全景研究报告：加密世界应对量子攻击，各家都准备好了吗？

原创 | Odaily 星球日报（@OdailyChina）

作者｜jk

读前须知：先弄清五件事

本报告不预设读者了解密码学或量子物理的知识；如果你只关心结论，可以直接跳到“核心发现”；在进入正文之前，我们将先用日常的类比把五个关键概念讲清楚

一、加密货币里的“钥匙”是怎么回事

你的比特币或以太币并不是存在某个文件里，而是登记在区块链上的某个地址名下。要花掉这笔钱，你必须出示一个“数字签名”，向全网证明你就是这个地址的主人。生成签名要用到私钥，私钥只有你自己知道；验证签名则用公钥，公钥是公开的，任何人都能拿来核对。

可以把它想成银行留存的签名样本：银行手里有你的签名样本（公钥），谁来取钱，银行拿样本核对笔迹（验证签名），但任何人看着样本都无法模仿出一模一样的亲笔签名（推出私钥）。这套机制今天之所以可靠，是因为从公钥倒推出私钥，在数学上被认为难到无法完成。量子计算机的威胁，正是在于它可能让这件“不可能的事”变得可行。

二、量子计算机改变了什么

普通计算机破解密码，像一个人拿着一大串钥匙一把一把地试，试得再快也要天文数字级的时间。量子计算机并不是试得更快，而是换了一种解题方式：对于某一类特定的数学问题，1994 年提出的 Shor 算法可以把耗时从“宇宙年龄量级”压缩到“几分钟到几小时”。

需要强调的是，量子计算机并非万能。对绝大多数日常计算任务，它没有优势。但不幸的是，它擅长的那一类问题，恰好正是今天互联网和区块链所依赖的公钥密码（包括 RSA 和椭圆曲线）所建立的基础。与此相对，哈希函数（可以理解为一台把任何输入搅成固定长度指纹的单向绞肉机）只会被量子算法小幅加速，因此依靠哈希构建的安全机制相对稳固。这也解释了为什么多数后量子方案都在向“基于哈希”的方向靠拢。

三、为什么说“不必恐慌，但不能不管”

眼下的量子计算机还远远不能威胁比特币。破解一把比特币密钥所需的是大约 50 万个物理量子比特，而目前最先进的公开芯片只有一百来个，差距是几千倍。所以今天不会有人用量子计算机偷走你的币。

但是时间表上有两个让人不安的因素。第一，迁移本身极其耗时：把整条区块链换成新的签名体系，需要写代码、审计、测试、协调全网升级，再让数以亿计的用户把资产搬过去，业内普遍认为需要五到十年。第二，估算数字在迅速下降：一年前还要数百万个量子比特（可以简单理解为量子计算机需要破解区块链所需的算力），今年已经降到不足 50 万。这就像修建一座大桥需要十年，而洪水何时到来无法预测，合理的做法是现在就动工，而不是等水涨起来。

四、为什么有些币更危险

一个地址里的币是否危险，取决于公钥有没有已经被公开。可以把它想成一个封好的信封：很多地址存放的不是公钥本身，而是公钥的哈希指纹，等于把公钥封在信封里，只有当你花这笔钱的时候才会拆开信封。只要信封没拆，量子计算机就无从下手。

问题在于，有一部分地址的信封早已拆开了。比特币早期（包括中本聪时代）的一类地址直接把公钥写在链上，没有信封；还有大量用户重复使用同一个地址，第一次花钱时信封被拆开，之后剩余的币仍留在同一个地址里，公钥就一直公开着。这些就是报告中反复提到的“暴露”资产，约占比特币总量的三分之一。另外，即使是封着的信封，在你发起转账、交易尚未被确认的短暂窗口里，公钥也会被广播出来，这是一类转瞬即逝但并非不可能的攻击机会。

五、所谓“后量子”，到底在解决什么

解决思路并不复杂：换一把量子计算机也撬不开的新锁。学界已经提出几类候选，如基于哈希的签名、基于格的签名，并且由美国 NIST 在 2024 年完成了标准化。真正困难的是接下来的三件事：新锁更大更重，签名体积是现在的 10 到 40 倍，直接拖慢交易速度并推高成本；换锁需要全网同意，而去中心化网络恰恰最难统一意见；以及那些主人已经失联、永远不会来换锁的币，究竟是冻结、销毁还是原样放着，没有任何方案能让所有人都满意。

