量子计算

什么是量子计算？

量子计算是一种利用量子力学原理处理信息的计算方式，与经典计算机的工作方式有很大不同。经典计算机使用比特存储信息，每个比特的值只能是 0 或 1。量子计算机使用量子比特，通常简称为量子比特（qubit）。量子比特可以利用叠加和纠缠等量子特性表示比普通比特更复杂的状态。

IBM 官方量子计算说明将量子计算描述为一个新兴领域：它利用量子力学解决某些经典计算机难以处理的问题。

量子计算与加密货币有关，因为区块链依赖密码学系统来保护私钥、公钥、数字签名、哈希、验证者消息、钱包和智能合约。未来足够强大的量子计算机可能会威胁当今加密网络使用的某些公钥密码学。这并不意味着量子计算机目前已经能够大规模盗取主流区块链上的资金。这意味着加密网络必须为量子攻击变得切实可行的未来做好准备。因此，量子计算之所以对加密领域重要，是因为它为钱包设计、区块链升级、托管、验证者安全和后量子密码学迁移带来了长期安全挑战。

量子计算如何运作

量子计算使用量子比特，而非普通比特。量子比特可以处于量子状态，使某些计算能够以不同于经典计算机的方式构建。叠加使量子比特在测量前能够处于多种可能状态的组合。纠缠会将量子比特关联起来，使一个量子比特的状态与另一个量子比特的状态相关联。干涉可以让量子算法提高得到有效答案的概率，并降低得到错误答案的概率。这些特性并不意味着量子计算机在所有任务上都更好。它们使量子计算机在处理特定类型的数学问题时具备强大能力。这就是量子计算与密码学特别相关的原因。某些密码系统依赖的数学问题对经典计算机而言极难，但大型容错量子计算机可能更容易解决。对加密货币而言，主要担忧并不是量子计算机将取代普通计算机用于日常事务。主要担忧是，量子计算机最终可能比经典计算机更快地解决某些与私钥和签名相关的问题。

量子计算与经典计算

经典计算是普通笔记本电脑、手机、服务器、挖矿硬件和大多数区块链节点所采用的计算模式。经典计算机通过逻辑门和确定性指令处理比特。量子计算机通过量子门处理量子比特，并进行基于概率的测量。经典计算机通常更适合日常任务，例如运行钱包应用、查询区块链浏览器或操作交易机器人。量子计算机可能更适合化学、优化、模拟和密码学领域的某些专业问题。这一差异很重要，因为很多人误以为量子计算机只是速度更快的经典计算机。量子计算机不会自动加快所有区块链任务。它不会自动让所有矿工过时。它也不会在一夜之间自动破解所有哈希函数。只有当特定量子算法能够攻击区块链所依赖的特定密码学原语时，量子计算才会对加密领域构成威胁。

量子计算为何与加密货币相关

加密货币建立在密码学之上。钱包使用私钥和签名来证明资金所有权。区块链使用哈希来链接区块、识别交易、保护数据结构并支持证明系统。验证者和节点使用加密消息协调网络活动。智能合约可通过密码学验证来处理多重签名、跨链桥、身份、零知识证明和治理。量子计算之所以重要，是因为它可能会随着时间推移削弱其中一些工具。最大的担忧是公钥密码学，尤其是许多加密货币钱包使用的椭圆曲线数字签名。如果未来的量子计算机能够从公钥推导出私钥，钱包所有者就可能失去对资产的控制权。区块链尤其容易受到长期密码学风险的影响，因为交易数据是公开且永久保存的。公钥一旦出现在链上，攻击者就可以保存这些数据，并等技术进步后再尝试攻击。因此，量子计算也是加密网络面向未来进行安全规划的问题。

