量子计算技术的迅猛发展正为区块链网络引入新的安全隐患。本节将重点探讨应对量子威胁的技术方案，并分析比特币与以太坊如何为这一潜在的行业变革做准备。
核心要点
- 所谓的“Q-Day”——即量子计算机足以破解区块链密码学的时刻——预计将在未来5至7年内降临。贝莱德在其比特币ETF申请文件中亦明确警示了这一风险。
- 后量子密码学（PQC）从三个关键安全维度构建防御体系：通信加密、交易签名验证以及数据长期存续性。
- 虽然谷歌和AWS等企业已着手应用后量子密码技术，但比特币和以太坊领域的讨论仍局限于初步阶段。
新技术带来的未知挑战
倘若一台量子计算机能在短短几分钟内破解比特币钱包，区块链的安全基石是否依然稳固？
区块链安全的根基在于私钥的保护。想要窃取他人的比特币，攻击者必须获取其私钥，而在传统计算架构下，这几乎是不可能的任务。链上公开可见的仅是公钥，即便动用超级计算机，从公钥反推私钥也需要耗费数百年之久。
然而，量子计算机彻底改变了这一风险格局。经典计算机按顺序处理0或1，而量子系统能同时处于两种状态。这种特性使得从公钥推导私钥在理论上成为可能。
专家预测，具备破解现代密码学能力的量子计算机可能在2030年左右问世。这一被称作“Q-Day”的时间节点，意味着距离实际可行的攻击仅剩五到七年的窗口期。
来源：SEC
监管机构及主要金融机构已正视此风险。2024年，美国国家标准与技术研究院（NIST）引入了后量子密码学标准。与此同时，贝莱德也在其比特币ETF申请文件中指出，量子计算的进步可能对比特币的安全性构成威胁。
量子计算已不再是一个遥远的理论假设，而是一个需要切实准备而非仅靠乐观预期的现实技术问题。
量子计算对区块链安全的冲击
为了理解区块链交易的运作机制，我们来看一个简单案例：Ekko向Ryan发送1个BTC。
当Ekko创建一笔声明“我向Ryan发送我的1个BTC”的交易时，他必须附加一个唯一的数字签名。该签名只能由他的私钥生成。
随后，Ryan及网络中的其他节点利用Ekko的公钥来验证签名的有效性。公钥类似于一种工具，它能验证签名却无法重新创建它。只要Ekko的私钥保持机密，无人能伪造其签名。
这正是区块链交易安全的基础所在。
私钥可以生成公钥，但公钥无法泄露私钥。这一过程通过椭圆曲线数字签名算法（ECDSA）实现，其基于椭圆曲线密码学。ECDSA依赖于一种数学上的不对称性：正向计算简便，而逆向计算在计算上是不可行的。
随着量子计算的崛起，这道防线正在削弱，关键在于量子比特（Qubit）。
经典计算机顺序处理0或1，而量子比特可同时表示两种状态，从而实现大规模并行计算。拥有足够数量的量子比特，量子计算机可在几秒钟内完成经典计算机需数十年才能算出的结果。
目前有两种量子算法直接威胁着区块链安全。
Shor算法提供了从公钥推导私钥的途径，从而瓦解公钥密码学。Grover算法则通过加速暴力搜索，降低了哈希函数的有效强度。
Shor算法：直接的资产盗窃风险
当今互联网安全主要依赖两种公钥密码系统：RSA和ECC。
当今互联网安全主要依赖两种公钥密码系统：RSA和ECC。它们通过利用整数分解和离散对数等复杂数学难题来抵御外部攻击。区块链同样基于ECC原理，采用椭圆曲线数字签名算法。
以现有的算力，破解这些系统需耗时数十年，因此被视为实际安全。
Shor算法打破了这一平衡。运行Shor算法的量子计算机能高速执行大整数分解和离散对数计算，进而破解RSA和ECC。
利用Shor算法，量子攻击者可从公钥推导私钥，随意转移相应地址中的资产。任何曾发送过交易的地址均面临风险，因为其公钥已在链上公开。这将导致数百万地址同时陷入险境。
