谷歌警告：加密货币可能没有我们想象的那么多时间

编译：白话区块链

想象一下，你引以为傲的“数字金库”——比特币与以太坊，其底层防护墙在短短三年内可能像烈日下的冰雪般消融。这并非科幻臆想，而是源自谷歌最新白皮书的严峻预警：量子计算的“Q-day”极可能提前至2029年降临。

当足以瞬间破解椭圆曲线密码学的“快时钟”量子计算机从实验室走入现实，数万亿美元的加密资产将赤裸裸地暴露在史无前例的威胁之下。是坐以待毙，等待中本聪的钱包被“数字打捞”，还是在去中心化治理的泥沼中寻求一场绝地求生的技术大迁徙？本期《Unchained》特邀 Project 11 与 Oraic 的掌舵人，深度拆解这场量子风暴背后的底层逻辑与生存指南。这不仅是一场关于算力的博弈，更是加密文明在物理法则剧变前夕的终极自救。

主持人 Laura Shin： 大家好，欢迎来到 Unchained。我是主持人 Laura Shin。今天的主题是量子计算对加密货币构成的威胁，以及为什么它可能比人们预期的来得更快。我们邀请到了 Project 11 的联合创始人兼 CEO Alex Prudin，以及 Oraic 的 CEO Dolev Bluestein。

今天早上的重大新闻可能彻底改变区块链采用后量子技术的路线图。根据谷歌最新发表的白皮书，量子计算机破解椭圆曲线密码学（ECC）的“截止日期”现在被提前到了 2029 年，也就是仅剩 3 年时间。谷歌通过零知识证明的方式，证实了未来的量子计算机能够破解保护比特币和以太坊公钥的密码学基础。Alex，你能先分析一下这个新闻对加密社区的震动吗？

嘉宾 Alex Prudin： 这次新闻有三个极其关键的信号。首先是“可信度”，共同作者中不仅有谷歌团队，还有以太坊基金会的核心成员 Justin Drake 和斯坦福大学的密码学泰斗 Dan Boneh，这让长期以来被视为“狼来了”的量子威胁论瞬间变得真实。

其次，他们采用了零知识证明（ZKP）的方式发布。他们展示了逻辑电路和粗略方法，证明自己已经掌握了攻击路径，但为了防止坏人利用，隐瞒了具体漏洞细节。这说明威胁已经到了“负责任披露”的阶段。

最后，是攻击向量的全面性。这篇论文不仅仅在谈论中本聪那些处于静态的早期比特币，它还涵盖了稳定币、Layer 2 的数据可用性系统，甚至是目前的零知识证明系统本身。几乎所有数字资产的根基——椭圆曲线密码学，都被证明在量子面前是脆弱的。在此之前，没有任何一份分析能如此透彻地描述这种全方位的崩溃。

主持人 Laura Shin： 谷歌对加密资产的了解程度确实令人惊讶。那么 Dolev，你们公司 Oraic 最近也宣布了一项量子突破，这与谷歌的研究有什么关联？

嘉宾 Dolev Bluestein： 我们在 arXiv 上发表了论文，虽然尚未经过同行评审，但技术结论非常扎实。简单来说，我们证明了实现 Shor 算法（用于因式分解大质数，即破解密码的关键算法）仅需 10,000 个可重构的原子量子比特。

这是一个巨大的飞跃。十年前，学术界认为需要 10 亿个物理量子比特才能制造出足够稳定的“纠错量子比特”，而当时的系统只有 5 个量子比特。就在不久前，最乐观的估计也需要 50 万到数百万个。而我们通过一种基于真空原子和激光捕获的新型纠错方法，将门槛降低了 50 倍。目前我们在实验室的系统已经达到了 6,000 个原子量子比特。这意味着，我们正在跨越从“理论威胁”到“实质相关”的转折点。

主持人 Laura Shin： 2029 年这个时间线对你来说合理吗？有没有可能提前到 2028 年？

嘉宾 Dolev Bluestein： 2029 年是一个相当合理的估计。虽然科学进展不能百分之百保证，但按照目前的开发速度，在本十年末实现实用规模的量子计算机是完全可能的。虽然它不太可能在明年“一夜之间”发生，但随着 AI 在科学工程领域的深度参与，研发进程正在大幅缩短。我们目前在加州大学理工学院（Caltech）运行着世界上最大的量子系统，虽然让它从目前的实验状态进化到运行 Shor 算法的容错状态依然极其复杂，但路径已经清晰。

密码学界的争议：是“杞人忧天”还是“生存危机”？

主持人 Laura Shin： 约翰霍普金斯大学的著名密码学教授 Matthew Green 曾发推表示，他不相信有生之年需要担心量子威胁。Alex，你曾与他共事过，你如何看待这种来自顶级密码学家的乐观态度？

