Я не рекомендую нікому сьогодні панікувати і переносити свої кошти до нових гаманців. Але ми повинні серйозно ставитися до ризиків криптографії з боку штучного інтелекту, що прискорює математичні обчислення, і мінімізувати наше виставлення на ризик не лише криптографії, вразливої до квантових обчислень, але й потенційно вразливої до ШІ. Основна нова область ризику з цієї точки зору — на жаль, ML-DSA / FHE / ґратки. (І це ще одна причина, разом із квантовими обчисленнями, чому ECDSA може впасти навіть швидше, ніж очікувалося, тому рекомендація «свіжої адреси».) До цього часу більшість людей думали так: «еліптичні криві зламані, хеші безпечні, ґратки безпечні». Але є велика ймовірність, що конкретна безпека ґраток отримає серйозні удари від математичних досягнень ШІ протягом наступних двох років. Базова модель загрози: факторизація — це те, що наївно займає 2^(n/2) часу, але протягом десятиліть розумні люди знайшли та оптимізували решето числового поля і знизили це до 2^O(n^(1/3)), саме тому RSA-ключі та підписи мають бути приблизно 400 байт (а не 64 байти). А що, якщо в кладових є щось подібне — як для еліптичних кривих, так і для ґраток — що ми просто недостатньо розумні, щоб знайти — але боти скоро знайдуть? Це одна з головних причин, чому протягом останнього року стриманий план розвитку ethereum йшов у напрямку «тільки хеші»: жодних ґраток, жодного ML-DSA, жодного Falcon, жодних зобов’язань на основі ґраток у ZK-доведеннях тощо. Підписи в стриманому ethereum — всі на основі хешів: або WOTS, або SPHINCS-. Щодо підписів і доведень ми вже знаємо, як перейти на «тільки хеші». Більший виклик — це *публічно-ключове шифрування* — і це стосується набагато більше, ніж лише блокчейни: безпечна комунікація, анонімізуючі протоколи, багато інших речей потребують публічно-ключового шифрування. І на жаль, існують давні математичні теореми, які показують, чому публічно-ключове шифрування не може бути здійснене лише за допомогою хешів. Потрібен якийсь «замковий» об’єкт з принаймні однією формою корисної «структури» — або теорія груп (включаючи ізогенії), або ґратки, або кодовий підхід, або потенційно в майбутньому ще більш новаторські та дивні речі (локальне змішування?). Але для будь-чого, що має структуру, слід припускати, що ШІ зробить хоча б деякий прогрес у розбитті цієї структури. Тут одна з розумних висновків: якщо ви хочете створити щось, що має реальну довгострокову безпеку — помножте розміри ключа на 10. Для мене це дуже правдоподібний світ і не надто екстремальна прогнозна модель. Якщо ШІ принесе нам 50 років математики за 2 роки, то цих 50 років математики дуже правдоподібно міститимуть покращення на рівні «наївна факторизація → GNFS» у нашому здатності розбивати ґратки. У такому світі ґратки все ще існуватимуть, але їх треба буде значно збільшити, щоб забезпечити той самий рівень безпеки. А при цих нових більших розмірах конструкції на основі хешу будуть переважати конструкції на основі ґраток за реальною ефективністю у кожному випадку використання, де конструкції на основі хешу взагалі можливі. Теоретично, звичайно, можливо, що й хеш-функції будуть зламані (наприклад, P = NP означало б це). Але я вважаю P = NP дуже малоймовірним. І інтуїтивно набагато правдоподібніше, що математичний об’єкт взагалі не має експлуатованої структури (як хеш-функції задумано), ніж що математичний об’єкт має саме ~3 форми експлуатованої структури (для еліптичних кривих: асоціативність, Schoof, парування) і не має якоїсь таємної четвертої форми структури, яку ми ще не виявили і яка значно поганить його безпеку (для еліптичних кривих — ECDLP та безпека парувань). Те саме стосується LWE, SVP, RLWE та всього «зоопарку» проблем ґраток. З цього приводу ми поки не бачимо жодних причин для занепокоєння та початку збільшення розміру байт хеш-функцій (якщо ми почнемо турбуватися більше — спочатку збильшимо кроки обчислень, навряд чи змінимо розмір байт). Конкретний TLDR — мої особистий погляди: * Хеш-орiєнтоване > ґраткове — у тих випадках, де хеш-орiєнтоване взагалi можливе. * Для будь-чого на основi ґраток — будьте набагато бiльш параноїчними щодо параметрiв. Пам’ятайте: блокчейни — лише невелика частина криптографiчної історiї; цей пункт стосується набагато ширшого спектру — наприклад доступу до сайтiв, безпечного месенджингу, Tor/VPN тощо. * Для приватних протоколiв — сильно рекомендую НЕ помiщати зашифрованi повiдомлення на блокчейн. Натомiсть надсилайте їх поза блокчейном через якийсь третiй механiзм. * Якщо для вас не складно — зберiгайте кошти на адресах, якi ще не використовувалися для здiйснення транзакцiй. Якщо це легко для вас — зробiть це. **Але будьте обережнi з мiграцiями; я особисто втратив бiльше грошей через неудачнi мiграцiї, нiж через всi хакерськi атаки разом узятi**. * Для мультипiдписних гаманцiв — пiдтвердження поза блокчейном краще за пiдтвердження на блокчейнi, бо таким чином пiдписи гаманцiв пiдписувачiв не виставляються у вiдкритий доступ; отже, якщо ECDSA впаде до ШІ набагато швидше, нiж очiкувалось — хоча б мультипiдпис «плавно деградує» до 1-of-1, де 1 — це той, хто збирав пiдписи — набагато краще положення, нiж «будь-хто може забрати грошi».