以太坊的量子问题能否用不到一毛钱的成本解决？

Ethereum 根据尼古拉斯·康西尼于2026年6月14日发表的一项提案，量子保护的成本可能低至每个账户0.07美元。 Ethereum 基金会的 Kohaku 项目负责人。该方法将美国国家标准与技术研究院 (NIST) 批准的后量子签名标准 SPHINCS+ 改编成一个更精简的变体，称为 SPHINCS-（读作“SPHINCS 减法”），该变体可在以太坊上原生运行，无需硬分叉或任何协议级更改。

什么是硬叉？ 硬分叉是指区块链网络进行重大规则变更，需要所有用户、钱包和交易所同时升级。它耗时、协调成本高昂，且容易引发政治争议。SPHINCS 则避免了所有这些问题。

什么是内收肌？它为什么重要？

以太坊账户目前依赖于一种名为 ECDSA 的技术，它是椭圆曲线数字签名算法的缩写。您可以将其理解为数字锁，用于证明您拥有自己的钱包并授权了交易。每次您发送 ETH 或与智能合约交互时，ECDSA 都会确认该指令确实来自您本人，而非其他人。

这种锁对当今的计算机来说非常牢固。但量子计算机的工作原理不同。一台足够强大的量子计算机可以从你的公钥（链上所有人都能看到的地址）反向推导出你的私钥（本应保密的私钥）。一旦有人掌握了你的私钥，他们就能控制你的资金。实现这一点的技术被称为肖尔算法，这是一种数学捷径，量子计算机可以运行，而普通计算机则无法运行。

SPHINCS提案直接针对这个问题。它无需等待整个以太坊网络升级，而是允许用户通过智能合约立即为自己的账户添加抗量子攻击保护，无需全网投票或协调。

以下因素使成本估算更加合理：

• 一个用 Solidity（以太坊的编程语言）构建的 SPHINCS 工作版本，可以在链上快速验证量子安全签名，耗时大约为 1000 秒。 150,000汽油 Gas 是以太坊用来衡量交易所需计算量的费用单位。
• 按当前汽油价格计算，150,000万加仑汽油约合…… 每张支票 0.07 美元.
• 该系统使用以太坊的内置功能 KECCAK256 哈希函数 ——与以太坊内部使用的标准相同——而不是外部标准。这意味着无需对以太坊进行任何特殊添加。 核心 需要编写代码。
• 验证器背后的数学原理已使用以下方法进行了正式检查 与 Verity 一起精益 4这是一种软件工具，可以证明代码在数学上是正确的，类似于让审计员在代码上线前验证每一行逻辑。

最初的 SPHINCS+ 标准，现在根据 NIST 的 FIPS 205 正式命名为 SLH-DSA，其设计目标是每个密钥最多可处理 2^64 个签名。这是一个天文数字：18 万亿亿。区块链钱包远不需要如此多的签名。 

根据论文中引用的 Dune Analytics 数据，即使是以太坊合并后最活跃的用户，每年也只进行约 431 笔交易。SPHINCS- 的设计正是为了应对这一实际交易量范围，将签名预算上限设定在 2^14（16,384）到 2^20（约 100 万）之间——对于任何钱包来说都绰绰有余，而且链上验证的成本也因此大大降低。

后量子密码技术究竟是如何运作的？

后量子密码学指的是构建量子计算机无法破解的安全系统。如今大多数加密技术，包括保护以太坊钱包的加密技术，都依赖于普通计算机难以解决的数学难题，而量子计算机却可以使用诸如 Shor 算法之类的工具破解这些难题。

SPHINCS+ 通过将三个组件层层叠加来构建其安全性：

• 哈希链 想象一下，一排上锁的盒子，每个盒子只能用前一个盒子里的钥匙打开。找到正确的钥匙就证明你从这条线索的起点开始，而不会暴露其他所有线索。
• 默克尔树 ——这种结构可以将数千个单独的密钥捆绑到一个简短的指纹中。您可以在不泄露其他密钥的情况下，证明任何一个密钥属于该密钥包。
• FORS（随机子集森林） ——一种签名方法，它允许单个密钥处理有限次数的签名，之后就需要更换密钥。可以把它想象成一把只能开门固定次数的钥匙。

