170万枚老比特币、9分钟攻击窗口：量子计算正在逼出一场“换锁”潮
如果有一天，别人仅凭你的银行卡号就能逆向推导出支付密码，这会带来怎样的后果？
比特币面临的量子计算风险，本质上就是这一逻辑。
目前，比特币的安全运行依赖于每个钱包拥有一对密钥：一个是可公开的公钥，另一个是必须保密的私钥。正常情况下，即便他人知晓你的公钥，也几乎无法推算出私钥。因此，只要私钥不泄露，你的资产就很难被转移。
然而，量子计算带来了新的挑战。未来，若量子计算机足够强大，它能利用一种名为 Shor 算法 的方法，从公开的公钥逆向推导出私钥。换言之，过去需要“偷到钥匙”才能打开的钱包，未来或许只需看一眼“锁”，就能重新生成一把钥匙。
这正是量子计算对比特币构成真正威胁的核心所在。如果他人也能计算出你的私钥，那么这枚比特币该如何证明属于你？
过去，人们普遍认为这一问题离现实还很遥远。尽管理论上量子计算能破解比特币使用的密码体系，但大家普遍认为，制造这样一台机器所需的规模可能极其庞大。
今年3月，一篇由 Google Quantum AI、斯坦福大学、加州大学伯克利分校和 Ethereum Foundation 的研究人员共同撰写的论文，改变了这一看法。这篇长达57页的论文重新评估了未来需要多大规模的量子计算机，才能对比特币发起攻击？
作者给出的结论是，破解比特币所使用的 secp256k1 密码体系，可能仅需约 1200—1450 个逻辑量子比特。在他们假设的一种超导量子计算架构下，所需的物理量子比特甚至可能降至 50 万以内。
更引人注目的数字是 9 分钟。根据论文的模型，未来一台足够强大且快速的量子计算机，有可能在大约 9 分钟内，从公开的公钥计算出私钥。
更棘手的是，还有一些比特币根本无人能主动“换锁”。例如，中本聪时代留下的大量比特币，已沉寂十余年未移动，其私钥甚至可能早已丢失。如果未来量子计算机能重新算出这些私钥，那么这些沉睡多年的比特币将再次面临被转走的风险。
因此，这篇论文真正值得探讨的，并不仅仅是 “量子计算是否会破解比特币？” ，而是深入追问了一系列更深层次的问题：
- 量子计算为何能威胁加密货币？
- 真正的量子攻击需要多强的机器？
- 比特币究竟会如何被攻击？
- 为什么以太坊面临的风险比比特币更复杂？
- 问题都源于 ECDLP，为何不直接换成 PQC？
- 如果上百万枚休眠 BTC 无法迁移，最终该怎么办？
带着这些问题，我们来看看这篇论文如何作答。
01
量子计算为何能威胁加密货币？
本篇论文并未聚焦量子计算机相比经典计算机的算力优势，而是探讨了一个更具体的密码学问题。
大量现代区块链的安全性依赖于椭圆曲线离散对数问题，即 ECDLP（Elliptic Curve Discrete Logarithm Problem）在经典计算机上难以求解。
密码学相关量子计算机 CRQC（Cryptographically Relevant Quantum Computer）将威胁现有的公钥密码体系。其中，RSA 面临的问题源于 Shor 算法对整数分解的高效量子求解，而椭圆曲线密码学 ECC 面临的问题，则来自 Shor 算法可以高效求解 ECDLP。
这与加密货币的关系非常直接。比特币、以太坊等区块链大量使用建立在 ECDLP 之上的数字签名。
大多数加密货币安全性的核心，都建立在一个基本假设之上：ECDLP 很难求解。 依赖这一困难性假设的具体区块链功能，包括比特币和以太坊的交易验证，以及以太坊的权益证明（PoS）共识机制。
基于这些估算，该论文讨论了两种可能出现的 CRQC 演进情景，这些情景将成为后文讨论潜在缓解策略的基础。特别是，早期 CRQC 能以多快的速度完成攻击，将直接决定哪些区块链脆弱性可以被现实利用，从而也决定了在全面迁移 PQC 之前，应优先采用哪些中间缓解措施。
依据攻击所要求的执行速度，以及每次攻击是否都需要访问 CRQC、还是只需使用 CRQC 一次即可制备一个可通用复用的攻击工具，将量子攻击分为三类：
