實現密碼學相關量子電腦的時間表常被誇大——這導致人們呼籲緊急、全面地過渡到後量子密碼學。但這些呼籲往往忽視了過早遷移的成本和風險，並忽視了不同密碼學原語之間截然不同的風險特徵：儘管後量子加密價格高昂，但需要立即部署：“ 先採集後解密 ”（HNDL）的攻擊已經開始。因為即使量子電腦問世還需要幾十年，今天被加密的敏感資料在未來仍然具有價值。後量子加密的性能開銷和實施風險確實存在，但對於需要長期保密的資料而言，面對 HNDL 攻擊我們別無選擇。後量子簽名面臨著不同的考量。 它們不易受到 HNDL 攻擊，但其成本和風險（更大的尺寸、性能開銷、實現不成熟和漏洞）要求我們採取深思熟慮而非立即遷移的策略。這些區別至關重要。誤解會扭曲成本效益分析，導致團隊忽視更突出的安全風險。後量子密碼學的真正挑戰，在於將緊迫性與實際威脅相匹配。下文將澄清關於量子威脅對密碼學（涵蓋加密、簽名和零知識證明）的常見誤解，並特別關注這些威脅對區塊鏈的影響。時間進展儘管一些知名人士聲稱在 2020 年代可能會出現具有密碼學意義的量子電腦，但這種說法極不現實。我所說的“具有密碼學意義的量子電腦”，是指一台容錯、糾錯的量子電腦，其規模足以在合理的時間範圍內運行肖爾演算法來攻擊橢圓曲線密碼學或 RSA（例如，最多用一個月的持續計算就能破解 secp256k1 或 RSA-2048）。根據對公開里程碑和資源估算的合理解讀，我們距離製造出具有密碼學意義的量子電腦還遙遙無期。一些公司聲稱 CRQC 很可能在 2030 年之前或 2035 年之前問世，但公開的進展並不支援這些說法。作為背景，在所有現有的架構中——囚禁離子、超導量子位元和中性原子系統——目前沒有任何一個量子計算平台能夠接近在 RSA-2048 或 secp256k1 上運行肖爾演算法所需的數十萬到數百萬個物理量子位元（具體取決於錯誤率和糾錯方案）。限制因素不僅是量子位元的數量，還包括門保真度、量子位元連接性，以及運行深度量子演算法所需的持續糾錯電路深度。雖然有些系統目前的物理量子位元數量已超過 1,000 個，但僅看原始量子位元數量是有誤導性的：這些系統缺乏進行密碼學相關計算所需的量子位元連接性和門保真度。近期的系統已接近量子糾錯開始發揮作用的物理誤差率，但沒有人展示出超過少數幾個能夠維持糾錯電路深度的邏輯量子位元……更不用說運行肖爾演算法實際需要的數千個高保真、深電路、容錯的邏輯量子位元了。證明量子糾錯原理可行與實現密碼分析所需的規模之間，仍然存在巨大的鴻溝。簡而言之：除非量子位元數量和保真度都提高幾個數量級，否則具有密碼學意義的量子電腦仍然遙不可及。然而，企業新聞稿和媒體報導很容易讓人感到困惑。一些常見的誤解和混淆來源包括：有些演示聲稱具有“量子優勢”，但針對的是人為設計的任務。 選擇這些任務並非因為其實際用途，而是因為它們可以在現有硬體上運行，同時表面上展現出巨大的量子加速效果——這一事實往往在公告中被掩蓋。有些公司聲稱擁有數以千計的物理量子位元。 但這通常指的是量子退火機，而不是運行 肖爾演算法攻擊公鑰密碼所需的門模型機器。有些公司濫用“邏輯量子位元”這個術語。 物理量子位元是有噪聲的。如上所述，量子演算法（如肖爾演算法）需要數千個邏輯量子位元。利用量子糾錯技術，可以用許多物理量子位元（通常是數百到數千個，具體取決於錯誤率）來實現一個邏輯量子位元。但有些公司將該術語延伸到了無法辨認的地步。例如，最近一份公告聲稱使用距離 2 的碼實現了48個邏輯量子位元，每個邏輯量子位元只有兩個物理量子位元。這簡直荒謬：距離為 2 的程式碼只能檢測錯誤，而不能糾正錯誤。真正用於密碼分析的容錯邏輯量子位元需要數百到數千個物理量子位元，而不是兩個。更廣泛地說，許多量子計算路線圖使用“邏輯量子位元”一詞來指代僅支援克利福德運算的量子位元。這些操作可以被經典電腦高效模擬，因此不足以運行肖爾演算法，後者需要數千個糾錯的 T 門（或更一般的非克利福德門）。即使某份路線圖的目標是“到某年實現數千個邏輯量子位元”，但這並不意味著該公司期望在同一年運行肖爾演算法來破解經典密碼學。這些做法嚴重扭曲了公眾對“我們距離具有密碼學意義的量子電腦還有多遠”的認知，即使是資深觀察者也受到了影響。話雖如此，一些專家確實對取得的進展感到興奮。例如，Scott Aaronson 最近寫道，鑑於“目前驚人的硬體發展速度”，我現在認為，在下屆美國總統大選之前，我們擁有一台能夠運行肖爾演算法的容錯量子電腦是有可能實現的。但 Aaronson 後來澄清，他的聲明並不是指一台具有密碼學意義的量子電腦：即使完全容錯的肖爾演算法運行分解 15 = 3×5比用鉛筆和紙還慢，他也會將其視為已實現。目前的標準仍然是肖爾演算法的小規模運行，而非具有密碼學意義的運行，因為之前在量子電腦上對 15 進行分解時使用的是簡化的電路，而不是完整的、容錯的肖爾演算法。這些實驗之所以始終選擇 15 作為分解目標，是有原因的：模 15 的運算在計算上很容易，而分解稍大一些的數字（比如 21）則要難得多。因此，聲稱能分解 21 的量子實驗通常依賴於額外的提示或捷徑。簡而言之，期望在未來 5 年內出現一台具有密碼學意義的量子電腦，能夠破解 RSA-2048 或 secp256k1（這對於實際密碼學來說才是最重要的），並不受支援。即使是 10 年也依然充滿不確定。考慮到我們距離具有密碼學意義的量子電腦還有多遠，對進展的興奮之情與‘十年以上’的時間線是完全相容的。那麼美國政府將 2035 年定為政府系統全面遷移到後量子時代的最後期限是怎麼回事？ 我認為這是一個完成如此大規模過渡的合理時間表。然而，這並不意味著預測屆時就會出現具有密碼學意義的量子電腦。HNDL 攻擊適用及不適用情況“先採集後解密 ”（HNDL） 攻擊指的是對手先儲存加密流量，然後在有密碼學相關的量子電腦存在後再解密。國家級敵對勢力肯定已經在大規模地存檔來自美國政府的加密通訊，以便在多年後，當 CRQC 出現時解密這些通訊。這就是為什麼說加密技術今天就需要轉型——至少對於那些有 10-50 年以上保密需求的人來說。但是，所有區塊鏈都依賴的數位簽名與加密技術不同：它不存在可追溯攻擊的保密性問題。換句話說，如果出現了與密碼學相關的量子電腦，那麼從那時起，偽造簽名將成為可能，但過去的簽名並不像加密資訊那樣“隱藏”秘密。只要你知道數位簽名是在 CRQC 出現之前生成的，它就不可能是偽造的。這使得向後量子數位簽名的過渡不如加密領域的後量子轉型緊迫。各大平台正採取相應措施：Chrome 和 Cloudflare 推出了用於 Web 傳輸層安全協議加密的混合 X25519 + ML-KEM 加密方案。（為了便於閱讀，本文中使用“加密方案”一詞，但嚴格來說，像 TLS 這樣的安全通訊協議使用的是金鑰交換或金鑰封裝機制，而不是公鑰加密。）這裡的“混合”指的是將後量子安全方案（即 ML-KEM）和現有方案（X25519）疊加使用，以獲得綜合安全保障。這樣一來，有望能夠通過 ML-KEM 阻止 HNDL 攻擊，同時萬一 ML-KEM 即使面對當今的電腦也存在安全漏洞，仍能保持 X25519 提供的經典安全性。蘋果的 iMessage 也通過其 PQ3 協議部署了這種混合後量子加密技術，Signal 的 PQXDH 和 SPQR 協議也是如此。相比之下，後量子數位簽名在關鍵網路基礎設施中的推廣應用正被推遲，直到真正具有密碼學意義的量子電腦即將問世，因為當前的後量子簽名方案引入了性能退化（本文後面會詳細說明）。zkSNARKs（零知識簡潔非互動式知識論證）是區塊鏈長期可擴展性和隱私性的關鍵，其處境與簽名類似。這是因為即使對於那些非後量子安全的 zkSNARKs（它們使用橢圓曲線密碼學，就像今天的非後量子加密和簽名方案一樣），它們的零知識屬性也是後量子安全的。零知識屬性確保在證明過程中不會洩露任何關於秘密見證的資訊——即使是量子對手也不會知道——因此不會有任何機密資訊可供“採集”以便以後解密。因此，zkSNARKs 不會受到“先採集後解密 ”攻擊。正如今天生成的非後量子簽名是安全的一樣，任何在具有密碼學意義的量子電腦出現之前生成的 zkSNARK 證明都是可信的（即被證明的命題絕對為真）——即使 zkSNARK 使用了橢圓曲線密碼學。只有在具有密碼學意義的量子電腦出現之後，攻擊者才能找到令人信服的虛假陳述的證明。這對區塊鏈意味著什麼大多數區塊鏈不會受到 HNDL 攻擊：目前大多數非隱私鏈，如比特幣和以太坊，主要使用非後量子密碼進行交易授權——也就是說，它們使用數位簽名，而不是加密。再次強調，這些簽名並非 HNDL 風險：“先採集後解密”攻擊適用於加密資料。例如，比特幣區塊鏈是公開的；其量子威脅在於簽名偽造（推匯出私鑰以竊取資金），而非解密已公開的交易資料。這消除了 HNDL 攻擊帶來的直接密碼學緊迫性。不幸的是，即使是來自聯準會等可信來源的分析也存在問題，錯誤地聲稱比特幣容易受到 HNDL 攻擊，這種錯誤誇大了向後量子密碼學過渡的緊迫性。也就是說，緊迫性降低並不意味著比特幣可以等待：它面臨著與更改協議所需的巨大社會協調所帶來的不同的時間壓力。（下文將詳細介紹比特幣的獨特挑戰。）目前的例外是隱私鏈，其中許多會對接收者和金額進行加密或其他方式的隱藏。這種保密性現在就可以被收集，一旦量子電腦能夠破解橢圓曲線密碼學，就可以追溯性地去匿名化。對於這類隱私鏈，攻擊的嚴重程度取決於區塊鏈的設計。例如，對於門羅幣採用的基於曲線的環簽名和金鑰鏡像（一種用於防止雙重支付的每個輸出的連結標籤），僅憑公共帳本就足以追溯重建支出圖譜。但在其他區塊鏈中，損失則更為有限——可以參見 Zcash 加密工程師兼研究員 Sean Bowe 的討論以瞭解詳情。如果使用者非常在意自己的交易不被具有密碼學意義的量子電腦洩露，那麼隱私鏈就應該盡快過渡到後量子原語（或混合方案）。或者，它們應該採用避免將可解密的秘密資訊放在鏈上的架構。比特幣特有的難題：治理 + 被遺棄的代幣尤其對於比特幣而言，有兩個現實因素促使人們迫切需要開始轉向後量子數位簽名。而這兩個因素都與量子技術無關。一個令人擔憂的問題是治理速度：比特幣的變革速度很慢。任何爭議性問題都可能引發破壞性的硬分叉，因為社區無法就合適的解決方案達成一致。