谷歌最新的量子计算成果使比特币面临的一个长期问题更加突出：如果与密码学相关的量子硬件成为现实，哪些持仓会最先暴露，其持有者又该如何迁移？

在10月15日的公告中，Google Quantum AI 表示，其 Willow 处理器在制备专用量子态时将错误率降低约40倍。该实验涉及容错量子计算机的一个组成部分，并非攻击比特币数字签名所需的完整系统。

Willow 展示了什么

这项研究《超导量子处理器上的魔法态培育》研究如何制备许多纠错架构所支持的基本门集之外的操作所需的资源。这些资源被称为魔法态。

量子计算机执行某些操作时会消耗魔法态。因此，一项漫长而复杂的计算除了需要执行计算的硬件之外，还需要持续供应可靠的量子态。

培育过程从一种不完美的量子态开始，并利用协同校验来保留质量更高的结果。研究人员报告的逻辑态保真度约为99.99%，错误率比其态注入基线低约40倍。

这一结果伴随着一个重要的代价：在筛选过程（包括制备和测量期间执行的校验）之后，大约只有8%的尝试被保留。因此，所报告的保真度描述的是被保留的量子态，而非一台持续运行大规模计算的完整机器的输出速率。

因此，不应将这一公告解读为攻击比特币所需资源减少了40倍。Willow 证明了这种制备方法在硬件上可行，但构建一台能够为密码学密钥恢复维持所需质量、规模和吞吐量的容错计算机，仍然是一项庞大得多的任务。

链上公钥已可见的持仓将首先面临风险

比特币使用数字签名来证明交易已获授权。所有者用私钥签名，网络则用相应的公钥验证签名。

一台足够强大的、运行 Shor 算法的量子计算机，原则上可以从公钥推导出私钥，然后创建有效签名。这种攻击不需要窃取所有者的硬件钱包、入侵电脑或获取恢复短语。

公钥保持可见的时间长短是风险的核心。长期暴露攻击针对的是区块链上已经可用的密钥，给未来的攻击者留下充足的时间尝试密钥恢复。短期暴露攻击则始于公钥出现在等待确认的交易中之后，窗口期要窄得多。

许多早期挖矿奖励使用 pay-to-public-key 输出，在币尚未花掉时就会暴露公钥。它们的暴露源于花费条件，而不仅仅是币的持有时间。如果密钥曾在早前的交易中暴露，或使用 Taproot 输出，现代持仓也可能面临长期暴露风险。

Taproot 规范使用的输出公钥支持基于签名的直接花费。这并不意味着 Taproot 在今天不安全，但这意味着较新的地址格式并不会自动隐藏与未来可能的量子密钥恢复攻击相关的公钥信息。

冷存储在防范普通盗窃方面仍然有价值，因为它保护私钥免受在线入侵。但它无法移除已经发布在区块链上的公钥。

未来的攻击仍需要远超 Willow 的机器

另一项由谷歌主导的资源研究描述了在未来特定假设下，攻击比特币椭圆曲线签名可能需要什么条件。这并不是对 Willow 已展示能力的描述。此类资源估算将量子威胁转化为具体的硬件要求，为开发者和研究人员提供了随技术发展可追踪的可衡量基准。

基于对未来超导架构的假设——包括10^-3的物理错误率、平面连接和快速控制系统——该研究估计，相关电路可以用不到50万个物理量子比特在几分钟内运行。

对于一台"预热"的快速时钟机器，该论文建模的平均密钥恢复时间为公钥可用后约九分钟这一时间取决于预先完成的计算以及控制系统反应速度，而当前硬件尚未在所需规模上展示这些能力。

该模型还估计，一次九分钟的计算每秒需要约50万个足够可靠的 T 态。这是一个持续的生产要求，而不是机器中的量子比特数量。

该硬件估算已经纳入了一种高效的魔法态制备方法。因此，将该数字除以 Willow 40倍的错误率降低会重复计算进展：一种实验性制备方法的错误率降低，并不等同于整个密码学攻击成本的等比例下降。

保护未来输出并不能自动解决遗留问题

比特币开发者正在考虑针对量子暴露不同阶段的提案。BIP 360 提出了 Pay-to-Merkle-Root（P2MR），这是一种草案软分叉输出类型，移除了 Taproot 暴露的密钥路径花费。

P2MR 旨在通过避免使 Taproot 输出在花费前易受攻击的密钥路径来降低长期暴露风险。一旦密钥在等待于内存池中的交易中暴露，它并不能提供完全的保护。该 BIP 的作者表示，防御此类较短时间的攻击可能需要后量子签名。

从比特币现有签名迁移的提案将带来另一个挑战。BIP 361 是一份草案性信息提案，依赖于另一个尚未确定的后量子签名提案。其建议的五年过渡期只有在激活后才会开始；它不是比特币持有者的现行截止期限。

休眠持仓是最困难的迁移问题。失去私钥访问权限的所有者无法授权转入更强的保护。但闲置并不能证明币已被放弃，这意味着任何限制未迁移持仓的规则也可能影响后来回归的合法所有者。

当务之急是准备，而非恐慌

Willow 实验中的任何内容都不意味着比特币持有者今天需要进行紧急转账。相关问题是某个输出是否已经暴露了公钥，而不是所有者是否将私钥保存在硬件钱包中，或该地址是否只是看起来很旧。

比特币更艰巨的任务是在与密码学相关的量子硬件出现之前创建并采用迁移路径：需要就新的输出类型达成一致，钱包和托管软件需要支持它们，所有者也需要一种迁移现有资金的可行方式。

这一过程可能比创建新的地址格式耗时更长，尤其是对于老旧或无法访问的币。比特币已有面向未来保护的草案提案，但尚无已激活的后量子迁移路径。目前，值得关注的明确指标是 BIP 360 和 BIP 361 是否从草案状态取得进展，以及量子硬件进展是否能从 Willow 这类单一组件演示扩展到资源研究所建模的容错机器。

本文仅供参考，不构成财务或投资建议。