为什么量子计算对比特币和加密货币构成威胁？

量子计算的威胁比特币 和加密货币有一个狭隘的原因：一台足够强大的量子计算机可以从钱包的公钥逆向工作到其私钥，然后签署交易并转移资金。对于当今的计算机来说，使这种逆转几乎不可能的数学运算并不适合运行正确算法的量子机器。

那台机器还不存在。但今年话题发生了转变。 6月22日，特朗普总统 签署了两项有关量子技术的行政命令，一项是建造一台强大的量子计算机，另一项是加强联邦系统抵御量子攻击。三个月前，谷歌量子人工智能发表的研究表明，对比特币密码学的攻击所需的硬件远少于专家的假设。政策推动和研究共同将量子从一个遥远的担忧变成了人们现在计划的最后期限。

究竟什么存在风险？

大多数报道都把这部分弄错了，所以值得精确。比特币和几乎所有主要链都使用椭圆曲线加密技术（特别是 secp256k1 曲线上的 ECDSA）来确保交易安全。您的公钥很容易从您的私钥计算出来，但逆转该步骤是确保您的硬币安全的难题。经典计算机无法在任何有用的时间范围内做到这一点。

肖尔算法Peter Shor 于 1994 年出版的一本书改变了这一点。在一台大型的纠错量子计算机上，它可以有效地解决逆转问题，将传统机器需要比宇宙年龄更长的问题变成只需要几分钟的问题。这是核心威胁，它针对的是数字签名。

第二种量子方法， 格罗弗算法，经常被引用，但在这里不太重要。它加速了 SHA-256 等哈希函数的暴力破解，比特币使用 SHA-256 进行挖掘和地址。问题是加速只是二次方，大致将 256 位安全性削减到 128 位等效值，并且网络可以提高补偿的难度。挖矿并不是弱点。签名是。

为什么比特币尤其暴露？

比特币的历史不利于它。根据比特币自己的开发者提案中引用的链上数据，截至 2026 年 3 月 1 日，超过 34% 的 BTC（约 6.5 至 690 万枚代币）位于已公开链上公钥的地址中。其中包括早期 Pay-to-Public-Key 输出中的约 170 万枚 BTC，其中一些据信属于中本聪。

有两种攻击形态需要理解：

• 静态：攻击者使用量子计算机从链上已经暴露的公钥（例如休眠的早期硬币）中获取私钥。这里没有时间压力，这使其成为近期风险。
• On-spend：攻击者拦截内存池中的一笔交易，并在原始交易确认之前伪造一笔竞争交易。研究表明，在最快的量子架构上，密钥导出平均需要 9 分钟左右，而比特币的出块时间为 10 分钟。在故意对攻击者有利的假设下（单一签名目标、快速密钥传播、无网络防御），本文模拟的每个区块的成功概率略低于 41%。在速度更快的链上，这种可能性急剧下降，对于莱特币的 2.5 分钟区块来说，这种可能性会急剧下降，因为完成数学运算的时间更少。这种情况仍然需要比静态情况更快的机器。

危险并不在于比特币的链条断裂。这是对资金的直接盗窃，再加上如果旧的、据称丢失的硬币突然开始流动，随之而来的信心冲击。

比特币对此做了什么？

BIP-360 于 2026 年 2 月分配并已在测试网中引入，引入了一种新的抗量子输出类型（称为 Pay-to-Quantum-Resistant-Hash 或 Pay-to-Merkle-Root）。它通过将易受攻击的密钥保留在链外并使用 NIST 批准的后量子签名来保护新创建的硬币。

BIP-361，由 Jameson Lopp 于 2026 年 4 月 14 日发布（@洛普）和五位合著者，解决了 BIP-360 无法帮助的遗留硬币这一更棘手的问题。它的标题是“后量子迁移和遗留签名日落”，制定了一个分阶段计划：激活后大约三年，网络停止允许发送到旧地址类型；大约两年后，它完全停止尊重旧签名，冻结任何从未迁移的硬币。仍在研究中的第三阶段将让合法所有者使用与其种子短语相关的零知识证明来收回冻结的资金。

这就是比特币文化与其自身发生冲突的地方。冻结硬币，即使是为了保护它们，也违背了许多持有者视为神圣的“你的钥匙，你的硬币”原则。支持者反驳说，不采取任何行动肯定会导致这些代币随后被盗，这本身就是损失，而且是一个更混乱的损失。 BIP-361 没有激活时间表，仍然是草案。

