量子计算与加密货币：倒计时已经开始

量子计算是那种在两个极端方向上都被浪漫化的主题之一。在光谱的一端，是那些令人屏息的预言，声称机器将在“十年内”问世，届时将使“我们所知的所有现代密码学变得毫无意义”，并“从根本上动摇我们本就脆弱的数字社会”。而在另一端，则是一种近乎体制化的愤世嫉俗（考虑到大学作为拨款玩物和虚假宣传展示的相关成本，这种心态极其廉价），针对的是一个二十多年来一直承诺实现商业化，却从未真正起步的领域。但通常情况下，现实介于这两个极端之间。对于我们面前的加密货币持有者来说，问题已经从学术探讨转变为纯粹的操作紧迫性。这并非因为量子末日已在今天降临，而是因为时间表以一种我们在一年前可能还无法想象的方式意外缩短了。

本文将尝试既不盲目跟风，也不一味贬低。简而言之：量子计算是真实的，量子计算目前仍相当受限，但量子计算的发展速度远快于几乎所有相关工程师此前的公开预测。十多年来，加密网络一直知晓这一非常现实的风险，但直到最近才开始采取行动。唯一的问题是：“他们的行动速度会有多快？”

量子计算究竟源自何处

大约四十年前，理查德·费曼（Richard Feynman）在 1981 年的讲义中勾勒出了量子计算机的构想（即便在今天阅读这些笔记，人们也不会感到过时）。

但他的观察既有局限性，又具有重大意义：经典计算机在模拟量子力学方面表现得极其糟糕，因为量子系统根本无法用经典信息比特来表示。

他说，这种反应是很自然的，因为显而易见，如果你想对任何复杂程度的量子系统进行高效模拟，你就必须用你试图模拟的对象来构建一台计算机。这曾是一个被束之高阁的假设性建议，是物理学家们在茶余饭后谈论的那种话题。

随着新的进展，这种情况发生了两次改变。1994年，当彼得·秀尔（Peter Shor）发表他的算法时，他证明了足够强大的量子计算机可以在多项式时间内分解大数的质因数——这一结果将使得支撑现代互联网大部分加密技术的 RSA 在此类机器面前变得不堪一击。随后在1996年，洛夫·格罗弗（Lov Grover）宣布他拥有一种可以平方级加速解决搜索问题的算法（这对对称加密也有影响，但程度较轻）。这些研究成果突然让一个问题成为了焦点：是否真的有人能制造出这种硬件，还是说人们仅仅只能在白板上对其进行大量的理论建模。

进展一直缓慢且反复。尽管在量子比特存在的大部分时间里，有许多实验小组在制造量子比特设备，但在 21 世纪的前十年和 2010 年代的大部分时间里，量子比特仍然只是实验室里的一个奇特事物。它们被物理性地刻在某些材料（如原子或电子等）中，冷却到几乎接近绝对零度的温度，并且极易受到环境任何微小变化的干扰。但 2020 年代的情况则完全不同了。

2025年9月，加州理工学院（Caltech）正在运行一台准确率达99.98%的中性原子量子计算机，包含6,100个量子比特——这在两年前还是科幻级别的数字。在某些情况下，到2026年3月，中性原子系统已将部分系统的规模提升至10,000个量子比特阵列。IBM宣布计划在2026年实现量子优越性，并在2029年实现规模化的容错系统。如果说更好的性能指日可待，那么它其实已经存在了：用于分解椭圆曲线密码（当然，谷歌在此领域也做了一些工作）的这些量子比特，原则上可以在不到50万个物理量子比特上运行，且耗时不到几分钟（这比过去的预测提高了约20倍）。

这些进展都不等同于一台可以投入使用的密码破解机。在10,000个量子比特阵列与能够大规模运行Shor算法的那种纠错逻辑系统之间，仍有相当大的距离（每个逻辑量子比特通常需要数千个物理量子比特，具体取决于错误率和架构）。然而，发展的方向已不再模糊，而且那些曾经对量子威胁预测嗤之以鼻、不屑一顾的人，现在也大多不再抱有这种态度了。

为什么加密货币整体正成为攻击目标

人们在谈论针对加密货币的量子攻击时，通常会想到两件事。首先是保护区块链钱包的公钥密码学——几乎所有传统区块链（如比特币、以太坊）使用的都是某种类型的椭圆曲线数字签名。其次是维持用户与交易所之间所有流量传输的传输层加密，这种加密技术也让互联网上除了最局部的通信之外的所有内容都能保持一定的私密性。针对这两者的补丁都在开发中（至少在理论上，两者都容易受到Shor算法的攻击）。