- 交易时攻击（On-Spend Attacks）：针对正在传输、尚未最终记入区块链的交易。当区块链用户广播一笔交易后，攻击者必须在该交易被区块链记录之前允许的时间窗口内推导出私钥。这要求量子计算机能够在目标区块链的交易结算时间内求解 ECDLP。不同区块链的结算时间从数百毫秒到数分钟不等，例如 Solana 约为 400 毫秒，以太坊约为 12 秒，比特币平均约为 10 分钟。交易时攻击也被称为“短程攻击”（short-range attacks）或“即时攻击”（just-in-time attacks）。
- 静态持有攻击（At-Rest Attacks）：针对那些在链上或链下长期处于暴露状态的公钥，例如重复使用密钥的休眠钱包。在这种情形中，攻击者有数天甚至更长时间来推导私钥。静态持有攻击也被称为“长程攻击”（long-range attacks）或“长时间暴露攻击”（long-exposure attacks）。
- 设置阶段攻击（On-Setup Attacks）：针对固定的公共协议参数，目标是在某个密码协议中制造一个可通用、可重复利用的后门。攻击者只需使用 CRQC 进行一次离线量子计算来构造后门，此后利用该后门实施攻击时，可以只使用经典计算机。例如，攻击者可能利用 Shor 算法恢复在 Powers-of-Tau（τ 幂）可信设置仪式中本应被销毁的所谓“有毒废料”（toxic waste）。比特币区块链本身对设置阶段攻击免疫，但某些扩容方案，例如以太坊的数据可用性采样机制，以及某些隐私协议（如 Tornado Cash），会受到这种尤为隐蔽而危险的攻击模式影响。
需要指出的是，对加密货币的量子攻击还可采取其他分类方式。例如，可以按照被破坏的安全属性进一步细分为：
- 资产所有权攻击，例如在比特币中伪造交易；
- 共识攻击，例如在攻陷超过半数以太坊验证者后实施深度区块链重组；
- 机密性攻击，例如破坏 Zcash 多样化地址之间的不可链接性；
- 货币完整性攻击，例如在 Mimblewimble 或存在漏洞的以太坊 zk-rollup 中非法创造新币；
- 偿付能力攻击，例如通过非法 Rootstock 赎回或稳定币赎回导致锚定崩溃，或者悄无声息地抽干 Tornado Cash 匿名池；
- 数据可用性攻击，例如伪造以太坊的数据可用性采样证明；
- 治理攻击，例如伪造 Cardano 或以太坊去中心化自治组织（DAO）的投票，或者接管由多重签名控制的跨链桥资产。
比特币和以太坊的交易验证、以太坊的 PoS 共识等，都不同程度依赖这一假设。
以比特币为例，其基本资产单位是 UTXO。一个 UTXO 能否被花费，需要花费者提交与相应公钥匹配的有效数字签名；生成有效签名需要掌握相应私钥。因此，论文将比特币的密码学所有权关系概括得非常直接。从密码学意义上说，拥有比特币，就意味着掌握与锁定这些比特币的公钥相对应的私钥。
而 CRQC 带来的根本变化就在这里。一旦公钥已经公开，CRQC 可以利用 Shor 算法，通过求解 ECDLP 推导出与之对应的私钥。
该论文因此认为，这会从根本上动摇比特币当前建立在密码学难题之上的所有权模型。
为什么加密货币尤其值得关注？
第一，许多区块链为了效率和可扩展性，高度依赖基于 ECDLP 的密码体系。在相同安全级别下，这类密码体系所需密钥长度比 RSA 小近一个数量级，因此破解它们所需的 CRQC 规模也更小。
第二，传统金融通常具有多层安全防护和交易追索机制，而区块链往往缺乏针对欺诈交易的追索能力。论文明确指出：一次成功的数字签名伪造，就可能导致无法追回的资产盗窃。
所以，严格按照论文的逻辑，量子计算对加密货币的威胁可以归结为： ECDLP 是数字签名安全的底层困难问题。Shor 算法能够在 CRQC 上高效求解 ECDLP，已公开公钥可能被用于恢复私钥，攻击者能够生成合法数字签名，导致现有以私钥证明所有权的机制受到威胁。
但论文同时特别强调，不能由此推导出“量子计算能够轻易攻破区块链所有部分”。不同协议和功能的量子韧性不同。例如，论文认为比特币的 PoW 共识本身并非现阶段现实的量子攻击目标。
02
真正的量子攻击需要多强的机器？
这篇论文阐述了一个很重要的观点：衡量一台能够攻击 secp256k1 的量子计算机，不能只看“有多少量子比特”。
