Угроза ECDSA: какие биткоин-кошельки уязвимы и что делать

Коротко: 7 октября 2026 года исследователь Ethereum Foundation Джастин Дрейк призвал индустрию начать готовиться к «режиму бункера» (bunker mode): в худшем сценарии ECDSA — схема подписи, которая защищает большинство кошельков Bitcoin и Ethereum, — может быть взломана «за месяцы, а не годы», причём скорее силами ИИ-математики, чем квантового компьютера. Виталик Бутерин согласился, что риск реален, но призвал никого не переводить средства в спешке. В тот же день Европол опубликовал доклад: криптовалюты не рухнут из-за квантовых вычислений, но слабое место — кошельки с уже раскрытыми публичными ключами. Аналитики оценивают такой объём примерно в 6–6,9 млн BTC, около 30% всех биткоинов. Практической атаки на ECDSA никто не продемонстрировал.

Что именно сказал Джастин Дрейк?

В посте в X Дрейк написал, что сейчас разумно готовиться к взлому ECDSA ещё до «q-day» — момента, когда квантовые компьютеры смогут ломать нынешнюю криптографию с открытым ключом. Под «взломом» он понимал вполне конкретную вещь: быстрое восстановление приватного ключа по публичному, например примерно за неделю на большом GPU-кластере. Поводом стал не квантовый прорыв, а публикация OpenAI сотен математических результатов, полученных внутренней моделью: Дрейк назвал это признаком того, что «математический сверхинтеллект уже здесь». Его довод: у эллиптических кривых больше математической структуры, чем у хеш-функций, поэтому новый «короткий путь» на обычных компьютерах для них правдоподобнее.

Ответ, который он предлагает, — «режим бункера»: держатели, начиная с крупных и опытных, постепенно переводят большую часть средств на свежие адреса, с которых ещё ни разу не подписывались транзакции, — тогда публичный ключ остаётся спрятан за хешем. Биржам и кастодианам он предложил пересмотреть схемы холодного хранения. Дрейк прямо оговорил, что это его личная рекомендация, ECDSA не взломана и паниковать или торопиться не нужно.

Как отреагировали Бутерин и другие?

Бутерин ответил в тот же день. Он согласился, что ускоренная ИИ математика — серьёзная причина пересмотреть старое допущение («кривые сломаны, хеши надёжны, решётки надёжны»), и предупредил, что даже постквантовые схемы на решётках вроде ML-DSA могут пострадать от ближайших двух лет ИИ-исследований. Но насчёт кошельков он осторожен: не советует никому срочно перекладывать средства, переезд на неиспользованные адреса — хорошая мера, только если это несложно, а сам он, по его словам, потерял на неудачных миграциях больше, чем на всех взломах вместе взятых.

Мнения в индустрии разделились. Глава криптографии Coinbase Иегуда Линделл заявил, что нет никаких признаков ослабления допущений, на которых держатся эллиптические кривые, и назвал предупреждение FUD. Хасиб Куреши из Dragonfly назвал его трезвым призывом, к которому стоит прислушаться. Джейкоб Крич из Solana Foundation сказал, что пользователям Solana «бункер» не нужен, и описал возможный будущий путь миграции ключей Ed25519 через хеш-доказательства.

Что опубликовал Европол?

Европейский центр по борьбе с киберпреступностью Европола (EC3) 7 октября 2026 года выпустил два доклада: «Quantum Computing and Cryptocurrencies» и «Harvest Now, Decrypt Later». В криптодокладе блокчейн отделён от кошельков поверх него. Хеш-функции вроде SHA-256 в Bitcoin считаются в целом устойчивыми к квантовым атакам; подписи с открытым ключом — «основная точка уязвимости». Рекомендации: поэтапный переход на постквантовую криптографию, крипто-гибкость, приоритет для самых уязвимых активов и заблаговременный перевод средств с уже раскрытых ключей — задним числом их не защитить.

