我让 Claude Fable 5.1 对文章中列出的风险作了分析推演，从以下三点进行解读：椭圆曲线被 AI 攻破的可能性、如果真发生了会怎么样、持有加密货币的人应该怎么办： 一、这件事的可能性 文章的核心主张：椭圆曲线数字签名（ECDSA）可能在"量子日"之前就被经典算法攻破，最坏情况是几个月内，在 GPU 集群上一周内就能恢复私钥。 支持这个担忧的理由 椭圆曲线确实有丰富的代数结构（Schoof、Frobenius、配对），结构越多，理论上可攻击的面越多；哈希函数则刻意设计成没有结构。 如果 AI 真的在数学上实现了"数十年进展压缩到数周"，那么过去 40 年人类没找到攻击方法，不再是强有力的安全证据。 作者关于"政府压制密码分析成果"的说法无法验证，但政府有强烈动机不公开这类突破，这种不对称本身就是风险。 反驳或削弱的理由 素域椭圆曲线离散对数问题是密码学里被攻击最久、最彻底的目标之一，至今没有亚指数算法。用"量子算法往往预示经典算法"类比有点牵强：Ewin Tang 的去量子化针对的是推荐系统等线性代数问题，而 Shor 的周期查找 30 年来没有任何去量子化迹象。 作者有明显的立场利益：他在推动以太坊的哈希密码学路线图，灾难叙事有助于加速议程。 "超级智能证明了很多定理"和"超级智能找到了一个具体的多项式时间 ECDLP 算法"之间差距巨大。 我的粗略判断：几个月内 ECDSA 被经典攻破的概率仍然是低位（我会放在个位数百分比），但相比一年前确实应该上调；而且这是个尾部极厚的风险——一旦发生，损失接近 100%，不像常规回撤。这种"小概率、大损失、不可逆"的结构，恰恰是值得花小成本对冲的类型。 二、如果真发生了，会怎样 关键在于：这不是加密货币的问题，是整个互联网的问题。 TLS、SSH、银行 API、代码签名、各国 PKI 全部依赖 ECDSA/RSA。但传统金融有法律身份和交易可逆性兜底，加密货币没有——"私钥即所有权"在这个场景下从优点变成致命缺陷。 链上暴露程度排序（从最危险到相对安全） 比特币早期 P2PK 地址（公钥直接在链上，含中本聪的约 100 万 BTC）、所有重复使用过的地址 Taproot（P2TR）地址——注意，Taproot 输出直接暴露（调整后的）公钥，不受哈希保护，很多人不知道这点 所有发过交易的以太坊 EOA 账户（公钥在签名时暴露）、Solana 等所有基于椭圆曲线的链（Ed25519 同样是椭圆曲线，不是免疫的） 交易所冷钱包——通常地址重复使用，是最大的"蜜罐" 从未签名过的 P2PKH / P2WPKH 比特币地址、从未发过交易的以太坊地址——公钥仍藏在哈希后面，相对安全 一个很重要的时间逻辑：如果恢复私钥需要一周，"新地址策略"有效，因为你广播交易到确认只有几分钟。但如果算法进步到几分钟内破解，那么你一发交易就会被内存池里的攻击者抢跑替换——届时整个椭圆曲线链无法安全转账，只能等硬分叉到哈希签名。所以"新地址"只是争取时间，不是终极解法。 价格路径：现实中你不太可能先被盗，而是先被砸。几个休眠的中本聪时代地址突然动了 → 市场恐慌 → 价格崩盘 → 你的币还在，但价值已经蒸发。对小持仓者来说，价格风险远大于私钥被盗风险（这就是文章说的"中本聪之盾"——攻击者会先打最大的目标）。 三、持有大量加密货币的人可以做什么 成本接近零的操作卫生（无论信不信都值得做） 比特币：把资金转到从未使用过的 P2WPKH（bc1q 开头）或 P2PKH 地址；避免用 Taproot 地址做长期存储；永远不要重复使用地址，每次花费后把找零转到新地址。 以太坊：转到全新的、从未发起过交易的地址（可用同一助记词派生新路径）。更好的做法是用智能合约账户（ERC-4337），因为它的验证逻辑可升级，未来可以换成哈希签名方案，不需要搬家。 把"日常用"和"长期存"分开：大头放冷藏新地址，不动；小头用于操作。 重新评估交易所存放的比例。在这个场景下，自托管的新地址比交易所冷钱包更安全——交易所的地址是攻击者的第一目标。 仓位层面（取决于你的风险承受） 这不是"全卖"的信号，但如果加密资产占你净资产比例过高（比如超过一半），这个尾部风险是重新审视集中度的好理由。 考虑用小成本买深度虚值的长期看跌期权（Deribit 的 BTC/ETH 期权，或美股市场上 IBIT 等 ETF 的 put）。这种保险平时亏期权费，但正是针对"小概率、巨损失"设计的。注意 Deribit 本身也是链上托管，对手方风险在此场景下也成立；美股 ETF 期权在法律层面更可靠。 分散到不同签名机制的链帮助有限——主流链都是椭圆曲线。真正用哈希签名的链（如 QRL）流动性极差，属于投机而非避险。 不要做的：恐慌抛售、仓促迁移导致操作失误（打错地址、助记词暴露）。文章本身也反复说"不要急"。