比特币能否在量子计算中幸存？Q-Day竞赛内幕

在比特币的大多数历史时期里，量子计算机可能某一天破解它的想法，还只是对遥远未来的担忧。这一局面在2026年发生了改变。2026年3月，Google Quantum AI的一篇论文将破解比特币签名所需的预估资源降低了约20倍。加州理工学院的研究人员如今认为，一台具有实用价值的量子计算机可能在2030年前问世。保护着超过一万亿美元数字资产的加密技术已进入倒计时，替换它的工作已经启动。

多少比特币存在量子脆弱性？

实际的攻击看起来仍需数年之久。谷歌已将自身迁移到后量子密码学的内部期限设定为2029年。加州理工学院及其合作伙伴Oratomic认为，一台容错量子计算机最早可能在2030年出现。Blockstream的Adam Back则认为真正的威胁在20到40年之后。

然而，风险敞口是巨大的：研究小组Project Eleven估计，大约三分之一的比特币（近700万枚）位于其公钥已在链上可见的地址中。其中包括约170万枚位于古老的P2PK地址中，其中约110万枚归属于中本聪。

当一位研究员最近声称因使用真实量子硬件破解了一个小型椭圆曲线密钥而获得赏金时，紧迫性骤升。该密钥比比特币的小得多，但这是一个可行的概念验证。

开发者Paul Sztorc以一个备受争议的分叉来回应这个问题。他的eCash项目计划于2026年8月进行，将向现有比特币持有者空投1:1代币，同时将新链上50万枚中本聪的休眠币重新分配给早期投资者和开发者。

批评者进行了反击，反对这种重新分配。一些人质疑比特币是否根本需要保护，认为任何冻结行为都违背了自我保管和固定供应的原则。Jameson Lopp反驳说，让攻击者扫走休眠币无异于“从所有人那里盗窃”。

拯救比特币的计划

底层修复方案是一对提案。BIP-360于2026年2月11日合并到比特币代码库中，它增加了一种新的输出类型（pay-to-Merkle-root），其行为类似于Taproot，但移除了易受量子攻击的密钥花费路径，从而保护新存储的币。其配套提案BIP-361（“后量子迁移与旧签名淘汰”）由Jameson Lopp和五位合著者提出，更为激进。第一阶段在三年后阻止向旧地址的新转账。第二阶段在五年后使旧签名无效，冻结未迁移的币。第三阶段为仍持有助记词的持有者提供零知识证明恢复路径。

这些签名如何变小，是BIP-360合著者Ethan Heilman和Blockstream研究员Jonas Nick在一篇深度访谈中讨论的主题。简而言之，他们基于哈希的方案（SHRINCS和SHRIMPS）通过限制每个密钥允许签名的次数来缩小签名。允许的签名次数越少，携带的数据就越少。

代价是钱包现在必须仔细计数，一个构建不良的钱包可能会使用户的资金面临风险。这种风险落在单个钱包上，而不是整个网络——在网络层面，过大的签名会拖慢每笔交易并提高费用。

两人都表达了同样的观点。他们认为社区应该尽早敲定细节和软分叉，这样当量子日到来时，切换才不会是一场仓促的争夺。

有几个团队避免改变比特币本身。Quip Network通过一个建立在比特币之上的独立层（称为Arch）添加了量子安全签名（一种名为WOTS+的方案）。这确保了比特币的核心规则无需更改，也无需社区投票。它甚至允许持有者在不转移其币的情况下申领量子安全密钥。

StarkWare的Avihu Levy提出了量子安全比特币（QSB），该方案在不进行软分叉的情况下，将一种抗量子的基于哈希的签名强制纳入比特币现有规则中。不过，它代价高昂。每笔交易可能需要价值75至150美元的GPU计算资源，这也是其作者称之为最后手段的原因。

这些缺点真实存在，并且大多数方案都面临同样的问题。后量子签名远大于今天的签名，需要更多的区块空间、更高的费用以及新的钱包和硬件签名器支持。与此同时，比特币的不干预主义者仍然认为，修复方案比它所应对的威胁风险更大。

是否存在抗量子加密货币？

少数区块链已经采用了抗量子技术。量子抗性账本（QRL）是典型的例子。它自2018年上线，从一开始就基于哈希的XMSS签名构建，而非椭圆曲线。自2022年起，Algorand（ALGO）使用抗量子签名方案来签署其状态证明（确保其账本历史的安全）。2025年，它在公共主网上执行了首笔此类交易。

Zcash（ZEC）目前按市值排名在抗量子类别中居首。屏蔽资金具有透明资金所缺乏的一定抗量子能力。其Tachyon项目旨在更进一步。

其他平台也正在开发和测试自己的抗量子升级。以太坊（ETH）于2026年1月组建了专门的后量子安全团队，押注于基于哈希的“leanXMSS”签名加账户抽象。Solana和XRP Ledger也发布了各自的路线图。

比特币能否及时迁移？

修复方案已经有很多：底层升级、二层附加方案、抗量子链等等。问题在于让比特币采纳其中一种。没有中央权威可以强制实施这一改变，数百万个地址必须各自主动迁移，而许多币属于早已消失的持有者，根本不会迁移。由于迁移需要数年时间，它必须在一台实用的量子计算机出现之前就开始进行。比特币网络此前曾快速反应过：2010年一个漏洞铸造成数十亿枚假币时，数小时内就通过软分叉进行了修复。但那是一个明显缺陷，只有一个正确答案。而这次前瞻性的迁移却没有如此明确的解决方案。一个没有领导者的网络能否在危险显现之前采取行动——这比任何硬件突破更能决定最终结果。