这三个部分堆叠成论文中所谓的超树，本质上是由许多小树组成的树。当你签署交易时，系统会根据你消息的哈希值选择这棵树的特定分支。然后，负责验证你签名的人会沿着这条分支向上攀爬，每一步都通过哈希计算进行验证。在以太坊上，每次哈希计算都需要消耗 gas，因此 SPHINCS- 的整个工程目标就是减少验证者需要执行的步骤。

经过大量测试，Consigny 团队找到了既能降低验证成本又能保持强大安全性的设置。简而言之：

• 运用 16 字节哈希输出 （称为 n=16）既能保持签名较小，又能提供 128 位安全性——这是公认的强密码学的最低要求。
• 堆叠 两层树状结构 （d=2）而不是标准的 7 意味着棋子在链上做的工作要少得多。
• 设置 链长至 8 步 (w=8) 表示即使检查次数更多，每次检查也都很简短快捷。研究团队发现，在模拟以太坊实际的计算收费方式时，“短而多”的模式优于“长而少”的模式。
• 两种压缩技巧 WOTS+C 和 FORS+C 将额外的工作转移到创建签名的人身上——也就是运行在你设备上的钱包——这样链上校验器的工作量就减少了。签名者前期需要进行更多计算；而网络后期需要进行的计算则相应减少。

以太坊真的面临量子威胁吗？

目前还没有任何量子计算机能够破解以太坊钱包的加密技术。但相关技术的进步速度是真实存在的，而且是可以衡量的。

2026年4月24日，后量子初创公司Project Eleven颁发了其Q-Day奖——一项…… 比特币 Project Eleven 向研究员 Giancarlo Lelli 悬赏，表彰他破解了一台公开可访问的量子计算机上的 15 位椭圆曲线密钥。Project Eleven 称这是迄今为止规模最大的公开演示，展示了此类攻击未来可能带来的威胁。 比特币 以太坊，以及超过 2.5 万亿美元的资产，这些资产由椭圆曲线密码学保护。 

比特币的真实密钥长度为 256 位，远大于 15 位，因此这并非迫在眉睫的威胁。但 Project Eleven 的首席执行官 Alex Pruden 指出，此类攻击所需的资源正在不断减少，而且 Lelli 仅使用了云端可访问的硬件，无需国家实验室或专用芯片。

更大的 近长期威胁之一是“先收割后解密”策略。其运作方式如下：一个资源充足的攻击者——例如政府机构——可以悄悄复制并存储加密的区块链交易记录。他们目前还无法读取这些记录。但一旦出现足够强大的量子计算机，他们就可以回溯并解密所有已存储的数据。对于大多数加密数据而言，这无疑令人担忧。 

对于公共区块链数据而言，风险则有所不同：交易数据对所有人可见，但钱包背后的私钥却不可见。量子计算机最终可能从公开信息反向推导出私密信息，从而在原始交易发生数年后盗取旧钱包中的数据。

在比特币方面，Glassnode 于 2026 年 5 月 20 日发布了一份分析报告，指出约 1.92 万枚比特币（占总供应量的 9.6%）在未来的量子攻击下存在结构性安全隐患。另有 4.12 万枚比特币（占总供应量的 20.6%）因用户管理密钥和地址的方式而被标记为运行安全隐患。以太坊使用相同的底层加密系统，因此也面临着同样的风险。

规模化应用后，0.07 美元的量子修复实际成本是多少？

每个账户 7 美分对个人用户来说微不足道。对于管理数万个用户地址的 DeFi 协议而言，总费用最多也只有几千美元。对于托管机构、交易所和持有数百万美元钱包的大额投资者来说，为量子计算就绪支付这点零钱是完全合理的。

