科普一下：BIP 360 引入的 bc1z 地址，是当前 #BTC# 应对量子威胁的关键第一步 它采用 Pay-to-Merkle-Root（P2MR）设计，地址以 bc1z 开头，只承诺脚本树的 Merkle 根，而不在链上预先暴露椭圆曲线公钥（与现有 bc1p Taproot 地址不同）。这样能有效抵御“长期暴露”型量子攻击，即使资金长期静置，攻击者也拿不到可用于 Shor 算法反推私钥的公钥材料。⁠#Bip360# 对于已暴露公钥的存量资金（包括早期 P2PK 地址中的中本聪地址），讨论中出现了迁移方案（如相关提案 BIP-361）：设定过渡期限，允许持有人主动迁移到新地址类型；逾期后可能对剩余脆弱输出实施共识层面的限制或冻结，并通过零知识证明等方式为持有种子或能证明控制权的用户提供恢复路径。 目前均处于提案与社区讨论阶段，未落地主网。总体而言，量子威胁的事，还太远。

Protocol Watch 创始人 Christine D. Kim 梳理称，Bitcoin 的抗量子方案正逐渐形成较完整的技术路径：BIP-360 拟通过新的 Pay-to-Merkle-Root（P2MR）输出类型降低公钥长期暴露风险，并为未来接入抗量子签名预留空间； Blockstream 研究人员近期提出的 SHRINCS 则是一种基于 SHA-256 的哈希型抗量子签名方案，可与 P2MR 配合，让用户在具备密码学相关能力的量子计算机（CRQC）出现前主动迁移资产。不过上述路线均未定型，BIP-360 目前仍处于 Draft 状态，SHRINCS 的正式安全证明和独立审查也仍未完成。

G7 网络安全工作组警告称，政府和企业应尽快迁移至后量子密码学（PQC），因为攻击者可先窃取并保存当前加密数据，待未来量子计算能力足够时再解密，数字签名也可能面临被破解风险。报告未直接提及加密货币，但比特币、以太坊和 Solana 同样依赖公钥密码学。比特币开发者正在研究包括 BIP-360 在内的后量子方案，以太坊研究人员正评估账户、验证者和应用相关密码组件的替代方案，Solana 基金会则已在测试网测试后量子签名，并推出可选的基于哈希的资金保护方案。G7 建议各国制定国家级 PQC 迁移战略，并推动公私部门协作和采购标准更新。（Decrypt）

比特币白皮书第一句话写的是Bitcoin: A Peer-to-Peer Electronic Cash System《比特币：一种点对点的电子现金系统》。 这也是比特币最迷人的地方之一，公开账本，所有交易都在链上。任何人都可以验证。没有黑箱。 但量子时代的讽刺是，公开账本让地址暴露。 中本聪时代的公钥直接写在链上，它们既是比特币公开透明的体现，也是未来量子攻击者最容易翻阅的一份目录。 如同赫兹当年觉得电磁波只是证明马克斯威尔方程的小实验，没想到它会走向无线电、Wi-Fi、手机和量子计算。 中本聪当年选的那种早期交易格式，当然不是为了在 2040 年变成一颗量子炸弹。但历史往往如此，一个早年随手做下的选择，多年后会变成整个世界必须回答的哲学考题。 如果未来比特币的底层签名必须升级到抗量子版本，那些多年不动、公钥已经暴露、又没迁移到新格式的旧地址，社群该不该通过改规则和共识，把里面的币锁住？ 比特币遇到了两难问题。 打个比方。我的签名锁在一个保险柜里，这柜子在 2009 年绝对安全，但量子计算现在已经快能照着锁孔配出钥匙了。 不冻结，未来第一个掌握足够强量子计算机的人，就能把中本聪和其他早期地址的币直接拿走，先到先得。 冻结，比特币就得承认一件它最不想承认的事：社群可以靠共识，决定某些币被没收。对很多原教旨派来说，这比量子攻击本身还可怕。 CZ 最近在 Galaxy Brains 播客上的一段讨论，被解读成"CZ 想冻结中本聪的币"。 不过，得说清楚四点： 1. 他没说他本人能冻结中本聪地址。 2. 也没说 Binance 能单方面冻结比特币。 3. 他讲的是一个未来情境，升级完成后旧地址仍不迁移，才谈要不要靠改规则和共识，把这些旧地址的币锁住。 4. 他给的迁移窗口大约半年到一年，给真正的持有人时间搬家，过期没动的币，别留给未来的量子攻击者。 