2026年9月15日——当前量子计算机不会构成网络安全风险，但其后继机型将会。一份新的白皮书分析了这对加密货币可能产生的影响。最重要的结论涉及今天应当采取的行动，因为仍有时间安排先后顺序。

一种名为Shor算法的量子算法，使广泛部署的基于整数分解和离散对数的密码方案面临被破解的风险，包括RSA、Diffie-Hellman、ECDSA和EdDSA。椭圆曲线密码方案面临的风险最大，因为其相对较小的密钥长度使其成为成本更低的目标。不幸的是，较小的密钥长度也正是Bitcoin、Ethereum和Solana等主要区块链平台使用它们来保护账户、授权交易并维护共识的原因。

Google Quantum AI及其合作者的近期研究加剧了这些担忧。他们发现了一种效率显著更高的Shor算法实现方式。对于破解secp256k1上的椭圆曲线离散对数问题这一任务，其方法将需要 一台量子计算机，其物理量子比特数比此前估计所需少约20倍，这意味着构建此类量子计算机所需的硬件R&D将低于此前预期。预计类似结论也适用于P-256等相关方案。

当量子计算机的性能足以构成网络安全风险时，它们将被称为“加密相关量子计算机”，简称CRQC。CRQC可以从已公开的公钥推导出私钥。在区块链上，这意味着可直接从暴露的账户中盗取资产，也意味着能够利用管理和治理密钥执行恶意的智能合约升级。稳定币生态系统是最脆弱的领域之一，因为发行方或管理员密钥一旦被攻破，就可未经授权地铸造、销毁、冻结或转移市场通常视为已结算现金的资产。

Grover算法是另一个相关考虑因素，但这种量子算法的影响要有限得多。以哈希函数为例。它们将任意输入压缩为固定长度的短指纹，其在密码学中的用途在于，从指纹恢复输入本应不可行。Grover算法对此类恢复的暴力尝试带来平方级加速，使有效原像安全强度减半。例如，即使未来的CRQC对SHA-256运行Grover算法，它仍将具有约128比特的有效原像安全性，这仍足以使其超出攻击者能力范围。 

一些平台已有部分防御措施。Bitcoin最广泛使用的地址类型只记录公钥的哈希，因此当币未被花费时公钥保持隐藏，并在所有者花费时揭示。Solana的Winternitz金库则让用户将选定资产置于基于哈希的签名保护之下。两者都有帮助，但范围都有限。它们覆盖的是选定资产而非整个账户，且都不能保护验证者身份或保障共识的密码学。

该白皮书梳理了Bitcoin、Ethereum和Solana中涉及的经济利害关系，详细说明哪些组件暴露、哪些迁移路径在今天可行。由于区块链是公开的且持续有价格，它们为了解其量子风险如何被认知提供了异常清晰的视角。 

该分析强调了四项发现，下文将讨论，这些发现不仅限于区块链系统，也适用于传统企业密码基础设施。事实上，其影响已经超出加密原生公司，因为仅Ethereum上发行的稳定币和代币化现实世界资产就超过2000亿美元。 

1. 暴露时间决定威胁

设想中的区块链量子攻击可分为以下三类。

静态攻击 针对无限期暴露的公钥：休眠账户、重复使用的地址和验证者密钥。密钥一直存在，攻击者可按需投入任意长时间。没有截止期限，因此CRQC只需具备功能，不需要很快。

花费时攻击必须从待处理交易中揭示的公钥恢复私钥，然后在原始交易被纳入区块之前让竞争交易被接受。该时间窗口主要取决于区块或slot时间（Solana约400毫秒，Ethereum 12秒，Bitcoin平均10分钟），以及费用和内存池规则。

设置时攻击 的运作方式不同。一些密码系统依赖在一次性初始化仪式中生成的固定公共参数。生成这些参数会产生秘密值，参与者随后应将其销毁。CRQC可以从公共参数中恢复这些秘密，而且只需恢复一次。此后，该后门在普通计算机上即可运作，使用它不会在账本上产生任何看似异常的内容。Ethereum的数据可用性采样和若干隐私协议就依赖此类参数。

同样的暴露模型适用于传统企业密码学。静态暴露是指公钥持久存在且其所保护资产寿命超过公钥的任何情形：根证书颁发机构和中间证书颁发机构、代码和固件签名密钥、长期存在的设备身份，以及多年前加密但今天仍重要的信息。“先收集，后解密”攻击属于这一类。短生命周期的会话暴露相当于花费时攻击，是紧迫性较低的优先事项。静态暴露应优先处理，正确安排这一顺序很重要。

2. 价值集中于少数特权密钥

根据公开链上数据以及Google Quantum AI及其合作者发布的资源估算，情况呈现出集中化特征。

• 约690万枚BTC被评估为易受量子攻击，按当前估值接近5000亿美元。
• 约9.7% 的供应量位于公钥从一开始就在链上暴露的脚本类型中：主要是P2PK，其余大部分为Taproot（P2TR）（见图1）。
• 在Ethereum上，约4100万枚ETH用于保障权益证明共识。