孙哥在一场访谈中公开表达了对比特币长期安全性的担忧，认为 AI 与量子计算的发展可能动摇其底层密码学基础。几乎与此同时，Anthropic 公布最新研究成果，利用 AI 设计出更高效的量子电路，进一步引发市场对比特币私钥安全的讨论。如果量子计算真的能够从公钥反推出私钥，中本聪沉睡多年的比特币是否会重新进入流通？持续更新了十七年的 Bitcoin Core，又能否帮助比特币抵御这场潜在的密码学危机？
2008 年，全球金融危机席卷华尔街，纳斯达克综合指数全年暴跌 40.5%，标普 500 指数下挫 38.5%，拥有 158 年历史的雷曼兄弟宣告破产，全球金融体系陷入严重的信任危机。就在各国政府投入巨额资金救助银行、传统金融秩序受到广泛质疑之际，2009 年 1 月 3 日，中本聪挖出了比特币创世区块，并将英国财政大臣考虑实施第二轮银行救助的新闻标题永久刻入其中
六天之后，也就是 1 月 9 日，中本聪正式发布 Bitcoin v0.1.0。这款最初运行在 Windows 系统上的软件，既承担了钱包的角色，也能够验证交易、同步区块并参与比特币网络。彼时整个系统的功能还相当简单，人们甚至可以通过普通计算机参与挖矿，但它已经具备了未来比特币网络最基本的运行逻辑，由独立运行的软件按照共同的密码学规则验证交易，无须依赖银行维护账户余额记录
十七年过去，中本聪最早编写的客户端经过大量开发者接力维护，逐渐演变成今天的 Bitcoin Core。它既是比特币最具代表性的全节点实现，也包含钱包管理、交易构造、网络通信和区块验证等功能
与普通轻钱包相比，运行完整验证模式的 Bitcoin Core 可以依据本地执行的共识规则独立检查区块与交易，减少对第三方服务器的依赖。正是这种任何人都能够运行客户端、自行验证规则的架构，使比特币得以在缺乏统一管理者的情况下持续运行
但比特币的所有权始终依赖一个看似简单、却极为重要的数学前提。即使所有人都知道某个钱包的公钥，也无法在可接受的时间内，通过公钥计算出对应的私钥。比特币无需银行确认账户持有人的身份，也无需中心化机构批准每一笔转账，因为密码学签名本身就是交易授权的依据。如果这个前提被打破，那么即使 Bitcoin Core 能够正常同步区块、验证交易，也可能无法仅凭现有签名区分合法持有人和攻击者
AI 与量子计算的发展可能使这一前提面临挑战。就像孙哥说的那样，他尤其担心那些已经失去私钥、长期没有发生交易的比特币，将来可能因为密码学被攻破而重新进入流通市场。在他看来，如果量子计算技术的发展速度超过市场预期，那么比特币长期被视为安全基础的椭圆曲线密码学，可能成为整个网络最需要重新审视的环节
这里涉及一个长期存在于比特币社区中的特殊问题。中本聪到底持有多少枚比特币？据链上浏览器查看，约 100 万至 110 万枚 BTC 可以与中本聪联系起来
这些币的特殊性除了数量庞大，还在于早期比特币大量采用 Pay-to-Public-Key（也就是常说的P2PK）输出结构。这种结构会将公钥直接记录在链上，让潜在攻击者无需等待钱包再次发生交易，就能够获取攻击所需的公钥信息
在经典计算机条件下，公钥公开不会直接导致私钥泄露。但如果未来出现具备足够计算能力的量子计算机，攻击者便可能利用 Shor 算法，从公开的椭圆曲线公钥中恢复私钥。获得私钥后，攻击者便能够生成符合比特币协议要求的有效数字签名，构造一笔将资产转入自己钱包的交易，并通过比特币网络广播
由于 Bitcoin Core 等节点依然按照现有密码学规则验证交易，只要签名有效、输出尚未被花费且交易满足其他共识条件，这笔交易便可能被矿工打包确认，对于那些已经沉睡十余年的早期比特币，攻击者甚至拥有相当充裕的计算时间
