Starknet 转 L1，公链为何突然集体押注抗量子？

Starknet 正考虑从以太坊 L2 转型为独立 L1，并以 2027 年成为“完全抗量子网络”为目标。量子威胁正在逼近，多家公链已开始布局抗量子方案。

核心威胁：量子计算可利用 Shor 算法，从公开的公钥反推私钥，从而伪造签名盗取资产。原本预期威胁在 2029 年到来，但 AI 数学能力的提升可能加速这一进程。
风险分级：不同公链的风险取决于公钥是否暴露及资产迁移难度。Solana 因地址本身即公钥，风险最高；Bitcoin 等 UTXO 链因旧资产沉睡、迁移困难，升级挑战巨大；以太坊等 EVM 链的活跃地址公钥已暴露，但未发过交易的地址相对安全。
应对现状：NEAR 已主网上线抗量子签名，Sui 计划支持两套后量子签名，以太坊成立专项团队测试新方案，Starknet 则选择更激进的独立 L1 路线。
用户建议：抗量子虽是长期必经的基础设施升级，但也是一轮新叙事。普通用户无需恐慌性迁移资产，现阶段应减少地址复用，将大额资产存放于公钥未暴露的新地址，并关注常用钱包及公链的迁移方案。

作者：Biteye

10 月 8 日，Starknet 官方表示，团队正在积极考虑从 Ethereum L2 转为独立 L1，并把 2027 年成为“完全抗量子网络”作为目标之一。

Eli Ben-Sasson @EliBenSasson 给出的理由是：量子威胁可能比市场想象中来得更快，而如果继续依赖 Ethereum，Starknet 自己能推进的密码学升级速度会受到限制。

Starknet 并不是个例，Ethereum、NEAR、Algorand、Sui、Solana 都已经开始不同程度地准备抗量子方案。

不在开发者圈子，我们甚至感知不到量子计算机带来的威胁，但「抗量子」这个词出现的频率越来越高，所以我们来拆解一下：为什么现在公链都在做抗量子准备？

1️⃣量子计算到底能攻击 Crypto 的什么？

大家常说“量子计算可以破解 Bitcoin”，但更准确地说，量子计算威胁的是公链使用的公钥密码学。

Bitcoin、Ethereum、Solana 目前大量使用 ECDSA、Schnorr、Ed25519 等椭圆曲线签名，安全前提是“从公钥反推私钥”在传统计算机上几乎不可行。

但足够强的量子计算机可以通过 Shor 算法大幅降低这一难度，一旦公钥已经公开，理论上就可能出现“公钥 → 私钥 → 伪造签名 → 转走资产”。

原本业内预计量子威胁到来的时间是 2029 年，但最近Ethereum 研究员 Justin Drake 在看到 AI 数学能力快速提升后，呼吁行业开始进入“bunker mode”。

10 月 6 日，OpenAI 一次性公开了 722 份数学手稿，归为 372 组结果，覆盖大量长期未解问题，并给其中不少证明提供了 Lean 形式化版本。

AI 可能加速数学研究，在真正的量子计算机成熟之前，就先找到更高效的算法，削弱现有 ECDSA 等密码体系的安全边际。

2️⃣如果 Q-Day 今天到来，谁最危险？

如果 Q-Day 真的到来，不同公链面对的风险并不一样。判断谁更危险，关键看两点：公钥是否已经暴露，以及旧资产能不能顺利迁移。

所以按照公钥暴露方式和迁移难度，大致可以分成下面三类。

第一档：公钥天然暴露的链

Solana 是最典型的例子，普通账户地址本身就是 Ed25519 公钥，因此攻击者不需要等待用户发交易，就可以直接针对已有账户计算私钥。

如果未来真的出现可以快速破解 Ed25519 的量子计算机，攻击者不需要等待用户发起交易，就可以直接对已经公开的公钥开始计算。

第二类：UTXO 链。

Bitcoin、Litecoin、Dogecoin、Bitcoin Cash 等都属于 UTXO 模型。这类链很多常见地址不会一开始就公开完整公钥，而是先保存公钥的 Hash，所以只要资金没有被花费，公钥通常还不会暴露。

但只要用户从这个地址发起过转账，链上通常就会公开对应的公钥和签名。如果之后继续复用同一地址，后续资金就会长期处于公钥已暴露的状态。

真正棘手的是，Bitcoin 已经运行接近 17 年，链上已经积累了大量沉睡资产和旧地址。未来即使推出抗量子地址，这些旧资金也不会自动获得保护，仍需要持有人主动迁移，因此全网升级会非常困难。

第三类：EVM 系公链

Ethereum、BNB Chain、Avalanche C-Chain，以及 Polygon、Base、Arbitrum、Optimism 上的大量普通 EOA，都使用 secp256k1 ECDSA。

EOA 地址本身并不是完整公钥，而是由公钥经过 Hash 后生成。因此，一个只收过资产、从未主动发过交易的地址，完整公钥通常还不会暴露。

但只要 EOA 发过交易，链上就会留下 ECDSA 签名，对应公钥也可以被恢复出来。也就是说，大量活跃地址其实已经处于公钥暴露状态，而从未发过交易的地址还多一层保护。

3️⃣公链已经开始怎么应对量子威胁？

过去很长一段时间，抗量子更多停留在研究和讨论层面，但今年开始，越来越多公链把方案真正推进到了主网和协议层。

7 月 20 日，NEAR 2.13 升级正式把 NIST 标准化的 ML-DSA-65 带到主网。现有账户可以直接添加抗量子 Access Key，再逐步替换传统密钥，不需要重新创建账户。

Sui 今年 8 月也公布了自己的路线，计划同时支持 ML-DSA-65 和 SLH-DSA 两套后量子签名，并通过 Address Alias，让用户未来可以在不更换地址、不迁移资产的情况下更换授权密钥。

Ethereum 情况更复杂。除了用户钱包，验证者使用的 BLS、KZG Commitment，以及部分 ZK 系统也都需要升级。今年 1 月，Ethereum Foundation 成立了专门的 Post-Quantum Security Team，开始测试新的验证者签名、账户抽象和替代 KZG 的方案。

Starknet 则更激进。它不只是想给账户增加抗量子签名，而是希望把整条网络升级成真正的抗量子公链，并把 2027 年作为目标时间。