Q-Day 与你的加密货币
“量子”课程第 20 课，共 23 课。免费，有动画和小测验。
到底什么会被攻破
最后一级讲你的钱。比特币靠两样东西撑着：SHA-256 哈希（挖矿和地址）和椭圆曲线上的数字签名。肖尔算法打的正是签名：从公钥算出私钥，有了私钥就能花别人的币。对付 SHA-256 只有格罗弗算法，那只是“开平方”级的加速，在挖矿上还会输给专用 ASIC 矿机。所以真正的威胁是特定地址上的币被偷，而不是“区块链完蛋”。
哪些公钥已经暴露
通常地址是公钥的哈希，在你花币之前公钥本身是看不到的。但有例外。2009–2010 年最早的地址（P2PK）直接公开存着公钥：上面约有 170 万枚 BTC，其中包括被认为属于中本聪的币。其次是已经转出过的地址：第一次转出时公钥就公开了。还有 Taproot，公钥直接写在地址里。各种估算认为，四分之一到三分之一的比特币有风险。数字不同，是因为研究者对重复使用地址的算法不一样。
内存池里的赛跑
就算是干净的地址，转账那一刻也会暴露公钥。交易先在内存池里排队，等矿工把它打包进区块，平均大约 10 分钟。如果量子计算机能在这段时间算出私钥，小偷就会用同一批币发出自己的交易，并给更高的手续费，矿工会选他的。2026 年 3 月，谷歌估算：用不到 50 万个比特的机器，破解这样一把钥匙大约 9 分钟。这种机器还没有，但余量看起来已经不大了。
比特币在做什么
社区的主要答案是 BIP-360。它引入一种新地址类型 P2MR（Pay-to-Merkle-Root）：公钥藏在默克尔树里，花币前不会露出来。2026 年 2 月，这个提案被收进了官方 BIP 仓库。要搞清楚：这不是激活，只是上了名单。接下来需要节点和矿工达成共识的软分叉，然后币的主人还得自己把币转到新地址。这要好几年。还有一个激烈的争论：中本聪的币和丢失的钱包没人会去转，怎么办？冻结（比如 BIP-361 就这么提议）还是不动？
以太坊和其他网络
以太坊的问题类似，而且更尖锐：第一笔转出交易后公钥就公开了，而活跃钱包几乎都转出过。2026 年 1 月，以太坊基金会成立了专门的后量子安全团队，并设立两个各 100 万美元的研究奖。网络路线图包括改用肖尔算法破不了的哈希签名。给你的结论：任何你托付钱的大型网络都应该有清楚的计划。没有计划，就是危险信号。
现在能做什么
不慌，也不“赶紧全卖”。简单的计划是这样的：不要重复使用地址，靠谱的钱包每次收款都会给你新地址。长期积蓄放在从没转出过的地址上。更新钱包，关注 P2MR 的消息，一支持就迁移。如果币放在交易所，迁移由交易所来做：问问客服他们的计划。最重要的是：别理那些卖“抗量子保护”的代币和服务。保护会以协议升级的方式到来，而不是靠买一个新币。
自测一下
- 量子计算机能攻破比特币的什么？
正确答案: 签名：由公钥算出私钥. 肖尔算法打的是椭圆曲线签名。哈希和挖矿要安全得多：格罗弗只带来平方根加速。 - 哪些币现在就处于风险区？
正确答案: 公钥已经暴露的地址上的币. P2PK、转出过的地址和 Taproot 都已露出公钥。没转出过的新地址只露出哈希。 - 有人私信你：“买 QuantumSafeCoin，唯一不怕 Q-Day 的代币。”你怎么回？
正确答案: 像骗局：保护靠协议升级，不靠买代币. 制造紧迫感、“唯一”、花钱买保护，都是典型的骗局信号。真正的保护是 P2MR 和钱包升级。
← 竞赛地图：怎么读新闻 后量子密码 →