量子计算会攻破加密货币吗？

本文改编自 CKB 社区全栈区块链开发者 Chunteng Xiao（Alive24）于 2026 年 2 月在 CryptoMondays London 发表的主题演讲。文章保留了演讲的第一人称语气，并做了少量编辑，以便阅读并使技术表述更清楚。

---

这次演讲，我会谈四件事：什么是量子计算，它为什么重要；如何看待它带来的风险；区块链行业正在采取哪些行动，已经取得哪些成果；以及 CKB 的设计为何能让它灵活采用抗量子密码技术。

我会按区块链爱好者的知识水平来讲。听完后，你应该就能向亲朋好友解释这些问题，让他们觉得你确实做过功课。

先说说大家有多重视这件事：行业里的大机构已经行动起来。以太坊基金会于 2026 年 1 月成立了专门的量子安全团队。同月，Coinbase 成立了专家顾问委员会，评估量子计算对加密货币意味着什么。

量子计算有何不同？

从比特到量子比特

要理解量子计算的特别之处，不妨先看看我们已有的计算机。几十年来，计算机一直朝着更高效地存储和处理信息的方向演进，以节省时间、空间和成本。

我们从穿孔卡片起步，随后用上真空管、晶体管，最后发展到今天 CPU 内部的集成电路。它们都以二进制工作：一切非零即一。

量子计算机（quantum computer）则不同，它使用量子比特（qubit）。量子比特可以像普通比特一样是零或一，但在测量之前，它也可以处于零和一的叠加态（superposition）。这正是让人难以想象的地方。

薛定谔的猫与袜子的类比

两个故事可以帮助理解。第一个是你可能听过的薛定谔的猫（Schrödinger's cat）。物理学家埃尔温·薛定谔（Erwin Schrödinger）设想，把一只猫封在盒子里，盒中只有在某个放射性原子衰变时才会释放毒药，而这个原子可能衰变，也可能不衰变。在有人打开盒子观察之前，量子物理将这只猫描述为既活着又死了。

这就是叠加态。在量子物理中，一个系统可以处于多个可能状态的组合，而不是仅仅处于某个我们尚不知道的单一状态。这很难理解，而猫的故事恰恰就是要说明这一点。

第二个故事叫“量子袜子”（quantum socks），知道的人少一些。假设你买了一双袜子，只带上其中一只，就飞到了世界另一端，而且不知道带走的是哪一只。打开行李箱看到左脚袜子的那一刻，你就知道留在家里的是右脚袜子。

无论两只袜子相隔多远，你都能立刻知道另一只是什么。这大致可以用来描绘两个处于纠缠（entangled）状态的量子粒子。真正的纠缠比这个故事更微妙，但正是这类性质赋予了量子计算强大的能力。

普通计算机使用比特：零或一。量子计算机使用量子比特，可以同时是零和一，也可以彼此关联。这不意味着它们做任何事都更快，但在某些问题上，包括支撑加密货币的数学问题，它们可能发挥决定性作用。

密码学为何与你的钱包息息相关

这些故事很有趣，但量子计算机为什么会影响加密货币？

因为一台足够强大的量子计算机，可能成为攻破椭圆曲线密码学（ECC）的利器。ECC 是当今应用最广泛的非对称密码学之一。你每天使用的许多东西都可能依赖它，区块链和许多其他数字系统的信任基础也建立在它之上。

非对称密码学也叫公钥密码学（public-key cryptography），它利用正向计算容易、逆向求解极难的数学问题来保障信任。ECC 并不是唯一的一种，RSA 也是，你家里的路由器很可能就在使用它。

在区块链钱包中，它是这样工作的。创建钱包时，你会得到一组随机生成的助记词（mnemonic phrase），必须严格保密。

钱包随后就会显示一个地址。你不需要到任何地方注册，因为地址是从密钥派生出来的：地址来自公钥，公钥又来自私钥。地址和公钥都是公开的，私钥则是保密的。

每次使用钱包时，你都会向别人提供地址。那么，你如何证明自己是本人，或者程序如何确认这一点？这就需要非对称密码学。

有了私钥，就很容易推导出公钥，或对一段内容签名。有了公钥、签名和这段内容，任何人都能轻松验证签名。但反过来，在没有私钥的情况下伪造有效签名，却极其困难。

非对称密码学是需要安全保障的数字系统的支柱，对区块链尤其如此。比特币使用椭圆曲线数字签名算法（ECDSA）进行签名，以太坊、Solana、Polkadot 和 Cardano 也依赖椭圆曲线密码学。

哈希是密码学依赖的另一种工具。哈希函数能把任意大小的数据转换为一段长度固定的短字符串，称为哈希值，就像数字指纹一样。数据中哪怕只改一个字符，哈希值也会完全改变，因此可以用它快速检查数据是否被修改。哈希的用途远不止加密货币：网站存储的是密码的哈希值，而不是密码本身；软件开发者会公布哈希值，供你检查下载的文件是否遭到篡改。区块链中更是到处都在使用哈希：每笔交易都由它的哈希值来标识。