常见的几个误解

误解之一是“量子计算机一旦出现，所有加密货币都会归零”。事实上，被威胁的是签名这一环节，网络可以通过升级签名方案来应对，各条链的进展不同，风险并不均等。

误解之二是“量子计算机会让挖矿变得毫无意义”。挖矿依赖哈希计算，量子算法只带来有限的加速，不会推翻工作量证明。

误解之三是“这是科幻，与我无关”。目前量子计算机确实不能破解比特币，但监管部门、托管机构和 ETF 发行人已经把它列入正式的风险清单，迁移的时间窗口也已被写入各国的政策。

核心发现

加密行业对于量子攻击的准备程度较一年前明显提高，但能够在主网上实际使用的后量子保护仍然非常少，整体而言尚未做好准备。

区块链依靠私钥签名来证明资产归属，签名的安全性建立在椭圆曲线离散对数这一数学难题之上。经典计算机无法在可行时间内求解该问题，而一台规模足够大、具备纠错能力的量子计算机，借助 Shor 算法，理论上可以由公开的公钥反推出私钥，进而转移他人的资产。后量子密码，指的就是即便面对量子计算机仍被认为安全的签名与加密方案。

“椭圆曲线离散对数”听上去很抽象，可以用一个生活化的比喻来理解。设想在一张形状特殊的网格上有一个公开的起点，按照固定规则从起点出发连续“跳跃”若干次，最后落在某个位置。你的私钥就是跳跃的次数，一个极其巨大的随机数；你的公钥就是最终落点的位置，会被公开。已知跳跃次数，计算落点很容易，几百步运算就能完成；反过来，只看到落点，想知道当初跳了多少次，除了把所有可能的次数一个个试过去，目前没有更好的办法。比特币和以太坊使用的曲线，可能的次数多达约 2 的 256 次方，是一个天文数字，即使动用全球所有的计算机，也无法在人类甚至宇宙的寿命内试完。这正是私钥无法被他人由公钥推出的原因。

量子计算机之所以构成威胁，是因为它不必一个个去试。Shor 算法利用量子叠加的特性，同时考察大量可能的次数，并从中提取出跳跃过程隐含的规律，把原本需要天文数字步骤的搜索，压缩成规模可控的计算量。换句话说，经典计算机是在大海里逐滴捞针，而量子计算机找到的是针所在的规律。

具体到一次真实的攻击，过程大致分为三步：第一步，攻击者从区块链上读取某个地址已经公开的公钥；第二步，用足够大的量子计算机算出对应的私钥；第三步，用这把私钥伪造出一份合法签名，把该地址里的币转到自己名下。网络无法区分这份签名是真是假，因为它在数学上与主人亲手签出的完全一样。这也是为什么后文反复强调“公钥是否已经公开”：公钥没有公开，攻击的第一步就无从开始。

威胁何时来临？

过去一年间，学界对攻破加密货币所需量子资源的估算大幅下降。Google Quantum AI 在 2026 年 3 月发布的白皮书（合著者包括斯坦福大学的 Dan Boneh 和以太坊基金会的 Justin Drake）给出了针对 secp256k1 曲线的两套攻击电路，分别需要不超过 1,200 和 1,450 个逻辑量子比特。逻辑量子比特指经过纠错、可以可靠计算的量子比特，折算为实际硬件，在错误率约为千分之一的超导路线上，所需物理量子比特不足 50 万个，完整运行约需 18 至 23 分钟。由于约一半的计算可以提前完成，一旦某个公钥在交易广播时被披露，攻击者只需约 9 分钟即可推出私钥。CoinDesk 在报道中提到，这意味着攻击者有大约 41%的概率在原交易被确认之前改走资金。福布斯认为，这一结果较此前动辄数百万物理量子比特的估算缩减了约 20 倍。

量子比特可以简单理解为量子计算机需要破解区块链所需的算力，相应来说，Q-day 就是指足够强大的量子计算机出现的那一天。

Craig Gidney 在 2025 年 5 月的预印本中指出，破解 RSA-2048 所需的含噪量子比特已降至不足 100 万个，而他与 Ekerå 在 2019 年的估算为 2,000 万个。加州理工学院、Oratomic 和加州大学伯克利分校在白皮书发布当日提交的另一份预印本则声称，使用中性原子路线，1 万至 2.6 万个量子比特便可能足够，但这一结论来自模拟，尚无硬件验证。此外，Google 并未公开攻击电路本身，只用零知识证明来说明电路有效，这是该领域首次采用的“负责任披露”方式。

