比特币的量子威胁：Google将错误率降低40倍，九家公司结成联盟，600万枚比特币暴露在外

短短一周之内，比特币的量子威胁就从会议上的讨论话题变成了实际工作议程。10月13日，托管着全部比特币约5%的Coinbase发布了一篇论文，呼吁开发者立即开始迁移。10月15日，Google在《科学》（Science）杂志上发表报告称，一种名为“魔态培育”（magic state cultivation）的技术，将其Willow芯片上一类关键错误减少了约40倍。同一天，九家加密公司成立了量子联盟（Quantum Alliance），这是一个标准机构，旨在判定“抗量子”究竟意味着什么。与此同时，Glassnode统计出有626万枚BTC，占供应量的31.2%，存放在公钥已在链上可见的地址中。这一切都不意味着量子计算机今天就能夺走这些币，但确实意味着业界已不再把这个问题当作科幻小说。下面介绍发生了哪些变化、这些数字衡量的是什么，以及持币者无需等待协议升级就能做些什么。

核心要点

• Google的成果关乎纠错，而不是破解密码：实验最多只用了Willow芯片105个量子比特中的54个，而按照Google自己在2026年3月给出的估算，攻击比特币所用的椭圆曲线需要不到50万个物理量子比特。
• 量子联盟汇集了Quantus、Hacken、Keystone、Midnight Foundation、Abelian、Postquant Labs、The Vault、American Fortress和Intmax，旨在为网络、钱包和跨链桥制定公开的测试标准和迁移规则。
• Coinbase提议采用灵活的输出类型（BIP-360中的P2MR以及P2TRv2）、在过渡期允许混合花费，并就公钥已暴露的休眠币单独作出决定。
• 对暴露规模的估算集中在600万至700万枚BTC之间：Glassnode统计为626万枚，量子联盟为604万枚，Coinbase顾问委员会为690万枚，其中170万枚位于旧式P2PK（支付到公钥）输出中。
• Starknet计划在2027年前脱离以太坊、转型为抗量子链，这一消息推动STRK在一周内上涨逾80%，随后又下跌约41%，提醒人们交易炒作远远跑在了技术前面。

Google在10月15日究竟做了什么

量子计算机需要两类操作。简单的那类可以靠标准纠错来保护。较难的那类则是任何有用程序都离不开的，它们要消耗一种被物理学家称为“魔态”的资源：一种一次性原料，每次操作前都必须先制备出干净的魔态。制备魔态一直是这台机器中成本最高的部分。Google援引的估算称，制备过程可能占用量子计算机多达95%的算力。

自2004年以来，标准做法是蒸馏：取大量含噪声的魔态，提炼成少数几个干净的魔态，并接受芯片上整片区域只做这一件事。2024年，Google的研究人员提出了一条成本更低的路线：魔态培育。它的原理就像过滤器：把一个粗糙的态注入芯片上的一小块区域，进行一连串检查，丢弃每一次检测出缺陷的尝试，让幸存下来的继续生长。

10月发表在《科学》上的论文表明，这种过滤器在真实硬件上行之有效。在Willow上，它制备出的T态逻辑保真度达到99.99%，错误比未经培育的态少约40倍。只有约8%的尝试通过了全部检查，也就是说，芯片每十次尝试要丢掉九次以上，才能留下一次。团队还把制备好的态从一种纠错码转移到另一种纠错码中，这是将其用于更大规模计算的必要步骤。

需要说明它不是什么：它不是对任何系统的攻击。这次运行最多只用了54个量子比特。分解一个RSA-2048密钥，需要错误率约为百亿分之一的魔态，远远超出了这次实验的水平。魔态培育是两项估算的依据之一：一是克雷格·吉德尼（Craig Gidney）在2025年估算，破解RSA-2048只需不到一百万个含噪声量子比特，低于他在2019年论文中估算的2000万个；二是Google于2026年3月与以太坊基金会研究员贾斯汀·德雷克（Justin Drake）和斯坦福大学密码学家丹·博内（Dan Boneh）合著的白皮书，其中将破解比特币椭圆曲线密码学的成本估算为不到50万个物理量子比特。这些都是针对一台尚无人造出的机器所做的成本估算，而不是时间表。

为什么比特币的量子威胁是公钥问题

比特币地址是哈希值。只要币存放在一个从未发生过花费的地址中，它背后的公钥就不会出现在账本上，量子计算机必须先破解哈希函数，而目前已知的任何算法都无法高效做到这一点。一旦公钥变得可见，暴露就开始了：中本聪时代最古老的P2PK（支付到公钥）输出、花费之后被重复使用的任何地址，以及交易在确认前于内存池中等待的那几分钟，都属于这种情况。这正是Shor算法的用武之地：从公钥推导出私钥，并签署一笔与之竞争的交易。

新闻标题中的数字衡量的正是这部分暴露在外的币，而且这些数字彼此吻合。

有两个细节比标题数字更重要。第一，暴露在外的币中约有三分之二是因为使用习惯而非设计本身而暴露的：持有者重复使用了地址。这部分今天就可以缩小，不需要任何协议改动。第二，Glassnode认为约166万枚暴露的BTC属于交易所钱包，这类钱包在设计上就会重复使用热地址。至于我们报道过的中本聪诉讼案中所涉及的币，则属于结构性类别：这些旧输出的公钥从第一天起就是可见的，其所有者也可能永远不会移动它们。

