Тайна «чисел АНБ» в криптографии раскрыта: бэкдора не нашли, а биткоина она не касалась

В чём была загадка

В 2000 году американский институт стандартов NIST опубликовал стандарт цифровой подписи FIPS 186-2 и в нём рекомендованные эллиптические кривые, среди них пять над простыми полями: P-192, P-224, P-256, P-384 и P-521. Коэффициенты кривых получены хешем SHA-1 от «затравки», набора чисел, который должен был доказать, что кривую не подбирали руками. Такую схему называют проверяемо случайной.

Подвох был в самих затравках. Их дало Агентство национальной безопасности США, а откуда они взялись, никто не объяснил. По рассказам, автор, сотрудник АНБ Джерри Солинас, будто бы хешировал шуточную фразу и потом её забыл. Солинас умер в начале 2023 года, и проверить это стало не у кого.

Пока АНБ считалось просто сильной командой математиков, на это закрывали глаза. Всё изменилось в 2013 году: документы Сноудена связали агентство с бэкдором в другом стандарте NIST, генераторе случайных чисел Dual_EC_DRBG, и NIST убрал его из рекомендаций. После этого вопрос «а что спрятано в кривых?» стал звучать всерьёз.

Почему подозревали бэкдор

В 2014 году криптографы Дэниел Бернштейн, Таня Ланге и соавторы выпустили работу с говорящим названием «BADA55»: как подогнать стандарт кривых, если ты злодей. Довод простой. Если затравку никто не может объяснить, автор мог перебирать миллионы затравок, пока не найдётся кривая со слабостью, известной только ему. Сайт SafeCurves тех же авторов годами помечал P-224, P-256 и P-384 как кривые, которые «поддаются подгонке».

Доказательств бэкдора не было, но не было и опровержения. А на P-256 тем временем выросла половина интернета: HTTPS, passkeys и вход по WebAuthn, защищённые чипы в iPhone и Android. В 2023 году криптограф Филиппо Валсорда с коллегами объявил награду 12 288 долларов тому, кто восстановит происхождение затравок, и пообещал утроить её, если деньги уйдут на благотворительность.

Что нашли

15 октября 2026 года награду заявила команда из десяти сотрудников Anthropic, 16 октября вышел их отчёт. Над задачей работала внутренняя исследовательская модель компании. По описанию в отчёте, ей намеренно не давали подсказку про «забытую фразу»: в эту сторону люди копали годами без результата.

Ответ оказался скучнее легенды. Никакой фразы не было: затравку не получали хешем из предложения, а брали прямо с выхода генератора. Затравки — это просто выход стандартного генератора псевдослучайных чисел lrand48 из семейства drand48, который был в любой Unix-системе 1990-х. Генератор запускали от текущего времени, а нужные затравки нашлись среди первых нескольких тысяч кандидатов.

Заодно восстановили затравки ещё нескольких кривых из старого банковского стандарта ANSI X9.62 и четырёх двоичных кривых NIST. Скрипты, которые заново получают все числа, выложены в открытый доступ, а Валсорда независимо переписал алгоритм и подтвердил совпадение.

Почему это снимает подозрение

Главный вопрос был не «откуда числа», а «сколько свободы было у автора». Чтобы подогнать кривую под тайную слабость, нужно перебрать очень много вариантов. В 2017 году Бернштейн и Ланге описали, как можно было бы подогнать кривую под гипотетический класс слабых кривых: для этого автору понадобилось бы около 70 бит свободы в выборе затравки.

Теперь, по подсчёту Валсорды, даже если считать любую секунду 1997–1998 годов и любой из первых 16 подходящих кандидатов, у автора оставалось едва около 30 бит. Этого слишком мало, чтобы прицельно выбрать слабую кривую или встроить бэкдор, которым может воспользоваться только АНБ. Сами исследователи подчёркивают, что это не взлом и не новая атака на кривые: менять ничего не нужно.

Валсорда назвал это завершением «реабилитации» кривых NIST. Оговорка у него тоже есть: со временем их всё равно могут заменить постквантовыми подписями.

Что осталось неясным

• Пропущенные кандидаты. Для P-256 подходил ещё 876-й кандидат того же запуска, но выбрали 1 842-й. У P-224 пропущены три подходящих кандидата. Почему, пока не объяснено.
• Базовые точки. Как выбирали стартовые точки у большинства кривых, неизвестно до сих пор.
• Одна двоичная кривая. Затравку кривой B-163 восстановить не удалось.

