量子计算机对比特币的威胁：真实风险还是延迟情景？
关于量子计算将成为比特币死刑判决的争论，在业内多年来一直未曾平息。这些担忧的核心是肖尔算法——一种数学方法，它从根本上改变了从公钥恢复私钥这一任务的复杂性，将其从几乎不可解转变为在拥有相应设备的情况下理论上可在几分钟内解决。
在这篇分析综述中，我将剖析威胁的机制，评估其实际显现的时间表，并确定哪些类别的用户处于风险之中。
关键结论：威胁是理论性的，但并非假设性的
肖尔算法确实能够在多项式时间内解决secp256k1椭圆曲线上的离散对数问题。这对ECDSA和Schnorr签名的密码学基础构成了威胁。然而，量子产业的现状远未达到所需门槛：最强大的处理器仅有约1100至1200个物理量子比特，且没有完整的纠错能力，而攻击比特币需要数百万个量子比特。
网络的安全性建立在无法从公钥点P = k ⋅ G计算出私钥k的基础上。经典算法需要约2¹²⁸次操作——这超出了任何现有系统的能力。肖尔算法并非加速暴力破解，而是改变了问题本身的复杂性类别，这一点更为根本。
攻击“成本”评估：从保守到乐观的预测
所需资源的估计相差数个数量级。根据保守计算，破解需要约2330个稳定的逻辑量子比特，在考虑纠错的情况下，相当于100万至1300万个物理量子比特。萨塞克斯大学的研究人员估计，在一天内破解需要约1300万个物理量子比特。相比之下，2022年物理学家计算出，在一小时内破解RSA-2048需要约3.17亿个量子比特。
然而，谷歌量子人工智能团队于2026年3月发表的研究大幅下调了这些数字。根据他们的数据，不到50万个物理量子比特（约1200个逻辑量子比特）和约7000万步计算步骤就足够了。在这种情景下，私钥最多可在9分钟内恢复——比挖出一个新区块还快。与2019年估计的2000万个量子比特相比，这是二十倍的改进。
到2029年，IBM计划打造一台拥有200个逻辑量子比特的容错超级计算机IBM Quantum Starling。IonQ公司正式目标是到2030年打造一台拥有200万个物理量子比特的设备。如果这些计划得以实现，那么在2030年代下半叶，我们可能会看到一台能够进行实际攻击的机器。
不过，Blockstream首席执行官亚当·巴克对此持更为怀疑的态度，估计这类系统出现的时间跨度在20至40年。全球风险研究所对26位专家的调查显示，十年内出现密码学意义上重要的量子计算机的概率为28%至49%，十五年内为51%至70%。
谁处于风险区：不是余额大小，而是数字卫生
资产的脆弱性并非由金额决定，而是由公钥的暴露程度决定。高风险群体包括中本聪时代的P2PK地址、Taproot架构，以及因重复使用而受损的钱包。相反，P2PKH、P2SH和SegWit输出在首次出站交易之前仍受保护，因为它们隐藏在密码学哈希之后。
根据Glassnode的估计，区块链中已有604万枚BTC（占总供应量的30.2%，约合4690亿美元）的密钥被暴露。其中，结构性漏洞（P2PK）影响192万枚BTC，而操作性漏洞（地址重复使用）影响412万枚BTC。
由此产生的主要实际风险是“现在收集，以后解密”（HNDL）策略。攻击者今天不需要量子计算机。只需保存所有已暴露的公钥，等待CRQC的出现。美联储的研究明确指出比特币是后量子迁移限制的一个例子：新算法将保护未来的交易，但无法隐藏已发布的数据，也无法自动将资金从旧输出中转移。
对持有者和投资者的实际建议
对持有者而言，这不是恐慌的理由，而是审计的理由。需要检查资金是否存放在P2PK输出或重复使用的地址上。受控的密钥可以转移，但早期年份的“沉睡”钱包无人迁移——它们将成为首批目标。
对投资者而言，另一个方面也很重要：市场可能比技术更早做出反应。只需一篇关于量子比特需求降低的高调发布，价格就会在实际攻击之前很久开始计入风险。这里存在两个时间维度：技术层面（十年或更久）和叙事层面（任何最近的季度）。监管机构——美国国家安全局和英国国家网络安全中心——已经在准备向后量子密码学的过渡。而比特币则需要通过共识来协调迁移，这一过程总是比商业供应商更新路线图更慢。
Q-检查：简要总结
威胁是真实的吗？
目前处于数据收集模式（HNDL）。
有硬件吗？
没有：约1500个噪声量子比特，而需要数十万个。
谁处于风险区？
约600万枚BTC的公钥已暴露，其中192万枚为P2PK。
现在能做什么？
检查输出类型，避免地址重复使用，并关注后量子迁移的工作进展。
我作为分析师的观点：量子威胁不是“是否”的问题，而是“何时”的问题。然而，今天市场面临的实际风险并非来自量子机器本身，而是来自信息恐慌。投资者应为该领域突破性新闻引发的波动做好准备，而持有者应立即审计自己的数字卫生，不要等待首次攻击。