原因在于，针对 n 位 ECDLP 问题，现有最先进 Shor 算法编译方案的比较并不简单，因为存在一个关键的 时空权衡（space-time tradeoff）。一方面是逻辑量子比特数量，它决定了发动量子攻击所需 CRQC 必须有多大；另一方面是 Toffoli 门数量。
在容错执行 Shor 算法时，Toffoli 门通常主导总体资源成本，并决定算法的总运行时间，因此也直接决定交易时攻击是否可行。目前公开文献中逻辑量子比特数量最低的结果来自 Chevignard 等人的近期预印本：对于 n=256，他们估算只需约 1100 个逻辑量子比特（渐近情况下为 3.12n+o(n)）。
不过，如此小的逻辑量子存储空间是以超过 1000 亿个 Toffoli 门 为代价的。如此巨大的门数量既意味着极高的运行时间，也意味着需要大量物理量子比特。因为实际所需物理量子比特数同时取决于逻辑量子比特数量和电路门数。
在另一个极端，此前公开文献中 Toffoli 门数最低的结果大约来自 Litinski，约为 2 亿个 Toffoli 门。需要说明的是，该论文标题写的是 5000 万而不是 2 亿，这是因为其计入了一些能够降低多实例求解摊销成本的优化，而本文关注的是 单实例攻击。Litinski 方案降低 Toffoli 门数的代价，是逻辑量子比特数量超过 Chevignard 等人方案的两倍。进一步计入量子纠错开销后，Litinski 方案在光子量子计算架构上预计需要约 900 万个物理量子比特。
本文报告，团队已开发出用于破解有限域上椭圆曲线 ECDLP 的逻辑量子电路：对于素数模长和群阶均为 n 位的情形，其空间开销约为 4.5n。论文给出了两种方案在不同 n 下的资源需求：一种优化量子比特数量，另一种优化门数量。
当 n=256 时，两种电路分别需要：
- 1200 个逻辑量子比特 + 9000 万个 Toffoli 门；或
- 1450 个逻辑量子比特 + 7000 万个 Toffoli 门。
如果以 时空体积（spacetime volume） 衡量，这是一个尤其会影响量子纠错开销的关键资源指标，那么在求解单个 ECDLP 实例时，我们的估算相比此前最高效的方案大约改进了一个数量级。这正是前文所述 ZK 证明所验证的资源估算。结论可直接应用于 secp256k1 上的 ECDLP；该椭圆曲线被比特币、以太坊等主流区块链广泛用于数字签名。
图1.
在对超导量子比特硬件采用标准假设，例如平面四度连接（planar degree-four connectivity）、物理错误率为10^-3，并运行与假设类似的表面码架构变体时，计算得出，上述量子电路可以在 少于 50 万个物理量子比特 上执行。
这一估算之所以显著下降，一方面源于优化后的逻辑电路规模更小，从而降低了量子纠错开销；另一方面源于使用 “yokes” 保护的高密度表面码配置，以更加高效的方式存储逻辑量子比特。
为了估算电路的实际墙钟运行时间，作者假设量子计算以反应时间受限（reaction-limited）方式执行，即执行速度主要受到控制系统反应时间的限制。如果假设控制系统反应时间为 10 微秒，这是超导量子比特常用的标准数值 [100]，并假设每个 Toffoli 门存在 50% 的额外开销，那么在超导 CRQC 上执行 7000 万或 9000 万个 Toffoli 门，分别需要约 18 分钟或 23 分钟。这一时间已经接近比特币平均 10 分钟 的出块时间。
如果考虑量子计算机可以对算法的前半部分提前进行预计算，交易时攻击还会更快。算法前半部分只依赖所有地址共享的协议参数，因此量子计算机可以预先计算并保持在一个“预备（primed）”状态，一直等待目标公钥出现。这样，从公钥被公开到对应私钥被求出的时间可以缩短一半。
因此，从攻击者获知公钥并从预备状态开始计算算起，交易时攻击预计只需要大约 9 分钟或 12 分钟。这意味着，一台能够对链上静态持有资产实施静态持有攻击的超导 CRQC，很可能同时也能够对活跃交易实施交易时攻击。
正如后文将进一步讨论的，并不认为从 1200 个逻辑量子比特扩展到 1450 个逻辑量子比特会产生显著的额外扩展障碍。为简化后续讨论，本文因此假设：第一代快时钟 CRQC 平均能够在约 9 分钟 内求解 secp256k1 及类似椭圆曲线上的 ECDLP。