孙哥认为，这类风险尚未得到充分定价，并在访谈中提出了未来一至一年半的激进风险窗口。这一判断与多数研究机构采用的规划时间存在明显差异，目前公开的量子计算研究也尚未展示能够大规模破解比特币私钥的实际能力。围绕这些观点产生的争论，最终都指向同一个问题：当保护钱包的数学假设受到挑战，比特币现有的所有权规则将如何延续？
要理解这种威胁究竟来自哪里，我们首先需要弄清楚比特币私钥的安全性建立在什么数学基础之上。比特币通常被描述为采用 256 位加密技术，但其交易授权机制有着更加准确的技术定义。比特币采用椭圆曲线数字签名算法 ECDSA，以及后来 Taproot 引入的 Schnorr 签名，两者都建立在 secp256k1 椭圆曲线之上
如果用数学符号简化表示，这一关系可以写成 Q = dG，其中 d 是私钥，G 是预先确定的生成点，Q 是对应的公钥。已知私钥和生成点，可以非常高效地计算公钥
反过来，已知公钥与生成点，要计算出私钥，则需要解决椭圆曲线离散对数问题。在目前已知的经典算法下，针对合理生成的 secp256k1 密钥，直接恢复私钥需要极其庞大的计算资源，其通用攻击安全强度通常被认为约为 128 位
而这 128 位的安全强度看上去只是一个普通的数字，其背后却对应着约 2¹²⁸，即 3.4 × 10³⁸ 次运算的庞大计算规模。以目前性能顶尖的消费级显卡 NVIDIA RTX 5090 为例，其 SHA-256 哈希计算速度约为每秒 268 亿次。假设我们将这一速度理想化地等效为每秒完成 268 亿次密码学攻击运算，那么即使让这张显卡全天候、不间断地工作，也需要约 4.02 × 10²⁰ 年才能完成如此规模的计算，相当于宇宙迄今约 138 亿年历史的 291 亿倍
然而通过优化 Shor 算法及相关量子电路，求解比特币所使用的 secp256k1 椭圆曲线离散对数问题，理论上可以使用约 1,200 个逻辑量子比特和 9,000 万次 Toffoli 门操作，或者约 1,450 个逻辑量子比特和 7,000 万次门操作。在研究设定的超导量子计算架构下，完成一次私钥恢复理论上仅需约 18 至 23 分钟。如果攻击者提前完成部分计算，在获取目标公钥之后，剩余运算甚至可能缩短至约 9 至 12 分钟，已经接近比特币平均 10 分钟的出块间隔
回顾比特币过去十余年的发展，每当网络遭遇重大技术危机，核心客户端的开发者往往都需要迅速寻找解决方案。2013 年 3 月，比特币 0.8.0 客户端与旧版本之间出现数据库兼容性问题，导致区块高度 225430 附近发生意外分叉，一度有约 60% 的算力运行在新版本接受的链上。开发者与矿池运营者紧急协调，BTC Guild 和 Slush 等矿池主动回退至 0.7 版本，使网络重新收敛到兼容旧客户端的区块链，随后开发者发布 0.8.1 版本修复相关问题
2018 年，Bitcoin Core 0.16.3 又紧急修复了 CVE-2018-17144 漏洞，该漏洞在特定条件下可能造成异常增发或共识分裂，开发团队通过发布安全更新、披露风险和推动节点升级来降低潜在影响。从意外分叉到严重漏洞，这些事件逐渐形成了比特币应对技术危机的基本方式：由开发者提出修复方案，经过代码审查与测试，再由矿工、节点运营者和其他网络参与者共同完成部署
2021 年，Bitcoin Core 迎来另一次重要升级。0.21.1 版本加入了 Taproot 的主网激活参数，支持相关共识规则在满足预定条件后生效。同年 11 月，Taproot 在区块高度 709632 正式激活，为比特币引入 Schnorr 签名和新的脚本结构。随后，2022 年发布的 Bitcoin Core 23.0 进一步完善 Taproot 钱包支持，并将描述符钱包设置为新建钱包的默认类型
