As curvas ECDSA da NIST definem a criptografia de curva elíptica usada em TLS, SSH, certificados X.509, Bitcoin, Ethereum e centenas de outros protocolos. Em 2000, a NIST publicou os parâmetros dessas curvas — incluindo P-192, P-224, P-256, P-384 e P-521 — sem explicar de onde vinham as sementes que determinam o coeficiente b de cada curva.
A NSA foi quem forneceu esses valores. Durante 25 anos, a comunidade criptográfica questionou se havia backdoors escondidos. Em 2015, uma recompensa de US$ 36.864 foi aberta para quem provasse a origem das sementes. Em outubro de 2026, a Anthropic entregou a tarefa a um modelo interno do Claude, e a resposta chegou em menos de 30 minutos.
Como Claude resolveu o mistério em 30 minutos
Claude começou pela hipótese de que engenheiros da NSA dos anos 1990 teriam usado o lrand48, gerador da biblioteca padrão C. Sem a pista da frase engraçada que circulava como boato, o modelo escreveu um scanner que testou 34 combinações de geradores e fatias de saída.
O primeiro sinal foi estatístico: os bits mais altos de algumas sementes eram todos zero. A probabilidade disso acontecer por acaso em quatro sementes simultâneas é de 1 em 5.810. O lrand48 retorna apenas os 31 bits superiores de um estado de 48 bits, o que explica exatamente esse padrão.
Para sementes que guardavam menos bits por saída, Claude aplicou o algoritmo LLL (Lenstra-Lenstra-Lovász) de redução de base em reticulados, técnica clássica da criptoanálise para recuperar o estado interno de geradores lineares congruentes truncados. Cinco sementes de curvas NIST e cinco sementes ANSI X9.62 compartilham o padrão lrand48() >> 23.
Com o estado recuperado, foi possível rodar o gerador para frente e para trás. Os carimbos de tempo para as curvas primárias caem entre maio de 1997 e abril de 1998. P-256 foi o candidato número 1.842 do gerador. Havia ao menos um candidato válido antes dele — o candidato 876 — mas o critério de seleção permanece desconhecido.
Por que isso importa para o seu negócio
A descoberta das curvas ECDSA responde a uma pergunta de confiança, não de vulnerabilidade. Como o processo de geração é simples e publicamente reproduzível, a teoria do backdoor deliberado perde sustentação técnica.
Você não precisa migrar agora. A descoberta não é um ataque criptográfico. P-256, P-384 e P-521 continuam seguros para uso em produção.
P-192 e curvas ANSI X9.62 merecem atenção adicional. Seus pontos-base vieram do gerador FreeLIP de Arjen Lenstra, presente em versões antigas do NTL de Victor Shoup. Essas curvas já eram candidatas a substituição por serem mais antigas; essa análise reforça a tendência.
A recompensa de US$ 36.864 será doada ao Internet Security Research Group, responsável pelo Let's Encrypt. A Anthropic publicou o código completo no domínio público via CC0 1.0.
O caso mostra algo mais amplo: um modelo de linguagem resolveu em 30 minutos um problema que resistiu a 25 anos de esforço humano organizado. Não porque o problema era simples, mas porque exigia combinar busca heurística, redução de reticulados e testes em escala — tarefas em que modelos como Claude se saem bem.
Conteúdo reescrito e traduzido para PT pela redação luiscortex, revisado por humano.
Fonte: Anthropic News
