误读是怎样发生的？

这场讨论把一条充满前提的推理链，包装成了一个确定结论：马斯克支持了一种关于基础物理的观点；如果物理世界确实是离散的，那么可扩展的量子纠缠或许存在上限；既然破解比特币签名需要达到某个量子计算规模，比特币就可能永远不会受到量子攻击。

但马斯克在2026年8月29日的原话只有：“宇宙以普朗克立方体为单位取整数。”这条帖子没有提及比特币、加密货币、私钥、肖尔算法（Shor’s algorithm）或比特币的安全性。68

换句话说，马斯克表达的是对一项物理学观点的认同或支持，并不是对比特币安全性的背书。

“835个逻辑量子比特”从何而来？

投资人弗雷德·克鲁格随后提出，比特币“可能已经具备量子安全性”。他的推理是：如果牛津大学物理学家蒂姆·帕尔默的观点成立，当前可用的相干纠缠规模大约只能达到200至400个量子比特，并且在任何情况下都不会超过1,000个，那么一项至少需要约835个逻辑量子比特的肖尔算法攻击，在物理上就可能无法完成。104

这里的关键是“如果”。这不是比特币已经安全的实验证据，而是建立在一项尚未得到广泛验证的物理学假设之上的条件性推论。

此外，“逻辑量子比特”和“物理量子比特”不能混为一谈。逻辑量子比特是经过纠错、能够较稳定地执行计算的单位；今天的量子计算机主要依赖噪声更大的物理量子比特。两者不能简单按数量直接比较。

帕尔默的量子上限并非主流理论结论

帕尔默的理论认为，自然界并不存在真正平滑、连续的数学结构，物理现实可能由离散的普朗克尺度单元构成。由此，他推测量子计算机的可扩展性可能受到根本限制：当前硬件或许会停留在约200至400个量子比特，而量子纠缠在任何情况下都不会超过1,000个量子比特。

不过，这一“硬上限”具有争议性。主流量子力学目前并没有确认量子纠缠必然受限于400个或1,000个量子比特。除非未来实验和理论研究支持这一判断，否则它不能被当作比特币安全性的基础。

835并不是永久的安全边界

2026年7月公开的一项预印本提出了一种更节省量子比特空间的椭圆曲线离散对数问题电路。由于比特币使用基于secp256k1曲线的签名机制，这项研究与比特币潜在的量子攻击路径有关。研究将破解256位曲线所需的逻辑量子比特数量估算为约835个，低于此前常见的约1,098个和1,175个估计。213

但量子比特数量下降并不代表攻击变得轻而易举。该方案以显著增加量子门操作成本为代价，换取了更小的量子比特规模。随着算法、电路设计、纠错方式和硬件架构继续改进，“需要多少量子比特”这一数字仍可能变化。

因此，835个逻辑量子比特更像是当前某种攻击设计下的资源估算，而不是比特币永久有效的安全分界线。

IBM的2029年目标会检验什么？

IBM的路线图显示，Quantum Starling计划于2029年实现200个逻辑量子比特，并运行包含1亿个量子门的量子电路。1

这个目标仍明显低于约835个逻辑量子比特的估算，也不意味着Starling本身能够破解比特币签名。它真正重要的地方在于：如果容错量子计算机能够在接近200个逻辑量子比特的规模上，稳定执行极长且有用的计算，那么帕尔默关于近期量子纠缠上限的判断就将开始面临经验检验。

反过来说，即使IBM按计划完成Starling，也不能单凭这一台机器证明帕尔默的理论错误，更不能证明比特币已经安全。真正的验证需要观察容错系统能否继续扩展到数百个、最终接近或超过1,000个逻辑量子比特，并保持足够长时间的有效计算能力。

比特币仍需要后量子迁移

比特币不能把未经证实的物理上限当作防御方案。开发者和研究人员仍在讨论后量子迁移，包括采用新的抗量子签名方案、调整地址和支出规则，以及通过共识升级改变相关安全机制。

现实中的风险也不只取决于量子比特数量。算法效率、纠错开销、运行时间、硬件错误率，以及比特币是否能在具有密码学现实威胁的量子计算机出现之前完成抗量子签名的部署，同样关键。

因此，交易员的结论把“马斯克支持一项物理理论”错误地升级成了“比特币已经安全”。更谨慎的表述应当是：如果帕尔默的上限最终得到证实，而且破解比特币签名确实需要约835个逻辑量子比特，那么量子攻击的可行性会受到重大限制。但截至目前，这仍是一个待验证的假设，而不是比特币安全性已经获得证明。12

