反向觀點：基於哈希的加密貨幣真的比基於橢圓曲線的更安全嗎？ 我們假設Poseidon是難以反轉的。Poseidon是什麼？一系列低次多項式應用於你的輸入。 但假設離散對數問題是困難的/佩德森哈希是安全的，根據當前的量子/以太坊敘事，這樣的假設風險更大？ 我們逐位讀取輸入位元，並使用固定生成器進行雙倍或雙倍加法。 當你查看橢圓曲線的雙倍和加法公式時，它也是一系列低次運算。 在某種意義上，它比Poseidon更安全——因為這個序列不是預先確定的，而是在每一步根據下一個輸入位元選擇操作（這可能提高安全性，但對snark不友好，需要位元分解）。 一個反駁論點是——在佩德森中，我們從固定生成器開始，而在Poseidon中，起始點（來自輸入）在尋找前像的情況下是“秘密”的……但我覺得這不太令人信服：因為你可以說，在佩德森的256次雙倍/雙倍加法回合中的前100次之後，我們也在“秘密”點開始後續操作，就像在Poseidon中一樣。 自然會這樣說——‘但基於哈希的加密貨幣的整個要點是，如果在特定哈希函數中發現弱點，我們可以替換哈希’。 但你真的能在多大程度上替換它，至少對於像精簡以太坊這樣的系統？ 精簡以太坊需要一個對snark超友好的哈希函數，因為你計劃不斷證明大量哈希，以彌補不使用基於橢圓曲線的簽名。 難道一個超友好的哈希函數最終會看起來像Poseidon？ 也就是說，只有低次運算，沒有條件分支。 在這種情況下，發現的攻擊可能涵蓋所有“對精簡以太坊足夠友好”的哈希函數。