量子计算与私钥

私钥是赋予用户加密钱包控制权的机密值。公钥由私钥推导而来，用于验证签名。在当前系统中，使用经典计算机从公钥推导私钥在实际操作中应当是不可能的。对于某些签名方案，量子计算改变了这一假设。理论上，如果足够强大的量子计算机运行适当的算法，就可能从采用易受攻击的椭圆曲线密码学系统中已公开的公钥恢复私钥。这就是量子计算成为加密领域长期安全重要议题的原因。这也说明了钱包设计的重要性。如果钱包公开了公钥，并继续在同一地址中持有资金，那么在未来的量子时代，这些资金可能面临更高风险。减少地址重复使用的现代钱包实践，有助于限制不必要的信息暴露。不过，真正的保护需要协议层面支持抗量子签名。

量子计算与数字签名

数字签名是加密货币安全中最重要的组成部分之一。签名可以证明交易已由持有正确私钥的人授权。Bitcoin 式系统、Ethereum 式账户以及许多其他加密网络都使用数字签名批准转账。由于 Shor 算法，量子计算对某些现有签名系统构成威胁。如果存在足够强大的量子计算机，Shor 算法理论上可以破解基于整数分解和离散对数问题的密码系统。许多椭圆曲线签名方案建立在离散对数假设之上。因此，后量子签名成为加密安全规划的重点之一。

NIST 后量子标准公告说明，NIST 已最终确定 FIPS 203、FIPS 204 和 FIPS 205，以支持旨在抵御未来量子攻击的密码学方案。

对加密领域而言，签名迁移是最困难的任务之一，因为旧钱包、旧地址、智能合约和硬件钱包都需要安全的升级路径。

量子计算与哈希函数

哈希函数是加密货币的另一项核心技术。哈希函数会将输入数据转换为固定大小的输出，且难以逆向还原或预测。区块链使用哈希来生成交易标识符、区块头、Merkle 树、工作量证明挖矿、地址以及数据承诺。量子计算对哈希函数的影响不同于对数字签名的影响。Grover 算法可以加快暴力搜索，但它不像 Shor 算法威胁椭圆曲线签名那样直接摧毁哈希函数。这意味着在量子计算时代，哈希函数可能需要更大的安全余量，但通常不会被视为加密领域最先出现重大故障的环节。对许多区块链而言，数字签名是更紧迫的后量子迁移挑战。不过，开发者在构建长期系统时仍应仔细评估哈希算法的选择。抗量子设计并不只涉及一种算法。它需要审视网络中的每一项密码学假设。

量子计算与 Bitcoin

Bitcoin 经常出现在量子计算相关讨论中，因为它使用椭圆曲线签名授权资产支出。某些 Bitcoin 地址类型会隐藏完整公钥，直到用户从该地址支出资金。资金支出后，公钥可能会显示在链上。如果量子计算机变得足够强大，已公开的公钥可能成为攻击目标，因此这会影响未来的量子风险。重复使用地址可能会增加风险，因为用户可能继续将资金留在公钥已经公开的地址中。在量子攻击变得切实可行之前，Bitcoin 可能需要一条经社区认可的迁移路径。迁移可能包括新的抗量子地址类型、钱包升级和用户教育。最棘手的问题不只是技术层面的。社区还需要决定如何处理旧资金、丢失的密钥、长期不活跃的地址以及未迁移的用户。因此，量子计算既是治理和协调挑战，也是密码学挑战。

量子计算与 Ethereum

量子计算研究也会深刻影响 Ethereum，因为其标准账户使用 ECDSA 签名。

Ethereum 官方抗量子路线图指出，量子计算机最终将威胁 Ethereum 当前使用的密码学。

该路线图还解释，Ethereum 的后量子规划涵盖账户签名、验证者签名、数据承诺和应用层证明系统。这很重要，因为 Ethereum 不只是一个支付网络。它还支持智能合约、Rollup、DeFi 协议、NFT、DAO、跨链桥、稳定币和零知识应用。因此，Ethereum 的后量子升级必须考虑生态系统的多个层面。账户抽象可能会有所帮助，因为它可以让钱包采用不同的签名验证方法。不过，全面迁移仍需要协议开发者、钱包服务商、Rollup、应用、托管方和用户协同配合。Ethereum 路线图还指出，目前资金是安全的；未来如有需要，钱包软件应引导用户完成迁移。