以史为鉴，比特币曾经通过共同协调化解意外分叉，也曾在长期争论之后完成 SegWit 和 Taproot 等重要升级。但是这一次不一样的点在哪？而抗量子迁移可能涉及重建数字签名体系、改变部分交易规则，以及处理大量永远无法联系到原始持有人的资产。尤其是对于中本聪及其他早期矿工的休眠币，如何保护原始财产权与如何阻止未来量子攻击者取得资产，可能需要比过去任何一次协议升级都更加广泛的讨论
并且开发者可以设计新算法、提交代码并发布客户端，矿池可以协调算力支持升级，交易所和钱包服务商可以帮助用户迁移资产，但各方都需要在公开规则下形成协作。当网络面对需要迅速完成的安全升级时，这种分布式治理结构相比较于传统银行体现出较高的协调成本
2026 年 10 月，英格兰银行强调金融机构需要加强对新型网络攻击的恢复能力，并正在评估金融体系面对未来量子计算威胁的准备程度。美国 NIST 推动的后量子密码学迁移工作，也将密码学资产盘点、风险管理与系统兼容性列为重要环节。这些工作表明，传统金融体系虽然同样面临复杂的技术迁移，却已经拥有可以通过管理和监管流程推动系统性升级的制度基础
这恰恰形成了一种值得思考的对照。比特币最初希望减少人们对金融中介的依赖，让个人能够在不需要第三方许可的情况下直接控制资产；但当底层密码学需要大规模替换时，传统金融体系拥有的集中决策权，却可能成为提高升级效率的重要工具。银行能够在统一管理下更换技术标准，代价是客户必须相信这些机构不会滥用账户控制权；比特币则尽可能减少对单一权威的依赖，代价是重大升级需要在不同利益主体之间进行更加漫长的协调
由此看来，中心化与去中心化更接近两种不同制度安排之间的对立统一。在正常运行时，去中心化能够降低单点故障、审查和权力滥用的风险，使网络即使没有一个统一管理者也能够继续运行；当面对需要迅速协调的技术危机时，中心化又可能因为拥有明确的责任主体和执行权限，而表现出更强的组织效率
当然面对量子威胁的也不只有BTC，还有ETH以及其链上资产以及基础设施
对于 ETH holders而言，情况与比特币有相似之处。以太坊的普通外部账户使用 secp256k1 上的 ECDSA 签名，账户地址则由公钥经过 Keccak-256 哈希计算得到。如果一个账户从未发起过交易，也未通过其他方式暴露公钥，那么仅凭普通地址通常无法直接获得对应的完整公钥
但当账户发起签名交易时，相关签名数据可以用于恢复公钥。一旦攻击者获得公钥，便可能将其作为未来量子攻击的目标。这意味着一个已经使用多年、持续参与链上交易的普通以太坊账户，即使私钥始终保存在硬件钱包中，未来仍可能面临来自公开公钥的风险。与比特币的 UTXO 模型相比，以太坊普通账户往往会在长期使用过程中保留同一个地址，因此账户历史与公钥暴露之间的关系更加直接
对于DeFi这些去中心化金融协议，影响可能更加广泛。许多协议使用多签钱包管理财库、升级权限或关键参数，部分跨链桥和托管安排也依赖特定密钥或多方签名控制资产。如果相关管理权限最终仍建立在量子脆弱的椭圆曲线签名之上，那么普通持有人即使完成钱包升级，整个应用系统也可能继续面临来自关键管理密钥的安全风险
智能合约钱包则提供了更加灵活的设计空间。某些智能合约账户可以采用新的验证逻辑，甚至组合不同密码学方法验证交易，风险取决于具体合约实现。以太坊因此面临两项并行任务：一方面让普通账户逐步摆脱传统 ECDSA，另一方面确保控制大量资产的智能合约、机构钱包和基础设施能够同步升级