误读是怎样发生的？

这场讨论把一条充满前提的推理链，包装成了一个确定结论：马斯克支持了一种关于基础物理的观点；如果物理世界确实是离散的，那么可扩展的量子纠缠或许存在上限；既然破解比特币签名需要达到某个量子计算规模，比特币就可能永远不会受到量子攻击。

但马斯克在2026年8月29日的原话只有：“宇宙以普朗克立方体为单位取整数。”这条帖子没有提及比特币、加密货币、私钥、肖尔算法（Shor’s algorithm）或比特币的安全性。68

换句话说，马斯克表达的是对一项物理学观点的认同或支持，并不是对比特币安全性的背书。

“835个逻辑量子比特”从何而来？

投资人弗雷德·克鲁格随后提出，比特币“可能已经具备量子安全性”。他的推理是：如果牛津大学物理学家蒂姆·帕尔默的观点成立，当前可用的相干纠缠规模大约只能达到200至400个量子比特，并且在任何情况下都不会超过1,000个，那么一项至少需要约835个逻辑量子比特的肖尔算法攻击，在物理上就可能无法完成。104

这里的关键是“如果”。这不是比特币已经安全的实验证据，而是建立在一项尚未得到广泛验证的物理学假设之上的条件性推论。

此外，“逻辑量子比特”和“物理量子比特”不能混为一谈。逻辑量子比特是经过纠错、能够较稳定地执行计算的单位；今天的量子计算机主要依赖噪声更大的物理量子比特。两者不能简单按数量直接比较。

帕尔默的量子上限并非主流理论结论

帕尔默的理论认为，自然界并不存在真正平滑、连续的数学结构，物理现实可能由离散的普朗克尺度单元构成。由此，他推测量子计算机的可扩展性可能受到根本限制：当前硬件或许会停留在约200至400个量子比特，而量子纠缠在任何情况下都不会超过1,000个量子比特。

不过，这一“硬上限”具有争议性。主流量子力学目前并没有确认量子纠缠必然受限于400个或1,000个量子比特。除非未来实验和理论研究支持这一判断，否则它不能被当作比特币安全性的基础。

835并不是永久的安全边界

2026年7月公开的一项预印本提出了一种更节省量子比特空间的椭圆曲线离散对数问题电路。由于比特币使用基于secp256k1曲线的签名机制，这项研究与比特币潜在的量子攻击路径有关。研究将破解256位曲线所需的逻辑量子比特数量估算为约835个，低于此前常见的约1,098个和1,175个估计。213

但量子比特数量下降并不代表攻击变得轻而易举。该方案以显著增加量子门操作成本为代价，换取了更小的量子比特规模。随着算法、电路设计、纠错方式和硬件架构继续改进，“需要多少量子比特”这一数字仍可能变化。

因此，835个逻辑量子比特更像是当前某种攻击设计下的资源估算，而不是比特币永久有效的安全分界线。

IBM的2029年目标会检验什么？

IBM的路线图显示，Quantum Starling计划于2029年实现200个逻辑量子比特，并运行包含1亿个量子门的量子电路。1

这个目标仍明显低于约835个逻辑量子比特的估算，也不意味着Starling本身能够破解比特币签名。它真正重要的地方在于：如果容错量子计算机能够在接近200个逻辑量子比特的规模上，稳定执行极长且有用的计算，那么帕尔默关于近期量子纠缠上限的判断就将开始面临经验检验。

反过来说，即使IBM按计划完成Starling，也不能单凭这一台机器证明帕尔默的理论错误，更不能证明比特币已经安全。真正的验证需要观察容错系统能否继续扩展到数百个、最终接近或超过1,000个逻辑量子比特，并保持足够长时间的有效计算能力。

比特币仍需要后量子迁移

比特币不能把未经证实的物理上限当作防御方案。开发者和研究人员仍在讨论后量子迁移，包括采用新的抗量子签名方案、调整地址和支出规则，以及通过共识升级改变相关安全机制。

现实中的风险也不只取决于量子比特数量。算法效率、纠错开销、运行时间、硬件错误率，以及比特币是否能在具有密码学现实威胁的量子计算机出现之前完成抗量子签名的部署，同样关键。

因此，交易员的结论把“马斯克支持一项物理理论”错误地升级成了“比特币已经安全”。更谨慎的表述应当是：如果帕尔默的上限最终得到证实，而且破解比特币签名确实需要约835个逻辑量子比特，那么量子攻击的可行性会受到重大限制。但截至目前，这仍是一个待验证的假设，而不是比特币安全性已经获得证明。12