作者： Bitcoin Security Consortium ，由致力于比特币协议长期安全与稳定的行业领袖组成的联盟
编译：谷昱，ChainCatcher
一份 Bitcoin Security Consortium 报告，与 Presidio Bitcoin 合作完成。
核心要点（TL;DR）
量子计算的近期进展是真实的——但仅仅是渐进式的：诸如 Google 的 Willow 以及近期对 Shor 算法的优化等进展已引发担忧，然而密码学相关量子计算机（CRQC）尚未得到演示。
Bitcoin 面临量子计算的风险仅限于其签名方案，具体体现在两个方面：针对易受攻击代币的静态攻击，以及针对内存池交易的在途攻击。
解决方案已经确定，并且正在积极推进：（1）将资金迁出重复使用的地址，（2）开发后量子签名方案，（3）就很可能已经丢失的 P2PK 代币解决共识问题。
量子计算的复兴？
在多年看似停滞之后，量子计算领域出现了越来越多论证其进展的学术论文及随之而来的头条新闻，在投资者中引发了对 bitcoin 安全性的担忧。这些头条包括：
Google 的 Willow（2024 年 12 月）。首次证明，增加物理量子比特以保护一个经过纠错的“逻辑”量子比特，会使该逻辑量子比特更加可靠，而不是更不可靠。
Google Quantum AI、Oratomic/Caltech 以及 ECDSA.fail 对 Shor 算法的优化（2026 年）。Google Quantum AI 与 Ethereum Foundation 及 Stanford 合作，压缩了通过 Shor 算法破解 Bitcoin 椭圆曲线的电路，相较此前估计大约削减了 20 倍。Oratomic 与 Caltech 认为，他们的 Shor 算法优化可以在数天内破解单个 Bitcoin 私钥。最后，项目 ECDSA.fail——一个 Eigen Labs 记分板——召集研究人员和 AI 智能体，在随后几个月里将 Google 的电路再缩小近 70%。
IonQ 的端到端 Shor 算法优化（2026 年 9 月）。一份用于运行 Shor 算法的完整编译蓝图，同时针对软件和硬件进行计算——理论上每次尝试大约在 26 天内解出单个私钥，成功率为 63.3%。
Google 的 magic state 培育（2026 年 10 月）。量子计算需要“magic states”，即每次使用都会消耗、且生产成本高昂的资源态。Google 在 Willow 上证明，其过滤协议将这些态中的错误大约降低 40 倍，实现 99.99% 的逻辑保真度。
Quantinuum 的“五个九”逻辑保真度（2026 年 10 月）。Quantinuum 的 Helios 计算机每百万次操作出现 5 次错误（99.9995% 逻辑保真度），大约比 Google 的演示低 100 倍。每当编码规模扩大，错误就下降 12 倍（λ = 12）。
尽管如今并不存在密码学相关量子计算机（CRQC）——而且这项技术仍有许多工程挑战，例如在物理上扩展纠错量子比特——为什么这些头条会引起 Bitcoin 社区的关注？Bitcoin 与量子计算机之间是什么关系？让我们来探讨。
量子计算简述
量子计算的核心是量子比特，即 qubit。与保存 0 或 1 数值的经典比特不同，qubit 呈现出量子力学世界所独有的两个特性：
叠加：一个 qubit 可以同时保存 0 和 1 的混合值，测量会使这些值以加权概率坍缩为其中一个。
纠缠：两个或更多 qubit 可以共享一个联合状态，测量其中一个就会确定另一个的值，无论距离多远。
这些特性使量子计算机能够同时探索许多候选答案，同时抵消错误答案。然而，物理量子比特十分脆弱，容易发生退相干，即量子信息的丢失，这就是为什么如今许多公司的路线图都以最低数量的逻辑量子比特为目标——逻辑量子比特是由多个冗余物理量子比特构建的纠错量子比特，使错误能够被检测并修复，从而使计算和信息保持可靠。
为了寻找最低的物理量子比特与逻辑量子比特之比，量子计算机实验室研究最高效的硬件架构，包括但不限于：
超导电路（Google、IBM）：冷却至接近绝对零度的小导线环，其中电流的行为如同一个 qubit。这项技术能够实现较快的计算时间，但其发展扩展缓慢。
中性原子（Oratomic）：由称为“镊子”的激光阵列固定的不带电原子，其电子充当 qubit。这项技术扩展迅速，但理论上计算时间会更慢。
囚禁离子（Quantinuum、IonQ）：处于电磁场中、用激光操控的带电原子——即离子；在这种情况下，离子的基态或激发能态充当 qubit。计算相对较慢；扩展速度中等。
光子学（PsiQuantum、Xanadu）：穿过芯片和光学器件的光粒子（光子）；每个光子的属性充当 qubit。能够实现较快的计算时间，但发展时间线似乎也更慢。
Bitcoin 的量子攻击面
理论上，一台运行 Shor 算法的密码学相关量子计算机将能够破解 Bitcoin 的椭圆曲线数字签名算法（ECDSA），即在网络中维护所有权和财产权的签名方案——它向交易对手证明私钥的所有权，而不揭示该私钥。重要的是，Bitcoin 的大部分核心博弈论和经济原则并不属于这一攻击面，例如其交易共识、发行时间表和供应上限。
攻击 Bitcoin 私钥为该网络呈现两个攻击面：
