引言
要把一枚比特币迁移到抗量子输出类型,需要用一把量子计算机能够破解的密钥生成一个椭圆曲线签名。这是所有迁移方案核心的结构性陷阱。面临风险最严峻的那些币,恰恰是主人已经不在场的那些——而不在场的主人无法签署清扫交易(sweep transaction)。无论钱包工具多完善、交易所协调多到位、客户端升级做得多好,都无法改变这个现实。任何针对这些币的协议层处理方案,都需要一次共识决策,而不是用户端的操作。
Project Eleven首席执行官Alex Pruden在2026年5月初的Consensus Miami大会上公开提出了协调难题这一论点,他的表述可以作为理解这个问题的一个锚点:这次迁移会比Taproot更难,因为Taproot是可选启用的,部分采用即可接受;而后量子迁移只有在几乎所有人都参与的情况下才能带来真正的安全收益。他以Taproot大约五年的推广周期作为参照基准,主张比特币应该在硬件发展时间线明朗之前,就把某种后量子签名方案从研究阶段推向生产环境——这个论证依据的是风险不对称,而不是对未来的自信预测。
我们对这一话题的信息来源截至2026年5月初,而且比这个议题应得的报道深度要单薄。BIP-360在2025年被提出,旨在增加一种抗量子的Taproot风格输出类型,这一点是有据可查的。但坊间流传的说法——包括2026年2月合并进Bitcoin Core、某个配套迁移BIP中的具体分阶段方案、2026年谷歌量子AI团队某项将破解secp256k1所需资源估算大幅降低的成果、以及以太坊内部存在专门的后量子团队——这些我们都无法通过一手文献加以核实。我们将其视为未确认信息,转而从机制本身进行推理,并在每处信息缺口出现时予以标注。公钥暴露、清扫交易、区块权重以及UTXO模型的运作机制,都可以从协议本身得到验证,而正是这些机制暴露了这次迁移会在哪里出问题。
风险敞口并不均匀,关键在于公钥
1994年发表的Shor算法,是这个问题成为现实工程课题而非纯理论假设的原因。一台足够强大的量子计算机运行该算法,能够从secp256k1等椭圆曲线上已知的公钥反推出对应的私钥。因此真正处于风险中的资产不是地址,而是公钥,而比特币各类输出类型的区别就在于是否公开了公钥。
这里有三类输出值得关注。早期的pay-to-public-key输出——包括与”Patoshi”挖矿模式相关的coinbase输出——直接在脚本中携带原始公钥,自2009年以来就一直暴露在外。Pay-to-public-key-hash及其隔离见证变体,在未花费状态下只公开密钥的哈希值,但一旦被花费就会暴露公钥,因此任何曾经被花费过又被重复使用的地址都是完全暴露的。Taproot输出则直接在scriptPubKey中承诺一个32字节的调整后公钥,这意味着任何未花费的Taproot输出天生就暴露了公钥。也就是说,协议设计上最新的这种输出类型,在这个维度上反而是保护最弱的之一。
基于哈希的保护比表面看起来要脆弱。它提供的并非持久的保密性,而只是一段延迟——一直延续到主人尝试花费为止。花费交易会在同一条消息中同时暴露公钥和签名,而这条消息在确认前会在内存池中停留一段时间。Pruden描述了由此产生的竞速情形:一旦具备密码学威胁能力的量子计算机出现,监视内存池的攻击者就能从暴露的公钥反推出私钥,构造一笔支付给自己的竞争交易,附上更高手续费,抢在合法主人之前被打包进区块。防御窗口只有一个确认间隔的时长,而且随着攻击者密钥恢复速度的提升,这个窗口还会不断缩短。
这一机制对迁移时机的选择有直接影响。如果持有者等到量子计算机已知存在之后才匆忙将币清扫到抗量子输出中,那么恰恰是在攻击者正在监视之时,广播出了攻击者所需要的全部信息。清扫操作必须在密钥恢复仍不可行的阶段完成,这意味着迁移的时机不能由”存在活跃攻击”的证据来驱动,而只能由一个预测来驱动——而这个预测本身充满争议。