另一個令人擔憂的問題是，比特幣向後量子簽名的轉換不能是被動遷移：持有者必須主動遷移他們的代幣。這意味著被遺棄的、易受量子攻擊的代幣無法得到保護。一些估算認為，存在量子漏洞且可能被遺棄的 BTC 數量達數百萬枚，按當前價格計算（截至 2025 年 12 月）價值數千億美元。然而，量子技術對比特幣的威脅並非突如其來的災難，而更像是一個有選擇、循序漸進的過程。量子電腦無法同時破解所有加密——肖爾演算法必須逐個攻擊單個公鑰。早期的量子攻擊成本極高且耗時。因此，一旦量子電腦能夠破解單個比特幣簽名金鑰，攻擊者就會有選擇地攻擊高價值錢包。此外，那些避免地址復用且不使用 Taproot 地址（Taproot 直接在鏈上暴露公鑰）的使用者，即使在協議沒有變更的情況下也基本受到保護：他們的公鑰會一直隱藏在雜湊函數之後，直到代幣被花費。當他們最終廣播一筆花費交易時，公鑰就會暴露出來，此時會出現一場短暫的即時競賽：一方是需要確認交易的誠實花費者，另一方是任何擁有量子計算能力的攻擊者，他們試圖找到私鑰並在真正所有者的交易最終完成之前花費這些代幣。因此，真正脆弱的代幣是那些公鑰已經暴露的：早期的 P2PK 輸出、重複使用的地址和 Taproot 持倉。對於那些已被棄用的脆弱代幣來說，沒有簡單的解決辦法。一些可行的方案包括：比特幣社區同意設立一個“旗幟日”，之後所有未遷移的代幣都將被視為銷毀。任由被遺棄的、易受量子攻擊的代幣被任何擁有密碼學相關量子電腦的人攫取。第二種選擇會引發嚴重的法律和安全問題。即使聲稱擁有合法所有權或出於善意，使用量子電腦在沒有私鑰的情況下獲取代幣，也可能在許多司法管轄區引發盜竊和電腦欺詐法下的嚴重問題。此外，“被遺棄”本身就是一種基於不活躍狀態的推定。但實際上，沒有人知道這些代幣是否有能夠訪問金鑰的在世所有者。即使證據表明你曾經擁有過這些代幣，也未必能提供足夠的法律依據來破解加密保護並取回它們。這種法律上的模糊性，增加了被遺棄的、易受量子攻擊的代幣落入惡意行為者手中的可能性，而這些惡意行為者往往會無視法律約束。比特幣特有的最後一個問題是其低交易吞吐量。即使遷移計畫最終確定，將所有易受量子攻擊的資金遷移到後量子安全地址，按比特幣當前的交易速率計算也需要數月時間。這些挑戰使得比特幣現在必須開始規劃其後量子時代的轉型——這並非因為在 2030 年之前可能會出現具有密碼學意義的量子電腦，而是因為遷移價值數十億美元的代幣所涉及的治理、協調和技術後勤問題將需要數年時間才能解決。比特幣面臨的量子威脅確實存在，但時間壓力並非來自即將到來的量子電腦，而是來自比特幣自身的侷限性。其他區塊鏈也面臨著量子易受攻擊資金帶來的挑戰，但比特幣的特殊之處在於：其早期交易採用的是“支付到公鑰（P2PK）”輸出，這直接將公鑰置於鏈上，使得相當大比例的 BTC 極易受到密碼學相關量子電腦的攻擊。這種技術差異——再加上比特幣的運行年限、價值集中度、低吞吐量以及治理機制的僵化——使得這個問題尤為嚴重。請注意，我上面描述的漏洞指的是比特幣數位簽名的密碼學安全性，而不是比特幣區塊鏈的經濟安全性。這種經濟安全性源於工作量證明共識機制，該機制不易受到量子電腦攻擊，原因有三：PoW 依賴於雜湊演算法，因此僅受格羅弗搜尋演算法的二次方量子加速影響，而不受肖爾演算法指數級加速的影響。實現格羅弗搜尋的實際開銷使其極不可能讓任何量子電腦在比特幣的工作量證明機制上實現那怕是適度的實際加速。即使實現了顯著的速度提升，這些速度提升也只會讓大型量子礦工比小型礦工更有優勢，但不會從根本上破壞比特幣的經濟安全模型。後量子簽名的成本和風險要瞭解為什麼區塊鏈不應該急於部署後量子簽名，我們需要瞭解性能成本以及我們對後量子安全性的信心（這種信心仍在不斷發展）。大多數後量子密碼學基於以下五種方法之一：雜湊 (hashing)編碼 (codes)格 (lattices)多元二次方程系統 (MQ)同源性 (isogenies)為什麼會有五種不同的方法？ 任何後量子密碼原語的安全性都基於這樣一個假設：量子電腦無法高效地解決特定的數學問題。問題的“結構化”程度越高，我們基於此建構的密碼協議就越高效。但這有利有弊：額外的結構也為攻擊演算法提供了更多可利用的攻擊面。這就造成了一種根本性的張力——更強的假設能夠帶來更好的性能，但代價是潛在的安全漏洞（也就是說，假設被證明是錯誤的可能性更大）。一般來說，基於雜湊的方法在安全性方面最為保守，因為我們最有信心量子電腦無法有效地攻擊這些協議。但它們的性能也是最差的。例如，即使在最小參數設定下，NIST 標準化的基於雜湊的簽名大小也為 7-8 KB。相比之下，如今基於橢圓曲線的數位簽名只有 64 字節。這大約是 100 倍的大小差異。格方案是當今部署的重點。目前唯一的加密方案以及 NIST 選定的三種簽名演算法中的兩種都基於格。其中一種格方案（ML-DSA，原名 Dilithium）生成的簽名大小範圍從 2.4 KB（128 位安全等級）到 4.6 KB（256 位安全等級），比目前基於橢圓曲線的簽名大約大 40 到 70 倍。另一種格方案 Falcon 則具有較小的簽名（Falcon-512 為 666 字節，Falcon-1024 為 1.3 KB），但它包含複雜的浮點運算，NIST 本身也將其標記為特殊的實施挑戰。Falcon 的建立者之一 Thomas Pornin 稱其為“我迄今為止實現過的最複雜的加密演算法。”實施安全性在基於格的簽名方案中也比基於橢圓曲線的方案更具挑戰性：ML-DSA 存在更多敏感的中間值，且非平凡拒絕採樣邏輯需要側通道和故障保護。Falcon 增加了恆定時間浮點運算的擔憂；事實上，針對 Falcon 實現的多個側通道攻擊已經恢復出了私鑰。這些問題構成了直接的風險，這與具有密碼學意義的量子電腦這一更為遙遠的威脅截然不同。在部署性能更優異的後量子密碼方案時，謹慎行事是完全合理的。歷史上，像 Rainbow（一種基於 MQ 的簽名方案）和 SIKE/SIDH（一種基於同源的加密方案）這樣的領先候選方案都在經典電腦上被破解了——也就是說，是用今天的電腦而不是量子電腦破解的。這件事發生在 NIST 標準化流程的後期階段。這體現了科學的健康運作，但也說明過早的標準化和部署可能會適得其反。如前所述，網際網路基礎設施正在採取審慎的方式進行簽名遷移。考慮到網際網路加密轉換一旦開始就需要很長時間，這一點尤其值得注意。MD5 和 SHA-1 雜湊函數（儘管網路管理機構多年前就已在技術上棄用）的遷移，實際上花費了數年時間才在整個基礎設施中真正實施，並且在某些語境下仍在進行中。即使這些方案已經完全被破解，而不僅僅是可能容易受到未來技術的影響，這種情況依然發生了。區塊鏈與網際網路基礎設施相比的獨特挑戰幸運的是，由開源開發者社區積極維護的區塊鏈（例如以太坊或 Solana）比傳統網路基礎設施升級速度更快。另一方面，傳統網路基礎設施受益於頻繁的金鑰輪換，這意味著其攻擊面移動速度比早期量子電腦所能瞄準的速度更快——這是區塊鏈所不具備的奢侈條件，因為代幣及其關聯金鑰可以無限期地暴露在外。但總的來說，區塊鏈仍然應該遵循網際網路在簽名遷移方面採取的審慎方法。這兩種場景都不會受到針對簽名的 HNDL 攻擊，而且無論金鑰的保存時間長短，過早遷移到不成熟的後量子方案的成本和風險仍然十分巨大。區塊鏈特有的挑戰也使得過早遷移變得尤為危險和複雜：例如，區塊鏈對簽名方案有著獨特的要求，特別是快速聚合大量簽名的能力。如今，BLS 簽名之所以被廣泛使用，是因為它們能夠實現非常快速的聚合，但它們並不具備後量子安全特性。研究人員正在探索基於 SNARK 的後量子簽名聚合。這項工作很有前景，但仍處於早期階段。就 SNARKs 而言，目前社區主要關注基於雜湊的構造方法，將其視為後量子時代的主流選擇。但重大轉變即將到來：我相信在未來的幾個月和幾年裡，基於格的選項將成為極具吸引力的替代方案。這些替代方案在諸多方面都將優於基於雜湊的 SNARK，例如顯著縮短證明長度——類似於基於格的簽名比基於雜湊的簽名更短。目前更大的挑戰：實施安全性在未來數年內，實現漏洞將比具有密碼學意義的量子電腦構成更大的安全風險。對於 SNARKs 而言，主要問題是漏洞。漏洞對於數位簽名和加密方案來說已經是一個挑戰，而 SNARKs 則要複雜得多。實際上，數位簽名方案可以看作是一種非常簡單的 zkSNARK，它證明了“我知道與我的公鑰對應的私鑰，並且我授權了這條消息”這一陳述。對於後量子簽名而言，直接風險還包括諸如“側通道攻擊”和“故障注入攻擊”之類的實現攻擊。這類攻擊已有充分的文獻記載，並且能夠從已部署的系統中提取私鑰。它們構成的威脅遠比遙遠的量子電腦更為緊迫。社區將持續數年時間來識別和修復 SNARKs 中的漏洞，並加固後量子簽名實現以抵禦側通道和故障注入攻擊。由於後量子 SNARK 和簽名聚合方案的塵埃尚未落定，過早過渡的區塊鏈可能會將自身鎖定在次優方案中。一旦出現更優方案或發現實現漏洞，它們可能需要再次遷移。我們應該怎麼做？7 條建議基於上述情況，我將最後向包括建構者和政策制定者在內的各利益相關方提出建議。最重要的原則是：需要認真對待量子威脅，但不要基於“具有密碼學意義的量子電腦將在 2030 年之前到來”這一假設而急切採取行動。 目前的進展並不支援這種假設。儘管如此，我們現在仍然可以而且應該做一些事情：我們應該立即部署混合加密。或者至少，在長期保密性至關重要且成本可以接受的地方部署。許多瀏覽器、CDN 和即時通訊應用（例如 iMessage 和 Signal）已經部署了混合方案。這種混合方案——後量子 + 經典——既能抵禦 HNDL 攻擊，又能規避後量子方案中潛在的弱點。能接受簽名體積比較大的前提下，應立即採用基於雜湊的簽名。軟體/韌體更新——以及其他此類低頻、對大小不敏感的場景——現在就應該採用混合雜湊簽名。（採用混合簽名是為了防範新方案中的實現漏洞，而不是因為對基於雜湊的安全假設存在疑問。）這種保守的做法為社會提供了一個明確的“救生艇”，以防萬一具有密碼學意義的量子電腦意外地過早出現。如果沒有預先部署好後量子簽名的軟體更新機制，一旦 CRQC 出現，我們將面臨冷啟動問題：我們將無法安全地分發抵禦所需的補丁。