Я не рекомендую никому срочно переносить свои средства в новые кошельки сегодня. Но мы должны серьезно относиться к рискам криптографии, ускоряемым ИИ, и минимизировать нашу экспозицию не только квантово-уязвимой криптографии, но и потенциально уязвимой к ИИ криптографии. Основная новая область риска с этой точки зрения — к сожалению, ML-DSA / FHE / решетки. (и это еще одна причина, наряду с квантовыми угрозами, почему ECDSA может упасть даже быстрее, чем ожидалось, отсюда и рекомендация «свежего адреса») До сих пор большинство людей думали так: «эллиптические кривые сломаны, хеши безопасны, решетки безопасны». Но есть большая вероятность, что конкретная безопасность решеток серьезно пострадает от математических достижений ИИ в ближайшие два года. Базовая модель угрозы: факторизация наивно занимает 2^(n/2) времени, но за десятилетия умные люди нашли и оптимизировали решето числового поля, снизив это до 2^O(n^(1/3)), именно поэтому ключи и подписи RSA должны быть ~400 байт (а не 64 байта). А что, если в запасах есть подобные «скелеты в шкафу» — как для эллиптических кривых, так и для решеток — которые мы просто недостаточно умны, чтобы обнаружить, но боты скоро смогут? Это одна из основных причин, по которым за последний год «тонкий» roadmap ethereum двигался в направлении «только хеши»: никаких решеток, никакого ML-DSA, никакого Falcon, никаких обязательств на основе решеток внутри ZK-доказательств и т.д. Подписи в lean ethereum — все на основе хешей: либо WOTS, либо SPHINCS-. Для подписей и доказательств мы уже знаем, как перейти исключительно на хеши. Более сложная задача — это *публично-ключевое шифрование* — и это выходит далеко за пределы блокчейнов. Безопасная связь, анонимизирующие протоколы, множество других вещей требуют публично-ключевого шифрования. И к сожалению, существуют давние математические теоремы, показывающие, почему публично-ключевое шифрование невозможно реализовать только с помощью хешей. Вам нужен некий «ловушечный» объект, обладающий хотя бы одной формой полезной «структуры» — либо теория групп (включая изогении), либо решетки, либо кодовые структуры, либо потенциально в будущем еще более экзотические и загадочные вещи (локальное смешивание?). Но для всего, что имеет структуру, следует предполагать, что ИИ сделает хотя бы некоторый прогресс в разрушении этой структуры. Здесь разумный вывод: если вы хотите создать что-то правдоподобно долгосрочно безопасное — умножьте размеры ключей на 10. Для меня это очень правдоподобный сценарий и нечто совершенно не экстремальное для прогнозирования. Если ИИ принесет нам 50 лет математики за 2 года, то эти 50 лет математики вполне могут включать в себя улучшение уровня «наивная факторизация → GNFS» для нашего умения взламывать решетки. В таком мире решетки останутся, но им придется стать значительно больше, чтобы гарантировать тот же уровень безопасности. А при этих новых больших размерах хеш-основанные конструкции превзойдут решеточные по конкретной эффективности во всех случаях, где хеш-основанные конструкции вообще возможны. Теоретически, конечно, возможно, что и хеши будут сломаны (например, P = NP подразумевает это). Но я считаю P = NP крайне маловероятным. Интуитивно гораздо более вероятно, что математический объект вообще не имеет эксплуатируемой структуры (как и предполагаются хеши), чем что он имеет ровно ~3 формы эксплуатируемой структуры (для эллиптических кривых: ассоциативность, Schoof, пары) и не имеет какой-то тайной четвертой формы структуры, которую мы еще не обнаружили и которая сильно снижает его безопасность (для эллиптических кривых: ECDLP и безопасность пар). То же самое относится к LWE, SVP, RLWE и множеству других задач решеток. По этой причине мы пока не видим никаких причин для беспокойства и увеличения размера байтов хешей (если мы начнем беспокоиться больше — сначала увеличим количество раундов, прежде чем трогать размер байтов). Конкретный TLDR — мои личные взгляды: * Хеш-основанные > решеточные, в тех случаях, где хеш-основанные вообще возможны * Для всего решеточного — будьте гораздо более параноиками в отношении параметров размеров. Помните: блокчейны — лишь небольшая часть криптографической истории; этот момент выходит далеко за пределы блокчейнов и применяется к доступу к веб-сайтам, безопасной переписке, Tor/VPN и т.д. * Для протоколов приватности настоятельно рекомендуется НЕ помещать зашифрованные заметки в блокчейн. Вместо этого отправляйте их оффчейн через какой-либо сторонний механизм. * Если для вас несложно — храните средства на адресах, которые еще не использовались для совершения транзакций. Если это легко для вас — сделайте это. **Но будьте осторожны с миграциями; я лично потерял больше денег из-за неудачных миграций, чем из-за всех взломов вместе взятых**. * Для мультиподписных кошельков подтверждения оффчейн лучше, чем ончейн, потому что таким образом подписи кошельков подписывающих сторон не раскрываются публично — поэтому если ECDSA упадет от ИИ гораздо быстрее, чем ожидалось, мультиподпись хотя бы «плавно деградирует» до 1-of-1, где 1 — это тот, кто собирал подписи; это гораздо лучшее положение, чем «кто угодно может забрать деньги».