Grover算法：交易拦截隐患
区块链安全还依赖于对称密钥加密（如AES）和哈希函数（如SHA-256）。
AES用于加密钱包文件和交易数据，破解需尝试所有可能组合。SHA-256支持工作量证明的难度调整，矿工需反复搜索满足特定条件的哈希值。
这些系统假定，当交易在内存池中等待时，其他用户没有足够时间在其打包进区块前进行分析或伪造。
Grover算法削弱了这一假设。它利用量子叠加加速搜索过程，降低AES和SHA-256的有效安全级别。量子攻击者可实时分析内存池交易，生成使用相同输入（UTXO）但将输出重定向至不同地址的伪造版本。
这导致交易可能被配备量子计算机的攻击者拦截，资金流向非预期目的地。交易所提现和常规转账可能成为此类攻击的主要目标。
后量子密码学解决方案
在量子计算时代，如何确保持续的区块链安全？
未来的区块链系统需采用即使在量子攻击下仍能保持安全的密码算法，即后量子密码学（PQC）技术。
美国国家标准与技术研究院已提出三项主要PQC标准，比特币和以太坊社区均在讨论将其作为长期安全基础。
Kyber：保障节点间通信安全
Kyber是一种旨在允许网络双方安全交换对称密钥的算法。
传统支撑互联网基础设施的方法（如RSA和ECDH）易受Shor算法攻击，在量子环境下存在暴露风险。Kyber通过基于格的数学问题（Module-LWE）解决此难题，该问题被认为对量子攻击具有抵抗力，可防止数据传输过程中的拦截或解密。
Kyber保护所有通信路径：HTTPS连接、交易所API以及钱包与节点间的消息传递。在区块链内部，节点共享交易数据时也可使用Kyber，防止第三方监控或提取信息。
实质上，Kyber为量子时代重建了网络传输层的安全性。
Dilithium：验证交易签名
Dilithium是一种数字签名算法，用于验证交易确由私钥合法持有者创建。
区块链所有权依赖“私钥签名、公钥验证”的ECDSA模型。问题在于ECDSA易受Shor算法攻击。一旦访问公钥，量子攻击者可推导私钥，实现签名伪造和资产盗窃。
Dilithium通过结合Module-SIS和LWE的基于格结构规避此风险。即使攻击者分析公钥和签名，也无法推断私钥，且设计本身对量子攻击保持安全。应用Dilithium可防止签名伪造、私钥提取及大规模资产被盗。
它不仅保护资产所有权，也确保每笔交易的真实性。
SPHINCS+：确保长期记录完整
SPHINCS+采用多层哈希树结构。每个签名通过树中特定路径验证，由于单个哈希值无法反向推算出输入，该系统对量子攻击依然安全。
当Ekko和Ryan的交易被加入区块后，记录即成永久。这类似文档指纹。
SPHINCS+将交易各部分转换为哈希值，形成独特模式。若文档中哪怕一个字符变动，指纹也会完全改变。同理，修改交易任何部分都会改变整个签名。
即便几十年后，任何篡改Ekko和Ryan交易的企图都会被立即察觉。尽管SPHINCS+生成的签名较大，但它非常适合需长期验证的金融或政府数据。量子计算机难以伪造或复制此类指纹。
综上所述，PQC技术在单笔1 BTC转账中构建了三层量子防御：Kyber用于通信加密，Dilithium用于签名验证，SPHINCS+用于记录完整性。
比特币与以太坊：殊途同归的路径
比特币强调不可更改性，以太坊则优先适应变化。这些设计理念源于历史事件，并影响各自应对量子威胁的策略。
比特币：通过最小化变更保护现有链