區塊鏈不需要急於實現後量子簽名——但現在就應該開始規劃。區塊鏈開發者應效仿 Web PKI 社區的做法，採取審慎的方式部署後量子簽名。這允許後量子簽名方案在性能和我們對其安全性的理解上繼續成熟。這種方式也為開發者提供了時間，讓他們能夠重新設計系統架構以處理更大的簽名，並開發更優的聚合技術。對於比特幣和其他 L1：社區需要制定針對被遺棄的、易受量子攻擊資金的遷移路徑和政策。被動遷移是不可能的，因此規劃至關重要。由於比特幣面臨著一些特殊的挑戰，這些挑戰大多是非技術性的——治理緩慢，以及大量高價值的、可能被遺棄的、易受量子攻擊的地址——因此，比特幣社區現在就開始規劃尤為重要。與此同時，我們需要讓後量子 SNARK 和可聚合簽名方面的研究更加成熟（可能還需要幾年時間）。再次強調，過早遷移可能會導致鎖定在次優方案中，或者需要進行二次遷移來解決實現漏洞。關於以太坊帳戶模型的說明： 以太坊支援兩種帳戶類型，對後量子遷移有不同的影響——外部擁有帳戶 (EOA)，即由 secp256k1 私鑰控制的傳統帳戶類型；以及具有可程式設計授權邏輯的智能合約錢包。在非緊急情況下，如果以太坊加入了後量子簽名支援，可升級的智能合約錢包可以通過合約升級切換到後量子驗證——而 EOA 可能需要將其資金轉移到新的後量子安全地址（儘管以太坊很可能也會為 EOA 提供專門的遷移機制）。在量子緊急情況下，以太坊研究人員提出了一種硬分叉計畫，凍結存在安全隱患的帳戶，並允許使用者通過使用後量子安全 SNARK 證明其知曉助記詞來恢復資金。此恢復機制適用於 EOA 和任何尚未升級的智能合約錢包。對使用者而言，實際意義在於：經過良好審計、可升級的智能合約錢包或許能提供略微更順暢的遷移路徑——但這種差異微乎其微，而且還會帶來對錢包提供商的信任以及升級治理方面的權衡。比帳戶類型更重要的是，以太坊社區仍在繼續推進後量子原語和應急響應計畫的工作。給建構者的更廣泛設計經驗： 如今許多區塊鏈將帳戶身份與特定的加密原語緊密耦合——例如比特幣和以太坊與 secp256k1 上的 ECDSA 簽名耦合，其他區塊鏈則與 EdDSA 耦合。後量子遷移的挑戰凸顯了將帳戶身份與任何特定簽名方案解耦的價值。以太坊正朝著智能帳戶的方向發展，其他鏈上的帳戶抽象努力也反映了這一趨勢：允許帳戶升級其認證邏輯，而無需放棄其鏈上歷史記錄和狀態。這種解耦不會使後量子時代的遷移變得輕而易舉，但它確實比將帳戶硬編碼到單一簽名方案中提供了更大的靈活性。（這也支援了諸如代付交易、社交恢復和多重簽名等其他功能。）對於加密或隱藏交易詳情的隱私鏈，如果性能可以接受，則應優先考慮儘早過渡。目前，這些區塊鏈上的使用者隱私面臨 HNDL 攻擊的風險，儘管不同設計方案的嚴重程度有所不同。僅依靠公共帳本就能實現完全追溯去匿名化的區塊鏈面臨著最緊迫的風險。考慮採用混合（後量子+經典）方案，以防止表面上的後量子方案最終被證明在經典層面上也不安全，或者實施架構變更，避免將可解密的秘密放在鏈上。近期內應優先考慮實施安全性，而不是量子威脅緩解。尤其對於 SNARKs 和後量子簽名等複雜的密碼原語而言，在未來幾年內，漏洞和實現攻擊（側通道攻擊、故障注入）將比具有密碼學意義的量子電腦構成更大的安全風險。現在就投資於審計、模糊測試、形式化驗證和縱深防禦/分層安全方法——不要讓量子擔憂掩蓋了更緊迫的漏洞威脅！為量子計算發展提供資金。以上所有因素對國家安全有著重大影響，那就是我們需要持續投入資金並培養量子計算人才。如果某個主要對手在美國之前獲得了具有密碼學意義的量子計算能力，將會對我們以及世界其他國家構成嚴重的國家安全風險。對量子計算相關公告保持理性態度。隨著量子硬體的日趨成熟，未來幾年將會湧現出許多里程碑式的進展。然而，矛盾的是，這些公告的頻繁發佈本身就證明了我們距離真正具備密碼學應用價值的量子電腦還有很長的路要走：每一個里程碑都代表著我們在到達那個點之前必須跨越的眾多橋樑之一，而每一個里程碑的出現都將引發媒體的頭條報導和興奮。將新聞稿視為需要批判性評估的進度報告，而不是倉促採取行動的提示。當然，可能會出現一些出人意料的發展或創新，從而加快預計的時間表，就像可能會出現嚴重的擴展瓶頸從而延長時間表一樣。我並不認為五年內出現一台具有密碼學意義的量子電腦在字面上是“不可能”的，只是可能性極低。上述建議對這種不確定性具有魯棒性，遵循這些建議可以避免更直接、更可能發生的風險：實現漏洞、倉促部署以及密碼學轉型過程中常見的各種問題。 (W3C DAO)

圍繞量子計算對加密資產安全性的潛在衝擊，機構投資者開始將這一技術變數納入資產配置評估框架。多家研究機構與市場參與者近期警告稱，比特幣部分存量地址在未來量子計算能力突破後可能面臨被破解風險，這一問題正從長期理論討論轉向現實資產定價因素。Coinbase：約三分之一比特幣供應存在潛在量子暴露Coinbase 全球投資研究主管 David Duong 表示，約 32.7% 的比特幣供應量可能在未來量子計算攻擊場景下暴露於風險之中，涉及約 651 萬枚比特幣。其核心風險來源包括地址重複使用、早期指令碼結構以及部分多重簽名與 Taproot 設定方式。研究機構 Project 11 的資料指出，接近 70% 的脆弱地址與地址復用有關，這在傳統計算環境下影響有限，但在量子計算環境中可能顯著降低破解難度。Duong 指出，量子威脅主要集中在兩條技術路徑：一是量子演算法對橢圓曲線數位簽名演算法（ECDSA）的潛在破解能力；二是對支撐比特幣工作量證明系統的 SHA-256 雜湊機制的長期挑戰。Jefferies 清倉比特幣轉向黃金，部分機構開始調整配置結構Jefferies 全球股票策略主管 Christopher Wood 表示，其已在 1 月中旬將模型投資組合中 10% 的比特幣配置全部出售，並轉而配置 5% 實物黃金與 5% 黃金礦業股。Wood 指出，量子計算突破的時間窗口可能早於此前市場普遍預期的“數十年後”，而是存在在未來數年內取得實質性密碼學能力突破的可能性，這將削弱比特幣作為長期價值儲存工具的核心假設。他強調，對養老金與長期資產管理機構而言，任何可能動搖加密安全模型的結構性風險，都將直接影響可接受風險區間。市場表現分化，比特幣與黃金相關性出現逆轉年初以來，比特幣相對黃金價格下跌約 6.5%，而黃金同期累計上漲超過 50%。比特幣兌黃金比率在本月降至約 19 水平，顯示部分資金正在重新評估“數字黃金”與傳統避險資產之間的配置權重關係。技術面上，比特幣近期多次在 100 日均線附近受阻，市場關注 8.5 萬美元附近的關鍵支撐區間是否能夠維持。社區面臨治理難題，量子抗性升級路徑仍存爭議比特幣開發社區目前正在測試引入量子抗性密碼演算法的升級草案，但尚未形成可快速落地的統一路線。部分開發者指出，從技術設計到全網遷移，可能需要 5–10 年協調周期。與此同時，社區內部也出現分歧：是否應提前凍結或銷毀已暴露風險的存量地址資產以保護系統完整性，仍存在激烈爭論。該問題在協議安全與私有財產權之間形成直接衝突。與傳統金融體系可通過集中決策強制實施系統升級不同，比特幣網路缺乏單一執行主體，使得應對系統級技術風險的協調成本顯著更高。市場觀點分化，長期看法仍未形成共識部分行業人士認為量子威脅仍處於可控時間區間。Blockstream 首席執行長 Adam Back 認為實際風險可能在 20 年之後顯現；Strategy 董事長 Michael Saylor 則認為網路最終將通過協議升級化解風險。但也有研究者給出更激進時間表。卡爾加里大學量子計算研究員 Pierre-Luc Dallaire-Demers 認為，若量子硬體發展疊加 AI 最佳化演算法突破，實際攻擊能力可能在五年左右出現。在機構層面，態度亦呈現分化。部分大型機構仍在增加數位資產配置比例，但更多投資者開始將量子計算視為中長期系統性不確定變數，而非純技術噪音。市場解讀：技術變數正在進入資產配置底層假設分析人士認為，量子計算議題的核心影響不在於短期價格衝擊，而在於其正在改變機構對加密資產“長期不可篡改性”的基礎假設。在生成式 AI、先進半導體與量子科研資本同步加速投入的背景下，密碼學安全已不再是靜態前提，而成為需要持續維護的動態工程體系。這一變化，正在逐步反映到跨資產配置邏輯之中。 (方到)

量子計算有望迎來高複合增長階段，市場增長潛力可觀。根據光子盒研究院預測，量子計算有望進入高複合增長階段，全球量子計算產業規模有望從2024年的50億美元左右，增長至2035年的8000億美元左右，佔據量子科技近90%的份額，成為其主要增長引擎。產業鏈上游發展相對成熟、增長顯著，下游處於產業初期，增長潛力巨大，有望從2024年的2.7億美元，逐步增長到2035年的2026.7億美元。量子計算招標市場聚焦上游關鍵裝置，下游科研領域應用最為主流。產業規模有望保持高複合增長，市場增長潛力可觀1.上游發展相對成熟、下游成長潛力大，2035年全球量子計算市場規模有望超8000億美元量子計算產業規模增長潛力大，2035年有望超過8000億美元。根據光子盒研究院資料，2024年，全球量子科技產業整體規模將達到80億美元，2024-2035年複合增長率將達到53.76%，到2035年量子總產業規模將有望達到9089.1億美元。2024年，量子計算產業規模達到50.37億美元，其中，北美量子計算產業規模佔比為29.73%，歐洲佔28.83%，中國佔比25.30%，亞太地區（除中國）佔比12.24%、其他地區佔比3.90%。2035年，量子計算產業規模有望達到8077.5億美元。產業上游呈現出顯著增長態勢，下游增長處於起步初期、潛力巨大。量子計算產業鏈上游市場總規模由2024年的20.4億美元增長到2035年2527.2億美元。其中，2035年，量子位元環境系統有望增長到687.3億美元，量子測控系統有望增長到996.2億美元，量子晶片有望增長到794.2億美元。下游市場正處在起步階段，各細分領域市場規模較小，但發展潛力大，有望從2024年的2.7億美元，逐步增長到2035年的2026.7億美元。2.招標市場聚焦量子計算上游領域，科研領域應用最為主流根據知了標訊，梳理近一年量子計算招標情況，篩選條件：1）公告類型：中標結果；2）項目地區：全部；3）發佈時間：近一年（截至2025年12月5日）；4）搜尋範圍：標的。