如果有一天，别人只知道你的银行卡号，就能反推出你的支付密码，会发生什么？
比特币面临的量子计算风险，大致就是这个逻辑。
今天，比特币之所以能安全运行，是因为每个钱包都有一对“钥匙”：一个叫公钥，可以公开；另一个叫私钥，只能自己保存。正常情况下，即使别人知道你的公钥，也几乎不可能算出私钥。所以只要私钥不泄露，你的钱就很难被别人转走。
但量子计算带来了一个麻烦。未来如果量子计算机足够强，它可以利用一种叫Shor 算法的方法，从公开的公钥反推出私钥。换句话说，原来需要“偷到钥匙”才能打开的钱包，未来可能只需要看一眼“锁”，就能重新算出一把钥匙。
这也是量子计算真正威胁比特币的地方。如果别人也能算出你的私钥，那这枚比特币到底该怎么证明属于你？
过去，这个问题一直被认为离现实很远。因为理论上量子计算确实能破解比特币使用的密码体系，但大家普遍认为，要造出这样一台机器，规模可能大得惊人。
今年3月，一篇来自 Google Quantum AI、斯坦福、伯克利和 Ethereum Foundation 研究者的论文，让这个判断出现了变化。这篇57页的论文重新算了一遍，未来到底需要多大的量子计算机，才有能力攻击比特币？
作者给出的结果是，破解比特币所使用的 secp256k1 密码体系，可能只需要约1200—1450个逻辑量子比特。在他们假设的一种超导量子计算架构下，所需的物理量子比特甚至可能降到50万以内。
更引人注意的是一个数字：9分钟。按照论文的模型，未来一台足够强、足够快的量子计算机，有可能在大约9分钟内，从公开的公钥计算出私钥。
更麻烦的是，还有一些币根本没人能主动“换锁”。比如中本聪时代留下的大量比特币，已经十几年没有移动，私钥甚至可能早已丢失。如果未来量子计算机可以重新算出这些私钥，那么这些沉睡多年的比特币突然又能被人打开。
所以，这篇论文真正值得讨论的，不单单聚焦在“量子计算会不会把比特币破解掉？”，更向深层追问了一系列问题：
量子计算为什么能够威胁加密货币？
真正的量子攻击需要多强的机器？
Bitcoin 到底会怎么被攻击？
为什么Ethereum 面临的风险比 Bitcoin 更复杂？
问题都来自 ECDLP，那为什么大家不直接换成 PQC？
如果上百万枚休眠 BTC 无法迁移，最后该怎么办？
带着这些问题，看看这篇论文如何作答。
01
量子计算为什么能够威胁加密货币？
本篇论文并没有聚焦量子计算机算力比经典计算机强在哪，而是探讨了一个更具体的密码学问题。
大量现代区块链的安全依赖椭圆曲线离散对数问题，也就是 ECDLP（Elliptic Curve Discrete Logarithm Problem）在经典计算机上很难求解。
密码学相关量子计算机 CRQC（Cryptographically Relevant Quantum Computer）将威胁现有公钥密码体系。其中 RSA 面临的问题来自 Shor 算法对整数分解的高效量子求解，而椭圆曲线密码学 ECC 面临的问题，则来自Shor 算法可以高效求解 ECDLP。
这和加密货币的关系非常直接。Bitcoin、Ethereum 等区块链大量使用建立在 ECDLP 之上的数字签名。
而大多数加密货币安全性的核心，都建立在一个基本假设之上，那就是ECDLP 很难求解。依赖这一困难性假设的具体区块链功能，包括 Bitcoin 和 Ethereum 的交易验证，以及 Ethereum 的权益证明（PoS）共识机制。
基于这些估算，该论文讨论两种可能出现的 CRQC 演进情景，这些情景将成为后文讨论潜在缓解策略的基础。特别是，早期 CRQC 能够以多快的速度完成攻击，将直接决定哪些区块链脆弱性可以被现实利用，因而也决定了在全面迁移 PQC 之前，应优先采用哪些中间缓解措施。
依据攻击所要求的执行速度，以及每次攻击是否都需要访问 CRQC、还是只需使用 CRQC 一次即可制备一个可通用复用的攻击工具，将量子攻击分为三类：
1.交易时攻击（On-Spend Attacks）：针对正在传输、尚未最终记入区块链的交易。当区块链用户广播一笔交易后，攻击者必须在该交易被区块链记录之前允许的时间窗口内推导出私钥。这要求量子计算机能够在目标区块链的交易结算时间内求解 ECDLP。不同区块链的结算时间从数百毫秒到数分钟不等，例如 Solana 约为 400 毫秒，Ethereum 约为 12 秒，Bitcoin 平均约为 10 分钟。交易时攻击也被称为“短程攻击”（short-range attacks）或“即时攻击”（just-in-time attacks）。
2.静态持有攻击（At-Rest Attacks）：针对那些在链上或链下长期处于暴露状态的公钥，例如重复使用密钥的休眠钱包。在这种情形中，攻击者有数天甚至更长时间来推导私钥。静态持有攻击也被称为“长程攻击”（long-range attacks）或“长时间暴露攻击”（long-exposure attacks）。
3.设置阶段攻击（On-Setup Attacks）：针对固定的公共协议参数，目标是在某个密码协议中制造一个可通用、可重复利用的后门。攻击者只需要使用 CRQC 进行一次离线量子计算来构造后门，此后利用该后门实施攻击时，可以只使用经典计算机。例如，攻击者可能利用 Shor 算法恢复在 Powers-of-Tau（τ 幂）可信设置仪式中本应被销毁的所谓“有毒废料”（toxic waste）。Bitcoin 区块链本身对设置阶段攻击免疫，但某些扩容方案，例如 Ethereum 的数据可用性采样机制，以及某些隐私协议。例如 Tornado Cash ，会受到这种尤其隐蔽而危险的攻击模式影响。
需要指出的是，对加密货币量子攻击还可以采取其他分类方式。例如，可以按照被破坏的安全属性进一步细分为：
•资产所有权攻击，例如在 Bitcoin 中伪造交易；
•共识攻击，例如在攻陷超过半数 Ethereum 验证者后实施深度区块链重组；
•机密性攻击，例如破坏 Zcash 多样化地址之间的不可链接性；
•货币完整性攻击，例如在 Mimblewimble 或存在漏洞的 Ethereum zk-rollup 中非法创造新币；
•偿付能力攻击，例如通过非法 Rootstock 赎回或稳定币赎回导致锚定崩溃，或者悄无声息地抽干 Tornado Cash 匿名池；
•数据可用性攻击，例如伪造 Ethereum 的数据可用性采样证明；
•治理攻击，例如伪造 Cardano 或 Ethereum 去中心化自治组织（DAO）的投票，或者接管由多重签名控制的跨链桥资产。
Bitcoin 和 Ethereum 的交易验证、Ethereum 的 PoS 共识等，都不同程度依赖这一假设。