量子联盟：九家公司与一个缺失的定义

如今，任何网络都可以自称抗量子。这种说法没有公认的定义，没有标准测试，也没有规则规定两条完成迁移的链应如何互通。量子联盟于10月15日成立，正是为了填补这一空白。其创始贡献者涵盖基础层、隐私网络、Rollup、硬件钱包和审计机构：Quantus、Postquant Labs、Midnight Foundation、Keystone、Abelian、Hacken、The Vault、American Fortress和Intmax。

该机构以互联网工程任务组（IETF）为蓝本。提案能否推进，取决于公开证据和可运行的实现，而不是成员的规模或代币持有量，其所有成果都公开发布。工作分为四个小组：区块链迁移、后量子零知识系统、钱包安全和跨链兼容性。其参照点是美国国家标准与技术研究院（NIST）于2024年8月批准的首批后量子标准；联盟的不满在于，两年过去了，业界仍然没有采用这些标准的共同方式。

Quantus创始人克里斯托弗·史密斯（Christopher Smith）这样概括联盟的雄心：将来，后量子密码学就直接被称为密码学，其他一切都会进博物馆。联盟还援引了一系列指向2020年代末的预测，其中包括两家贡献者构建的一个模型，该模型将2028年3月标为一个早期窗口。应把这当作规划假设，而不是预言：同样的文件也指出，目前还没有任何机器能做到这一点。

Coinbase的论文：在威胁得到证实之前就开始行动

Coinbase为客户托管着约100万枚BTC，约占已开采比特币总量的5%，按10月中旬的价格计算约合800亿美元。其10月13日发布的论文由沙尚克·阿格拉瓦尔（Shashank Agrawal）撰写，定位是为讨论提供参考，而不是比特币已经采纳的计划。这些提议具体到足以展开辩论：

• 将币的存放位置与花费方式分离的输出类型，这样今后更换签名方案时，就不必再次重新设计协议。点名的候选方案是BIP-360中的P2MR（支付到默克尔根）和P2TRv2。
• 过渡期内的混合花费：一枚币既可以用现在的ECDSA或Schnorr签名解锁，也可以用后量子签名解锁，让钱包和托管机构在旧式签名受到限制之前完成迁移。
• 候选算法包括ML-DSA、SLH-DSA、FN-DSA和SHRINCS，需在区块空间、手续费、验证速度和硬件钱包兼容性之间加以权衡。有状态方案被标注为在操作上存在危险，因为重复使用签名状态可能导致伪造。
• 为休眠币和丢失的密钥单独设立一条处理路径：恢复机制、迁移截止期限以及对旧式花费的可能限制，同时承认所有这些都会引发所有权问题。

Coinbase已经在构建PQ-CoreKMS，即其机构级密钥管理系统的后量子版本，并承诺在7月宣布后约一年内推出首条签名流水线。另一个由贝莱德（BlackRock）、Strategy和Coinbase支持的研究联盟，已承诺为解决这一问题投入1500万美元。

Starknet与市场反应

10月8日，StarkWare首席执行官埃利·本-萨松（Eli Ben-Sasson）表示，Starknet正在积极考虑脱离以太坊，成为独立的Layer 1，目标是在2027年前成为首个完全抗量子的网络。他的论点是结构性的：一个Rollup的量子安全性，最多只能与它所结算的链相当，而以太坊自己的目标是2029年。Starknet的证明已经建立在哈希函数之上，而哈希函数被认为是抗量子的；6月30日发布的路线图涵盖了替换其余椭圆曲线组件的计划。就在前一天，贾斯汀·德雷克曾呼吁业界冷静地为“地堡模式”做好规划，以防AI辅助的数学研究先于量子硬件削弱ECDSA。

STRK在七天内上涨逾80%，至0.126美元，创下2025年12月以来的最高水平，也是当周前100大代币中表现最好的。到10月18日，该代币已回吐约41%，10月15日解锁的1.27亿枚STRK更是在上涨途中增加了供应。在这十天里，协议本身没有任何变化。价格反映的是一种叙事，而叙事来得快，去得也快。

持币者现在能做什么

• 停止重复使用地址。每次从某个地址花费，都会暴露其公钥；把找零和新的充值转入新地址，所有现代钱包默认都会这样做。
• 把旧币转移一次。位于P2PK输出中、或位于已发生过花费的地址中的资金，今天就可以转到一个新地址。这样一来，在下一次花费之前，它们就不再属于那600万枚暴露在外的币。
• 不要指望硬件钱包能解决这个问题。这类设备保护密钥免遭盗窃，却防不了数学；我们关于硬件钱包安全的文章介绍了它们确实能够应对的风险。
• 留意资产托管在哪里。交易所热钱包会重复使用地址，据Glassnode统计，其中约有166万枚暴露在外的BTC；托管方的迁移计划，如今已是尽职调查中理应提出的问题。
• 关注BIP-360和量子联盟各工作组的进展，而不是代币公告。真正重要的升级，将是一次经过公开辩论的比特币软分叉，而不是某次上币。

关键术语

• Shor算法：一种量子算法，只要有一台足够大的容错量子计算机，就能在比特币所用的椭圆曲线上由公钥推导出私钥。
• 魔态：执行最难一类操作所必需的消耗性量子资源；培育和蒸馏是制备干净魔态的两种方式。
• 暴露的公钥：由于币位于P2PK输出中，或位于已发生过花费的地址中，而在账本上可见的公钥。
• BIP-360：一项关于抗量子输出类型的比特币改进提案，Coinbase称之为“支付到默克尔根”（pay-to-merkle-root）。
• 后量子密码学：旨在抵御量子攻击的签名和密钥交换方案；NIST于2024年8月批准了首批标准。
• 混合花费：一种过渡设计，一枚币既可以用经典签名解锁，也可以用后量子签名解锁。