作者：imToken
这几天，关于「AI 可能攻破密码学」的讨论，着实在 Crypto 社区掀起了一波恐慌。
事情起源于 10 月 7 日，Justin Drake 在 X 上呼吁整个区块链行业冷静地开始规划「Bunker Mode」（堡垒模式），以应对未来可能出现的密码学风险。
他的核心担忧是，随着 AI 在数学研究上的能力不断进步，广泛应用于比特币、以太坊等网络的椭圆曲线密码学，可能在真正具有密码破解能力的量子计算机出现之前，就面临新的数学攻击方法。
在他提出的最坏情景中，相关突破甚至可能以「几个月而非几年」来衡量，因此建议大型持有人和机构率先考虑有序迁移资产，尽可能降低已暴露公钥带来的潜在风险。
随后，Vitalik Buterin 也加入了讨论。
有意思的是，Vitalik 并没有否认 AI 可能加速密码学研究，甚至进一步提出，某些被认为能够抵御量子攻击的密码学方案，也可能受到未来数学突破的影响。
但在普通用户是否应该立即迁移资产的问题上，他却强调仓促升级和迁移造成的真实损失，可能比尚未发生的密码学攻击更值得眼下警惕。
这也引出了一个困扰整个加密行业的长期问题： 当保护链上资产的底层密码学假设开始面临新的挑战，公链需要提前多久准备，普通用户又应该在什么时候行动？
一、 为什么会有风险？先看懂「地址」与「公钥」的距离
要理解这场讨论的焦点，首先需要回到公链最基础的账户与签名机制。
众所周知，在非托管钱包中，私钥是控制资产的关键凭证，具体到技术层面，钱包正是通过数字签名算法，在不公开私钥的情况下，证明一笔交易确实得到了相应密钥持有者的授权。
其中，最典型的就是椭圆曲线密码学（ECC）。
以以太坊为例，普通外部账户（EOA）使用 ECDSA 生成交易签名，比特币的传统签名体系同样广泛使用 ECDSA，而 Taproot 则采用了基于同一椭圆曲线的 Schnorr 签名。
这些方案能够长期可靠运行，依赖一个重要的数学假设： 从私钥计算公钥非常容易，但仅凭公钥反向推导私钥，在目前已知的经典计算方法下几乎不可行。
我们可以将其理解成一道容易验证、却极难逆向求解的数学题，网络上的任何人都可以利用公钥验证签名是否有效，却无法因此轻易推算出签名者的私钥。
正是这种不对称性，构成了现代区块链资产所有权的重要基础。
但这里还有一个容易被忽略的细节，那就是我们日常看到的「钱包地址」，并不总是完整的公钥。
以以太坊普通 EOA 为例，钱包地址是从公钥经过 Keccak-256 哈希计算后，截取其中一部分生成的标识符，而在比特币中，P2PKH、P2WPKH 等常见地址类型，也采用了基于公钥哈希的设计。
这就形成了一个很有意思的安全差异。
对于一个从未发起过链上交易、也没有通过其他途径公开公钥信息的以太坊普通账户，外界通常只能看到经过哈希处理后的钱包地址，由于现有计算方法难以从地址哈希反推出完整公钥，因此公钥相当于多了一层保护。
但当这个账户主动发起交易并提交 ECDSA 签名后，节点就可以根据签名信息恢复对应公钥，由于链上交易记录长期公开，这部分信息也会持续暴露在外界面前。
这意味着，对于采用公钥哈希地址的账户，尚未暴露公钥与已经暴露公钥，在面对某些未来密码学攻击时，可能具有不同的风险水平。
需要强调的是，这并不意味着所有公链都遵循完全相同的规则。
例如，比特币的 Taproot 输出本身就包含可见的椭圆曲线公钥，因此即使一个 Taproot 地址从未主动花费过资金，也不能简单认为其公钥仍然隐藏在哈希函数之后；此外，部分公钥信息还可能通过地址复用、公开签名、扩展公钥或其他方式提前暴露。
所以，「没有转出过资产」并不必然等于「公钥没有暴露」，而一个新地址也不天然具有抗量子安全性。
理解了这层差异，再来看量子计算与 AI 带来的挑战，就容易多了。
理论上，一台具备足够规模和纠错能力的量子计算机，可以利用这一算法高效解决椭圆曲线离散对数问题，从公钥推导出私钥，从而威胁 ECDSA、Schnorr 等签名体系。
但截至目前，尚无证据表明已经存在能够实际破解比特币或以太坊的主流签名体系的量子计算机。
而 Justin Drake 这次提出的担忧，就是在量子计算机之外， 聚焦 AI 可能帮助人类发现现有数学算法尚未找到的求解捷径， 尤其是随着近一年来 AI 在数学推理、算法搜索与形式化证明等领域不断取得进展，一部分研究者开始重新思考，那些经过数十年检验的计算困难问题，是否有可能因为新的数学发现而被重新评估？