Pruden将Bitcoin Core开发者对这一威胁的态度描述为分歧而非一致:一些贡献者认为具备实战能力的量子计算机永远不会出现,而据他所说,多数物理学家的看法是量子计算机会出现,且时间线可能正在被压缩。这种分歧不是无关紧要的细节。一次主要依据是”硬件进展的概率分布”来论证正当性的迁移,单靠技术论证是无法产生硬性截止日期的,而比特币也没有其他机制能够强制设定截止日期。
一种可选启用的输出类型能解决什么,不能解决什么
按照2025年提出的方案,BIP-360的贡献在于引入一种新的输出类型,用后量子签名方案而非Schnorr或ECDSA来验证花费。从概念上看,这是这个问题中相对可解的那一半。增加一种输出类型属于常见的软分叉。未升级的节点会将新类型的花费视为在旧规则下”任何人可花费”,并依赖已升级的节点去执行真正的验证条件——这与SegWit和Taproot上线时的模式一致。现有UTXO不受任何影响,想用新类型的钱包可以用,不想用的钱包保持不变。
我们未能查阅到目前的规范文本,具体方案选择、脚本格式和激活机制仍是我们信息来源中的空白,而非我们刻意隐瞒的既定事实。目前有据可查的是这次密码学选择的大致方向。NIST已经标准化了基于哈希函数和基于格(lattice)的后量子签名族,据报道比特币开发者的讨论倾向于基于哈希的方案。具体理由不在我们掌握的资料范围内,但密码学文献中对这一权衡有普遍共识:基于哈希的构造依赖的是更薄弱、更古老的哈希函数安全假设,而不是较新的结构化格问题假设,代价是签名更大,某些构造还带有状态性(statefulness),这会使密钥管理复杂化。对于一个失败后果不可逆的协议来说,在假设选择上保守是站得住脚的优先项。
Blockstream已经在Liquid网络上部署了一种基于哈希的签名方案,这为这场争论提供了一个这个领域里颇为稀缺的东西:一个承载真实价值、运行在生产环境中的后量子签名系统,可以观察其实际运作表现。Liquid是一条联邦制侧链,信任模型和吞吐量特性都与比特币主链大不相同,所以它回答不了关于主网手续费市场或区块权重的问题。但它能回答一些更具体的问题:实现的成熟度、签名性能,以及密钥管理模型在实际托管运营中能否经受住考验。
一种可选启用的输出类型解决不了的是覆盖率问题。任何没有被迁移到抗量子输出中的币仍然处于暴露状态,而一次”新增输出类型”式的软分叉本身并不会让任何币发生移动。现有UTXO集合的迁移是一个独立的问题,牵涉独立的政治经济学,这正是”分阶段淘汰旧输出类型”提案登场的地方。我们的信息来源没有描述任何此类提案的具体分阶段方案,我们也不打算凭空重构。这里值得明确指出的机制性问题是:任何真正意义上的淘汰,都意味着需要一条共识规则,最终拒绝那些本来完全有效的ECDSA和Schnorr花费交易。这是协议手中唯一的强制执行手段,而它会永久摧毁被遗留在外的资产的可花费性。
可选启用是行得通的,直到未迁移的币变成所有人的问题
Taproot的部分采用之所以是可以接受的,是因为不采用的成本完全由不采用者自己承担,而且成本很轻微:交易略大一些,没有脚本路径隐私,没有密钥聚合。采用曲线可以拖延多年而不会给其他人带来外部性。
后量子迁移把这个动态完全颠倒了过来。留在暴露输出类型上的一阶损失确实由持有者自己承担,但二阶效应不会止步于此,它通过三条渠道向外扩散。
第一条是抵押品渠道。BTCFi多年来一直在构建借贷市场、质押系统以及各种包裹资产表示形式,而这一切都建立在”一枚比特币UTXO是一个已结算的债权”这个假设之上。一枚作为抵押品使用的量子脆弱UTXO,实际上是一个带有概率性到期日的债权,而持有这类抵押品的协议根本没有办法为这种风险定价。如果一名借款人抵押品的风险敞口取决于毫不相干的其他持币者是否完成了密钥轮换,那么”迁移状态”就变成了一个信用参数,而目前没有任何借贷协议把它当作参数来追踪。
第二条是托管集中度渠道。交易所和托管机构将币存放在为低频访问设计的冷存储结构中,通常是多签方案,密钥分片分布在不同地理位置,签名仪式往往需要数天时间。把这些密钥轮换到新的输出类型不是一次简单的软件升级,而是需要在整本账目上重新走一遍最初的密钥仪式流程,事后还要进行储备证明的核对。持有最大量币的机构,恰恰是行动最迟缓的那些。
