Cryptopolitan报告：近半数读者认为量子计算将在2035年前破解比特币

区块链文库报道：

读者们的投票结果

将那些回答“是的，很可能”的读者与“2030年之前”的群体合并，得到的结果是47%的读者认为量子破解比特币的可能性在未来九年之内。到目前为止，在实际量子硬件上被破解的最大椭圆曲线密钥是15位，这是今年4月由一位研究人员声称获得了“十一号项目Q-Day奖”而实现的。需要说明的是，比特币的密钥是256位，要在九年之内从15位跃升到256位，需要一系列非凡的工程创新。大约三分之一的读者目前认为这确实有可能。

比特币实际面临的风险

在深入讨论民意调查结果之前，有必要澄清一点：比特币并不加密任何东西。没有秘密信息被混淆，自诞生以来，网络上的每一笔交易一直都是公开的。比特币所做的是签名和哈希。这是两个不同的任务，两种不同的数学，两条截然不同的量子时间线。

签名部分是暴露的部分，也是存在漏洞的地方。当您花费比特币时，您的钱包会生成一个签名来证明您拥有这些币，这是通过一种称为secp256k1的椭圆曲线密码学完成的。比特币多年来使用了两种签名方法：从一开始的ECDSA和2021年以来的Schnorr。这两种方法的安全性都基于一个假设：即从公钥推导出私钥是不可能的。

这就是Shor算法发挥作用的地方，它针对的就是这一假设。给定一台足够大的量子计算机，它可以从公钥逆向推导出生成该公钥的私钥。今年3月，谷歌研究人员发布的估算表明，所需逻辑量子比特少于1200个，物理量子比特少于50万个。随后加州理工学院和Oratomic的一篇论文将其降低到仅需10,000个量子比特（使用中性原子架构）。目前还没有人建造出任何接近这一水平的机器。但过去这些数字是数百万级别的，而这一趋势正是比特币开发者不再将其视为2040年代问题的原因。

哈希方面的情况要好得多。比特币使用SHA-256进行挖矿、地址生成和区块链接。针对它的最佳量子攻击是Grover算法，它只能提供平方级的加速。实际上，这将256位安全性降低到大约128位，这仍然远远超出了任何纸上草拟的机器所能达到的范围。挖矿不是这里的薄弱环节，链结构也不是。

因此，准确的表述比“量子破解比特币”更窄。面临风险的是那些公钥已经公开暴露在链上的币。当某个地址之前被花费过，或者资金存放在默认暴露密钥的旧地址格式中时，就会发生这种情况。目前的估计是大约650万到690万枚BTC，约占总供应量的四分之一到三分之一，这个数字包括早期地址中的约170万枚币，普遍认为属于中本聪。

存放在从未被花费过的现代地址中的币根本不会暴露公钥。对于这些币，量子攻击者只有在交易在内存池中等待确认的那几分钟窗口内才有机会。这仍然是一个值得解决的问题，但比标题数字所暗示的要小得多。

比特币对量子问题的回应

2026年2月11日，BIP-360被合并到官方的比特币BIP仓库中，这是该网络第一个正式达到这一阶段的量子抗性提案。它引入了一种新的输出类型，称为“Pay-to-Merkle-Root”（P2MR），由Hunter Beast、Ethan Heilman和Isabel Foxen Duke编写。P2MR本质上是移除了密钥路径花费的Taproot。Taproot同时承诺一个内部公钥和一个脚本的Merkle根，这意味着密钥总是可以从链上内容推导出来。而P2MR只承诺Merkle根。直到你实际花费时才会出现公钥，而且即使那时也只会出现你使用的那个叶子。它关闭了长期暴露的漏洞。

一个配套提案BIP-361于4月14日提出，包含一个三阶段计划，旨在完全淘汰ECDSA和Schnorr花费。这引发了争议，因为第三阶段实际上会冻结那些从未迁移的币。

这里值得深思的是。Heilman自己的估计是，从达成共识到完全实现量子弹性需要七年时间，而且他认为这已经算是乐观的了。两年半用于审查和测试，半年用于激活，然后再过五年，大约90%的钱包、托管机构、闪电网络节点和财务软件才能完成升级。值得注意的是，BIP-360根本不包括后量子签名。这些内容在2025年7月被移除，并推迟到未来的提案中。比特币最终采用的方案很可能是ML-DSA或SLH-DSA，即NIST已经最终确定的算法。

这让我们回到了上周。

后量子方案被攻破，但未涉及量子计算机

7月28日，Anthropic的Frontier Red Team发布了一个来自Claude Mythos Preview（一个尚未公开的模型）的发现。在半自主的代理设置下，它发现了一种之前未知的针对HAWK的攻击。HAWK是NIST额外后量子签名竞赛的九个决赛入围者之一，也是唯一一个进入第三轮（5月）的基于格（lattice）的方案。该攻击利用了HAWK格结构中一个之前无人使用过的对称性。对于HAWK-256参数集，它将密钥恢复的估计工作量从大约2^64次操作降低到大约2^38次。通俗地说，这相当于从“地球上没有攻击者能做到”到“一个资金充足的团队有可能尝试”之间的差距。

现在来看那些令人不安的细节。HAWK此前已经经历了两年内两轮人类专家的审查。该模型在大约60小时内发现了这个漏洞，成本约为10万美元的API费用。监督该项目的研究人员具有理论计算机科学背景，并非格密码学专家。谷歌的后量子密码学家Sophie Schmieg用五个字总结道：“基本上，这篇论文一出，HAWK就死了。”HAWK团队次日退出了NIST的考虑，并指出明显的修复方法——加倍参数或转向更高阶的模块——将使其在与其他方案的竞争中失去优势。

在整个过程中没有使用任何量子计算机。被攻破的是后量子密码学，而一个经典的人工智能模型在一个长周末内就将其攻破了。

民意调查真正揭示了什么

我们投票中的每个选项都问的是同一个根本问题：量子硬件何时到来。读者对此的分布是合理的，47%的人认为在九年之内，考虑到今年量子比特估算的变化，这是一个有依据的解读。

但HAWK的结果表明，硬件时间线可能不是制约因素。投票“没那么快”或“只在2050年之后”的33%的人是在押注量子工程，他们很可能是对的。但这个押注并不能保护他们免受替代算法上的经典攻击。

20%回答“不知道”的人值得称赞。在这样一个密切关注此事的群体中，五分之一的人拒绝猜测并非漠不关心。这更像是对有多少未知因素叠加在一起的准确评估：硬件进展、算法选择、共识时间线，以及现在人工智能辅助的密码分析速度超过了旨在捕捉它们的审查流程。