近二十年来，比特币的安全一直建立在一个简单的数学假设上：从公开可见的公钥反推出私钥，在实践中几乎不可能。这一基于椭圆曲线密码学（ECC）的基础，如今支撑着全球数万亿美元的财富。

但这一根基正在动摇。密码学相关量子计算机（Cryptographically Relevant Quantum Computers，CRQCs）即将到来。这类机器能够大规模运行肖尔算法（Shor’s algorithm），可能使比特币的核心安全假设失效。

“Q-Day”何时到来，仍是这一领域争议最激烈的话题之一。预测相差悬殊，从短短四年到二十多年不等。这些估计中的偏向往往十分明显：量子硬件公司显然更加乐观，因为宣传技术将快速进步符合其利益；而淡化潜在威胁则符合比特币社区的利益。

但不可否认的是，预计时间正在迅速缩短。变化之快，以至于你现在读到的已是本文的更新版本：就在起草期间，量子架构公司 Iceberg Quantum 发表了一篇论文，声称其新型 Pinnacle Architecture 只需约 100,000 个物理量子比特，就能破解 RSA-2048。这比 2025 年估计的 900,000 个大幅下降，与仅七年前预测的 1.7 亿个更是相去甚远。

用不涉及技术细节的话来说，这意味着：如果量子硬件公司的说法值得相信，而这个如果需要打上一个大大的问号，那么比特币为 Q-Day 做准备的时间就不是数十年，而是几年。

因此，我们决定探讨这一转变可能如何发生。

为简洁起见，本文不深入解释量子计算机（quantum computers）如何运作、如何破解 ECC，而是简要介绍潜在攻击途径和攻击面，随后讨论迁移过程。

但首先需要说明，我们单独讨论比特币，并不是因为它格外脆弱，因为多数主要区块链都面临同样的风险，而是因为它最大的优势，也就是众所周知的惯性或抗拒改变，可能恰好成为应对量子威胁时最大的弱点。最近两次软分叉升级很好地说明了这一点：隔离见证（SegWit）于 2015 年 3 月首次正式提出，直到 2017 年 8 月才被采用。Taproot 的概念在 2018 年初确立，直到 2021 年末才激活。

从明确提出方案到激活，大约间隔两年半；而这两项升级的复杂程度和攸关存亡的程度，都远低于任何后量子软分叉。尤其是隔离见证，推进过程远非顺利，它成为比特币历史上争议最激烈的篇章之一，最终导致了链分裂。相比之下，Taproot 的争议较少（除了后来围绕铭文的争论），较快形成了广泛的社会共识。但无论如何，两项升级最终都成功完成。

相比之下，量子问题似乎没有让协议中的关键决策者产生同等程度的紧迫感，也未形成类似的一致意见。许多主要区块链公开承认量子威胁，并积极探索缓解路径，而比特币的非正式权力中心显得明显没有那么担忧，即使有报道称，一些大额持有者据说正因中长期量子不确定性而重新评估或减少持仓。

加密分析师、知名比特币支持者 Nic Carter，也是最积极发出量子风险警告的人之一，或许最清楚地捕捉到了这一局面。在最近的一篇博客文章中，他列出比特币最具影响力的开发者，整理他们对此问题的公开表态，以此勾勒出比特币的非正式权力结构。用他自己的话说，结论十分鲜明：“多数最具影响力的比特币领袖，甚至从未承认量子风险。” 至于那些承认风险的人，他指出，“除 Jonas Nick 外，[他们]认为这一风险是理论性的、遥远的，或无法采取行动应对的。”

这些量子风险警告是否有充分依据，尚待观察；但威胁可能造成的严重后果，与应对行动的紧迫程度之间的不对称，很难被忽视。

量子计算机与区块链在技术上都很复杂，因此人们对现实中的量子攻击究竟会是什么样，存在许多误解。

最顽固的误解之一，是认为 CRQC 能够破解 SHA-256，也就是支撑比特币基于 PoW 的共识机制的哈希函数。这种说法混淆了两种不同的密码学原语（cryptographic primitives）：哈希函数与公钥签名方案。两者依赖完全不同的安全假设。