量子计算与挖矿

量子计算与加密挖矿的关系常被误解。许多用户认为量子计算机会立即在工作量证明挖矿中占据主导地位。实际情况要复杂得多。量子算法可能会加快某些搜索问题，但挖矿还取决于硬件成本、能源成本、网络难度、专用芯片和经济激励。工作量证明网络可以在挖矿算力发生变化时调整难度。因此，量子计算并不会自动成为简单的挖矿作弊代码。更大且更明确的担忧通常是公钥密码学，而不是挖矿本身。尽管如此，仍应分别研究各个网络，因为挖矿算法、难度调整、区块时间和硬件市场各不相同。对加密货币用户而言，最稳妥的概括是：量子计算更可能首先通过签名和密钥安全产生影响，而不是通过普通挖矿造成冲击。

量子计算与智能合约

当智能合约依赖密码学验证时，量子计算可能会对其产生影响。智能合约可能会验证签名、校验证明、控制多重签名钱包、处理治理投票或管理跨链桥消息。如果这些验证方法依赖易受量子攻击的算法，合约可能需要升级路径。有些合约可以升级，另一些则有意设计为不可变。如果密码学假设过时，不可变合约可能更难适应。因此，智能合约设计需要具备密码学敏捷性。密码学敏捷性是指在不破坏系统的情况下替换或升级密码学方法的能力。构建长期协议的开发者应尽可能避免将脆弱的假设写死在代码中。他们还应关注后量子标准和区块链专项研究。量子计算带来的风险不仅涉及钱包，也涉及依赖钱包和签名的应用层。

量子计算与零知识证明

零知识证明允许一方在不披露所有底层信息的情况下证明某个陈述为真。零知识证明对于 Rollup、隐私系统、身份、扩容和可验证计算都很重要。一些零知识证明系统采用的密码学假设可能需要重新评估其后量子安全性。Ethereum 的后量子规划指出，应用层零知识证明系统可能需要在未来升级。根据数学基础的不同，一些证明系统的抗量子能力可能强于其他系统。不过，抗量子能力并不是唯一重要的因素。证明大小、验证成本、证明生成时间、递归、开发工具和链上成本同样重要。某个证明系统可能更能抵御量子攻击，但仍难以大规模使用。未来的区块链设计可能需要在后量子安全性与实际性能之间取得平衡。这也是量子计算与扩容技术长期演进相关的原因之一。

后量子密码学

后量子密码学是指旨在抵御经典计算机和量子计算机攻击的密码学。它通常在普通经典计算机上运行，因此可用于钱包、节点、服务器和智能合约。后量子密码学与量子计算本身并不是一回事。用户不需要量子计算机也能使用后量子密码算法。

NIST 后量子密码学项目说明，各组织应为迁移至抗量子密码学做好准备。

NIST 最终确定的标准包括用于密钥建立的 ML-KEM、用于数字签名的 ML-DSA，以及用于无状态哈希签名的 SLH-DSA。数字签名对加密网络尤为重要，因为它们用于授权交易。未来的抗量子加密钱包可能会使用后量子签名，而非当前常见的椭圆曲线签名。挑战在于让这些签名具备安全性、高效率、可负担性，并便于用户采用。

量子计算与钱包迁移

钱包迁移是后量子加密未来面临的最大实际问题之一。区块链可以添加新的抗量子签名方案，但用户仍需要将资产转移到新的受保护地址或账户中。这需要更新钱包软件、提供清晰说明、安全的交易流程，并防范网络钓鱼。诈骗者可能会创建虚假的迁移网站，诱骗用户提供助记词。用户绝不应在声称能让资金具备抗量子能力的网站上输入助记词。真正的迁移应通过官方钱包更新、经验证的协议指引和透明的社区流程进行。大型机构、基金和托管方可能需要更周密的规划，因为它们管理着多个钱包、权限、政策和审计要求。硬件钱包也可能需要固件更新或新设备来支持后量子签名。迁移必须谨慎进行，因为仓促升级造成的直接损失可能比未来的量子风险更大。

