Filippo Valsorda
知名密码学家与Go语言安全工程师，曾任职于Google，专注于密码学与安全工程领域
时间轴 (近 90 天)
2023 年 10 月，Filippo Valsorda 发起悬赏：12288 美元征集种子，若获奖者将奖金捐出则翻三倍。
Filippo Valsorda 用 Go 重新实现后输出完全一致，给出的时间戳为：P-521 1997-08-08，P-256 1997-08-16，P-384 1997-08-30，P-224 1998-04-03。
Filippo Valsorda 计算指出，即便允许 1997–98 年窗口内任意时间戳、每条曲线取前 16 个素阶候选，也只有勉强 30 比特的自由度，不足以有意瞄准假设中的小类弱曲线或嵌入 NOBUS 后门。
P-256 的生成过程跳过了第 876 个候选，Filippo 统计出有效种子数量大约是已公布的两倍，他识别出一条额外的拒绝规则（n 的位长不能超过 p），但第二条规则仍未知。
Filippo Valsorda 现在个人会推荐 NIST ECC 而非 Curve25519/Ed25519/X25519，理由包括 P-256 无处不在、宁愿集中精力到一条实现良好的曲线上，以及新签名有更好的选择 ML-DSA-44。
Filippo Valsorda报告称，关于NIST椭圆曲线种子来源的悬赏已被领取。
全部知识事实 (6)
Filippo Valsorda 用 Go 重新实现后输出完全一致，给出的时间戳为：P-521 1997-08-08，P-256 1997-08-16，P-384 1997-08-30，P-224 1998-04-03。
50%待验证Filippo Valsorda 计算指出，即便允许 1997–98 年窗口内任意时间戳、每条曲线取前 16 个素阶候选，也只有勉强 30 比特的自由度，不足以有意瞄准假设中的小类弱曲线或嵌入 NOBUS 后门。
50%待验证P-256 的生成过程跳过了第 876 个候选，Filippo 统计出有效种子数量大约是已公布的两倍，他识别出一条额外的拒绝规则（n 的位长不能超过 p），但第二条规则仍未知。
50%待验证Filippo Valsorda 现在个人会推荐 NIST ECC 而非 Curve25519/Ed25519/X25519，理由包括 P-256 无处不在、宁愿集中精力到一条实现良好的曲线上，以及新签名有更好的选择 ML-DSA-44。
50%待验证Filippo Valsorda报告称，关于NIST椭圆曲线种子来源的悬赏已被领取。
50%待验证2023 年 10 月，Filippo Valsorda 发起悬赏：12288 美元征集种子，若获奖者将奖金捐出则翻三倍。
50%