SHA-256 等哈希函数的安全性来自抗原像性与抗碰撞性（collision resistance），这两种性质并不直接易受 CRQC 攻击。即使足够先进的量子计算机运行格罗弗算法（Grover’s algorithm），最多也只是让暴力穷举（brute-force search）获得平方级加速，降低安全裕量（security margin），而不是彻底破解哈希函数。

简单来说，这意味着共识层是安全的。

更可信的量子威胁，在于基于 ECC 的公钥签名方案可能被攻破。原则上，CRQC 可以从已暴露的公钥恢复私钥，进而夺取易受攻击地址中资金的控制权。

因此，不同比特币地址面临的风险并不相同；关键区别在于底层公钥是否已经在链上公开。

支付到公钥（Pay-to-Public-Key）（P2PK）以及裸多重签名（P2MS）等旧式输出，将原始公钥直接嵌入链上，密码学攻击目标永久可见，因此在结构上暴露最充分。相比之下，包括支付到公钥哈希（Pay-to-Public-Key-Hash）（P2PKH）和隔离见证在内的现代常用地址类型，只在链上存储公钥的哈希值，在币被花费之前隐藏公钥本身。

不过，这种保护是有条件的。从这些地址类型中花费 BTC 时，公钥会在链上公开，从此无限期成为可攻击的目标。这意味着，尽管地址复用并不被提倡，却仍在比特币用户中普遍存在，并显著扩大了攻击面（attack surface）。

谈到攻击面，根据 Project Eleven 的估计，目前约有 690 万 BTC 位于公钥已暴露的地址中，略高于当前全部 BTC 的三分之一。

因地址复用和地址类型而易受量子攻击的 BTC 占比。来源：Project Eleven

更糟的是，这些数字还没有考虑所谓的短程攻击（short-range attacks），这种攻击会影响所有地址。即使公钥此前从未公开，不论币存放在 P2PKH 还是隔离见证输出中，一旦交易广播到内存池（mempool），公钥就会变得可见。

这会产生一个狭窄的确认前窗口，通常约为 10 分钟。在此期间，足够强大的量子攻击者可以推导出私钥，并以更高的手续费重新广播同一笔交易，在转账途中窃取资金。至少在中期，这种情形仍然极不可能，因为它所需的量子计算机远比长程攻击（long-range attacks）所需的强大。

综上，即使完全排除短程攻击的可能性，仍有大约三分之一流通中的 BTC 易受长程量子攻击。其中四分之三源于地址复用，约四分之一，即 170 万 BTC，源于地址类型（P2PK）。人们普遍相信，仍留在这些旧式地址中的币，属于那些因各种原因失去访问权限的人。例如，其中约 110 万枚是中本聪（Satoshi）的币，自 2010 年以来就未移动。

总体而言，比特币走向量子抗性（quantum resistance）的路径，可以归结为两个不同但相辅相成的目标。

首先，协议必须尽量减少公钥在链上的暴露，缩小量子对手可立即利用的攻击面。

其次，它最终必须用后量子方案取代现有签名方案，确保面对 CRQC 时的长期安全。

好消息是，在第一个方向，即减少暴露方面，已经出现了一些进展。其中最受关注的提案之一是 BIP-360。

按照当前方案，BIP-360 引入一种名为支付到 Merkle 根（Pay-to-Merkle-Root，P2MR）的新输出类型。它在概念上类似于 Taproot，但移除了 P2TR 输出中的密钥路径部分。密钥路径机制会将一个经调整的公钥承诺到链上，使其无限期暴露于量子攻击之下。P2MR 则只承诺花费条件的 Merkle 根，确保公钥直到花费时才会在链上公开。

在实践中，BIP-360 是一项刻意采取保守路线的升级。它针对的是 Taproot 面临长程量子攻击的问题，除此之外涉及很少。它显著缩小了长程攻击面，争取了时间，但单靠它并不能让比特币具有量子抗性。正如提案者所说：

