Kwant 一比特币：为什么 Saylora 的乐观可能为时过早

迈克尔·塞勒，MicroStrategy的负责人，在2024年最近几个月提出了关于量子计算时代比特币未来的愿景，听起来令人振奋：网络将不是被破解，而是被增强。这一前景在部分加密货币社区中引发了热情。然而，当我们审视实际的技术和经济环境时，情况变得更加复杂。比特币究竟面临什么样的威胁？迁移到后量子安全的方案是否真的如乐观叙述所暗示的那样顺利？技术分析揭示了这一场景中的漏洞，尤其是涉及到170万已暴露的比特币。

比特币的量子威胁是什么？它们是如何逐步逼近的？

在加密货币安全的背景下，量子——指的是利用量子力学特性进行计算的潜在能力——涉及到量子计算机的潜力，这些计算机能执行传统计算机无法完成的计算。对于比特币而言，主要威胁不是对工作量证明机制的攻击，而是对保护私钥的数字签名的攻击。

比特币网络依赖于ECDSA和secp256k1标准的Schnorr签名算法。Shor算法，众所周知的量子算法，可能在量子计算机达到足够先进的阶段时，从公钥中提取出私钥。当前估计需要大约2000到4000个逻辑量子比特的量子计算机才能构成真正的威胁。目前的设备远未达到这一水平，这意味着在密码学意义上，具有实质威胁的量子计算机还需至少10到15年。

值得注意的是，国家标准与技术研究院（NIST）已经制定并批准了抗量子攻击的防御工具。该机构发布了抗量子数字签名标准：ML-DSA（Dilithium）和SLH-DSA（SPHINCS+），作为FIPS 204和205，而FN-DSA（Falcon）正等待FIPS 206的批准。从理论上讲，这些系统可以通过新型输出类型或混合签名集成到比特币中。Bitcoin Optech已在关注此类提案。

170万BTC已面临量子攻击的风险

但这里出现一个关键问题，塞勒没有充分考虑。量子攻击的脆弱性完全取决于比特币地址的类型，以及公钥是否已在区块链上曝光。

早期的pay-to-public-key（P2PK）输出，来自Satoshi早期时代，直接在链上存放了未哈希的公钥。这些地址在不可逆的方式上是暴露的。标准的P2PKH地址和现代的SegWit P2WPKH地址通过哈希隐藏了公钥，但仅在未花费的输出（UTXO）未被花费之前——此时公钥变得可见。随着Taproot的普及，出现了新的风险类别：P2TR输出在第一天就编码了公钥，暴露了UTXO，甚至在它们被花费之前。

最新的分析，包括德勤的研究显示，大约25%的比特币供应已经处于暴露了公钥的输出中。这具体意味着大约170万早期比特币，以及数十万在现代Taproot输出中的比特币。这些资产中，有一些长时间未动——其所有者可能已去世、无法访问或忘记了密钥。这些“丢失”的比特币不会永远被冻结，但可能成为拥有足够先进的量子计算机的攻击者的目标。

那些从未暴露公钥（属于P2PKH或P2WPKH地址）保护的比特币，通过哈希地址得到保护。对于它们，Grover算法只提供平方级的加速，理论上可以通过调整安全参数来抵消。但这部分供应量占比很小。

技术迁移不仅仅是密码学问题

塞勒声称“安全性会增强，供应会减少”。这一说法过于简化了实际情况。迁移到后量子签名方案并非纯粹的胜利——它伴随着实际成本。

经过同行评审的研究表明，现实中的迁移意味着重大妥协。后量子签名比当前的ECDSA签名大得多。这意味着区块容量可能会减少约50%。节点的运营成本也会增加，因为验证这些签名需要更强的计算能力。交易手续费可能上升，因为每笔交易占用的空间变大。

更难处理的是管理问题。比特币没有中央机构可以强制推行变更。任何后量子软分叉都需要开发者、矿工、交易所和大户的压倒性共识。所有参与者都必须协调行动，而且要在真正的量子计算机出现之前尽早行动。A16z的最新分析强调，协调和时间比密码学本身更具风险。

三种可能的场景：收缩、盗窃或恐慌？

在后量子情景下，供应的动态并非自动发生。有三种竞争性可能性，每一种对市场的影响不同。

第一种——“通过放弃收缩”：那些在脆弱输出中，所有者从未更新钱包（可能因为去世、无法操作或忘记）的钱包，被视为永久丢失。供应实际上会减少，但不是通过安全迁移，而是通过不作为。

第二种——“被盗造成的扭曲”：拥有先进量子计算机的攻击者开始清空暴露了公钥的旧钱包。这样，资产不会从流通中消失，而是落入盗贼之手。所谓的“签名即盗窃”攻击，攻击者观察内存池，迅速恢复私钥，然后用更高手续费的交易抢占空间。

第三种——“恐慌引发的分裂”：仅仅是对即将到来的量子计算机的预期，就可能引发抛售，甚至在真正的量子机出现之前，将区块链分裂成多个竞争的分支。历史表明，市场恐慌的影响与技术威胁一样危险。

这三种场景都不保证供应会出现单向的下降，反而可能引发价格的混乱波动和社区冲突。

比特币真的会变得更强大吗？

塞勒在一个关键点上是对的：比特币在技术上可以变得更强大。网络有足够的时间部署已被NIST批准的后量子签名方案。它可以更新暴露的输出，确保密码学安全性达到量子计算机最小威胁的水平。

但这一乐观愿景建立在一系列假设之上，这些假设并非理所当然。前提包括：

• 比特币开发者和持币者能够协调一致、提前行动
• 迁移不会引发市场恐慌或社区分裂
• 攻击者的量子计算机不会利用发现与部署之间的时间差
• 社区会接受更高的手续费和更小的区块容量以换取安全

迈克尔·塞勒的信心在很大程度上是对网络协调能力的押注，而非对密码学本身的信任。比特币确实可能在量子时代变得更强——通过改进签名方案，甚至部分“烧毁”资产。但前提是网络能在量子追赶之前，完成一场成本高昂、政治上困难、技术上复杂的升级。在软分叉引发社区争议的时代，这一愿景依赖的不仅是物理学的可能性，更是对去中心化管理艺术的信任。