第三条是货币性渠道。一次针对长期休眠币(尤其是被归为中本聪相关的币)的成功盗窃,不会被解读为一起孤立的损失事件。它会被解读为证据,说明比特币的发行时间表和产权保证是有条件的,市场会把这种解读重新定价到所有币上,无论迁移与否。这条渠道把一个个体层面的安全决策,变成了一个集体性的问题,这正是自愿迁移无法作为完整防御手段的原因。
Pruden的不对称性论证正是由此而来。如果量子硬件的发展停滞不前,等待的代价相对较小,因为一种闲置不用的后量子输出类型只是一项温和的维护负担。但如果硬件在UTXO集合仍大部分停留在secp256k1上的时候就已经就绪,等待的代价会非常巨大,因为一旦攻击者开始监视内存池,迁移本身就变得不安全了。反方论点也应当被公正地陈述:比特币历史上有过一长串被紧急预警却最终未按预期到来的威胁,共识层面的改动本身也带有自己的尾部风险,而在2026年在时间压力下选定的方案,到2040年可能被证明是错误的选择。那些认为威胁遥远的开发者现在拒绝把比特币有限的协调能力投入到这件事上,并非草率,而是在对哪种风险更大做出不同的判断。
清扫本身就是这场操作,而操作是有代价的
一次迁移不是一次软件更新。它是一次链上事件,其中UTXO集合的很大一部分需要被花费到新输出中,由此产生了特定的顺序约束。
钱包和库支持必须最先落地,因为在有经过测试、能够生成后量子密钥、构造新输出类型、签名和验证的实现之前,下游任何环节都无法推进。接下来是硬件签名设备,它们的固件评审周期很长,对于带状态的哈希签名方案,可能还需要现有设备原本没有设计过的存储和状态跟踪能力。再之后是交易所的热钱包基础设施,这是最容易迁移的机构层面,因为密钥本来就已经在线。冷存储和托管紧随其后,这是最迟缓的机构层面,却持有着最大的余额。最后是长尾的自托管币:纸质备份、继承而来的助记词、休眠钱包,这些必须最后才能迁移。这个顺序是我们从技术依赖结构中推演出来的,而不是根据某份公开计划报道的;我们查阅的资料中没有任何一份明确给出操作顺序,而任何真实的时间表都将由参与者自行决定,而非由协议规则决定。
清扫阶段有两个经济特征值得细看。第一,它会在迁移实际发生的那段窗口期内,对区块空间造成集中的需求冲击。每一枚要迁移的UTXO都需要一个输入,而合并输入(consolidation)只能部分抵消这种占用。如果存在一个淘汰截止日期,理性的持有者会等到接近截止期限才行动,这会进一步压缩需求窗口,把手续费推高——而恰好是在最不成熟的持有者试图行动的时候。第二,清扫交易会暴露旧公钥,所以晚迁移的持有者恰好是在攻击者能力最有可能已经具备的那段时间窗口内暴露自己的。晚迁移意味着成本更高、安全性更低同时发生,这对错过窗口期的人构成了严厉的惩罚。
签名尺寸撞上了固定的区块权重
比特币的区块权重上限不会为了适应更重的签名方案而调整。Taproot下的Schnorr签名只有64字节,单输入单输出的密钥路径花费(key-path spend)是协议支持的最小交易之一。而NIST标准化的后量子签名方案——无论是基于哈希还是基于格的家族——签名普遍大得多,在若干情况下公钥也更大。我们没有针对比特币正在考虑的具体参数集的核实数据,对一个尚未确认的方案引用具体大小数字是不负责任的做法。但即使没有具体数字,方向性的结论依然成立。
由此产生两个不同的效应。迁移本身是一次性成本:大量交易花费旧的输出,每一笔仍然由紧凑的ECDSA或Schnorr签名验证,这意味着清扫阶段的高昂成本主要来自交易数量,而非签名尺寸。永久性的成本则在此之后到来——每一笔从抗量子输出发起的花费,其witness中都会携带更大的签名。每个区块能容纳的有效交易数量,会按新witness数据带来的比例而下降,占用给定区块空间比例所需的手续费也会相应上升。SegWit引入的witness折扣(witness数据按四分之一权重计算)能缓解这一影响,但无法消除这项开销。
