量子計算領域的最新進展再次引發了人們對其將如何影響比特幣的關注。在一份新發布的報告中，我們概述了量子計算的現狀、比特幣的威脅模型以及正在考慮的後續步驟。本文概述了我們的主要發現和建議。完整報告請點擊此處。 比特幣準備量子計算的時間表 我們概述了比特幣的雙軌遷移策略，以應對量子計算的潛在出現。 在這兩種情況下，精心管理的資金（例如儲存在 P2PKH 或 P2WPKH 等哈希地址類型中且不重複使用地址）已經受到保護，免受量子攻擊。然而，以後量子時代安全的方式使用這些資金需要額外的基礎設施，預計這些基礎設施將在這兩個時間線的第二階段開發完成。 量子電腦：何時問世？有何功能？ 如果量子運算能夠大規模實現，它可以利用量子力學原理顯著提升特定類型問題的處理速度。尤其值得關注的是密碼相關量子電腦 (CRQC)，它們能夠破解現代密碼學背後的數學假設。這其中就包括橢圓曲線密碼學 (ECC) 等演算法，而這些演算法是比特幣安全的基礎。 雖然量子計算幾十年來一直是理論研究的活躍領域，但在建造大規模量子機器（尤其是 CRQC）方面仍然存在重大的工程挑戰。迄今為止，還沒有一台量子計算機在解決商業相關問題方面超越經典超級計算機，也沒有展現出足以威脅現代密碼學的能力。 CRQC 預計時間表 眾所周知，技術進步難以預測，它很少遵循線性路徑，歷史上有許多突飛猛進的例子。為了預測密碼學領域的潛在變化，一些組織已經提出了密碼簽名過渡的時間表。 其中最突出的努力之一來自美國國家標準與技術研究院（NIST），該研究院一直引領著密碼標準的製定。他們發布的建議突出了兩個關鍵日期： 英國國家網路安全中心採取了類似的方法，採用三階段遷移框架，旨在到 2035 年完成向後量子密碼學的過渡。歐盟和中國等其他實體也在積極研究後量子密碼學策略，儘管他們尚未公佈正式的時間表。 在產業層面，包括Cloudflare、Signal和Google在內的多家領先公司已開始採用後量子密碼學。他們正在實施混合簽章方案，將傳統加密方法與後量子演算法結合，攻擊者需要破解這兩種演算法才能入侵系統。蘋果也宣布了向後量子密碼學過渡的計畫。隨著PQC成為新興行業標準，預計會有更多公司效仿。 有何風險？ 比特幣面臨的威脅將帶來巨大的經濟風險。圖 2 分析顯示，約有 651 萬枚比特幣（目前估值超過 7,000 億美元，佔目前供應量的 32.7%）存在量子漏洞。這包括地址重複使用的資金、本質上易受量子攻擊的腳本類型保護的資金，以及透過比特幣分叉（例如比特幣現金）上的公鑰暴露而易受量子攻擊的資金。 比特幣威脅模型：我們該擔心什麼？ 量子計算預計將影響比特幣的兩個關鍵領域：挖礦和交易簽名。在量子挖礦中，整合多台機器的運算能力的難度使得大型量子礦工擁有不成比例的優勢，從而威脅到去中心化。對於交易簽章而言，風險更為直接，CRQC 可以從公鑰衍生出私鑰，從而竊取資金。 重要的是，這兩種威脅的時間表截然不同。建造一台性能超越現代 ASIC 礦機的量子計算機，其工程挑戰遠大於建造一台能夠破解數位簽章的量子計算機。部分原因在於量子處理器的時脈速度較低，遠低於比特幣挖礦中使用的高度最佳化和專用硬件，而且缺乏並行化。 簽名 CRQC 可能會打破基於 ECC 方案的假設，即無法從對應的公鑰推導出私鑰，從而可能允許攻擊者竊取資金。在比特幣中，UTXO 的所有權是透過使用與給定公鑰對應的私鑰簽署交易來證明的。如果 CRQC 能夠從公鑰推導出該私鑰，它可以偽造所有權並花費資金。 這導致了兩種截然不同的量子攻擊場景。使用哈希地址進行付款時，公鑰會暫時暴露，這為攻擊者提供了短暫的窗口期（通常幾分鐘到幾小時）來獲取私鑰並竊取資金（可能透過鏈重組進行）。相較之下，某些輸出類型（P2PK、P2MS、P2TR）從收到資金的那一刻起，公鑰就會永久地暴露在鏈上，這為攻擊者提供了無限的時間來發動量子攻擊。地址重複使用將哈希地址的暫時漏洞轉化為永久暴露，因為公鑰在首次支付後仍然在鏈上可見。如圖 3 所示，最易受攻擊的目標是持有大量資金且公鑰暴露的地址，例如實施地址重用的機構持有者。 礦業 比特幣挖礦基於以下原理：找到有效區塊的機率與所花費的計算量呈線性關係。 