“BIP 360 是第一步。它提出一种具有量子抗性的输出类型，具备 P2TR 的可升级性和功能，又没有其量子漏洞。若想实现全面的量子安全，还需要第二步：采用后量子签名算法。”

“第二步”本质上是一个工程问题：选择合适的算法，将其集成到比特币的脚本和验证模型中，同时避免破坏向后兼容性或引入意外后果。

坏消息是，这一点仍未确定。ECDSA 或 Schnorr 没有明确的接班者，只有一系列不同的取舍。

主要候选包括 SPHINCS+，这是一种无状态的基于哈希的方案，安全假设极为保守，但签名更大、速度也更慢。XMSS 和 LMS 是有状态的基于哈希的方案，理论基础扎实，但状态管理带来了操作复杂性。

此外还有 ML-DSA（Dilithium）和 Falcon，两者都是基于格、已由 NIST 标准化的签名方案。它们验证速度较快，密钥大小适中，但仍以千字节计，比 Schnorr 大一个数量级。

LaBRADOR 及多种便于聚合的格构造等其他方案，旨在优化签名压缩或证明聚合，但出现较晚，经历的实践检验较少。

没有哪种方案能兼得一切。格方案效率高，但依赖相对缺少检验的困难性假设；基于哈希的方案较保守，却有较高计算成本；便于聚合的设计有望提高可扩展性，但也增加了复杂性。

即使在最理想的情况下，签名大小仍是问题：最轻量的后量子签名，也至少是当前签名的五倍。这里有一个很好的可视化展示，比较了不同后量子签名方案的大小及签名、验证速度。

这意味着，若不相应调整比特币区块大小，或引入某种签名压缩、聚合机制，比特币可能出现网络拥堵或扩展问题。而区块大小历来极具争议，签名压缩或聚合机制则会显著增加协议与实现的复杂性。

除了选择签名原语，还有一个同样重要的问题：如何实施。

目前有几种构想。一类提案围绕分阶段、自愿迁移展开，其中较知名的例子是承诺—延迟—揭示（Commit-Delay Reveal，CDR）协议。它让用户能够通过三个步骤将易受量子攻击威胁的现有比特币迁移至抗量子签名方案的保护之下：（1）在链上发布承诺，将现有 ECC 公钥与新的后量子密钥关联；（2）等待强制延迟期，防止基于链重组的替换攻击；（3）揭示两把密钥，并使用后量子签名完成花费，证明原始承诺。

CDR 方案假设后量子签名已通过软分叉激活，再通过第二次软分叉引入支持迁移的新共识规则。其局限在于，只适用于所有者仍活跃且密钥尚未暴露的币，旧式币仍可能遭人窃取。

另一端则是抗量子地址迁移协议（Quantum-Resistant Address Migration Protocol，QRAMP）。QRAMP 不采用自愿迁移，而是提出设有固定截止日期的强制迁移窗口；过期后，由经典 ECC 保护的 UTXO 将无法花费。用户会提前收到通知，并获得明确期限，将资金转移到后量子输出；未迁移的币实际上将被销毁。

与 CDR 不同，QRAMP 需要硬分叉，因为它会使此前有效的花费条件失效。再加上它公然侵犯比特币持有者的财产权，并树立危险先例，因此引发了极大争议。

第三类提案走中间路线，对对手可能采取的行动持更务实的态度。其中一种构想是所谓的沙漏策略（Hourglass strategy）。它不试图彻底阻止量子攻击者窃取已暴露的币，而是限制这些花费的速率，例如每个区块只允许花费固定数量的量子脆弱 UTXO（以及 BTC）。目标是在协议层保留形式上的财产权，同时把大规模量子攻破事件的影响分摊到更长时间内，缓和突发事件可能造成的市场冲击。

在实践中，这种方式也需要两次软分叉：第一次激活后量子签名，第二次引入新共识规则，规定每个区块可将多少笔易受攻击输出的花费视为有效。

最后，无论采用哪项提案，其激活路径最终都取决于社会层面的协调一致。在合作顺利的环境中，可以使用 BIP8、BIP9 或 Speedy Trial 等现有机制部署变更。如果争议较大，如同隔离见证时代，激活可能需要用户激活软分叉（User Activated Soft Fork，UASF）。

