中本聰留下的警鐘

最近加密貨幣社群又出現一波針對錢包安全的恐慌。有人宣稱，AI在數學研究上的快速進步，可能讓攻擊者用現有的大型GPU集群，從已暴露的公鑰反推出私鑰，最壞情況甚至是幾個月內。他們把「未來可能出現的數學突破」直接說成「即將發生」，並建議大家立刻把資金轉到從未簽署過的新地址。問題是，目前沒有任何公開證據顯示ECDSA已被實際破解，也沒有任何人用AI或古典方法從比特幣的公鑰還原出私鑰。所謂的突破，目前仍停留在揣測層面。

這和量子電腦的威脅並不相同。量子電腦對ECDSA的理論攻擊是透過Shor演算法，從公鑰算出私鑰，但前提是必須有夠大的容錯量子電腦，目前並不存在，距離實用還很遠。更重要的是，我們還有雜湊這一層額外的保護。比特幣常見的地址是把公鑰先做SHA-256，再做一次RIPEMD-160（也就是HASH160），把公鑰藏起來。這個雜湊即使面對量子電腦的Grover演算法，也只是被平方根加速，實務上仍然極難被反向破解。因此「雜湊沒被破」這件事到現在依然成立，也是為什麼從未花過錢、公鑰還藏在雜湊後面的地址，短期內相對安全。已暴露公鑰的地址才是真正需要留意的部分，而雜湊本身目前並沒有被反向破解的實際方法。

如果ECDSA真的出問題，無論是量子還是AI破解，最先被看中的一定是中本聰那些早期P2PK地址。這些地址的公鑰早就直接寫在鏈上，金額大、長期不動、目標明確。攻擊者一旦有能力破解，幾乎一定會優先鎖定它們，因為回報最高同時難度最低。目前約有大約一百多萬枚比特幣分散在這些早期地址裡，每一個都是公開的目標，任何有能力的人都會先從這裡下手，而不是先攻擊我們普通用戶的小額地址。

有些人把這些幣稱為「中本聰之盾」，意思是它們會先被攻擊，保護後面的用戶。這個說法並不準確。那些幣根本沒有任何防禦功能，它們不會替任何人擋下攻擊，也不會讓後面的地址變得更安全，它們只是會先被爆破。我認為它們比較像「警鐘」，當中本聰的地址開始異常移動，而且沒有合理的解釋時，等於警鐘響起了。

就像火警發生時一樣，在警鐘響起之後，我們仍然有不太長的逃生時間。因為破解一個私鑰需要大量算力和時間，攻擊者不可能瞬間掃光所有地址，必須一個一個或一批一批來。網路會先看到中本聰的幣被動，這給了大家觀察、反應，最重要的是升級簽名演算法的時間。中本聰自己在2010年就說過，如果威脅是漸進發生的，我們可以有序過渡到更強的簽名。那些已暴露公鑰的幣，客觀上成了最早的預警信號，而不是擋在前面的盾。

我在此為大家模擬一下，最壞的情況，假設駭客真的可以偷到一些戶口的資金，這必然會釀成極度恐慌，加密貨幣的價格恐怕會腰斬甚至歸零。黑客花了這麼多算力和時間成本，駭來的資產可能已經大跌，而且金額巨大，賣出也相當困難。一般情況下我們賣出加密貨幣，會換成USDT穩定幣，但在錢包安全有問題的情況下，USDT變相也不安全，只能轉往銀行去。銀行有嚴謹的KYC，駭客真的能輕易將突如其來的巨額資金好好解釋清楚，避免銀行凍結嗎？再者，ECDSA不只是區塊鏈加密貨幣在用，傳統電腦系統，包括許多銀行和金融機構的驗證機制也依賴類似的公鑰密碼學。就算駭客真的避過了銀行凍結，他還要提出實體美元或實貨黃金，才有辦法避開其他駭客拿掉他辛苦得來的資金。這又怎麼可能不引起關注，全身而退呢？大規模異常資金進出，本身就很容易引起各種警報，駭客想要安全地把錢洗出來談何容易了。反過來說，聰明的駭客會做這麼愚蠢的事嗎？

重申一次，目前這個警鐘還沒響起。中本聰的幣仍在原地，沒有公開證據顯示ECDSA已被實際破解。這些恐慌和量子電腦一樣，只能嚇怕對技術沒有認知的人。學習基礎知識，就可以避免被謠言誤導了。

原文刊於 X：https://x.com/i/status/2111088106082631956