Bitcoin Magazine最新一期印刷版《量子特刊》刊发了一份关于比特币面临量子计算攻击暴露状况的量化简报,其数据基于区块950,000时点的比特币量子暴露仪表盘快照。这一议题对比特币而言意义重大,因为网络当前的签名依赖椭圆曲线密码学(ECDSA和Schnorr),而算力足够强大的量子计算机运行Shor算法理论上可以将其破解——因此该仪表盘追踪的是此类攻击的前提条件:已在链上可见的公钥。该分析将总暴露数字分解为不同类别,并评估哪些部分构成最持久的实际风险。全文刊载于《量子特刊》,现已在线上分享,作为对整期印刷版内容的先睹为快。

总暴露数字夸大了实际的盗窃风险

仪表盘的原始视图显示6,900,573枚BTC处于暴露状态。该简报强调,这一数字有意将暴露视为一种密码学条件:即公钥已在链上出现。报道称这是正确的起点,但它并不等同于经济损失风险。活跃的交易所钱包、机构多签钱包、休眠的早期地址以及被遗弃的密钥,都可能在密码学上处于暴露状态,而其迁移能力却截然不同。

活跃及已知实体的暴露风险低于原始数字所暗示的程度

活跃(≥1 BTC)过滤器覆盖3,331,639枚BTC,占全部暴露供应的48.28%——数量庞大,但集中在46,163个群组中,而非数百万个无人管理的持有者手中。

规模最大的可见活跃暴露包括交易所、经纪商、托管多签运营商、稳定币基础设施以及矿相关钱包等运营实体。这些实体属于最有可能关注量子技术进展、协调钱包轮换并在实际攻击窗口开启前完成迁移的主体。

简报指出,这并不意味着暴露风险无关紧要:它带来了协调与执行风险。但它与密钥遗失风险有实质区别。在可信威胁情景下,活跃的托管和交易所余额通常是最有可能率先转移的比特币。

休眠及无响应暴露是核心的长期问题

剔除活跃实体并将视图收窄至至少1 BTC的从未花费或不活跃余额后,暴露供应量为3,413,767枚BTC。在剔除已知运营实体、同时保留归属中本聪的比特币之后,剩余暴露供应量降至2,277,978枚BTC,分布于73,658个群组和1,096,018个UTXO。

报道称,这228万枚BTC的类别是该数据集中对难以缓解的暴露面最贴近的近似:早期持有者、不活跃的自托管、旧地址复用、休眠的P2PK输出,以及可能已遗失或以其他方式无法作出响应的比特币。据该分析,这正是实际量子风险最为持久之处。

脚本类型是这种持久性的重要根源。支付到公钥(P2PK)输出在比特币最早年代较为常见,其设计本身就是将完整公钥置于链上;而支付到公钥哈希(P2PKH)则在地址首次花费之前将公钥隐藏在哈希之后——复用P2PKH地址同样会导致公钥暴露。因此,休眠的P2PK输出自创建之时起就携带可见密钥,这也是它们在数据集中最难迁移的部分占据显著位置的原因。

量子攻击经济学进一步压缩目标范围

即便拥有足够能力的量子攻击者,仍将面临运营成本、吞吐量限制、机会成本、交易手续费和操作风险。因此,理性的目标集合不太可能涵盖每一个暴露的密钥,而更可能从价值最高的暴露余额入手。

应用余额阈值可以显示实际攻击面收缩的速度之快。在剔除已知实体、仅纳入休眠或从未花费余额的条件下,≥10 BTC视图仍包含2,187,481枚BTC,但仅有39,897个群组和365,830个UTXO。在≥100 BTC阈值下,目标集合降至351,654枚BTC,仅分布于675个群组和33,573个UTXO。

脚本类型与阈值观察

脚本类型细分经过过滤,仅显示从未花费和不活跃余额,剔除已知运营实体,并保留归属中本聪的比特币,除非其被余额阈值排除。刊物提醒,由于仪表盘在脚本类型层面的四舍五入,显示的合计数可能与KPI合计数相差几个BTC。

简报还标记了一项重要的阈值说明:从≥10 BTC阈值下P2PK占主导到≥100 BTC阈值下P2PKH占主导的表面转变,不应被解读为P2PK风险的消失。这主要是一种过滤效应。数据集中归属中本聪的P2PK输出每把密钥持有50 BTC,因此在≥10 BTC阈值下被纳入,而在公钥余额阈值超过50 BTC后被排除。该排除导致P2PK类别在≥100 BTC视图中从约171.6万枚BTC骤降至约1万枚BTC。

注意事项与数据来源

简报强调,迁移估算仅适用于相对规模的衡量,而非对现实中的协调、手续费压力或用户行为的预测。在此背景下,仪表盘按区块高度的快照为持续跟踪这一问题提供了具体途径:后续读数可以显示托管余额是否发生轮换,以及暴露供应中休眠份额的变化。在协议层面,添加抗量子签名类型一直是比特币开发者反复讨论的话题,但其部署需要对网络进行共识变更。

数据来源于区块950,000时点的比特币量子暴露仪表盘快照,该分析假定编辑部另行获得了一份仪表盘方法论PDF文件。

本文最初发表于Bitcoin Magazine,作者为Wicked。