量子计算与加密资产托管

加密资产托管是指保护私钥和签名权限。量子计算改变了长期托管讨论的重点，因为密钥安全不只是存储问题。冷钱包可以保护私钥免受在线黑客攻击，但不会改变区块链使用的签名方案。如果公钥已经公开，且签名方案变得容易受到量子攻击，托管方案可能仍需迁移。托管方应跟踪哪些资产、钱包和协议依赖易受攻击的公钥系统。他们还应建立已公开公钥、地址类型、签名政策和恢复流程的清单。机构可能需要在量子攻击切实可行之前数年制定后量子准备计划。

NSA 抗量子算法规划指南强调，应为国家安全系统采用抗量子算法做好准备。

加密资产托管团队可以借鉴这一更广泛的网络安全转型，因为迁移规划需要较长时间。

量子计算与加密骗局

量子计算也可能成为加密骗局的噱头。诈骗者可能声称提供抗量子钱包、量子挖矿升级、量子空投或紧急量子迁移服务。他们可能利用恐惧诱骗用户泄露助记词或签署恶意交易。他们还可能创建使用“量子”一词、却没有真实技术支撑的假代币。对于声称所有加密资金都必须立即转移的紧急说法，用户应保持警惕。对于缺少技术文档、同行评审、审计或标准依据，却声称具备抗量子能力的项目，用户也应保持警惕。真正的后量子升级应由官方协议团队说明，并有可信的密码学研究作为支撑。恐惧是网络钓鱼最有力的工具之一。随着公众对量子计算的关注度上升，量子恐慌骗局可能会变得更加常见。最好的防范方法是关注官方信息来源，绝不分享私钥或恢复短语。

量子计算对加密领域的益处

量子计算常被视为威胁，但它也能推动有益的研究。它可能改进科学建模、优化、材料科学和密码学分析。更深入的密码学分析可以帮助加密行业在攻击者利用弱点之前发现问题。量子研究也推动区块链提升面向未来的能力。这可能带来更好的钱包设计、更强的签名方案、更灵活的账户系统和更完善的安全规划。后量子迁移可能让加密网络在未来数十年更具韧性。为量子计算做准备的需求也能提升整个行业的密码学敏捷性。学会安全升级密码学的协议，可能也会更善于应对其他长期安全变化。从这个角度看，量子计算不只是危险。它也是推动行业建设更强大长期基础设施的力量。

量子计算对加密领域的风险

第一项重大风险是易受攻击的公钥密码学可能导致私钥暴露。第二项风险是去中心化网络的迁移进程缓慢。第三项风险是钱包升级期间用户可能产生困惑。第四项风险是诈骗者利用量子恐惧实施网络钓鱼。第五项风险是智能合约难以更新旧的密码学假设。第六项风险是更大的后量子签名可能增加区块链存储、带宽或交易成本。第七项风险是社区可能无法就如何处理不活跃地址、丢失资金或旧的易受攻击输出达成一致。第八项风险是营销宣传可能带来缺乏真实密码学审查支撑的虚假信心。这些风险说明，量子计算是加密领域的战略议题，而不仅是技术细节。有效应对需要标准、研究、钱包支持、用户教育和谨慎协调。

加密货币用户应如何看待量子计算

加密货币用户不应恐慌。目前没有公开证据表明量子计算机能够大规模破解主流加密货币钱包。用户也不应完全忽视这一议题。当主流网络和钱包发布官方指南时，后量子迁移很可能需要用户关注。用户应通过官方渠道更新钱包软件。如果钱包支持生成新地址，用户应避免重复使用地址。任何声称能提供量子保护的网站或个人索要助记词时，用户都绝不能提供。用户应关注官方区块链路线图、钱包公告和可信的密码学标准。持有大量长期资产的用户应考虑托管规划和未来迁移流程。务实的做法是冷静准备，而不是在恐惧驱使下采取行动。

