芯片与计算

量子计算会破解比特币吗？看懂量子威胁与后量子密码的真实进度

一边说量子计算机明天就要偷走你的比特币，一边说这事永远不会发生，两种说法都不对。这篇把真正的风险摆出来，也把被夸大的部分摘掉。

2026 年 7 月 6 日 方屿

隔三差五就有一条“量子计算机几分钟破解比特币”或者“量子机器能秒杀所有加密”的新闻刷屏，评论区里一半人开始担心自己钱包里的币，另一半人骂这是标题党、纯属炒作。这两种反应其实都省略了中间那段又复杂又要紧的事实。如果你还没搞懂量子计算机本身是怎么回事，建议先看《量子计算到底能干什么》打个底。真正的分界线在这儿：今天没有任何机器够得着比特币的签名，但有一类攻击不需要等机器造好，它现在就能开始。

差的不是几年，是几个数量级

今天，没有任何一台量子计算机具备破解比特币或以太坊所用签名算法的能力。原因是一道硬邦邦的工程差距：破解所需的纠错量子比特规模，和现在最强的量子芯片之间，差着好几个数量级，后面会给你具体数字。

但“短期安全”不等于“可以完全不管”。有一类风险从今天起就在悄悄累积：如果某笔比特币的公钥已经在链上曝光过（比如这个地址被花出去过），这条记录会永久留在公开账本上，理论上可以被人先存下来，等未来某天量子机器真的成熟了，再回头拿去计算私钥。这种“先囤证据、以后再算账”的打法，就是后面要讲的“先存后解”。

这篇不站在“马上完蛋”或者“永远没事”任何一边，而是把威胁到底是什么、进度到哪一步、你现在能做什么，一次摆清楚。

量子到底“威胁”了加密的什么

量子计算真正瞄准的，是证明“这笔钱确实是你的、这笔交易确实是你签的”的那套公钥签名算法，挖矿反倒排在后面。比特币和以太坊用的都是一种叫 ECDSA 的签名方案（建立在一条叫 secp256k1 的椭圆曲线上）：你的钱包生成一把只有自己知道的私钥，和一把可以公开的公钥；花钱的时候用私钥签名，全网节点用你的公钥去验证这个签名对不对得上。这套不用信任任何中间人、就能验证一笔转账合法性的机制，正是区块链能绕开中间人转移价值的根基。

它的安全性建立在一个数学难题上：已知公钥，反推出对应的私钥，在经典电脑上要算的时间长到没有实际意义。量子计算机真正让人紧张的地方，就在于它有可能让这道题从“不可能”变成“理论上可解”。

挖矿用的是完全不同的另一套机制：不断猜一个随机数字，凑出一个满足难度要求的哈希值（SHA-256），这跟签名依赖的数学问题完全不是一回事，量子对它的威胁也小得多，下一节细讲。

Shor 与 Grover：一个是真威胁，一个只是“打个折”

量子计算领域里，和加密扯上关系的算法主要是两个，威胁程度天差地别，很多报道会把它们混为一谈，这正是误解的源头。

Shor 算法专门用来破解像比特币签名依赖的那类数学难题（大数分解和椭圆曲线离散对数）。如果有一台足够强大、足够稳定的量子计算机，理论上可以用 Shor 算法直接从公开的公钥算出对应的私钥。这是真正意义上的降维打击：一旦机器足够格，整套签名机制的安全假设就不成立了，等于被直接绕开。

Grover 算法则经常被拿来讨论“挖矿会不会被破解”，但它的本质只是加速“大海捞针”式的搜索，带来的是平方级加速，不是指数级。对 SHA-256 这类哈希函数来说，Grover 能把它的安全强度从 256 位打个对折，变成约 128 位。128 位听起来少了一半，但仍然是天文数字级别的安全余量，而且矿工完全可以通过调高挖矿难度、换用更长的哈希等参数上的手段去补偿这种理论上的削弱。

Shor 瞄准的是签名这把锁的锁芯本身，机器一旦够格，理论上能直接开锁；Grover 瞄准的是挖矿这道题的答案空间，顶多把找答案的时间打个折，锁本身没坏。

“先存后解”：为什么有些风险是现在就埋下的

即使今天没有能破解签名的量子机器，攻击者也可以换一种打法：先把值得盯上的加密数据、已经曝光的公钥，原样存下来，不急着破解，等哪天量子机器真的成熟了，再回头计算出对应的私钥。这套“先囤证据、以后再算账”的策略，业内叫“先存后解”（harvest now, decrypt later），是密码学界这几年最常拿来提醒“别掉以轻心”的说法。