其余加密货币的暴露程度如何？

该漏洞是整个行业范围内的，因为大多数连锁店都依赖同一个椭圆曲线数学系列。

以太坊 是最积极的响应者。以太坊基金会于 2026 年 1 月成立了专门的后量子安全团队，Vitalik Buterin（@VitalikButerin）在 2 月份发布了一份路线图，命名了四个暴露层：账户签名（ECDSA）、验证者签名（BLS）、数据可用性（KZG 承诺）和零知识证明。其主导策略是通过 EIP-8141 进行账户抽象，该策略正在考虑用于 2026 年下半年的 Hegotá 硬分叉，允许个人账户选择量子安全签名，而无需强制整个网络立即切换。在共识方面，以太坊计划将 BLS 替换为基于哈希的方案，称为 LeanXMSS。该基金会的目标是在 2029 年左右建立核心后量子基础设施。

索拉纳 通过其 Ed25519 签名也面临着同样的曝光。其两个主要客户团队 Anza 和 Firedancer 均已聚合到基于 NIST 网格的方案 Falcon，并于 2026 年 4 月发布了分阶段迁移计划。

哪些项目已经受到抵制或进展迅速？

有一些链值得在这里标记，要么是因为它们是量子安全的，要么是因为它们有具体的计划：

• QRL（抗量子账本）：从一开始就是量子安全的，使用基于哈希的 XMSS 签名。小盘股，但在这一问题上技术上是纯粹的。
• 阿尔戈兰德 (ALGO)：大型连锁店中最远的连锁店。 Falcon 签名已经用于其状态证明，Falcon 交易签名正在积极开发中。
• 恒星 (XLM)：于 2026 年 6 月 9 日发布了量子准备计划，从 Soroban 智能合约中的 ML-DSA 签名验证开始，然后在 2027 年选择加入量子安全签名者。
• XRP Ledger：2026 年 4 月发布了一个四阶段路线图，目标是到 2028 年全面做好后量子准备，验证器测试正在进行中。
• 卡尔达诺 (ADA)：运行 Nightstream 项目，这是一项基于网格的工作，首先通过后量子检查点保护历史账本数据。
• Starknet：它的 STARK 证明已经依赖于哈希函数而不是椭圆曲线，这使得它们在设计上具有抗量子性。

通用工具包是 NIST 的后量子标准，于 2024 年 8 月最终确定：FIPS 203 (ML-KEM)、FIPS 204（ML-DSA，也称为 Dilithium）和 FIPS 205（SLH-DSA 或 SPHINCS+）。 Falcon 的标准 (FN-DSA) 预计将于 2027 年左右采用。共同的挑战是这些签名比链目前使用的签名更大，这意味着需要承担更大的交易和实际性能成本。

那么你应该有多担心呢？

不惊慌，但也不自满。目前还不存在与密码学相关的量子计算机。目前最好的机器运行几千个嘈杂的物理量子位，最多有大约一百个纠错逻辑量子位。谷歌的论文估计，攻击将需要大约 1,200 到 1,450 个逻辑量子位和不到 500,000 个物理量子位，比之前约 900 万个最佳估计下降了约 20 倍。这个差距比一年前业界认为的要小，但仍然很大，而且跨越这个差距的容错硬件还不存在。

“Q-Day”预计集中在本十年末左右。谷歌内部设定了 2029 年迁移自己系统的最后期限。研究公司 Project Eleven 将基线定为 2033 年。以太坊研究员 Justin Drake (@德雷克夫贾斯汀），谷歌论文的合著者，预计到 2030 年这一比例将达到 10%，到 2032 年将达到 50%。

现在关心的原因是时机，而不是紧迫性。迁移去中心化网络需要多年的协调，一旦有能力的机器到达，暴露的数据就可以悄悄地收获，以破解“现在收获，稍后解密”的问题。较早移动的链条不会对攻击做出反应。他们正在为自己争取一点跑道。这种威胁还需要几年的时间。保持领先地位的工作也是如此，这也是该行业最终不再推迟的部分。

来源

• 白宫 2026 年 6 月 22 日签署的“引领量子创新的下一个前沿”行政命令，建立了 QC-ADDS 工作。
• 下一个政府/FCW 报告联邦系统的第二阶命令以及 2030 年和 2031 年后量子迁移最后期限。
• 谷歌量子人工智能 突破 secp256k1 的资源估计：1,200 至 1,450 个逻辑量子位，500,000 个物理量子位。
• BIP-361 后量子迁移和传统签名日落，包括超过 34% 的暴露供应数字和分阶段冻结计划。
• BIPs.dev 完整的 BIP-361 文本、作者和阶段结构。
• 以太坊网站 以太坊的后量子路线图、EIP-8141 和账户抽象策略。
• pq.ethereum.org 以太坊基金会后量子团队的研究中心和优先列表。
• 阿尔戈兰德 自 2022 年以来 Falcon 签署的状态证明、首个后量子主网交易以及 2027 年底弹性路线图。
• 恒星 量子准备计划于 2026 年 6 月 9 日发布，其中包含 Soroban 中的 ML-DSA 和分阶段账户迁移。
• 波纹 XRP Ledger 四阶段后量子路线图的目标是到 2028 年全面准备就绪。