900个逻辑比特与9分钟时间差：量子计算攻破比特币的工程门槛如何被大幅拉低

破解一个比特币地址的私钥，需要多久？ 以前业界的共识是，几十年内都不可能。 但最新的一系列量子线路推演，把时间算到了 9 分钟。 为什么偏偏是 9 分钟？ 因为比特币网络打包一个新区块的平均时间，正好是 10 分钟。 这两件事撞在一起，局面就变了。

比特币用的是一套叫 secp256k1 的椭圆曲线加密算法。 公钥是由私钥计算生成的。 在传统计算机面前，从私钥算公钥只要一瞬间，反过来从公钥推导私钥，算到宇宙尽头也算不出来。 这是整个区块链世界的安全底座。

但量子计算领域有一套著名的算法，叫秀尔算法（Shor's algorithm）。 只要量子计算机拥有足够的规模和容错能力，它就能在极短时间内把私钥反算出来。 过去大家不太担心，是因为觉得这台机器造出来的日子还早得很。 早期的经典估算普遍认为，要攻破 256 位的椭圆曲线，至少需要几百万个甚至上千万个物理量子比特。 在工程人员看来，那还属于遥远的设想。

事情的变化始于 Google 量子人工智能团队与斯坦福大学、以太坊基金会合作发布的一份资源测算报告。 他们把攻破比特币所需的整套量子线路，从头到尾编译了一遍。 算出来的结果让密码学界心里一紧。 要跑完这套攻击，根本不需要天文数字。 在 Google 的低量子比特编译方案里，整套线路只需要不到 1200 个逻辑量子比特。 随后，密码学开源社区和自动化研究项目继续压缩这个线路。 他们把攻坚目标对准了秀尔算法里计算最密集的瓶颈环节，椭圆曲线点加法运算。 通过一种叫 Lilypad-GCD 的优化方法，研究人员把这个核心运算压到了 900 个逻辑量子比特以内，实测成绩达到了 893 个。 这套运算完全落在了 Google 划定的 270 万个托福利门（Toffoli gate）的门预算之内。

900 个逻辑量子比特，在硬件上对应着什么？ 这里需要区分物理量子比特和逻辑量子比特。 现在各大机构公布的几十个或者几百个量子比特，全都是没有经过纠错的物理比特，环境稍有干扰就会出错。 要让它们稳定计算，必须利用量子纠错码，把成百上千个物理比特融合成一个不出错的逻辑量子比特。 按照目前超导量子芯片的纠错标准来折算，1200 个逻辑比特，大约需要不到 50 万个物理量子比特。 比起过去动辄几千万个物理比特的预期，硬件实现的门槛直接降低了二十倍。

比比特数量更关键的，是运算速度。 在超导量子芯片的时钟周期下，跑完这套编译好的线路，大约耗时 9 到 12 分钟。

这就带来了那个让人坐立不安的时间窗口。 你的比特币放在冷钱包里好几年不动，会被这 9 分钟攻破吗？ 不会。 因为你的比特币收款地址，并不是你的原始公钥。 它是公钥经过 SHA-256 和 RIPEMD-160 两次哈希计算后生成的指纹。 量子计算机在数学上对哈希算法没有这种降维打击能力。 只要你的比特币静静躺在现代钱包地址里，外界就看不到你的原始公钥。 拿不到公钥，量子算法就根本算不出你的私钥。

危险发生在你花钱的那一刻。 当你要发起一笔转账时，必须在全网广播交易信息。 这笔交易里，必须包含你的数字签名，以及此前从未在链上公开过的原始公钥。 交易广播出去之后，并不会瞬间到账。 它会先进入全网节点的交易内存池（mempool），等待矿工挑选并打包进下一个区块。 比特币网络出块的平均时间，正好是 10 分钟。 也就是说，在发起转账到最终上链之间，你的原始公钥要在所有人都能看到的公共内存池里停留大约 10 分钟。 如果攻击者的量子计算机能在 9 分钟内推导出私钥，攻击过程就会变得非常顺畅。 他在内存池里拦截到你刚刚广播的交易，提取出你的公钥。 量子计算机全速运转，9 分钟内算出了你的私钥。 紧接着，他用刚到手的私钥签署一笔全新的转账，把你钱包里所有的币直接转给他自己。 为了抢在你的合法交易前面被矿工打包，他把转账手续费拉到极高，触发比特币网络的手续费替代机制（RBF）。 第 10 分钟矿工打包出块。 矿工为了利益最大化，优先打包了那笔手续费更高的盗窃交易。 攻击者的交易成功上链，你的原始交易因为账户余额归零被全网抛弃。 转账变成了别人的提款。

这还只是现代地址面临的动态风险。 在比特币账本里，还有一部分资产处在完全裸奔的状态。 在比特币刚诞生的前两年，中本聪使用的交易格式叫 P2PK。 这种早期格式没有任何哈希掩护，直接把 65 字节的原始公钥明文刻在区块链账本上。 再加上很多用户习惯重复使用同一个地址收款，只要发起过一次转账，公钥也就永久曝光了。 根据链上安全机构的统计，目前公钥已经完全暴露在链上的比特币，大约在 200 万到 400 万枚之间。 这里面包括中本聪本人留在创世区块周期的 110 万枚比特币。 面对这几百万枚比特币，量子计算机根本不需要卡着 10 分钟去抢跑。 它可以安安静静地离线计算，花几天或者几周时间把私钥逐个算出来，直接搬走。

这件事在今天还不至于引发恐慌。 现有的量子计算机依然停留在满是噪声的初级阶段，距离几十万个物理比特的工程落地还有相当长的路。 而且在数学理论上，防御手段早就存在。 后量子密码学（PQC）已经开发出基于格密码等新结构的签名方案，足以抵御量子攻击。 以太坊和比特币的开发者社区，也一直在推进抗量子算法的研究。

真正的阻力来自工程和治理。 要让比特币更换底层的签名算法，必须进行全网硬分叉。 让遍布全球的矿工、全节点、交易平台和持币者统一行动修改底层共识，向来极其艰难。 以往哪怕只是一次区块大小的参数调整，社区都能僵持几年时间。 如果要彻底更换签名体系，所有私钥格式、签名大小和交易验证规则全部要推倒重来。 后量子签名的体积通常比现有算法大上几十倍，区块空间的占用又会带来新的博弈。

Google 和各路学者给出的这组测算，并没有宣告密码体系今天就会破裂。 它的影响在于，把一个原本停留在猜想阶段的概念，缩减成了一套参数确定的工程目标。 当核心线路压缩到 900 个逻辑比特以内，当推算时间被压缩到 9 分钟，留给整个生态协调自保的时间窗口，确实被大大收紧了。