区块链数据的特性，让这件事格外值得关注：账本是公开、永久、不可篡改的。一旦某笔比特币的公钥曾经曝光过，这条记录就会永远留在链上，任何人都能看到、存下来、慢慢等。这和一封只在服务器上存几年的加密邮件不一样，公开账本上的记录理论上可以被存到很久以后。

但也不用把所有比特币都一视同仁地紧张。比特币里很多“还没花出去”的地址，用的是把公钥先做一次哈希再当作地址的格式，你转进去的钱，背后对应的其实是公钥的哈希，而不是公钥本身；只要这笔钱没被花出去、没触发过一次签名验证，公钥就一直藏在哈希后面，外人拿不到。真正暴露风险的，是那些已经花过一次、公钥已经在链上留下痕迹的地址，以及比特币早期一批直接用“裸公钥”当地址的老资产。以太坊这类账户模型的链情况不太一样：地址常年被反复使用，往往第一次转出交易一签，公钥就曝光了，之后这个地址上放着的资产，暴露方式和比特币不完全相同。

这不代表你的钱明天就会出事，而是提醒你：“公钥有没有暴露过”，是判断一笔资产风险高低的一个关键变量，第 8 节会给到具体能做的事。

破解比特币需要多少个量子比特

新闻标题里常说“某公司造出了 XX 个量子比特的芯片”，这里说的“量子比特”，绝大多数时候指的是没有做纠错、容易出错的“物理量子比特”。而要真正稳定地跑一次 Shor 算法这种复杂运算，需要的是“逻辑量子比特”：把一大批物理量子比特捆在一起、彼此纠错，凑出一个足够可靠、能稳定工作的单元。这两个词看着像同义词，含金量却差着一个数量级。

公开发表的估算这几年降得很快。下面是针对比特币、以太坊所用的 256 位椭圆曲线的几个主要估算，最后一行放了一个 RSA 的数字做对照：

从这张表能读出两件事。第一，老报道里常见的“要几千万、上亿个量子比特”已经过时，2026 年的几篇论文把物理比特数压到了几万到几十万，看硬件路线。第二，快慢和数量一样要紧。一把私钥要算好几天的机器，只能去打那些公钥早就在链上摆了很久的币；谷歌这篇论文特别提醒，第一批能在几分钟内算完的机器，还可能在一笔交易广播出去、等待打包的那几分钟里下手，因为花钱的那一刻公钥就公开了。

没有人能告诉你是哪一年，研究论文也不去猜。能查到的，是防守一方给自己定的截止日期，它们说明负责的人有多当回事。美国 NIST 2024 年 11 月的迁移计划草案（IR 8547）提出，美国联邦系统在 2035 年之后停用 RSA 和椭圆曲线签名，其中安全强度较低的 112 位版本 2030 年之后就不推荐再用。Cloudflare 2026 年 4 月说，它的目标是 2029 年全面做到后量子安全；以太坊基金会 2026 年 9 月公布的协议优先级，目标是 2029 年 12 月前让以太坊抗量子。谁要是言之凿凿地告诉你精确的“量子破解元年”，多半是在营销，不是在做研究。

后量子密码学：NIST 标准到哪一步了

与其干等着“量子什么时候能破解现有加密”这道题被回答，密码学界更早就动手准备一套替代方案：设计一批就算量子计算机也难以破解的新加密算法，这个方向统称“后量子密码学”（PQC）。

美国国家标准与技术研究院（NIST）牵头，花了将近十年时间在全球范围内公开征集、评审候选算法，2024 年正式发布了首批三项标准：FIPS 203（常被称作 ML-KEM，脱胎自 Kyber，用于密钥交换和加密）、FIPS 204（ML-DSA，脱胎自 Dilithium，用于数字签名）、FIPS 205（SLH-DSA，脱胎自 SPHINCS+，作为签名算法的备份路线，走的是和前者不同的数学思路，用来防止万一某一类方案被攻破）。

这些标准不是停在纸面上。互联网基础设施层面已经在铺开，相当比例的网页加密连接已经开始用上其中的密钥交换算法；不少国家和大型机构也已经排出了迁移时间表，逐步把老的加密体系换成后量子版本。区块链协议这一层的迁移相对更靠后、更复杂，因为改签名算法牵涉到全网升级和历史地址的兼容问题，下一节细讲。

