量子計算機尚未攻破比特幣，但 710 萬枚 BTC 已面臨潛在風險：如何防禦？

作者：Bitcoin Security Consortium

編譯：深潮 TechFlow

深潮導讀：近年來，隨著谷歌 Willow 芯片問世以及多項 Shor 算法優化研究陸續發表，量子計算是否威脅比特幣安全再度引發討論。Bitcoin Security Consortium 聯合 Presidio Bitcoin 發佈本篇報告，系統梳理了技術進展與風險邊界。

報告指出，當前距離真正具備密碼學破解能力的量子計算機仍有巨大硬件鴻溝，但比特幣簽名機制確實面臨“靜態暴露”與“交易在途”兩大攻擊面。圍繞高估與低估威脅的常見誤區，文章進一步拆解了地址遷移、SHRINCS 抗量子簽名與早期 P2PK 存量幣處置路線。

本文為 Bitcoin Security Consortium 與 Presidio Bitcoin 聯合發佈的報告。

核心要點（TL;DR）

· 近期量子計算進展確實存在，但仍屬漸進式突破：谷歌 Willow 芯片及近期 Shor 算法優化成果引發了市場擔憂，但目前尚未出現具有密碼學意義的量子計算機（CRQC）。

· 比特幣面臨的量子風險僅限於其簽名機制，具體表現為兩類攻擊方式：針對易受攻擊存量幣的靜態攻擊（at-rest），以及針對內存池交易的在途攻擊（in-flight）。

· 應對方案已經明確，社區正積極推進落地：包括將資金遷出重複使用的地址、研發抗量子簽名方案，以及針對大概率已丟失的 P2PK 地址比特幣達成網絡共識。

量子計算迎來複興了嗎？

經歷多年看似停滯的階段後，量子計算領域近年湧現出越來越多主張技術突破的學術論文與媒體報道，進而在投資者群體中引發了對比特幣安全性的擔憂。這些代表性進展包括：

· 谷歌 Willow 芯片（2024 年 12 月）：首次實驗證明，增加物理量子比特（physical qubit）來保護單個經過糾錯的“邏輯”量子比特（logical qubit）時，該邏輯量子比特的可靠性會隨之提升而非下降。

· Google Quantum AI、Oratomic/Caltech 與 ECDSA.fail 的 Shor 算法優化（2026 年）：Google Quantum AI 聯合以太坊基金會與斯坦福大學，將 Shor 算法破解比特幣橢圓曲線的電路規模縮減約 20 倍。

Oratomic 與加州理工學院（Caltech）團隊也提出，其優化後的 Shor 算法有望在數天內破解單個比特幣私鑰。隨後幾個月裡，Eigen Labs 推出的排行榜項目 ECDSA.fail 匯聚研究人員與 AI 智能體，將谷歌的電路規模又進一步壓縮近 70%。

· IonQ 的端到端 Shor 算法優化（2026 年 9 月）：發佈了一套兼顧軟件與硬件測算的完整可編譯運行藍圖，理論上每次嘗試約需 26 天即可求解單個私鑰，單次成功率為 63.3%。

· 谷歌“魔術態”培育技術（2026 年 10 月）：量子計算依賴每次使用都會被消耗、且製備成本高昂的“魔術態”（magic states）資源態。谷歌在 Willow 上證明，其過濾協議可將此類狀態中的錯誤率降低約 40 倍，實現 99.99% 的邏輯保真度。

· Quantinuum 的“五個九”邏輯保真度（2026 年 10 月）：其 Helios 計算機每百萬次操作僅出現 5 次錯誤（邏輯保真度達 99.9995%），錯誤率比谷歌演示低約 100 倍，且糾錯碼每擴大一檔錯誤率下降 12 倍（λ = 12）。

儘管當前尚不存在具有密碼學意義的量子計算機（CRQC），且該技術仍面臨物理規模擴展糾錯量子比特等諸多工程難題，為何這些報道仍讓比特幣社區高度警惕？比特幣與量子計算機之間究竟有何關聯？下面展開拆解。

