питаннями;

На завершення

У світі блокчейну ми будуємо довіру на основі математики та коду.

З цієї точки зору, для відкритої фінансової мережі, яка прагне довгостроково зберігати активи на десятки трильйонів доларів, ніхто не може гарантувати, що криптографічні рішення, які сьогодні є достатньо безпечними, не потребуватим коригування в найближчі десятиліття.

Але це не означає, що кожен раз, коли досягається прорив у передових дослідженнях, звичайні користувачі повинні терміново перерозподілити свої активи.

Дослідники криптографії повинні зосередитися на найгірших можливостях, розробники публічних блокчейнів повинні заздалегідь проектувати нові механізми безпеки, команди гаманців повинні надавати надійну підтримку для майбутніх оновлень і міграцій, а звичайні користувачі повинні уникати поспішних рішень на основі неперевірених новин, розуміючи ризики.

Не варто передбачати, що криза вже на порозі, і не слід недооцінювати неминучість еволюції. Залишайтеся свідомими та дійте обережно.

Для кожного власника токенів це найкращий спосіб впоратися з невідомістю.