量子计算会威胁比特币吗？为什么约690万枚BTC被认为最脆弱

量子计算仍处于发展阶段，但金融机构和密码学研究者已经开始评估它对加密货币的潜在影响。花旗集团（Citigroup）的一份研究指出，比特币未来可能面临一种特殊的安全挑战：如果量子计算机足够强大，它们可能破解保护比特币钱包的数字签名机制。

目前这种威胁并不迫在眉睫，但问题在于——迁移到抗量子密码体系往往需要多年时间。因此，如果技术发展速度快于预期，网络可能来不及完成升级。

量子计算为什么可能破解比特币签名

比特币交易依赖一种叫做**公钥密码学（public‑key cryptography）**的技术。用户通过私钥对交易进行签名，而私钥对应的公钥记录在区块链上。

在传统计算机上，从公钥反推出私钥几乎不可行，因此系统被认为是安全的。

但理论上，如果量子计算机运行Shor 算法，就可能快速解决椭圆曲线加密（ECC）背后的数学问题，从而从公钥推算出私钥。一旦做到这一点，攻击者就能伪造签名并转移资金。

值得注意的是：

• 比特币使用的哈希函数目前并不被认为会被量子计算轻易破解
• 真正的弱点主要在数字签名系统，例如 ECDSA 和 Schnorr 签名机制。

为什么约650万–690万枚BTC更容易受到攻击

花旗分析指出，在量子攻击场景中，一部分比特币会更容易成为目标。

估计显示，约650万到690万枚BTC的公钥已经在区块链上公开，大约占当前流通量的三分之一。

这些币之所以更危险，是因为攻击者无需等待交易广播来获取公钥——它们已经永久记录在链上。

常见情况包括：

• 早期使用的 Pay‑to‑Public‑Key（P2PK）地址
• 重复使用同一个地址的钱包
• 曾经花费过资金的地址（交易中会暴露公钥）

另一个问题是长期沉睡的比特币。部分早期钱包可能已丢失、无人管理或持有人不再活跃，因此这些资金很可能永远不会迁移到更安全的地址类型。

治理难题：为什么升级比特币很难

即使抗量子密码技术已经存在，把它部署到比特币网络也并不容易。

比特币的治理模式非常保守。协议升级需要开发者、矿工、节点运营者、交易所、托管机构以及用户之间形成广泛共识，这一过程通常非常缓慢。

这种设计本意是为了保障稳定性，但也意味着重大架构升级推进困难。

花旗分析认为，与以太坊等网络相比，比特币在历史上更少进行大规模协调升级，因此在采用抗量子保护方面可能更慢。

如果要完成一次全面迁移，可能需要：

• 引入新的抗量子签名算法
• 新的地址格式与钱包软件
• 交易所、托管机构和用户协调迁移
• 决定如何处理那些永远不会迁移的旧币

由于既涉及技术问题，也涉及社区共识，整个过程可能持续多年。

“先收集、后解密”的潜在风险

量子安全领域还有一个常被讨论的概念：“Harvest Now, Decrypt Later”（先收集、后解密）。

意思是攻击者现在就开始收集加密数据，即使当前无法破解。一旦未来量子计算能力足够强，这些历史数据就可以被解密。

在比特币场景中，这意味着：

• 攻击者可以提前记录所有公开公钥地址
• 等量子计算成熟后立即尝试推算私钥

即便真正的攻击尚未发生，如果市场认为网络升级速度太慢，也可能影响投资者信心或价格预期。

BIP‑360 与 BIP‑361：比特币的抗量子迁移方案

开发者已经开始提出解决方案，其中较受关注的是 BIP‑360 和 BIP‑361 提案。

这些方案的核心目标是：逐步将比特币迁移到抗量子密码算法。

其中 BIP‑361 的一个争议点是：

• 在迁移期限后，旧签名体系（ECDSA、Schnorr）可能被逐步淘汰
• 未迁移到新地址类型的币可能被永久冻结或无法再花费。

支持者认为，这可以防止量子攻击者盗取资金。

但批评者认为，这会挑战比特币长期以来的原则——只要私钥存在，资金就应该永远可花费。

因此争议集中在几个方面：

• 财产权问题：冻结资产是否等同协议层“没收”
• 社区分裂风险：不同阵营可能导致链分叉
• 操作复杂度：交易所与托管机构需要大规模迁移钱包

目前比特币社区尚未形成统一方案。

对投资者和加密行业意味着什么

目前没有任何量子计算机能够实际破解比特币密钥，因此风险仍然是理论层面的。

但问题的核心在于：密码学迁移非常缓慢。对于一个价值数万亿美元的去中心化网络来说，准备工作往往需要提前很多年开始。

如果量子计算发展速度超出预期，比特币可能面临两种困难局面：

• 攻击者盗取大量暴露公钥的比特币
• 或网络采取争议性规则防止盗窃，例如冻结旧地址

无论哪种情况，都将考验这个全球最大加密网络的治理能力与技术适应力。