抗量子迁移：标准已经发布，公链还没换锁|公钥|公链|哈希|密码学|抗量子迁移|算法|量子计算机

10 月 13 日，Coinbase 向比特币开发者社区提出了一份准备迁移的建议：在量子计算机真正构成威胁之前，就该着手协议层面的预案。此后一周，围绕这件事的讨论明显密集起来，一份出自花旗研究部门的量子威胁报告被反复引用，其中给出的不是"会不会发生"的猜测，而是一组可以放进模型的数字。

这件事值得单独拿出来说，因为它把一句从 2024 年就被反复念叨的话，第一次变成了日程问题。过去两年，量子计算与加密货币的关系基本停留在"距离还远"的共识里：学界普遍认为，破解比特币与以太坊使用的签名算法需要数百万个量子比特的机器，而这样的机器短期内并不存在。改变来自两处，一是研究人员对这一数量的重新估算，二是后量子密码学标准已经在 2024 到 2025 年间由美国国家标准与技术研究院陆续发布。标准一旦存在，"要不要换"就不再是学术问题，而变成了"什么时候换、谁来签字"。这才是眼下这轮讨论真正的分量。

把时间轴摊开看，这件事的性质会更清楚。风险对应的是一批已经写在链上的公钥，而应对方案对应的是一整套需要被广泛采用的新签名方案。前者每天都在增加，后者取决于社区愿不愿意动手、以及多快愿意动手。两者之间的这个差值，才是这篇稿子真正想讨论的部分。

要理解这件事，先要看清脆弱点在哪。区块链的量子风险不在哈希，而在签名。比特币使用两套密码学原语：SHA-256 负责把区块串成链条，ECDSA 负责证明这笔钱是你花的。量子计算机用 Shor 算法能高效求解大数分解与离散对数问题，恰好击穿后者，也就是 ECDSA 赖以成立的椭圆曲线离散对数问题。哈希相对抗量子，签名不抗。

问题在于，公钥并不是一直藏着的。当一笔比特币被花费时，公钥会出现在交易里、在内存池中等待确认，这段窗口理论上足够一台足够强的量子计算机反推私钥、抢先构造一笔把资金转走的交易。更麻烦的是更早期的那批地址：P2PK 格式把公钥直接写在链上，不需要等待任何窗口，攻击者可以离线、慢慢地算。花旗那份报告给出的量化结果因此显得扎眼：约 650 万至 690 万枚比特币的公钥已经暴露在链上，占流通供应约三分之一，其中包含大量长期不动的休眠币，也包含被广泛认为属于中本聪的那批钱包；在同一份统计口径下，以太坊超过 65% 的供应量存在脆弱性，Solana 的比例更高。报告还提醒了一种正在发生的模式，先收集、后破解：今天被截获的加密数据，可以等到算力成熟之后再解密。

需要说清楚的边界是，这些都是长期、结构性的风险判断，不是某天早晨钱包会被清空的预警。真正稀缺的从来不是算力，而是时间：迁移窗口越早开始，代价越小。

图 1｜量子暴露规模（报告口径）

第二处变化来自标准层面。美国国家标准与技术研究院已在 2024 至 2025 年陆续发布三套后量子密码学标准，对应基于格的 Crystals-Dilithium、Falcon 与基于哈希的 SPHINCS+ 等签名方案；美国联邦政府给自身系统设下的迁移期限是 2035 年，谷歌、Cloudflare 一类的科技公司把自家期限压得更早。换句话说，换成什么这个问题已经有答案，什么时候换完也已经有人写下了日期。

迁移的工程量同样不能被低估。行业里常用的参照是上世纪末的千年虫修复：那次全球花费数千亿美元，只为把日期字段从两位改到四位。量子迁移要动的范围更大，从软件到硬件、从接口层到密钥管理都要换一遍；花旗的报告因此把它称作一场万亿美元级别的安全竞赛，并认为起跑信号已经响了。

链上这边的动作也在发生。2026 年 5 月，专注后量子密码的公司 Project Eleven 宣布与 Ripple 合作，对 XRP 账本的验证者、托管系统与网络层做一次系统性评估，把后量子安全从研究阶段推向具体实现；其说法是，XRP 账本已经具备密钥轮换和验证者网络协同升级的基础能力，因此不必从零开始。Solana 则在测试网上探索后量子签名的验证。比特币社区讨论的方向是渐进式的，通过软分叉引入新的地址格式与脚本类型，相关提案编号出现在 BIP-360 与 BIP-361 附近。

把这两条线放在一起看，落差就出现了：密码学界已经把工具箱交了出来，监管也把期限挂上了墙，但公链要换的不是一把锁，而是全网共同承认的一把锁。

图 2｜抗量子迁移的三道关

这就是为什么最后一关最难。抗量子迁移在比特币上要走的，是渐进式、共识驱动的路径：新地址格式要能被钱包、交易所、托管方同时接受，旧地址里的资金要有人去搬，而被搬动的资金必须有人能证明自己有权搬。

休眠币的问题正在这里。链上有一部分早期地址，其私钥可能已经永久遗失；也有像中本聪钱包这样，无论技术上门是否敞开，都没有人能够代表它做出决定。这部分资产既不会自己迁移，也不会因为协议升级而自动获得保护。它们构成了这场迁移里最难处理的一段存量。

我的判断是，接下来先动的不会是整条链，而是两处。一是机构托管的入口，托管方与新入场资金的迁移成本最低、动机最强，也最容易在合规框架下被要求执行；二是新地址与新脚本格式的默认选项，让新增资产天然落在抗量子路径上，把存量问题留给更长的时间窗口。这条路径不激进，但它目前是唯一不需要全社会共识就能启动的部分。