作者：Bitcoin Security Consortium，由致力於比特幣協議長期安全與穩定的產業領袖組成的聯盟
編譯：谷昱，ChainCatcher
一份由 Bitcoin Security Consortium 與 Presidio Bitcoin 合作完成的報告。
核心要點（TL;DR）
量子計算的近期進展是真實的——但僅屬漸進式：諸如 Google 的 Willow 以及近期對 Shor 演算法的優化等進展已引發擔憂，然而密碼學相關量子電腦（CRQC）尚未獲得演示。
Bitcoin 面臨量子計算的風險僅限於其簽章方案，具體體現在兩個方面：針對易受攻擊代幣的靜態攻擊，以及針對記憶池交易的在途攻擊。
解決方案已經確定，並且正在積極推進：（1）將資金遷出重複使用的地址，（2）開發後量子簽章方案，（3）就很可能已經丟失的 P2PK 代幣解決共識問題。
量子計算的復興？
在多年看似停滯之後，量子計算領域出現了越來越多論證其進展的學術論文及隨之而來的頭條新聞，在投資者中引發了對 bitcoin 安全性的擔憂。這些頭條包括：
Google 的 Willow（2024 年 12 月）。首次證明，增加物理量子位元以保護一個經過糾錯的「邏輯」量子位元，會使該邏輯量子位元更加可靠，而不是更不可靠。
Google Quantum AI、Oratomic/Caltech 以及 ECDSA.fail 對 Shor 演算法的優化（2026 年）。Google Quantum AI 與 Ethereum Foundation 及 Stanford 合作，壓縮了透過 Shor 演算法破解 Bitcoin 橢圓曲線的電路，相較先前估計約削減了 20 倍。Oratomic 與 Caltech 認為，他們的 Shor 演算法優化可以在數天內破解單一 Bitcoin 私鑰。最後，專案 ECDSA.fail——一個 Eigen Labs 計分板——召集研究人員與 AI 代理，在隨後幾個月裡將 Google 的電路再縮小近 70%。
IonQ 的端到端 Shor 演算法優化（2026 年 9 月）。一份用於運行 Shor 演算法的完整編譯藍圖，同時針對軟體與硬體進行計算——理論上每次嘗試約在 26 天內解出單一私鑰，成功率為 63.3%。
Google 的 magic state 培育（2026 年 10 月）。量子計算需要「magic states」，即每次使用都會消耗、且生產成本高昂的資源態。Google 在 Willow 上證明，其過濾協議將這些態中的錯誤約降低 40 倍，實現 99.99% 的邏輯保真度。
Quantinuum 的「五個九」邏輯保真度（2026 年 10 月）。Quantinuum 的 Helios 電腦每百萬次操作出現 5 次錯誤（99.9995% 邏輯保真度），約比 Google 的演示低 100 倍。每當編碼規模擴大，錯誤就下降 12 倍（λ = 12）。
儘管如今並不存在密碼學相關量子電腦（CRQC）——而且這項技術仍有許多工程挑戰，例如在物理上擴展糾錯量子位元——為何這些頭條會引起 Bitcoin 社群的關注？Bitcoin 與量子電腦之間是什麼關係？讓我們來探討。
量子計算簡述
量子計算的核心是量子位元，即 qubit。與儲存 0 或 1 數值的古典位元不同，qubit 呈現量子力學世界獨有的兩個特性：
疊加：一個 qubit 可以同時儲存 0 與 1 的混合值，測量會使這些值以加權機率塌縮為其中一個。
糾纏：兩個或更多 qubit 可以共享一個聯合狀態，測量其中一個就會確定另一個的值，無論距離多遠。
這些特性使量子電腦能同時探索許多候選答案，同時抵消錯誤答案。然而，物理量子位元十分脆弱，容易發生退相干，即量子資訊的丟失，這就是為何如今許多公司的路線圖都以最低數量的邏輯量子位元為目標——邏輯量子位元是由多個冗餘物理量子位元建構的糾錯量子位元，使錯誤能夠被偵測並修復，從而使運算與資訊保持可靠。
為了尋找最低的物理量子位元與邏輯量子位元之比，量子電腦實驗室研究最高效的硬體架構，包括但不限於：
超導電路（Google、IBM）：冷卻至接近絕對零度的小導線環，其中電流的行為如同一個 qubit。這項技術能實現較快的計算時間，但其擴展進展緩慢。
中性原子（Oratomic）：由稱為「鑷子」的雷射陣列固定的不帶電原子，其電子充當 qubit。這項技術擴展迅速，但理論上計算時間會更慢。
囚禁離子（Quantinuum、IonQ）：處於電磁場中、用雷射操控的帶電原子——即離子；在這種情況下，離子的基態或激發能態充當 qubit。計算相對較慢；擴展速度中等。
光子學（PsiQuantum、Xanadu）：穿過晶片與光學元件的光粒子（光子）；每個光子的屬性充當 qubit。能實現較快的計算時間，但發展時間線似乎也更慢。
Bitcoin 的量子攻擊面
理論上，一台運行 Shor 演算法的密碼學相關量子電腦將能夠破解 Bitcoin 的橢圓曲線數位簽章演算法（ECDSA），即網路中維護所有權與財產權的簽章方案——它向交易對手證明私鑰的所有權，卻不揭露該私鑰。重要的是，Bitcoin 的大部分核心賽局理論與經濟原則並不屬於這一攻擊面，例如其交易共識、發行時間表與供應上限。
攻擊 Bitcoin 私鑰為該網路呈現兩個攻擊面：
