(1).png)
量子計(jì)算領(lǐng)域的最新進(jìn)展再次引發(fā)了人們對(duì)其將如何影響比特幣的關(guān)注。在一份新發(fā)布的報(bào)告中，我們概述了量子計(jì)算的現(xiàn)狀、比特幣的威脅模型以及正在考慮的后續(xù)步驟。本文概述了我們的主要發(fā)現(xiàn)和建議。查看完整報(bào)告。
比特幣準(zhǔn)備量子計(jì)算的時(shí)間表
我們概述了比特幣的雙軌遷移策略，以應(yīng)對(duì)量子計(jì)算的潛在出現(xiàn)。
- 長(zhǎng)期路徑：這種綜合方法假設(shè)量子計(jì)算構(gòu)成實(shí)際威脅之前仍有相當(dāng)長(zhǎng)的時(shí)間窗口。參考隔離見證 (SegWit) 和 Taproot 等先前協(xié)議升級(jí)的時(shí)間表，我們估計(jì)實(shí)現(xiàn)完全的量子安全過渡可能需要大約 7 年時(shí)間。
- 短期應(yīng)急路徑：此方案旨在應(yīng)對(duì)量子計(jì)算領(lǐng)域突然取得突破時(shí)的緊急響應(yīng)。其重點(diǎn)是快速部署防護(hù)措施，以保障比特幣網(wǎng)絡(luò)的安全，預(yù)計(jì)大約需要兩年時(shí)間才能完成。
在這兩種情況下，精心管理的資金（例如存儲(chǔ)在 P2PKH 或 P2WPKH 等哈希地址類型中且不重復(fù)使用地址）已經(jīng)受到保護(hù)，免受量子攻擊。然而，以后量子時(shí)代安全的方式使用這些資金需要額外的基礎(chǔ)設(shè)施，預(yù)計(jì)這些基礎(chǔ)設(shè)施將在這兩個(gè)時(shí)間線的第二階段開發(fā)完成。
量子計(jì)算機(jī)：何時(shí)問世？有何功能？
如果量子計(jì)算能夠大規(guī)模實(shí)現(xiàn)，它可以利用量子力學(xué)原理顯著提升特定類型問題的處理速度。尤其值得關(guān)注的是密碼相關(guān)量子計(jì)算機(jī) (CRQC)，這類計(jì)算機(jī)能夠破解現(xiàn)代密碼學(xué)背后的數(shù)學(xué)假設(shè)。這其中就包括橢圓曲線密碼學(xué) (ECC) 等算法，而它是比特幣安全的基礎(chǔ)。
雖然量子計(jì)算幾十年來一直是理論研究的活躍領(lǐng)域，但在構(gòu)建大規(guī)模量子機(jī)器（尤其是 CRQC）方面仍然存在重大的工程挑戰(zhàn)。迄今為止，還沒有一臺(tái)量子計(jì)算機(jī)在解決商業(yè)相關(guān)問題方面超越經(jīng)典超級(jí)計(jì)算機(jī)，也沒有展現(xiàn)出足以威脅現(xiàn)代密碼學(xué)的能力。
CRQC 預(yù)計(jì)時(shí)間表
眾所周知，技術(shù)進(jìn)步難以預(yù)測(cè)，它很少遵循線性路徑，歷史上有很多突飛猛進(jìn)的例子。為了預(yù)測(cè)密碼學(xué)領(lǐng)域的潛在變化，一些組織已經(jīng)提出了密碼簽名過渡的時(shí)間表。
其中最突出的努力之一來自美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院（NIST），該機(jī)構(gòu)一直引領(lǐng)著密碼標(biāo)準(zhǔn)的制定。他們發(fā)布的建議突出了兩個(gè)關(guān)鍵日期：
