量子威胁 多少比特币处于暴露状态？
所有流通中的比特币中，约有三分之一存放在公钥已公开的地址中。比特币挖矿本身在数学上仍然对量子计算机免疫。特朗普于6月签署两项行政令，将量子计算列为国家优先事项。穆迪警告数字资产公司，需在2030年前证明其具备抗量子能力。
特朗普总统在6月22日签署的两项行政令，已将比特币面临的量子威胁从研究实验室转移到了交易所、托管机构和稳定币发行方的会议室。两天后，穆迪评级发布行业评论，警告量子计算对数字资产的信用影响重大，并为该行业保护其基础密码学的能力设定了一个粗略的2030年截止日期。这一压力源于谷歌量子AI团队在3月底发布的一篇白皮书，该白皮书显示，破解比特币签名密码学所需的量子资源比此前估计的要少20倍。
变化的在于数学本身，而非机器
要理解评级机构为何开始设定密码学截止日期，首先要了解谷歌实际证明了什么。比特币的所有权依赖于secp256k1椭圆曲线。任何知道钱包公钥的人，理论上都可以通过求解离散对数问题来推导出私钥，而这一计算对于经典计算机而言需要比宇宙年龄还长的时间。运行肖尔算法的量子计算机则完全改变了这一等式，而一直以来的悬而未决的问题是，这样的机器需要有多大。
谷歌团队以异常精确的方式回答了这个问题。研究人员设计了两条针对比特币特定曲线实现肖尔算法的量子电路。一条电路使用约1200个逻辑量子比特和9000万个Toffoli门，另一条使用约1450个逻辑量子比特和7000万个Toffoli门。在超导架构上，任一条电路都能在几分钟而不是几天内解决问题。
披露方法本身几乎和数字一样引人注目。该团队没有公布电路的具体内容，而是发布了一个基于零知识证明的加密验证，使用SP1 zkVM和Groth16 SNARK构建，允许任何人验证其声明，而无需访问攻击细节。谷歌表示，在发布前已与美国政府进行了沟通，这一步骤通常只用于严重的漏洞研究。
九分钟对十分钟的区块
该论文描述了两个不同的攻击场景，其中第二个对普通用户而言更令人不安。第一个场景针对的是“静止”的币。任何公钥已存在于区块链上的地址——无论是通过旧的“支付到公钥”格式，还是通过地址重复使用——都可以被随时攻击。账本是公开且永久存档的，因此攻击者无需实时访问。这就是“先存储，后解密”逻辑：情报机构和资金雄厚的团体可以现在复制链上数据，待硬件成熟后再运行攻击。
第二个场景针对的是“在途”的交易。现代比特币地址会对公钥进行哈希处理，直到所有者花费时才公开。在那一刻，公钥广播到交易内存池，计时开始。比特币区块平均每十分钟确认一次。谷歌优化的电路大约在九分钟内计算出私钥。一个驻留在交易内存池的攻击者可以在确认前提取密钥，签署一笔手续费更高的竞争交易，从而抢先于合法所有者。论文估计该抢跑的成功率为41%。
实际有多少比特币处于暴露状态
Galaxy Digital及独立分析师的研究显示，易受攻击的比特币数量在690万至700万枚之间，占流通供应量的34%至35%，按当前估值计算价值高达4700亿美元。
暴露的比特币类别：
传统P2PK地址（2009-2012年）——约172万枚BTC——风险原因：公钥直接发布在账本上
中本聪的休眠钱包——约110万枚BTC——风险原因：全部为传统P2PK格式，从未移动
重复使用的现代地址——约410万枚BTC——风险原因：首次对外支出后公钥暴露
总计暴露——约690万-700万枚BTC（约35%）——风险敞口高达4700亿美元
中本聪的币带来了一个任何协议升级都无法解决的问题。其所有者自2011年以来一直保持沉默，而休眠资金无法自行迁移到量子安全格式。社区最终将面临一个选择：要么看着这些币被最先造出硬件的任何人掏空，要么通过共识规则冻结它们——但这将打破比特币“任何人都无法没收你的财产”的核心承诺。
为何挖矿得以幸存而签名却面临失效
论文中一个重要的细微差别常常被标题所忽略。比特币的工作量证明机制依赖于SHA-256哈希函数，而非椭圆曲线，而量子计算机通过格罗弗算法只能获得对哈希函数的二次加速。实际上，量子机器更像一台效率稍高的矿机，而非能够重写链的武器。威胁完全集中在所有权上，集中在证明谁控制哪些币的签名上。
反驳论点则聚焦于硬件的现实。谷歌最先进的处理器Willow运行着105个物理量子比特。要扩展到50万个纠错量子比特，需要在低温学、材料科学和芯片制造领域取得突破，这可能需要十年或更长时间。像Blockstream的Adam Back这样的怀疑论者认为，危险期在20到40年之后。该论文本身只是一个资源估算，而非时间预测，目前尚不存在任何一台机器具备所需容量的1%。
机构资金在论文发布前就已开始行动
重新布局在谷歌发布前几周就开始了。1月中旬，Jefferies全球股票策略主管Christopher Wood将其备受关注的GREED & fear模型投资组合中的全部10%比特币配置清空，转而分配为5%实物黄金和5%黄金矿业股票。Wood引用了Chaincode Labs的一项研究，该研究估计20%至50%的流通供应量可能易受量子密钥提取攻击，并称这一威胁对比特币作为长期养老金投资组合的价值储存论点而言是“存在性的”。
穆迪在6月24日的评论中更进一步，将量子准备工作视为一个信用问题而非技术奇点。该机构指出，比特币的修复方案在纸面上已经存在，即抗量子签名方案，但采用需要共识、软分叉以及跨去中心化网络的协调钱包迁移，而该网络没有中央机构来强制执行截止日期。特朗普的一项行政令要求开发一台足够强大的量子计算机，以开启量子赋能发现的时代，并在90天内提交系统规格说明。穆迪警告称，一旦某个传统钱包发生高调的量子入侵事件，将引发整个资产类别出现连锁恐慌性抛售，因为区块链盗窃无法回滚、没有保险、也没有法律追索途径。花旗分析师补充说，生成式AI正在加速量子纠错研究，进一步压缩了防御窗口。
协议层面的回应速度比比特币以僵局著称的声誉要快。BIP-360引入了一种抗量子地址类型，并于2月11日合并到比特币代码库中。其配套提案BIP-361更进一步，概述了逐步淘汰传统签名的方案，最终将冻结从未迁移的币——这一机制直接针对中本聪时代的难题。Blockstream在7月3日发布的第二季度报告中强调了OP_CHECKSHRINGS，这是一个基于哈希的签名操作码，于5月首次提出，并基于已在Liquid侧链上运行的方案构建。谷歌方面已承诺在2029年内部完成自身的后量子迁移。硬件规模仍然小了几百倍：4月，一名研究人员因在公共量子硬件上破解了一个15位椭圆曲线密钥而从安全公司Project Eleven获得了1枚比特币的赏金，这一创纪录的成绩仍远未触及比特币的256位密钥。双方的竞赛都是真实的。问题在于谁先到达终点。