Ничего из этого бэкдора не прячет: свободы у автора всё равно было слишком мало. Но для идеально прозрачного стандарта эти вопросы стоило бы закрыть.

А что с биткоином

Биткоин этой истории не касался с самого начала. Сатоши Накамото выбрал не P-256, а другую кривую, secp256k1 из стандарта SEC 2. Её уравнение предельно простое: y² = x³ + 7. Случайных затравок, которые нужно было бы объяснять, в ней нет, поэтому SafeCurves относит её к «отчасти жёстким»: объяснено не всё, но необъяснённые части почти не дают автору свободы.

Почему Сатоши выбрал именно её, он публично не объяснял. Но сейчас этот выбор выглядит дальновидным: secp256k1 перешла в Ethereum, Litecoin, Dogecoin и TRON, на ней же работают прозрачные адреса Zcash. Если вы держите биткоин и хотите обменять его без регистрации, кривая под вашими ключами та же, что в 2009 году.

Другие сети пошли своим путём. Solana и TON используют Ed25519, а Monero — ту же кривую, что и Ed25519, но со своими кольцевыми подписями, которые скрывают отправителя. Кому важна именно приватность переводов, а не только надёжность подписи, может обменять биткоин на Monero и получить монеты, в блокчейне которых не видно ни сумм, ни адресов.

А P-256 в криптовалюты всё-таки пришла, только через чёрный ход удобства. В декабре 2025 года обновление Fusaka добавило в Ethereum встроенную проверку подписей на этой кривой. Это удешевило смарт-кошельки, где перевод подтверждают через passkey, то есть отпечатком пальца или Face ID, без сид-фразы.

Что из этого следует для ваших ключей

Новость успокаивает в главном: тайно подогнать кривые, на которых держатся HTTPS и passkeys, у автора почти не было возможности. Но у неё есть и побочный урок.

Генераторы такого типа предсказуемы: зная примерное время запуска, их выходы можно повторить. Для стандарта кривых это не страшно, затравки и должны быть публичными. Для ключей кошелька это смертельно: в 2023 году так опустошили кошельки, созданные утилитой Libbitcoin Explorer, в истории, известной как Milk Sad. Её генератор тоже запускался от системного времени. Поэтому сид-фразу создают только надёжным кошельком на вашем устройстве, а не «генератором фраз» на сайте. Как хранить её дальше, мы разбирали в гайде о seed-фразе.

Как сменить монету без аккаунта

Если после этой истории захотелось держать часть сбережений в монете с приватностью по умолчанию, биржа для этого не нужна. В VertEXchange обмен проходит без регистрации, почты и телефона: вы выбираете пару, вставляете адрес своего кошелька и до отправки видите курс и сумму, которую получите. Монеты уходят сразу на ваш адрес, сервис их не хранит.

• Фиксированный курс держится около 15 минут, пока подтверждается перевод.
• Можно указать адрес возврата: туда монеты вернутся, если обмен не состоится.
• Персональные поля операции удаляются через 24 часа после завершения, история обменов хранится только в вашем браузере.
• Чат поддержки есть на каждой странице, вопрос решают по коду обмена.

Тем, кто держит стейблкоины, удобно купить биткоин за USDT TRC20 сразу на свой адрес.

Частые вопросы

Был ли бэкдор АНБ в кривой P-256?

Доказательств нет, а главное подозрение снято. Затравки кривой оказались выходом обычного генератора, запущенного в 1997 году, и у автора было слишком мало свободы, чтобы прицельно подогнать кривую под тайную слабость.

Касается ли это биткоина?

Нет. Биткоин использует кривую secp256k1 с простыми фиксированными параметрами, без необъяснённых затравок. Кривые NIST в биткоине не применяются.

Кто разгадал загадку?

Десять сотрудников Anthropic с помощью внутренней исследовательской модели компании. Отчёт вышел 16 октября 2026 года, а криптограф Филиппо Валсорда независимо проверил результат.

Кому досталась награда?

36 864 доллара, утроенная сумма, ушли организации ISRG, которая ведёт бесплатные сертификаты Let's Encrypt.

Нужно ли менять ключи или кошелёк?

Нет. Исследователи прямо пишут, что это не взлом и не новая атака. Важно другое: создавайте сид-фразу только надёжным кошельком, а не генераторами на сайтах.