2026 年 9 月，以太坊基金会公布新的协议优先事项，正式将抗量子安全提升为具有明确时间目标的核心开发任务。基金会提出，希望在 2029 年 12 月前，使 L1 的执行层、共识层和数据层全部具备抗量子能力。这一日期与其他大型科技机构推动密码学迁移的时间规划具有一定呼应关系，同时也为以太坊自身的技术开发建立了明确的时间约束
以太坊基金会正在通过一个主动设定的时间目标，避免整个生态因为等待量子硬件取得决定性突破而推迟准备。从技术路径看，这项计划需要通过多个阶段逐步完成，包括建立抗量子公钥登记机制、让账户支持新的签名验证方式、替换验证者使用的密码学原语，以及研究新的数据可用性承诺和证明聚合技术
其中，一部分工作可以通过较早的协议升级逐步引入，另一部分则必须等到新的共识设计经过充分验证之后才能实施。基金会还提出 Minimum Viable Post-Quantum，即最低可行抗量子保护的概念，希望在全面升级进度不及预期时，网络仍然拥有一套能够在潜在量子威胁下继续运行的临时安全机制。由于这种最低可行方案可能需要接受部分功能、效率或安全保证上的限制，因此仍需与完整抗量子迁移加以区分
2029 年的目标同样需要面对现实约束。以太坊每次升级都涉及不同客户端团队、研究者、验证者和应用生态的协调，共识密码学的重大变更尤其需要严格的测试、审计与跨客户端验证。与此同时，整个网络仍然需要保持正常运行，避免技术迁移本身引入新的系统性风险
从这一点继续比较比特币与以太坊，就会发现两条公链各自面临不同的挑战。比特币的优势在于系统相对简单，其核心功能主要围绕资产所有权、转账和工作量证明展开。与以太坊相比，比特币需要迁移的协议层密码学组件相对集中，但历史资产、公钥暴露和社区治理构成了更加突出的难题
以太坊则具有更加灵活的账户结构和相对明确的开发路线，同时需要处理数量更多、联系更加紧密的密码学组件，包括普通账户、验证者签名、数据承诺、零知识证明以及大量依赖现有账户权限的智能合约。复杂的技术结构意味着更大的迁移工作量，也意味着更多需要同步完成的安全审查
当然对于绝大多数普通投资者而言，我们既无法决定 Bitcoin Core 或者 ETH 基金会什么时候增加新的共识功能，也很难独立参与抗量子签名算法的设计。相比这些宏观层面的技术与市场讨论，一个更加现实的问题是：如果现在手中已经持有 BTC 或 ETH，是否存在一些简单的方法，可以在未来量子计算能力成熟之前，主动降低自己的风险？
答案是肯定的，以BTC为例。对已经长期使用同一个地址收款、并且曾经从该地址花费资金的持有人而言，可以考虑在经过充分备份与验证后，将仍然保留的 BTC 转入一个新的、未被复用的公钥哈希地址
例如，Bitcoin Core 等支持相关钱包功能的软件可以生成原生隔离见证 P2WPKH 地址，它们通常以 bc1q 开头。但由于部分其他脚本类型也使用相同前缀，持有人仍然需要确认钱包生成的具体地址类型
这一操作的逻辑在于通过使用新的密钥与新的公钥哈希输出，让资产在未花费期间减少与此前已经公开公钥的长期关联。对于熟悉钱包操作、已经准备好安全备份的持有人，生成接收地址和提交转账交易可能只需要几分钟，但交易确认仍然取决于网络状态和手续费，完整检查与备份也需要认真完成
总而言之，量子计算的威胁，如同一把悬在BTC、ETH乃至整个加密世界头顶的达摩克利斯之剑。我们可以争论 Q-Day 距离今天还有五年、十年，甚至更久，却没有人能够准确预知这把剑何时落下
但面对一场可能重塑数字资产所有权的风暴，我们能够做的，就是趁海水尚未上涨，提前建好自己的诺亚方舟
