ECDSA em risco: IA ameaça carteiras Ethereum

Sua carteira já expôs demais?

A segurança das carteiras Ethereum entrou em debate sério depois que dois pesquisadores centrais do ecossistema levantaram a hipótese de que avanços em matemática assistida por IA poderiam quebrar o ECDSA em meses, no pior cenário possível. Não estamos falando de um bug em contrato inteligente ou de phishing, estamos falando da primitiva criptográfica que garante que só você pode mover seus fundos. Se essa camada falhar, todo o resto, de DeFi a custódia institucional, perde o chão. É esse tipo de risco que tira o sono de quem opera infraestrutura de verdade.

Como operador, minha primeira reação foi de ceticismo prático. Todo ano alguém prevê o fim do ECDSA, seja por computação quântica, seja por um novo ataque matemático. Mas o ponto aqui é diferente. Não é que alguém já quebrou o esquema na prática, ninguém quebrou. É que a velocidade da descoberta matemática mudou. Modelos de IA estão ajudando a encontrar atalhos, provas e estruturas em problemas que pareciam intratáveis. Quando Justin Drake fala em preparar um 'bunker mode', ele não está afirmando que a quebra é iminente, ele está dizendo que o intervalo entre teoria e exploit pode ter encurtado muito.

O fato

O fato é direto e sem enfeite. Justin Drake publicou um alerta pedindo que a indústria blockchain se prepare para um cenário extremo em que a IA acelera a criptoanálise a ponto de derivar chaves privadas a partir de chaves públicas expostas. A recomendação prática dele foi clara: considerar mover fundos para endereços que nunca assinaram uma transação. O motivo é simples e técnico. Quando você assina, você revela sua chave pública na chain. A partir dela, em teoria, um atacante com um avanço matemático suficiente poderia calcular a chave privada e esvaziar a carteira.

Vitalik Buterin respondeu concordando com a direção do alerta, mas com uma ressalva importante de quem já operou muito. Ele disse que já perdeu mais dinheiro com migrações mal feitas do que com hacks. Ou seja, sair correndo para mover tudo agora pode causar mais prejuízo do que o próprio ataque. No longo prazo, ele defende uma arquitetura que dependa o máximo possível apenas de funções hash, porque até esquemas baseados em reticulados, que hoje são tratados como resistentes ao quântico, poderiam ser enfraquecidos por avanços da IA em matemática.

Como funciona na visão de operador

Para entender o risco, pense na arquitetura de uma carteira Ethereum hoje. Você tem uma chave privada, que gera uma chave pública via multiplicação de curva elíptica, no caso a secp256k1. O endereço que você usa no dia a dia não é a chave pública pura, é um hash dela, especificamente os últimos 20 bytes do Keccak. Enquanto você só recebe fundos e nunca assina, o mundo só vê o hash. E função hash bem construída não revela a entrada original. O problema começa no primeiro envio. Para validar a transação, a rede precisa da sua assinatura ECDSA, e essa assinatura expõe a chave pública.

Em condições normais, expor a chave pública não é um problema, porque derivar a privada a partir dela exige resolver o logaritmo discreto em curva elíptica, algo inviável com computação clássica. A inferência técnica aqui é que a IA não quebra isso por força bruta. Ela poderia ajudar a descobrir novos algoritmos, otimizações ou reduções matemáticas que tornem o problema mais fácil. É plausível imaginar um pipeline onde modelos sugerem lemas, testam milhões de variações de prova e encontram uma vulnerabilidade estrutural que humanos levariam anos para ver. Não há prova de que isso já exista para a secp256k1, mas o custo de busca matemática caiu e a latência entre ideia e teste despencou.

Buterin toca em outro ponto arquitetural que importa para quem constrói. Assinaturas baseadas apenas em hash, como XMSS ou LMS, não dependem de problema de número teórico elegante, dependem da resistência de pré-imagem do hash. São mais simples de analisar, mas têm custo operacional alto, com chaves maiores, estado que precisa ser gerenciado e verificação mais cara em gas. Esquemas pós-quânticos baseados em reticulados resolvem parte disso, porém ainda carregam complexidade matemática que a IA poderia justamente ajudar a dissecar. A troca aqui não é só segurança, é custo, latência de verificação onchain e complexidade de carteira.

O que isso muda na prática

Quem ganha com esse debate agora são equipes de account abstraction, carteiras com rotação de chaves e provedores de custódia que já trabalham com multisig e políticas de endereço fresco. Quem perde são operações preguiçosas, com uma única EOA antiga reutilizada há anos, com chave pública exposta em centenas de transações e sem plano de migração. Se você opera tesouraria de DAO, exchange ou protocolo, sua superfície de ataque não é teórica, é o histórico onchain das suas carteiras quentes.

A ação prática mais sensata hoje não é pânico, é higiene. Primeiro, faça um inventário real. Liste quais endereços críticos já assinaram, onde estão as chaves privadas e qual seria o custo de migrar. Segundo, para reservas de longo prazo que raramente se movem, considere seriamente um endereço virgem que nunca assinou, onde só o hash está visível. Terceiro, teste o processo de migração com valores pequenos antes de qualquer movimento grande. A fala de Buterin sobre perder dinheiro com migração errada é um aviso operacional direto. Pressa sem checklist gera perda permanente, endereço errado, nonce travado, gas mal estimado, seed anotada errada.

• Inventário: mapeie EOAs antigas com alta exposição de chave pública e separe cold de hot.
• Teste de migração: simule a rotação completa em testnet e depois com poeira em mainnet antes de mover o principal.
• Plano quântico e IA: acompanhe a adoção de contas com assinaturas agregadas e esquemas baseados em hash no roadmap do Ethereum.

A tensão que ninguém quer encarar

Aqui fica a dúvida real que me incomoda. Migrar tudo para endereços virgens resolve ou só move o gargalo? Na prática, você continua dependente do ECDSA no momento em que precisar gastar. O endereço virgem protege o repouso, não o uso. Se a quebra for real e rápida, o mempool vira um campo de caça, porque qualquer transação nova revela a chave pública e dá uma janela para o atacante tentar derivar a privada e fazer front-running com taxa maior. Isso escala? Para um usuário com dez dólares, talvez ninguém ligue. Para uma tesouraria com milhões parados, a janela de minutos entre broadcast e confirmação vira risco sistêmico.

E tem o custo que ninguém calcula direito. Rotação em massa significa mais transações, mais gas, mais complexidade de contabilidade, mais risco de erro humano e mais fragmentação de liquidez. Se todo mundo tentar entrar em 'bunker mode' ao mesmo tempo, a rede congestiona, o gas dispara e a latência de migração aumenta exatamente quando você mais precisa de velocidade. Vale a pena pagar esse preço agora por um ataque que ainda não existe? Para cold wallets grandes, provavelmente sim como seguro. Para operação diária com centenas de assinaturas por dia, talvez o foco deva ser reduzir reuso, segmentar fundos e preparar um caminho de atualização para assinaturas mais resistentes, em vez de tentar se esconder atrás de hash para sempre.

Conclusão

No fim, ninguém quebrou o ECDSA ainda, mas o debate Drake e Buterin deixa um recado operacional claro. A criptografia que sustenta o Ethereum não é mais um pressuposto eterno, é um componente com prazo de validade incerto. A pergunta que fica para quem constrói é simples e incômoda. Seu sistema sobrevive se precisar trocar de assinatura em semanas, ou você está preso a uma única curva para sempre?