Claude 半小时终结 25 年悬案：ECDSA 曲线种子之谜

比特币、银行卡、你的手机聊天——全世界都靠同一把数学锁：ECDSA。而这把锁芯里刻着的一段代码，二十五年没人能解释。直到上周，Anthropic 的 Claude 用不到半小时终结了这桩悬案，答案让所有人傻眼。这事在 HN 上拿下 400 多分。今天请来密码学研究员沈知远，聊聊这串神秘种子到底从哪来。

本文由每日自动管线生成：选题与素材来自 Hacker News 公开讨论，访谈内容由 AI 基于原文整理，嘉宾为角色设定，观点不代表任何真实人物。

小听： 知远，先给大伙儿划个重点：ECDSA 是个啥？为什么它的"种子"能让密码学界纠结 25 年？

沈知远： ECDSA 是椭圆曲线数字签名算法，比特币、HTTPS、银行卡都在用它，可以说是全世界最常用的公钥签名标准。2000 年 NIST 把它收进 FIPS 186-2 标准，顺带公布了一批标准曲线，比如大名鼎鼎的 P-256。每条曲线都带一个"种子"参数——一串 20 字节的十六进制数，P-256 的是 C49D3608 86E70493…。问题是：这串种子是 NSA 直接给出来的，没解释怎么生成的。密码学家最怕的就是"没法解释的随机数"——万一里面藏了后门呢？这一怀疑，就是 25 年。

小听： 江湖上一直有个传说，说 NSA 的 Jerry Solinas 是把一句玩笑话哈希了一下？

沈知远： 对，这是流传最广的版本。Jerry 自己 2015 年回忆说，可能是把类似"给 Bob 和 Jerry 加薪"这种玩笑话哈希了一下，Bob Reiter 写的代码。但他记不清细节，代码和存档都找不到了，2023 年 Jerry 去世，这条线就断了。后来还有人悬赏 36864 美元找种子来源——Filippo Valsorda 组织的，一直没人领走。

小听： 然后 Claude 出场了？

沈知远： 对，特别戏剧性。2026 年 10 月，Anthropic 一位工程师随口问内部的 Claude：你能破解这个吗？不到半小时，Claude 就找到了答案。Anthropic 随后发了完整研究报告。

小听： 答案是什么？真是玩笑话哈希吗？

沈知远： 完全不是——这就是最精彩的部分。真相是：这些种子根本不是任何哈希算法的输出，而是 90 年代 C 语言标准库里的 lrand48()——一个弱得可怜的伪随机数发生器，用 srand48(time) 初始化，种子就是当时的 Unix 时间戳。P-256 的种子来自 1997 年 8 月 16 日凌晨 1 点 52 分 34 秒，是那次运行的第 1842 个候选。Anthropic 原文的标题就一句话："It's just timestamps"——只是时间戳。

小听： Claude 是怎么在半小时里发现的？

沈知远： 它换了个角度：不再猜"玩笑话是什么"，而是想"当年生成曲线的程序会怎么写"。它写了个扫描器，沿着公开的种子逐位滑动，测试它们是不是 90 年代常见随机数发生器的连续输出，一共试了 34 种组合。然后发现了签名：所有种子每个数的最高位全是 0——lrand48 只返回 31 位，这是它的指纹，随机出现的概率只有 1/5810。顺藤摸瓜，用格基约化（LLL 算法）反推出发生器内部状态，再往回倒，就倒到了 srand48 初始化的形态——低 16 位是 0x330E，而初始化值正好是 1997 年 5 月到 1998 年 4 月之间的 Unix 时间戳。十条素数域曲线的种子全对上了，一条不差。

小听： 那后门疑虑是不是就洗清了？

沈知远： 基本是。Anthropic 的结论很明确：这不是密码学突破，也不是新攻击——恰恰相反，它让我们更确信曲线没有后门。用系统时钟当种子、随手生成 1842 个候选取一个，这种"糙"法恰恰藏不了精心设计的弱点。当然还有尾巴：P-224、P-256 这些曲线的基点 G 是怎么选的，Claude 没解出来；还有一条 B-163 的种子依然成谜。但主线已经闭环了。

小听： 那 36864 美元悬赏呢？

沈知远： Anthropic 说会捐给互联网安全研究组织 ISRG——就是给全网发免费证书的 Let's Encrypt 背后的那个组织。挺体面的结局。

小听： 普通人需要做什么吗？换曲线、升级啥的？

沈知远： 什么都不用做，Anthropic 原文第一句就是"no action to be taken"。这期更像一个"有趣的终章"：一个困扰学界四分之一个世纪的谜，被 AI 用半小时、换个思路就解开了。它真正值得琢磨的是后一层——AI 开始能独立做"发现式"的科研了：不是回答问题，而是找到没人注意到的指纹，再一路倒推回去。

小听： 感谢知远。完整时间线、各条曲线的复现代码，原文链接在此：Anthropic《Claude reveals ECDSA curve origins》。我是小听，明天继续，每天一帖。

• 原文：Anthropic Research《Claude reveals ECDSA curve origins》
• HN 讨论：搜索 "Claude reveals ECDSA curve origins"（2026-10-17，400+ points）
• 复现代码见原文 "Code to reproduce the seeds" 一节（Python，十余行）