今日、資金を新しいウォレットに移動するために慌てて動くことはお勧めしません。しかし、AIによって加速される数学による暗号のリスクを真剣に受け止め、量子脆弱な暗号だけでなく、AI脆弱な暗号への暴露も最小限に抑えるべきです。 この観点からの新たな主要なリスク領域は、残念ながらML-DSA/FHE/格子です。 （これはまた、ECDSAが予想よりさらに速く崩壊する可能性があるもう一つの理由であり、したがって「新規アドレス」推奨の背景にもなっています。） これまで多くの人々は「楕円曲線は破られたが、ハッシュは安全、格子も安全」と考えていたでしょう。しかし、今後2年間のAI数学によって、格子の具体的な安全性が深刻な打撃を受ける可能性は十分にあります。 基本的な脅威モデルは以下の通りです：因数分解は単純には2^(n/2)の時間がかかるとされますが、数十年にわたり優秀な研究者たちは数体篩法を見出し最適化し、これを2^O(n^(1/3))まで低下させました。これがRSA鍵や署名が約400バイト（64バイトではなく）必要とされる理由です。もし楕円曲線や格子にも、私たち人間が十分に賢くないために発見できていないが、ボットたちにはすぐに見つけられるような「隠された骨」が存在するとしたらどうでしょうか？ これは、過去1年間Ethereumの簡素化ロードマップが「ハッシュのみ」の方向に進んできた主な理由の一つです：格子は使用せず、ML-DSAもFalconも、ZK証明内に格子ベースのコミットメントも一切導入しません。Ethereum簡素化版の署名はすべてハッシュベースであり、WOTSまたはSPHINCS-です。 署名や証明については、すでにハッシュのみで実現する方法を私たちは知っています。より大きな課題は*公開鍵暗号*です。これはブロックチェーンを超え、安全な通信、匿名プロトコル、多くのシステムが公開鍵暗号を必要としています。 しかし残念ながら、長年にわたる数学的定理により、ハッシュのみでは公開鍵暗号は実現できないことが示されています。何らかの「裏口」を持つオブジェクト、すなわち少なくとも1つの利用可能な「構造」（群論（同種写像を含む）または格子またはコードベース、あるいは将来的にはさらに新奇で不気味な構造（局所的混合？））が必要です。しかし構造を持つあらゆるものに対して、AIがその構造を少なくともある程度破る可能性があると仮定すべきです。ここで合理的な推論は、長期的に安全なものを実現したい場合、鍵サイズを10倍にすることです。 私にとって、これは非常に現実的で極端ではない予測です。もしAIが2年で50年分の数学をもたらすなら、その50年分の数学には「単純な因数分解→GNFS」レベルの格子解読能力の向上が含まれる可能性は非常に高いでしょう。そのような世界では、格子は依然として存在するでしょうが、同等の安全性を保証するには大幅に大きなサイズが必要になります。 そしてそのような新しい大きなサイズでは、ハッシュベースの構成は、ハッシュベースが可能なすべての使用ケースにおいて、格子ベースの構成よりも具体的な効率で優れることになります。 理論的にはもちろん、ハッシュも破られる可能性があります（例：P = NPが成り立てば）。しかし私はP = NPは非常にあり得ないと考えます。直感的に、数学的対象がまったく利用可能な構造を持たない（ハッシュが意図するように）ほうが、数学的対象がちょうど3つの利用可能な構造（楕円曲線：結合性、Schoof、ペアリング）を持ち、さらに我々がまだ発見していないセキュリティを大幅に低下させる第4の構造を持たない可能性よりもずっと高いと思います。LWE、SVP、RLWEおよび格子問題の多数も同様です。 このため、現在のところハッシュのバイトサイズを拡張する必要があるという理由は見当たりません（より懸念が高まった場合でも、まずラウンド数を増やすことを優先し、バイトサイズには手を付けません）。 具体的な要約：私の個人的な見解 * ハッシュベースは、ハッシュベースが可能な状況では格子ベースより優れる * 格子ベースのものはパラメータサイズに対してより一層警戒すべきである。ブロックチェーンは暗号の物語のほんの一断片にすぎず、この点はウェブサイトへのアクセスや安全なメッセージング、Tor/VPNなどにも適用される * プライバシープロトコルでは、暗号化されたノートをオンチェーンに置かないことを強く推奨する。代わりに、第三者メカニズムを通じてオフチェーンで送信すること * あなたにとって難しくなければ、まだ取引に使われていないアドレスに資金を保有することは良いアイデアである。簡単であれば実行すべきだ。**しかし移行には注意せよ。私はこれまですべてのハッキングで失った金額よりも、失敗した移行でより多くの資金を失っている** * マルチシグウォレットでは、署名確認をオンチェーンよりオフチェーンで行う方が良い。なぜならこれにより署名者のウォレットの署名が公開されず、ECDSAが予想よりはるかに速くAIによって破られた場合でも、マルチシグは「穏やかに劣化」して「1-of-1」（1とは署名を集めた人物）になるためであり、「誰でも資金を引き出せる」状態より遥かにマシだからである https://t.co/oVjwZog2lL