比特币的量子风险是一场关于谁有权保留其硬币的斗争。技术修复可能迫使人们在被盗、资金冻结和承诺破裂之间做出选择。
量子计算不会杀死比特币。救援措施可能会破坏其承诺。
比特币最令人不安的量子问题不在于实验室何时会制造出足以攻击其签名的强大机器，而在于谁来决定那些未能及时升级的硬币的所有者会发生什么。
如果让易受攻击的硬币仍可花费，未来的攻击者可能会夺取它们。如果限制旧版花费，一些合法的所有者可能会在他们从未同意的规则下失去访问权限。这两种结果都不符合“任何人都不能干涉你的资金”这一口号。
这里有一个有争议的命题：比特币的量子问题是一场等待技术截止日期的产权危机。行业销售具有永久所有权的资产，然后假设其所有者会在锁变得过时后接受强制翻新。这一假设比最新的量子比特头条新闻更值得深入审视。
关键要点
- 目前没有任何公开演示的量子计算机能够在运营规模上破解比特币已部署的签名系统。何时会出现这样的计算机，没有可靠的日期。
- 一台足够强大的量子计算机可能会威胁用于授权支出的椭圆曲线签名。这与破解 SHA-256 或重写整个区块链不同。
- 暴露的公钥至关重要。传统的 pay-to-public-key 输出、Taproot 输出以及一些地址重用模式，与那些在支出前隐藏公钥的输出相比，会产生不同的暴露条件。
- 迁移不是自动的。新规则、钱包支持、托管流程以及实际的币币移动都需要协调。
- 一些草案提案考虑淘汰传统签名。这是关于访问权和所有权的辩论，并不能证明任何此类更改已被激活或不可避免。
即使账本未失效，锁也可能失效
比特币并不依赖一种被称为加密的魔法层。其系统结合了数字签名、哈希、工作量证明和网络共识。不同的量子技术会对这些组件产生不同的影响。
一台足够大且具备容错能力的量子计算机运行肖尔算法，原则上可以从公钥中恢复椭圆曲线私钥。比特币的 ECDSA 和 Schnorr 签名依赖于该问题对传统计算机的困难性。如果攻击者获得了相关的签名密钥，他们可能会尝试授权花费关联的硬币。
这并不需要凭空伪造比特币、逆转每个区块或同时破解每个钱包。一笔交易可以在满足签名验证的同时违背真正所有者的意愿。共识验证的是凭证，而非生成者的良知。
格罗弗算法是另一个话题：它为某些搜索提供了理论上的二次加速，而非肖尔对公钥签名的攻击。将每条量子新闻头条都视为对比特币的普遍、即时击败，会掩盖实际的工程风险。
冷存储并非量子疫苗
保持签名设备离线是对抗许多常见攻击的极佳保护措施。它不会改变已在公共账本上可见的公钥的数学特性。
一些早期的比特币输出直接包含公钥。Taproot 输出也会发布经过调整的公钥。其他常见的输出类型最初提交的是哈希值而非显示完整公钥，但支出操作可能会暴露公钥；地址重用可能导致与已暴露公钥关联的其他资金面临风险。暴露并不意味着这些资金今天就能被盗。
攻击者可用的时间同样重要。公钥暴露多年与在交易等待确认期间被揭示，所面临的攻击窗口截然不同。隐藏公钥可以在不使每种支出场景都具备抗量子能力的情况下，降低长期暴露的风险。
这就是为什么购买硬件钱包并不能提供完整解决方案。设备可以完美地保护密钥，但未来的数学进展可能使该密钥能够从链上已有信息中恢复。
真正的雷区：无法投票的硬币
想象一下未来迁移到经过充分测试的后量子支出系统。活跃持有者会迁移，交易所会更新。但一些遗产、休眠公司、长期储蓄者以及丢失签名材料的人不会。
现在询问剩余的脆弱输出会发生什么。如果旧版签名仍然有效，具备量子计算能力的攻击者可能会找到一条途径，获取他们从未拥有的比特币。如果旧版签名被禁用，多年后返回的持有者可能会发现，仅拥有旧密钥已不再足够。
恢复机制可能会缓和这一选择，但它们引入了自身的假设。哪些证据被视为原始所有权的证明？如果攻击者现在也能生成相同的证据怎么办？谁应承担因仓促设计的恢复方案所带来的风险？
这些是假设性情景，并非预测开发者即将夺取任何人的比特币。然而，假装这一选择纯粹是技术问题，是一种政治上的掩饰。任何改变谁能花费资金规则的方案都会产生分配性后果，即使其制定者旨在防止盗窃。
存在提案。但不存在万能补丁。
BIP 360（https://github.com/bitcoin/bips/blob/master/bip-0360.mediawiki）提议采用 Pay-to-Merkle-Root（P2MR），移除 Taproot 的密钥路径支出选项，引入一种新的输出类型。其明确范围包括缓解长期暴露攻击。该提案明确指出，仅靠 P2MR 无法防范短期暴露的量子攻击；需要未来的后量子签名才能实现更广泛的保护。
