比特币围绕量子计算的争论并非单纯的密码学技术问题。当椭圆曲线签名无法再可靠地认证所有权时，这也是一场关于哪些原则应当占据上风的争议：是「有效比特币应始终可由其所有者花费」的承诺，还是保护比特币免遭可能夺取其相当大份额供应量的量子攻击者侵夺的需要。

每一种严肃的方案都会产生冲突。无所作为将保留当前的共识规则，但可能让未来的量子攻击者夺走其所有者从未同意交出的比特币。冻结脆弱比特币可以阻止这种盗窃，但会追溯性地使长期有效的花费条件失效。强制迁移到后量子签名或许是审慎的工程决策，但也可能被视为一种有截止日期支撑的没收制度。

因此，核心问题在于：当椭圆曲线签名无法再可靠识别合法所有者时，如何将产权侵害的总量降到最低。

量子威胁

比特币当前确保资金只被合法所有者花费的授权机制依赖于椭圆曲线密码学。遗留的ECDSA签名和Schnorr签名都使用secp256k1曲线。在经典计算假设下，从公钥推导私钥在计算上是不可行的。而一台足够强大、具备密码学相关能力并运行Shor算法的量子计算机可能改变这一前提：一旦公钥暴露，攻击者就可以推导出对应的私钥，并构造一笔网络会视为有效的交易。

并非所有比特币输出都在同一时间暴露公钥。旧的pay-to-public-key输出和Taproot输出会在链上公开公钥，可能面临远程攻击。其他输出则将公钥隐藏在哈希之后，直到所有者花费时才暴露。在后一种情况下，进行短程攻击的攻击者可以观察一笔交易，快速推导出私钥，并试图替换或抢跑该笔花费。

量子挖矿则是另一回事。Grover算法理论上可以在搜索有效区块哈希时提供平方级加速，而Shor算法针对ECDSA和Schnorr背后的假设提供超多项式级加速。因此，用量子计算进行挖矿的优势被认为远不如用它攻击椭圆曲线签名来得实际。

量子计算机的不确定性

具备密码学相关能力的量子计算机究竟会不会被建造出来，仍不确定。量子怀疑论者一般并不否认Shor算法可以破解椭圆曲线密码学。他们的论点是，没有充分理由相信工程师能够造出在相关规模上运行该算法所需的强大容错机器。

目前含噪声的量子处理器无法破解ECC。这类攻击需要大量可靠的逻辑量子比特、极低的错误率、长时间保持相干的计算，以及能大规模成功运行的量子纠错。

Mikhail Dyakon曾论证，量子容错阈值定理依赖理想化假设，包括足够独立的噪声、足够精确的门操作、有限的不受控相互作用，以及在极大规模系统中将错误率控制在阈值之下的能力。Gil Kalai则提出了更具结构性的批评，认为相关噪声和噪声累积可能使高质量量子纠错码无法扩展。在2011年的论文中，Kalai探讨了量子码的物理实现、随机系统中的相关性以及累积噪声如何可能阻碍可扩展量子计算机的实现。

怀疑论者也拒绝从物理量子比特数量进展中做简单外推。从50、100或1,000个物理量子比特迈向数百万物理量子比特或数千逻辑量子比特，需要控制串扰、泄漏、相关错误、校准漂移、热效应、测量误差、制造差异和控制噪声。目前的演示只在精心挑选的采样任务上超越经典模拟，对于能否足够可靠地执行Shor算法这类长而结构化的算法、从而恢复256位ECC私钥，这些演示提供的证据很有限。

迁移为何重要

如果具备密码学相关能力的量子计算机出现，仅仅提供使用后量子密码学的选项并不足以保护所有脆弱的比特币。暴露的集合包括早期pay-to-public-key比特币、由重复使用公钥控制的比特币、Taproot输出，以及公钥或扩展公钥已在链外泄露的比特币。

旧的P2PK输出在UTXO数量上占比很小，但代表约170万枚BTC。基于输出类型、活动模式和已知所有权的更广泛估算表明，即使活跃的比特币用户将其钱包迁移到后量子密码学，仍至少有260万枚BTC可能保持脆弱状态。文章估计，约有260万枚BTC，即当前总供应量的13%，可能无法迁移到量子安全的锁定脚本。

