比特币开发者Cory Fields针对未来的量子窃贼提出了一个不同寻常的想法：让对方每次试图窃取他人比特币时，都要拿自己的比特币承担风险。

在11月4日发布于比特币开发邮件列表的帖子中，Fields概述了“量子地雷”以及两种拍卖机制，旨在把针对易受攻击钱包的攻击变成代价高昂的赌博。他称这些想法是“思想实验”，而非一项已完成的比特币升级。邮件列表的场合意味着这些想法处于比特币开放变更流程的最早期阶段，其他开发者可以在任何正式提案或代码出现之前长期研究其机制。这些拍卖设计将针对表面上已被弃置的币——这些币的持有者可能已不在，无法引爆地雷。一切仍停留在假设阶段：比特币需要抗量子钱包、新的共识规则，以及就如何激活它们达成一致。

为什么量子计算机威胁部分钱包

比特币持有者使用秘密的私钥来授权交易。与之配对的公钥让网络无需知晓秘密即可验证签名。如今的计算机实际上无法从公钥推算出私钥，但足够强大的量子计算机可以利用一种名为Shor算法的数学技术做到这一点——可能让窃贼像拥有这些币一样将其花掉。

一些较旧的比特币输出暴露了公钥，某些较新的格式也会公开公钥。其他地址类型则将密钥隐藏到有人花钱时才暴露，因此每个钱包面临的风险并不相同。研究者将能够执行此类攻击的计算机假设性问世称为“Q-Day”。目前没有任何公开演示过的机器能够以这种方式窃取比特币，也没人确切知道这样的机器何时会出现。

量子地雷如何运作

假设某人在一个老旧、可能易受攻击的钱包中持有1 BTC。在Q-Day之前，该所有者创建一个微小的、独立的抗量子比特币输出，其中包含一个隐藏证明，表明其在量子盗窃尚不可能发生时就已控制原始私钥。可以把它想象成一份密封的所有权凭证。外人可以看到这个小输出，却看不到藏在其中的证据，甚至不知道它是一个陷阱。

再设想未来的窃贼用量子计算机恢复了该私钥。按照Fields建议的规则，窃贼不能直接拿走这1 BTC：他们必须从抗量子钱包中再拿出自己的1 BTC作为抵押。两笔币进入一个价值2 BTC的受限输出，窃贼必须度过一个挑战期——在Fields的例子中为30天——之后才能自由支配。

如果钱包所有者注意到这笔交易，就会揭示Q-Day之前的证明。网络随后允许所有者将全部2 BTC转移到其此前承诺的抗量子地址：即其原有的币，加上窃贼的抵押品。由于攻击者无法提前知道哪些老旧钱包含有这些隐藏凭证，即使是成功的量子密钥恢复也可能变成1 BTC的净损失。

这一设计同样给诚实持有者带来负担。所有者若要在Q-Day之后正常转移自己的旧格式币，也需要提供相应抵押。如果没有多余的BTC，这条本意是打击窃贼的规则可能会让转移积蓄变得困难。

对于丢失或被弃置的币怎么办？

地雷只有在所有者在Q-Day之前准备好并及时揭示的情况下才能生效。这种提前准备的要求贯穿提案中的每一个机制，也正是持币者风险所在：一旦能够执行此类攻击的机器问世，就再也无法证明Q-Day之前的所有权、埋设地雷或注册出价。它们无法保护密钥已经丢失的币，包括一些被普遍认为无法访问的早期比特币持仓。

Fields提出了第二种机制，称为质押拍卖。在Q-Day之前，任何人都可以锁定抗量子比特币，并秘密注册一个针对某个特定老旧钱包的出价——即他们预计窃贼会盯上的目标。假设一个表面上被弃置的钱包持有50 BTC。未来的攻击者试图转移这些币并提交另外50 BTC作为抵押；在拍卖期内，提前承诺出价的人可以对这次盗窃企图发起挑战。

在Fields的例子中，挑战成功者可获得攻击者抵押品的一部分，而原始的易受攻击币将被销毁，而不是授予出价者。其目的在于剥夺窃贼稳定的获利来源，而非把币归还给下落不明的所有者。

他的第三个想法是sats拍卖，不需要预先质押。相反，一次易受攻击币的花费将触发一场竞价，出价最高者获得这些币减去其出价的金额，而次高出价者则需支付其出价且一无所获。这类似于一种臭名昭著的拍卖游戏：两名竞拍者不断抬高出价，因为谁都不想成为白白亏钱的一方。窃贼因此可能会避免发动一场代价可能超过其窃取目标的竞争。

为什么不直接冻结易受攻击的比特币？

针对量子风险的一种拟议应对措施是在迁移截止日期后限制从过时钱包的花费。这或许能防止盗窃，但也可能将从未转移币的合法所有者永久拒之门外。

Fields正在探索一种不同的权衡：让旧币保持潜在可花费的状态，但使转移尝试代价高昂并允许挑战。复杂之处在于，如果诚实所有者和量子窃贼都能生成同样的有效签名，比特币无法区分二者。这种权衡代价沉重：诚实所有者可能需要缴纳大额抵押，不活跃的持有者可能错过提出异议的机会，而拍卖规则可能销毁仍然在世、只是暂时离线的人的币。

实施需要什么条件？

比特币首先需要一种抗量子方式来持有和花费资金。钱包随后需要支持隐藏的所有权承诺，而比特币的共识规则将必须强制执行抵押、等待期、特殊的恢复交易以及拍卖。开发者还需要就新规则的激活时间、所需抵押数量，以及落败出价或剩余资金的处理方式达成一致。

Fields认为，其中一些机制可以通过软分叉——一种比特币规则变更——引入，但他尚未提供详细设计。目前比特币中不存在上述任何保护措施。Fields尚未公布任何实施或激活时间表，其原始帖子中拍卖赔付金额乃至拍卖的预期结果都尚未确定。这些悬而未决之处也正是值得关注的信号：一份敲定拍卖赔付的后续帖子、一份规格草案，或其他开发者对抗量子输出格式的明确参与，将标志着这一想法超越思想实验阶段；而它们的缺席则使其停留在原地。

来源：Decrypt