开发者应如何为量子计算做好准备

开发者应了解应用所依赖的每一种密码学原语。其中包括签名、哈希、承诺、零知识证明、跨链桥、多重签名、管理员密钥和钱包集成。开发者应设计能够支持未来密码学升级的系统。除非经过专家审查，否则应避免使用自定义密码学。他们应研究 NIST 标准和官方网络安全机构发布的迁移指南。他们应在现实的区块链限制下测试后量子签名。他们应考虑交易大小、验证成本、用户体验和迁移安全性。他们还应记录新密码学选项推出后用户如何安全迁移。开发者应将量子计算视为长期工程要求。优秀的系统应当今天安全，并能适应未来。

关于量子计算的常见误解

一种误解是量子计算机现在就能立即破解所有加密技术。这并不正确，因为目前的量子计算机还不够强大，无法在现实规模上破解主流加密货币所用的密码学。另一种误解是，量子威胁并非迫在眉睫，因此量子计算无关紧要。这同样不正确，因为去中心化系统需要数年时间规划安全迁移。还有一种误解是量子计算机在所有任务上都更快。预计它们只会在特定类型的问题上超越经典计算机。另一种误解是哈希函数和数字签名面临相同的量子威胁。基于椭圆曲线的数字签名通常是更严重的担忧。还有一种误解是，项目名称中只要带有“量子”，就代表具备抗量子能力。真正的抗量子能力需要经过审查的算法、正确的实现、安全的参数和可信的迁移计划。

常见问题

用简单的话来说，什么是量子计算？

量子计算是一种使用量子比特和量子力学，以不同于经典计算机的方式解决某些问题的计算模式。

量子计算为何与加密领域相关？

量子计算与加密领域相关，是因为未来的量子计算机可能会破解用于保护钱包和交易的某些数字签名系统。

量子计算机现在能破解加密货币吗？

不能，目前没有公开证据表明现有量子计算机能够在现实规模上破解主流加密货币钱包。

量子计算对加密领域最大的风险是什么？

最大的风险是，未来的量子计算机可能从易受攻击的签名系统中已公开的公钥推导出私钥。

量子计算会破解加密挖矿吗？

预计量子计算不会立即破解挖矿；对大多数加密网络而言，更明确的担忧是数字签名安全。

什么是后量子密码学？

后量子密码学是旨在抵御经典计算机和未来量子计算机攻击的密码学。

哪些 NIST 标准对后量子密码学很重要？

关键 NIST 标准包括用于 ML-KEM 的 FIPS 203、用于 ML-DSA 的 FIPS 204，以及用于 SLH-DSA 的 FIPS 205。

Bitcoin 是否需要抗量子升级？

如果量子计算机变得足以威胁现有签名，Bitcoin 未来可能需要提供抗量子地址和签名选项。

Ethereum 是否需要抗量子升级？

是的，Ethereum 路线图已经讨论账户签名、验证者签名、承诺和证明系统的后量子升级。

用户现在应该因为量子计算而转移资金吗？

大多数用户不应恐慌，但应及时更新钱包、提防骗局、减少地址重复使用，并关注未来的官方迁移指南。

硬件钱包能让加密货币具备抗量子能力吗？

不能。硬件钱包保护密钥存储，但不会改变区块链底层的签名算法。

密码学敏捷性是什么意思？

密码学敏捷性是指在不破坏钱包、智能合约、协议或用户资金的情况下升级密码算法的能力。

结语

量子计算是加密货币领域最重要的长期安全议题之一。它并非引发眼下恐慌的理由，却是值得认真准备的重要问题。加密网络依赖数字签名、公钥、哈希、零知识证明、验证者消息和智能合约验证。在大型容错量子计算机变得实用之前，其中一些系统可能需要改变。目前最有力的应对方式是后量子密码学：它使用旨在抵御量子攻击、同时可在普通计算机上运行的算法。NIST 已最终确定多项重要后量子标准，主流区块链社区也在研究未来的迁移路径。对用户而言，最佳做法是及时更新钱包、避免重复使用地址、无视虚假的量子保护骗局，并关注官方指南。对开发者而言，最佳做法是构建具备密码学敏捷性的系统，以便随着时间推移支持新的签名、证明系统和钱包格式。理解量子计算与加密领域关系最简单的方式是：量子计算是一项未来的计算突破，可能削弱当今的公钥安全，因此区块链必须在这种未来变得危险之前完成升级。