按照以上條件篩選出96條標訊（如附件所示），去除重複以及不合理標訊，共計89條標訊。基於上述招標情況，得出以下結論：從招標金額來看，百萬級項目居多，重點聚焦中上游關鍵裝置採購。其中，共計61條招標資訊公佈招標金額。其中，最高金額為蘇州創元量子產業發展有限公司新建量子電腦製造項目二期，主要為科研辦公樓地下車庫施工等土建工程，共計2.08億元，也是唯一超過1億元的項目。此外，中標金額在1000萬到1億之間的項目為7個，聚焦測控系統等上游關鍵裝置及元件；中標金額在100萬-1000萬資金的項目為30個；中標金額小於100萬的項目為23個，主要聚焦量子計算教研類等產品。總體來看，近一年招標項目中，並無公開具體金額的量子電腦，主要採購內容為關鍵裝置與元件、量子電腦/雲平台以及下游專業系統等，主要用於科研教學領域。從招標單位屬性來看，學校、政府及事業單位為主要招標單位，量子計算在科研領域應用為主流。其中，招標單位為國有企業共計13個、民營企業為22個、學校為28個、政府及事業單位為23個、銀行為1個以及醫院為2個。總體來看，學校及政府、事業單位（以科研機構為主）共計51個，主要用於科研領域，佔據主導地位。此外，銀行和醫院作為行業應用代表，相對來說，招標數量少，表明量子計算在醫療、金融等下游應用仍處於初期。從中標單位來看，量子計算側重基礎設施建設，產業集聚度相對較低。中標超過3次以上的企業分別是：南京乾海通訊技術有限公司（5次，量子晶片封裝、低溫測控鏈路以及微波器件研發供應）、中億豐建設集團股份有限公司（量子科技相關基礎設施建設）、北京中科弧光量子軟體技術有限公司（量子軟體、開發平台以及雲服務）、本源量子計算科技（合肥）股份有限公司（全端自主量子電腦及軟硬體、雲平台研製）以及深圳量旋科技有限公司（教育/產業級量子電腦、雲平台及軟體開發）。典型招標案例：（1）浙江大學量子計算未來學習中心裝置一批中標公告本次招標項目主要包括超導量子計算測控系統以及氦3/氦4稀釋製冷機。其中，超導量子計算測控系統分兩個供應商提供，分別為杭州正東電子（5台，共計1738萬元，單價為347.6萬元/台），杭州邏輯位元（2台，共計526萬元，單價為263萬元/台），稀釋製冷機供應商為量羲技術（3台，共計1914萬元，單價為638萬元/台）。（2）某實驗室量子電腦機時中標結果公告本次招標項目內容為某實驗室擬租賃1台量子電腦，該機器具備高保真度的量子門操作，適用於高度複雜的量子化學模擬與演算法測試，合同簽訂之日起一年或180量子計算小時全部用完。該項目中標總金額為466萬元，單價為2.59萬元/小時。（3）合肥氣象量子科技創新研究中心量子計算雲平台服務項目中標結果公告本次招標項目為合肥氣象量子技術創新研究中心量子計算平台服務，總金額為153.80萬元，中標單位為中國電信股份有限公司安徽分公司。本項目主要內容是建設面向氣象領域的專用量子計算雲平台，包含氣象門戶、學習中心、程式設計實驗室三大模組，平台支援私有化部署，支援對接外部量子計算雲平台，可實現量子計算真機的呼叫。（4）多模態醫學圖像處理與分子劑量計算測定系統中標結果公告本次招標項目為多模態圖像處理與分子計量計算測定系統，招標方為西南醫科大學附屬醫院，供應商為成都壹元科技有限公司，中標總金額為161.78萬元。（5）關於量子計算服務採購項目成交公告本次招標項目為量子計算服務，招標方為中信銀行，供應商為玻色量子。該項目細節尚未公佈，但根據玻色量子官方公眾號表明，專用計算技術在金融領域的又一次重要合作，標誌著“量子計算+金融”加速邁進商業化探索與應用新階段。（1）核心技術突破滯後風險。量子位元退相干、糾錯技術不成熟等瓶頸未破，規模化整合難度大。各技術路線均有擴展性短板，百萬級量子位元實用化目標短期難實現，制約產業進階。（2）產業生態建設不完善風險。多技術路線並存導致標準不統一，軟體工具鏈與演算法庫稀缺。核心零部件依賴進口，關鍵裝置供給受限，形成生態建設“卡脖子”隱患。（3）應用落地場景稀缺風險。量子計算多處於實驗室驗證階段，缺乏規模化商業場景。行業需求與現有算力不匹配，試點項目難複製，商業化盈利模式尚未形成。（4）政策與監管適配風險。部分國家技術出口管制趨嚴，行業標準與監管規則缺失。政策多集中研發端，應用轉化扶持不足，連續性存疑，影響產業穩定發展。（5）投入與回報失衡風險。研發需要巨額資金搭建高精度環境，企業長期虧損依賴融資。商業化回報周期模糊，投融資熱度退潮易引發資金鏈壓力，拖累產業節奏。 (中信建投證券研究)

關於“能夠對現有密碼體系構成實際威脅的量子電腦”何時到來，人們常常做出誇大的時間預期 — — 從而引發了要求立即、大規模遷移至後量子密碼體系的呼聲。但這些呼聲往往忽略了過早遷移所帶來的成本與風險，也忽略了不同密碼原語所面對的風險畫像完全不同：後量子加密即便代價高昂，也必須立即部署： “先收集後解密”（Harvest-now-decrypt-later，HNDL）攻擊已經在發生，因為當量子電腦真正到來時，即便那是幾十年後，今天用加密方式保護的敏感資料仍然會具有價值。儘管後量子加密帶來性能開銷與實現風險，但對於需要長期保密的資料而言，HNDL 攻擊意味著別無選擇。後量子簽名的考量則完全不同。它不受 HNDL 攻擊影響，而其成本與風險（更大的尺寸、性能開銷、實現尚不成熟以及潛在漏洞）意味著遷移應當是審慎推進，而非立刻實施。這些區別非常重要。各種誤解會扭曲成本收益分析，使團隊反而忽視更關鍵的安全風險 — — 例如漏洞本身。成功邁向後量子密碼體系的真正挑戰，是讓“緊迫性”與“真實威脅”匹配。下面，我將澄清關於量子威脅及其對密碼學 — — 包括加密、簽名與零知識證明 — — 的常見誤解，並特別關注這些問題對區塊鏈的影響。我們目前處於怎樣的時間節點？在 2020 年代出現“對密碼學具有實際威脅的量子電腦（CRQC）”的可能性極低，儘管已有一些引發關注的高調宣稱。ps：對密碼學具有實際威脅的量子電腦/ cryptographically relevant quantum computer，下文都將直接使用簡稱 CRQC。這裡所說的“對密碼學具有實際威脅的量子電腦”，指的是一台可容錯、已糾錯的量子電腦，能夠以足夠規模運行 Shor 演算法，在合理的時間框架內攻擊橢圓曲線密碼學或 RSA（例如，在最多一個月的持續運算內攻破 secp256k1 或 RSA-2048）。根據公開的里程碑與資源評估來看，我們距離這種量子電腦還遙遙無期。儘管一些公司宣稱 CRQC 很可能在 2030 年之前甚至 2035 年之前出現，但公開可見的進展並不支援這些說法。從背景來看，在當前所有架構 — — 離子阱、超導量子位元以及中性原子系統 — — 中，沒有任何量子計算平台接近運行 Shor 演算法攻擊 RSA-2048 或 secp256k1 所需的幾十萬到數百萬個物理量子位元（具體數量取決於誤差率與糾錯方案）。限制因素不僅僅是量子位元數量，還有門保真度、量子位元連通性，以及執行深度量子演算法所必須的、可持續運行的糾錯電路深度。雖然一些系統現在已超過 1,000 個物理量子位元，但單看數量會產生誤導：這些系統缺乏執行密碼學相關計算所需的連通性與門保真度。近期的系統雖已接近量子糾錯開始可行的物理誤差水平，但尚無人展示超過少數幾個具備可持續糾錯電路深度的邏輯量子位元 — — 更不用說運行 Shor 演算法實際所需的上千個高保真、深電路、容錯的邏輯量子位元了。理論上證明量子糾錯可行與真正達到能夠進行密碼破解所需的規模之間，仍存在巨大鴻溝。簡而言之：除非量子位元數量與保真度同時提升幾個數量級，否則“對密碼學具有實際威脅的量子電腦”依然遙不可及。然而，企業新聞稿與媒體報導極易導致誤解。常見的誤區包括：聲稱實現“量子優勢”的演示，但這些演示目前針對的往往是人為構造的問題。這些問題並非因為實用而被選擇，而是因為它們可以在現有硬體上運行，同時看似呈現出顯著的量子加速 — — 這一點常常在宣傳中被刻意弱化。公司宣稱已實現數千個物理量子位元。但這通常指的是量子退火機，而非運行 Shor 演算法攻擊公鑰密碼所需的門模型量子電腦。公司對“邏輯量子位元”概念的隨意使用。物理量子位元本身非常嘈雜，量子演算法需要邏輯量子位元；如前所述，Shor 演算法需要數千個邏輯位元。使用量子糾錯，一個邏輯位元通常需要由數百到數千個物理位元構成（取決於誤差率）。然而一些公司已將該術語濫用到荒謬的地步。例如，某公司近期聲稱通過一個距離為 2 的編碼，用每個邏輯位元僅兩個物理位元就實現了 48 個邏輯量子位元。這顯然不合理：距離為 2 的編碼只能檢測錯誤，不能糾錯。而真正用於密碼破解的容錯邏輯量子位元每個需要數百到數千個物理量子位元，而不是兩個。更普遍地，許多量子計算路線圖中將“邏輯量子位元”用於指代僅支援 Clifford 操作的量子位元。這些操作可以被經典演算法高效模擬，因此不足以運行 Shor 演算法，而後者需要數千個糾錯後的 T 門（或更一般的非 Clifford 門）。因此，即便某條路線圖宣稱“在某一年 X 達到上千個邏輯量子位元”，也並不代表該公司預計在同一年 X 就能運行 Shor 演算法以攻破經典密碼體系。這些做法嚴重扭曲了公眾（甚至包括業內專業人士）對“我們距離真正意義上的 CRQC 有多近”的認知。儘管如此，確實也有一些專家對進展感到振奮。例如 Scott Aaronson 最近寫道，鑑於“當前硬體發展之快速令人震驚”，我現在認為，在下屆美國總統大選之前，我們擁有一台運行 Shor 演算法的容錯量子電腦是種真實可能。但 Aaronson 隨後澄清，他的說法並不意味著一台具備密碼學相關能力的量子電腦：即便一台完全容錯的 Shor 演算法運行只成功分解 15 = 3×5 — — 一個你用紙筆都能更快算出的數 — — 他也會認為其觀點被滿足。這裡的標準仍然只是微型規模的 Shor 演算法執行，而非具有密碼學意義的規模；此前對 15 的量子分解使用的還是簡化電路，而非完整的容錯 Shor。此外，量子試驗持續選擇分解 15 不是偶然：因為模 15 的算術計算極其簡單，而分解稍大一些的數（如 21）就困難得多。