- 到2030年，傳統(tǒng)的加密方法，例如ECDSA和RSA，應(yīng)該被逐步淘汰。
- 到2035年，所有密碼系統(tǒng)都應(yīng)該完全過渡到后量子算法。
英國(guó)國(guó)家網(wǎng)絡(luò)安全中心采取了類似的方法，采用三階段遷移框架，旨在到 2035 年完成向后量子密碼學(xué)的過渡。歐盟和中國(guó)等其他實(shí)體也在積極研究后量子密碼學(xué)戰(zhàn)略，盡管他們尚未公布正式的時(shí)間表。
在行業(yè)層面，包括Cloudflare、Signal和谷歌在內(nèi)的多家領(lǐng)先公司已開始采用后量子密碼學(xué)。他們正在實(shí)施混合簽名方案，將傳統(tǒng)加密方法與后量子算法相結(jié)合，攻擊者需要破解這兩種算法才能入侵系統(tǒng)。蘋果公司也宣布了向后量子密碼學(xué)過渡的計(jì)劃。隨著PQC成為新興行業(yè)標(biāo)準(zhǔn)，預(yù)計(jì)會(huì)有更多公司效仿。
風(fēng)險(xiǎn)何在？
比特幣面臨的威脅將帶來巨大的經(jīng)濟(jì)風(fēng)險(xiǎn)。圖 2 分析顯示，約有 651 萬枚比特幣（按當(dāng)前估值超過 7000 億美元，占當(dāng)前供應(yīng)量的 32.7%）存在量子漏洞。這包括地址重復(fù)使用的資金、由本質(zhì)上易受量子攻擊的腳本類型保護(hù)的資金，以及通過比特幣分叉（例如比特幣現(xiàn)金）上的公鑰暴露而易受量子攻擊的資金。
比特幣威脅模型：我們應(yīng)該擔(dān)心什么？
量子計(jì)算預(yù)計(jì)將影響比特幣的兩個(gè)關(guān)鍵領(lǐng)域：礦業(yè) 和 交易簽名在量子挖礦中，整合多臺(tái)機(jī)器算力的難度使得大型量子礦工擁有不成比例的優(yōu)勢(shì)，從而威脅到去中心化。對(duì)于交易簽名而言，風(fēng)險(xiǎn)更為直接，CRQC 可以從公鑰中衍生出私鑰，從而竊取資金。
重要的是，這兩種威脅的時(shí)間表截然不同。構(gòu)建一臺(tái)性能超越現(xiàn)代 ASIC 礦機(jī)的量子計(jì)算機(jī)，其工程挑戰(zhàn)遠(yuǎn)大于構(gòu)建一臺(tái)能夠破解數(shù)字簽名的量子計(jì)算機(jī)。部分原因在于量子處理器的時(shí)鐘速度較低，遠(yuǎn)低于比特幣挖礦中使用的高度優(yōu)化和專用硬件，而且缺乏并行化。
簽名
CRQC 可能會(huì)打破基于 ECC 方案的假設(shè)，即無法從對(duì)應(yīng)的公鑰推導(dǎo)出私鑰，從而可能允許攻擊者竊取資金。在比特幣中，UTXO 的所有權(quán)是通過使用與給定公鑰對(duì)應(yīng)的私鑰簽署交易來證明的。如果 CRQC 能夠從公鑰推導(dǎo)出該私鑰，它就可以偽造所有權(quán)并花費(fèi)資金。
這導(dǎo)致了兩種截然不同的量子攻擊場(chǎng)景。使用哈希地址進(jìn)行支付時(shí)，公鑰會(huì)暫時(shí)暴露，這為攻擊者提供了短暫的窗口期（通常幾分鐘到幾小時(shí)）來獲取私鑰并竊取資金（可能通過鏈重組進(jìn)行）。相比之下，某些輸出類型（P2PK、P2MS、P2TR）從收到資金的那一刻起，公鑰就會(huì)永久地暴露在鏈上，這為攻擊者提供了無限的時(shí)間來發(fā)起量子攻擊。地址重用將哈希地址的暫時(shí)漏洞轉(zhuǎn)化為永久暴露，因?yàn)楣€在首次支付后仍然在鏈上可見。如圖 3 所示，最易受攻擊的目標(biāo)是持有大量資金且公鑰暴露的地址，例如實(shí)施地址重用的機(jī)構(gòu)持有者。
