量子计算真来了 中本聪的比特币该不该被冻结？

作者：BITWU.ETH 来源：X，@BitwuxCZ提到的一个关于冻结中本聪比特币账户的言论引起轩然大波，可以说撕开了比特币未来最难的一道题！我觉得这是一件很有意思的事情，让大家再次关注到量子攻击和比特币本身，这件事很重要，而且技术在进步，非常值得我们常看常新，大家应该关注并用心思考。下面开课了：CZ 到底说了什么，为什么引起激愤？CZ 的意思是：如果比特币未来完成抗量子升级，可以给长期不动、量子脆弱的钱包一个 6–12 个月或约 1 年的迁移期；如果仍不动，就在新协议下冻结这些币，避免它们未来被第一个拥有量子能力的人“偷走”。他也强调这应由比特币社区共识决定，不是他个人或 Binance 能决定。所以很多人推文里提到：CZ 提议对 BTC 分叉以锁定中本聪 100 万枚 BTC；这句话有三个问题：第一，不是 CZ 能提案就执行；第二，不是单纯针对一个地址，因为所谓中本聪币本来就是一组早期挖矿输出的概率归因；第三，总量变 2000 万不是修改比特币发行上限，而是让某些 UTXO 在某条新规则链上永久不可花费。比特币理论上限仍是略低于 2100 万枚；“可花费供应量”本来就会因为丢失、销毁、技术原因低于理论总量我觉得这里更准确地表达，应该意思是：比特币有必要认真做抗量子迁移；但现在没有必要、也很难有共识去专门冻结中本聪的币；未来如果量子威胁变得足够近，比较可行的方案也不该是针对中本聪的账户，而应是针对所有量子脆弱的旧签名/旧地址类型，给出多年迁移窗口、明确规则、尽量保留救援通道。从比特币发展史看：这事为什么敏感这件事的敏感恰恰证明了比特币的价值！比特币的核心不是某个团队维护数据库，而是一个无需可信第三方的点对点系统。白皮书开头讲得很清楚：目标是让在线支付直接在双方之间完成，不经过金融机构；数字签名只是部分方案，关键是用点对点网络和 PoW 解决双花问题。比特币的所有权也很简单：私钥签名证明你能花这笔 UTXO。Bitcoin.org 的解释是，钱包保存私钥或 seed，用它签名交易，签名提供数学证明，证明交易来自钱包所有者。 这就是“not your keys, not your coins”的技术基础。现在说要让某些原本可被有效签名花费的币变成不可花费，本质上是在改变所有权规则，哪怕出发点是防御量子攻击，也会天然触动比特币最敏感的神经。还有一个制度层面的事实：BIP 被收录不代表即将采用，也不代表社区共识。Bitcoin BIPs 仓库说明，BIP 被发布只是说明它符合形式和范围，并不表示它是好主意、有社区共识或即将被采用；最终接受和采用取决于 Bitcoin users，也就是经济节点、矿工、钱包、交易所、托管方、持币者构成的社会共识。所以市场反对声音和激烈的反应，大部分是来自于早期的 OG 对比特币纯粹的理解，比特币过去之所以有价值，很大一部分来自“规则难改”。如果今天为了安全可以冻结一批币，反对者会问：明天能不能为了监管、制裁、遗产纠纷、环保、政治压力，再冻结另一批币？这个担忧不是情绪化，是比特币制度设计的核心问题。中本聪 100 万 BTC 本身也是估计，不是确定事实所谓中本聪约 100 万 BTC，主要来自 Sergio Demian Lerner 的 Patoshi / ExtraNonce 模式分析。Lerner 2013 年估计中本聪财富约 100 万 BTC，但他自己也说无法 100% 确定这些黑点都属于中本聪，只能说几乎属于一个从极早期开始挖矿且未花费的实体。BitMEX Research 后来复盘这个问题时也提醒：早期确有强证据显示 2009 年存在一个主导矿工，但“中本聪挖了 100 万 BTC”的证据没有很多人以为的那么稳固；他们的分析认为强证据部分可能更接近 60–70 万 BTC，虽然很多社区成员仍相信“约 100 万”这个数字。