Justin Drake与Vitalik讨论AI挑战密码学：Web3需未雨绸缪但不应仓促迁移

10月7日，以太坊基金会研究员Justin Drake在X上呼吁区块链行业冷静地开始规划「Bunker Mode」（堡垒模式），以应对未来可能出现的密码学风险。他的核心担忧是，随着AI在数学研究上的能力不断进步，广泛应用于比特币、以太坊等网络的椭圆曲线密码学，可能在真正具有密码破解能力的量子计算机出现之前，就面临新的数学攻击方法。在他提出的最坏情景中，相关突破甚至可能以「几个月而非几年」来衡量，因此建议大型持有人和机构率先考虑有序迁移资产，尽可能降低已暴露公钥带来的潜在风险。

随后，以太坊联合创始人Vitalik Buterin也加入了讨论。Vitalik并没有否认AI可能加速密码学研究，甚至进一步提出，某些被认为能够抵御量子攻击的密码学方案，也可能受到未来数学突破的影响。但在普通用户是否应该立即迁移资产的问题上，他更强调仓促升级和迁移造成的真实损失，可能比尚未发生的密码学攻击更值得眼下警惕。

地址与公钥的距离决定了风险差异

要理解这场讨论的焦点，需要回到公链最基础的账户与签名机制。在非托管钱包中，私钥是控制资产的关键凭证，钱包通过数字签名算法在不公开私钥的情况下证明交易得到授权。最典型的是椭圆曲线密码学（ECC）。以以太坊为例，普通外部账户（EOA）使用ECDSA生成交易签名，比特币的传统签名体系同样广泛使用ECDSA，而Taproot则采用了基于同一椭圆曲线的Schnorr签名。

这些方案能够长期可靠运行，依赖一个重要的数学假设：从私钥计算公钥非常容易，但仅凭公钥反向推导私钥，在目前已知的经典计算方法下几乎不可行。网络上的任何人都可以利用公钥验证签名是否有效，却无法因此轻易推算出签名者的私钥。

但一个容易被忽略的细节是，日常看到的「钱包地址」并不总是完整的公钥。以以太坊普通EOA为例，钱包地址是从公钥经过Keccak-256哈希计算后截取其中一部分生成的标识符，而在比特币中，P2PKH、P2WPKH等常见地址类型也采用了基于公钥哈希的设计。对于一个从未发起过链上交易、也没有通过其他途径公开公钥信息的以太坊普通账户，外界通常只能看到经过哈希处理后的钱包地址，公钥相当于多了一层保护。但当账户主动发起交易并提交ECDSA签名后，节点就可以根据签名信息恢复对应公钥，由于链上交易记录长期公开，这部分信息也会持续暴露在外界面前。

需要强调的是，并非所有公链都遵循完全相同的规则。例如比特币的Taproot输出本身就包含可见的椭圆曲线公钥，因此即使一个Taproot地址从未主动花费过资金，也不能简单认为其公钥仍然隐藏在哈希函数之后。此外，部分公钥信息还可能通过地址复用、公开签名、扩展公钥或其他方式提前暴露。所以，「没有转出过资产」并不必然等于「公钥没有暴露」，而一个新地址也不天然具有抗量子安全性。

理论上，一台具备足够规模和纠错能力的量子计算机，可以利用算法高效解决椭圆曲线离散对数问题，从公钥推导出私钥，从而威胁ECDSA、Schnorr等签名体系。但截至目前，尚无证据表明已经存在能够实际破解比特币或以太坊主流签名体系的量子计算机。Justin Drake此次提出的担忧，是在量子计算机之外，聚焦AI可能帮助人类发现现有数学算法尚未找到的求解捷径。

Justin与Vitalik的优先级差异

澄清底层逻辑后，再看Justin与Vitalik的讨论，会发现两人的判断并不完全对立，只是对不同风险赋予了不同的优先级。

传统上，密码学体系的更迭往往是一个漫长的过程。从识别潜在风险、制定新标准，到完成工程实现，再到公链、钱包、交易所、托管机构及硬件设备之间的兼容协调，动辄需要数年甚至更长时间。比特币、以太坊这样体量庞大、需要广泛协调的去中心化网络，底层升级通常不可能像普通软件那样通过一次版本更新就完成。Justin担心的恰恰是，这套漫长的升级周期可能跟不上未来数学研究的突破速度。因此，他的立足点是防患于未然，强调对于交易所、大型机构以及持有大量资产的用户，现在就应该开始思考未来的避险路径，包括提前盘点已经暴露公钥的地址，将部分长期持有的资产有序转移至尚未暴露公钥的新地址，并在后续使用中尽量减少不必要的签名和地址复用。

从技术上讲，这种建议确实有其合理性——如果未来的攻击依赖从公开公钥推导私钥，那么提前降低公钥暴露面，就可能在特定条件下争取到更多防御时间。但问题在于，将资金转入尚未暴露公钥的新地址，并不等于完成了真正的后量子密码学迁移。因为只要新地址仍然使用ECDSA等传统签名方案，其底层安全假设就没有发生根本改变，一旦使用该地址发起交易，公钥仍可能重新暴露。换句话说，这是一种过渡性的风险缓解手段，而不是能够一劳永逸解决问题的最终方案。