比特币、以太坊能升级抗量子吗

能。从密码学角度讲，比特币和以太坊完全可以把现在用的 ECDSA 签名换成一种后量子签名算法，这不是什么做不到的黑科技，难的从来不是“有没有技术方案”。

难的是协调。区块链的规则变更，需要全网大多数参与者（矿工或验证者、节点运营方、交易所、钱包开发团队）达成一致，通过软分叉或硬分叉的方式升级协议，这个过程往往需要好几年去讨论、测试、争取共识，历史上不少提案都是在争论中被搁置、改了又改。还有一个更棘手的问题：那些已经存在的旧地址、旧资产，要不要迁移、怎么迁移到新的签名方案下，本身就是个牵一发动全身的工程和治理难题。

两条大链走到的位置不一样。比特币这边，BIP-360 在 2026 年 2 月以草案身份并入比特币提案库，现在叫 Pay-to-Merkle-Root（P2MR）：它加了一种和 Taproot 用法几乎一样、但去掉了“密钥路径”花费方式的输出类型，输出里不再直接摆着公钥。另一份草案 BIP-361 设想分阶段停用旧签名，第一阶段在激活后约三年开始。两份都还没有激活，也没有排期。以太坊这边，以太坊基金会 2026 年 1 月成立了专门的后量子安全团队，9 月公布的优先级目标是 2029 年 12 月前让执行层、共识层、数据层都抗量子。时间表不等于承诺，但都能自己去查，后面两节会讲怎么查。

一条没有年份的时间线：什么必须先发生

“到底哪一年”这个问法没有诚实的答案，但它能换个问法：在那一天到来之前，哪些事必须先发生、按什么顺序发生。下面这四格没有日期，却每一格都有能观察到的信号，你可以拿它们自己判断今天走到了哪里。

1. 纠错先得站住。今天的物理量子比特出错太频繁，要用一大堆物理比特纠出一个能用的“逻辑比特”。这一格过关的标志，是厂商和论文开始报逻辑比特的错误率和存活时间，而不是继续比谁的物理比特多。
2. 逻辑比特要成规模。按 2026 年的估算，破解一把椭圆曲线私钥要约 1200 个逻辑比特；到 2026 年 9 月，公开结果里最多的是 Quantinuum 的 Helios 上 48 个完全纠错的逻辑比特，以及 QuEra 在最多 96 个逻辑比特上跑的算法。这一格过关的标志，是路线图上给出的单位从物理比特换成逻辑比特，并且连着两三代真机都兑现了。
3. 它得能连着跑很久。Shor 算法要在不出错的前提下连续运算很长时间，才出得了结果。这一格过关的标志，是有人在真机上完成一次有意义规模的分解，而不是分解 15、21 这种教科书数字。到 2026 年 4 月，在真量子硬件上破解的最大椭圆曲线密钥是 Project Eleven 悬赏里的 15 位，比特币的是 256 位。
4. 到那时目标还没挪窝。前三格说的都是攻击方，这一格说的是防守方：等硬件真的到位，链上还有多少资产用着旧签名、多少曾经暴露过公钥的地址没迁走。

把这四格连起来看，真正在跑的其实是两个钟：一个是攻击能力的钟，一个是迁移进度的钟。哪个先响，决定了这件事将来是一场事故，还是一次平稳的换代。所以真正值得你关心的问题，不是“量子哪年成熟”，而是“等它成熟那天，我在乎的东西迁完了没有”。后面这个问题，你今天就能查。

迁移走到哪了，三个地方你自己能查

上一节那个“迁移的钟”，不用等新闻告诉你走到几点。下面三处都是公开的，花十几分钟就能自己看一遍。

第一处，标准本身的进度。NIST 把后量子密码这个项目的页面挂在公开网站上，是一手来源，不用听任何人转述。

页面上写着：NIST 主导的这项工作在 2024 年发布了三项主要的后量子标准，目前仍在制定另一些标准作为备份或替代路线，并建议各机构现在就着手迁移。右侧那一列里，“Migration to PQC”和“Ongoing PQC Standardization Process”两个入口，就是你以后想追进展时该点的地方。

第二处，你自己的浏览器。网页加密这一层的迁移走得最快，而且你现在就能验：打开浏览器的开发者工具，找到安全或连接信息那一栏，看这次握手协商出来的密钥交换算法叫什么名字。如果里面出现了后量子那套算法的名称（通常和传统算法拼在一起，写成混合形式），说明你和这个网站之间的连接已经换过了。按 Cloudflare 2026 年 4 月的统计，经过它网络的真人流量里，已有超过 65% 用上了后量子加密。