長時間暴露或靜態攻擊。重複使用地址或安全性較低類型舊地址（支付到公鑰，P2PK）中的代幣已經暴露公鑰，量子電腦可以利用這些公鑰取得對應的私鑰。如今大多數基於現代輸出類型的活躍地址——公鑰在花費之前處於隱藏狀態——並不容易受到這類攻擊。然而，Project Eleven 估計，大約 710 萬枚 BTC（約占總量的 35%）若今天存在一台有能力的量子電腦，將容易遭受竊盜。其中大約四分之三存放在重複使用的地址中——大多在大型交易所——如果交易所將資金轉移到一次性地址，並採用更好的託管實務與標準，風險就可以降低。然而，另有 180 萬枚 BTC 位於 P2PK 地址中，且大多被假定已經丟失，使它們遷移到安全地址可能不可行。無論計算時間快慢的量子電腦，都可以利用這些已暴露的公鑰，一次一個，取得持有投資者資金的私鑰。
短時間暴露或在途攻擊。Bitcoin 網路中的代幣僅在被花費時才揭示其公鑰，從而形成一個約 10 分鐘的脆弱窗口（或者更準確地說，是交易提交與被納入區塊之間的時間）。一台足夠快的量子電腦可以利用這個窗口在交易進行中竊取代幣。Google 估計，一台已預熱的快速時鐘量子裝置可以在最快 9 分鐘內完成取得私鑰的計算，使得即使原本存放在不易受攻擊地址中的代幣，在經歷典型交易時也會面臨被盜風險。
可能誇大威脅的誤解
「量子硬體已經擴展完畢並準備就緒。」目前演示效果最好的系統——Quantinuum 的系統——產生了 48 個糾錯邏輯量子位元。破解 Bitcoin 的橢圓曲線至少需要約 1,200 個。
「量子演示已經證明了密碼學相關量子計算。」它們並沒有。Willow 證明的是糾錯記憶體，而不是大規模糾錯計算。Google、Oratomic 和 IonQ 在 2026 年的論文是藍圖，而不是正在運行的機器。許多邏輯量子位元之間的低錯誤操作，仍然是有待攻克的瓶頸。
「所有 bitcoin 都會立即面臨被盜。」大多數 bitcoin 在靜態狀態下並不易受攻擊，因為公鑰在被花費之前一直隱藏在雜湊之後。最大的單一暴露原因——地址重複使用——如今可以透過輪替到新的未花費地址來解決。即使攻擊今天到來，它也會是每次嘗試針對單一私鑰，而不是一次針對全部易受攻擊的供應。
可能低估威脅的誤解
「Shor 演算法優化無關緊要。」3 月，Google 將理論上破解 Bitcoin ECDSA 所需的邏輯量子位元要求約壓縮了 20 倍，並指出橢圓曲線受到的優化關注遠少於 RSA（Rivest-Shamir-Adleman）密碼系統，這意味著仍有更多優化空間。例證是，ECDSA.fail 專案已將 Google 的電路進一步優化了近 70%。
「那是幾十年後的事，何必費心？」近期專家調查認為，一台有能力的機器在 2030 年至 2035 年之間出現的機率大約為 50%，各國政府的目標是在 2030 年代早期至中期完成後量子遷移，Google 和 Cloudflare 已將內部截止日期定在 2029 年。需要注意的是，這些截止日期更緊迫地適用於政府或公司防範「先收割、後解密」攻擊——主要涉及未來仍可能相關的私人資訊。由於 Bitcoin 可以透過參與者遷移到公鑰隱藏的地址來自衛，這些截止日期可以被視為該網路的最佳實務，而不是必然期限。
「我們會提前看到它到來。」突破可能保持私密，或被民族國家視為機密，而早期竊盜可能看起來零星發生，難以與常規的託管週轉或支付交易區分開來。
如今正在做的事情
如今的 Bitcoin 持有者——包括交易所、機構與投資者——已經在透過積極討論解決方案來防範量子威脅，優先順序或許如下：
將易受攻擊的供應從重複使用的地址遷移到未花費地址。這是最容易實現的事項，不需要網路共識或軟分叉——它完全依賴大型交易所與託管方，以及使用自我託管的投資者，採用更好的安全實務，例如找零輸出輪替，以及不惜一切代價避免重複使用地址。
設計後量子簽章方案。迄今為止，能在 Bitcoin 上實現抗量子花費的領先提案是 Blockstream 的 SHRINCS（「Shrunken SPHINCS」的縮寫）。它基於 SHA-256 建構，每秒最多可處理 3 筆交易，而美國國家標準暨技術研究院（NIST）的標準 SPHINCS+ 僅為 0.36 筆。Blockstream 於 2026 年 3 月在 Liquid Network 上測試了該方案，並與其他貢獻者於 8 月發布了一份 Bitcoin 改進提案（BIP）。正式的安全性證明尚待完成，全網部署將需要一次軟分叉。
就 Bitcoin 中易受攻擊、但很可能已經丟失的 P2PK 地址代幣如何處理達成共識。隨著 Bitcoin 在未來幾年面對量子威脅，這或許是最具爭議的問題。大約 170 萬枚 BTC 存放在約 20,000 個 P2PK 地址中，其中包括估計歸屬於中本聰的 110 萬枚。根據 Presidio Bitcoin 的說法，目前討論中較為突出的選項是：保持舊式花費有效（讓量子攻擊者「竊取」）；放慢舊式花費（限制易受攻擊代幣的移動速度，或稱「限速」）；以及凍結代幣並提供恢復路徑（禁用所有舊式 Bitcoin 花費，但允許所有者透過其種子短語的零知識證明收回代幣，即「軟凍結」）。如需就這一重要主題進行更廣泛的閱讀，Presidio Bitcoin 在此處闡述並更新基礎知識。