在钱包层面，这实际上已经显现出问题的端倪。 当你发送一笔 USDT 交易时，你的钱包会使用私钥对转账进行签名，而与之匹配的公钥最终会暴露在链上。在拥有量子计算机的世界里，区块链的观察者将能够在交易确认之前反推出私钥并清空钱包——这是一种链级签名层面的中间人攻击。在此之前，存在一些相对安全的地址，即从未进行过支出交易的地址——这些地址仅公开了公钥的哈希值；而那些此前曾被使用过的地址，其公钥则必然已经暴露。全球四分之一的比特币存放于公钥已在链上公开的钱包中；其中一部分是可能属于中本聪的最早期休眠代币。如果这些地址最终是可以被盗取的，那么单是其对价格产生的影响就几乎无法对冲。

这种威胁也可能是先发制人的：即所谓的“现在收集，以后解密”。其原理很简单：如果攻击者目前还没有可运行的量子计算机，因此暂时无需担心，他们只需记录所遇到的所有流量，并在未来这种机器问世时对其进行解密。在大多数情况下，这对于日常的 USDT 发送操作影响较小，因为交易内容在设计上本身就是公开的。但我们所讨论的是所有依赖传输层加密的内容——交易所登录会话、钱包恢复流程、传输中的私钥材料——而这将是毁灭性的。 许多国家机构在出现任何冲突能力之前的数年，就已经秘密地将“先收集，后解密”（harvest-now）视为一种主动威胁模型。

末日阵营

这场辩论中最极端的观点认为，量子计算对我们所认知的加密货币世界构成了灭绝级的威胁。其逻辑大致如下：区块链建立在一个前提之上，即破解密码原语的成本始终高到在经济上是不可能的。如果这一前提动摇，整个激励结构也将随之瓦解。交易的广播将变得不再安全。你无法永远守护一个钱包，因为总会有对手拥有比你更强大的底层硬件。系统中捕获的所有价值——那些曾激励了自我强化的网络效应、并构成了对系统全部信心的基础——都将被抹除；而那些曾被归类为价值若干代币的资产，在流出系统的过程中将大幅贬值。

这一叙事最坚定的信奉者表示，其必然归宿是转向硬价值存储。黄金、现金、房地产、大宗商品。那些你可以实实在在握在手里的东西。他们所讲述的故事是，这场长达二十年的去中心化数字货币实验听起来就像是一种过渡性技术，就像互联网泡沫时代的某种工具，仅在有人在其之上覆盖新层级之前才有效。金融市场的混乱并非某种理论案例——数万亿财富化为乌有，对数字基础设施的信心彻底崩溃，监管机构和机构正以惊人的速度抛弃所有基于 ECDSA 或 RSA 的事物。

这是一个合理的立场。如果五年内出现了所需规模的量子计算机，而届时向后量子密码学的迁移尚未完成，那么这一情景就变得相当可信且非常现实。可能被夸大的是其中的细节。

量子威胁不仅限于加密货币。如果公钥密码学全面失效，那么银行系统、金融业的互联网传输层安全、政府通信，以及随之而来的现代经济中几乎所有的身份验证都将随之崩溃。将比特币视为唯一的受害者实际上忽略了问题的广度——而且讽刺的是，这也低估了加密网络相对的灵活性。加密网络通过事实上的共识进行更新，而银行系统则受困于本体论和监管的丛林中，在未来的十年里，无论催化剂是什么，它们都难以有所作为。

矛与盾阵营

另一个阵营认为，这是一个对话框架倒置的问题。威胁是真实的。尽管威胁一直存在，但在许多方面，应对措施已经领先了一步。2024年，美国国家标准与技术研究院（NIST）发布了首批后量子密码学标准：分别用于密钥封装的 FIPS 203，以及用于数字签名的 FIPS 204 和 205。2025年3月，另一项标准 HQC 也已推出。这些是标准，而非科研项目，它们目前正逐步融入银行、云服务提供商和政府机构。联邦政府的时间表目标是在2035年之前从合规的政府系统中移除易受量子攻击的算法，而高风险系统则会更早完成迁移。

软件比硬件或纸面法律更容易升级，这是加密网络可以利用的一个重要优势。以太坊已公开声明，打算将后量子签名方案作为其协议升级的一部分。Coinbase 正在为其托管系统制定分阶段的迁移路径计划。Solana 目前也在探索这些方案。目前已经出现了一系列（处于试水阶段的）抗量子链，例如 QRL。

这一系列架构步骤非常明确：引入更多基于后量子签名的地址类型，激励资金向这些新类型迁移，并在适当时机弃用旧类型。

这主要是因为比特币是最难处理的一个；比特币背后的治理模式并非为了快速变革而设计。如果一个区块链甚至需要两年时间才能就区块大小升级达成共识，那就更不用说了。从历史上看，乐观主义者可能会指出，比特币过去曾经历过复杂的软分叉，如果面临严重威胁，社区很可能会团结一致。然而，当危机降临时，你可能已经暴露在风险之中——正如悲观主义者所指出的，“面对切实威胁”从定义上讲总是为时已晚（即“先收集后解密”的动态威胁）。无论这场辩论谁胜谁负，即使是那些对比特币灵活性持怀疑态度的人也承认，只要达成社会共识，底层技术是允许进行更改的。