Grover 演算法是一種量子搜尋技術，它為暴力搜尋提供了二次方的加速。然而，與傳統挖礦不同，Grover 演算法不易並行化。這項限制可能會使擁有大規模中心化量子硬體的實體獲得不成比例的優勢，從而可能加劇挖礦的中心化，而不是擴大參與度。 除了對中心化問題的擔憂之外，量子挖礦還可能改變礦工的最優策略，例如增加陳舊區塊的比率來降低區塊鏈品質。更高的陳舊區塊比率可能會降低某些攻擊（例如自私挖礦或雙花攻擊）的成本，使其更加可行。 如前所述，建造一台能夠超越現代ASIC礦機的量子電腦被認為比開發CRQC（可重複量子計算）要遙遠得多。因此，量子挖礦並非迫在眉睫的問題，在未來幾十年內不太可能構成實際威脅。儘管如此，在未來量子環境下探索工作量證明機制仍是一個值得研究的方向。更好地理解潛在風險和緩解策略將有助於生態系統為量子挖礦成為現實做好準備。 遷移到量子安全：主要挑戰是什麼？ 量子安全簽名 量子安全密碼簽章的研究已持續數十年，但近年來，人們對此的興趣和進展都有所加速。這促成了 SPHINCS+、FALCON 等候選協議的開發。然而，作為一個相對年輕的領域，該領域已出現多個最初被認為是安全的方案，但後來被攻破（例如 SIKE），甚至被經典電腦攻破。儘管人們對現有候選方案的信任度與日俱增，但該領域仍活躍且不斷發展。 如表1所示，後量子簽章方案的一個顯著限制在於，與比特幣目前使用的經典演算法（例如ECDSA和Schnorr）相比，它們的金鑰和簽名大小顯著增大，驗證時間也顯著增加。為了解決這個問題，一些提案建議利用隔離見證（SegWit）的見證人折扣機制來減少鏈上佔用空間。然而，將量子安全簽名整合到協議中的最佳方法仍是一個懸而未決的問題。除了效能方面的權衡之外，量子安全方案尚不支援經典簽章提供的全部功能，例如閃電網路和其他應用程式中所依賴的簽章。該領域仍然是密碼學界研究的熱點，預計未來幾年將取得進一步的進展。 遷移路徑 如果比特幣社群選擇將易受攻擊的資金遷移到抗量子格式，則需要轉移大量的 UTXO。目前有幾種方案正在考慮中，每種方案都有不同的權衡。有些方案著重於在不提前暴露公鑰的情況下，實現哈希位址輸出的安全使用。另一些方案則提出了一些機制，以限製或規範那些直接易受量子竊盜攻擊的 UTXO 的使用。這些策略通常需要修改共識規則，例如軟分叉，並且還必須考慮轉移大量 UTXO 的實際挑戰，即使在持續分配區塊空間的情況下，轉移過程也可能需要 4 到 18 個月的時間。 哲學困境：我們允許資金被偷走嗎？ 比特幣社群面臨一個根本的哲學問題：應該將易受量子攻擊的資金永久凍結（「銷毀」），還是將其保留在量子電腦可訪問的範圍內（「竊取」）？這項抉擇觸及比特幣的核心原則：產權、抗審查性和不可竄改性。銷毀方案將量子脆弱性視為一個需要保守修復的協議漏洞，阻止財富重新分配給在 CRQC 競賽中獲勝的人。竊取方案則認為，銷毀資金侵犯了其所有者的產權，實際上是沒收了那些可能根本不知道威脅或無法及時遷移的人的資產。 其影響遠不止於哲學層面，更關乎市場動態。協同銷毀將永久地將數百萬比特幣從流通中移除，這可能會提升剩餘比特幣的價值，同時提供市場確定性。允許量子竊盜會導致巨額財富轉移到擁有量子能力的實體，隨著資金逐漸耗盡，可能會造成長期的市場不確定性和波動性。就此做出決定對於比特幣的治理模式至關重要，它要求社群在安全要求與使用者主權和不干預的基本原則之間取得平衡。 那麼，下一步是什麼？ CRQC 的到來將標誌著數位領域的重大轉變，使當今許多安全通訊、身份驗證和數位基礎設施面臨風險。儘管量子計算尚未實現，但相關準備工作正在進行中，以確保比特幣能夠抵禦未來的發展。加密社群和比特幣社群仍在繼續研究，以評估潛在風險並探索切實可行的應對措施。我們的報告重點介紹了兩個近期可能需要關注的領域：停止地址重複使用，以及評估圍繞暴露資金的「銷毀與竊取」討論中的利弊權衡。 主動行動的窗口現已打開，儘管它可能不會永遠開放。隨時了解量子計算和密碼學的進展至關重要，研究潛在的緩解策略及其對比特幣生態系統的更廣泛影響也同樣重要。在後量子時代，確保比特幣的長期安全需要從現在開始進行深思熟慮、謹慎的工作，這樣我們才能在時間尚存的情況下做出明智的決策。