嘉宾 Alex Prudin： 我非常尊重 Matthew，他是一位了不起的专家。我们确实在私下讨论过那条推文。我认为密码学家之间的分歧不在于“量子计算是否是威胁”，而在于“威胁的优先级”。

Matthew 的逻辑是基于安全博弈论：国家级机构（如 NSA）如果想获取信息，有比造一台量子计算机更容易、成本更低的方式。他是安全专家，见过太多由于系统漏洞或社会工程学导致的崩溃。但正如他后来承认的，由于量子物理领域的进展极其迅速，这种“滞后感”可能会让他日后感到后悔。

物理学家（如 Dolev）看到了实验室里指数级增长的数据，他们表现出的是基于技术现实的乐观；而密码学界的反应往往像扔进池塘的石头，波纹扩散需要时间。Dan Boneh 这样的人已经开始警觉，这说明风向正在转变。

主持人 Laura Shin： Dolev，你觉得大家应该把 2029 年作为真正的后量子目标（PQC）吗？

嘉宾 Dolev Bluestein： 我认为“合理但不能保证”这个表述最准确。但从风险管理角度看，这存在不确定性。椭圆曲线密码学承载的是区块链的“生存价值”。即使概率只有 10%，考虑到迁移到全新密码学基础所需的时间成本，我们也必须现在行动。因为这不像按下一个按钮那么简单，它涉及数万亿美元资产的搬迁。

主持人 Laura Shin： 谷歌在论文中隐瞒了具体实现方法，这在学术界常见吗？

嘉宾 Alex Prudin： 这是一个有趣的趋势。谷歌在论文中明确提出了一个观点：量子计算机不会在地平线上慢慢出现。如果你能用量子计算机因式分解一个 32 位的数字，你其实已经非常接近构建能处理 256 位（比特币加密强度）的机器了。这是一个突变过程。

谷歌引用了网络安全中的“负责任披露”原则。当你发现一个足以颠覆全球金融基础的漏洞时，证明你做到了但隐瞒技术细节，是防止社会动荡和黑产利用的常规做法。这也侧面反映了该技术的相关性和潜在价值规模。

实用规模量子计算：纠错技术的“模拟转数字”革命

主持人 Laura Shin： 你们的新闻稿中提到了“实用规模量子计算机”（Utility-scale Quantum Computer），这具体指的是什么？

嘉宾 Dolev Bluestein： 实用规模指的是能够解决材料科学、化学、人工智能以及密码学等大规模实际问题的机器。要理解它，必须理解“纠错”。

1994 年 Peter Shor 发明算法时，很多人认为这只是理论，因为量子态非常脆弱。量子计算本质上更像“模拟计算”，它处理的是叠加态，就像电压的连续值，非常强大但极易出错且无法纠正。而经典数字计算机之所以鲁棒，是因为它只有 0 和 1。

量子纠错的伟大之处在于，它利用波粒二象性，让我们可以像数字计算机一样去纠正模拟状态下的错误。在过去的 12 个月里，我们在实验上展示了如何通过增加物理量子比特来指数级地减少错误。

嘉宾 Alex Prudin： 我想补充一个对区块链社区很重要的点：很多人认为我们离破解比特币还很远，是因为目前的错误率太高。但他们误解了“阈值”的概念。一旦我们跨过纠错阈值，增加一两个量子比特就能带来性能的指数级提升。这就像是一个开关，一旦闭合，扩展速度会超出所有人的想象。我们正生活在科学的新时代。

主持人 Laura Shin： 这会让量子计算变得像个人电脑一样普及吗？

嘉宾 Dolev Bluestein： 目前还不清楚它是否会进入家庭厨房。但“实用规模”意味着它将开启一种全新的计算范式。一旦达到纠错阈值，它在特定领域的计算能力将彻底碾压经典计算机。

“Q-day” 降临：比特币、以太坊与实时攻击风险

主持人 Laura Shin： 让我们谈谈这对加密货币的具体影响。如果“Q-day”（具备破解能力的量子计算机出现的日子）真的在 2029 年到来，会发生什么？

嘉宾 Alex Prudin： 简单来说，拥有量子计算机的人可以从公钥中恢复私钥。这意味着，所有公钥暴露在外的资产都可能被瞬间盗取。

对于比特币，最直接的受害者是中本聪（Satoshi）的原始钱包以及那些丢失了私钥但公钥公开的币。这可能会演变成一种“数字打捞”。但更深层的威胁在于，区块链的“无信任”根基被打破了。如果私钥不再能保证所有权，我们该如何处理这些被量子计算机“回收”的资产？是烧掉它们，还是通过共识冻结它们？这需要全社区 51% 以上的矿工达成极其艰难的共识。

主持人 Laura Shin： 谷歌论文中区分了“快时钟”和“慢时钟”量子计算机，这对比特币有什么特别影响？

嘉宾 Alex Prudin： 这涉及到一个非常可怕的概念：实时攻击（On-spend attack）。目前比特币的地址是公钥的哈希值，只要你不发送交易，公钥就不会暴露。但在你发送交易的一瞬间，你的公钥就会出现在内存池（Mempool）中，等待区块确认。