这一后果的影响不局限于基础层的手续费水平。闪电网络的通道操作、CoinJoin构造以及各种多输入的批量方案,它们的链上占用都随每个签名的尺寸而扩大。多签方案受到的冲击最大,因为门限结构会让签名数量成倍增加。如果后量子签名足够大,一些今天在经济上司空见惯的多签配置就会变得代价高昂到足以改变托管结构的地步,推动机构持有者转向更少、更大规模的签名法定人数,或者转向针对所选原语可能尚不存在的聚合方案。要恰当地建模这一切,需要实际的参数集,以及关于已迁移UTXO构成的假设。二者目前均不可得,后量子比特币的吞吐量成本至今仍是公开研究中未被量化的问题。
五百万枚谁也动不了的币
在CoinDesk对Pruden言论的报道中,出现了一个数字——“逾五百万枚”休眠币,包括Patoshi模式的币,归因于一个只被称为”Harper”的人。我们没有关于这个数字的方法论,也没有独立的核实来源,而且”休眠”的定义会随着回溯窗口的选择而大幅变化,所以我们将其视为量级层面的参考,而非精确测量。但定性的结论无论如何是站得住脚的:有一大批具有货币意义的币,存放在会公开公钥的输出类型中,而且十年以上没有移动过。
按定义,这些币无法迁移。迁移需要签名,签名需要密钥,而因为密钥丢失才休眠的币,只会继续休眠下去。因此,任何自愿迁移之后仍将保持量子脆弱的那批币,与其主人已经不在场的那批币,基本上是同一个集合。每一个政策选项,本质上都是在决定该拿这些币怎么办。
放任不管意味着,谁第一个造出具备密码学威胁能力的量子计算机,谁就能花掉这些币。有一种论点——我们查阅的资料中并未出现,我们将其作为一种开放的理论立场提出——认为这与比特币的无需许可设计是一致的。历史上,币确实一直流向那些解出了相应计算难题的人,就像工作量证明挖矿一样。反方论点也很直接:挖矿分配的是按预先设定规则新发行的币;而量子攻击重新分配的是已经有主人的币,依据的是没有人同意过的规则,而且第一个拥有此类算力机器的实体,更可能是某个民族国家或大型企业,而非个人用户。这算不上一个无需许可的结果。
冻结这些币则需要一条共识规则,在指定区块高度之后拒绝接受来自量子脆弱输出类型的花费,通过使其永久不可花费来保护休眠供应免遭盗窃。固定供应量的叙事因此得以完整保留,因为没有创造出任何新币,但一次协议规则变更永久剥夺了可识别输出的花费权。如果日后合法地找回了私钥,这些币仍将保持锁定状态。
Pruden本人倾向于第三种方案。他主张允许休眠币被回收,重新计入供应曲线的末端,在区块补贴趋近于零之后延长矿工的激励,并明确将这一做法称为”没收”,同时强调这应当由市场和社区来决定。这一方案的工程学吸引力显而易见:比特币长期的安全预算依赖于手续费收入取代区块补贴,而这一转变尚未被证明能够成功。回收休眠币,相当于把一个量子漏洞转化为数十年额外发行的算力资金来源。
代价在于,这会树立一个先例:只要理由足够充分,协议就可以重新分配特定余额的所有权。比特币的货币可信度不仅仅建立在2100万枚上限之上,更建立在”共识规则不会重新分配余额”这一保证之上。一旦”休眠加上脆弱性即可构成重新分配的正当理由”这一先例成立,未来就会招来关于其他正当理由的争论。就”哪个选项对货币可信度损害更小”这个问题而言,冻结所树立的先例范围比回收更窄,因为它只是取消了可花费性,而没有把价值转移给任何人,而且理论上一次被冻结的输出可以通过后续的规则变更被解冻,而重新发行的币却无法被追回。不过冻结方案仍然需要决定”冻结谁的币”,而任何按输出类型或币龄划出的门槛,都有可能误伤那些只是单纯不活跃、但主人依然健在的持有者。
这一动态让与Taproot的对比在Pruden想要表达的方向上格外清晰。Taproot是一个复杂的工程问题,配上一个相对简单的社会共识。后量子迁移则是一个复杂的工程问题,绑定着一个比特币从未真正解决过的社会性问题,而这个决定无法无限期地被搁置,因为搁置不处理,本质上就是把决定权拱手让给了攻击者。