该设计还绕过了通常会拖慢以太坊升级速度的治理瓶颈。由于 SPHINCS- 是在单个账户级别而非协议级别运行的，因此任何钱包都可以选择将其作为可选功能添加。无需全网投票，无需等待其他利益相关者，也无需硬分叉。

尽管如此，这仍然是一份研究提案，而非最终产品。我们已与一家名为 Fable 的审计公司完成了初步的安全审查，但在开发人员认为可以安全地将其发布到主流钱包之前，仍需进行独立的正式审计。

目前还没有正式的以太坊改进提案（EIP）。EIP 是启动以太坊生态系统任何变更社区审查流程的官方文件，没有 EIP，任何变更都无法进入生产阶段。即使流程启动，集成到 MetaMask 或 Ledger 等常用钱包中可能还需要几个月的时间。

胸廓内括约肌之后是什么？

Consigny明确指出SPHINCS-只是一个过渡阶段，而非最终解决方案。其长期目标是名为SPHINCS-的变体。 瘦身旨在与以太坊的下一代零知识证明系统配合使用。

零知识证明（ZK 证明（Proof）是一种在不泄露底层数据的情况下证明某事为真的方法。以太坊越来越多地使用证明来加速交易并降低交易成本，因为单个证明可以同时涵盖数千次操作。 

为了使签名方案能够在零知识证明系统中正常工作，其内部数学运算必须与零知识电路（ZK电路，即ZK证明的底层计算结构）兼容。SPHINCS使用的哈希函数KECCAK256本身并不兼容ZK，这意味着将其集成到ZK证明中成本很高。

一份名为“PQ签名和STARK聚合的帧类型”的EIP草案描述了一种未来模型，在该模型中，后量子签名无需由网络上的每个节点单独验证。相反，多个签名将在链下捆绑成一个名为STARK的单一紧凑证明，链上仅需验证该证明。在该模型下，leanSPHINCS验证所需的gas将从150,000降至约 3,000汽油 因为检查成本由多笔交易分摊，而不是每笔交易都重复计算。

其缺点在于，基于 KECCAK 的签名（例如 SPHINCS）需要在用户设备上进行额外的封装步骤，然后才能打包到证明中。一个名为 JARDIN 的配套项目（预计很快发布）专门针对硬件钱包解决了这个问题，目标是在标准安全芯片硬件上实现 3 秒的签名时间。

结语

SPHINCS提案表明，利用现有工具，在以太坊上实现后量子时代的账户保护是一个切实可行的解决方案，且成本不高。150,000万gas的链上验证器、无需硬分叉以及正式的数学正确性证明都是具体的里程碑。0.07美元的数值来自一个基于实际gas价格测试的Solidity实现，而非理论估算。接下来需要完成的是从研究到生产的路径：审计、EIP（以太坊集成提案）以及钱包集成。量子威胁距离真正爆发还有数年时间，但提前应对的代价已经变得难以抗拒。

相关资源

相关资源

1. 以太坊研究 – SPHINCS-：Nicolas Consigny 于 2026 年 6 月发表的《EVM 优化的后量子签名》
2. NIST CSRC – FIPS 205：无状态哈希数字签名标准（SLH-DSA / SPHINCS+）
3. NIST – NIST 发布首批 3 项最终版后量子加密标准
4. Project Eleven 博客 – Project Eleven 为迄今为止对椭圆曲线密码学的最大规模量子攻击颁发 1 BTC Q-Day 奖
5. CoinDesk 研究人员因对底层技术发起迄今为止最大规模的量子攻击而赢得1个比特币赏金。
6. 加密新闻 – Glassnode：比特币量子风险涵盖 1.92 万枚比特币
7. Bitcoinist 以太坊研究人员提出SPHINCS——后量子钱包签名方案
8. 加密冒险 以太坊研究员称，量子账户保护起价仅为 0.07 美元。