以 Bitcoin 为例，其基本资产单位是 UTXO。一个 UTXO 能否被花费，需要花费者提交与相应公钥匹配的有效数字签名；生成有效签名需要掌握相应私钥。因此论文把 Bitcoin 的密码学所有权关系概括得非常直接。从密码学意义上说，拥有 bitcoin，就意味着掌握与锁定这些 bitcoin 的公钥相对应的私钥。
而 CRQC 带来的根本变化就在这里。一旦公钥已经公开，CRQC 可以利用 Shor 算法，通过求解 ECDLP 推导出与之对应的私钥。
该论文因此认为，这会从根本上动摇 Bitcoin 当前建立在密码学难题之上的所有权模型。
为什么加密货币尤其值得关注？
第一，许多区块链为了效率和可扩展性，高度依赖基于 ECDLP 的密码体系。在相同安全级别下，这类密码体系所需密钥长度比 RSA 小近一个数量级，因此破解它们所需的 CRQC 规模也更小。
第二，传统金融通常具有多层安全防护和交易追索机制，而区块链往往缺乏针对欺诈交易的追索能力。论文明确指出：一次成功的数字签名伪造，就可能导致无法追回的资产盗窃。
所以，严格按照论文的逻辑，量子计算对加密货币的威胁可以归结为：
ECDLP 是数字签名安全的底层困难问题。Shor 算法能够在 CRQC 上高效求解 ECDLP ，已公开公钥可能被用于恢复私钥，攻击者能够生成合法数字签名，导致现有以私钥证明所有权的机制受到威胁。
但论文同时特别强调，不能由此推导出“量子计算能够轻易攻破区块链所有部分”。不同协议和功能的量子韧性不同。例如论文认为，Bitcoin 的 PoW 共识本身并不是现阶段现实的量子攻击目标。
02
真正的量子攻击需要多强的机器？
这篇论文阐述了一个很重要的观点：衡量一台能够攻击 secp256k1 的量子计算机，不能只看“有多少量子比特”。
原因在于，针对 n 位 ECDLP 问题，现有最先进 Shor 算法编译方案的比较并不简单，因为存在一个关键的时空权衡（space-time tradeoff）。一方面是逻辑量子比特数量，它决定了发动量子攻击所需 CRQC 必须有多大，另一方面是 Toffoli 门数量。
在容错执行 Shor 算法时，Toffoli 门通常主导总体资源成本，并决定算法的总运行时间，因此也直接决定交易时攻击是否可行。目前公开文献中逻辑量子比特数量最低的结果来自 Chevignard 等人的近期预印本：对于 n=256，他们估算只需要约1100 个逻辑量子比特（渐近情况下为 3.12n+o（n））。
不过，如此小的逻辑量子存储空间是以超过1000 亿个 Toffoli 门为代价的。如此巨大的门数量既意味着极高的运行时间，也意味着需要大量物理量子比特。因为实际所需物理量子比特数同时取决于逻辑量子比特数量和电路门数。
在另一个极端，此前公开文献中 Toffoli 门数最低的结果大约来自 Litinski ，约为2 亿个 Toffoli 门。需要说明的是，该论文标题写的是 5000 万而不是 2 亿，这是因为其计入了一些能够降低多实例求解摊销成本的优化，而本文关注的是单实例攻击。Litinski 方案降低 Toffoli 门数的代价，是逻辑量子比特数量超过 Chevignard 等人方案的两倍。进一步计入量子纠错开销后，Litinski 方案在光子量子计算架构上预计需要约900 万个物理量子比特。
本文报告，团队已经开发出用于破解有限域上椭圆曲线 ECDLP 的逻辑量子电路：对于素数模长和群阶均为 n 位的情形，其空间开销约为 4.5n。论文给出了两种方案在不同 n 下的资源需求：一种优化量子比特数量，另一种优化门数量。
当 n=256 时，两种电路分别需要：
•1200 个逻辑量子比特 + 9000 万个 Toffoli 门；或
•1450 个逻辑量子比特 + 7000 万个 Toffoli 门。
如果以时空体积（spacetime volume）衡量，这是一个尤其会影响量子纠错开销的关键资源指标，那么在求解单个 ECDLP 实例时，我们的估算相比此前最高效的方案大约改进了一个数量级。这正是前文所述 ZK 证明所验证的资源估算。结论可直接应用于secp256k1上的 ECDLP；该椭圆曲线被 Bitcoin、Ethereum 等主流区块链广泛用于数字签名。
图1.
在对超导量子比特硬件采用标准假设，例如平面四度连接（planar degree-four connectivity）、物理错误率为10-3,并运行与假设类似的表面码架构变体时，计算得出，上述量子电路可以在少于 50 万个物理量子比特上执行。
这一估算之所以显著下降，一方面源于优化后的逻辑电路规模更小，从而降低了量子纠错开销；另一方面源于使用“yokes”保护的高密度表面码配置，以更加高效的方式存储逻辑量子比特。
为了估算电路的实际墙钟运行时间，作者假设量子计算以反应时间受限（reaction-limited）方式执行 ，即执行速度主要受到控制系统反应时间的限制。如果假设控制系统反应时间为10 微秒，这是超导量子比特常用的标准数值 [100]，并假设每个 Toffoli 门存在50% 的额外开销，那么在超导 CRQC 上执行 7000 万或 9000 万个 Toffoli 门，分别需要约18 分钟或 23 分钟。这一时间已经接近 Bitcoin 平均10 分钟的出块时间。
如果考虑量子计算机可以对算法的前半部分提前进行预计算，交易时攻击还会更快。算法前半部分只依赖所有地址共享的协议参数，因此量子计算机可以预先计算并保持在一个“预备（primed）”状态，一直等待目标公钥出现。这样，从公钥被公开到对应私钥被求出的时间可以缩短一半。
因此，从攻击者获知公钥并从预备状态开始计算算起，交易时攻击预计只需要大约 9 分钟或 12 分钟。这意味着，一台能够对链上静态持有资产实施静态持有攻击的超导 CRQC，很可能同时也能够对活跃交易实施交易时攻击。
正如后文将进一步讨论的，并不认为从 1200 个逻辑量子比特扩展到 1450 个逻辑量子比特会产生显著的额外扩展障碍。为简化后续讨论，本文因此假设：第一代快时钟 CRQC 平均能够在约9 分钟内求解 secp256k1 及类似椭圆曲线上的 ECDLP。
如果攻击者拥有多台已经处于预备状态的机器，这一时间还可以进一步缩短。若使用11 台预备机器并行发动攻击，则每台机器只需要执行32 次椭圆曲线点加法，而不是单台预备机器所需的208 次，可获得约6.5 倍加速。
图 2. 对位长分别为 n=3264128256 的椭圆曲线，破解 n 位 ECDLP 所需的逻辑资源。图中分别给出低门数版本（Low-Gate Variant）与低量子比特版本（Low-Qubit Variant）。