因此，一些聲稱分解 21 的量子實驗往往依賴提示或捷徑。簡而言之，預期未來 5 年內出現一台能夠攻破 RSA-2048 或 secp256k1 的量子電腦（這才是密碼學實際關心的）並沒有任何公開進展作為支撐。即便 10 年也仍屬激進預測。考慮到我們與真正密碼學相關的量子電腦之間仍相距甚遠，即便對進展保持興奮，也完全可以與十年以上的時間表並存。那麼，美國政府將 2035 年作為政府系統整體遷移至後量子密碼體系的目標年份又意味著什麼？我認為，這對於完成如此大規模遷移來說是合理的時間表。然而，這並不是對“屆時將出現 CRQC”的預期預測。HNDL 攻擊適用於那些場景（又不適用於那些場景）？“先收集、後解密”（Harvest now, decrypt later，HNDL）攻擊是指攻擊者現在儲存所有加密通訊資料，等待未來某一天當“對密碼學具有實際威脅的量子電腦”出現時，再將其解密。可以肯定的是，國家級攻擊者已經在規模性歸檔美國政府的加密通訊，以便在未來量子電腦真正出現時將其解密。這就是為什麼加密體系必須從今天開始遷移 — — 至少對於那些需要保持 10–50 年以上機密性的主體而言。但數位簽名 — — 所有區塊鏈都依賴的技術 — — 與加密不同：它不存在可被事後攻擊的“機密性”。換句話說，當量子電腦真正到來時，確實會從那一刻起使偽造數位簽名成為可能，但過去的簽名並不像加密消息那樣“隱藏”某種秘密。只要能夠確認某個數位簽名是在 CRQC 出現之前生成的，那麼它就不可能是偽造的。因此，與加密體系相比，向後量子數位簽名的遷移沒有那麼緊迫。主要平台的行動也反映了這一點：Chrome 和 Cloudflare 已在 Web 傳輸層安全（TLS）加密中部署了混合式 X25519+ML-KEM。[在本文中，我為了易讀性將這些稱為“加密方案”，雖然嚴格意義上，TLS 等安全通訊協議使用的是金鑰交換或金鑰封裝機制，而不是公鑰加密。]這裡的“混合式”意味著同時疊加使用一種後量子安全方案（ML-KEM）與一種現有方案（X25519），從而同時獲得兩者的安全性。這種方式希望通過 ML-KEM 阻止 HNDL 攻擊，同時在 ML-KEM 被證明對當下電腦都不安全的情況下，由 X25519 提供傳統安全保證。Apple 的 iMessage 也在其 PQ3 協議中部署了類似的混合式後量子加密，Signal 也在其 PQXDH 與 SPQR 協議中實現了這種機制。相比之下，關鍵 Web 基礎設施向後量子數位簽名的遷移會推遲到“真正逼近 CRQC 出現時”再開始，因為當前的後量子簽名方案帶來了明顯的性能退化（本文稍後會討論）。zkSNARKs — — 即零知識、簡潔、非互動式知識論證，它們是區塊鏈未來可擴展性與隱私性的核心 — — 在量子威脅方面與數位簽名類似。原因在於，即使一些 zkSNARK 本身不具備後量子安全性（因為它們使用與當前加密與簽名相同的橢圓曲線密碼學），其“零知識”性質依然是後量子安全的。零知識性質保證證明不會洩露任何關於秘密 witness 的資訊 — — 即便面對量子攻擊者 — — 因此不存在可被提前“收集”、未來再解密的機密資料。因此，zkSNARKs 不受 HNDL 攻擊影響。正如今天生成的非後量子數位簽名是安全的，只要 zkSNARK 證明是在 CRQC 出現之前產生的，它就是可信的（即證明的陳述一定為真） — — 那怕 zkSNARK 使用了橢圓曲線密碼學。只有在 CRQC 出現之後，攻擊者才可能構造出“看似有效但實際上錯誤”的證明。這對區塊鏈意味著什麼大多數區塊鏈並不會暴露在 HNDL 攻擊之下：大多數非隱私型鏈 — — 例如今日的比特幣與以太坊 — — 主要在交易授權中使用非後量子密碼學，也就是說，它們使用的是數位簽名而非加密。再次強調，數位簽名不會受到 HNDL 攻擊：“先收集、後解密”攻擊只適用於加密資料。例如，比特幣區塊鏈是公開的；量子威脅在於偽造簽名（推導私鑰以盜取資金），而不是解密已經公開的交易資料。這意味著 HNDL 攻擊並不會給當前的區塊鏈帶來立即的密碼學緊迫性。遺憾的是，一些可信機構（包括美國聯邦儲備）在分析中仍然錯誤聲稱比特幣易受 HNDL 攻擊，這種錯誤會誇大向後量子密碼遷移的緊迫程度。不過，“緊迫性降低”並不代表比特幣可以無限期等待：由於協議升級所需的巨大社會協調，比特幣面臨著不同的時間壓力。（下面會更詳細討論比特幣的獨特挑戰。）當前的一個例外是隱私鏈，其中許多通過加密或其他方式隱藏收款人和金額。這類機密性資訊可以被提前“收集”，一旦量子電腦能夠攻破橢圓曲線密碼學，就可能被事後去匿名化。對於此類隱私鏈，攻擊的嚴重程度因鏈的設計不同而異。例如，就 Monero 的基於橢圓曲線的環簽名與 key image（用於阻止雙花的一種每個輸出唯一的可連結標籤）而言，僅憑公共帳本即足以在未來重建整個交易流圖。但在其他隱私鏈中，破壞程度會更有限 — — 詳見 Zcash 密碼工程師兼研究員 Sean Bowe 的相關討論。如果使用者認為“交易在未來不會因量子電腦出現而暴露”非常重要，那麼隱私鏈應盡快遷移至後量子密碼原語（或混合方案）。或者，它們應採用完全不在鏈上放置可被解密秘密的架構。比特幣的特殊難題：治理機制 + 被遺棄的幣對比特幣而言，有兩項現實因素使得開始向後量子數位簽名遷移變得緊迫，而這兩項因素與量子技術本身毫無關係。第一項擔憂是治理速度：比特幣的演進極其緩慢。任何存在爭議的問題，只要社區無法就適當的解決方案達成一致，都可能觸發一次具有破壞性的硬分叉。第二項擔憂是，比特幣切換至後量子簽名無法通過被動遷移完成：幣的持有者必須主動遷移資金。這意味著那些已被遺棄、但仍暴露於量子威脅的幣無法受到保護。一些估計認為，量子脆弱且可能已被遺棄的 BTC 數量高達數百萬枚，以當前價格（截至 2025 年 12 月）計算價值數千億美元。不過，量子威脅並不會讓比特幣出現某種突如其來的“災難性一夜崩塌”……更可能呈現為一種選擇性、逐步展開的攻擊過程。量子電腦不會一次性攻破所有加密方案 — — Shor 演算法必須逐個目標地破解公鑰。早期量子攻擊的成本將極其高昂且緩慢。因此，一旦量子電腦能夠攻破單個比特幣簽名金鑰，攻擊者將優先選擇價值最高的錢包下手。此外，只要使用者避免地址復用，且不使用 Taproot 地址（後者會直接在鏈上暴露公鑰），即便協議本身尚未升級，他們也基本受到保護：其公鑰在花費之前仍隱藏在雜湊函數之後。當他們最終廣播一筆花費交易時，公鑰才變為公開，此時會存在一個短暫的“即時競賽窗口”：誠實使用者需要讓自己的交易盡快確認，而量子攻擊者則試圖在交易確認前找出私鑰並搶先花費這筆幣。因此，真正脆弱的幣，是那些公鑰已暴露多年的：早期 P2PK 輸出、被重複使用的地址、以及 Taproot 持倉。對於那些已經被遺棄的脆弱幣，目前沒有容易的解決方案。可選方案包括：比特幣社區達成共識，設定一個“旗幟日”（flag day），在該日之後所有未遷移的幣視為已銷毀。放任所有已被遺棄且暴露於量子風險的幣任由任何擁有 CRQC 的人奪取。第二種方案會帶來嚴重的法律與安全問題。使用量子電腦在沒有私鑰的情況下佔有資金 — — 即便聲稱是出於合法所有權或善意 — — 在許多司法轄區都會觸及盜竊與電腦欺詐法律。此外，“被遺棄”本身是一種基於不活躍性的假設，但沒有人能確切知道這些幣是否真的失去了擁有金鑰的活躍持有者。即便某人能證明自己曾經持有這些幣，也未必擁有合法權力去破壞密碼保護以“重新取回”它們。這種法律上的模糊性，使得這些被遺棄、且暴露於量子風險的幣極有可能落入無視法律約束的惡意攻擊者之手。比特幣的另一個特殊問題是其極低的交易吞吐量。即使遷移方案最終敲定，要將所有暴露於量子威脅的資金遷移至後量子安全地址，按比特幣當前的交易速率仍需要數月時間。這些挑戰使得比特幣必須從現在開始規劃後量子遷移 — — 不是因為 2030 年之前很可能出現 CRQC，而是因為協調治理、達成共識、以及實際遷移價值數千億美元資金的技術物流，將需要多年才能完成。比特幣面臨的量子威脅是真實的，但時間壓力來自比特幣自身的結構約束，而不是量子電腦的迫近。其他區塊鏈也面臨量子脆弱資金的問題，但比特幣尤其獨特：最早的交易使用 pay-to-public-key (P2PK) 輸出，直接將公鑰暴露在鏈上，使相當大比例的 BTC 暴露於量子威脅之下。其技術歷史，加上鏈齡久遠、價值集中度高、吞吐量低、治理僵化，使得問題格外嚴重。需要注意的是，上述脆弱性只適用於比特幣數位簽名的密碼安全性 — — 並不涉及比特幣區塊鏈的經濟安全性。比特幣的經濟安全來自其工作量證明（PoW）共識機制，而這並不像簽名方案那樣易受量子攻擊，原因有三：PoW 依賴雜湊函數，因此最多隻會受到 Grover 搜尋演算法帶來的二次方量級加速，而不會受到 Shor 演算法帶來的指數級加速。實施 Grover 搜尋的實際開銷極大，使得任何量子電腦在比特幣 PoW 上獲得那怕有限的實際加速，都極其不可能。即便量子電腦真能實現顯著加速，其效果只會讓擁有量子算力的大型礦工相對更具優勢，而不會從根本上破壞比特幣經濟安全模型。後量子簽名的成本與風險要理解為什麼區塊鏈不應該倉促部署後量子簽名，我們需要同時考慮性能成本與我們對於後量子安全性仍在演變中的信心。大多數後量子密碼學基於以下五類方法之一：雜湊（hashing）、碼（糾錯碼）、格（lattices）、多變數二次方程組（MQ）、同源（isogenies）。為什麼會有五種不同的方法？原因是，任何後量子密碼原語的安全性都依賴一個假設：量子電腦無法高效求解某個特定數學問題。問題的結構越“強”，我們就能建構出效率越高的密碼協議。但這是一把雙刃劍：更多結構也意味著更大的攻擊面，演算法更容易被突破。這造成了根本性的張力 — — 更強的假設帶來更好的性能，但代價是潛在的安全漏洞（即假設被證明錯誤的可能性更高）。總體而言，從安全性角度看，基於雜湊的方法最為保守穩健，因為我們最有信心量子電腦無法高效攻擊它們。但它們的性能也是最差的。例如，NIST 標準化的雜湊簽名方案，即使在最小參數設定下，其簽名大小也有 7–8 KB。作為對比，如今基於橢圓曲線的數位簽名只有 64 字節，約小 100 倍。