礦業(yè)
比特幣挖礦基于以下原理：找到有效區(qū)塊的概率與計(jì)算量呈線性關(guān)系。Grover 算法是一種量子搜索技術(shù)，它為暴力搜索提供了二次方的加速。然而，與傳統(tǒng)挖礦不同，Grover 算法不易并行化。這一限制可能會(huì)使擁有大規(guī)模中心化量子硬件的實(shí)體獲得不成比例的優(yōu)勢(shì)，從而可能加劇挖礦的中心化，而不是擴(kuò)大參與度。
除了對(duì)中心化問題的擔(dān)憂之外，量子挖礦還可能改變礦工的最優(yōu)策略，例如通過增加陳舊區(qū)塊的比率來降低區(qū)塊鏈質(zhì)量。更高的陳舊區(qū)塊比率可能會(huì)降低某些攻擊（例如自私挖礦或雙花攻擊）的成本，使其更加可行。
如前所述，構(gòu)建一臺(tái)能夠超越現(xiàn)代ASIC礦機(jī)的量子計(jì)算機(jī)被認(rèn)為比開發(fā)CRQC（可重復(fù)量子計(jì)算）要遙遠(yuǎn)得多。因此，量子挖礦并非迫在眉睫的問題，并且在未來幾十年內(nèi)不太可能構(gòu)成實(shí)際威脅。盡管如此，在未來量子環(huán)境下探索工作量證明機(jī)制仍然是一個(gè)值得研究的方向。更好地理解潛在風(fēng)險(xiǎn)和緩解策略將有助于生態(tài)系統(tǒng)為量子挖礦成為現(xiàn)實(shí)做好準(zhǔn)備。
遷移到量子安全：主要挑戰(zhàn)是什么？
量子安全簽名
量子安全密碼簽名的研究已持續(xù)數(shù)十年，但近年來，人們對(duì)此的興趣和進(jìn)展均有所加速。這促成了 SPHINCS+、FALCON 等候選協(xié)議的開發(fā)。然而，作為一個(gè)相對(duì)年輕的領(lǐng)域，該領(lǐng)域已出現(xiàn)多個(gè)最初被認(rèn)為是安全的方案，但后來被攻破（例如 SIKE），甚至被經(jīng)典計(jì)算機(jī)攻破。盡管人們對(duì)現(xiàn)有候選方案的信任度與日俱增，但該領(lǐng)域仍然活躍且不斷發(fā)展。
如表1所示，后量子簽名方案的一個(gè)顯著限制在于，與比特幣目前使用的經(jīng)典算法（例如ECDSA和Schnorr）相比，它們的密鑰和簽名大小顯著增大，驗(yàn)證時(shí)間也顯著增加。為了解決這個(gè)問題，一些提案建議利用隔離見證（SegWit）的見證人折扣機(jī)制來減少鏈上占用空間。然而，將量子安全簽名集成到協(xié)議中的最佳方法仍是一個(gè)懸而未決的問題。除了性能方面的權(quán)衡之外，量子安全方案尚不支持經(jīng)典簽名提供的全部功能，例如閃電網(wǎng)絡(luò)和其他應(yīng)用程序中所依賴的簽名。該領(lǐng)域仍然是密碼學(xué)界研究的熱點(diǎn)，預(yù)計(jì)未來幾年將取得進(jìn)一步的改進(jìn)。
遷移路徑
如果比特幣社區(qū)選擇將易受攻擊的資金遷移到抗量子格式，則需要轉(zhuǎn)移大量的 UTXO。目前有幾種方案正在考慮中，每種方案都有不同的權(quán)衡。一些方案?jìng)?cè)重于在不提前暴露公鑰的情況下，實(shí)現(xiàn)哈希地址輸出的安全使用。另一些方案則提出了一些機(jī)制，以限制或規(guī)范那些直接易受量子盜竊攻擊的 UTXO 的使用。這些策略通常需要修改共識(shí)規(guī)則，例如軟分叉，并且還必須考慮轉(zhuǎn)移大量 UTXO 的實(shí)際挑戰(zhàn)，即使在持續(xù)分配區(qū)塊空間的情況下，轉(zhuǎn)移過程也可能需要 4 到 18 個(gè)月的時(shí)間。