要在9 分钟内执行 7000 万个 Toffoli 门，需要每秒生成约50 万个 T 态（T states）。一个具有足够低错误率的 T 态可以通过约50,000 个 qubit-rounds（量子比特-轮次）制备 。在纠错轮次为 1 微秒的快时钟架构中，这意味着需要分配约 25,000 个物理量子比特用于魔态制备（magic-state production）。
与运行整个算法所需的约 50 万个物理量子比特相比，25,000 个量子比特只是较小的一部分。因此，在快时钟架构上，我们预计交易时攻击将与静态持有攻击几乎同时变得可行。
相比之下，在纠错轮次为100 微秒或更长的慢时钟架构中，为了获得足够的 T 态生成速率，需要约250 万个物理量子比特。这一数量远大于以较慢速度运行算法本身所需的量子比特数。因此，我们目前预计，在慢时钟架构上，静态持有攻击会先于交易时攻击变得可行。
不过，未来如果出现新的魔态制备技术，例如更高效的 T 态产生方法，并且能够在慢时钟架构的约束条件下高效运行，那么慢时钟平台未来也可能具备实施交易时攻击的能力。
为了进一步理解这些资源估算的意义，我们请读者参考图 3。
该图最初发表于 Google Quantum AI 近期的一篇观点文章。
图 3. 这些图最早出现在文献中，用于说明过去十年间，算法与纠错研究如何大幅降低量子计算机解决重要问题所需的资源。（左图）给出在不同论文发表年份中，最先进资源估算下，使用表面码的超导量子比特架构破解 2048 位 RSA 加密所需的物理量子比特数量。部分论文通过采取更激进的硬件假设——例如更高连接度或更低错误率——声称可以使用更少物理量子比特，但本文选择比较硬件假设较为可比的结果。（右图）给出在不同论文发表年份中，以化学精度计算 FeMoco 分子基态能量所需的最先进 Toffoli 门数；分别展示 Reiher（“small”） 和 Li（“large”）[106] 的 FeMoco 活性空间 Hamiltonian 的资源估算。
图 3 传达的核心信息是，过去十年中，量子算法和量子纠错架构的进步持续大幅降低实施重要量子应用所需的物理资源。正如密码学领域的一句常见说法：“攻击只会越来越好（attacks always get better）”。
当然，资源估算不可能无限下降。但图 3 中重点展示的两类应用，破解 RSA 与量子化学模拟，这是历史上获得的公开研究投入远多于使用量子算法破解 ECDLP。因此，这些应用的算法可能已经比 ECDLP 攻击算法更接近最优状态。换言之，未来 ECDLP 的资源估算仍可能存在更大的下降空间。
容错量子计算之所以成本高昂，很大程度上来自量子纠错的开销。从工程角度构建一个完整可行的系统，需要在多个条件之间进行艰难平衡，包括与硬件兼容的连接拓扑、高噪声容忍度、快速的综合征解码器（syndrome decoder）以及具有足够表达能力的逻辑指令集。
成熟且研究充分的表面码能够满足这些条件，但相比其他现代量子纠错码，其效率较低。这种效率通常由逻辑量子比特数与物理量子比特数之比表示，也称为纠错码的编码率（encoding rate），简称“码率（rate）”。
例如，近年对量子低密度奇偶校验码（quantum Low-Density Parity-Check，qLDPC codes）的研究提供了一个非常有吸引力的替代方向：通过引入长程连接来提高编码率。当前资源估算通常仍默认使用表面码，这是因为其可解码性已经得到验证，同时对硬件设计提出的要求较为现实；但如果 qLDPC 技术进一步成熟，未来有可能继续降低物理量子比特需求 。近来，研究人员还开始使用 AI 技术加速寻找更优的量子纠错码。
本文讨论的物理资源估算，例如约50 万个物理量子比特，采用的是相对温和的硬件能力假设：平面四度连接，物理门错误率为 10-3。换言之，这基本相当于对 Google 已经通过实验演示的量子处理器进行规模放大。
如果采取更激进的硬件假设，物理量子比特需求还可能降至接近10 万个。例如，用于2-gross qLDPC 码的“bicycle”架构就可能达到这一水平，但该方案需要非局域七度连接，而这种连接方式尚未在真实超导量子比特器件上得到验证。
类似地，近期提出的“Pinnacle”架构表明，理论上可以用少于10 万个超导量子比特破解 2048 位 RSA；但其依赖更具挑战性的十度、非平面连接，所使用的纠错码目前又缺乏用于刻画性能的大规模模拟和高效解码器，而且整个计算需要接近一个月。
满足这些更苛刻规格的器件在物理实现上更加复杂，因此，与规模更大但工程要求较温和的器件相比，可能更难以制造到足够低的物理错误率。由此，即使 Pinnacle 风格设备从理论上可以使用少于 10 万个超导量子比特破解 256 位 ECDLP，约 50 万个量子比特、平面四度连接的设备仍然是目前理解更充分、工程上也更可能实现的路径。尽管如此，寻找同时具有高编码率并满足现实工程约束的量子纠错码，仍然是一个活跃且很有前景的研究方向 。
同时，考虑到快时钟与慢时钟量子计算平台之间存在显著速度差异，同时缓解策略的选择又取决于静态持有攻击是否会比交易时攻击早得多地成为现实，我们认为，加密货币社区应当为以下两种潜在情景制定应急预案：
•情景 1：交易时攻击与静态持有攻击大致同时变得可行。如果第一批 CRQC 属于快时钟设备，就可能出现这种情况。
•情景 2：静态持有攻击明显早于交易时攻击变得可行。如果慢时钟量子计算平台的进展快于快时钟平台，就可能出现这种情况。
之所以无法确定哪一种情景会首先发生，部分原因在于全球大量研究实验室、科技公司和初创企业正在同时开发多种不同的量子计算机架构。例如，Google Quantum AI、IBM Quantum、Amazon、D-Wave、Rigetti 和 IQM 都在开发超导量子比特架构；PsiQuantum 和 Xanadu 正在建设光子量子计算机；Diraq 与 Intel 则在研发自旋量子比特设备。这三类架构都具有较快的基本操作速度，因此与情景 1 相容。
与此同时，包括 IonQ、Quantinuum（Honeywell 的子公司）和 Alpine Quantum Technologies 在内的多家公司正在推进离子阱量子处理器；QuEra、Infleqtion、Atom Computing、Pasqal 和 Logiqal 等企业则在开发中性原子设备。这两类平台的基本操作明显更慢。因此，如果快时钟架构遭遇扩展瓶颈，或者中性原子/离子阱平台反而快速实现规模化，那么情景 2 可能先于情景 1 出现。
已有技术创新研究指出，技术变迁往往经历一个两阶段演化过程：最初是高度创新、技术路线高度多样化的“发酵期（era of ferment）”，之后某一种“主导设计（dominant design）”逐渐形成，再进入渐进式技术改良阶段。
