作者：Bitcoin Security Consortium
编译：深潮 TechFlow
深潮导读：近年来，随着谷歌 Willow 芯片问世以及多项 Shor 算法优化研究陆续发表，量子计算是否威胁比特币安全再度引发讨论。Bitcoin Security Consortium 联合 Presidio Bitcoin 发布本篇报告，系统梳理了技术进展与风险边界。
报告指出，当前距离真正具备密码学破解能力的量子计算机仍有巨大硬件鸿沟，但比特币签名机制确实面临“静态暴露”与“交易在途”两大攻击面。围绕高估与低估威胁的常见误区，文章进一步拆解了地址迁移、SHRINCS 抗量子签名与早期 P2PK 存量币处置路线。
本文为 Bitcoin Security Consortium 与 Presidio Bitcoin 联合发布的报告。
核心要点（TL;DR）
· 近期量子计算进展确实存在，但仍属渐进式突破：谷歌 Willow 芯片及近期 Shor 算法优化成果引发了市场担忧，但目前尚未出现具有密码学意义的量子计算机（CRQC）。
· 比特币面临的量子风险仅限于其签名机制，具体表现为两类攻击方式：针对易受攻击存量币的静态攻击（at-rest），以及针对内存池交易的在途攻击（in-flight）。
· 应对方案已经明确，社区正积极推进落地：包括将资金迁出重复使用的地址、研发抗量子签名方案，以及针对大概率已丢失的 P2PK 地址比特币达成网络共识。
量子计算迎来复兴了吗？
经历多年看似停滞的阶段后，量子计算领域近年涌现出越来越多主张技术突破的学术论文与媒体报道，进而在投资者群体中引发了对比特币安全性的担忧。这些代表性进展包括：
· 谷歌 Willow 芯片（2024 年 12 月）：首次实验证明，增加物理量子比特（physical qubit）来保护单个经过纠错的“逻辑”量子比特（logical qubit）时，该逻辑量子比特的可靠性会随之提升而非下降。
· Google Quantum AI、Oratomic/Caltech 与 ECDSA.fail 的 Shor 算法优化（2026 年）：Google Quantum AI 联合以太坊基金会与斯坦福大学，将 Shor 算法破解比特币椭圆曲线的电路规模缩减约 20 倍。
Oratomic 与加州理工学院（Caltech）团队也提出，其优化后的 Shor 算法有望在数天内破解单个比特币私钥。随后几个月里，Eigen Labs 推出的排行榜项目 ECDSA.fail 汇聚研究人员与 AI 智能体，将谷歌的电路规模又进一步压缩近 70%。
· IonQ 的端到端 Shor 算法优化（2026 年 9 月）：发布了一套兼顾软件与硬件测算的完整可编译运行蓝图，理论上每次尝试约需 26 天即可求解单个私钥，单次成功率为 63.3%。
· 谷歌“魔术态”培育技术（2026 年 10 月）：量子计算依赖每次使用都会被消耗、且制备成本高昂的“魔术态”（magic states）资源态。谷歌在 Willow 上证明，其过滤协议可将此类状态中的错误率降低约 40 倍，实现 99.99% 的逻辑保真度。
· Quantinuum 的“五个九”逻辑保真度（2026 年 10 月）：其 Helios 计算机每百万次操作仅出现 5 次错误（逻辑保真度达 99.9995%），错误率比谷歌演示低约 100 倍，且纠错码每扩大一档错误率下降 12 倍（λ = 12）。
尽管当前尚不存在具有密码学意义的量子计算机（CRQC），且该技术仍面临物理规模扩展纠错量子比特等诸多工程难题，为何这些报道仍让比特币社区高度警惕？比特币与量子计算机之间究竟有何关联？下面展开拆解。
量子计算原理简析
量子计算的核心在于量子比特（qubit）。与只能保存 0 或 1 两种状态之一的传统经典比特不同，量子比特具备量子力学世界独有的两项特性：
· 叠加态（Superposition）：一个量子比特可以同时处于 0 和 1 的混合状态，并在被观测测量时按加权概率坍缩为单一确定数值。