如果你使用的是“慢时钟”量子计算机，你只能去攻击那些已经暴露在链上的、静态的早期地址。但如果对手拥有“快时钟”量子计算机，他们可以在你提交交易到区块确认的 10 分钟窗口内，算出你的私钥，然后签发一笔手续费更高的交易，将你的资金重定向到他们的钱包。

主持人 Laura Shin： 这种攻击在其他链上也会发生吗？

嘉宾 Alex Prudin： 比特币 10 分钟的区块时间让它显得格外脆弱。谷歌估计实时攻击可能在 9 分钟内完成。相比之下，以太坊 12 秒的区块时间目前是相对安全的，因为量子计算机还没快到那个程度。但这也意味着，比特币无法在量子威胁真实存在后，以“无许可”的方式安全迁移。一旦实时攻击成为可能，你只要尝试迁移，对手就会在半路截获你的资金。

主持人 Laura Shin： Justin Drake 预测 2032 年有 10% 的概率发生这种破解，你同意吗？

嘉宾 Alex Prudin： 我一年前曾和人打赌是 2035 年。但看到最近的研究后，我愿意押注 2032 年甚至 2030 年。我认为大家应该在预测市场上开盘，让持有者能够对冲这种协议无法及时更新的风险。

迁移之路：去中心化治理的终极考验

主持人 Laura Shin： 谷歌论文显示，前 10 万个脆弱地址持有的比特币总额高达 670 万枚，价值约 4500 亿美元。如果比特币开发者现在不行动，后果不堪设想。但比特币的去中心化哲学往往导致决策极度缓慢。

嘉宾 Alex Prudin： 这正是讽刺之处。去中心化是比特币成为“数字黄金”的原因，但在面对这种物理级的技术突变时，共识惯性成了最大的短板。

作为开发者，我们不能只等共识。Project 11 正在钱包层和基础设施层构建工具。例如我们推出的 Yellow Pages，它允许用户创建一个新的后量子密钥，并在目前的椭圆曲线环境下进行预签名。如果你等到量子计算机真的出现在市场上再尝试迁移，那就太晚了。

主持人 Laura Shin： 那么 BIP 360 提案（Pay to Merkel Root, P2MR）呢？它能否拯救比特币？

嘉宾 Alex Prudin： BIP 360 是很重要的一步，它通过禁用 Taproot 的 key-path spend 来防止公钥暴露，从而保护资产免受慢时钟量子计算机的攻击。但这并没有为比特币引入真正的后量子签名。它只是在“止损”，而不是在“治愈”。

主持人 Laura Shin： 以太坊的处境会有所不同吗？

嘉宾 Alex Prudin： 以太坊的优点在于他们承认问题的态度非常积极。Justin Drake 正试图将后量子防御纳入路线图。但以太坊的挑战在于复杂性。以太坊是权益证明（PoS）机制，它的共识层本身就依赖签名，如果签名被伪造，整个链的安全性就垮了。此外，以太坊庞大的智能合约生态、Layer 2 资产、DeFi 协议，每一个环节都需要重新部署逻辑。这比比特币单纯的转账逻辑复杂几个数量级。

主持人 Laura Shin： 市场上有一些宣称“量子原生”的 Layer 1 区块链，它们会有优势吗？

嘉宾 Alex Prudin： 它们正在赌一个未来：即现有的大链（BTC, ETH）由于治理僵局而无法及时迁移，从而导致价值大规模流向量子原生链。虽然目前大多数人还是希望保护现有的资产，但这些量子原生链确实充当了“密码学实验场”的角色。

加密货币实际上是世界上规模最大的密码学漏洞赏金计划。如果有人能用经典方式破解中本聪的地址，他们早就拿走那几百亿美元了。这些新链正在为未来的后量子金融轨道测试基础设施。

主持人 Laura Shin： 最后，Project 11 接下来会有什么动作？

嘉宾 Alex Prudin： 我们的口号是“现在就开始动手”。我们即将发布一份深度研究报告，向非物理专业人士解释量子威胁的具体指标。同时，我们也在开发支持后量子算法的新一代钱包。

尽管听起来像“量子末日”提前了，但我依然乐观。去中心化系统曾创造过无数奇迹，比如以太坊从 PoW 到 PoS 的丝滑切换。如果我们能成功跨越量子这道坎，我们将证明去中心化治理不仅能应对社会挑战，也能在人类最前沿的技术变革中生存并领先。

主持人 Laura Shin： 非常感谢 Alex 和 Dolev 的分享。量子威胁就在地平线上，而行动的时间就是现在。感谢大家收看，我们下期再见。

来源：https://www.youtube.com/watch?v=PI7kaYEjPMU