这些比特币可能造成超出直接抛售的系统性风险。量子攻击者可能利用它们来破坏市场稳定、削弱信心、长期滋扰网络，或积累足够算力尝试51%攻击。因此，保护这些比特币需要通过共识规则变更，阻止使用脆弱的ECDSA或Schnorr签名。

「没收」「销毁」「冻结」「盗窃」和「追回」等术语描述的是不同的机制。冻结不会将比特币转移给国家、矿工、开发者或某个追回基金。在最基本的形式下，它意味着修改共识规则，使特定输出无法再使用脆弱的ECDSA或Schnorr签名进行花费。正因如此，倡导者有时说「销毁」而非「没收」：这些比特币不会被重新分配，而是经由其私钥变得不可花费。但对于仍持有原始私钥的合法所有者而言，实际效果仍可能带有没收性质：一笔过去有效的花费不再有效。

BIP-361将迁移概念划分为几个阶段。首先，一旦存在抗量子地址类型，比特币网络将不再允许新币发送到量子脆弱地址。之后，经过多年过渡期，遗留的ECDSA和Schnorr花费将失效。该提案还保留了追回方式的讨论空间，供那些能够不依赖已被破解的ECC来证明所有权的用户使用，例如通过基于助记词或HD钱包结构导出的零知识证明。该提案的主要目的不是挑选某种后量子签名算法，而是创建激励和截止期限，促使用户、交易所、托管机构、钱包和机构及时迁移，从而在防范量子攻击的同时淘汰ECC。

支持冻结的理由

冻结的支持者从一项简单主张出发：通过量子计算从公钥推导出私钥的攻击者，在任何有道德意义的意义上都不是合法所有者。在他们看来，放任脆弱比特币被夺走并非中立，而是放任最早具备量子能力的参与者去劫掠受已知弱点保护的输出。

一次成功的量子扫荡可能将财富重新分配给一个仅花费相对较少资源就获得这些资金的参与者，破坏比特币的安全模型——该模型假设经济上理性的参与者有动机保护其持仓的价值。已丢失的比特币尤其令人担忧。如果攻击者追回被认为永久丢失的比特币，尽管正式的2100万枚上限不变，有效流通供应量仍可能增加。

这种威胁也可能带有政治性质，而不仅仅是逐利。攻击者可能破坏市场稳定、削弱公众信心、长期滋扰网络，或将大量BTC作为筹码。Pieter Wuille在邮件列表辩论中的评论强调了一个观点：中期危险可能不仅来自真实存在的密码学相关量子计算机，还来自「它可能很快出现」这一可信信念。如果市场认为比特币供应量的很大一部分随时可能被夺取，仅仅提供自愿的后量子输出可能不足以恢复信心。一项禁用脆弱花费的可信计划本身可能就是足够的安抚机制。

支持者还认为，自愿迁移可能会很缓慢。硬件钱包、交易所、托管机构、遗产规划、多签协调以及冷存储流程都需要数年时间来调整。Matt Corallo曾主张，比特币应在真正需要之前就添加简单的后量子能力，让钱包尽早开始嵌入或承诺抗量子公钥。

明确的截止期限将为上市公司、ETF、托管机构、交易所、合规部门和风险委员会提供具体的迁移计划。BIP-361指出，一旦截止期限存在，交易所和托管机构将面临信托和法律上的压力而不得不行动。倡导者还指出，同样的准备工作也可帮助应对ECC随时间推移而被削弱的其他情形。

从这个角度看，一项客观地禁用已知不安全花费路径的软分叉，更接近于更换一把坏锁，而非任意的政治性没收。规则将针对脚本类型而非具名的所有者，并可提前多年公布，同时提供可行的迁移路径。

反对冻结的理由

反对者从比特币既有的产权预期出发：一枚有效比特币应始终可由持有对应私钥的人按照其接收时所依据的共识规则进行花费。追溯性地使该花费路径失效，用他们的话说，就是把「不是你的私钥，就不是你的比特币」变成了「没有在截止期限前升级，就不是你的比特币」。

批评者担心，冻结将为在UTXO所有者之间挑选赢家和输家开创先例。即使规则在技术上是客观的，它仍会基于过去的地址选择、钱包设计、长期休眠或无力行动而针对部分用户。未来的联盟可能会以制裁、盗窃追回、继承纠纷、国家压力或推定丢失的比特币等理由寻求类似的干预。