Google 论文截图，来源：arxiv

然而，不必恐慌的原因是，硬件现状与上述估算之间仍有很大差距。Google 的 Willow 芯片只有 105 个量子比特，公开演示中成功破解的最大椭圆曲线密钥只有 15 位，而比特币使用的是 256 位密钥。Project Eleven 为此颁发的 Q-Day 奖也存在争议，比特币开发者认为该次输出与随机猜测没有显著区别。

关于何时会出现具备实际破解能力的机器，专家判断大体集中在 2030 年代初至中期，并且 2030 年之前也有风险。Coinbase 顾问委员会表示，无法确信到 NIST 设定的 2035 年迁移期限时仍不会出现此类机器。Charles Hoskinson 认为 2033 年前出现商用级量子计算机的概率超过一半，Nic Carter 则估计比特币到 2035 年易受攻击的概率为 70%至 80%。Google 已将自身的后量子迁移时间表设定在 2029 年。

风险的性质与暴露规模

对于公开账本，主要风险是签名伪造，即攻击者在公钥已暴露的前提下推出私钥并盗取资产，而不是业界常说的“先收集、后解密”。公钥已经出现在链上的地址，其资产在大型量子计算机出现之日便处于“静态暴露”状态；仅以哈希值作为地址、且从未花费过的资产，则只在交易广播到被确认的短暂窗口内暴露。“先收集、后解密”的威胁主要落在隐私币上，因为今天记录下来的交易，未来可能被回溯性地去匿名化。哈希函数本身并非薄弱环节：SHA-256 和 Keccak 在量子算法面前仅损失平方根级别的安全强度，工作量证明挖矿和基于哈希的承诺总体上仍然安全，这也是多数后量子方案倾向于基于哈希的原因。

暴露的资产规模相当可观。Coinbase 顾问委员会估计，约 690 万枚 BTC（约占总供应量的 32%）的公钥已暴露在链上，其中约 170 万枚位于约 2 万个早期的 P2PK 地址，约 500 万枚源于地址重复使用，包括部分大型交易所的冷钱包。BIP-361 的作者给出的比例略高，称截至 2026 年 3 月 1 日超过 34%。相比之下，Ripple 称只有 0.03%的 XRP 存放于公钥已暴露的休眠账户。各方数字的差异主要源于对 P2PK、地址重用和 Taproot 输出的统计口径不同。

各条链的进展与分化

就实际进展而言，各条链已明显分化。QRL 自 2018 年起即以原生后量子签名运行，Algorand 于 2026 年 8 月上线原生 Falcon 账户，NEAR 于 2026 年 7 月上线 ML-DSA 账户，Starknet 的 Falcon 账户已在主网运行但尚未审计，Tezos 的相关代码已随升级进入主网，但默认关闭。以太坊（约 2029 年）、XRPL（2028 年）、Sui（2027 年第一季度）、Stellar 和 Hedera（2027 年前后）已有带日期的路线图，Solana 选定了 Falcon 但未设时间表，Cosmos SDK 已发布支持，但需由各链自行启用。比特币的两项相关提案仍处于草案阶段，缺乏激活路径；Cardano 仍在研究阶段；Monero、Avalanche 和 BNB Chain 则没有正式计划。

账户抽象是其中最重要的结构性差异。账户可以自行更换签名方案、无需整条链统一分叉的网络（Starknet、Algorand、NEAR、Sui、Aptos，以及 EIP-8141 落地后的以太坊），可以让用户逐个迁移；比特币的账户模型不具备这种灵活性，迁移只能依靠新的地址类型和多年的自愿转移。

难点在于治理：怎么确保所有人行动一致？

密码学方案本身已有标准可循，真正悬而未决的是治理与工程问题。

首先是如何协调软分叉或硬分叉，使整个网络同步升级。其次是对始终没有迁移的资产如何处置，包括约 170 万枚中本聪时代的 BTC，究竟是冻结、撤销还是维持原状，目前只有少数链作出了明确表态。第三是新签名比现有的 64 字节签名大 10 至 40 倍，将直接拖累交易吞吐并推高成本。Ripple 指出，Dilithium 签名约为现有签名的 40 倍；Coinbase 顾问委员会警告，切换后区块大小最多可能膨胀 38 倍；Hoskinson 则提醒，Cardano 过早切换可能使网络速度下降约 10 倍。

