比特幣開發者 Cory Fields 對未來量子竊取者有一個不尋常的構想：讓他們每次企圖竊取他人資產時，都必須拿自己的比特幣冒險。

Fields 在 11 月 4 日於比特幣開發郵件列表發文，提出「量子地雷」構想以及兩種拍賣設計，目的是把針對易受攻擊錢包的攻擊變成代價高昂的賭局。他稱這些想法為「思想實驗」，而非已完成的比特幣升級。郵件列表的發表場合意味著這些構想處於比特幣開放變更流程的最早期階段，其他開發者可以在任何正式提案或程式碼出現之前長期檢驗其機制。這兩種拍賣設計針對的是表面上看來已被遺棄的代幣，屆時可能沒有人會去觸發地雷。一切都仍是假設性的：比特幣需要抗量子錢包、新的共識規則，以及就如何啟動這些規則達成共識。

為什麼量子電腦會威脅部分錢包

比特幣持有者使用秘密的私鑰來授權交易。對應的公鑰讓網路能夠在不得知秘密的情況下驗證簽名。今日的電腦無法實際從公鑰推算出私鑰，但一台足夠強大的量子電腦可以運用名為 Shor 演算法的數學技術做到這一點，可能讓竊取者像擁有代幣一樣將其花費掉。

部分較舊的比特幣輸出暴露了公鑰，某些較新的格式也會揭露公鑰。其他地址類型則會將私鑰隱藏到有人花費時才揭露，因此每個錢包面臨的風險並不相同。研究人員將能執行此類攻擊的電腦假設性問世稱為「Q 日」。目前沒有任何公開展示過的機器能以此方式竊取比特幣，也沒有人確切知道這樣的機器何時會出現。

量子地雷如何運作

想像某人在一個老舊、可能易受攻擊的錢包中持有 1 BTC。在 Q 日之前，該所有者創建一個微小的、獨立的抗量子比特幣輸出，其中包含一份隱藏的證明，證明在量子竊取仍不可能發生的時期，他們掌控著原始私鑰。可以把它想成一份封存的擁有權憑證。外人能看到這個小輸出，卻看不到藏在其中的證據，甚至不知道這是一個陷阱。

再想像未來有竊取者用量子電腦還原了該私鑰。根據 Fields 建議的規則，竊取者不能直接拿走那 1 BTC：他們必須從一個抗量子錢包額外拿出自己的 1 BTC 作為抵押品。兩枚代幣會進入一個價值 2 BTC 的受限輸出，竊取者必須度過一個質疑期——在 Fields 的例子中為 30 天——才能自由花費。

如果錢包所有者注意到這筆交易，他們就會揭露 Q 日之前的證明。網路隨後允許所有者將全部 2 BTC 轉移到他們先前承諾的抗量子地址：即原本的代幣加上竊取者的抵押品。由於攻擊者無法事先知道哪些舊錢包藏有這類隱藏憑證，即使是成功的量子金鑰還原，也可能變成損失 1 BTC。

這項設計也會加重誠實持有者的負擔。所有者若要在 Q 日之後正常轉移自己的舊式代幣，同樣需要等額的抵押品。若沒有多餘的 BTC，這條本意是懲罰竊賊的規則，可能反而使轉移自己的積蓄變得困難。

那麼遺失或被遺棄的代幣呢？

地雷只有在所有者於 Q 日之前預先準備並及時揭露時才能發揮作用。這項預先準備的要求貫穿提案中的每一項機制，也是持有者風險集中的所在：一旦具備此類攻擊能力的機器問世，就再也不會有機會證明 Q 日之前的擁有權、埋設地雷或登記競標。地雷無法保護私鑰已經遺失的代幣，包括一些被普遍認為無法取回的早期比特幣持倉。

Fields 提出了第二種機制，稱為質押拍賣。在 Q 日之前，某人可以鎖定抗量子的比特幣，並秘密地針對其預期竊賊會瞄準的特定舊錢包登記一筆競標。假設一個表面被遺棄的錢包持有 50 BTC。未來的攻擊者嘗試轉移該代幣並提交另外 50 BTC 作為抵押品；在拍賣期間，事先承諾競標的參與者可以對這起竊取企圖提出質疑。

在 Fields 的例子中，成功的質疑者可取得攻擊者部分抵押品，而原本易受攻擊的代幣則被銷毀，而非授予競標者。其目的在於剝奪竊賊可靠的獲利機會，而非把代幣歸還給失蹤的所有者。

他的第三個構想，聰物（sats）拍賣，則不需要事先質押。相反地，易受攻擊代幣的一筆花費將觸發一場競價：出價最高者獲得代幣並付出其出價金額，次高出價者則須付出其出價卻一無所獲。這類似一種惡名昭彰的拍賣遊戲：兩位競標者不斷抬高報價，因為誰都不想成為白白賠錢的那一方。竊賊因此可能避免發起一場代價可能超過其竊取目標的競價。

為什麼不直接凍結易受攻擊的比特幣？

針對量子風險的一項擬議對策，是在遷移期限過後限制從過時錢包進行花費。這或許能防止竊取，但也可能永久將從未轉移代幣的合法所有者拒於門外。

Fields 正在探索另一種取捨：讓舊代幣保持可能可花費的狀態，但使轉移嘗試變得代價高昂且可被質疑。問題在於，如果誠實的所有者與量子竊賊都能產生同樣有效的簽名，比特幣無法區分兩者。這項取捨相當嚴峻：誠實的所有者可能需要繳納大額抵押品，不活躍的持有者可能錯過提出異議的機會，而拍賣規則可能銷毀屬於仍在世、只是暫時離線之人的代幣。

實作需要哪些條件？

比特幣首先需要一種抗量子的方式來持有與花費資金。接著錢包需要支援隱藏的擁有權承諾，而比特幣的共識規則也必須強制執行抵押品、等待期、特殊的取回交易以及拍賣。開發者還需要就新規則何時啟動、需要多少抵押品，以及失敗的競標或剩餘資金如何處理達成共識。

Fields 認為部分機制可以透過軟分岔——一種比特幣規則變更——導入，但他尚未提供詳細設計。這些保護措施目前都不存在於比特幣中。Fields 尚未公布任何實作或啟動時程，他的原始發文也沒有解決拍賣的支付分配，甚至拍賣所期望的結果。這些懸而未決之處同時也是值得關注的訊號：一篇確定拍賣支付分配的後續發文、一份草案規格，或其他開發者對抗量子輸出格式的明確參與，將標誌著這個構想跨越思想實驗的階段；而這些訊號的缺席，則使其停留在思想實驗的階段。

來源：Decrypt