冻结无法区分丢失的比特币与休眠的比特币、被监禁的所有者、留有继承人的已故所有者、身处敌对司法辖区的用户、时间锁安排、被遗忘的冷存储，或刻意的长期储蓄。它还可能制造激励冲突：活跃持币者可能从有效供应量减少中受益，而不活跃的合法所有者则承担损失。

量子时间表和能力也存在不确定性。量子计算机可能比预期晚出现，形态可能与 feared 的不同，可能长期保密，也可能被较温和的手段化解。在威胁兑现之前永久销毁数百万枚比特币，本身可能构成不可逆的产权侵害。

技术上的目的地同样不确定。NIST已经标准化了ML-DSA、SLH-DSA和ML-KEM，但比特币需要紧凑的、与脚本兼容的所有权证明，且验证成本可控。Chaincode对候选方案的比较指出，后量子签名和密钥可能远大于Schnorr或ECDSA，且在成熟度、大小、签名成本、验证成本和安全假设上差异显著。一次糟糕的迁移可能降低吞吐量、推高费用、加重UTXO或见证数据负担、引入新假设，或在日后被迫再次迁移。

永久冻结之外的替代方案

若干提案试图在不立即破坏旧有产权主张的前提下降低系统性风险。BIP361的A阶段将阻止新的脆弱输出，同时让既有输出暂时仍可花费。Boris Nagaev建议采用带有未来重新启用高度的临时锁定，而Conduition则考察了与P2QRH或P2MR类输出的交互，并警告说一概禁止EC校验可能意外影响混合构造，除非规则设计得足够谨慎。

Hourglass V2提案将对旧P2PK花费实施速率限制，每个区块只允许一个P2PK输入，且这些输出的净限额为每区块1 BTC。其作者称，这既能避免立即销毁，也能避免不受约束的量子清仓。批评者回应说，这仍会限制无需许可的花费，并可能在合法所有者与攻击者之间制造长达数十年的竞赛。

Commit-delay-reveal方案，有时与Guy Fawkes式构造相关联，允许用户先对未来一笔花费做出承诺，等待确认后再揭示验证该花费所需的信息。Chaincode将该方法描述为可自选参与，Optech的摘要则指出，它可以降低迁移的紧迫性，并保护比特币免受短程暴露攻击。

另一种可能的追回方法是证明对助记词或派生路径的知识，而非对脆弱公钥的控制。Or Sattath等人讨论了「签名提升」思路，Olaoluwa Osuntokun则构建了一个使用zk-STARK的概念验证，证明某个Taproot BIP-86输出密钥是从BIP-32种子路径派生的。最新优化版本需要200 KB的证明。小额UTXO的追回可能变得不经济，因为手续费可能需要数百美元，在更高费率下甚至可能达到数千或数万美元。其他顾虑还包括证明体积、验证复杂度、隐私泄露、钱包派生假设，以及向比特币共识引入新型密码学的风险。

Marc Johnson等人建议采用市场驱动的迁移，基于抗量子输出、可选的双签名以及费用或政策激励。这种方式能更好地保护产权，但如果大量高价值BTC仍然暴露在外，它可能无法解决系统性风险问题。

技术与经济权衡

NIST的后量子标准提供了基础：FIPS 204标准化了ML-DSA，FIPS 205标准化了SLH-DSA，FIPS 203涵盖用于密钥建立的ML-KEM。但比特币需要的是数字签名和与脚本兼容的所有权证明，而不仅仅是通用密码学标准。

基于哈希的签名假设保守、有吸引力，但体积很大。Lamport式签名可以通过OP_CAT等脚本升级以某种形式启用，但Taproot密钥路径问题依然存在：如果某个Taproot输出含有量子脆弱的密钥路径，仅在脚本路径中放置Lamport签名并不能使整个输出量子安全，除非移除或禁用脆弱的密钥路径。BIP-347的OP_CAT讨论明确指出了这一问题。