BIP 361（https://github.com/bitcoin/bips/blob/master/bip-0361.mediawiki）是一项草案，涉及迁移和旧版签名逐步淘汰的提案，使所有权困境更难被忽视。它讨论了从脆弱支出方式过渡的方案，并依赖于未来的后量子签名设计。BIP 编号并非网络升级、激活日期或共识承诺。
比特币可以通过参与者的采用和新规则的强制执行而发生变化。没有任何开发人员可以单方面保证结果。兼容性、验证成本、带宽、钱包恢复、托管操作和用户参与都使“我们将在必要时升级”这一说法变得复杂。
机构应在没有迁移计划的情况下停止出售信心
最弱的回应是银行也面临量子风险。确实如此。但这并不意味着比特币的迁移是微不足道的。
银行通常可以集中替换基础设施，并拥有针对争议账户活动的合同程序。比特币的吸引力恰恰在于，没有中央管理员可以简单地重置每个人的密钥或撤销有效的支出。其最强的卖点也使得协调救援更加困难。
宣传深度冷存储的托管方应能够解释如何盘点暴露的密钥、演练未来的迁移，并在共识规则变化时处理休眠客户的资产。资产管理者应区分风险披露和经过测试的运营计划。答案不能是一个模糊的说法，即聪明的开发人员会处理它。
美国国家标准与技术研究院（https://csrc.nist.gov/projects/post-quantum-cryptography）于2024年发布了其主要后量子标准，并敦促组织开始迁移。这些标准不会自动作为即插即用的比特币升级方案，政府过渡目标也不是预测比特币破解机器何时会出现的证据。它们是认真准备在紧急情况发生前开始的证据。
交易者应关注的重点并非倒计时
关注与容错密码学攻击相关的可信演示，而非剥离了错误率和架构的量子比特总数。关注提案是否转化为经过审查的代码，钱包和托管服务是否支持它们，以及迁移工具对普通用户而言是否切实可行。
同时关注治理争议。即使技术路径合理，若利益相关方无法就旧币达成共识，仍可能失败。反之，投机性恐慌可能在底层攻击尚不可行时便已引发市场波动。无论是倒计时还是价格目标，都无法从当前的不确定性中诚实推导而出。
对于持有者而言，基本操作依然重要：避免不必要的地址复用，保留可恢复的备份，了解托管条款，并遵循经过验证的钱包公告。切勿因耸人听闻的标题，将助记词粘贴到量子保护网站，或将资金发送至所谓的救援服务。
比特币最严峻的考验或许正是其自身的救援方案
量子计算并未证明比特币注定失败。它揭示了营销中的矛盾：所有权被描述为无条件的，但执行所有权的软件和密码学最终可能需要集体变更。
我的观点是，拒绝讨论这一矛盾比承认它更危险。可信的迁移应披露谁必须采取行动、无法迁移者将遭遇什么，以及网络愿意做出哪些妥协。不要恐慌，不要假装确定，也不要在截止日期到来后悄悄重新定义所有权。
最难的问题不是比特币能否更换其锁具。而是救援能否保留最初让人们信任该锁的承诺。
FAQ
量子计算机今天能窃取比特币吗？不能。目前没有任何公开演示的系统展示出在所需规模上破解比特币签名密码学的操作能力。理论上的攻击与已部署的能力是截然不同的两回事。
量子计算会自动摧毁比特币挖矿吗？不会。签名密钥恢复、哈希搜索和工作量证明经济学是不同的问题。对易受攻击的签名密钥的成功攻击不会自动重写账本或击败所有哈希。
BIP 360 和 BIP 361 已经在保护我的硬币了吗？没有理由做出这样的假设。它们只是提案，具有不同的范围和依赖关系。BIP 的发布并不等于激活、钱包支持或迁移完成。
为什么量子升级可能引发争议？因为防止易受攻击的旧版硬币被盗，可能与保留未迁移所有者的访问权限相冲突。恢复规则和日落提案可以改变花费所需证据的标准。
独立研究的资料来源：NIST后量子密码学项目（https://csrc.nist.gov/projects/post-quantum-cryptography）；Bitcoin Optech量子抗性主题档案（https://bitcoinops.org/en/topics/quantum-resistance/）；BIP 360（https://github.com/bitcoin/bips/blob/master/bip-0360.mediawiki）；BIP 361（https://github.com/bitcoin/bips/blob/master/bip-0361.mediawiki）。观点和专业技术分析截至2026年10月23日。本文不提供投资建议，也不预测量子攻击日期。