量子安全竞赛已经开始：主要区块链准备进展盘点

加密行业应对量子攻击的准备程度明显高于一年前，但能够在主网上实际使用的后量子保护方案仍然非常少，整体行业尚未准备就绪。区块链依靠私钥签名证明资产所有权，而椭圆曲线离散对数问题是当前签名安全性的基础。足够强大的容错量子计算机理论上可以利用 Shor 算法从公开公钥推导私钥，伪造合法签名并转移资产；后量子密码学则试图采用被认为能够抵抗量子计算机的签名和加密方案。

当前量子计算机距离威胁比特币仍有明显差距。Google 的 Willow 芯片拥有 105 个量子比特，而公开演示中成功破解的最大椭圆曲线密钥仅为 15 位，比特币使用的是 256 位密钥。不过，学术界对攻击所需资源的估算正在快速下降。Google Quantum AI 于 2026 年 3 月发布的白皮书提出，针对 secp256k1 曲线的两种攻击电路分别需要不超过 1,200 和 1,450 个逻辑量子比特；在特定超导硬件路线下，所需物理量子比特数低于 50 万，完整运行约需 18 至 23 分钟。

由于部分计算可以提前完成，交易广播后攻击者可能只需约 9 分钟推导私钥。CoinDesk 据此称，攻击者在原交易确认前转移资金的概率约为 41%。专家对具备实际破解能力的机器何时出现，普遍预计集中在 2030 年代早期至中期，同时也无法排除 2030 年前出现风险的可能性。

风险主要取决于地址的公钥是否已经公开。约 690 万枚 BTC、约占总供应量 32% 的公钥已被认为暴露在链上，其中约 170 万枚位于约 20,000 个早期 P2PK 地址，约 500 万枚与地址复用有关，包括部分大型交易所的冷钱包。BIP-361 的作者给出的数字略高，称截至 2026 年 3 月 1 日，暴露比例超过 34%。

Ripple 则表示，处于休眠状态且公钥暴露的 XRP 仅占 0.03%。不同统计结果主要源于对 P2PK、地址复用和 Taproot 输出的处理方式不同。对于公钥尚未公开、仅存储公钥哈希的地址，风险主要出现在交易广播至确认之间的短暂窗口。

各条区块链的准备进度差异明显。QRL 自 2018 年起采用原生后量子签名；Algorand 于 2026 年 8 月上线原生 Falcon 账户，NEAR 于 2026 年 7 月上线 ML-DSA 账户；Starknet 的 Falcon 账户已运行在主网但尚未完成审计，Tezos 相关代码已随升级进入主网、默认仍未启用。

以太坊的目标时间约为 2029 年，XRPL 为 2028 年，Sui 为 2027 年第一季度，Stellar 和 Hedera 约为 2027 年。Solana 已选择 Falcon，但尚未制定时间表；Cosmos SDK 已发布支持，但需要各链自行启用。比特币相关的两项提案仍处于草案阶段，没有激活路径；Cardano 仍在研究阶段，Monero、Avalanche 和 BNB Chain 尚无正式计划。

治理和工程实施是最难解决的问题。后量子签名的大小通常是现有签名的 10 至 40 倍，可能降低交易吞吐量并推高成本；Coinbase 的独立咨询委员会警告，切换后区块大小最多可能膨胀 38 倍。各网络还必须决定如何处理永远不会迁移的资产，包括约 170 万枚萨atoshi 时代的 BTC：是冻结、销毁，还是继续保留现状。

比特币的 BIP-360 计划增加隐藏公钥的新地址类型，但没有直接引入后量子签名，无法保护公钥已经暴露的旧地址；BIP-361 则主张分阶段淘汰旧签名，但目前仍未具备采用条件。以太坊已组建专门团队，推进 Lean Ethereum、EIP-8141 等方案，并将后量子基础设施目标设在 2029 年左右。