例如，19 世纪末汽车产业的“发酵期”中，蒸汽机、电池和内燃机等多种动力路线都快速创新，最终内燃机成为“主导设计”。进入渐进改良阶段以后，技术进步可以通过逐步提升的性能指标来衡量，例如汽车的每加仑英里数，或者摩尔定律下集成电路中元器件数量的增长 。
相比之下，量子计算目前仍存在非常多样的硬件平台，因此依然处于“发酵期”。在这一阶段，单纯统计物理量子比特数量之类的简单模型并不能准确反映技术进展。真正的进步往往以离散跳跃的形式出现，对应于某种新的内部能力形成，或某个扩展障碍被突破。例如，将设备错误率降至某种量子纠错码的阈值以下，或者为模块化量子计算架构实现相干互连 。因此，理解量子计算进展更适合采用阈值模型（threshold model），而不是简单看物理量子比特数量。
同样，其他渐进式进度指标也可能无法准确衡量我们距离 CRQC 还有多远。例如文献提出的 ECDLP “挑战阶梯”，让模数和群阶从 6 位逐步增加至 256 位，虽然看似可以逐级衡量突破，但未必能够提供可靠预警。
假设某种领先量子架构在制造出可以求解 32 位 ECDLP 的设备之前，就已经克服了所有关键扩展问题，那么从“破解 32 位 ECDLP”到“破解 256 位 ECDLP”的时间间隔可能非常短。更重要的是，社区不应期待研究机构公开展示最先进的量子纠错架构和量子算法如何被用于真实密码分析问题。
因此，如果有一天公开实验成功展示了 Shor 算法破解32 位椭圆曲线，我们不应把它理解为“现在终于该开始采用 PQC 的警报”，而更应该把它理解成一个危险信号：PQC 的及时采用可能已经失败了。
上述两种情景究竟哪一种会发生，取决于各量子平台面临的扩展障碍，以及人类创新能够以多快速度克服这些障碍。鉴于这种不确定性，建议各加密货币社区在尚未完成全面 PQC 迁移之前，立即实施和部署一些相对简单的静态持有攻击缓解措施，例如：移除存在量子脆弱性的花费路径；更新钱包，在用户使用弱地址时发出警告；禁用会跨链暴露公钥的 Rootstock 存款交易支持；在 Ethereum 中为验证者密钥引入轮换机制，并在 Cardano 中为质押密钥和投票密钥引入轮换机制 。这些措施虽然无法消除量子脆弱性，但可以显著提高攻击难度。
已经看到，量子硬件研发通过扩大设备规模，不断推动量子计算机向“具备密码学相关性”的终点前进。与此同时，量子纠错和量子算法高效编译方面的研究又在不断把这个“终点”向当前技术水平拉近。
论文作者进一步认为，越接近 CRQC，这条终点线本身可能越模糊，外界对当前量子能力真实状态的了解也可能越不透明。随着量子计算发展降低进入门槛，在打造大型容错量子计算机竞赛的最后阶段，甚至可能出现一些“后来者”快速突破到 CRQC 能力的情况，而知识产权盗窃或工业间谍活动可能进一步加速这一进程。
与此同时，随着量子计算研发计划逐渐接近大规模商业化量子计算机，其透明度反而很可能下降。这些因素都会增加我们对第一台 CRQC 到来时间及其技术性质的不确定性。因此，一种完全可以想象的情形是，人类第一次确认早期 CRQC 已经存在，不是因为某家公司或某个国家公开宣布，而是因为我们首先在区块链上观察到了它的攻击痕迹。
正如本文将反复论证的那样，对加密货币社区而言，最安全的选择是现在就开始为量子攻击做准备。
03
Bitcoin 到底会怎么被攻击？
所有针对 Bitcoin 的量子攻击，最后都指向同一件事。攻击者拿到公钥，用量子计算机反推出私钥，再用这个私钥签署一笔在 Bitcoin 网络看来完全合法的交易，把币转走。
Bitcoin 并不存在传统银行意义上的“账户”。链上记录的是一笔笔未花费交易输出，也就是 UTXO。每一笔 UTXO 都有相应的花费条件，通常要求持有人提供一个与公钥匹配的有效数字签名。正常情况下，只有掌握私钥的人才能生成这个签名，因此从密码学意义上说，私钥就是资产控制权的基础。
问题在于，Bitcoin 广泛使用的数字签名建立在椭圆曲线离散对数问题（ECDLP）之上。经典计算机即使知道公钥，也几乎无法反推出私钥；而一台足够强大的密码学相关量子计算机（CRQC），可以利用 Shor 算法完成这件事。
所以，Bitcoin 面对的量子攻击可以简单分成两种。
第一种：币还躺在那里，私钥就被算出来了。论文称之为 at-rest attack，静态持有攻击。
有些 Bitcoin 地址会直接把公钥暴露在链上。最典型的是早期使用的P2PK，以及较新的P2TR（Taproot）。对于这些地址，攻击者根本不需要等待用户发交易，公钥早已公开，可以提前拿去交给量子计算机计算。
攻击过程并不复杂，大致是读取链上的公钥，然后CRQC 推导私钥并用私钥生成合法签名，最后把 BTC 转到攻击者控制的地址。
早期 P2PK 脚本目前仍锁定着超过170万枚 BTC，其中包含大量中本聪时代的挖矿奖励。P2TR 虽然是2021年之后引入的现代脚本，但由于它也会把调整后的公钥直接写入链上，因此从量子安全角度看，同样存在静态攻击风险。
另一类地址，例如 P2PKH、P2WPKH，会先把公钥隐藏在哈希值后面。只要这个地址从来没有花过币，也没有在其他地方泄露公钥，量子攻击者暂时没有明确的公钥可以攻击。
但这种保护有一个非常重要的前提是，不要复用地址。
一旦一个地址过去发起过交易，公钥通常已经被公开。如果地址里还剩下 BTC，攻击者就可以从历史交易中找到这个公钥，再利用量子计算推导私钥。论文因此认为，地址复用会让原本更安全的 P2PKH、P2WPKH 等地址，最终退化到和 P2PK、P2TR 类似的风险状态。
按照论文基于链上数据的估算，撰写时因公钥直接暴露或密钥复用而处于静态量子风险中的 BTC，合计约690万枚。
这意味着，未来第一批真正容易被量子计算攻击的，并不一定是正在交易的 Bitcoin，而很可能是那些公钥早已暴露、长期躺在链上的大额资产。
第二种：你刚发出交易，攻击者就在路上把币“截走”。这就是论文所谓的 on-spend attack，交易时攻击。
有些 Bitcoin 地址平时可以把公钥隐藏起来，但问题在于，当用户真正要花这笔钱时，Bitcoin 网络必须看到公钥和数字签名，才能验证交易是否合法。
因此，一笔交易广播出去之后，在真正被矿工写入区块之前，会进入公共内存池，也就是mempool。
这时攻击窗口就出现了。攻击者可以从 mempool 中读取刚刚公开的公钥，然后立刻启动量子计算，利用Shor 算法，通过公钥拿到私钥。
拿到私钥以后，攻击者可以重新签署一笔交易，把同一笔 BTC 转到自己的地址。如果这笔攻击交易比原交易更早被矿工确认，盗窃就完成了。