量子計算原理簡析

量子計算的核心在於量子比特（qubit）。與只能保存 0 或 1 兩種狀態之一的傳統經典比特不同，量子比特具備量子力學世界獨有的兩項特性：

· 疊加態（Superposition）：一個量子比特可以同時處於 0 和 1 的混合狀態，並在被觀測測量時按加權概率坍縮為單一確定數值。

· 量子糾纏（Entanglement）：兩個或多個量子比特可以共享同一聯合狀態，無論彼此相距多遠，測量其中一個便會立即決定另一個的數值。

藉助這些特性，量子計算機能夠同時探索大量候選答案並相互抵消錯誤選項。然而，物理量子比特十分脆弱，極易發生退相干（decoherence），即量子信息的丟失。

正因如此，如今許多量子計算公司都將路線圖目標鎖定在達到最低數量門檻的邏輯量子比特（logical qubits）上。這類量子比特由多個冗餘物理量子比特經糾錯構建而成，能夠檢測並修復錯誤，從而保障計算與信息的可靠性。

為了追求最低的物理與邏輯量子比特配比，各量子計算實驗室正在研究最高效的硬件架構，主要包括但不限於以下四類路線：

· 超導電路（谷歌、IBM）：將微小導線環路冷卻至接近絕對零度，使電流表現得如同一個量子比特。該技術計算速度較快，但規模化擴展推進相對緩慢。

· 中性原子（Oratomic）：利用被稱為“光鑷”的激光陣列囚禁不帶電原子，由其電子充當量子比特。該技術擴展速度較快，但理論上計算耗時更長。

· 離子阱（Quantinuum、IonQ）：在電磁場中用激光操控帶電原子（即離子），以其基態或激發態能量作為量子比特。該路線計算速度相對較慢，擴展速度處於中等水平。

· 光量子（PsiQuantum、Xanadu）：讓光子穿過芯片與光學器件，以每個光子的物理屬性充當量子比特。該路線計算速度很快，但整體研發落地週期目前也顯得較慢。

比特幣的量子攻擊面

理論上，一臺運行 Shor 算法的密碼學級量子計算機，能夠破解比特幣的橢圓曲線數字簽名算法（ECDSA）。這套簽名機制維繫著網絡中的所有權與財產權，能在不暴露私鑰的前提下向交易對手證明私鑰歸屬。

需要強調的是，比特幣絕大多數核心博弈論與經濟規則並不屬於這一攻擊面，例如交易共識機制、發行時間表以及總量上限等均不受影響。

針對比特幣私鑰的量子攻擊，會為網絡帶來以下兩個層面的攻擊面：

· 長期暴露（靜態攻擊）：存放在重複使用地址或早期安全性較低地址（如 P2PK 公鑰支付地址）中的比特幣已暴露公鑰，量子計算機可藉此推導出對應私鑰。

當今大多數活躍地址採用現代輸出類型，在資金花費前會隱藏公鑰，因此不會受此類攻擊影響。不過 Project Eleven 估算，若今天出現算力達標的量子計算機，約 710 萬枚 BTC（佔總供應量約 35%）將面臨被盜風險。

其中約四分之三存放在重複使用的地址中，主要集中在大型交易所；只要交易所將資金遷入一次性地址並採用更嚴格的託管規範，即可顯著降低風險。另有約 180 萬枚 BTC 沉睡在 P2PK 地址中，大概率已經丟失，難以主動遷移至安全地址。

無論是計算速度較快還是較慢的量子計算機，都能夠利用這些已暴露的公鑰，逐一反推出控制投資者資金的私鑰。

· 短期暴露（在途攻擊）：比特幣網絡中的資金通常僅在花費時才公開公鑰，由此形成約 10 分鐘的脆弱窗口期（更準確地說，是從交易提交到被打包進區塊的間隔時間）。

一臺速度足夠快的量子計算機可利用這一窗口期在交易中途盜取資金。谷歌曾估算，一臺預備就緒的高時鐘頻率量子設備最快可在 9 分鐘內算出一枚私鑰，這意味著即使原本存放在安全地址的比特幣，在發起常規轉賬時也可能面臨被搶跑竊取的風險。

可能高估威脅的常見誤區

· “量子硬件已經完成規模化並隨時可用。”目前公開演示的最強系統來自 Quantinuum，僅產出 48 個經過糾錯的邏輯量子比特；而破解比特幣橢圓曲線至少需要約 1,200 個。

· “近期的量子演示已經證明具備密碼學級量子計算能力。”事實並非如此。Willow 芯片驗證的是具備糾錯能力的量子存儲，而非大規模糾錯計算。

2026 年穀歌、Oratomic 與 IonQ 發佈的論文均屬於理論設計藍圖，並非正在運行的實體機器。如何在大量邏輯量子比特之間實現低錯誤率運算，仍是尚未攻克的瓶頸。

· “所有比特幣會在瞬間全部被盜。”大多數比特幣在靜態存放時並不脆弱，因為公鑰在花費前一直隱藏在哈希值背後；而最大的風險來源“地址複用”，如今只需輪換至未使用過的新地址即可解決。