这套思路跟 BIP-361很接近：等比特币有了后量子地址，先禁止往旧的脆弱地址打钱，再在多年后淘汰旧的 ECDSA / Schnorr 签名。 CZ 把开发者社群吵了很久的一个问题摆上台面，当比特币的"不可改变"，撞上"底层密码学必须升级"，到底谁该让步？ 或许，两害相权只能取其轻。 To be or not to be, that is the question 为什么中本聪的币会变成量子问题？ 要说这个问题，就先要懂 Bitcoin 的公钥和私钥到底是什么。 Bitcoin 的所有权不是银行账户，不是身份证，也不是密码。本质上是：你能不能用某个私钥，对某个 UTXO 做出有效签名。 私钥像钥匙。公钥像锁。地址像门牌号。 现在，从私钥算出公钥很容易，从公钥反推出私钥几乎不可能。Bitcoin 用的 secp256k1 椭圆曲线签名，安全性就建立在这个不对称上。 但量子计算里有一个东西叫 Shor's algorithm。它不是“算得比较快”而已。它是把问题的数学解法改掉。 量子计算机不是能"同时把所有私钥试一遍"再直接读出答案，这是个常见的误解。它真正的本事在于，量子比特可以同时处在多种状态的叠加里，量子算法能让那些错误的路径互相干涉、彼此抵消，只把正确答案对应的信号留下来、放大。 Shor 算法用的就是这种能力，它把"从公钥反推私钥"这道暴力搜索题，换成了一道"找数学周期和结构"的题，再用量子的方式，把这个隐藏的周期读出来。 用 Bitcoin 的语言说，公钥不是一串无意义的乱码。它是私钥 k 乘上一个椭圆曲线基点 G 得到的结果：Q = kG。传统电脑看见 Q 和 G，想找回 k，基本上像在一个巨大圆环上倒推步数，没有捷径。量子电脑的威胁在于，它不是沿着圆环一步步猜，而是用量子态一次编码很多可能步数之间的关系，再透过干涉把隐藏的周期结构抽出来。这就是“解锁”的真正含义，找到了传统计算看不到的数学侧门。 所以说，更多古典算力只是线性加速，Shor 是算法类别的降维打击。 今天你拿再多闲置手机、GPU、LLM 去跑，对正常生成的私钥，破解是不可能的。但如果未来有足够大的容错量子计算机，已暴露公钥地址的币则不再安全。 中本聪的币之所以敏感，是因为早期比特币有大量最原始的交易格式：公钥直接写在链上，不像后来常见的格式，它至少先把公钥 hash 成地址。 所以在量子风险视角下，中本聪旧币，已经暴露了十几年。公开账本的本意是 Bitcoin 有透明性。到量子时代，变成了攻击目标清单。 也不是说“明天就会被破解” Google 今年 3 月的研究，重点是：用量子计算机破解比特币的签名，需要的资源，比过去估算的低很多。 按他们的测算，未来一台够强的量子计算机，可能只要不到 50 万个量子比特，就能在几分钟内办到，比之前估算的小了大约 20 倍。门槛在快速往下掉。 如果有足够多、足够稳的量子比特，足够长的纠错时间，足够快的运算节奏，以及一个能把整个流程完整跑完的工程系统。 换句话说，现在比特币保险的锁还没被打开，但是开锁工具的图纸变清楚了，尺寸也比以前以为的小很多。 这足以让大户、托管方、ETF 发行方、硬件钱包和比特币核心开发者提前开始准备。 真正的两难：冻结还是被偷走？ 想象一个未来的场景：比特币已经有了抗量子地址，大部分活跃用户都迁移了，交易所、托管方、钱包也都支持新格式。 但链上仍躺着一大批没动的旧币，中本聪的币、早期矿工的币、私钥丢了的币、主人忘了或已经去世了，还有那些躺在冷钱包里、一动不动的币。怎么办？ 社群有四条路： 1、什么都不做。旧币照样能用旧签名花掉，这最符合比特币不可篡改的精神，但代价是未来的量子攻击者可以把那些暴露的币直接拿走。 2、自愿迁移。提供一种更安全的新地址格式、让大家自己搬过去，阻力最小，但它管不了那些丢失或沉睡的暴露币。 3、强制淘汰。给一个期限、多年后限制旧签名，能降低量子盗币的诱因，但这很像直接冻结别人的财产，一些人肯定不同意。 4、救援机制。允许持有人用额外的证明把旧币救回来，比单纯冻结温和，但技术上非常复杂。尤其是那批最老的 P2PK 旧币，几乎没法设计出一套完美的救援方案。 CZ 支持的是第三种方向：升级后给窗口，未迁移就锁。 