Em 16 de outubro de 2026, a Anthropic publicou uma reconstrução que atribui a Claude a origem das sementes de cinco curvas primas do NIST: P-192, P-224, P-256, P-384 e P-521. Segundo a empresa, o modelo relacionou essas sementes a saídas do gerador pseudoaleatório lrand48, inicializado com timestamps Unix, e chegou ao resultado em menos de meia hora. A pesquisa da Anthropic trata da procedência de parâmetros fornecidos pela NSA ao NIST — não de uma nova forma de atacar assinaturas ECDSA.
Como a origem das sementes foi reconstruída
A Anthropic descreve um processo que inicializava srand48 com um timestamp e gerava candidatos de 20 bytes em sequência. Cada candidato era testado segundo os critérios de geração de curvas da ANSI X9.62. Para as cinco curvas NIST e outros cinco exemplos da ANSI X9.62, a empresa relata correspondências com saídas de lrand48() >> 23; cada estado recuperado reproduziu os 160 bits da semente correspondente.
Filippo Valsorda relatou ter reproduzido o processo em Go. Ele informou que a equipe da Anthropic reivindicou sua recompensa pela descoberta em 15 de outubro de 2026, um dia antes da publicação da pesquisa da empresa.
Os cinco timestamps reconstruídos
O código publicado pela Anthropic associa cada semente a um timestamp de inicialização e a uma posição na sequência de candidatos. São resultados computacionais reconstruídos, não registros arquivísticos independentes das execuções originais nos anos 1990.
| Curva NIST | Timestamp UTC reconstruído | Posição do candidato |
| P-192 | 18/05/1997, 14:45:34 UTC | 139 |
| P-224 | 03/04/1998, 12:52:07 UTC | 7.026 |
| P-256 | 16/08/1997, 01:52:34 UTC | 1.842 |
| P-384 | 30/08/1997, 14:50:08 UTC | 2.688 |
| P-521 | 08/08/1997, 01:12:04 UTC | 1.136 |
Os valores situam as cinco reconstruções entre maio de 1997 e abril de 1998. Eles descrevem a origem proposta para as sementes de curvas específicas; ECDSA é o algoritmo de assinatura digital que pode usar essas curvas, não outro nome para elas.
O que o resultado diz sobre a segurança de ECDSA
A Anthropic afirma que a reconstrução não é uma quebra criptográfica, um novo ataque ou uma fraqueza em ECDSA. Na avaliação da empresa, a explicação encontrada torna menos plausível a hipótese de que as sementes tenham sido escolhidas para introduzir uma porta dos fundos deliberada.
Essa conclusão diz respeito à procedência reconstruída das sementes. Ela não equivale a uma prova de que toda fraqueza possível em curvas ou implementações criptográficas esteja descartada.
Por que alguns candidatos foram ignorados
Valsorda relata um critério de rejeição: descartar candidatos quando o comprimento em bits da ordem da curva, n, supera o comprimento em bits do campo, p. Ele também aponta que a semente publicada de P-256 corresponde ao candidato 1.842, embora o candidato 876 produza uma curva de ordem prima do tamanho adequado. Segundo Valsorda, restam aproximadamente duas vezes mais sementes válidas do que as publicadas, e outro critério de seleção continua sem explicação. Relato de Filippo Valsorda sobre a reprodução e a seleção dos candidatos
A origem da semente de B-163 e a dos pontos-base de P-224, P-256, P-384, P-521 e das curvas binárias NIST também permaneceu sem explicação no relato da Anthropic.