这也是为什么论文里的“9分钟”如此重要。
Bitcoin 平均约10分钟产生一个新区块。而按照论文对未来快时钟超导 CRQC 的估算，在提前完成部分预计算之后，从获得公钥到推导出私钥，可能只需要大约9分钟。
换句话说，未来有可能出现这样一个场景。用户刚刚广播一笔 Bitcoin 交易，公钥一旦进入 mempool，量子计算机开始计算。大约9分钟后，攻击者拿到私钥，而原交易可能还没有进入下一个区块。
于是，Bitcoin 的10分钟平均出块时间，第一次与量子计算的潜在攻击时间处在了相近的量级。
更麻烦的是，Bitcoin 的出块并不是严格每10分钟一次。有时下一个区块几分钟就出现，有时可能要等20分钟、30分钟甚至更久。因此，只要量子计算速度接近这个窗口，就存在成功攻击的概率。论文甚至指出，随着算法进一步优化或未来 CRQC 拥有更多量子比特，私钥推导时间还可能继续下降。
不过，拿到私钥以后，还会发生一场“手续费战争”。
量子攻击者破解私钥后，并不意味着原交易自动消失。现实中更可能出现的是两笔都具有合法签名的交易同时竞争：一笔来自真正的资产所有者，另一笔来自已经算出私钥的量子攻击者。
Bitcoin 矿工通常有经济动力优先打包手续费更高的交易。于是攻击者可以给盗窃交易附上更高的手续费，与原持有人展开竞争。
论文把最极端的结果称为scorched earth，“焦土”情形。
因为攻击者花的并不是自己的钱，他可以把手续费一路抬高。真正的持有人如果想阻止资产被盗，也只能继续加价。理论上，这场竞价甚至可能把手续费推高到接近资产本身的价值。
结果是，即使攻击者最终没有拿走 BTC，原持有人也可能为了阻止盗窃，把大部分资产价值支付给了矿工。
因此，量子攻击带来的问题并不只是“黑客知道了你的密码”。它可能把 Bitcoin 原本正常的交易确认机制，变成一场真正所有者和量子攻击者之间的竞价赛跑。
那么，哪些 Bitcoin 会最先危险？从论文的分析看，顺序大致取决于公钥暴露程度。
第一批是公钥本来就公开的资产，例如 P2PK、P2TR，以及部分旧式多签资产。
第二批是曾经使用过、发生地址复用的 P2PKH、P2WPKH 等地址。它们虽然最初用哈希隐藏了公钥，但历史交易已经把公钥公开。
第三批则是那些公钥尚未暴露的地址。它们可以暂时抵御静态持有攻击，但只要未来发起交易，公钥就会在 mempool 中暴露，因此仍然可能遭遇交易时攻击。
论文最后给出的核心结论是，一旦出现足够快的 CRQC，目前所有标准 Bitcoin 交易类型最终都可能面临交易时量子攻击。所以，“把公钥藏起来”只能延缓攻击，并不能从根本上解决问题。
还有一个容易被误解的问题：量子计算会不会先把 Bitcoin 挖矿摧毁？
论文的判断恰恰相反。至少按照现有技术路线，量子计算首先威胁的不是 Bitcoin 的 PoW 挖矿，而是数字签名。
理论上，Grover 算法可以加速 SHA-256 搜索，但论文认为，量子纠错的巨大开销和 Grover 算法难以大规模并行的特性，会让这种优势在现实挖矿中大幅缩水。
论文甚至给出了一个极端假设。即使一台 CRQC 可以在每个1微秒的量子纠错周期完成一次 SHA-256，其算力也只有大约0.25 TH/s，仍远低于成熟 ASIC 矿机；如果采用现实硬件条件，差距还会更大。
因此，论文认为，在当前可预见阶段，“量子矿机统治 Bitcoin”更接近科幻。真正现实的风险，是量子计算机拿到你的公钥以后，可以重新计算你的私钥。
04
为什么Ethereum 面临的风险比 Bitcoin 更复杂？
如果说 Bitcoin 面临的量子威胁，核心还比较容易理解。公钥暴露之后，量子计算机利用 Shor 算法推导私钥，再伪造一笔交易。
那么到了 Ethereum，事情会复杂得多。原因并不只是 Ethereum 的代码更多，而是它本身承担的角色已经完全不同。
Bitcoin 更接近一个全球分布式账本，主要负责记录 BTC 的归属和转移。Ethereum 则更像一台全球分布式计算机。它既记录资产，又执行代码，还承载智能合约、稳定币、DeFi、现实世界资产（RWA）、跨链桥和 Layer 2 等大量应用。
因此，如果只看 ETH 自身市值，很容易低估 Ethereum 真正承载的价值。论文指出，截至 2026 年 2 月，ETH 市值约为 4000 亿美元。但如果把稳定币、RWA 和 Layer 2 等计算在内，Ethereum 的总担保价值（TVS）已经超过 6000 亿美元。相比之下，Bitcoin 的经济价值仍主要集中在 BTC 本身。
这也决定了两者面对量子计算时，风险结构并不一样。
论文首先排除了一个容易产生的误解，Ethereum 当前最值得担心的，并不是像 Bitcoin 那样的交易时攻击。
Ethereum 以约 12 秒的时隙产生新区块，大多数交易在不到一分钟内完成处理，同时生态中已经存在私有 mempool。按照论文对第一代快时钟 CRQC 的估算，即使量子计算机已经具备破解椭圆曲线私钥的能力，它也很难在 Ethereum 如此短的交易确认窗口中完成一次典型的交易时攻击。
Ethereum 更大的问题是，大量公钥和密码学参数本来就长期暴露在那里，给量子计算机留下了充足时间。
因此，论文认为 Ethereum 的主要风险来自静态持有攻击，并进一步把风险拆成五类：账户脆弱性、管理员脆弱性、代码脆弱性、共识脆弱性，以及数据可用性脆弱性。
这五类风险分别来自 Ethereum 的三项核心架构：账户模型、智能合约和 PoS 共识。
第一层：账户本身会成为长期暴露的攻击目标。
Bitcoin 和 Ethereum 的第一个重要区别，是账户模型不同。Bitcoin 使用 UTXO。用户可以不断换地址，只要公钥没有暴露，就能够在一定程度上降低静态持有攻击风险。
Ethereum 则使用长期存在的账户。现实中，一个 Ethereum 用户往往会长期使用同一个 EOA，因为这个账户可能绑定资产、DeFi 仓位、治理历史、身份记录以及各种链上关系。
问题在于，一旦这个账户发出第一笔交易，数字签名就会把完整公钥公开给整个网络。
从那一刻开始，这个公钥会永久留在链上。在经典计算时代这并不是问题，因为从公钥恢复私钥依然极其困难。但如果 CRQC 出现，这些长期暴露的公钥就会变成现成的攻击目标。
论文把这种情况称为账户脆弱性（Account Vulnerability），并认为它是一种系统性的长期暴露。除非整个协议迁移到 PQC，否则仅靠普通用户更换使用习惯，很难从根本上消除。
论文还做了一次具体测算：使用一台快时钟 CRQC，攻击者可以在不到 9 天内推导出 Ethereum 中净资产最高的 1000 个暴露账户的私钥。