标准与监管

传统金融与政府部门已经给出明确的迁移时间表，加密行业各条链正是在这一背景下被推动着行动。其中最关键的是美国 NIST 的后量子标准，它既划定了区块链可以选用的签名方案，也规定了旧算法退场的期限。

业内的黄金标准：NIST 标准

NIST 是美国国家标准与技术研究院，隶属美国商务部，负责制定技术标准。它在密码学领域的标准（如 AES、SHA 哈希）被全球广泛采用。2024 年 8 月，它发布了首批后量子密码标准，所以多数区块链的后量子方案都以它为准。

NIST 于 2024 年 8 月 13 日正式发布了三项后量子标准，第四项仍在制定之中。FIPS 203（ML-KEM）是一种密钥封装机制，用于加密通信，并非签名方案。FIPS 204（ML-DSA，前身为 Dilithium）是基于格的签名，签名体积约为 2.4 至 4.6 KB，是目前最常见的默认选择。FIPS 205（SLH-DSA，前身为 SPHINCS+）是基于哈希的签名，安全假设最为保守，但签名体积达到约 7.8 至 50 KB。尚未定稿的 FIPS 206（FN-DSA，前身为 Falcon）同样基于格，Falcon-512 的签名仅约 0.7 KB，是三者中最紧凑的，Hedera 在 2026 年 4 月的分析中预计其将在 2027 年初前后完成。作为参照，比特币的 Schnorr 签名和 Solana 的 Ed25519 签名都只有 64 字节。

NIST 发布的标准，来源：NIST 官网

NIST 的过渡指南规定，易受量子攻击的公钥算法将在 2030 年弃用，并在 2035 年禁用。业内常说的“2035 年”期限即出自于此。

机构披露

机构层面已经开始把量子风险写入正式文件。贝莱德在 2025 年 5 月 9 日扩充了 iShares 比特币信托（IBIT）招股说明书中的量子风险因素，其以太坊产品也有类似措辞，警告量子计算可能使比特币的密码学失效。VanEck 在 2026 年的 BNB ETF 招股说明书中，同样对 BNB Smart Chain 作出了类似警示。这类披露属于标准的风险提示，并非对未来的预测，但它们说明量子准备度已成为托管机构和 ETF 发行人尽职调查的一部分。

各家准备

Coinbase：用独立顾问委员会给全行业“定调”

Coinbase 是 2026 年将量子议题推入主流讨论的最重要的机构之一。其做法是邀请外部专家组成独立委员会，公开发布分析，并要求各条链尽早表态。

Coinbase 独立量子计算与区块链顾问委员会成立于 2026 年 1 月，首份论文于 2026 年 4 月 21 日发布，篇幅约 50 页。成员包括 Scott Aaronson、Dan Boneh、Justin Drake、Sreeram Kannan、Yehuda Lindell 和 Dahlia Malkhi。其中 Boneh 与 Drake 同时也是前述 Google 白皮书的合著者，因此两份文件的判断相互呼应。

论文的基本判断是，容错量子计算机最终会被造出，委员会对此表示高度确信，但同时强调目前并不存在这样的机器。至于 2035 年之前是否会出现，委员会认为无法保证不会，因此主张现在就应着手准备，而不是等到紧迫信号出现之后。在暴露规模上，论文估计约 690 万枚 BTC 的公钥已经暴露；6 月发布的后续报告把这一数字做了拆分，约 170 万枚位于约 2 万个旧式 P2PK 地址，约 500 万枚源于地址重复使用，主要属于活跃用户，其中包括大型交易所的冷钱包。论文还警告，切换至后量子签名可能使区块大小膨胀最多 38 倍。与 Google 白皮书不同的是，委员会对交易确认前的抢先攻击相对不那么担心，而 Google 给出的 9 分钟攻击窗口则使这一类攻击成为现实的关注点。

对各条链的核心建议是尽早作出决定并公开宣布：对于始终没有迁移至后量子签名的资产，究竟是冻结、撤销还是维持原状。委员会本身不替比特币等网络选边，但认为迟迟不表态本身就是风险。

这份文件的意义在于，Coinbase 作为上市公司和最大的托管机构之一，借此既履行了产品责任，也向行业提供了可供引用的第三方分析，使量子准备成为交易所、托管机构和 ETF 发行人必须回答的问题。需要指出的是，该委员会由 Coinbase 出资设立，其意见分量很重，但读者不宜把它视为完全中立的裁决。