格方案是當前部署的重點方向。NIST 已經選定的唯一加密方案、以及三種簽名演算法中的兩種，都基於格。其中一種格簽名（ML-DSA，原名 Dilithium）在 128-bit 安全等級下的簽名大小為 2.4 KB，在 256-bit 安全等級下為 4.6 KB — — 約為當前橢圓曲線簽名的 40–70 倍。另一種格方案 Falcon 的簽名更小（Falcon-512 為 666 字節，Falcon-1024 為 1.3 KB），但依賴複雜的浮點運算，NIST 自己也將其標記為實現時的重大挑戰。Falcon 設計者之一 Thomas Pornin 稱其為“迄今為止我實現過的最複雜的密碼演算法”。在實現安全性方面，格簽名比橢圓曲線方案困難得多：ML-DSA 包含更多敏感的中間值與複雜的拒絕採樣邏輯，這些都需要側通道和故障攻擊防護。Falcon 更是增加了恆定時間浮點運算的複雜性；已有多個針對 Falcon 實現的側通道攻擊成功恢復私鑰。這些問題帶來的風險是立即存在的，完全不同於“對密碼學具有實際威脅的量子電腦”這種遙遠威脅。對更高性能的後量子密碼方案保持謹慎是有充分理由的。歷史上曾領先的方案，如 Rainbow（基於 MQ 的簽名）與 SIKE/SIDH（基於同源的加密），都被“經典地”攻破了 — — 也就是說，它們被當今的電腦擊破，而非量子電腦。這發生在 NIST 標準化流程已經推進很深的階段。這當然反映了健康的科學過程，但也說明過早標準化與部署可能帶來反效果。如前所述，網際網路基礎設施正在採取慎重方式推進簽名遷移。這一點值得注意，因為網際網路的密碼過渡一旦啟動往往需要多年才能完成。即便 MD5 與 SHA-1 等雜湊函數被網際網路標準機構正式廢棄多年，它們的實際遷移仍持續多年，至今在部分場景仍未完全淘汰。這些演算法是被完全破解的，而非僅僅“可能在未來某天會被破解”。區塊鏈 vs 網際網路基礎設施的獨特挑戰幸運的是，由開源社區維護的區塊鏈（如以太坊、Solana）比傳統網際網路基礎設施更容易快速升級。另一方面，網際網路基礎設施受益於頻繁的金鑰輪換，這意味著攻擊面變化比早期量子電腦能追上的速度更快 — — 而區塊鏈不具備這一點，因為幣及其金鑰可能無限期暴露。但總體而言，區塊鏈仍應借鑑網際網路的謹慎方法推進簽名遷移。兩者都不受簽名類 HNDL 攻擊影響，而過早遷移至尚未成熟的後量子方案的成本與風險，依然顯著，不隨金鑰生命周期長短而改變。此外，區塊鏈還有一些讓過早遷移尤其危險且複雜的挑戰：例如，區塊鏈對簽名方案有獨特需求，特別是對“快速聚合大量簽名”的需求。如今常用的 BLS 簽名因其高效聚合能力而流行，但它們並不具備後量子安全性。研究者正在探索基於 SNARK 的後量子簽名聚合方案。儘管進展可期，但仍處於早期階段。針對 SNARK 本身，當前社區主要關注基於雜湊的後量子結構。但一個重大轉變即將到來：我有信心在未來數月與數年中，格方案將成為極具吸引力的替代路線。它們將在多個維度上提供更優性能，例如更短的證明長度 — — 類似格簽名比雜湊簽名更短。當前更嚴重的問題：實現安全在未來多年內，實現漏洞將遠比“真正威脅密碼學的量子電腦”更現實、更嚴重。對於 SNARK，首要擔憂是漏洞（bugs）。漏洞已經在數位簽名與加密演算法中是主要挑戰，而 SNARK 的複雜度要高得多。實際上，一個數位簽名方案可以被視為一種極其簡化的 zkSNARK，用於證明“我知道與公鑰對應的私鑰，並且我授權了這條消息。”對於後量子簽名，當前真正緊迫的風險還包括實現攻擊，例如側通道攻擊與故障注入攻擊。這些攻擊類型已有大量實證，並能從現實系統中提取私鑰。它們帶來的威脅遠比“遙遠未來的量子攻擊”迫切得多。社區將在未來多年持續識別並修復 SNARK 的漏洞，並加固後量子簽名的實現以抵禦側通道與故障注入攻擊。在後量子 SNARK 與簽名聚合方案尚未穩定成型的階段過早遷移，區塊鏈將面臨將自己鎖定在次優方案中的風險 — — 一旦更好的方案出現或當前方案暴露重大實現漏洞，就可能不得不再次遷移。我們應該怎麼做？七條建議基於前文討論的現實情況，我將以下建議提供給不同的參與者 — — 從開發者到政策制定者。總體原則是：認真對待量子威脅，但不要在“2030 年前必然出現對密碼學構成實際威脅的量子電腦”這一前提下採取行動。目前的技術進展並不支援這一前提。然而，我們現在仍然有許多可以、也應該著手進行的準備工作：1. 立即部署混合加密至少在長期機密性重要且性能成本可接受的場景中。許多瀏覽器、CDN、以及消息應用（如 iMessage 和 Signal）已經部署了混合方案。混合方案 — — 後量子 + 經典密碼 — — 既能抵禦 HNDL 攻擊，又能防範後量子方案本身潛在的弱點。2. 在能容忍大尺寸簽名的場景中立即使用雜湊簽名軟體／韌體更新等低頻率、對大小不敏感的場景應當立即採用混合式雜湊簽名。（混合是為了防範新方案中的實現漏洞，而不是因為雜湊安全性假設存在疑問。）這是保守且穩妥的做法，可以為社會提供一個明確的“救生艇”，以防量子電腦突然提前到來。如果沒有已經部署的後量子簽名的軟體更新機制，那麼在 CRQC 出現後我們將面臨引導問題：無法安全地分發抵禦量子威脅所需的密碼更新。3. 區塊鏈不需要倉促部署後量子簽名 — — 但應從現在開始規劃區塊鏈開發者應學習 Web PKI 的做法，以審慎方式推進後量子簽名的部署。這讓後量子簽名方案有時間在性能和安全理解上進一步成熟。同時，這也給開發者時間重新設計系統，以容納更大的簽名並開發更好的聚合技術。對於比特幣和其他一層鏈：社區需要制定遷移路徑，以及關於量子脆弱且被遺棄資金的政策。被動遷移不可能，因此規劃至關重要。而比特幣面臨的挑戰大多不是技術性的 — — 治理緩慢，以及大量高價值潛在被遺棄的量子脆弱地址 — — 更凸顯了比特幣社區應儘早開始規劃。與此同時，需要讓後量子 SNARK 與可聚合簽名的研究繼續成熟（可能還需要數年）。再次強調，過早遷移可能導致被鎖定在次優方案中，或者在發現實現漏洞後不得不再次遷移。關於以太坊帳戶模型的一點說明：以太坊支援兩種帳戶類型，對後量子遷移有不同影響：由 secp256k1 私鑰控制的外部帳戶（EOAs），以及具有可程式設計授權邏輯的智能合約錢包。在非緊急情境中，當以太坊增加後量子簽名支援時，可升級的智能合約錢包可以通過合約升級切換到後量子驗證 — — 而 EOA 則可能需要將資產轉移到新的後量子安全地址（儘管以太坊也可能為 EOAs 提供專門的遷移機制）。在量子緊急情境下，以太坊研究者提出了硬分叉方案：凍結脆弱帳戶，讓使用者用後量子安全的 SNARK 通過證明自己掌握助記詞來恢復資產。此機制適用於 EOAs 和未升級的智能錢包。對使用者的實際影響是：經過良好審計且可升級的智能錢包可能帶來稍微更順暢的遷移路徑 — — 但差距不大，並伴隨對錢包提供方與升級治理的信任權衡。相比帳戶類型，更重要的是以太坊社區持續推進後量子原語與應急方案。更廣泛的設計啟示：很多區塊鏈將帳戶身份與特定密碼原語緊密耦合 — — 例如比特幣和以太坊都繫結 secp256k1，其他鏈繫結 EdDSA。後量子遷移的困難凸顯了將帳戶身份從特定簽名方案中解耦的價值。以太坊向智能帳戶（smart accounts）的演進，以及其他鏈的帳戶抽象趨勢，都體現了這一方向：允許帳戶升級其認證邏輯，同時保留鏈上歷史與狀態。這不會讓後量子遷移變得簡單，但比起將帳戶固定在單一簽名方案上，靈活性顯著提升。（這也啟用其他功能，如代付交易、社交恢復、多簽等。）4. 對隱私鏈來說，只要性能允許，應優先推進遷移這些鏈對交易細節進行加密或隱藏，因此使用者隱私目前暴露於 HNDL 攻擊 — — 儘管嚴重程度因設計而異。那些僅憑公共帳本即足以完全事後去匿名化的鏈風險最高。可以採用混合方案（後量子 + 經典）以防後量子方案本身被證明在經典場景下也不安全，或採用架構改造避免把可解密的秘密放在鏈上。5. 近期優先關注實現安全 — — 而不是量子威脅緩解尤其對於 SNARK 和後量子簽名這種複雜原語，漏洞與實現攻擊（側通道、故障注入）將在未來多年內遠比 CRQC 更現實、更緊迫。現在就應該投入審計、模糊測試、形式化驗證、以及多層防禦等工作 — — 不要讓對量子威脅的擔憂蓋過漏洞這一更緊迫的真實威脅！6. 支援量子計算發展從國家安全形度看，我們必須持續投入量子計算的研發與人才培養。如果主要對手國家比美國更早實現 CRQC，將對美國及全球帶來嚴重的國家安全風險。7. 對量子計算相關公告保持正確視角隨著量子硬體成熟，未來幾年會出現大量里程碑式新聞。矛盾的是，這些新聞的頻繁出現本身就是我們距離 CRQC 仍相當遙遠的證據：每個里程碑都只是通往最終目標的眾多橋樑之一，而每座橋樑的跨越都會引發一波媒體關注與興奮。應將新聞稿視為需要批判性評估的進度報告，而不是要求立即行動的訊號。當然，未來可能出現意外突破，加速時間表；也可能出現嚴重瓶頸，拖慢時間表。我要強調的是：我並不認為在五年內出現 CRQC 是“絕對不可能”，只是“極不可能”。以上建議對這種不確定性具有穩健性，並且可以幫助我們避免那些更直接、更現實的風險：漏洞、倉促部署，以及密碼遷移中常見的各種錯誤。Justin Thaler 是 a16z 的研究合夥人，也是喬治城大學電腦科學系的副教授。他的研究方向包括可驗證計算、複雜性理論，以及大規模資料集的演算法。 (吳說Real)