这些账户合计约持有2050 万 ETH。
这里真正值得关注的是，账户失守还可能产生其他后果。
比如 DAO 的治理账户被攻破之后，攻击者可以伪造投票。交易所热钱包即使瞬时余额不高，一旦私钥被恢复，也可能导致托管资产持续流出。
第二层：更危险的可能是那些“钱不多、权力很大”的管理员账户。
这也是 Ethereum 和 Bitcoin 非常不同的地方。Ethereum 原生支持智能合约，而大量智能合约实际上拥有管理员。
这些管理员可能拥有暂停协议、升级代码、提取资金、更换关键参数等权限。
论文专门用了一个很重要的概念：high-leverage，即高杠杆管理员账户。
这类账户本身可能几乎没有资产，但它背后的控制权却价值巨大。论文统计，在 ETH 余额排名前 500 的智能合约中，至少有70 个账户存在管理员脆弱性，合计直接持有约250 万 ETH。
按照论文假设，如果使用一台快时钟 CRQC，把这 70 个管理员账户的私钥全部推导出来，总时间甚至少于15 小时。
真正的问题还在后面。如果攻击者拿到的是一个 RWA 管理员密钥，他可能非法铸造代表现实资产的代币。如果拿到的是跨链桥管理员密钥，他可能抽干支撑跨链资产的流动性；
如果拿到的是预言机节点私钥，他可以向 DeFi 协议发送错误价格，触发连锁清算；如果拿到的是 Guardian 账户，则可能直接暂停协议、冻结资产，甚至修改代码。
论文因此指出，管理员风险真正难量化的地方，是它存在大量二阶影响。
管理员脆弱合约直接持有的资产已经很大，但更大的暴露来自这些管理员控制的稳定币、RWA、跨链桥、预言机以及其他 DeFi 基础设施。
论文估计，大约2000 亿美元的稳定币与代币化 RWA 依赖存在管理员脆弱性的合约。
所以从这一层开始，量子攻击就已经不再只是“盗币”，它有可能演变成稳定币脱锚、跨链桥流动性冻结、DeFi 连环清算，甚至现实资产与链上所有权凭证之间关系被破坏。
第三层：即使 Ethereum 主链升级了，旧智能合约也不会自动安全。
第二个更棘手的问题来自代码。Ethereum 上大量智能合约会调用各种密码学原语。问题是，论文指出，目前 Ethereum 的预编译合约中，还没有现代 PQC 原语。
这意味着大量现有智能合约依赖的 ECDSA、椭圆曲线配对，以及部分零知识证明体系，本身依然存在量子风险。
Layer 2 进一步放大了这个问题。Rollup、跨链桥等系统需要依赖智能合约和账户与 Ethereum L1 交互，它们天然会继承 Ethereum 账户和智能合约已有的量子脆弱性。
一些 L2 使用的 zkSNARK 也建立在存在量子脆弱性的密码学原语上。
论文保守估算，仅主要 L2 和跨链桥涉及的相关风险资产，就至少达到1500 万 ETH TVS。这里最麻烦的是，Ethereum 基础层未来即使完成了后量子升级，也不会自动把过去部署的智能合约一起修好。
因为 EVM 不会自动重新编译已经部署的合约。每一个协议、每一座跨链桥、每一个管理员多签，都需要自己的开发团队和治理机构主动完成迁移。
这让 Ethereum 的 PQC 迁移变成了一场高度分散的工程。面临的问题，不是 Ethereum Foundation 发布一次升级，整个系统就安全了。基础层可以迁移，旧合约却可能继续留下攻击面。
第四层：如果量子攻击进入 PoS 共识，影响的不再只是资产，而是区块链本身。
Ethereum 还有一个 Bitcoin 没有的问题，那就是它的 PoS 共识本身也使用存在量子脆弱性的密码技术。
Ethereum 验证者使用 BLS12-381 曲线上的 BLS 签名进行投票和签名聚合。这套机制之所以高效，是因为它可以把大量验证者签名压缩成很少的聚合签名。
但 BLS 同样建立在椭圆曲线离散对数问题上。因此，只要 CRQC 能够对相应曲线求解 ECDLP，验证者私钥也可能成为攻击对象。
而验证者密钥失守的后果，会随着攻击者掌握的质押比例不断升级。
论文给出了几个关键阈值：
如果被攻陷验证者比例超过1/3，攻击者可以阻止 Ethereum 达到最终性；
超过1/2，攻击者可以控制分叉选择，甚至进行深度链重组；
超过2/3，攻击者可以让相互冲突的链分别获得最终确认。
到了这一步，问题就可能演变成整个 Ethereum 账本还能不能继续被相信。
当然，论文也没有夸大量子共识攻击的现实难度。Ethereum 大约拥有100 万个验证者。验证者数量极大，而且按照质押权重随机参与共识，这本身构成了一层重要安全边际。
论文做了一个估算：即使假设一名攻击者拥有20 台快时钟 CRQC，而且每台机器攻击 BLS12-381 的速度与破解 secp256k1 相当，要推导出控制 2/3 超级多数验证者所需的私钥，也需要超过 9 个月。
所以，与攻击普通账户相比，大规模控制 Ethereum 共识要困难得多。
但论文同时提醒，这一安全边际建立在验证者足够分散的前提上。如果越来越多 ETH 集中到少数大型质押服务商，攻击者未必需要一个一个破解数十万验证者，而可能选择攻击少数关键服务商的管理员和密钥管理体系。
第五层：最特殊的风险，是“一次量子攻击，制造一个长期可复用的后门”。
论文对 Ethereum 的分析里，最特别的一种风险来自数据可用性机制。现代 Ethereum Layer 2 大量依赖 blob 和数据可用性采样，也就是 DAS。DAS 使用的是 BLS12-381 椭圆曲线上的 KZG 多项式承诺。
KZG 在建立系统时，需要进行一次“可信设置”。可信设置会生成一个秘密随机数，并把相关信息编码到一组公开的椭圆曲线点里。
正常情况下，那个秘密值必须被彻底销毁，因此被称为“有毒废料”。
如果它还存在，就相当于整个密码系统留了一个后门。论文指出，从数学上看，这个“有毒废料”可以表示成两个公开椭圆曲线点之间的离散对数。也就是说，CRQC 有可能重新把这个原本应该被销毁的秘密算出来。
这和破解钱包有一个非常重要的区别。攻击者不需要攻击每一个 blob，也不需要每发动一次攻击都重新使用量子计算机。
他只需要成功使用 CRQC一次。一旦把这个秘密恢复出来，就相当于获得一个永久后门。以后甚至只需要普通经典计算机，就可以低成本伪造数据可用性证明。
论文把这类攻击称为设置阶段攻击（On-Setup Attack）。这类攻击最危险的地方在于，一次量子攻击，可以变成一件反复使用、甚至可以传播和交易的经典攻击工具。
攻击者能够让验证者误以为某些数据真实存在，但实际上这些数据根本无法恢复，从而让 Layer 2 停摆，甚至以此展开勒索。
论文估计，截至 2026 年 2 月，仅这一数据可用性脆弱性直接涉及的 TVS 就约为1500 万 ETH。