这意味着，专门冻结“中本聪的币”在执行上很难干净。你必须先回答：哪些输出算中本聪？依据是什么？误伤早期矿工怎么办？如果只是按很久没动来判断，那你又会误伤丢失、继承、冷存储、长期信仰者的钱包。这个治理问题比技术问题更难。量子攻击到底攻击什么？不是“挖矿”，主要是签名！公众讨论经常把量子攻击混成一团。对比特币来说，最关键的风险是：Shor 算法可以在足够强的量子计算机上，从已知公钥推导私钥，从而伪造签名并花走币。新近研究也强调，Shor 威胁的是 ECDSA / Schnorr 这类签名；而 Grover 对 PoW 哈希挖矿只有平方级加速，受纠错成本、并行化限制和难度调整影响，并不是同一类威胁。哪些 BTC 有风险？关键看公钥是否已经暴露。Glassnode 的 2026 年 5 月研究把“静态暴露”定义为：花费该币所需的公钥是否已经在链上可见。按这个口径，约 604 万 BTC，即已发行供应量的 30.2%，处于静态暴露状态；其中一类是脚本类型天生暴露公钥，比如早期 P2PK、裸多签、Taproot；另一类是因为地址复用、部分花费、托管操作等行为导致公钥暴露。这就解释了为什么中本聪币被反复拿出来讨论：早期 P2PK 输出会直接把公钥放在链上，若未来出现足够强的量子计算机，这些币理论上会成为“静态靶子”。所以 CZ 提出的锁定这部分比特币也不是他提出的，而是之前比特币社区就一直有这个理论，本意也是保护比特币的整体生态和价格。但问题是，这不是只有中本聪的问题，交易所、托管方、地址复用、Taproot 输出也在暴露范围里。现在有没有立即危险？没有证据表明已有能破解比特币签名的量子计算机。Google Quantum AI 2026 年的论文和官方博客说的是：他们把破解 256-bit 椭圆曲线离散对数所需资源估计大幅降低；在某些假设下，少于 50 万物理量子比特的超导量子计算机可在几分钟内执行相关电路，但这仍是未来 CRQC 条件下的估算，不是今天已经发生的攻击能力。抗量子升级是有必要的，但冻结不是第一步！NIST 已在 2024 年发布第一批后量子密码标准，并鼓励系统管理员尽快开始迁移，因为完整集成需要时间；其中 FIPS 204 和 FIPS 205 是数字签名标准。这说明抗量子迁移不是币圈自嗨，整个密码学和安全行业都在推进。下面说下，我找到的关于比特币社区已有相关路线讨论：1）BIP-360BIP-360 提出 Pay-to-Merkle-Root，也就是 P2MR，目标是提供类似 Taproot 的脚本树功能，但移除量子脆弱的 key-path spend，作为推进比特币抗量子的第一步。 但 BIP-360 不是完整终局方案，它更像是降低长期公钥暴露风险的结构改造。2）BIP-361更激进的是 BIP-361，标题是 “Post Quantum Migration and Legacy Signature Sunset”，目前状态是 Draft。它设想在有后量子输出类型之后，逐步淘汰旧 ECDSA / Schnorr 签名：Phase A 在激活约 3 年后禁止向量子脆弱地址继续发送资金；Phase B 在 Phase A 两年后收紧旧签名验证，使未迁移资金只能通过量子安全救援协议处理。CZ 的说法更像是把 BIP-361 背后的争议用一句话讲出来：如果不迁移，是否应该冻结？ 但 BIP-361 的时间尺度是多年，不是简单“1 年后锁中本聪”；它还讨论了救援协议，比如 HD 钱包可通过额外知识证明真实所有者，而量子攻击者只知道公钥不一定知道 seed 或上级私钥。结语当未来的技术风险逼近时，比特币到底是靠人治去保护安全，还是靠共识去升级规则？这道题，现在还没有答案。但越早认真讨论，越能说明比特币不是停在过去的古董，而是一个仍在面对未来、接受压力测试、并不断进化的全球货币实验。活着，然后复利。对人如此，对比特币也一样。 查看更多