这一阵营提醒我们，有矛必有盾；当这把矛在数十年的舆论熔炉中锻造时，盾也有时间随之一起锻造。不能排除量子密码学本身——即利用测量物理学来保证安全性的量子密钥分发系统——有一天也会被纳入其中，而不仅仅是在经典机器上

根本性的问题在于，我们能否在末日降临之前成功应对。

“绝不会发生”阵营

尽管与几个月前相比已不那么流行，但第三种观点依然存在，即：通用且具有商业价值的量子计算是一个不断变化的目标。支持者指出，自 20 世纪 90 年代以来，该领域一直处于反转的边缘。然而，那些可用的量子比特（qubits）极其昂贵且脆弱。也就是说，纠错开销——根据架构和错误率的不同而有所差异，有时为了实现单个逻辑量子比特，无论如何都需要接近 1,000 个物理量子比特——使得真正破解实用密码学所需的硬件需求变成了一个不断推迟的期限，一次又一次地变得遥不可及。过去十年中，大多数备受关注的多年期“突破”其实都是经过精心策划的展示，旨在针对有限的特定问题展示量子优越性，而非通用量子计算即将问世的征兆。

这种观点最常引用的类比是——飞行汽车。这项技术在 20 世纪 50 年代看起来是可信的，此后每十年都有现实世界的原型出现，商业化落地的呼声也持续了同样长的时间，但从任何实际意义上讲，它至今仍未真正到来。这并不是说飞行汽车永远不会成为现实，而是现实情况中，“物理原理可行”与“以具有实际意义的价格上市”之间的鸿沟可能大得惊人。大量的机构惯性在“差距终将缩小”的信念支撑下悄然获得资助，而不管这种差距是否真的会消失。

在近期证据似乎表明情况并非如此的时候，这种断言可能看起来有悖直觉，但在许多方面，这一观点值得更认真的审视。国家（资助的）炒作之所以存在，是因为国家资助依赖于这种炒作。

引用量子比特数量的新闻稿并未说明这些量子比特是否真的能执行具有实际意义深度的计算。实验室演示与生产系统之间的差距可能跨越多个数量级和数十年——有时两者兼而有之。因此，随着年复一年，现在的情况往往是（且日益严重？）：量子威胁的时钟每向前推进一个维度，现实的进度就会在每年被悄无声息地推后，而媒体只报道前者的进展。

但那种典型的“这绝不会发生”的观点（在此特指加密货币领域）在一点上是失准的：即犯错的非对称成本。即使怀疑论者是正确的，即可扩展的量子计算机现在没有、将来也不会被制造出来，那些已经迁移到后量子签名的网络所损失的，无非是一点协调开销、更大的签名体积，以及一些社区内斗（这些影响并非为零，但也是加密网络几乎无法全身而退的常态）。但如果否认者错了，那些无所作为的网络将被彻底抹除。在这种不确定性面前，理性的做法是做好准备，这正是那些大玩家们一直在做的事，尽管他们对此表现出强烈的反感。

这让我们回到了沃伦·巴菲特关于“模糊的前窗与清晰的后视镜”的经典难题：你无法洞察未来，但最终你无法忽视过去。唯有时间——无论是以量子计算机出现在 任何说法比这更具体的人都是在推销。

无论各派观点的最终结果如何，始终适用的建议仅仅是用户自身的“卫生习惯”。尽可能使用新地址。避免重复使用旧地址，尤其是进行大额余额转账时。关注你所选公链的目标后量子迁移路径。如果你每天进行数千次交易（这是任何大规模管理 USDT 交易的人的常见情况），保持良好卫生习惯的边际成本微乎其微，而届时身处后量子地址的潜在收益可能是巨大的。从经济学角度来看，早在量子计算机登场之前，Tron 网络上的 USDT 交易就已经有了其自身的优化逻辑。

Netts 的 USDT 转账计算器会在你广播交易之前告诉你，每笔转账实际消耗多少能量（Energy）和带宽（Bandwidth），以及网络是通过销毁 TRX 来收费，还是允许你使用租赁的资源来抵扣成本。数据一目了然：默认情况下，向已持有 USDT 的地址转账需销毁 13.84 TRX，而向未持有 USDT 的地址转账则需销毁 27.70 TRX；在两种情况下，租赁能量都能将成本降低至 2–5 TRX，通常可节省 80% 以上。实际优化是一种基本上与量子物理无关的优化，它完全关乎于在每一笔 USDT 发送中，实实在在地避免资金损耗。