Coinbase发布其分阶段比特币后量子迁移方案

区块链文库报道：

Coinbase 观点：比特币并未面临迫在眉睫的量子危机

根据 Coinbase 自身的评估，比特币目前并不面临迫在眉睫的“量子崩溃”风险。该公司指出，目前最先进的量子计算机拥有的量子比特数不足 1,000 个，远远未达到破解比特币椭圆曲线密码学所需的容错能力。然而，Coinbase 估计，对比特币签名系统进行更改并实施可能需要长达七年的时间。

这一时间差正是其关于后量子安全论证的核心要点。问题不在于今天的量子计算机能否窃取比特币，而在于在将来某台机器使该问题变得紧迫之前，比特币社区能否就迁移方案达成一致、构建并完成部署。Coinbase 认为，准备工作必须提前开始，因为这次过渡涉及开发者、托管方、钱包提供商、硬件钱包制造商以及机构等多个主体，而非简单的软件激活。

七年的迁移窗口改变了行动阈值

安全升级通常针对的是即时威胁进行评估，但这对于基础设施变更而言并不适用，因为其实施过程本身可能会消耗掉大部分在威胁到来之前的准备时间。

Coinbase 机构研究部门明确指出，目前的硬件限制在于：量子计算机仍处于远低于破坏比特币当前椭圆曲线保护水平的阶段。但同时也指出，潜在的比特币签名迁移时间表可能长达七年。

这一估算改变了相关的规划视野。全网范围的迁移需要软件支持、持有客户比特币的公司进行运营规划，以及持有自身密钥的用户采取行动。在 Coinbase 的框架下，这是一项涉及众多不同参与者的多年期工程，而不是可以安全地推迟到硬件能力显而易见时才执行的事件。

独立研究提供了认真对待这种顺序安排的理由，而无需声称存在短期紧急情况。一篇 2026 年的论文估计，到 2035 年出现具备密码学相关能力的量子计算机的概率约为六分之一，到 2050 年则上升至约 60%。这些是情景估算，而非量子发展的具体时间表。尽管如此，该论文得出的结论——治理可能是关键约束——与 Coinbase 的实际担忧相吻合：技术风险的到来速度可能快于去中心化生态系统达成共识的速度。

这并不意味着比特币必须匆忙通过未经测试的共识变更。尽早启动设计和协调过程，与过早激活它是截然不同的。事实上，当漫长的缓冲期允许人们在被活跃攻击者迫使做出权衡之前，充分辩论各种利弊时，其价值最大。

170 万枚 BTC 使遗留暴露成为一个治理问题，而不仅仅是加密问题

Coinbase 量子咨询委员会估计，约有 170 万枚比特币位于传统的“向公钥付款”（P2PK）地址中，这些地址的公钥完全暴露。如果量子能力能够从这些信息中推导出私钥，那么这些持有量将直接面临风险。

对于仍能采取行动的持有人来说，基本的应对措施是在旧保护失效之前，将硬币转移到更安全的输出类型中。但是，有些硬币可能属于那些已丢失、不活跃或不愿迁移的所有者。Coinbase 的咨询委员会并未解决永久未迁移的硬币是否应该销毁、保留或通过其他治理机制处理的问题。

这个未决问题将一个加密升级转变为关于价值和控制的争议。BIP-361 指出了如果量子恢复触及被遗弃或暴露的硬币，可能会引发重新分配的冲突。其可能的方法包括允许第一个有能力的人获取它们、限制恢复或完全阻止恢复。

这些选择以不同的方式分配风险：不受限制的恢复可能会奖励第一个有能力的人，而限制或阻止恢复将使比特币的规则在所有权证据变得不可靠时更具干预性。一项独立的 2026 年分析发现，大多数暴露的比特币可能仍可迁移，但治理——而不仅仅是硬件——可能仍然是关键约束。没有任何后量子签名算法能解决如何处理被遗弃或未迁移硬币的问题。

BIP-360 和 BIP-361 展示了 Coinbase 倡导的分阶段机制

比特币有两个关于分阶段后量子迁移的草案提案，而非已采用的共识规则。

BIP-360 将在量子抗性输出设计的花费发生之前，隐藏后量子公钥，从而减少与较旧的 P2PK 输出相关的暴露风险。

BIP-361 将首先禁止向易受攻击的地址类型支付新资金，随后逐步淘汰旧的 ECDSA 和 Schnorr 签名。这为钱包、服务提供商和持有人留出时间，将新资金引导至更安全的输出类型，并迁移现有余额。

剩余的决策至关重要：限制哪些地址类型、何时淘汰旧签名，以及如何对待未迁移或被遗弃的硬币。这些 BIP 描述了一条可能的路线，但比特币尚未选择或采用它。

标准化的后量子工具并不能解决比特币的共识选择

底层的密码学领域不再等待标准的出现。美国国家标准与技术研究院（NIST）已于 2024 年 8 月确定了 ML-KEM、ML-DSA 和 SLH-DSA，并表示组织应开始迁移。其更广泛的过渡规划目标是在 2035 年前从相关标准中移除易受量子影响的算法。

这些标准为比特币提供了比几年前更为成熟的基础模块。但它们并未选择比特币的输出格式，未确定交易过程中密钥应如何暴露，也未解决旧硬币的后果。标准可以确立密码原语在更广泛生态系统中的地位。比特币仍需决定如何、以及是否将其特定的构造纳入其自身的共识规则中。

这种区别解释了为什么争论不应简化为关于量子比特数量的预测。硬件进步决定了现有系统何时变得不安全。治理决定了替代方案是否可接受、可部署，以及公平到足以获得广泛支持。后者即使在前者仍不确定时，也可能进展缓慢。

因此，Coinbase 的立场与其说是宣告量子风险已经到来，不如说是在论证提前期的必要性。七年的迁移估算和一堆完全暴露的遗留硬币，几乎没有自满的空间。现有的提案可以限制新的暴露并创造迁移时间，但无法避免最终对被遗弃余额及其引发的重新分配冲突做出决定。