8 b( Z7 }/ f$ b* h6 V7 t1 _2 k从数百万量级到数万量级，攻击门槛的快速下探，正在重塑市场对加密安全边界的判断。! j P& W2 n% C3 ]- z/ Z4 B1 V
2 W/ V4 S% K: T/ l: r; Z, v7 T
但另一条同样清晰的线索是，应对也在同步推进。从比特币社区的后量子方案探索，到科技机构给出的迁移时间表，一场围绕「量子时代」的安全重构已经启动。 2 C+ d" e/ v$ t1 O& E) W+ Y2 v9 a% F" w. K5 N
以下为原文： g2 L, G5 h- R6 \- f# K
8 W. [) o. {8 [- E
本周一，两项关于量子密码学的研究大幅压低了破解私钥所需的硬件门槛，这些私钥对应的资产规模巨大，其中包括中本聪持有的逾一百万枚比特币（BTC）。有观点认为，比特币迁移至后量子密码体系的时间窗口，已经被提前了整整两个数量级。+ L/ \# Q4 _* ?. Y8 _$ H$ I7 b
/ W( I9 w8 e; L; c' ~
换句话说，这两支研究团队带来的，是「乘法级」而非「加法级」的进展。尽管它们分别从量子计算体系的不同层面入手，但其改进效果是叠加放大的。 2 @7 c5 w4 T8 l% M$ B# N 1 [2 e* G2 g8 X" i. q' i% X简而言之，用于破解暴露的比特币公钥所对应私钥的椭圆曲线签名，其所需的物理量子比特数量，已经从大约 900 万个骤降至最低约 1 万个。- A' F1 J* G; s& y; o+ a# K: a
3 M$ ~' W7 G5 U" S* D' Z+ ]
Google Quantum AI 发布的一篇白皮书（与斯坦福研究员 Dan Boneh 以及以太坊基金会的 Justin Drake 合作撰写）指出，利用 Shor 算法，只需不到 1200 个逻辑量子比特和 9000 万个 Toffoli 门，就可能解决比特币协议中的 256 位椭圆曲线离散对数问题（ECDLP）。在超导量子计算机上，这相当于不到 50 万个物理量子比特，并且可以在数分钟内完成。谷歌称，这一结果相比此前估算实现了约 20 倍的下降。" N1 J8 c* |9 ~4 E, a1 s# Q
& \" n+ g# m' R9 \1 d% h- U
数小时后，由加州理工学院和哈佛大学学者创立的 Oratomic 也公布了自己的突破。该团队在「中性原子」量子硬件上采用了新的纠错策略，使得 Shor 算法能够在仅约 1 万个物理量子比特的规模下达到破解私钥的速度。如果使用一个更快的变体，在约 2.6 万个量子比特的条件下，仅凭公钥即可在大约 10 天内破解一个比特币私钥。5 N: W- J# r! l- v5 m
. s( e: b- m* d! t N) X「乘法式突破」的含义7 H$ B# Y2 e/ U
尽管两篇论文描述的仍是未来才可能实现的私钥破解能力，但超导量子计算的进展，实际上放大了中性原子路线的效果，两者形成「相乘」关系。因此，对相关硬件何时真正落地的时间预期，被整体提前了数年。( n2 u" N& D' B
- j7 {% e. ], u, p) X+ t* a过去，许多比特币安全专家认为，对中本聪所持 BTC 发起攻击的风险，大致会出现在 2030 年代甚至 2040 年代。但这些新技术，可能将这一威胁提前到未来五年之内。 7 M! ^7 ^3 w' W2 k/ Y3 P) @8 c( i: I- b) p& @: n, L p0 m
一般来说，一次量子攻击所需的物理量子比特总数，等于算法所需的逻辑量子比特数量，乘以每个逻辑量子比特所需的物理量子比特数量（用于纠错）。纠错是量子计算中的关键环节，因为在如此微观的物理状态下，计算结果本身具有高度不确定性。 + _6 J9 w$ P5 e$ @% F$ g9 U# J c% y+ z; |8 |- J5 c
具体来看，谷歌的研究主要压缩了第一个变量——逻辑量子比特数量。通过电路优化，比特币所使用的 ECDLP-256 问题，其所需逻辑量子比特已从 2017 年约 2330 个，降至 1200 个以下。 4 W& o4 ]3 ^$ |0 K1 T / o- L7 j. ?- w& B$ z: C而 Oratomic 则压缩了第二个变量——纠错开销。传统的表面码（surface code）通常需要约 400 个物理量子比特来支撑 1 个逻辑量子比特；而 Oratomic 提出的 lifted-product codes，将编码效率提升至接近 30%，使这一比例降至约 10:1，在相同纠错性能下效率提升约 160 倍。5 z/ u- F- [0 m4 h- |
* U' V( E, O3 s; P, e
此前的最优估计来自 2023 年 Daniel Litinski 的论文，认为大约需要 900 万个物理量子比特。 " ^+ N/ L2 P- |. t& s5 W4 U/ A; `- L. ^2 G( ~& I
有加密研究机构总结，自 2012 年以来，破解 ECC-256 所需的量子运算规模，已累计下降约五个数量级： ; ]: a7 Z3 W' f0 u3 ?7 I* e& F6 ?6 o 9 c% A) @0 ^0 |$ p* f0 m8 u6 ?# R2012 年：10 亿个物理量子比特 4 m( \* l$ S6 H! A. B3 q, o0 D 4 y! T5 `9 l: s9 z2019 年：2000 万个% b" ~3 ?* P$ K" m* C
9 O" @- Q. L- q* J9 ^
2025 年：低于 100 万个 & g ]( E4 C: D. N: s: M% V/ D/ M( M$ k( w( C
2026 年：低于 2.5 万个3 T+ [2 }) h0 [; k