Não recomendo que ninguém se apresse para transferir seus fundos para novas carteiras hoje. Mas devemos levar a sério os riscos à criptografia provenientes da matemática acelerada por IA e minimizar nossa exposição não apenas à criptografia vulnerável a quantum, mas também à criptografia potencialmente vulnerável a IA. A nova área central de risco, infelizmente, é o ML-DSA / FHE / reticulados. (e também é mais uma razão, juntamente com o quantum, pela qual o ECDSA pode cair ainda mais rápido do que o esperado, daí a recomendação de “endereço novo”) Até agora, a maioria das pessoas tem pensado assim: “curvas elípticas quebradas, hashes seguros, reticulados seguros”. Mas há uma boa chance de que a segurança concreta dos reticulados sofra sérios golpes nos próximos dois anos de matemática impulsionada por IA. O modelo de ameaça básico é: fatoração é algo que, ingenuamente, leva 2^(n/2) tempo, mas ao longo de décadas pessoas inteligentes descobriram e otimizaram peneiras de corpo numérico, reduzindo isso para 2^O(n^(1/3)), o que explica por que chaves e assinaturas RSA precisam ter ~400 bytes (e não 64 bytes). E se houver esqueletos no armário assim, tanto para curvas elípticas quanto para reticulados, que simplesmente não somos inteligentes o suficiente para descobrir — mas bots em breve serão? Essa é uma grande parte da razão pela qual, no último ano, a rota da ethereum enxuta tem seguido na direção “apenas hash”: sem reticulados, sem ML-DSA, sem Falcon, sem compromissos baseados em reticulados dentro de provas ZK, etc. Assinaturas na ethereum enxuta são todas baseadas em hash, seja WOTS ou SPHINCS-. Para assinaturas e provas, já sabemos como ir apenas com hash. O maior desafio é para *criptografia de chave pública* — e isso vai muito além das blockchains. Comunicação segura, protocolos de anonimização, muitas coisas precisam de criptografia de chave pública. E infelizmente existem teoremas matemáticos bem estabelecidos que mostram por que a criptografia de chave pública não pode ser feita apenas com hashes. É necessário algum tipo de objeto “armadilha” que tenha pelo menos uma forma de “estrutura” utilizável — seja teoria de grupos (incluindo isogenias), reticulados, baseados em códigos ou talvez no futuro até coisas ainda mais novas e estranhas (mistura local?). Mas para qualquer coisa que tenha estrutura, você deve assumir que a IA fará pelo menos algum progresso em quebrar essa estrutura. Aqui, uma inferência razoável é que, se você quiser tornar algo plausivelmente seguro a longo prazo, multiplique os tamanhos das chaves por 10. Para mim, esse é um mundo muito plausível e algo nada extremo de prever. Se a IA nos trazer 50 anos de matemática em 2 anos, então esses 50 anos de matemática podem muito bem incluir uma melhoria do tipo “fatoração ingênua → GNFS” na nossa capacidade de quebrar reticulados. Nesse mundo, os reticulados ainda existirão, mas terão que ser significativamente maiores para garantir o mesmo nível de segurança. E nesses novos tamanhos maiores, construções baseadas em hash superarão construções baseadas em reticulados em eficiência concreta em todos os casos de uso onde construções baseadas em hash são possíveis. Teoricamente, é claro que é possível que os hashes também sejam quebrados (por exemplo, P = NP implicaria isso). Mas acho P = NP muito improvável. E intuitivamente, é muito mais provável que um objeto matemático tenha exatamente nenhuma estrutura explorável (como os hashes são intencionados a ser), do que que um objeto matemático tenha exatamente ~3 formas de estrutura explorável (para curvas elípticas: associatividade, Schoof, emparelhamentos) e nenhuma quarta forma secreta de estrutura ainda não descoberta que degrade drasticamente sua segurança (para curvas elípticas: ECDLP e segurança de emparelhamentos). O mesmo vale para LWE, SVP, RLWE e toda a gama de problemas de reticulados. Por essa razão, ainda não vemos nenhuma razão para se preocupar e começar a aumentar o tamanho em bytes dos hashes (se começarmos a nos preocupar mais, aumentaríamos primeiro o número de rodadas antes de fazer qualquer coisa ao tamanho em bytes). TLDR concreto, minhas próprias opiniões pessoais: * Hash-based > lattice-based, nas situações onde hash-based é possível em absoluto * Para qualquer coisa baseada em reticulados, seja muito mais paranoico com os tamanhos dos parâmetros. Lembre-se de que blockchains são apenas uma pequena parte da história da criptografia; esse ponto vai muito além das blockchains e se aplica a, por exemplo, acesso a sites, mensagens seguras, Tor / VPNs... * Para protocolos de privacidade, prefira fortemente NÃO colocar notas criptografadas na blockchain. Em vez disso, envie-as offchain por meio de algum mecanismo de terceiros. * Se não for difícil para você, manter seus fundos em endereços que ainda não foram usados para fazer uma transação é uma boa ideia. Se for fácil para você, faça isso. **Mas tenha cuidado com migrações; pessoalmente perdi mais dinheiro em migrações mal-sucedidas do que em todos os hacks combinados**. * Para carteiras multisig, fazer confirmações offchain é melhor do que onchain, pois dessa forma as assinaturas das carteiras dos signatários não ficam expostas ao público; assim, se o ECDSA cair muito mais rápido do que o esperado por IA, pelo menos o multisig “degrada suavemente” para um 1-de-1 onde o 1 é quem estava reunindo as assinaturas — um lugar muito melhor do que “qualquer um pode pegar o dinheiro”. https://t.co/oVjwZog2lL