比特币对不可更改性的重视可追溯至2010年的价值溢出事件。一名黑客利用漏洞制造1840亿枚BTC，社区通过软分叉在五小时内使该交易失效。此后，“已确认交易绝不可改”成为比特币身份的核心。这种不可更改性维护了信任，但也阻碍了快速结构性变更。
这一理念延伸至比特币应对量子安全的策略。开发者认可升级必要性，但认为通过硬分叉进行全链替换对网络共识风险过大。因此，比特币正探索混合迁移模式的渐进式过渡。
来源：bip360.org
这种理念延伸至比特币应对量子安全的策略。开发者认可升级必要性，但认为通过硬分叉进行全链替换对网络共识风险过大。因此比特币正探索通过混合迁移模式进行渐进式过渡。
若该方案被采纳，用户将能同时使用传统ECDSA地址和新PQC地址。例如，若Ekko的资金存放在旧比特币地址中，他可在Q-Day临近时逐步迁移至PQC地址。由于网络同时识别两种格式，安全性得以提升，无需强制进行破坏性过渡。
挑战依然巨大。数亿个钱包需迁移，且私钥丢失的钱包尚无明确解决方案。社区内的分歧也可能增加链分叉风险。
以太坊：通过灵活架构重塑实现快速过渡
以太坊的适应性原则源于2016年的DAO黑客攻击。当约360万枚ETH被盗时，VitalikButerin和以太坊基金会执行了一次硬分叉以逆转盗窃。
该决定导致社区分裂为以太坊（ETH）和以太坊经典（ETC）。自此，适应性成为以太坊的决定性特征，也是其实施快速变革的关键。
来源：web3edge
历史上，所有以太坊用户均依赖外部账户，只能通过ECDSA签名算法发送交易。由于用户依赖相同的密码模型，更改签名方案需全网硬分叉。
EIP-4337改变了这一结构，使账户具备智能合约般的运作能力。每个账户可定义自己的签名验证逻辑，允许用户采用替代签名方案，无需修改整个网络。签名算法现可在账户级别替换，而非通过协议范围升级。
在此基础上，已出现若干支持PQC采用的提案：
- EIP-7693：引入混合迁移路径，在保持与ECDSA兼容的同时，支持逐步过渡到PQC签名。
- EIP-8051：在链上应用NIST PQC标准，以在实际网络条件下测试PQC签名。
- EIP-7932：允许协议同时识别和验证多种签名算法，使用户能够选择他们喜欢的方法。
在实践中，使用基于ECDSA钱包的用户可在量子威胁迫近时迁移至基于Dilithium的PQC钱包。这种过渡发生在账户级别，无需替换整个链。
总之，比特币旨在保持当前结构的同时并行整合PQC，而以太坊正重新设计账户模型以直接吸纳PQC。两者均追求抗量子这一共同目标，但比特币依赖保守演进，以太坊则采取结构性创新。
当区块链仍在争论时，世界已经改变
全球互联网基础设施已开始向新安全标准过渡。
由集中化决策支持的Web2平台行动迅速。谷歌自2024年4月起在Chrome浏览器中默认启用后量子密钥交换，并部署至数十亿台设备。微软宣布了一项全组织范围的迁移计划，目标是在2033年前全面采用PQC。AWS在2024年底开始使用混合PQC。
区块链面临截然不同的处境。比特币的BIP-360仍在讨论中，以太坊的EIP-7932已提交数月却无公开测试网。VitalikButerin虽已概述渐进式迁移路径，但是否能在量子攻击变得可行前完成过渡仍存疑。
德勤报告估计，约20%至30%的比特币地址已暴露公钥。目前它们尚安全，但一旦量子计算机在2030年代成熟，它们将成为目标。若网络在此阶段尝试硬分叉，分裂概率极高。比特币对不可更改性的承诺虽是身份基石，却也使得快速变革举步维艰。
最终，量子计算既带来技术挑战，也引发治理难题。Web2已开启过渡，区块链仍在争论如何起步。决定性问题不在于谁先行动，而在于谁能安全地完成过渡。