· 量子纠缠（Entanglement）：两个或多个量子比特可以共享同一联合状态，无论彼此相距多远，测量其中一个便会立即决定另一个的数值。
借助这些特性，量子计算机能够同时探索大量候选答案并相互抵消错误选项。然而，物理量子比特十分脆弱，极易发生退相干（decoherence），即量子信息的丢失。
正因如此，如今许多量子计算公司都将路线图目标锁定在达到最低数量门槛的逻辑量子比特（logical qubits）上。这类量子比特由多个冗余物理量子比特经纠错构建而成，能够检测并修复错误，从而保障计算与信息的可靠性。
为了追求最低的物理与逻辑量子比特配比，各量子计算实验室正在研究最高效的硬件架构，主要包括但不限于以下四类路线：
· 超导电路（谷歌、IBM）：将微小导线环路冷却至接近绝对零度，使电流表现得如同一个量子比特。该技术计算速度较快，但规模化扩展推进相对缓慢。
· 中性原子（Oratomic）：利用被称为“光镊”的激光阵列囚禁不带电原子，由其电子充当量子比特。该技术扩展速度较快，但理论上计算耗时更长。
· 离子阱（Quantinuum、IonQ）：在电磁场中用激光操控带电原子（即离子），以其基态或激发态能量作为量子比特。该路线计算速度相对较慢，扩展速度处于中等水平。
· 光量子（PsiQuantum、Xanadu）：让光子穿过芯片与光学器件，以每个光子的物理属性充当量子比特。该路线计算速度很快，但整体研发落地周期目前也显得较慢。
比特币的量子攻击面
理论上，一台运行 Shor 算法的密码学级量子计算机，能够破解比特币的椭圆曲线数字签名算法（ECDSA）。这套签名机制维系着网络中的所有权与财产权，能在不暴露私钥的前提下向交易对手证明私钥归属。
需要强调的是，比特币绝大多数核心博弈论与经济规则并不属于这一攻击面，例如交易共识机制、发行时间表以及总量上限等均不受影响。
针对比特币私钥的量子攻击，会为网络带来以下两个层面的攻击面：
· 长期暴露（静态攻击）：存放在重复使用地址或早期安全性较低地址（如 P2PK 公钥支付地址）中的比特币已暴露公钥，量子计算机可借此推导出对应私钥。
当今大多数活跃地址采用现代输出类型，在资金花费前会隐藏公钥，因此不会受此类攻击影响。不过 Project Eleven 估算，若今天出现算力达标的量子计算机，约 710 万枚 BTC（占总供应量约 35%）将面临被盗风险。
其中约四分之三存放在重复使用的地址中，主要集中在大型交易所；只要交易所将资金迁入一次性地址并采用更严格的托管规范，即可显著降低风险。另有约 180 万枚 BTC 沉睡在 P2PK 地址中，大概率已经丢失，难以主动迁移至安全地址。
无论是计算速度较快还是较慢的量子计算机，都能够利用这些已暴露的公钥，逐一反推出控制投资者资金的私钥。
· 短期暴露（在途攻击）：比特币网络中的资金通常仅在花费时才公开公钥，由此形成约 10 分钟的脆弱窗口期（更准确地说，是从交易提交到被打包进区块的间隔时间）。
一台速度足够快的量子计算机可利用这一窗口期在交易中途盗取资金。谷歌曾估算，一台预备就绪的高时钟频率量子设备最快可在 9 分钟内算出一枚私钥，这意味着即使原本存放在安全地址的比特币，在发起常规转账时也可能面临被抢跑窃取的风险。
可能高估威胁的常见误区
· “量子硬件已经完成规模化并随时可用。”目前公开演示的最强系统来自 Quantinuum，仅产出 48 个经过纠错的逻辑量子比特；而破解比特币椭圆曲线至少需要约 1,200 个。
· “近期的量子演示已经证明具备密码学级量子计算能力。”事实并非如此。Willow 芯片验证的是具备纠错能力的量子存储，而非大规模纠错计算。
2026 年谷歌、Oratomic 与 IonQ 发布的论文均属于理论设计蓝图，并非正在运行的实体机器。如何在大量逻辑量子比特之间实现低错误率运算，仍是尚未攻克的瓶颈。
· “所有比特币会在瞬间全部被盗。”大多数比特币在静态存放时并不脆弱，因为公钥在花费前一直隐藏在哈希值背后；而最大的风险来源“地址复用”，如今只需轮换至未使用过的新地址即可解决。
