比特幣的量子挑戰：Saylor的樂觀態度遇上1.7M暴露幣的難題

Michael Saylor 在 12 月 16 日描繪了一幅樂觀的畫面，將量子計算視為比特幣的淨正面。他的論點很簡單：網絡將升級，活躍持有量轉向安全，休眠幣保持鎖定，比特幣將變得更強。這個邏輯聽起來令人信服，直到你仔細審視今天鏈上實際的情況。

時間窗口是真實的，但執行卻很混亂

Saylor 的方向性論點建立在堅實的技術基礎上。比特幣的加密漏洞集中在數字簽名——特別是 ECDSA 和 Schnorr 演算法（基於 secp256k1），而非工作量證明。一台足夠先進的量子電腦運行 Shor 演算法，理論上可以從公開金鑰中提取私鑰，一旦其邏輯比特數達到 2000 至 4000 比特。當前的量子設備遠低於這個門檻，暗示一個現實的威脅窗口至少還有十年。

NIST 已經發布了防禦工具包。像 ML-DSA (Dilithium) 和 SLH-DSA (SPHINCS+)，現在已成為官方的 FIPS 標準，能抵抗量子攻擊。比特幣開發者也在探索後量子簽名聚合和混合驗證方案。加密技術本身是可以解決的。

被忽略的是成本。後量子簽名更大，驗證起來也更耗算力。現實估計顯示，區塊容量可能大約縮減一半。節點運營商面臨更高的成本。交易手續費將上升，因為每個簽名佔用更多的區塊空間。A16z 最近的分析指出一個更根本的問題：比特幣沒有中央權威來強制升級。後量子分叉需要開發者、礦工、交易所和大持有者之間的壓倒性共識——在一台具有密碼學相關量子電腦出現之前，所有人都必須協調一致。

170 萬比特幣已經面臨量子威脅

這裡 Saylor 的說法與鏈上現實產生了明顯偏差。他聲稱「遺失的幣保持鎖定」，但這假設了一個乾淨的分類，實際上並不符合比特幣輸出實際的運作方式。

早期 pay-to-public-key (P2PK) 輸出直接在鏈上暴露原始公鑰——今天仍然可以被量子竊取，永久可見。標準的 P2PKH 和 SegWit P2WPKH 地址在幣被花費之前，會將公鑰隱藏在密碼哈希背後；一旦轉移，公鑰就會變得可見。Taproot P2TR 輸出在創建時就將公鑰編碼在輸出中，即使在任何交易發生之前，這些 UTXO 也已經暴露。

德勤的分析和後續的鏈上研究估計，大約 25% 的比特幣——約 170 萬 BTC，來自早期 Satoshi 時代的 P2PK 輸出，加上數十萬的 Taproot——已經公開揭示了公鑰。這些並非安全休眠的幣。它們正是如果出現量子攻擊者，最有風險的幣。

從未暴露公鑰的幣 (單次使用的哈希地址)，受 Grover 演算法較弱的威脅模型保護。Grover 的算法對哈希地址只提供平方根的加速，這個劣勢可以通過調整參數來抵消。但暴露的部分——老的 P2PK 餘額、現代的 Taproot UTXO（公鑰可見）以及從未轉移的休眠錢包——構成了真正的攻擊面，這些並不會簡單地「保持鎖定」。

供應動態是政治決策，而非自動

Saylor 主張後量子遷移將縮減流通供應並提升安全性。升級簽名的機制是真實的，但供應的變化完全取決於治理選擇和採用率，而非純粹的物理限制。

可能出現三種競爭場景。第一，未升級的脆弱輸出中的休眠幣可能被視為遺失，甚至被列入黑名單——這是一個有爭議的政治決策，可能會縮減供應。第二，量子攻擊者可能在遷移完成之前，竊取暴露的錢包，將這些供應轉為攻擊者持有，並引發恐慌。第三，僅僅是對即將到來的量子能力的感知，就可能引發拋售、鏈分裂，或在任何量子電腦出現之前，導致遺留錢包的大規模提款。

這些場景都不保證能實現乾淨的供應縮減或自動的牛市信號。工作量證明仍相對堅韌，因為 Grover 的算法只提供平方級的加速，但 mempool（未確認交易池）引入了更微妙的風險。一個花費哈希地址的交易在等待確認時會暴露公鑰。量子攻擊者可以監控 mempool，迅速恢復私鑰，並用更高的手續費競爭交易——一種「簽名並竊取」的攻擊，在廣播窗口期間提取價值。

數學上比特幣可以加強，但協調比密碼學更重要

物理學和加密標準都同意：量子不會一夜之間徹底破解比特幣。存在一個窗口——大約十年以上——用於有意識、計劃中的後量子遷移。比特幣可以採用抗量子簽名方案，升級脆弱的輸出，並以更強的密碼學保障出現。

但 Saylor 的信心依賴於一個並非理所當然的假設：開發者、礦工、大持有者和托管方能成功協調、按時遷移，並在不引發恐慌、盜竊或有爭議的分叉的情況下完成升級。已經暴露於量子威脅的 170 萬比特幣提醒我們，網絡並非像一個統一的實體那樣運作。有些持有者會提前遷移，有些則會延遲或忽視威脅。一部分甚至會在升級之前失去私鑰。

比特幣的後量子未來是可以實現的，但並非密碼學的必然結果，而是一個治理上的挑戰，包裹在物理學之中。Saylor 在方向上是正確的——網絡可以變得更堅固——但他低估了這種堅固的成本、政治風險以及其依賴的條件。

從變得更強到引發危機的差別，不在於量子電腦何時到來，而在於比特幣的去中心化生態系是否能夠足夠快、足夠廣泛地協調，並在物理學追趕之前，有意識地完成轉型。這個賭注，是在人類的協作，而非純粹的密碼學。