{"id":"mb-20261018-9d43c5","kind":"deep","title":"900个逻辑比特与9分钟时间差：量子计算攻破比特币的工程门槛如何被大幅拉低","summary":"最新量子线路测算将攻破比特币secp256k1加密的核心运算压缩至900个逻辑量子比特以内，耗时仅需9分钟。本文拆解量子攻击为何会精准卡住比特币10分钟出块的内存池窗口，梳理公钥暴露机制与早期数百万枚中本聪时期的明文资产风险，并剖析后量子加密升级面临的真实治理博弈。","body":"破解一个比特币地址的私钥，需要多久？\n以前业界的共识是，几十年内都不可能。\n但最新的一系列量子线路推演，把时间算到了 9 分钟。\n为什么偏偏是 9 分钟？\n因为比特币网络打包一个新区块的平均时间，正好是 10 分钟。\n这两件事撞在一起，局面就变了。\n\n比特币用的是一套叫 secp256k1 的椭圆曲线加密算法。\n公钥是由私钥计算生成的。\n在传统计算机面前，从私钥算公钥只要一瞬间，反过来从公钥推导私钥，算到宇宙尽头也算不出来。\n这是整个区块链世界的安全底座。\n\n但量子计算领域有一套著名的算法，叫秀尔算法（Shor's algorithm）。\n只要量子计算机拥有足够的规模和容错能力，它就能在极短时间内把私钥反算出来。\n过去大家不太担心，是因为觉得这台机器造出来的日子还早得很。\n早期的经典估算普遍认为，要攻破 256 位的椭圆曲线，至少需要几百万个甚至上千万个物理量子比特。\n在工程人员看来，那还属于遥远的设想。\n\n事情的变化始于 Google 量子人工智能团队与斯坦福大学、以太坊基金会合作发布的一份资源测算报告。\n他们把攻破比特币所需的整套量子线路，从头到尾编译了一遍。\n算出来的结果让密码学界心里一紧。\n要跑完这套攻击，根本不需要天文数字。\n在 Google 的低量子比特编译方案里，整套线路只需要不到 1200 个逻辑量子比特。\n随后，密码学开源社区和自动化研究项目继续压缩这个线路。\n他们把攻坚目标对准了秀尔算法里计算最密集的瓶颈环节，椭圆曲线点加法运算。\n通过一种叫 Lilypad-GCD 的优化方法，研究人员把这个核心运算压到了 900 个逻辑量子比特以内，实测成绩达到了 893 个。\n这套运算完全落在了 Google 划定的 270 万个托福利门（Toffoli gate）的门预算之内。\n\n900 个逻辑量子比特，在硬件上对应着什么？\n这里需要区分物理量子比特和逻辑量子比特。\n现在各大机构公布的几十个或者几百个量子比特，全都是没有经过纠错的物理比特，环境稍有干扰就会出错。\n要让它们稳定计算，必须利用量子纠错码，把成百上千个物理比特融合成一个不出错的逻辑量子比特。\n按照目前超导量子芯片的纠错标准来折算，1200 个逻辑比特，大约需要不到 50 万个物理量子比特。\n比起过去动辄几千万个物理比特的预期，硬件实现的门槛直接降低了二十倍。\n\n比比特数量更关键的，是运算速度。\n在超导量子芯片的时钟周期下，跑完这套编译好的线路，大约耗时 9 到 12 分钟。\n\n这就带来了那个让人坐立不安的时间窗口。\n你的比特币放在冷钱包里好几年不动，会被这 9 分钟攻破吗？\n不会。\n因为你的比特币收款地址，并不是你的原始公钥。\n它是公钥经过 SHA-256 和 RIPEMD-160 两次哈希计算后生成的指纹。\n量子计算机在数学上对哈希算法没有这种降维打击能力。\n只要你的比特币静静躺在现代钱包地址里，外界就看不到你的原始公钥。\n拿不到公钥，量子算法就根本算不出你的私钥。\n\n危险发生在你花钱的那一刻。