Оговорка о цифрах. В публикациях о докладе фигурирует диапазон примерно 6–6,9 млн BTC на адресах с раскрытыми публичными ключами. Эти оценки сделали ончейн-аналитики: Glassnode в 2026 году насчитал около 6,04 млн BTC (30,2% предложения), а основатель CryptoQuant Ки Ён Джу ранее в этом году — около 6,89 млн BTC. Разница — в методике, прежде всего в том, как учитываются монеты, раскрытые прошлыми тратами.

Ключевые факты

Какие адреса на самом деле уязвимы?

Правило простое: чтобы получить приватный ключ из публичного, атакующему сначала нужно увидеть публичный. Виден ли он, зависит от типа адреса и от вашей истории транзакций.

• P2PK (pay-to-public-key). Самые ранние выходы Bitcoin — в том числе многие монеты, добытые в 2009–2010 годах и приписываемые Сатоси Накамото, — привязаны прямо к публичному ключу, и он виден в блокчейне навсегда. Дрейк называет примерно 20 000 таких выходов по 50 BTC «щитом Сатоси»: крупная и соблазнительная первая цель, которая может дать небольшим кошелькам запас времени.
• Taproot (P2TR, адреса bc1p). Выход Taproot хранит (модифицированный) публичный ключ напрямую, поэтому ключ раскрыт сразу при получении монет, а не только при трате. Taproot не взломан — просто для этой конкретной угрозы он попадает в «структурно раскрытую» категорию.
• Повторно используемые адреса. Хешированные форматы (P2PKH — адреса на 1, P2SH — на 3, P2WPKH — на bc1q) прячут ключ до первой траты. Как только вы потратили с такого адреса, ключ публичен, и всё, что на нём осталось или придёт позже, раскрыто. Это «операционная» уязвимость — около 4,12 млн BTC по подсчёту Glassnode, — и именно её пользователь может устранить сам.
• Аккаунты Ethereum. Адрес в Ethereum — хеш публичного ключа, но ключ восстанавливается из любой подписанной транзакции. На практике у каждого аккаунта, который хоть раз что-то отправлял, ключ раскрыт; у адреса, который только принимал средства, — нет.

Даже свежий адрес раскрывает ключ в момент траты, пока транзакция ждёт в мемпуле. Это окно в минуты, и оно важно только против очень быстрого атакующего. Долгосрочное решение — постквантовые подписи на уровне протокола, их обсуждают разработчики и Bitcoin, и Ethereum; направление Ethereum мы разбирали в материале о дорожной карте Бутерина и форке Hegota.

Что делать держателю сейчас — без паники?

1. Проверяйте, а не бегите. Здесь согласны и Дрейк, и Бутерин. Поспешный переезд с ошибкой теряет деньги уже сегодня, а описанная угроза — сценарий, а не событие.
2. Найдите свои раскрытые монеты. Посмотрите в кошельке адреса, с которых вы уже тратили и где остался баланс, старые выходы P2PK и адреса Taproot (bc1p).
3. Перестаньте переиспользовать адреса. Пользуйтесь кошельком, который каждый раз выдаёт новый адрес для приёма и сдачи; большинство HD-кошельков делают это по умолчанию.
4. Спокойно консолидируйте средства на хешированные неиспользованные адреса, если раскрытый баланс заметный: сначала тестовая сумма, сверка адреса получателя, актуальная резервная копия сид-фразы. Именно при переводах люди попадаются на отравление адресов и фишинговые подписи.
5. Учитывайте комиссии. Лучше несколько пакетных транзакций в период низких комиссий, чем много мелких.
6. Не забывайте базу. Аппаратный кошелёк, сид-фраза офлайн, никаких скриншотов и облаков. Угрозы, актуальные уже сегодня, разобраны в нашем гайде по безопасности самостоятельного хранения.
7. Балансы на бирже — забота биржи. Монеты на платформе лежат на её адресах, и ротация ключей зависит от кастодиана — ещё один довод держать долгосрочные запасы в своём кошельке.
8. Если меняете — сначала сравните. Переезд средств иногда совпадает с ребалансировкой. Курсы и лимиты у сервисов сильно различаются: их сравнивает список обменников changerella.com, а app.changerella.com проводит обмен сразу на адрес, который вы контролируете, без регистрации.

Материал объясняет технический риск и не является инвестиционной рекомендацией.

Частые вопросы