當人類還在為宇宙 138 億年的年齡驚嘆時，Google的一款量子晶片已經刷新了 “速度天花板”——Willow 晶片僅用 5 分鐘，就完成了當前最快超級電腦需要 10²⁵年才能搞定的計算任務。這一突破不僅讓量子計算的 “算力碾壓” 成為現實，更破解了困擾學界近 30 年的量子糾錯難題，標誌著全球量子計算從實驗室走向實用化邁出關鍵一步。一、核心突破：兩大 “全球之最” 改寫量子計算規則1. 算力鴻溝：5 分鐘完成超算 10²⁵年工作量Google在隨機電路採樣（RCS）基準測試中，用 Willow 晶片創造了史無前例的算力差距。這款搭載 105 個物理量子位元的晶片，在不到 5 分鐘內完成了一項複雜計算任務，而作為對比，當前全球頂級超級電腦 Frontier 即便全速運行，也需要耗費 10²⁵年 —— 這個時間是宇宙年齡的 700 多萬倍，遠遠超出人類已知的時間尺度。隨機電路採樣是量子計算領域的 “性能試金石”，專門用於檢驗量子電腦是否能完成經典電腦無法企及的任務。Willow 的表現不僅遠超上一代晶片，更讓量子計算的 “指數級加速” 從理論落地為現實。2. 糾錯革命：30 年難題終被攻克量子位元的 “脆弱性” 一直是行業痛點 —— 量子位元數量越多，越容易受環境干擾產生錯誤，導致計算失效。而 Willow 首次實現了 “低於閾值” 的量子糾錯能力：隨著物理量子位元陣列從 3×3 擴展到 5×5 再到 7×7，邏輯錯誤率不僅沒有增加，反而持續減半。這一突破的關鍵在於Google採用的表面碼糾錯技術，通過將資訊分佈到多個量子位元上，建構出 “即時糾錯安全網”，能在錯誤影響計算結果前就完成修復。更重要的是，Willow 的邏輯量子位元壽命比單個物理量子位元更長，真正實現了 “糾錯越徹底，性能越穩定” 的良性循環。二、硬核參數：105 個量子位元的 “精準進化”Willow 的成功並非單純追求量子位元數量，而是在 “質量與規模” 之間找到了最佳平衡點：量子字節態：105 個物理量子位元，採用 2D 網格架構，適配表面碼糾錯的工程實現需求；相干時間：量子位元保持量子狀態的時間達到 100 微秒，是上一代晶片的 5 倍，為長周期複雜計算提供了基礎；系統穩定性：可在接近絕對零度的低溫環境中，穩定運行最多 100 萬個計算周期，同時即時解碼錯誤並維持高性能；製造工藝：在Google聖巴巴拉專屬量子製造設施中打造，從晶片架構到門電路校準實現全流程最佳化，確保各元件高效協同。三、技術原理：量子計算為何能實現 “超時空加速”普通讀者可能對 “量子優勢” 感到抽象，其實核心在於兩大量子特性的突破應用：量子疊加：一個量子位元可同時表示 0 和 1 兩種狀態，105 個量子位元就能同時處理 2¹⁰⁵種可能 —— 這個數量遠超宇宙中所有原子的總和，讓平行計算能力實現指數級提升；量子糾纏：多個量子位元形成 “超距關聯”，即便相隔遙遠也能同步狀態，配合即時糾錯技術，讓大規模量子計算的穩定性從 “不可能” 變為 “可能”。簡單來說，經典電腦解決複雜問題需要 “逐個嘗試所有路徑”，而量子電腦能 “同時探索所有可能”，再通過糾錯技術篩選出正確答案，這就是 Willow 能實現算力碾壓的核心邏輯。四、全球競爭：量子賽道的 “雙雄並跑”Willow 的發佈，讓全球量子計算競爭進入白熱化階段。有趣的是，中國中科大潘建偉團隊同期推出的 “祖沖之三號” 量子晶片，同樣搭載 105 個量子位元，形成了 “雙峰並峙” 的格局：Google Willow：主打 “糾錯優先”，突破可擴展性瓶頸，為大規模量子電腦奠定基礎；祖沖之三號：側重 “位元質量”，單門保真度達 99.90%，在特定計算任務中實現 10¹⁵倍加速，性能表現同樣強悍。兩者的技術路線雖有差異，但都證明 105 個量子位元是當前超導量子計算的 “黃金數量”—— 既能支撐核心技術突破，又能控制系統複雜度，為後續商用化提供了可行方案。五、未來應用：從實驗室走向千行百業的想像空間隨著糾錯難題的破解和算力的爆發式增長，Willow 為量子計算的商用化打開了廣闊前景：藥物研發：精準模擬分子結構和化學反應，將新藥研發周期從 10 年縮短至 1-2 年；新能源突破：最佳化電池材料設計、模擬核聚變反應，助力高效清潔能源技術落地；人工智慧：為大模型訓練提供超算級算力支援，突破當前 AI 的算力瓶頸；密碼學：推動後量子密碼技術發展，建構更安全的網路通訊體系。Google量子 AI 負責人哈特穆特・內文直言：“Willow 是迄今為止最可信的可擴展邏輯量子位元原型，讓我們離解決現實世界問題的實用量子電腦越來越近。”六、行業影響：量子計算邁入 “實用化倒計時”Willow 的突破不僅是Google的技術勝利，更將推動全球量子計算產業加速發展。當前，Google已開放開放原始碼軟體和教育資源，邀請全球開發者參與量子演算法創新；而隨著量子糾錯技術的成熟，量子電腦的規模有望在未來 5-10 年內從百級量子位元擴展至千級、萬級，真正實現 “量子計算即服務” 的商業化模式。從 Sycamore 到 Willow，從 “量子優勢” 到 “實用可期”，量子計算正在以遠超預期的速度改變世界。這場由Google引領的技術革命，不僅將重塑科技競爭格局，更將為人類解決能源危機、疾病難題、氣候挑戰等全球性問題提供全新工具。 (大視覺小傳達)

中國科學技術大學科研團隊在量子資訊研究領域取得重要進展，成功實現了光子貝爾態製備數量的世界紀錄，為大規模量子計算與量子網路的研究奠定了關鍵技術基礎。這一成果由中國科學院院士潘建偉領導的團隊完成，相關論文已於2025年11月17日在國際權威學術期刊《自然·光子學》上發表。研究團隊通過設計新型非線性干涉儀與最佳化參量下轉換過程，顯著提升了糾纏光子的產生與收集效率。實驗中，團隊在每秒內可製備超過1700萬對糾纏光子對，這一資料較以往國際公開報導的最高水平提升了一個數量級。值得注意的是，團隊所製備的糾纏光子不僅數量大，其糾纏保真度也穩定保持在98%以上，體現出系統的高純度和高穩定性。貝爾態是量子糾纏的核心資源態，在量子通訊、量子計算與量子精密測量中具有重要作用。例如，在光學量子計算中，貝爾態的規模直接決定了量子位元的連通能力和計算潛力；在量子網路中，高品質的糾纏光源是實現遠距離量子態傳輸與分佈式資訊處理的關鍵。本研究通過技術路徑的創新，在不對光子路由與探測提出極端要求的條件下，實現了多光子貝爾態的高效製備，為後續可擴展量子系統的建構提供了更加可行的實驗方案。業內專家指出，該成果標誌著中國在量子光源與糾纏操控方面已處於國際領先地位。高效率、高保真度的糾纏光源不僅有助於推動基礎科學研究，如量子非定域性檢驗和多體糾纏成像，更將在量子金鑰分發、分佈式量子計算等未來技術邁向實用化的過程中發揮支撐作用。研究團隊表示，下一步將致力於該系統的晶片化整合探索，並進一步與量子儲存等技術結合，推動量子資訊處理能力的整體提升。隨著量子科技逐漸步入實際應用，此類核心器件的突破將持續為中國在量子科技領域的可持續發展注入創新動力。 (晶片行業)

比特幣的量子清算日或許尚需數年，但恐慌已然降臨。Google、加州理工與 IBM 的突破性進展，重新點燃了關於"Q-Day"迫近的辯論：量子電腦或將破解守護比特幣與去中心化金融的密碼體系。然而專家警告，真正的危險可能首先源於人性而非演算法。在市場恐慌、過度反應與開發者遲緩應對的疊加下，信心崩塌或許遠在密碼體系實際失效前就會發生。恐慌蔓延快於數理推演在加密世界，恐慌的傳播速度永遠快於理性。市場雖由程式碼驅動，但價格仍由情緒主導。後量子密碼公司 BOLTS Technologies 創始人 Yoon Auh 指出，上月市場閃崩事件顯示，即便只是關於量子電腦破解比特幣的誤傳，也可能引發連鎖反應。Yoon Auh 表示：“加密貨幣市場剛經歷小幅閃崩。一場在傳統市場中微不足道的 5000 萬至 1 億美元拋售，竟導致區塊鏈資產全線重挫。這揭示出系統依然何等脆弱。”本月早些時候，川普一則對中國進口商品徵收 100% 關稅的帖文，引發史上最大單日加密貨幣清算潮。隨著比特幣短暫跌破 10.2 萬美元，190 億美元槓桿頭寸瞬間蒸發。Yoon Auh 警告量子恐慌可能引發相同動態："設想有人宣稱'橢圓曲線密碼現可被破解，或許非立時奏效，但已為時不遠'。所有人都會奪路而逃，系統將陷入自我踩踏。"行業早有前車之鑑。2017 年，4Chan 論壇一則關於以太坊創始人 Vitalik Buterin 死亡的虛假帖文，在交易員識破騙局前已抹去數十億美元市值。這場拋售彰顯：當資訊傳播超越驗證速度時，信任體系會如何急速崩塌。量子時間軸：現實節點量子電腦的運行原理完全不同於經典計算。以可同時處於多重狀態的量子位元替代非 0 即 1 的經典位元，當量子位元形成"糾纏"特性時，即可同步處理海量可能性。該特性使得因數分解與離散對數等特定數學問題的求解效率呈指數級提升。1994 年數學家彼得·肖爾證實，足夠強大的量子電腦理論上能破解從信用卡到比特幣錢包的全部加密體系。比特幣依賴的橢圓曲線密碼學，通過易於計算卻幾乎不可逆的方程將私鑰轉化為公鑰。而具備足夠規模的量子電腦通過運行肖爾演算法即可逆轉該過程，暴露區塊鏈上任何已公開公鑰對應的私鑰。比特幣採用的 secp256k1 系統運用此類橢圓曲線方程生成並驗證簽名。能執行此類計算的量子電腦可復原與公開公鑰關聯的私鑰並清空錢包。一個 256 位橢圓曲線金鑰提供的經典安全性，約等同於 3072 位 RSA 金鑰（以當今標準衡量堪稱固若金湯）。目前該威脅仍停留於理論層面。全球最大量子處理器—— IBM 的 1121 位"禿鷹"與加州理工超 6000 位中性原子陣列，距離產生數千個容錯邏輯量子位元所需的百萬級物理量子位元仍遙不可及。現有研究指出，破解比特幣橢圓曲線加密需約 2000 至 3000 個邏輯量子位元。實現該目標預計還需十年以上，儘管 IBM 與Google的樂觀預測將此類機器的出現時間定於 2030 年代早中期。蘭德公司物理學家 Edward Parker 表示："量子對密碼學的威脅真實且嚴峻。有人認為量子電腦永難威脅加密，這或許成立。但風險足以讓我們必須未雨綢繆。"這種審慎警告常在網路傳播中被扭曲，本為激發討論與準備的警示，反而助長了"量子末日"的誇張論調。美國已率先行動。2022 年《第 10 號國家安全備忘錄》總統令要求聯邦機構啟動後量子加密升級。這是跨部門長期協調的罕見案例。Edward Parker 引用密碼學家 Michele Mosca 2023 年主導的研究，指出密碼學意義量子電腦出現時間中值估計約為 2037 年。研究科學家 Ian MacCormack 認同公眾恐懼已超越技術實際能力。"量子電腦遠未強到能破解 RSA-2048 或任何具實際規模的加密。降低錯誤率並整合數千量子位元實現實用化，需要時間、資金與反覆試錯。"MacCormack 指出量子計算的神秘光環放大了恐懼。"人們聽聞量子計算，覺得它如神明般深不可測。