A cronologia dos desafios resolvidos é a única medida honesta que existe da capacidade real de busca de chaves — porque cada linha dela é um resultado publicado, verificável na blockchain, e não uma alegação de fórum.
Os primeiros degraus caíram sozinhos, quase sem esforço. Chaves de um, dois, cinco, dez bits são encontradas por qualquer pessoa com uma calculadora e paciência, e foram varridas nos primeiros meses. Até algo em torno do quinquagésimo degrau, a história é a mesma: um computador comum, algumas horas, e o endereço fica vazio.
A partir dos cinquenta e poucos bits, a coisa muda de natureza. Os degraus passam a ser derrubados por gente com fazendas de placas de vídeo, e o intervalo entre um degrau e o seguinte deixa de ser medido em semanas para ser medido em anos. Cada bit dobra o trabalho, e a escada fica cada vez mais íngreme exatamente na velocidade prevista.
Duas famílias de resultados convivem nessa lista, e confundi-las é o erro mais comum de quem lê a tabela pela primeira vez.
Na primeira família estão os degraus de número mais baixo, atacados por varredura pura. Só se conhece o endereço, não há atalho, e a solução é força bruta em placas de vídeo, exatamente como a Aula 2 do módulo anterior descreveu. O tempo é proporcional ao intervalo inteiro.
Na segunda estão degraus de número muito mais alto — bem acima do que qualquer varredura alcançaria — que caíram mesmo assim, porque a chave pública deles estava exposta. Ali o método é o canguru de Pollard, e o custo é a raiz quadrada do intervalo. É por isso que a tabela tem saltos aparentemente absurdos, com degraus altíssimos resolvidos enquanto degraus muito mais baixos continuam de pé: não é sorte nem genialidade, é a diferença entre atacar o intervalo e atacar a raiz dele.
Vale contar também a parte feia, porque ela é parte da história e ensina mais que as vitórias. Em mais de um caso, quem encontrou a chave não ficou com o prêmio. A transação que move as moedas precisa ser transmitida à rede e fica visível na mempool antes de ser confirmada — e existem programas vigiando a mempool exatamente à espera disso. Vendo a chave revelada na assinatura, um observador monta uma transação concorrente com taxa muito maior e a rede confirma a dele. Chama-se roubo em trânsito, e já aconteceu com quem varreu por meses.
A defesa é conhecida: combinar antes com um minerador para que a transação entre em bloco sem passar pela mempool pública. É trabalhoso, exige contato prévio, e quem descobre isso depois de perder aprende caro.
O que a cronologia inteira ensina, no fim, cabe em três frases.
Primeira: o progresso é exponencialmente lento. Décadas de melhoria de hardware compraram algumas dezenas de bits, e comprarão algumas dezenas a mais no mesmo ritmo — o que deixa 256 bits fora de qualquer horizonte imaginável.
Segunda: o que decide a dificuldade real não é o tamanho da chave, é o que está exposto. Um intervalo pequeno com chave pública publicada cai; o mesmo intervalo escondido atrás de um hash resiste muito mais.
Terceira: nenhum desses resultados tocou a criptografia. Nenhuma curva foi quebrada, nenhum hash foi invertido. O que caiu foi o que sempre cai — espaços de busca pequenos, escolhidos assim de propósito por quem montou o desafio.
E quando não é de propósito? Existe uma categoria inteira de chaves fracas que ninguém criou como brincadeira, e cujo dinheiro foi perdido para sempre por causa de uma escolha que parecia inteligente na hora. Na próxima aula, as carteiras cerebrais.