9 分鐘攻擊窗口、710 萬枚 BTC 暴露：量子威脅下比特幣該如何自救

作者：Bitcoin Security Consortium，由致力於比特幣協議長期安全與穩定的行業領袖組成的聯盟

編譯：谷昱，ChainCatcher

一份 Bitcoin Security Consortium 報告，與 Presidio Bitcoin 合作完成。

核心要點（TL;DR）

量子計算的近期進展是真實的------但僅僅是漸進式的：諸如 Google 的 Willow 以及近期對 Shor 算法的優化等進展已引發擔憂，然而密碼學相關量子計算機（CRQC）尚未得到演示。

Bitcoin 面臨量子計算的風險僅限於其簽名方案，具體體現在兩個方面：針對易受攻擊代幣的靜態攻擊，以及針對內存池交易的在途攻擊。

解決方案已經確定，並且正在積極推進：（1）將資金遷出重複使用的地址，（2）開發後量子簽名方案，（3）就很可能已經丟失的 P2PK 代幣解決共識問題。

量子計算的復興？

在多年看似停滯之後，量子計算領域出現了越來越多論證其進展的學術論文及隨之而來的頭條新聞，在投資者中引發了對 bitcoin 安全性的擔憂。這些頭條包括：

Google 的 Willow（2024 年 12 月）。首次證明，增加物理量子比特以保護一個經過糾錯的"邏輯"量子比特，會使該邏輯量子比特更加可靠，而不是更不可靠。

Google Quantum AI、Oratomic/Caltech 以及 ECDSA.fail 對 Shor 算法的優化（2026 年）。Google Quantum AI 與 Ethereum Foundation 及 Stanford 合作，壓縮了通過 Shor 算法破解 Bitcoin 橢圓曲線的電路，相較此前估計大約削減了 20 倍。Oratomic 與 Caltech 認為，他們的 Shor 算法優化可以在數天內破解單個 Bitcoin 私鑰。最後，項目 ECDSA.fail------一個 Eigen Labs 記分板------召集研究人員和 AI 智能體，在隨後幾個月裡將 Google 的電路再縮小近 70%。

IonQ 的端到端 Shor 算法優化（2026 年 9 月）。一份用於運行 Shor 算法的完整編譯藍圖，同時針對軟件和硬件進行計算------理論上每次嘗試大約在 26 天內解出單個私鑰，成功率為 63.3%。

Google 的 magic state 培育（2026 年 10 月）。量子計算需要"magic states"，即每次使用都會消耗、且生產成本高昂的資源態。Google 在 Willow 上證明，其過濾協議將這些態中的錯誤大約降低 40 倍，實現 99.99% 的邏輯保真度。

Quantinuum 的"五個九"邏輯保真度（2026 年 10 月）。Quantinuum 的 Helios 計算機每百萬次操作出現 5 次錯誤（99.9995% 邏輯保真度），大約比 Google 的演示低 100 倍。每當編碼規模擴大，錯誤就下降 12 倍（λ = 12）。

儘管如今並不存在密碼學相關量子計算機（CRQC）------而且這項技術仍有許多工程挑戰，例如在物理上擴展糾錯量子比特------為什麼這些頭條會引起 Bitcoin 社區的關注？Bitcoin 與量子計算機之間是什麼關係？讓我們來探討。

量子計算簡述

量子計算的核心是量子比特，即 qubit。與保存 0 或 1 數值的經典比特不同，qubit 呈現出量子力學世界所獨有的兩個特性：

疊加：一個 qubit 可以同時保存 0 和 1 的混合值，測量會使這些值以加權概率坍縮為其中一個。

糾纏：兩個或更多 qubit 可以共享一個聯合狀態，測量其中一個就會確定另一個的值，無論距離多遠。

這些特性使量子計算機能夠同時探索許多候選答案，同時抵消錯誤答案。然而，物理量子比特十分脆弱，容易發生退相干，即量子信息的丟失，這就是為什麼如今許多公司的路線圖都以最低數量的邏輯量子比特為目標------邏輯量子比特是由多個冗餘物理量子比特構建的糾錯量子比特，使錯誤能夠被檢測並修復，從而使計算和信息保持可靠。

為了尋找最低的物理量子比特與邏輯量子比特之比，量子計算機實驗室研究最高效的硬件架構，包括但不限於：

超導電路（Google、IBM）：冷卻至接近絕對零度的小導線環，其中電流的行為如同一個 qubit。這項技術能夠實現較快的計算時間，但其發展擴展緩慢。

中性原子（Oratomic）：由稱為"夾子"的激光陣列固定的不帶電原子，其電子充當 qubit。這項技術擴展迅速，但理論上計算時間會更慢。

囚禁離子（Quantinuum、IonQ）：處於電磁場中、用激光操控的帶電原子------即離子；在這種情況下，離子的基態或激發能態充當 qubit。計算相對較慢；擴展速度中等。

光子學（PsiQuantum、Xanadu）：穿過芯片和光學器件的光粒子（光子）；每個光子的屬性充當 qubit。能夠實現較快的計算時間，但發展時間線似乎也更慢。

Bitcoin 的量子攻擊面

理論上，一台運行 Shor 算法的密碼學相關量子計算機將能夠破解 Bitcoin 的橢圓曲線數字簽名算法（ECDSA），即在網絡中維護所有權和財產權的簽名方案------它向交易對手證明私鑰的所有權，而不揭示該私鑰。重要的是，Bitcoin 的大部分核心博弈論和經濟原則並不屬於這一攻擊面，例如其交易共識、發行時間表和供應上限。