这也就能说明，Ethereum 的整体量子攻击面比 Bitcoin 更广。
Bitcoin 面临的核心问题，可以相对集中地理解为公钥暴露，然后私钥被恢复，最后资产被盗。
而 Ethereum 的风险是一层层往外扩散的，先是普通账户可能被盗，紧接着管理员密钥失守可能控制一个协议，然后智能合约中的旧密码原语可能留下长期漏洞，验证者私钥失守可能影响 PoS 共识。KZG 等公共参数被破解后，甚至可能产生可以长期重复利用的系统级后门。
所以，当整个区块链经济建立在一层又一层密码学信任之上时，量子计算可能沿着这些密码学依赖，一层层向账户、协议、资产和基础设施扩散。
不过论文最后也指出，Ethereum 并非只有劣势。它的攻击面虽然比 Bitcoin 广，但 Ethereum Foundation 拥有相对更强的研究和社区协调能力。过去 Ethereum 社区也曾在极端安全事件中推动大规模协议协调。
因此论文认为，从组织能力来看，Ethereum 反而可能比权力结构更加分散的 Bitcoin 更容易推动 PQC 迁移和必要的缓解措施。
05
问题都来自 ECDLP，那为什么大家不直接换成 PQC？
如果前面的量子风险，最终都可以追溯到同一个根源，那就是大量区块链依赖 ECDLP。那么一个很自然的问题就是，为什么不直接把这些密码算法换成后量子密码学（PQC）？
论文对此的回答其实很明确。
从长期看，PQC 确实是根本解法。作者直接指出，要持续、彻底地解决这些量子脆弱性，“唯一持久的方案”就是把底层密码协议升级为后量子替代方案。
难点在于，知道该往哪里走，和真正完成迁移，是两件完全不同的事。
第一层问题，是PQC 本身还没有传统椭圆曲线密码那么成熟。
现有 PQC 大致包括基于格、哈希、编码、多变量多项式、同源映射等不同路线。但这些方案普遍比 ECDLP 密码体系年轻，经历的密码分析、真实攻击和工程部署都更少。论文特别提醒，某些曾被看好的后量子方案后来也出现过问题，例如 SIDH 就已经被经典攻击攻破。
所以，对区块链来说，迁移 PQC 并不是“把旧算法换成一个已经完全验证的新算法”这么简单。新的密码体系本身还需要持续接受攻击和检验。
第二层问题，是性能代价明显更高。
区块链长期使用 ECDLP，一个很现实的原因就是它足够高效。公钥小、签名小、验证快，对存储、带宽和计算的压力都比较低。
而论文指出，目前没有一种 PQC 签名能够全面达到这些性能特征。后量子密码的存储和计算成本通常比传统 ECDLP 高一个甚至多个数量级。
论文举了一个很直观的例子：Algorand 使用的 Falcon 后量子签名大约是1280 字节，而 Bitcoin 当前使用的 ECDSA 签名通常只有64—73 字节。
这意味着，一旦 Bitcoin 换成更大的后量子签名，如果区块大小不变，每个区块能够容纳的交易就会减少，吞吐率下降。
但如果为了容纳更大的签名去扩大区块，又会提高运行全节点所需的计算和存储资源，增加网络中心化风险。论文特别提到，2017 年围绕区块大小的争议最终导致 Bitcoin Cash 硬分叉，说明这类看似技术性的资源选择，很容易变成治理问题。
第三层问题，是区块链对密码协议有一些特殊要求，不能随便找一个 PQC 算法替换。
比如 Ethereum 的 PoS 共识需要高效的签名聚合；一些扩容系统还依赖递归证明聚合。也就是说，新的 PQC 方案不仅要“抗量子”，还必须同时满足足够快、足够小、能聚合、能适配现有共识和扩容机制。
这使得迁移难度远高于普通软件系统。Ethereum Foundation 目前就在研究能够满足这些要求的后量子签名方案。
第四层问题，是协议升级之后，资产并不会自动变安全。这是最容易被忽略的一点。
即使 Bitcoin、Ethereum 已经支持 PQC，用户仍然必须主动把资产从旧的量子脆弱地址转到新的后量子地址。
对于 Bitcoin，这个迁移规模非常大。论文估算，按照当前交易吞吐率，即使整个 Bitcoin 网络停止处理其他交易，全部区块都只用来搬迁资产，完成迁移仍然可能需要数个月。
所以，PQC 迁移不能等到量子计算机已经逼近时才启动。
论文给出的判断是，理想情况下，迁移应该在真正的量子威胁出现前提前数年开始。否则，大量用户会在最后阶段同时搬迁资产，直接造成网络拥堵。
第五层问题，是这不只是一场技术升级，还是一场大规模社会协调。
数以百万计的用户需要知道为什么要迁移，钱包和交易所也需要更新产品；与此同时，PQC 地址和签名需要被默认支持，而开发者、矿工、验证者、节点运营者和资产持有人还需要形成足够广泛的共识。
论文因此判断，区块链切换到后量子签名所涉及的技术和社会复杂性，意味着整个过程很可能需要多年。
这也是为什么作者明确反对“等到 CRQC 什么时候出现完全明确以后再开始行动”。
因为等到那一天，可能已经太晚。更何况，最先进量子计算机的真实能力本身未必会被公开。
但论文也没有认为 PQC 迁移不可实现。相反，已经有一些现实案例，比如QRL、Abelian、Mochimo 从设计之初就采用 PQC；Algorand、Solana、XRP Ledger 也已经开始部署或测试后量子签名能力。
真正棘手的是，即使所有活跃用户都完成迁移，问题仍然没有完全结束。
因为还有一部分资产根本没有人能够主动迁移。
论文特别提到 Bitcoin 的 P2PK 资产。大约170 万枚 BTC长期锁定在这类地址里，其中相当大一部分多年没有移动，因此外界普遍推测部分私钥可能已经遗失。
如果私钥真的已经丢失，那么原持有人无法把这些 BTC 转移到 PQC 地址，但未来量子计算机却可能根据公开公钥重新推导出私钥。
于是就产生了一个很难通过纯技术升级解决的矛盾：怎样既让真正的原所有者保留资产，又防止量子攻击者通过重新计算私钥把资产拿走？
论文明确指出，目前不存在一个显而易见的 Bitcoin 升级方案，能够同时满足这两个目标。
所以，PQC 解决的是密码学方向，迁移本身却是一场漫长的系统工程。
它涉及新算法是否足够可靠、网络是否承担得起更大的签名、协议是否兼容、用户能否及时迁移、社区能否形成共识，以及那些永远无法主动迁移的休眠资产最后该怎么办。
也正因为如此，论文真正强调的是，越晚开始迁移，最后真正能够留给区块链社区的选择就越少。
06
如果上百万枚休眠 BTC 无法迁移，最后该怎么办？
这是整篇论文最后真正进入治理和财产权问题的地方。
PQC 可以保护那些还在正常使用、能够主动迁移的资产，但如果一枚 BTC 的私钥早就丢了，谁来替它完成迁移？
论文指出，不可避免会有一部分量子脆弱资产无法及时迁移，甚至永远无法迁移。原因可能是所有者没有意识到风险，也可能是私钥已经遗失。
这些资产今天看起来像是“睡死”在链上。但一旦 CRQC 出现，情况就变了。
