Cardano創始人Charles Hoskinson公開反駁Ethereum聯創Vitalik關於格密碼的風險判斷

Cardano創始人Charles Hoskinson公開反駁Ethereum聯合創始人Vitalik Buterin關於格密碼的風險判斷，稱其把格基方案說成存在隱藏破綻，依據只是對整數分解史的類比、對“結構”的直覺，以及憑空給出的密鑰放大倍數。他同時稱，對方在哈希密碼研究上投入過深，已經難以退出。

Hoskinson指出，數域篩不是通用聰明，而是光滑數、因子基、線性代數拼出平方同餘這一套具體算術。他寫明一般數域篩複雜度應爲exp(O(n^(1/3)(log n)^(2/3)))，並稱對方帖中的公式有誤。數域篩在1993年完成，此後約三十年RSA密鑰長度幾乎沒再因新骨架大幅上調，他認爲分解史的教訓是可利用結構已經用盡。

他把格密碼的篩法時代往前追到1982年的LLL，以及BKZ、剪枝枚舉。篩法代價在2008年被估到2^0.415n，2016年被估到2^0.292n。他稱這些結果一出現就被寫進參數，ML-KEM與ML-DSA正是按這類攻擊定尺寸，成本模型還把內存免費送給攻擊者並丟掉多項式因子。理想格上的量子攻擊被他限定在環與分圓域，稱其打過真實方案，但打不到小模數的模格方案ML-KEM、ML-DSA。

他還把矛頭轉向對方辯護的哈希路線。已部署哈希裏，MD5與SHA-1已被差分分析攻破。Ethereum的hash-only路線使用Poseidon與Poseidon2，二者是小素域上的低次多項式映射。Ethereum Foundation曾爲Poseidon的密碼分析出資懸賞。證明側的FRI、STIR、WHIR在激進參數下依賴尚未證明的Reed-Solomon鄰近間隙猜想。他把“密鑰放大十倍”稱爲無公式的數字占卜，稱格攻擊代價形如2^(c·β)，常數改進20%大致只需要維度增加約25%，不是十倍。

Hoskinson把對方建議延伸到鏈外系統。Vitalik Buterin在10月7日的帖子裏把新風險區寫成ML-DSA、全同態加密與格，並稱若人工智能把五十年數學壓縮進兩年，格的具體安全性可能嚴重受損。他建議能用哈希就用哈希，格參數要更保守，隱私備註儘量經第三方鏈下發送，資金放在從未發過交易的地址。Hoskinson稱，瀏覽器和通訊工具已在部署混合ML-KEM，用來應對先竊取後解密。質疑唯一已落地的後量子密鑰封裝，或把尺寸放大到握手失敗，會讓流量在經典密碼上停留更久。

這場爭論直接改的是研究預算和遷移訂單，不是幣價本身。買方是已經把混合ML-KEM寫進瀏覽器、VPN、Tor和通訊軟件的部署方，以及按NIST參數採購模格方案的企業。賣方壓力落在被要求放棄格、改走WOTS、SPHINCS-的工程團隊。事件驅動來自人工智能加速數學的威脅模型，不是已公開的破譯。哈希簽名與Ethereum精簡路線受益於謹慎敘事。格方案實現方、已上線的混合後量子握手承壓。若遷移被推遲，先受益的是仍在使用經典密鑰交換的竊聽方。

來源：公開信息