即便今天发生量子攻击，攻击者每次尝试也只能针对单一私钥发起破解，不可能一举将所有脆弱供应量同时洗劫一空。
可能低估威胁的常见误区
· “Shor 算法优化只是无关紧要的炒作。”今年 3 月，谷歌将理论上破解比特币 ECDSA 所需的逻辑量子比特数量压缩了约 20 倍，并指出椭圆曲线算法过去获得的优化关注远少于 RSA（Rivest-Shamir-Adleman）密码体系，这意味着后续仍有较大压缩空间。
事实也印证了这一点：ECDSA.fail 项目随后又将谷歌的电路规模进一步优化了接近 70%。
· “量子威胁还有几十年才到来，现在何必杞人忧天？”近期专家调查显示，具备破解能力的量子机器在 2030 至 2035 年间出现的概率约为 50%；各国政府也将后量子迁移目标定在 2030 年代初至中期，谷歌与 Cloudflare 则将内部截止日期设在 2029 年前。
需要指出的是，政府与企业设立这些时间表，主要是为了防范“先截获、后解密”（harvest now, decrypt later）攻击，保护未来依然具备敏感价值的隐私数据。
由于比特币网络参与者可以通过迁移至隐藏公钥的新地址来自我防御，这类时间表更应被视作网络的“最佳实践”参考，而非必然触发危机的时间节点。
· “量子突破来临时我们一定能提前察觉。”技术突破可能处于保密状态或被主权国家列为机密；早期的量子盗窃行为也可能零星发生，外表上极难与常规托管机构整理资金或普通支付转账区分开来。
行业当前正在采取哪些行动？
如今，包括交易所、机构与投资者在内的比特币生态参与者已经开始提前防范量子威胁，并大致按以下优先级积极探讨并推进解决方案：
· 将脆弱资金从复用地址迁移至未使用过的地址：这是最容易率先摘下的低垂果实，无需全网达成共识或进行软分叉。
该举措完全依赖于大型交易所、托管机构以及自托管投资者落实现代安全实践，例如实施找零输出轮换，并竭力避免重复使用同一地址。
· 研发抗量子签名方案：目前最具代表性的比特币抗量子支付方案是 Blockstream 提出的 SHRINCS（“Shrunken SPHINCS”的缩写），该方案基于 SHA-256 构建。
SHRINCS 每秒最多可处理 3 笔交易，而美国国家标准与技术研究院（NIST）的 SPHINCS+ 标准仅为每秒 0.36 笔。Blockstream 已于 2026 年 3 月在 Liquid 网络测试该方案，并于 8 月联合贡献者发布了比特币改进提案（BIP）。
目前该方案的正式安全性证明仍在推进中，若要在全网范围内部署还需要通过软分叉实现。
· 就 P2PK 地址中易受攻击且大概率已丢失的比特币处置方案达成共识：这或许是未来几年比特币应对量子威胁时最具争议的议题。目前约 2 万个 P2PK 地址中共存有约 170 万枚 BTC，其中估计有 110 万枚归属于中本聪。
据 Presidio Bitcoin 梳理，当前讨论中的主流方案共有三种：一是保留旧版交易花费有效性（即放任量子攻击者“窃取”）；二是限制旧版地址转出速率（即对脆弱资金实施“限流”）。
三是冻结并附带找回路径，即禁用所有旧版花费，但允许原持有者通过助记词零知识证明认领资金（即“软冻结”）。
若希望进一步了解这一关键议题，可参阅 Presidio Bitcoin 持续更新的基础指南（点击查看原文资料）。
免责声明：本材料仅供参考与科普教育之用，不应作为任何投资决策依据。文中涉及公司、证券或加密货币的表述均为作者观点，不构成背书或买卖持有建议。
本材料中的部分内容可能属于基于作者当前看法与假设的未来预期或前瞻性陈述，受已知与未知风险及不确定性影响，实际结果或与表述存在重大差异。
部分信息采自据信可靠的来源，但对源自第三方的任何信息的准确性或完整性不作保证。
除本文所述风险外，比特币还面临剧烈价格波动、市场操纵、被盗及市场承压期间潜在流动性受限等风险。
尽管机构参与度与监管完善推动了比特币市场演进，其价值仍受市场环境、供需变化及监管动态影响，无法保证其长期保值。