如果攻击者拥有多台已经处于预备状态的机器，这一时间还可以进一步缩短。若使用 11 台预备机器 并行发动攻击，则每台机器只需执行 32 次椭圆曲线点加法，而不是单台预备机器所需的 208 次，可获得约 6.5 倍 加速。
图 2. 对位长分别为 n=3264128256 的椭圆曲线，破解 n 位 ECDLP 所需的逻辑资源。图中分别给出低门数版本（Low-Gate Variant）与低量子比特版本（Low-Qubit Variant）。
要在 9 分钟 内执行 7000 万个 Toffoli 门，需要每秒生成约 50 万个 T 态（T states）。一个具有足够低错误率的 T 态可以通过约 50,000 个 qubit-rounds（量子比特-轮次） 制备。在纠错轮次为 1 微秒的快时钟架构中，这意味着需要分配约 25,000 个物理量子比特用于魔态制备（magic-state production）。
与运行整个算法所需的约 50 万个物理量子比特相比，25,000 个量子比特只是较小的一部分。因此，在快时钟架构上，我们预计交易时攻击将与静态持有攻击几乎同时变得可行。
相比之下，在纠错轮次为 100 微秒或更长的慢时钟架构 中，为了获得足够的 T 态生成速率，需要约 250 万个物理量子比特。这一数量远大于以较慢速度运行算法本身所需的量子比特数。因此，我们目前预计，在慢时钟架构上，静态持有攻击会先于交易时攻击变得可行。
不过，未来如果出现新的魔态制备技术，例如更高效的 T 态产生方法，并且能够在慢时钟架构的约束条件下高效运行，那么慢时钟平台未来也可能具备实施交易时攻击的能力。
为了进一步理解这些资源估算的意义，我们请读者参考图 3。 该图最初发表于 Google Quantum AI 近期的一篇观点文章。
图 3. 这些图最早出现在文献中，用于说明过去十年间，算法与纠错研究如何大幅降低量子计算机解决重要问题所需的资源。（左图）给出在不同论文发表年份中，最先进资源估算下，使用表面码的超导量子比特架构破解 2048 位 RSA 加密所需的物理量子比特数量。部分论文通过采取更激进的硬件假设——例如更高连接度或更低错误率——声称可以使用更少物理量子比特，但本文选择比较硬件假设较为可比的结果。（右图）给出在不同论文发表年份中，以化学精度计算 FeMoco 分子基态能量所需的最先进 Toffoli 门数；分别展示 Reiher（“small”） 和 Li（“large”）[106] 的 FeMoco 活性空间 Hamiltonian 的资源估算。
图 3 传达的核心信息是，过去十年中，量子算法和量子纠错架构的进步持续大幅降低实施重要量子应用所需的物理资源。正如密码学领域的一句常见说法：“攻击只会越来越好（attacks always get better）”。
当然，资源估算不可能无限下降。但图 3 中重点展示的两类应用——破解 RSA 与量子化学模拟——是历史上获得的公开研究投入远多于使用量子算法破解 ECDLP 的。因此，这些应用的算法可能已经比 ECDLP 攻击算法更接近最优状态。换言之，未来 ECDLP 的资源估算仍可能存在更大的下降空间。
容错量子计算之所以成本高昂，很大程度上来自量子纠错的开销。 从工程角度构建一个完整可行的系统，需要在多个条件之间进行艰难平衡，包括与硬件兼容的连接拓扑、高噪声容忍度、快速的综合征解码器（syndrome decoder）以及具有足够表达能力的逻辑指令集。
成熟且研究充分的表面码能够满足这些条件，但相比其他现代量子纠错码，其效率较低。这种效率通常由 逻辑量子比特数与物理量子比特数之比 表示，也称为纠错码的 编码率（encoding rate），简称“码率（rate）”。
例如，近年对 量子低密度奇偶校验码（quantum Low-Density Parity-Check，qLDPC codes） 的研究提供了一个非常有吸引力的替代方向：通过引入长程连接来提高编码率。当前资源估算通常仍默认使用表面码，这是因为其可解码性已经得到验证