攻擊 Bitcoin 私鑰為該網絡呈現兩個攻擊面：

長時暴露或靜態攻擊。重複使用的地址或安全性較低類型的舊地址（支付到公鑰，P2PK）中的代幣已經暴露了公鑰，量子計算機可以利用這些公鑰獲取對應的私鑰。如今大多數基於現代輸出類型的活躍地址------公鑰在花費之前處於隱藏狀態------並不容易受到這類攻擊。然而，Project Eleven 估計，大約 710 萬枚 BTC，約占總量的 35%，如果今天存在一台有能力的量子計算機，將容易遭受盜竊。其中大約四分之三存放在重複使用的地址中------大多在大型交易所------如果交易所將資金轉移到一次性地址，並採用更好的托管實踐和標準，風險就可以降低。然而，另有 180 萬枚 BTC 位於 P2PK 地址中，並且大多被假定已經丟失，使它們遷移到安全地址可能不可行。計算時間無論快慢的量子計算機都可以利用這些已暴露的公鑰，一次一個，獲取持有投資者資金的私鑰。

短時暴露或在途攻擊。Bitcoin 網絡中的代幣僅在被花費時才揭示其公鑰，從而形成一個約 10 分鐘的脆弱窗口（或者更準確地說，是交易提交與被納入區塊之間的時間）。一台足夠快的量子計算機可以利用這個窗口在交易進行中竊取代幣。Google 估計，一台已預熱的快時鐘量子設備可以在最快 9 分鐘內完成獲取私鑰的計算，使得即使原本存放在不易受攻擊地址中的代幣，在經歷典型交易時也會面臨被盜風險。

可能誇大威脅的誤解

"量子硬件已經擴展完畢並準備就緒。"目前演示效果最好的系統------Quantinuum 的系統------產生了 48 個糾錯邏輯量子比特。破解 Bitcoin 的橢圓曲線至少需要約 1,200 個。

"量子演示已經證明了密碼學相關量子計算。"它們並沒有。Willow 證明的是糾錯存儲器，而不是大規模糾錯計算。Google、Oratomic 和 IonQ 在 2026 年的論文是藍圖，而不是正在運行的機器。許多邏輯量子比特之間的低錯誤操作仍然是有待攻克的瓶頸。

"所有 bitcoin 都會立即面臨被盜。"大多數 bitcoin 在靜態狀態下並不易受攻擊，因為公鑰在被花費之前一直隱藏在哈希之後。最大的單一暴露原因------地址重複使用------如今可以通過輪換到新的未花費地址來解決。即使攻擊今天到來，它也會是每次嘗試針對單個私鑰，而不是一次針對全部易受攻擊的供應。

可能低估威脅的誤解

"Shor 算法優化無關緊要。"3 月，Google 將理論上破解 Bitcoin ECDSA 所需的邏輯量子比特要求大約壓縮了 20 倍，並指出橢圓曲線受到的優化關注遠少於 RSA（Rivest-Shamir-Adleman）密碼系統，這意味著仍有更多優化空間。例證是，ECDSA.fail 項目已將 Google 的電路進一步優化了近 70%。

"那是幾十年後的事，何必費心？"近期專家調查認為，一台有能力的機器在 2030 年至 2035 年之間出現的概率大約為 50%，各國政府的目標是在 2030 年代早期至中期完成後量子遷移，Google 和 Cloudflare 已將內部截止日期定在 2029 年。需要注意的是，這些截止日期更緊迫地適用於政府或公司防範"先收割，後解密"攻擊------主要涉及未來仍可能相關的私人信息。由於 Bitcoin 可以通過參與者遷移到公鑰隱藏的地址來自衛，這些截止日期可以被視為該網絡的最佳實踐，而不是必然期限。

"我們會提前看到它到來。"突破可能保持私密，或被民族國家視為機密，而早期盜竊可能看起來零星發生，難以與常規的托管周轉或支付交易區分開來。

如今正在做的事情

如今的 Bitcoin 持有者------包括交易所、機構和投資者------已經在通過積極討論解決方案來防範量子威脅，優先級或許如下：

將易受攻擊的供應從重複使用的地址遷移到未花費地址。這是最容易實現的事項，不需要網路共識或軟分叉------它完全依賴於大型交易所和托管方，以及使用自我托管的投資者，採用更好的安全實踐，例如找零輸出輪換，以及不惜一切代價避免重複使用地址。

設計後量子簽名方案。迄今為止能夠在 Bitcoin 上實現抗量子花費的領先提案是 Blockstream 的 SHRINCS（"Shrunken SPHINCS"的縮寫）。它基於 SHA-256 構建，每秒最多可處理 3 筆交易，而美國國家標準與技術研究院（NIST）的標準 SPHINCS+ 只有 0.36 筆。Blockstream 於 2026 年 3 月在 Liquid Network 上測試了該方案，並與其他貢獻者於 8 月發布了一份 Bitcoin 改進提案（BIP）。正式的安全性證明尚待完成，全網部署將需要一次軟分叉。

就 Bitcoin 中易受攻擊、但很可能已經丟失的 P2PK 地址代幣如何處理達成共識。隨著 Bitcoin 在未來幾年面對量子威脅，這或許是最具爭議的問題。大約 170 萬枚 BTC 存放在約 20,000 個 P2PK 地址中，其中包括估計歸屬於 Satoshi Nakamoto 的 110 萬枚。根據 Presidio Bitcoin 的說法，目前討論中較為突出的選項是：保持舊式花費有效（讓量子攻擊者"竊取"）；放慢舊式花費（限制易受攻擊代幣的移動速度，或稱"限速"）；以及凍結代幣並提供恢復路徑（禁用所有舊式 Bitcoin 花費，但允許所有者通過其種子短語的零知識證明收回代幣，即"軟凍結"）。如需就這一重要主題進行更廣泛的閱讀，Presidio Bitcoin 在此處闡述並更新基礎知識。