更重要的是，从密码学角度减少潜在风险，不代表从实际资产管理角度也一定更安全。这也是Vitalik特别强调的地方。在目前已知的技术条件下，通过公开公钥直接恢复ECDSA私钥仍然缺乏可行的实际攻击方法，但链上资产迁移过程中，因为地址错误、密钥备份失误、恶意授权或其他操作问题造成的损失，却是每天都可能发生的现实风险。Vitalik甚至提到，自己因迁移配置失误遭受的损失，比黑客攻击造成的损失还要多。

对于只持有少量ETH的普通用户，迁移资产可能只是创建新地址、备份密钥并发起几笔转账；但对于长期参与DeFi、质押、跨链交互，甚至通过多签钱包管理资金的用户，情况就复杂得多。资产可能分散在不同网络，部分资金仍处于质押或借贷协议中，旧地址还可能拥有智能合约管理员、资金提取或其他关键操作权限。如果只是因为看到「AI可能破解钱包」的消息就临时进行大规模资产迁移，反而可能因为转错网络、误用跨链工具、签署恶意交易或操作多签失误，造成不可逆的损失。更不用说，一旦市场开始传播「钱包即将被破解」的恐慌情绪，各种冒充官方的抗量子升级链接、资产保护工具和所谓迁移服务，也可能随之出现。

值得注意的是，Vitalik的谨慎并不意味着他对底层密码学升级持保守态度。相反，他同样认为AI带来的数学进步值得严肃研究，甚至提醒行业重新审视部分基于格密码学的后量子方案，避免因为某种算法被贴上「抗量子」标签就默认它能够抵御未来所有数学突破。在条件允许的情况下，他也倾向于更多考虑基于哈希函数的密码学结构，并对其他方案采用更加保守的安全参数。因此，不能把Justin和Vitalik简单归为激进与保守两派，二人并不存在本质上的深层矛盾。

抗量子准备已走到哪一步

很多用户可能会问：既然底层密码学存在长期风险，钱包能不能直接帮我升级成「抗量子钱包」？仅靠更新钱包App还不够。因为对于区块链而言，密码学升级不仅涉及私钥如何生成、交易如何签名，还涉及整个网络是否能够识别并验证新的签名，以及存量账户能否平稳过渡。

事实上，即使没有这次AI引发的讨论，主流公链和密码学研究机构也早已开始为后量子时代做准备。以以太坊为例，其抗量子准备已经涉及多个层面。除了普通账户使用的ECDSA，验证者共识使用的BLS签名、数据可用性相关的KZG承诺，以及部分零知识证明系统，都涉及未来需要重新评估或升级的密码学结构。以太坊基金会为此成立了专门的Post-Quantum Security研究团队，并探索通过leanXMSS、leanVM等技术为共识层提供新的签名与证明方案。而在普通用户的账户层面，账户抽象则提供了另一条值得关注的路径。不同于传统EOA的签名验证机制与底层协议紧密绑定，账户抽象和可替换的签名验证机制，未来有望让用户账户采用不同的签名算法，从而为后量子升级保留更灵活的空间。例如，目前仍在讨论中的EIP-8141就与以太坊原生账户抽象有关，有望成为未来支持更灵活签名验证的重要基础，不过其具体部署时间和最终实现方式仍有待社区进一步讨论与测试。

相比之下，比特币面临的挑战则有所不同。由于采用UTXO模型，加上历史地址类型复杂、部分早期资产长期休眠，比特币不仅需要考虑新的签名算法和输出结构，还必须解决大量存量资产如何迁移的问题，目前社区相关草案仍处于提案和协调阶段。

此外，其他一些公链也已经开始尝试更直接的工程落地。譬如NEAR在2026年7月宣布，其主网升级已经支持基于FIPS 204的ML-DSA后量子签名，为账户提供了增加量子安全密钥的能力。当然，支持某一种后量子签名，并不意味着整条公链及其所有账户、应用和基础设施都已经完成了抗量子迁移。

将这些进展放在一起，会发现行业真正面对的难题是多样化的，不仅包括新的密码学方案必须在理论上足够安全，还得兼顾签名大小、链上验证成本、节点性能、硬件兼容性，以及大量存量账户能否平稳过渡。而这些协议层的变化，最终都会落到用户每天使用的钱包上。对于imToken这样的多链非托管钱包而言，未来的密码学升级也不可能只是一项简单的版本更新：一方面，钱包需要随着不同公链的升级，逐步适配新的账户与地址类型、密钥管理方式、交易签名及验证机制，还可能涉及与硬件钱包、智能合约账户、多签系统之间的兼容；另一方面，钱包还需要把复杂的底层技术变化转化为普通用户能够理解的操作。

那现阶段，普通用户究竟应该做什么？首先，不必仅仅因为这场讨论就立即转移所有资产，目前没有证据表明主流公链的签名算法已经被实际攻破，尤其需要警惕借「抗量子升级」名义传播的陌生链接和迁移工具，任何要求导入助记词、私钥或诱导签署不明交易的操作都应该高度警惕。其次，对于大额、长期持有的资产，可以开始有意识地改善地址管理习惯，例如了解自己所使用的公链与地址类型，减少高价值资产地址不必要的重复使用和签名操作。如果确实需要调整资产存储结构，也应先确认钱包和网络兼容性，做好密钥备份、核对收款地址，并通过小额测试和分批操作降低迁移风险。最后，也是最容易被忽略的一点：钱包未来是否能够支持后量子签名，与用户今天是否有必要迁移资产，是两个不同的问题。