生成哈希值很容易，但找到哈希值相同的不同数据，或仅凭哈希值还原原始数据，都极其困难。这就是我们说哈希具有单向性的原因。

加密货币面临哪些量子风险？

那么，今天应该如何看待这种风险？简单说，攻击算法已经存在，眼下的障碍是造出能运行这些算法的量子计算机。我个人觉得威胁已经迫近，尤其是现在 AI 也能提供帮助，但这只是我的判断，并不是已确认的时间表。

我们已经看到了一些有潜力的原型和概念验证。那到底还有多远？有一种乐观估计认为，到 2030 年还不可能实现，但到 2040 年很有可能。这些都是猜测，并非确定的日期，也有人认为会更早。

肖尔算法与格罗弗算法

我说攻击算法已经准备就绪，主要指的是两种算法。

第一种是肖尔算法（Shor's algorithm）。在能力足够的量子计算机上，它能高效求解广泛使用的椭圆曲线签名方案背后的数学问题。换句话说，它能从公钥算出私钥，因此成为私钥面临的主要量子威胁。

第二种是格罗弗算法（Grover's algorithm）。它能加速暴力穷举（brute-force）搜索，降低安全裕量（security margins），因此可能对哈希函数构成风险。

如果威胁明天就成为现实，会怎样？

这些听起来都很技术化，不妨换个更直观的问题：如果威胁明天就成为现实，会发生什么？

首先，私钥将不再私密，你的资产也将不再属于你。

其次，真实性将无从保证，你将无法再证明自己是本人。

第三点更隐蔽一些：加密不再意味着永远保密。如果我今天收集到一份你的加密数据，比如从被入侵的服务器或被截获的消息中取得，现在还读不懂。但如果保护它的密码技术日后变得容易被攻破，我或许就能解密这份旧数据。这才是令人担忧的地方。

正如前面所说，这不仅会威胁区块链，也会威胁许多其他数字系统，想想确实有点可怕。

签名、哈希与加密：三种不同的风险

哈希、签名和加密是今天密码学与软件中最重要的三种工具，量子计算对它们的影响各不相同。

数字签名

要为某段内容签名，我们会取任意大小的内容，称为消息（message）或载荷（payload），再用签名算法（signature algorithm）和私钥为它生成签名。

随后，任何人都能用对应的公钥，结合消息来检查签名。如果验证通过，就从数学上证明了该签名对这个公钥和这条消息有效。验证方始终不需要拿到私钥本身，却能知道签名是用它生成的。

但对于易受量子攻击的椭圆曲线方案，一台足够强大的量子计算机可以从已暴露的公钥算出私钥。攻击者随后就能伪造签名，冒充你。注意，这需要公钥，单有交易哈希还不够。

哈希

与签名不同，哈希不涉及私钥或公钥。计算某段内容的哈希值，再与一个可信的哈希值比较即可，所以哈希值很容易生成、存储、发送和验证。不过，单凭哈希值不能证明内容的真实性。

量子计算机可以加速寻找与某个哈希值匹配的输入。如果掌握数据的线索，它们也可以尝试根据哈希值猜出秘密内容。它们不需要知道完整消息：只要了解消息的结构或基本模式，就能测试可能的组合，直到找到匹配项。

编者注：这种加速幅度有限。SHA-256 等哈希函数仍被认为是安全的；如果需要更大的安全裕量，只需使用更长的哈希值即可。

加密与被截获的数据

最后是加密。从聊天应用到网页浏览、网上银行，我们在网上做的许多事已经受到加密保护。使用对称加密（symmetric encryption）时，数据用一个共享的秘密密钥加密，发送到另一端后，再用同一个密钥解密。许多系统最初会通过公钥密码学来协商这个共享密钥。

对称加密本身依然稳固，薄弱环节在于共享密钥：如果它是通过公钥密码学协商出来的，量子计算机就可能破解这次密钥交换，恢复密钥。

一旦加密数据泄露，损害就无法挽回，而这类泄露如今很常见。令人担忧的是，有人可以现在就收集并存储加密数据。他们暂时还读不懂，但将来可能就能解密。而人们加密的，通常又是自己最敏感的信息。

签名面临的风险最直接：足够强大的量子计算机可以伪造签名。哈希只是安全性有所减弱，使用更长的哈希值就能解决。今天被窃取的加密数据，将来可能会在保护它的密钥交换被破解后遭到读取。

后量子密码学与迁移挑战

好在，这大概不会明天就发生。

更让人安心的是，我们已经有了后量子密码学（post-quantum cryptography）：这些新方案基于一些数学问题，人们认为，即使未来的量子计算机也难以求解。它们已经可以在普通计算机上运行，而且可选方案不止一种。