哲學(xué)困境：我們?cè)试S資金被盜嗎？
比特幣社區(qū)面臨一個(gè)根本的哲學(xué)問題：應(yīng)該將易受量子攻擊的資金永久凍結(jié)（“銷毀”），還是將其保留在量子計(jì)算機(jī)可訪問的范圍內(nèi)（“竊取”）？這一抉擇觸及比特幣的核心原則：產(chǎn)權(quán)、抗審查性和不可篡改性。銷毀方案將量子脆弱性視為一個(gè)需要保守修復(fù)的協(xié)議漏洞，從而阻止財(cái)富重新分配給那些在 CRQC 競(jìng)賽中獲勝的人。竊取方案則認(rèn)為，銷毀資金侵犯了其所有者的產(chǎn)權(quán)，實(shí)際上是沒收了那些可能根本不知道威脅或無法及時(shí)遷移的人的資產(chǎn)。
其影響遠(yuǎn)不止于哲學(xué)層面，更關(guān)乎市場(chǎng)動(dòng)態(tài)。協(xié)同銷毀將永久地將數(shù)百萬比特幣從流通中移除，這可能會(huì)提升剩余比特幣的價(jià)值，同時(shí)提供市場(chǎng)確定性。允許量子盜竊會(huì)導(dǎo)致巨額財(cái)富轉(zhuǎn)移到擁有量子能力的實(shí)體，隨著資金逐漸耗盡，可能會(huì)造成長(zhǎng)期的市場(chǎng)不確定性和波動(dòng)性。就此做出決定對(duì)于比特幣的治理模式至關(guān)重要，它要求社區(qū)在安全要求與用戶主權(quán)和不干預(yù)的基本原則之間取得平衡。
那么，下一步是什么？
CRQC 的到來將標(biāo)志著數(shù)字領(lǐng)域的重大轉(zhuǎn)變，使當(dāng)今許多安全通信、身份驗(yàn)證和數(shù)字基礎(chǔ)設(shè)施面臨風(fēng)險(xiǎn)。盡管量子計(jì)算尚未實(shí)現(xiàn)，但相關(guān)準(zhǔn)備工作正在進(jìn)行中，以確保比特幣能夠抵御未來的發(fā)展。加密社區(qū)和比特幣社區(qū)仍在繼續(xù)研究，以評(píng)估潛在風(fēng)險(xiǎn)并探索切實(shí)可行的應(yīng)對(duì)措施。我們的報(bào)告重點(diǎn)介紹了兩個(gè)近期可能需要關(guān)注的領(lǐng)域：停止地址重復(fù)使用，以及評(píng)估圍繞暴露資金的“銷毀與竊取”討論中的利弊權(quán)衡。
主動(dòng)行動(dòng)的窗口現(xiàn)已打開，盡管它可能不會(huì)永遠(yuǎn)開放。及時(shí)了解量子計(jì)算和密碼學(xué)的進(jìn)展至關(guān)重要，研究潛在的緩解策略及其對(duì)比特幣生態(tài)系統(tǒng)的更廣泛影響也同樣重要。在后量子時(shí)代，確保比特幣的長(zhǎng)期安全需要我們從現(xiàn)在開始進(jìn)行深思熟慮、審慎的工作，這樣我們才能在時(shí)間尚存的情況下做出明智的決策。
本文由 Clara Shikkelman 和 Anthony Milton 客座撰寫。文中觀點(diǎn)僅代表其個(gè)人，并不一定反映 BTC Inc 或 Bitcoin Magazine 的觀點(diǎn)。
贊
.png)
1187
收藏