二、Justin 与 Vitalik 无本质分歧
澄清了底层逻辑，再回头看 Justin 与 Vitalik 的讨论，就会发现两人的判断并不完全对立，只是对不同风险赋予了不同的优先级。
先来看 Justin Drake。
传统上，密码学体系的更迭往往是一个漫长的过程。毕竟从识别潜在风险、制定新标准，到完成工程实现，再到公链、钱包、交易所、托管机构及硬件设备之间的兼容协调，动辄就需要数年甚至更长时间。
更不用说比特币、以太坊这样体量庞大、需要广泛协调的去中心化网络，底层升级通常不可能像普通软件那样，通过一次版本更新就完成。
Justin 担心的恰恰是，这套漫长的升级周期，可能跟不上未来数学研究的突破速度。
譬如将来 AI 真的帮助研究者找到了新的密码学攻击方法，那么即使没有等到量子计算机具备实用破解能力，现有椭圆曲线签名体系也可能提前受到威胁。
而一旦这种突破真正出现，留给公链和钱包生态的迁移窗口，可能远比过去预想的短。
因此，他的立足点是防患于未然，强调对于交易所、大型机构以及持有大量资产的用户，现在就应该开始思考未来的避险路径。
这包括提前盘点已经暴露公钥的地址，将部分长期持有的资产有序转移至尚未暴露公钥的新地址，并在后续使用中尽量减少不必要的签名和地址复用。
从技术上讲，这种建议确实有其合理性——如果未来的攻击依赖从公开公钥推导私钥，那么提前降低公钥暴露面，就可能在特定条件下争取到更多防御时间。
但问题在于， 将资金转入尚未暴露公钥的新地址，并不等于完成了真正的后量子密码学迁移。
因为只要新地址仍然使用 ECDSA 等传统签名方案，其底层安全假设就没有发生根本改变，一旦使用该地址发起交易，公钥仍可能重新暴露；如果攻击能力足够强，甚至交易广播后、确认前的短暂窗口，也可能成为新的风险所在。
换句话说，这是一种过渡性的风险缓解手段，而不是能够一劳永逸解决问题的最终方案。更重要的是， 从密码学角度减少潜在风险，不代表从实际资产管理角度也一定更安全。
这也是 Vitalik 特别强调的地方。
在目前已知的技术条件下，通过公开公钥直接恢复 ECDSA 私钥仍然缺乏可行的实际攻击方法，但链上资产迁移过程中，因为地址错误、密钥备份失误、恶意授权或其他操作问题造成的损失，却是每天都可能发生的现实风险。
Vitalik 甚至提到，自己因迁移配置失误遭受的损失，比黑客攻击造成的损失还要多。
对于只持有少量 ETH 的普通用户，迁移资产可能只是创建新地址、备份密钥并发起几笔转账；但对于长期参与 DeFi、质押、跨链交互，甚至通过多签钱包管理资金的用户，情况就复杂得多。
资产可能分散在不同网络，部分资金仍处于质押或借贷协议中，旧地址还可能拥有智能合约管理员、资金提取或其他关键操作权限。
如果只是因为看到「AI 可能破解钱包」的消息，就临时进行大规模资产迁移，反而可能因为转错网络、误用跨链工具、签署恶意交易或操作多签失误，造成不可逆的损失。
更不用说，一旦市场开始传播「钱包即将被破解」的恐慌情绪，各种冒充官方的抗量子升级链接、资产保护工具和所谓迁移服务，也可能随之出现。
值得注意的是，Vitalik 的谨慎，并不意味着他对底层密码学升级持保守态度。
相反，他同样认为 AI 带来的数学进步值得严肃研究，甚至提醒行业重新审视部分基于格密码学的后量子方案，避免因为某种算法被贴上「抗量子」标签，就默认它能够抵御未来所有数学突破。
在条件允许的情况下，他也倾向于更多考虑基于哈希函数的密码学结构，并对其他方案采用更加保守的安全参数。
因此，其实不能把 Justin 和 Vitalik 简单归为激进与保守两派，二人并不存在本质上的深层矛盾。
三、从公链升级到钱包迁移：真正的抗量子准备，走到哪一步了？
很多用户可能会问：既然底层密码学存在长期风险，钱包能不能直接帮我升级成「抗量子钱包」？
仅靠更新钱包 App 还不够。
因为对于区块链而言，密码学升级不仅涉及私钥如何生成、交易如何签名，还涉及整个网络是否能够识别并验证新的签名，以及存量账户能否平稳过渡。
事实上，即使没有这次 AI 引发的讨论，主流公链和密码学研究机构也早已开始为后量子时代做准备。