有道理吗？本质还是那个难题。什么都不做，等于把币交给第一个有量子能力的人。冻结的话，谁定义危险？谁定义过期？谁定义中本聪地址？谁负责误伤？ 比特币不是第一次面对分叉之争了，但这一次和当年的扩容之争不一样。扩容争的是性能和去中心化之间的取舍，而量子迁移要回答"比特币还算不算有效的财产"。Not your key, not your coin 还成立吗？ BIP-360 和 BIP-361 不是同一件事，必须把两个比特币提案分清楚。 BIP-360 更像修路。它提供一种新的地址格式，把暴露公钥的那条花费路径去掉，目的是减少长期暴露的风险，为未来的抗量子地址打基础。阻力小，因为是自愿的。你想更安全就搬过去，不搬，暂时也不会作废你的币。 BIP-361 更像设期限。它说，等新格式就位后，旧路不能无限期拖下去：先禁止再往脆弱的旧地址打钱，到了预定时间点，就限制旧签名的转账，同时配一套救援机制。旧路未来会被封死，肯定会引发社区争议。 CZ 的说法更接近 BIP-361 ，而且直接被把中本聪 100 多万枚比特币摆上桌，会引爆情绪。毕竟技术社群说"淘汰旧签名"，只会听起来像个程序问题。 中本聪的币为什么是焦点？ 量子风险不只针对中本聪，所有公钥已经暴露的币都有风险。 包括最早把公钥直接写在链上的旧币、重复使用过的地址、转账之后露出公钥的地址。较新的地址，在某些转账方式下也会暴露公钥。钱包主公钥外泄，连带一串地址和公钥一起暴露... 很多人根本不会去想，全网有三分之一的比特币曾暴露过公钥。 只要中本聪的币动了，就会变成焦点。一旦突然移动，大多数人的第一反应会是：是中本聪回来了？是私钥被偷了？量子攻击开始了？早期矿工苏醒了？中本聪要砸盘了？ 中本聪的100 多万枚比特币，是整个比特币信仰系统里，最大的一颗心理地雷。 CZ 的想法可以这样理解：别等这颗地雷，被第一个量子攻击者踩爆。 但反方会说：你提前拆雷的。你提前拆地雷的方法，本身可能引起爆炸。 那 CZ 有没有道理？ 我的判断有四个方面 技术层：有道理，且前提很多。 如果未来真的有了抗量子的地址格式，而且量子计算机成熟的时间点明显在逼近，那设计一个迁移窗口是合理的。大型金融系统本来就会定期更换密码学。美国国家标准与技术研究院定的后量子密码标准、谷歌给自己排的迁移时间表，方向都一样，别等攻击发生了才开始换锁。比特币不该例外。但"冻结"倒不是第一步。顺序是，先做出安全、可用、可审计的抗量子地址；让钱包、交易所、托管方都支持；让普通用户能低成本地试着迁移；让大户能先做一次冷钱包迁移演练；最后，再淘汰旧签名。 产权层：非常危险。 比特币最强的承诺，从来不是"永远不改代码"。它真正的承诺是：有效的私钥，可以拥有对应的币。如果有一天，全网共识说"你有私钥，但太晚了，所以不能用"，那在很多人眼里，是被没收了。哪怕动机是防住量子小偷。 治理层：困难重重。 这类方案要落地，需要钱包、交易所、矿工、核心开发者、托管方、大户、ETF 这一整条链上的人同时点头。而比特币的文化，天生就抗拒这种"全网约定某一天一起改"的做法。所以我不会把 CZ 的话解读成"BIP-361 马上要通过"。更合理的理解是，开始有大体量的人物，把这件事从开发者的邮件列表，推到了市场层面。这会让托管方的尽职调查、ETF 的风险披露、企业的金库政策，更早地把量子迁移列为一个标准问题。 投资层：无需恐慌。 今天更现实的风险，仍然是托管、人、流程、交易所、社会工程、假钱包、AI 钓鱼、以及你自己的仓位。量子威胁是有的、重要但不紧急。正确的动作不是恐慌交易，不如盘点自己手里的币；标记每个地址的格式、看公钥有没有暴露；持续跟踪比特币技术社群的进展，等抗量子迁移的工具真正可用了，先小额试一试。 想象一座城市，每户人家的门锁都用了同一种老式机械锁。这种锁在 2009 年非常安全。所有人都相信：没有钥匙，就打不开。 十几年后，人们发现一种新工具，可以根据锁孔形状反推出钥匙。现在工具还没普及，但快了。 城市政府有四种选择： 1. 什么都不做，相信工具永远造不出来。 2. 提供新锁，鼓励所有人自愿更换。 3. 宣布五年后老锁作废，没换的人不能再开门。 4. 设计一种特殊救援流程，让真正屋主即使错过期限也能证明自己是屋主。 最难的是那些多年没人进出的老房子。它们可能是屋主死了，可能是钥匙丢了，可能是屋主刻意隐居，也可能只是屋主不看新闻。 如果城市不管，未来第一个拿到新工具的小偷可以把老房子全开了。 如果城市把老房子全封，那它也等于宣布：房子不是绝对属于钥匙持有人，城市可以为了公共安全改规则。 CZ 只是把这道题提前念了出来。 比特币到底能不能在 不被量子偷走 和 不被没收 之间，找到第三条路？ 你觉得应该怎么办？

