谷歌表示，其Willow量子芯片在制备“魔幻态”这一量子计算所需特殊资源时，将错误率降低约40倍。这类计算最终可能威胁比特币钱包。研究成果本周发表于《科学》杂志。

该实验在通过检验的态中实现了约99.99%的保真度，但制备尝试中仅约8%获得成功，且仍存在重大的规模化挑战。

这一发现并不会使针对比特币的攻击成本降低40倍。它推进的是一种工程方法，或有助于未来的量子计算机维持在一种模拟攻击条件下所需的每秒约50万个可靠魔幻态。

这项工作所解决的挑战在量子计算与比特币的讨论中很少被提及——此类讨论通常聚焦于攻击者需要多大的机器，而较少关注该机器中有多少部分将用于计算前的准备工作。

为什么最古老的比特币给攻击者更多时间

比特币钱包使用私钥来批准支付，并使用对应的公钥让网络验证这些批准。进行支付时通常会暴露公钥，而某些支付类型从一开始就会暴露公钥。

从公钥反向推算出私钥本应需要不切实际的计算量，这正是逆向破解加密钱包在实践中几乎不可能的原因。然而，一台足够大的量子计算机运行Shor算法，理论上可以完成这一运算。任何恢复出私钥的人都可以以所有者身份签署交易，而网络会将其视为有效交易。数学家Peter Shor于1994年首次发表了这一方法，但迄今尚无人成功演示。

锁在实体抽屉里的助记词无法防范此类攻击，因为攻击者将利用的是已经存在于区块链上的信息。

一些较新的支付格式在所有者花费之前，将公钥隐藏在哈希（一种数字指纹）之后。针对此前被隐藏密钥的攻击者必须等待其暴露，并且可能需要足够快地恢复出私钥，以便在支付完成前进行干预。

这也是丢失的比特币构成难题的原因。比特币可以引入更强的支付保护机制，但仍需有人持有现有私钥才能将旧持仓转入新的保护中。如果私钥丢失，所有者无法进行转移，而已暴露的公钥仍可能被未来的攻击者利用。

比特币最早期年份的持仓常被称为“中本聪时代”，得名于网络的匿名创造者，许多早期奖励直接支付至公钥——这种格式将密钥本身而非其哈希记录在区块链上。比特币一些最古老的持仓自挖出以来公钥就一直处于暴露状态，而随着量子争论日益升温，古老的币也在发生转移。10月7日，自2010年7月以来未曾动过的100.02 BTC在超过16年后发生转移，价值约850万美元。8月，六个自2011至2014年间处于休眠状态的钱包转移了另外553.59 BTC，当时价值约4000万美元。

这些转移本身并不能证明持有者正在对量子威胁作出反应；转移币种也可能只是意味着更换钱包、整理持仓或准备出售。

准备工作的成本

量子计算机以称为量子比特的单位存储信息，而量子比特极为脆弱。热量、振动和杂散信号都可能干扰它们并引入错误，增加更多量子比特也会带来更多出错机会。

工程师的应对方式是将许多物理量子比特组织成能够检测和纠正错误的群组。每个群组表现为一个更可靠的单元，称为逻辑量子比特。这些单元还需要数字意义上的“燃料”来执行某些操作：即研究人员所称的“魔幻态”的特殊制备量子态。每一个魔幻态在使用时即被消耗，因此计算机必须在整个计算过程中持续生产它们。

可以把这想象成一家餐厅厨房：每道菜都需要一批无法重复使用的新鲜酱汁，部分员工必须不停制作酱汁，而其他人则负责烹饪。在量子计算机中，专门用于生产魔幻态的硬件无法被分配去执行其他工作。

这种开销意味着潜在的攻击者同时面临两个问题：组装一台足以运行计算的机器，并在整个计算期间为其持续供应魔幻态。

谷歌将这种方法称为“培育法”，其从一个粗糙版本的态开始，检查其错误并丢弃有缺陷的尝试。目标是以比旧方法更少的硬件产出干净的态。

该公司报告了约99.99%的保真度——这一指标衡量完成的态与研究人员目标的接近程度。该数字仅适用于通过检验的态。在制备和测量过程中，Willow的尝试经检查后仅保留了约8%。每100次尝试中，约有8次通过。

接下来的步骤包括在更大规模上运行该流程，并在这些态进入更长计算时保持其有效性。研究人员表示，在实时操作以及将这些态转入更强的纠错配置方面，仍需更多工作。

与早期研究的关联

今年3月，谷歌估算，在特定硬件假设下，一台拥有少于50万个物理量子比特的未来超导量子计算机可能破解比特币和以太坊所使用的钱包密码学。9月，CoinDesk报道了研究人员削减该攻击中一项核心计算工作量的成果。那项工作仅涵盖一个组成部分，未包括完整攻击及其运行的物理硬件成本。

这些研究减少了攻击者需要完成的运算量。而培育法解决的是机器执行这些运算时的供应成本。两者的收益不能简单相乘：谷歌3月的估算已经假设了高效的魔幻态生产，而该实验检验的是这一工程方法的一部分，而非使攻击比特币的估算成本再降低40倍。

综合来看，这些工作勾勒出剩余的工程清单——足够的物理量子比特、更精简的计算以及可靠的态供应——目前每一项都仅被单独演示，而非作为一台完整的机器。

3月的论文还显示了一次攻击将消耗多少“燃料”。对于一次在公钥暴露后持续约9分钟的模拟攻击，谷歌估算机器需要每秒约50万个足够可靠的魔幻态。

在培育法及其他组件被证明能够大规模协同工作之前，这种模拟攻击仍是一种硬件估算，而非实际的攻击能力。