为什么UTXO模型让这件事比账户模型更难
比特币与账户模型链之间的结构性差异,解释了为什么同一种密码学威胁会在不同链上产生截然不同的迁移难题。为了明确我们证据的边界:关于以太坊存在专门后量子团队、以及具体账户抽象迁移路线图的说法,我们的资料来源均未予以证实,我们仅严格从底层数据模型出发进行推理,而不是转述任何具体项目的时间表。
在比特币中,验证条件是输出本身的一部分。一枚UTXO就是一段脚本加上一个金额,而改变这份价值的验证方式的唯一手段就是花费它,再构造一个带有不同脚本的新输出。协议中不存在任何一种操作,能够在保留UTXO本身的情况下修改其花费条件。花费操作需要现有私钥的签名,这构成了核心的漏洞陷阱,同时也需要一个仍在活动的主人。
在账户模型中,余额存放在一个持久化的标识符上,而验证逻辑是与该标识符关联的状态。如果这套逻辑是以智能合约代码的形式执行,而非硬编码在协议规则中,那么验证方式就可以在余额保持不动的情况下被更新。智能合约账户已经在利用这一能力来轮换签名者、修改验证逻辑,而不需要移动底层资产。对这样一个账户进行后量子升级,是一次逻辑迁移,而不是一次资金转移,既消除了大规模清扫带来的手续费压力,也避免了广播暴露旧公钥的必要。
有三点限制使这不能成为一个完整的解决方案。外部拥有账户(externally owned accounts)——其验证规则在协议层面被固定为ECDSA——面临着与比特币相同的根本性难题,而且在账户模型网络上依然占据相当大比例的价值。可升级的验证逻辑本身也带来了新的攻击面,如果升级机制本身能被量子攻击者操纵,风险将极为严重。最后,在两种架构下,一个已经丢失密钥的主人都无法发起升级,这意味着”休眠币困境”在两种范式下都同样存在。账户模型简化了活跃持有者的迁移路径,但并没有解决被遗弃资产的治理难题。
什么样的迹象才真正说明有了进展
值得追踪的具体指标,比围绕这个话题的泛泛讨论要窄得多。
第一,后量子输出类型是否获得了明确的激活路径,而不是停留在草案规范阶段。一份被合并的BIP和一条被激活的共识规则是两个不同的里程碑,而经过核实的报道目前只能确认BIP-360在2025年被提出。它在Bitcoin Core中目前的实际状态,以及任何分阶段迁移提案的具体内容,仍是公开追踪信息中最核心的空白。
第二,所选定的签名方案是否连同正式的参数集和实测witness尺寸一并公开。在这些基准数据出现之前,任何关于后量子比特币吞吐能力的断言都仍属推测。Liquid网络已投入运行的基于哈希方案的部署,提供了最接近的实证参考,来自其中的关于签名性能和密钥状态跟踪的可核实数据,会比进一步的时间线预测更能推动这场技术辩论。
第三,大型托管机构是否公布带有明确日期的正式迁移时间表。深度机构储备的冷存储密钥轮换是这条路径上的关键环节,持有最大余额的机构面临着最迟缓的操作流程,同时也拥有最强的动机尽早启动。截至2026年年中,它们在公开讨论中的缺席,比非正式的开发者调查更能清楚说明近期迫切性的真实程度。
第四,休眠币问题是否找到一个正式的讨论场所。目前它没有。Pruden把自己关于币回收的提案作为个人立场提出,并指出这应由市场决定,这恰恰准确反映了目前不存在任何正式机制来做出这类决定。一次改变五百万枚币可花费性的共识变更,无法通过标准的软分叉激活周期来解决,而这场辩论缺乏一个讨论场所,这本身构成了比底层密码学难题更为紧迫的迁移障碍。
还有一处分析上的差异尚未解决。Pruden估计约有2.3万亿美元的数字资产处于风险之中,这是一个笼统的框定,没有给出具体方法论,与经常被引用的、专门针对量子暴露比特币的约7000亿美元估算形成对照。这两个数字评估的是不同范围的资产,而且都没有附带一份公开的账本核算,说明具体评估了哪些输出类型、截至哪个日期。任何评估风险敞口的机构,首先都需要这样一份核算基线,因为一场连确切参数都尚未测量清楚的迁移,很难做预算,也不可能可靠地排出时间表。