\n当你要发起一笔转账时，必须在全网广播交易信息。\n这笔交易里，必须包含你的数字签名，以及此前从未在链上公开过的原始公钥。\n交易广播出去之后，并不会瞬间到账。\n它会先进入全网节点的交易内存池（mempool），等待矿工挑选并打包进下一个区块。\n比特币网络出块的平均时间，正好是 10 分钟。\n也就是说，在发起转账到最终上链之间，你的原始公钥要在所有人都能看到的公共内存池里停留大约 10 分钟。\n如果攻击者的量子计算机能在 9 分钟内推导出私钥，攻击过程就会变得非常顺畅。\n他在内存池里拦截到你刚刚广播的交易，提取出你的公钥。\n量子计算机全速运转，9 分钟内算出了你的私钥。\n紧接着，他用刚到手的私钥签署一笔全新的转账，把你钱包里所有的币直接转给他自己。\n为了抢在你的合法交易前面被矿工打包，他把转账手续费拉到极高，触发比特币网络的手续费替代机制（RBF）。\n第 10 分钟矿工打包出块。\n矿工为了利益最大化，优先打包了那笔手续费更高的盗窃交易。\n攻击者的交易成功上链，你的原始交易因为账户余额归零被全网抛弃。\n转账变成了别人的提款。\n\n这还只是现代地址面临的动态风险。\n在比特币账本里，还有一部分资产处在完全裸奔的状态。\n在比特币刚诞生的前两年，中本聪使用的交易格式叫 P2PK。\n这种早期格式没有任何哈希掩护，直接把 65 字节的原始公钥明文刻在区块链账本上。\n再加上很多用户习惯重复使用同一个地址收款，只要发起过一次转账，公钥也就永久曝光了。\n根据链上安全机构的统计，目前公钥已经完全暴露在链上的比特币，大约在 200 万到 400 万枚之间。\n这里面包括中本聪本人留在创世区块周期的 110 万枚比特币。\n面对这几百万枚比特币，量子计算机根本不需要卡着 10 分钟去抢跑。\n它可以安安静静地离线计算，花几天或者几周时间把私钥逐个算出来，直接搬走。\n\n这件事在今天还不至于引发恐慌。\n现有的量子计算机依然停留在满是噪声的初级阶段，距离几十万个物理比特的工程落地还有相当长的路。\n而且在数学理论上，防御手段早就存在。\n后量子密码学（PQC）已经开发出基于格密码等新结构的签名方案，足以抵御量子攻击。\n以太坊和比特币的开发者社区，也一直在推进抗量子算法的研究。\n\n真正的阻力来自工程和治理。\n要让比特币更换底层的签名算法，必须进行全网硬分叉。\n让遍布全球的矿工、全节点、交易平台和持币者统一行动修改底层共识，向来极其艰难。\n以往哪怕只是一次区块大小的参数调整，社区都能僵持几年时间。\n如果要彻底更换签名体系，所有私钥格式、签名大小和交易验证规则全部要推倒重来。\n后量子签名的体积通常比现有算法大上几十倍，区块空间的占用又会带来新的博弈。\n\nGoogle 和各路学者给出的这组测算，并没有宣告密码体系今天就会破裂。\n它的影响在于，把一个原本停留在猜想阶段的概念，缩减成了一套参数确定的工程目标。\n当核心线路压缩到 900 个逻辑比特以内，当推算时间被压缩到 9 分钟，留给整个生态协调自保的时间窗口，确实被大大收紧了。","topic":"900个逻辑比特与9分钟时间差：量子计算攻破比特币的工程门槛如何被大幅拉低","frame_type":["机制"],"citations":[],"channel_note":"","identity_notice":"","source_type":"generated","status":"published","generated_at":"2026-10-18 14:05:51","legal_anchor_count":0,"transcript_citation_count":0}