但就目前而言，后量子签名标准和首选迁移框架都没有形成实质共识，激活路径与密码学选择本身一样悬而未决。

推测比特币走向量子抗性的轨迹极其困难，甚至可能徒劳。因为比特币的量子迁移不是一条线性故事线，而是一场分支叙事游戏：每个决定都关上一些未来的门，同时打开另一些，结局不取决于单次行动，而取决于许多行动的累积。

因此，尝试预测，就像以最高难度玩这场游戏。每个选择都会引入新的不确定性：后量子签名方案的选择影响未来迁移策略，迁移策略又影响其他技术、经济和政治决定，每项决定都把比特币引向不同的路径与结局。

尽管如此，我们认为，梳理这些分支有助于发现约束。勾勒可能的前进路径，可以帮助我们更好地理解瓶颈在哪里，以及这场游戏可能如何展开。

以下就是一条可能的轨迹。

对量子威胁的广泛担忧，最终迫使比特币核心开发者改变态度，加大研究和协调力度，寻找解决方案。

最直接、在政治上也最可行的一步，可能是在几年内就某项 BIP 达成共识，通过软分叉引入后量子签名方案。升级会增加支持抗量子签名的新输出类型，让用户自愿迁移资金，而不使现有输出失效。

这一举措不会赋予比特币全面的量子免疫力，而是作为短期应急措施，提供一个可自愿选择的安全出口。它有可能在几年内实现，为比特币提供最低限度可行的防御：让主动行动的用户尽早保护资金，并为构建更全面的长期方案争取时间。

软分叉激活后，用户开始花费现有 UTXO，将其转到后量子输出。按常理，潜在损失最大的人会先行动，例如交易所、机构托管方和巨鲸。最初一切顺利，但很快，区块空间就成为明显约束。

比特币的 UTXO 集目前包含约 1.9 亿个 UTXO。理想情况下，它们最终都会迁移到抗量子输出。实际中，只有一部分仍可被访问，而其中更小的一部分，即公钥已暴露的输出，需要紧急迁移。

如今，研究表明，在理论最优条件下，也就是 100% 区块空间专用于迁移交易，迁移整个 UTXO 集大约需要 142 天。这个假设显然脱离现实。

比特币不是实验室环境，而是一个实际运行的去中心化货币网络。在更现实的情景中，如果只有 25% 的区块空间可用于迁移，时间就会延长到约 305–568 天。

这还是乐观地假设协调能够持续、手续费市场稳定、交易构建高效，并且忽略了后量子签名变大的影响。随着用户开始使用后量子密码学（post-quantum cryptography），交易权重会显著增加，进一步加剧区块空间问题。

到这一阶段，网络可能面临第二个协调难题。要成功完成任务，就必须增加区块容量，或者引入签名压缩、聚合机制来抵消额外开销。前者会重新点燃区块大小之争时代有关扩容和去中心化的旧争论，让许多老参与者感到创伤再现；后者则可能为协议引入显著复杂性。

最终，总要作出某种让步。其中一个减压阀被打开：要么区块大小增加，要么签名聚合技术成熟，要么手续费市场在更高但尚可承受的水平达到平衡。拥堵趋稳，迁移恢复到令人满意的速度。

然而，即使所有可访问的 UTXO 都在激活后的两年内成功迁移，仍会有一类输出悬而未决：那些无法或不愿移动的旧式币。

此时，比特币将迎来决定命运的时刻。时间来到 2030 年，最终的首领战开始了。

如果不引入进一步规则，公钥已暴露的旧式输出将无限期保持量子脆弱。一旦出现足够强大的量子对手，这些币（数百万 BTC）就可能被窃取并抛售，导致市场崩盘。

到这时，仅仅是这种事件可能发生，就开始吓退潜在的专业投资者。每一次广为传播的量子计算突破公告，都会让本已不佳的价格走势雪上加霜。采取激进措施的压力持续上升。即使距离 Q-Day 仍有十年，风险也大到不能置之不理。