第三处，你在乎的那条链。去看它的公开路线图和提案库，判断标准只有一条：有没有排期。有人在论坛里讨论后量子签名，和这条链已经把它列进某个版本的计划，是完全不同的两件事。前者说明有人在想，后者才说明钟在走。比特币去看 GitHub 上的 bips 提案库，BIP-360 和 BIP-361 页首都有一行 Status，2026 年 9 月时写的还是 Draft（草案）；以太坊的后量子进度，以太坊基金会放在 pq.ethereum.org 上。

这三处查完，你对“还剩多少时间”的判断就不再挂在某条新闻的标题上，而是挂在你自己看到的东西上。

手里有比特币，现在该做什么

这类新闻不该左右你的买卖。今天没有任何量子计算机能破解比特币或以太坊的私钥，恐慌抛售造成的损失却是立刻就发生的。

能做什么，要看币放在哪。放在交易所，私钥由交易所保管，网络升级时由它负责迁移，你要管的是账户本身：独立的密码，加上两步验证。私钥在自己手里，就去看看币在哪种地址上。下表按 BIP-360 和 Chaincode Labs 2025 年 5 月报告列出的暴露类型整理：

Chaincode Labs 2025 年统计，公钥已经暴露的输出里约有 626 万枚比特币，其中约 172 万枚在早年的 P2PK 输出里；Project Eleven 2026 年 4 月给的数字是约 690 万枚。想让自己的币不落进这一堆，有三个习惯。每次收款都用新地址，bitcoin.org 出于隐私考虑本来就这么建议。某个地址转出过、上面还剩币，就把剩下的挪到一个新地址。打算放很多年不动的币，放在一个从没转出过的 bc1q 地址上，公钥就一直藏在哈希后面；bc1p 开头的 Taproot 地址从第一次收款起就把公钥摆出来了。每挪一次都要付网络手续费，所以这是日常整理，不是紧急撤离。

之后盯两件事：BIP-360 或后续方案有没有从草案走向激活，你用的钱包有没有宣布支持。等抗量子的地址类型真的上线，要做的是在自己的钱包里，把币从旧地址转到新地址。任何正经的升级都不会要你把币转到别人的地址、把助记词输进某个网站，或者先买一个代币。

最后这条之所以要单独说，是因为“量子”这块招牌已经被骗子用上了。英国金融行为监管局（FCA）把一家叫 Quantum AI 的公司列入警示名单，说它可能在未经许可的情况下提供金融服务；香港证监会把“Quantum AI”平台列入可疑名单，指它用埃隆·马斯克的深度伪造视频招揽；澳大利亚证券投资委员会也下架过打着同样名号的诈骗网站。如果已经有钱转给了这类平台，照《钱已经转出去了怎么办》那几步做。USDT 这类稳定币安不安全，是另一个问题，见《稳定币是什么》。

网上常见的“量子秒杀比特币”说法，和实际情况差在哪

下次再刷到类似的新闻，可以回来对照这张表。

量子与比特币，被误会最多的几处

看到“量子破解加密”新闻时，用这份清单自检

不需要懂物理，把下面几条过一遍，基本能分清是真研究进展，还是制造焦虑的营销稿。

• 它说的是“逻辑量子比特”，还是没做纠错的“物理量子比特”？两者含金量差一个数量级，只报数字不说清楚是哪种的，先打个问号。
• 它有没有提纠错开销、错误率？只吹比特数量、绝口不提纠错进展的报道，含金量通常不高。
• 信息来源是经得起同行检验的论文或权威机构，还是厂商公关稿、社交媒体截图？前者可信得多。
• 它有没有提后量子迁移的进度？一条负责任的“威胁”报道，通常也会讲清楚防御那一侧在做什么；只讲攻不讲防的，多半是在贩卖焦虑。

更新记录：2026 年 7 月 6 日首发。首发版本涵盖 Shor 与 Grover 算法的区别、破解所需的量子比特规模、NIST 后量子密码标准进度，以及比特币、以太坊的迁移路线。2026 年 9 月 9 日新增“一条没有年份的时间线”和“迁移走到哪了”两节。2026 年 9 月 29 日补充：破解比特币私钥所需量子比特的最新估算（含谷歌等 2026 年的论文）、现有最大机器的对照、NIST、Cloudflare 和以太坊的截止日期、比特币 BIP-360 的进度，以及哪些地址类型的公钥已经暴露。

方屿 · 未来观察主编

长期跟踪科技报道，习惯把被讲复杂、或被讲浮夸的技术，对照公开资料一条条还原成普通人能判断的样子；也被各种“颠覆性”宣传忽悠过，才学会先核证据再下结论。开「看懂未来」专栏。了解更多