长时暴露或静态攻击。重复使用的地址或安全性较低类型的旧地址（支付到公钥，P2PK）中的代币已经暴露了公钥，量子计算机可以利用这些公钥获取对应的私钥。如今大多数基于现代输出类型的活跃地址——公钥在花费之前处于隐藏状态——并不容易受到这类攻击。然而，Project Eleven 估计，大约 710 万枚 BTC，约占总量的 35%，如果今天存在一台有能力的量子计算机，将容易遭受盗窃。其中大约四分之三存放在重复使用的地址中——大多在大型交易所——如果交易所将资金转移到一次性地址，并采用更好的托管实践和标准，风险就可以降低。然而，另有 180 万枚 BTC 位于 P2PK 地址中，并且大多被假定已经丢失，使它们迁移到安全地址可能不可行。计算时间无论快慢的量子计算机都可以利用这些已暴露的公钥，一次一个，获取持有投资者资金的私钥。
短时暴露或在途攻击。Bitcoin 网络中的代币仅在被花费时才揭示其公钥，从而形成一个约 10 分钟的脆弱窗口（或者更准确地说，是交易提交与被纳入区块之间的时间）。一台足够快的量子计算机可以利用这个窗口在交易进行中窃取代币。Google 估计，一台已预热的快时钟量子设备可以在最快 9 分钟内完成获取私钥的计算，使得即使原本存放在不易受攻击地址中的代币，在经历典型交易时也会面临被盗风险。
可能夸大威胁的误解
“量子硬件已经扩展完毕并准备就绪。”目前演示效果最好的系统——Quantinuum 的系统——产生了 48 个纠错逻辑量子比特。破解 Bitcoin 的椭圆曲线至少需要约 1,200 个。
“量子演示已经证明了密码学相关量子计算。”它们并没有。Willow 证明的是纠错存储器，而不是大规模纠错计算。Google、Oratomic 和 IonQ 在 2026 年的论文是蓝图，而不是正在运行的机器。许多逻辑量子比特之间的低错误操作仍然是有待攻克的瓶颈。
“所有 bitcoin 都会立即面临被盗。”大多数 bitcoin 在静态状态下并不易受攻击，因为公钥在被花费之前一直隐藏在哈希之后。最大的单一暴露原因——地址重复使用——如今可以通过轮换到新的未花费地址来解决。即使攻击今天到来，它也会是每次尝试针对单个私钥，而不是一次针对全部易受攻击的供应。
可能低估威胁的误解
“Shor 算法优化无关紧要。”3 月，Google 将理论上破解 Bitcoin ECDSA 所需的逻辑量子比特要求大约压缩了 20 倍，并指出椭圆曲线受到的优化关注远少于 RSA（Rivest-Shamir-Adleman）密码系统，这意味着仍有更多优化空间。例证是，ECDSA.fail 项目已将 Google 的电路进一步优化了近 70%。
“那是几十年后的事，何必费心？”近期专家调查认为，一台有能力的机器在 2030 年至 2035 年之间出现的概率大约为 50%，各国政府的目标是在 2030 年代早期至中期完成后量子迁移，Google 和 Cloudflare 已将内部截止日期定在 2029 年。需要注意的是，这些截止日期更紧迫地适用于政府或公司防范“先收割，后解密”攻击——主要涉及未来仍可能相关的私人信息。由于 Bitcoin 可以通过参与者迁移到公钥隐藏的地址来自卫，这些截止日期可以被视为该网络的最佳实践，而不是必然期限。
“我们会提前看到它到来。”突破可能保持私密，或被民族国家视为机密，而早期盗窃可能看起来零星发生，难以与常规的托管周转或支付交易区分开来。
如今正在做的事情
如今的 Bitcoin 持有者——包括交易所、机构和投资者——已经在通过积极讨论解决方案来防范量子威胁，优先级或许如下：
将易受攻击的供应从重复使用的地址迁移到未花费地址。这是最容易实现的事项，不需要网络共识或软分叉——它完全依赖于大型交易所和托管方，以及使用自我托管的投资者，采用更好的安全实践，例如找零输出轮换，以及不惜一切代价避免重复使用地址。
设计后量子签名方案。迄今为止能够在 Bitcoin 上实现抗量子花费的领先提案是 Blockstream 的 SHRINCS（“Shrunken SPHINCS”的缩写）。它基于 SHA-256 构建，每秒最多可处理 3 笔交易，而美国国家标准与技术研究院（NIST）的标准 SPHINCS+ 仅为 0.36 笔。Blockstream 于 2026 年 3 月在 Liquid Network 上测试了该方案，并与其他贡献者于 8 月发布了一份 Bitcoin 改进提案（BIP）。正式的安全性证明尚待完成，全网部署将需要一次软分叉。
就 Bitcoin 中易受攻击、但很可能已经丢失的 P2PK 地址代币如何处理达成共识。随着 Bitcoin 在未来几年面对量子威胁，这或许是最具争议的问题。大约 170 万枚 BTC 存放在约 20,000 个 P2PK 地址中，其中包括估计归属于 Satoshi Nakamoto 的 110 万枚。根据 Presidio Bitcoin 的说法，目前讨论中较为突出的选项是：保持旧式花费有效（让量子攻击者“窃取”）；放慢旧式花费（限制易受攻击代币的移动速度，或称“限速”）；以及冻结代币并提供恢复路径（禁用所有旧式 Bitcoin 花费，但允许所有者通过其种子短语的零知识证明收回代币，即“软冻结”）。如需就这一重要主题进行更广泛的阅读，Presidio Bitcoin 在 此处 阐述并更新基础知识。