这几天闲来无事，粗略研究了下量子计算机对区块链生态的影响，涉及大量密码学的背景知识，不说太多细节，分享几个观点： 1）过去学界普遍认知要破解256位的椭圆曲线加密算法大概需要数百万个物理量子比特，逻辑量子比特6000个左右，但Google这次发表的新论文，并没有推出什么逆天的新硬件，而只是重新编译了Shor's algorithm（肖尔算法）在量子电路上的执行方式，就把所需的逻辑量子比特压缩到了1200个。 什么概念？意味着算力成本直接缩减了近20倍。这是本次量子威胁论被热议的根本，以前我们一直认为绝对不可能的事，到了今天，开始有了一个“倒计时”； 2）Google给这个倒计时的时间节点是2029年，意味着这个时间点前包括互联网的HTTPS、SSL银行证书、SSH远程登录等加密方式以及BTC和以太坊等公链的底层ECDSA签名体系都必须完成一次“抗量子”换血，否则到时候可能会存在灭顶之灾。 关于这一点，2029年也就是3年的时间，我觉得过于夸张了，毕竟纯理论落地到现实可执行落地还有很大的距离，但至少说明了一点，抗量子攻击的加密算法升级时间窗口开始打开了，没有迫在眉睫，但也绝不能掉以轻心； 3）如果说到此，很多人对量子威胁还是没概念，那可以再细化说几个攻击面： 1、目前BTC链上大概有25%-35%的地址，公钥已经处于暴露状态，包括中本聪时代采用P2PK格式的早期地址，以及所有复用过、发生过转账的地址，这些地址都在攻击范畴内；而其他没有发生转账的地址，只要在量子计算机成熟后启动转账，其在Mempool处理交易的10分钟内，足以被量子破解抢先截胡攻击，等于整个网络都已瘫痪； 2、以太坊面临的危机更直接，ETH的EOA账户在第一次发送交易时，公钥就会通过签名被暴露上链，，加上EIP-4844之后的数据可用性采样机制，以及本身依赖POS签名验证的共识网络。以太坊公链面临的都不是私钥能不能破解的问题，而是一旦签名算法得不到升级，整个网络都形同虚设了； 3、关键是，由于区块链交易历史都是可追溯且永久存储在链上，别看现在量子计算机攻击条件还不成熟，但过去和今天链上已经暴露公钥的交易，都会被记录起来，成为潜在攻击的对象，就等量子机器慢慢就位。 4）当然，既然量子攻击还存在技术突破+时间的窗口，同样理论上，只要在接下来的数年内完成“抗量子攻击”大换血，也可以实现一次自救。 以太坊早就在抗量子威胁上面做“工程化”优化布局了，包括推进账户抽象允许EOA地址在应用层面直接切换签名方案，验证者签名也在向抗量子攻击的PQC加密算法（Post-Quantum Cryptography，后量子密码学，专门为抵抗量子攻击设计的新一代加密标准）等都可以从底层结构上强化抗量子特性。本身以太坊最牛逼的就是“飞行状态下加油”的动态升级特性，既然方向明确了，抗量子特性也只是时间问题了。 比特币选择了引入BIP-360，这会引入FALCON或CRYSTALS-Dilithium这类后量子签名算法，技术上并不复杂，但是难在共识确立，要知道，比特币社区曾为了一个区块大小的分叉吵了几年，指望他们在抗量子硬分叉上迅速妥协，实在难以乐观。但一旦威胁进一步有了“确定性”，这个自救式的补丁再佛系的开发社区也会硬着头皮上。 以上。 最后说一件有意思的是，Google用零知识证明ZK披露了这个潜在的量子威胁，一开始就有意识的让其“软着陆”，毕竟一旦失控发生别说区块链了，互联网文明都是毁灭性的。另外Google Quantum AI团队里，有以太坊基金会的研究员参与，没准抗量子攻击会成为区块链接下来的一个主流叙事也未可知，毕竟天然基因就是密码学技术，这样全新的使命，很Crypto！