但拋開其潛力，這本質是項極困難的工程難題。開發抗量子加密的處理程序，幾乎註定快於建造能破解現行加密的量子電腦。"Coin Metrics 聯合創始人、Castle Island Ventures 合夥人 Nic Carter 近期稱量子計算為"比特幣最大風險"。他在《比特幣與量子問題》一文中指出，近四分之一比特幣（約 400 萬枚）存於已暴露公鑰的地址，理論上在實用量子解密問世時極易受攻。對比特幣數學體系不可破性的信心，恐遠在數學本身被破解前就已崩塌。建構抗量子比特幣儘管威脅尚遠，專家指出行動窗口就在當下（但這取決於廣泛協作）。後量子網路安全公司 QuSecure 聯合創始人兼 CEO Rebecca Krauthamer 表示下一步很明確：必須淘汰橢圓曲線密碼學。需用後量子標準化演算法如 ML-DSA 取而代之。ML-DSA（模組格基數位簽名演算法）是美國國家標準技術研究院制定的新型後量子密碼標準。它建立在格基數學之上，該密碼學分支將資訊隱藏於多維數字網格中。破解這些網格需解決"容錯學習"問題，即便強大量子電腦也無法高效求解，使得 ML-DSA 遠比比特幣現行橢圓曲線系統更難破解。目前僅少數區塊鏈真正實現抗量子，多數仍在適應後量子密碼學。抗量子帳本專為量子安全設計，採用 NIST 標準化的 XMSS 基於雜湊簽名方案。Cellframe 與 Algorand 使用 NIST 套件中的格基演算法（Crystals-Dilithium、FALCON 與 NTRU），可在標準演進時靈活模組化升級。IOTA 在其"纏結"網路中依賴 Winternitz 一次性簽名，保護交易免受量子金鑰復原威脅。Nervos 網路以混合模式整合經典與格基系統，支援逐步遷移至後量子安全。比特幣、以太坊、Cardano 及 Solana 等主流公鏈仍處於過渡階段。以太坊 3.0 路線圖包含後量子簽名的積極研究與測試網，而比特幣的模組化 Taproot 與 Schnorr 升級為未來整合量子安全密碼學奠定基礎。此類升級技術上可行，但政治層面複雜。比特幣安全模型依賴礦工、開發者與節點的全網共識。任何密碼學變更都需分叉實現，且需經年累月的討論與測試。Rebecca Krauthamer 指出："量子計算聽來抽象，但解決方案出奇直接。我們已掌握數學工具，政府正強制推行量子安全標準，金融業自會跟進。難點在於如何在危機來臨前喚起重視。"多數專家建議最穩妥路徑是漸進式。通過新地址類型或混合簽名新增後量子支援，引導託管方與錢包對新資金應用該標準，逐步遷移舊有錢包。這可避免全員同步更換金鑰引發的混亂。此類情景對信心的摧毀速度恐遠超真實量子攻擊。比特幣貢獻者已在開發者論壇探討後量子簽名與混合方案。挑戰不在尋找演算法，而在決策部署時機與方式。治理困境德克薩斯大學奧斯汀分校電腦科學教授 Scott Aaronson 指出，比特幣去中心化模式會使升級舉步維艱。"以太坊等多數公鏈可在危急時自主遷移至抗量子密碼，但比特幣需多數礦工同意分叉。並且約千億美元價值的早期代幣仍僅受 ECC 保護。"這種缺乏中心權威的特性可能延緩處理程序，倉促實施或致網路分裂。不過不少比特幣開發者主張，一旦可行升級路徑出現，共識自會圍繞有效程式碼形成。以太坊與 Solana 擁有更靈活治理機制，適應速度可能更快。比特幣的審慎雖使其免於錯誤決策，但同等保守性也令重大變革難以推行。Q-Day 究竟多遠？當前原型機量子位元數僅達千級，而非穩定可擴展攻擊所需的百萬級糾錯量子位元。足以破解比特幣加密的量子電腦尚未問世。此前，Google宣佈量子研究新里程碑：其 105 量子位元"柳樹"處理器用兩個多小時完成物理模擬，而"前沿"超級電腦需耗時三年以上。該實驗動用 23 電路層的 65 個活躍量子位元，實現中值雙量子位元門誤差約 0.0015。此舉標誌可驗證的量子加速，但對加密不構成威脅。即便視量子計算為長期威脅的研究者，也承認真實風險仍在數年之外。密歇根大學電腦科學與工程教授 Christopher Peikert 表示："我認為量子計算有合理機率，例如超過5%，成為比特幣及其他加密貨幣重大甚至存亡攸關的長期風險，但這在未來數年內尚非真實威脅。量子計算的技術與工程距離威脅現代密碼學仍道阻且長。"Christopher Peikert 補充道，更棘手在於後量子系統部署後的性能表現。"後量子簽名使用的金鑰大得多。由於加密貨幣依賴大量簽名處理交易與區塊，轉向後量子或混合簽名將顯著增加網路流量與區塊體積。"關於近期防護，Christopher Peikert 認為最佳緩釋策略在於行為模式而非技術手段。"短期應避免在公開網路暴露公鑰，除非絕對必要，並縮短金鑰有效期。長期而言，核心協議需審慎升級，為關鍵功能與資產引入後量子密碼學。"業界共識是量子計算短期內不會破解比特幣。 (奔跑財經)

量子AI 助力，半導體供應鏈韌性升級。幾十年來，矽一直是電腦發展的主要驅動力，但摩爾定律如今已接近極限。隨著對晶片速度和能效要求的不斷提高，由於供應短缺和地緣政治緊張局勢，供應鏈面臨的壓力前所未有。這就是人工智慧和量子計算發揮作用的地方。這並非科幻小說；它們正在幫助發現新的半導體材料，並最佳化晶圓廠的生產計畫。這可以縮短交貨周期，降低風險，並打造更具韌性的供應鏈。對於工程師和採購團隊來說，資訊很簡單：要想在晶片領域保持領先地位，很快就需要同時利用量子計算和人工智慧。量子計算和人工智慧在半導體創新中的融合量子計算使用量子位元，與經典位元不同，量子位元可以處於疊加態，同時表示0和1。這使得量子處理器能夠處理經典電腦難以完成的複雜模擬，例如模擬新型半導體材料中的原子級行為。人工智慧增強了這種能力。通過將預測分析應用於量子模擬，機器學習模型可以識別有前景的候選材料，預測其性能，並提出調整建議。這使得原本緩慢的試錯過程轉變為可執行的洞察，從而節省了數年的實驗室工作。以Google的Willow處理器為例。它是Sycamore的後續產品，雖然並非完全為材料研究而設計，但它展示了量子系統如何擴展並減少誤差。當與機器學習相結合時，它為晶片創新至關重要的材料特性提供了前所未有的視角。正如Anima Anandkumar 指出的那樣：“人工智慧幫助我們將量子模擬的原始複雜性轉化為工程師實際可以使用的見解。”—— Anima Anandkumar，加州理工學院教授兼輝達人工智慧研究高級總監。人工智慧和量子計算的結合，正在為晶片設計奠定一種全新的基礎。人工智慧驅動的材料科學：營運和市場影響在發現新型半導體材料時，原子級精度至關重要。人工智慧驅動的量子模型可以模擬石墨烯、氮化鎵或鈣鈦礦等材料中的電子行為。這使得研究人員能夠在進行實驗室測試之前評估材料的導電性、能量效率和耐久性，從而極大地加快材料鑑定速度。實際影響顯著。傳統上，材料驗證需要數年時間，但早期研究表明，驗證時間可以縮短30%至50%。這使得晶圓廠能夠更高效地營運，使生產與新技術同步，並最大限度地減少閒置時間。市場壓力進一步加劇了這一局面。在2021年的短缺期間，交貨周期從大約12周延長至一年以上。借助人工智慧，企業可以預測供應鏈中斷並主動調整採購策略。量子模擬還能擴大可用材料的範圍，從而減少對單一供應商或高風險地區的依賴。圖1. 半導體交貨周期從2020年的12周飆升至2022年的30周以上，之後有所緩解。人工智慧與量子技術的融合可以通過實現預測分析和多元化採購來幫助穩定這些波動。投資回報令人矚目。德勤指出，將人工智慧融入研發和供應鏈營運的企業，效率提升幅度可達兩位數，這主要得益於產量預測的改進和停機時間的減少。Google的量子研究團隊已證明，人工智慧驅動的模擬可以在幾周內將有前景的材料從數千種縮減到幾種，而使用傳統計算方法通常需要數年時間。研發周期的顯著縮短從根本上改變了競爭格局。為採購和供應鏈領導者提供戰略洞察對於採購和供應鏈領導者而言，這不僅僅是一次技術升級，更代表著一項真正的戰略優勢。人工智慧驅動的量子工具能夠最佳化交付周期，從而實現更精準的供應商合同，並減少對過剩庫存的需求。預測分析還能幫助團隊在潛在風險影響晶圓廠或延誤客戶交付之前識別它們。供應鏈韌性也得到提升。當人工智慧引導的量子模擬確認可以從不同地區採購的替代半導體時，採購團隊就能降低地緣政治風險或自然災害帶來的影響。這種方法與美國《晶片與科學法案》和歐盟《晶片法案》等國家倡議相契合，這兩項法案都旨在促進更強大的本地化生產和更具韌性的採購策略。量子人工智慧建模提供了驗證這些替代供應管道所需的必要技術保障。“短期內，人工智慧行業的上升趨勢顯而易見，但那些能夠有效管理供應鏈、吸引並留住人才的公司，才能更好地把握人工智慧蓬勃發展帶來的機遇並從中獲益。”——畢馬威全球技術主管馬克·吉布森圖2. 採用人工智慧增強型半導體營運的公司獲得了顯著更高的投資回報率，諮詢研究報告顯示，與傳統營運相比，效率提高了兩位數。歸根結底，成功整合這些技術的公司不僅能更快地將產品推向市場，還能在當今瞬息萬變的全球市場中獲得真正的競爭優勢。在半導體行業，幾周的延誤就可能造成數十億美元的收入損失，因此，敏捷性對於生存至關重要。未來展望：量子人工智慧對半導體製造的影響規模化展望未來，下一個重大發展方向似乎是全端式量子人工智慧設計。試想一下，量子處理器運行全晶片模擬，而人工智慧則負責最佳化其速度、效率和可製造性。雖然我們尚未完全實現這一目標，但光子電路和自旋電子元件的逐步進步已經產生了切實可見的成果。對於製造團隊而言，挑戰在於如何保持供應鏈的靈活性。隨著新材料從模擬階段過渡到試生產階段，採購和製造團隊必須協調一致地擴大規模。如今的量子處理器並不完美，它們在量子位元數量、錯誤率和可擴展性方面仍然存在侷限性，但如果進展持續，未來十年內有望出現實際的工業應用。現在就開始規劃、制定路線圖並建立戰略合作夥伴關係的公司將獲得顯著優勢。結論目前，半導體行業正處於一個關鍵的轉折點。將人工智慧的預測能力與量子計算的原子級洞察力相結合，可以加速產品發現，縮短研發周期，並顯著增強供應鏈的韌性。對於工程師和採購負責人而言，資訊很明確：採用人工智慧與量子計算的融合不僅僅關乎技術，更關乎保持競爭力。矽晶片的下一個重大突破並非偶然，而是需要借助人工智慧和量子計算進行精心設計、最佳化和工程打造。 (半導體產業縱橫)