即便今天發生量子攻擊，攻擊者每次嘗試也只能針對單一私鑰發起破解，不可能一舉將所有脆弱供應量同時洗劫一空。

可能低估威脅的常見誤區

· “Shor 算法優化只是無關緊要的炒作。”今年 3 月，谷歌將理論上破解比特幣 ECDSA 所需的邏輯量子比特數量壓縮了約 20 倍，並指出橢圓曲線算法過去獲得的優化關注遠少於 RSA（Rivest-Shamir-Adleman）密碼體系，這意味著後續仍有較大壓縮空間。

事實也印證了這一點：ECDSA.fail 項目隨後又將谷歌的電路規模進一步優化了接近 70%。

· “量子威脅還有幾十年才到來，現在何必杞人憂天？”近期專家調查顯示，具備破解能力的量子機器在 2030 至 2035 年間出現的概率約為 50%；各國政府也將後量子遷移目標定在 2030 年代初至中期，谷歌與 Cloudflare 則將內部截止日期設在 2029 年前。

需要指出的是，政府與企業設立這些時間表，主要是為了防範“先截獲、後解密”（harvest now, decrypt later）攻擊，保護未來依然具備敏感價值的隱私數據。

由於比特幣網絡參與者可以通過遷移至隱藏公鑰的新地址來自我防禦，這類時間表更應被視作網絡的“最佳實踐”參考，而非必然觸發危機的時間節點。

· “量子突破來臨時我們一定能提前察覺。”技術突破可能處於保密狀態或被主權國家列為機密；早期的量子盜竊行為也可能零星發生，外表上極難與常規託管機構整理資金或普通支付轉賬區分開來。

行業當前正在採取哪些行動？

如今，包括交易所、機構與投資者在內的比特幣生態參與者已經開始提前防範量子威脅，並大致按以下優先級積極探討並推進解決方案：

· 將脆弱資金從複用地址遷移至未使用過的地址：這是最容易率先摘下的低垂果實，無需全網達成共識或進行軟分叉。

該舉措完全依賴於大型交易所、託管機構以及自託管投資者落實現代安全實踐，例如實施找零輸出輪換，並竭力避免重複使用同一地址。

· 研發抗量子簽名方案：目前最具代表性的比特幣抗量子支付方案是 Blockstream 提出的 SHRINCS（“Shrunken SPHINCS”的縮寫），該方案基於 SHA-256 構建。

SHRINCS 每秒最多可處理 3 筆交易，而美國國家標準與技術研究院（NIST）的 SPHINCS+ 標準僅為每秒 0.36 筆。Blockstream 已於 2026 年 3 月在 Liquid 網絡測試該方案，並於 8 月聯合貢獻者發佈了比特幣改進提案（BIP）。

目前該方案的正式安全性證明仍在推進中，若要在全網範圍內部署還需要通過軟分叉實現。

· 就 P2PK 地址中易受攻擊且大概率已丟失的比特幣處置方案達成共識：這或許是未來幾年比特幣應對量子威脅時最具爭議的議題。目前約 2 萬個 P2PK 地址中共存有約 170 萬枚 BTC，其中估計有 110 萬枚歸屬於中本聰。

據 Presidio Bitcoin 梳理，當前討論中的主流方案共有三種：一是保留舊版交易花費有效性（即放任量子攻擊者“竊取”）；二是限制舊版地址轉出速率（即對脆弱資金實施“限流”）。

三是凍結並附帶找回路徑，即禁用所有舊版花費，但允許原持有者通過助記詞零知識證明認領資金（即“軟凍結”）。

若希望進一步瞭解這一關鍵議題，可參閱 Presidio Bitcoin 持續更新的基礎指南（點擊查看原文資料）。

免責聲明：本材料僅供參考與科普教育之用，不應作為任何投資決策依據。文中涉及公司、證券或加密貨幣的表述均為作者觀點，不構成背書或買賣持有建議。

本材料中的部分內容可能屬於基於作者當前看法與假設的未來預期或前瞻性陳述，受已知與未知風險及不確定性影響，實際結果或與表述存在重大差異。

部分信息採自據信可靠的來源，但對源自第三方的任何信息的準確性或完整性不作保證。

除本文所述風險外，比特幣還面臨劇烈價格波動、市場操縱、被盜及市場承壓期間潛在流動性受限等風險。

儘管機構參與度與監管完善推動了比特幣市場演進，其價值仍受市場環境、供需變化及監管動態影響，無法保證其長期保值。