Bitcoin 当前的所有权逻辑，本质上建立在一个前提上：知道私钥的人，就是能够控制这笔资产的人，其他人无法从公钥反推出私钥。
而量子计算恰恰可能打破这个前提。未来拥有 CRQC 的主体，可以从公开公钥重新推导出私钥。到那时，Bitcoin 协议本身根本无法判断：
签下这笔交易的人，到底是几十年前真正的原始所有者，还是刚刚用量子计算机算出私钥的人。
所以休眠资产问题的本质，变成一个更为棘手的问题。密码学失效以后，数字财产权应该如何重新定义。
而论文的判断相当直接。如果 Bitcoin 协议什么都不改，那么这些量子脆弱资产最终很可能会被拥有量子能力的主体破解并转走。单纯依靠法律规定“量子盗币属于犯罪”，并不能真正阻止这件事发生。
因此论文提出，社区实际上只有几类选择。
第一种：什么都不做最简单的办法就是维持 Bitcoin 现有规则。
谁最终能够算出私钥，谁就可以按照协议规则花掉这些币。论文把这称为Do Nothing。它最大的优点，是完全不改变 Bitcoin 的财产权规则，也不会建立“社区可以没收私人资产”的先例。
但后果同样明显。一旦 CRQC 出现，大量休眠 BTC 最终可能被量子计算拥有者取得。这还可能带来市场冲击。
如果长期没有流通的 BTC 突然重新进入市场，供应增加可能造成价格压力。
不过论文也指出，这并不意味着数百万枚 BTC 会在一天内全部涌入市场。按照论文的资源估算，仅逐一恢复全部 P2PK 资产，快时钟量子计算机也可能需要数月，慢时钟机器则可能需要数年。
第二种：直接销毁
另一个极端办法是Burn。
Bitcoin 社区可以修改协议，设定一个截止日期。在某个时间之前，如果你还没有把旧资产迁移到量子安全地址，那么截止日期之后，这些旧 UTXO 将永久不能再被花费。
这样做可以从根源上解决量子攻击者“捡走”休眠 BTC 的问题，但代价也非常大。
因为协议无法判断一个 20 年没动的钱包：到底是真的遗失了私钥，还是某个长期持有者故意从未移动。
所以 Burn 会存在一个矛盾点：为了防止未来量子攻击者夺走资产，今天先由协议宣布这些资产失效。这就是它最大的争议。
它可能保护 Bitcoin 的货币供应，却会直接侵犯一部分真实持有人的财产权，并建立“协议可以冻结私人资产”的先例。
第三种：不销毁，但限制它们出来的速度。
论文讨论的第三种方案叫Hourglass，沙漏方案。
思路很简单。不禁止休眠 BTC 被花费，但限制它们重新进入流通的速度。
例如，可以规定每个区块最多只能包含一笔休眠资产花费交易。
这样，即使量子计算机能够恢复大量私钥，也不可能一次性把几百万枚 BTC 全部倒进市场。
它试图在两个目标之间寻找平衡，一边是不直接没收资产，另一边是避免大量休眠币突然释放造成严重供应冲击。
但它仍然解决不了最根本的问题。量子计算机算出来的私钥，凭什么获得这些 BTC？
Hourglass 只是控制释放速度，并没有回答所有权问题。
第四种：把这些资产送进一条专门的“恢复侧链”
这是论文自己提出的一个更复杂的方案：Bad Sidechain——“不良资产侧链”。
它的出发点是，Bitcoin 主链无法区分原所有者和量子攻击者，但链下世界有时可以提供额外的所有权证据。
比如，真正的原持有人可能还保存着助记词，或者过去曾经登记过某种密码学所有权证明。
而量子攻击者虽然能够从公钥算出私钥，却不能仅凭这个公钥恢复原来的助记词。所以论文设想，量子计算机恢复出的休眠 BTC，不直接进入市场，而是先被送进一条专门的恢复侧链。
在那里进行所有权争议处理。
如果有人能够证明自己是原始所有者，就把资产返还给他；如果长期没有人认领，再按照预先制定的规则处理。这其实很像传统金融中的“坏账银行”。
先把问题资产从正常系统里隔离出来，然后慢慢确认债权、所有权和最终归属。
相比 Do Nothing、Burn 和 Hourglass，论文认为这种方案理论上更有机会：尽可能把资产返还给真正所有者，同时让价值留在加密货币生态内部。
但代价是技术、法律和政治复杂性都会大幅上升。
那，如果社区始终达不成共识呢？这也是论文为什么后半部分开始讨论政府。
作者认为，仅靠 Bitcoin 社区可能无法完全解决休眠资产问题。因为社区内部利益高度不一致，有人最看重财产权，因此反对 Burn；而大额 BTC 持有者担心休眠币重新释放造成价格冲击；矿工则可能更喜欢 Do Nothing 或 Hourglass，因为大量休眠币交易意味着更多手续费。
所以即使技术上 Burn 和 Hourglass 可以通过协议升级实现，最大的障碍仍然是Bitcoin 社区是否能够形成共识。
论文甚至提到，在 2025 年 Presidio Bitcoin Quantum Summit 的一次非正式投票里，Do Nothing、Burn 和 Hourglass 三种方案的支持度大致相当。
这说明，到目前为止，并不存在一个已经被行业普遍接受的答案。
论文最后提出了一个更激进的问题，能不能把它当成“数字打捞”？
如果 Bitcoin 协议最终没有解决这些资产，论文认为政府可能不得不面对一个现实：量子计算机会把大量过去事实上无法移动的数字资产重新变成“可移动资产”。
于是作者提出了digital salvage——数字打捞的概念。它类似现实世界中的沉船打捞、无人认领财产或遗弃财产制度。
政府可以设计一套受监管的制度，让量子计算机去恢复这些资产，再由法律系统确认：哪些资产应该返还原所有者；哪些可以被认定为遗弃财产；恢复者可以获得多少报酬；剩余资产最终如何处置。
这个制度改变了规则。过去 Bitcoin 的规则是，私钥等同于控制权。进入量子时代以后，可能必须变成私钥只能证明“你能花这笔钱”，却未必还能证明“你就是法律意义上的真正所有者”。
因为原所有者和量子攻击者，都可能拥有完全相同的有效私钥。这正是休眠 BTC 问题真正棘手的地方。
所以，论文并没有给出一个确定答案，告诉大家“这 230 万枚 BTC 最后应该归谁。”
但它给出的其实是四条可能路径：
什么都不做，让量子能力决定归属；
提前销毁，彻底阻断量子恢复；
限制释放速度，降低市场冲击；
建立恢复机制，通过链下证据重新判断真正所有权。
如果这些方案都无法在 CRQC 出现前形成共识，那么论文判断休眠资产问题很可能会在第一台真正具备攻击能力的量子计算机出现时，仍然没有完全解决。
到那时，真正困难的问题可能已经不再是“量子计算机能不能破解 Bitcoin”。
而是当数学上的私钥第一次不再等于法律和社会意义上的所有权，Bitcoin 应该相信代码，还是重新定义财产权？
本文来自微信公众号“经纬创投”，36氪经授权发布。
亿策略提示：文章来自网络，不代表本站观点。