传统软件公司可以替换易受攻击的密码组件，实现量子安全。区块链则更棘手，因为它是去中心化的。没有哪位 CEO 能拍板批准升级：成千上万的独立节点运营者、矿工或验证者（validators），以及用户，都需要自行选择是否采用。

为什么区块链迁移更困难

一些较新的区块链从设计之初就考虑了量子抗性（quantum resistance），例如与比特币有相似之处的 Quantum Resistant Ledger（QRL），以及 Cellframe。

更大的难题在于现有的 Layer 1 区块链。许多项目正在实现后量子密码学方案，或研究迁移路线图，但这一转变可能需要数年时间，并付出高昂成本。

它们主要面临三项挑战。第一，快速打补丁往往行不通。大多数链将签名算法内置于协议，因此更换算法可能需要协议升级（protocol upgrade）。

第二，一些后量子方案的签名比 ECC 签名大得多，也需要更多计算，因此存储和运行成本更高。

第三，整个网络需要达成一致，而选择哪种算法、如何实现、优先解决什么，都可能引发争议。

看看这个过程可能有多慢：比特币最近一次重大升级 Taproot，从 2018 年 1 月首次提出，到 2021 年 11 月上线，花了将近四年，而且它还得到了广泛支持。切换到后量子签名后，每位持币者仍需转移自己的币才能得到保护，这本身就是一项浩大的工程。

CKB 如何采用后量子密码学

RISC-V 与 Cell 模型

这就说到 CKB 了。

你可以把 CKB 看作拥有更通用智能合约的比特币。它于 2019 年上线，是一条通过上层网络扩容的 Layer 1 区块链。它与比特币秉持相同的核心原则：两者都采用工作量证明（Proof-of-Work，PoW），CKB 的 Cell 模型则建立在比特币的 UTXO 思路之上。它同样开源，也无需许可（permissionless）。

CKB 有什么特别之处？如果只能给一个答案，那就是 RISC-V。

RISC-V 是一种真实的计算机架构，可以用于设计实际的芯片，而 CKB 的虚拟机（VM）就以它为基础。这意味着，你可以将大多数普通代码编译后放到区块链上运行，其中也包括各种密码技术和后量子方案。从一开始，CKB 就具备这种能力。

Cell 模型则允许你选择用哪种锁定脚本（lock script）来保护自己的资产，也就是 Cell。得益于这种类似 UTXO 的设计，增加一种新锁不需要修改协议。

这个设计有多好？Vitalik Buterin 本人就曾给予高度评价。他提出将 RISC-V 作为以太坊未来可能采用的执行模型时，引用的先例之一就是 Nervos CKB VM，称其“基本上就是 RISC-V”。

“这篇帖子为以太坊执行层的未来提出了一个激进的想法。……这个想法是：用 RISC-V 替代 EVM，作为编写智能合约的虚拟机语言。”
—— 以太坊联合创始人 Vitalik Buterin，Ethereum Magicians 论坛，2025 年 4 月

后量子锁定脚本

回到量子抗性的话题。基于 SPHINCS+ 的锁定脚本已经在 CKB 主网上线。SPHINCS+ 是 SLH-DSA 的基础，后者已由美国国家标准与技术研究院（NIST）在 FIPS 205 中标准化。

因为这只是一个锁定脚本，协议不必内置某一种固定的签名方案。你可以为新 Cell 使用 SPHINCS+ 锁，也可以在现有资产的花费条件允许时，将它们转移到这个锁下。

未来的后量子密码技术，CKB 也可以用同样的方式采用：开发、部署，大家就能使用。

Quantum Purse

为了让它更易于使用，社区发布了 Quantum Purse。这是一款基于 CKB 构建、可在主网上使用的钱包。据我所知，它是首个基于 SPHINCS+ 的桌面钱包。

它运行自己的轻客户端（light client），因此不需要依赖第三方 RPC 端点，还有一个浏览器演示版可供体验。它接受过外部安全审计，不过审计只覆盖所审查的代码和范围。我们也在以它为基础，推进一款用于密钥管理的抗量子硬件钱包。Quantum Purse 是开源的。

在 CKB 上，签名方案只是一个锁定脚本，因此无需修改协议就能增加新的密码技术。SPHINCS+ 锁已经在主网上线，Quantum Purse 则让你能够使用它。

最后的一些想法

最后，我想谈一点个人感受。

CKB 社区的人一直为它最初的架构和愿景，以及此后技术的发展而自豪。这份自豪感，正是我们社区驱动文化的源头。

如果你正在构建基础设施或服务，希望用户真正拥有自己的资产和数据，同时希望完全掌控系统如何运作，我认为选择 CKB 不会让你后悔。对于来自传统软件行业的新加入者尤其如此，无论你是组织、公司，还是独立开发者。这是我的真心话。

---

本文最初由 Chunteng Xiao（Alive24） 于 2026 年 2 月在 CryptoMondays London 作为主题演讲发表。在 LinkedIn 观看录像。