此后的某个时点，在接下来的几年内，社区就引入新约束达成共识：要么采用沙漏式方案限制易受攻击输出的花费速率，要么完全禁止这些花费。这最终让比特币跨过全面量子抗性的终点线，代价则是违背长期坚持的不可篡改性和无条件财产权准则。到那时，这项举措很可能被普遍视为必要的一次性妥协，不会对该资产的长期叙事造成损害。

我们承认，上述预测相当乐观：比特币在 2028 年前加入后量子签名，多数活跃 UTXO 在 2031 年内完成迁移，再经过三至五年，完成通向全面量子抗性的最终更新。这一预测假设比特币每一步都作出正确选择，途中没有技术障碍，任何争议性决定都能在合理时间内达成共识。

这样还会出什么问题呢？

任何环节都可能出问题。

上述情景假设，有充分依据的量子担忧出现得足够早，能在为时已晚之前推动实质行动。但如果量子计算突破开始超越后量子签名方案或缓解路径上的社会共识进度呢？在这种现实中，比特币将陷入被动，迁移从主动准备变成事后应对。原本看起来可控的压力测试，变成了实弹演练；在如此压力下，社区互动会变成什么样，谁也无法预料。

又或者，迁移顺利启动，区块空间问题重新引发扩大区块的旧争论，但在这个替代情景中，社会共识未能形成，最终导致链分裂。也可能同样的事情发生在如何处理旧式币的问题上。

最糟糕的情景是，Q-Day 远早于预期到来：从今天算起仅三至五年，比特币尚未完成迁移。一个能力足够强的量子对手，最可能是国家行为体，开始有选择地攻破交易所冷钱包或机构托管方等高价值目标。

这样的对手没有太大动机立即暴露能力。他们不会扫荡显眼的旧式地址，也不会碰中本聪的币，更可能精确下手：瞄准特定钱包，让每次事件都看起来像传统安全事故，例如密钥泄露、复杂恶意软件或内部人员违规。从外部看，没有任何迹象会明确指向量子突破。

与此同时，协议本身没有原生机制，能够区分合法花费与通过推导所得私钥授权的花费；区块链会以相同方式验证两者。随着零散的“安全事件”不断累积，不确定性加剧，市场恶化，信心流失，模糊不清的原因和泛滥的猜测开始助长恐慌。等到原因明朗时，财务和心理上的损害可能早已造成。

有一项关键信息，我们刻意留到了最后：区块链转向后量子密码学，远比传统 Web2 系统复杂，因为多数区块链在设计时并未考虑密码学灵活性。

换句话说，具备量子抗性与具备密码敏捷性（cryptographic agility），是两回事。量子抗性仅指采用后量子签名方案，而密码敏捷性则是系统能够在不干扰自身运行的情况下，替换和调整密码学原语的能力。

这一区别很重要，因为密码学并非一成不变。今天的情况再次提醒我们，随着新威胁出现、底层安全假设受到侵蚀，密码学原语可能不再受青睐。如果系统每次改变密码学原语，都必须协调全球性的协议升级，就会承受巨大的操作和社会协调阻力。实际中，这让快速适应或及时应对威胁变得极其困难，与当前形势所要求的恰恰相反。

如前所述，多数区块链不具备这种能力。我们能想到的唯一例外是 Common Knowledge Base（CKB）区块链，它从一开始就为密码敏捷性而设计。与多数区块链不同，CKB 不将密码学原语以预编译合约的形式硬编码在共识层，而是在应用层实现。

实际而言，任何人都可以实现并部署新的密码学方案，包括后量子签名算法，而无须协议级升级或全局协调。在 CKB 上实现一种新的后量子签名方案，就像在以太坊上部署智能合约一样简单。网络不必就单一后量子标准达成一致，而是可以并行支持多个独立部署的方案，正如今天对 SPHINCS+ 等多种方案的支持。

因此，链的底层密码学可以在面对新环境压力时，自发而迅速地演进。安全性不再受制于社会共识的速度，而是通过一种更接近自然选择的过程得到增强。