还是以以太坊为例，其抗量子准备已经涉及多个层面。
除了普通账户使用的 ECDSA，验证者共识使用的 BLS 签名、数据可用性相关的 KZG 承诺，以及部分零知识证明系统，都涉及未来需要重新评估或升级的密码学结构。
以太坊基金会为此成立了专门的 Post-Quantum Security 研究团队，并探索通过 leanXMSS、leanVM 等技术，为共识层提供新的签名与证明方案。
而在普通用户的账户层面，账户抽象则提供了另一条值得关注的路径，不同于传统 EOA 的签名验证机制与底层协议紧密绑定，账户抽象和可替换的签名验证机制，未来有望让用户账户采用不同的签名算法，从而为后量子升级保留更灵活的空间。
例如，目前仍在讨论中的 EIP-8141，就与以太坊原生账户抽象有关，有望成为未来支持更灵活签名验证的重要基础，不过其具体部署时间和最终实现方式，仍有待社区进一步讨论与测试。
相比之下，比特币面临的挑战则有所不同。
由于采用 UTXO 模型，加上历史地址类型复杂、部分早期资产长期休眠，比特币不仅需要考虑新的签名算法和输出结构，还必须解决大量存量资产如何迁移的问题，目前社区相关草案仍处于提案和协调阶段。
此外其他一些公链也已经开始尝试更直接的工程落地。譬如 NEAR 在 2026 年 7 月宣布，其主网升级已经支持基于 FIPS 204 的 ML-DSA 后量子签名，为账户提供了增加量子安全密钥的能力。
当然，支持某一种后量子签名，并不意味着整条公链及其所有账户、应用和基础设施，都已经完成了抗量子迁移。
将这些进展放在一起，会发现行业真正面对的难题是多样化的，不仅包括新的密码学方案必须在理论上足够安全，还得兼顾签名大小、链上验证成本、节点性能、硬件兼容性，以及大量存量账户能否平稳过渡。
而这些协议层的变化，最终都会落到用户每天使用的钱包上。
对于 imToken 这样的多链非托管钱包而言，未来的密码学升级，也不可能只是一项简单的版本更新：
- 一方面，钱包需要随着不同公链的升级，逐步适配新的账户与地址类型、密钥管理方式、交易签名及验证机制，还可能涉及与硬件钱包、智能合约账户、多签系统之间的兼容；
- 另一方面，钱包还需要把复杂的底层技术变化，转化为普通用户能够理解的操作，假设未来某条公链正式支持新的后量子签名方案，用户真正关心的只是原来的地址还能不能继续使用，是否需要创建新账户，现有助记词和硬件设备是否兼容，以及已经持有的 Token、NFT、质押资产和 DeFi 头寸该如何处理；
其中有些问题可以通过钱包产品能力逐步解决，有些则必须等待公链协议、智能合约和整个生态提供支持。
这也是为什么，底层安全升级越复杂，用户侧的迁移流程就越需要经过充分测试，而不是临时推出一个所谓的「一键抗量子」入口。
那现阶段，普通用户究竟应该做什么？
- 首先，不必仅仅因为这场讨论，就立即转移所有资产， 目前没有证据表明 主流公链的签名算法已经被实际攻破，尤其需要警惕借「抗量子升级」名义传播的陌生链接和迁移工具，任何要求导入助记词、私钥或诱导签署不明交易的操作，都应该高度警惕；
- 其次，对于大额、长期持有的资产，可以开始有意识地改善地址管理习惯。 例如，了解自己所使用的公链与地址类型，减少高价值资产地址不必要的重复使用和签名操作，如果确实需要调整资产存储结构，也应先确认钱包和网络兼容性，做好密钥备份、核对收款地址，并通过小额测试和分批操作降低迁移风险；
- 最后，也是最容易被忽略的一点：钱包未来是否能够支持后量子签名，与用户今天是否有必要迁移资产，是两个不同的问题；
写在最后
在区块链的世界里，我们依靠数学与代码构建信任。
站在这个角度，对于一个希望长期承载数万亿美元资产的开放金融网络来说，没有人能保证今天足够安全的密码学方案，在未来几十年都不需要调整。
但这并不意味着，每一次前沿研究取得突破，都需要普通用户立即重新安排自己的资产。
密码学研究者需要关注最坏的可能性，公链开发者需要提前设计新的安全机制，钱包团队需要为未来的升级和迁移提供可靠支持，而普通用户则需要在真正理解风险的基础上，避免因为未经证实的消息作出仓促决定。
不必预设危机已在眼前，也不必低估演进的必然，保持清醒，谨慎操作。
对于每一位持币者而言，这都是面对未知的最好方式。
