什么是Q日？比特币面临的量子威胁详解|公钥|区块链|密码学|算法|量子计算机

专家警告称，量子计算机未来可能会伪造比特币的数字签名，从而允许未经授权的交易。

简要

如今的量子计算机体积太小且不稳定，无法威胁现实世界的密码学。
早期公开密钥的比特币钱包长期风险最大。
开发者正在探索后量子特征和潜在的迁移路径。

量子计算机目前无法破解比特币的密码学，但谷歌和IBM的进展表明这一差距正在比预期更快地缩小。

他们在容错量子系统的进展中，为“Q日”带来了更高的赌注，即一台足够强大的机器能够破解旧的比特币地址，暴露超过4520亿美元的易受攻击钱包。

Q日长期被视为遥远的威胁，2026年3月谷歌发布的一份白皮书表明量子计算机可能比预期更早破解密码系统，这一白皮书让Q日成为焦点。

升级Bitcoin进入后量子态需要数年时间，这意味着工作必须在威胁到来之前很久就开始。专家表示，挑战在于没人知道具体时间，社区也难以就如何最好地推进计划达成共识。

这种不确定性导致人们对能够攻击比特币的量子计算机可能在网络准备就绪前上线的担忧挥之不去。

本文将探讨比特币面临的量子威胁，以及需要做出哪些改变才能成为第一名blockchain准备好了。

量子攻击的工作原理

成功的攻击看起来并不戏剧化。一个量子驱动的窃贼会先扫描区块链上任何曾经暴露过公钥的地址。旧钱包、重复使用的地址、早期矿工输出以及许多休眠账户都属于这一类。

在所谓的“先收获，后解密”攻击中，公钥被复制并用肖尔算法通过量子计算机运行。该算法由数学家彼得·肖尔于1994年开发，使量子机器能够远比任何经典计算机更高效地因式分解大数并解决离散对数问题。比特币的椭圆曲线签名依赖于这些问题的难度。有了足够的纠错量子比特，量子计算机可以利用肖尔的方法计算private key与暴露者相连public key.

正如Andreessen Horowitz的研究合伙人、乔治城大学副教授Justin Thaler告诉Decrypt的，一旦私钥被找回，攻击者就可以移动这些硬币。

“量子计算机能做的事情，这与比特币相关，就是伪造比特币今天使用的数字签名，”塞勒说。“有量子计算机的人可以授权交易，把你账户里的所有比特币都取出来，或者你怎么想都行，但你并没有授权。这就是问题所在。”

锻造者signature在比特币网络中看起来会很真实。节点会接受它，矿工会将其包含在区块中，链上没有任何东西会将该交易标记为可疑。如果攻击者同时攻击大量暴露地址，数十亿美元可能在几分钟内转移。市场会在任何人确认量子攻击发生之前就开始反应。

随着“Q日”关注度的增长，今年一月，加密货币交易所Coinbase成立了一个专注于量子计算和区块链安全的独立咨询委员会。

2026年3月，加州理工学院和谷歌的研究论文表明，未来的量子计算机可能用比预期更少的量子比特和计算步骤破解椭圆曲线密码学。

这些论文在加密社区引发了震惊，比特币安全研究员贾斯汀·德雷克在推特上表示：“到2032年，量子计算机至少有10%的概率能从暴露的公钥中恢复到secp256k1 ECDSA私钥”。

2026年4月，意大利研究员詹卡洛·莱利利用一台公开的量子计算机破解了简化的椭圆曲线密码密钥。今年五月，美国商务部宣布将投资20亿美元用于量子开发。

今年六月，法国宣布将停止认证那些不被视为量子安全的技术，成为首批正式将安全认证与量子密码学后要求挂钩的政府之一。当月晚些时候，特朗普总统签署了两项行政命令，旨在扩展美国的量子计算能力并加快向抗量子加密的转型。

量子计算的状态

到了2025年，量子计算终于开始变得不再那么理论化，而更加实用。

2025年1月： 谷歌的105量子比特Willow芯片显示出显著的误差减少，并超越了传统超级计算机。
2025年2月： Microsoft推出了其Majorana 1平台，并报告了与Atom Computing的逻辑量子比特纠缠记录。
2025年4月：NIST将超导量子比特相干性延长至0.6毫秒。
2025年6月：IBM设定了到2029年200个逻辑量子比特的目标，并在2030年代初实现超过1000个。
2025年9月： 加州理工学院展示了一台中性原子量子计算机，能以99.98%的准确率运行6100个量子比特。
2025年10月： IBM纠缠了120个量子比特;谷歌确认了经过验证的量子加速。
2025年11月： IBM宣布了2026年推出旨在实现量子优势的新芯片和软件，并在2029年实现容错系统。
2026年1月： Coinbase 成立了一个专注于量子计算和区块链安全的独立顾问委员会。
2026年3月： 加州理工学院和谷歌的研究论文表明，量子计算机可能比预期更早威胁比特币的密码学，比特币安全研究人员预测，量子计算机在2032年前恢复比特币私钥的概率为10%。谷歌设定了2029年实现量子准备的截止日期。
2026年4月：意大利研究员詹卡洛·莱利利用一台公开的量子计算机破解了简化的椭圆曲线密码学密钥。
2026年5月： 美国商务部宣布将投资20亿美元用于量子开发。
2026年6月： 唐纳德·特朗普总统签署了两项行政命令，旨在扩展美国的量子计算能力并加快向抗量子加密的转型。