ML-DSA等格基签名比许多基于哈希的方案更紧凑，但带来不同的假设和实现风险。Falcon式签名紧凑，但实现历来更为复杂。SPHINCS+/SLH-DSA保守但体积大。实验性方案在纸面上可能有吸引力，但对于比特币共识而言可能不够成熟。正因如此，一份可信的迁移计划很可能需要算法敏捷性、测试部署、钱包实验、审慎的费用建模，以及可能的多条可接受的后量子路径，而不是仓促选定单一赢家。

区块空间问题严重但并非无解。Chaincode估计，如果迁移消耗全部区块空间，迁移所有UTXO大约需要76至142天；如果消耗25%的区块空间，则需要305至568天。这仅是原始迁移吞吐量，还不包括人工协调、钱包升级、机构审批、隔离签名支持、硬件更换、会计流程等。

完整的UTXO集迁移时间以年计，而非以周计Chaincode的高层估计勾勒出：研究、BIP工作、实现、部署和迁移，最好情况约需五年，最坏情况接近十五年。同一报告指出，在紧急情况下时间表可能压缩到两年，但历史上的紧急协议修复并不真正可比，因为量子迁移问题触及生态系统的每一层。

历史先例与治理

价值溢出事件表明，比特币的共识规则曾经为了移除在当时规则下合法产生的比特币而做出变更。2010年8月15日，区块74,638被发现包含一笔为三个地址创造184,467,440,737.09551616 BTC的交易。两个地址各收到922亿枚BTC，而挖出该区块的矿工额外获得0.01 BTC。错误源于交易验证中的整数溢出。

在发现后的五个小时内，一个新客户端通过软分叉式的共识变更拒绝了此类交易。区块链出现分叉，「好」链在区块高度74,691处超越了另一条链。在那条累计工作量最大的链上，无效交易及其产生的比特币已不复存在。

以太坊的DAO事件提供了另一个参照。2016年，社区有大约一个月的时间应对控制5% ETH的攻击者，因为The DAO的合约在资金可被提取前设有延迟。以太坊最终通过硬分叉返还资金，原链则成为Ethereum Classic。Ethereum Classic难以达到以太坊市值的10%，尽管两个网络有着不同的历史和结构。

BIP-361式的比特币变更将是软分叉而非硬分叉。反对DAO分叉的用户只需留在原规则链上即可；而在算力占绝对多数的情况下反对量子迁移软分叉，则需要持异议的用户协调一次「用户否决软分叉」，这在历史上从未发生过。

比特币没有能够强推此类变更的中央权威。任何淘汰ECC的规则都需要节点运营者、矿工、交易所、钱包、托管机构、商户和用户的广泛共识。等到拿到密码学相关量子计算机的确凿证据才行动，可能意味着在恐慌和市场压力中做决策；而过早行动则可能在威胁尚不充分可信之前就施加不可逆的成本。

一条可能的前进路径

Matt Corallo曾主张，这场辩论应当被框定为「在最大程度上保护产权」，而非简单地拒绝冻结任何比特币。在这一框架下，只有当存在经过广泛审查的抗量子目的地、迁移窗口足够长、规则客观且狭窄、且追回选项可用时，淘汰ECC才具有可辩护性。

BIP-361提出了五年迁移期，因为迁移过早可能施加不必要的成本或令比特币锁定在不够成熟的方案上，而迁移过晚则可能使系统暴露于系统性威胁之下。文章指出，除非密码学相关量子计算机看起来很可能在10年内出现，否则不应认真考虑激活。

下一步并不包括激活BIP-361。而是包括：减少地址重复使用、研究追回证明、减少对xpub共享的依赖、开发更高效的后量子方案、激活可自选参与的量子安全锁定脚本，以及制定多套应急预案。

比特币的量子问题在今天并不紧迫到需要用户恐慌。它的紧迫性在于：去中心化系统必须在协调难题演变为紧急事件之前解决它们。这场辩论并非简单的「尊重产权」与「侵犯产权」之争，而是两种产权失效形式之间的抉择。文章总结称，比特币应将量子计算视为真实但无法量化的系统性风险，同时避免仅凭不确定性就做出过早且具争议的变更。

本文刊载于《Bitcoin Magazine》最新一期印刷版《The Quantum Issue》，此处分享作为对该期全部内容的抢先预览。本文由Shinobi撰写，首发于Bitcoin Magazine。