BTQ Technologies创新总裁兼负责人Christopher Tam表示，鉴于行业努力的速度和量子计算潜在风险，政府要求联邦机构于2031年将高价值资产迁移至后量子密码学的截止日期仍然过于缓慢。

“我本可以让事情更紧急，”塔姆对Decrypt说。“联邦政府落后工业两年，这似乎有点奇怪。”

为什么比特币变得脆弱

比特币的签名采用椭圆曲线密码学。从地址消费会揭示其背后的公钥，这种曝光是永久性的。在比特币早期的付费公钥格式中，许多地址甚至在首次消费前就已将公钥公开链上。后来的付费公钥哈希格式将密钥隐藏，直到首次使用。

由于它们的公钥从未被隐藏，这些最古老的币，包括大约100万枚中本聪时代的比特币，都暴露在未来的量子攻击之下。Thaler表示，转向后量子数字签名需要积极参与。

“为了保护他们的币，Satoshi必须把它们转移到新的后量子安全钱包里，”他说。“最大的担忧是废弃硬币，价值约1800亿美元，其中大约1000亿美元被认为是中本聪的。这些都是巨额资金，但他们被遗弃了，这才是真正的风险。”

风险更大还有与丢失私钥绑定的币种。许多设备已闲置十多年，没有这些密钥，它们永远无法被移入抗量子钱包，因此成为未来量子计算机的可行目标。

没有人能直接在链上冻结比特币。针对未来量子威胁的实际防御措施主要集中于迁移易受影响的资金、采用后量子地址或管理现有风险。

然而，Thaler 指出，后量子加密和数字签名方案带来了高昂的性能成本，因为它们比当今轻量级的 64 字节签名更大且资源消耗更大。

“如今的数字签名大约有64字节。后量子版本的规模可以是10到100倍，“他说。“在区块链中，这种规模的增加问题更大，因为每个节点都必须永久存储这些签名。管理数据的实际规模成本，比其他系统更为困难。”

保护途径

开发者们提出了多个比特币改进提案，以应对未来的量子攻击。它们走不同的路径，从轻度的可选保护到完整的网络迁移。

BIP-360（P2QRH）：创造新的“bc1r......”这些地址将当今的椭圆曲线特征与后量子方案如ML-DSA或SLH-DSA结合起来。它提供了无需硬分叉的混合安全性，但签名数较大意味着费用更高。
BIP-361：该提案将逐步淘汰网络现有的签名方案，冻结未能迁移到抗量子地址的币。
量子安全主根：为主根添加了隐藏的后量子分支。如果量子攻击变得现实，矿工可以通过软分叉要求后量子分支，而用户在此之前仍可正常操作。
量子抗拒地址迁移协议（QRAMP）：一项强制迁移计划，将易受攻击的UTXO迁移到量子安全地址，可能通过硬分叉实现。
付费至Taproot哈希（P2TRH）：用双哈希版本替换可见的Taproot密钥，限制暴露窗口，无需新密码或破坏兼容性。
通过 STARK 实现非交互式交易压缩（NTC）：利用零知识证明将大量后量子签名压缩为每个区块的单一证明，降低存储和费用成本。
提交-揭示方案：依赖在任何量子威胁发生前发布的哈希承诺。

辅助UTXO连接小型后量子输出以保护支出。
“毒丸”交易允许用户提前发布恢复路径。
福克斯币式变体会处于休眠状态，直到真正的量子计算机被展示出来。

综合来看，这些提案勾勒出一步步实现量子安全的路径：像现在就采取快速、低冲击的修复方法，以及随着风险增加而进行的BIP-360或基于STARK的压缩。所有这些都需要广泛的协调，许多后量子地址格式和签名方案仍处于讨论初期阶段。

Thaler指出，比特币的去中心化——其最大优势——也使得重大升级变得缓慢且困难，因为任何新的签名方案都需要矿工、开发者和用户的广泛共识。

“比特币面临两个主要问题。首先，升级通常很长时间，甚至可能根本不会发生。其次是废弃的硬币。任何向后量子签名的迁移都必须是活跃的，而那些旧钱包的拥有者已经离开，“塞勒说。“社区必须决定它们的去向：要么同意将其从流通中移除，要么什么都不做，让装备量子的攻击者带走它们。第二条路在法律上是灰色地带，那些没收金币的人大概也不会在意。”

大多数比特币持有者不需要立即采取任何行动。几个习惯能显著降低长期风险，包括避免重复使用地址，这样你的公钥在消费前会保持隐藏，以及坚持使用现代钱包格式。

如今的量子计算机还远未接近摧毁比特币，而对其何时崩溃的预测也大相径庭。一些研究人员认为未来五年内存在威胁，另一些则推迟到2030年代，但持续投资可能会加快这一进度。