比特币杂志
量子难题：冻结币，还是不冻结？
比特币的量子争论可谓一团乱麻。这不仅仅是关于不同密码学类型的利弊及其抵御理论量子计算机能力的技术争论，更是在比特币面临艰难抉择时，探讨其精神内核中的哪些属性最为重要：是坚守承诺，让有效的币始终可由其所有者支配；还是优先维护系统安全，避免因一个已为人所知多年的漏洞而导致相当一部分货币供应被盗？
这场争议的核心困境在于，所有严肃的选项都会违背比特币用户看重的某项原则。按兵不动或许能保留当前的共识规则，却也可能让未来具备量子计算能力的参与者窃取那些从未同意转移币的所有者的资产。冻结易受攻击的币或许能阻止盗窃，却会追溯性地使长期有效的支出条件失效。强制迁移到抗量子签名或许是审慎的工程选择，但也可能被视为一种以截止期限为筹码的没收机制。这场争论之所以棘手，是因为不存在一条完美的道路，能够同时维护财产权、经济可预期性、抗审查性、向后兼容性和用户主权。
这就是我认为这个问题引人入胜的原因。它涉及多个层面：既是技术问题，也是社会学、哲学和经济学问题。因此，任何严肃讨论都必须考虑问题的方方面面。
在这篇文章中，我将论证，关于量子迁移的争论远不只是要不要冻结易受攻击的比特币这么简单。更重要的问题是：椭圆曲线签名不再能够可靠地验证所有权归属后，如何将财产权侵害总量降至最低。
量子威胁
比特币目前用于确保资金只能由其合法所有者支出的授权机制依赖于椭圆曲线密码学。传统的 ECDSA 签名和 Schnorr 签名都使用 secp256k1 椭圆曲线。在通常的经典计算假设下，从公钥推导出私钥在计算上不可行。但能够运行 Shor 算法、在密码学上具有实际威胁的量子计算机会改变这一假设：一旦公钥公开，能力足够强大的量子攻击者就可以推导出对应的私钥，并签署一笔支出资金的交易，而网络会将其视为有效交易并予以接受。量子计算机威胁着要破解 ECDSA 和 Schnorr 背后关于从公钥推导私钥在计算上不可行的假设。
这一区别很重要，因为并非所有比特币输出都会在同一时间暴露相同的信息。有些输出类型会立即公开公钥，并且会一直面临风险。另一些则会通过哈希隐藏公钥，直到所有者花费这些币时才会显露。这形成了两大类攻击。远程攻击的目标是公钥已在链上可见的输出，例如较早的公钥支付（pay-to-public-key）输出和 Taproot 输出。短程攻击则针对币被花费的时刻：所有者广播一笔交易，公钥随即变得可见，快速的量子攻击者试图迅速推导出私钥，以便替换或抢先提交这笔交易。
挖矿面临的威胁有所不同。从理论上讲，Grover 算法可以加速暴力搜索有效区块哈希的过程，但它只能带来二次加速，而 Shor 算法带来的则是超多项式加速。因此，量子计算在挖矿中的竞争优势远不如前者实际，犯不着为挖矿使用量子计算机。
量子计算的威胁
有趣的是，量子计算机带来的威胁本身也处于量子叠加态。人们可能会造出一台值得担忧的量子计算机，也可能造不出来；没人能证明它一定会实现，也没人能证明它不会实现。量子怀疑论者并不否认肖尔算法可以破解 ECC。他们认为，没有充分理由相信我们终有一天能造出运行肖尔算法所需的强大量子计算机，并使其具备容错能力，从而在与密码学相关的规模上运行该算法。
大家都认同，凭借当今噪声很大的量子处理器，还无法破解 ECC。这需要大量可靠的逻辑量子比特、极低的错误率、相干性很高的长时间计算，以及能够在大规模系统中成功运行的量子纠错。
一种有力的怀疑论观点认为，量子容错阈值定理依赖一些假设，而这些假设在物理上未必能以所需的精度实现。这些假设包括噪声足够独立、量子门足够精确、不必要的相互作用受到限制，以及能够在庞大系统中将错误率维持在可接受的阈值以下。米哈伊尔·迪亚科诺夫认为，该定理假设了理想化条件，却没有告诉我们在实际设备中满足每一项假设所需的工程精度究竟是多少。
Gil Kalai 的批评更侧重于结构层面。他认为，现实中的量子系统可能会受到相关噪声和噪声累积的影响，从而无法形成高质量的量子纠错码。在他 2011 年的论文中，他提出，量子码的物理实现、随机系统中的相关性以及累积噪声，都可能导致可扩展量子计算机失效。
这或许是最有力的怀疑论论点：量子纠错只有在噪声可控的情况下才行得通。如果真实的大规模量子比特系统会产生具有对抗性的相关错误，那么增加量子比特反而很可能让计算机变得更加脆弱、不可靠。
量子计算的可扩展性仍是一个重大未知数。怀疑论者认为，从 50、100 或 1,000 个物理量子比特取得的进展，并不能自动外推到数百万个物理量子比特或数千个逻辑量子比特。量子系统是模拟的、脆弱的，而且与周围环境相互耦合。工程挑战不只是“制造更多量子比特”，而是“在抑制串扰、泄漏、相关错误、校准漂移、热效应、测量错误、制造差异和控制噪声的同时，制造更多量子比特”。这就是批评者反对简单外推时间表的原因。他们认为，“我们这十年把量子比特数量提高了 X，所以到 Y 年就能突破纠错码门槛”是一种站不住脚的推理。
最后，量子计算机演示表明，当前设备只有在经过精心挑选的采样任务上才能胜过经典模拟。批评者指出得很有道理：这并不能说明量子计算机能否以足够的可靠性执行像肖尔算法这样长而复杂的算法，从而破解一个 256 位 ECC 私钥。
为什么后量子迁移至关重要
假设出现了一台具有密码学实用性的量子计算机，仅仅增加一种让比特币用户选择后量子密码学的选项，并不足以阻止量子攻击。所有易受量子攻击的比特币包括早期的支付到公钥（P2PK）币、由重复使用的公钥控制的币、Taproot 输出，以及公钥或扩展公钥已在链外泄露的情况。一个引人注目的数据是，旧 P2PK 输出中 BTC 的集中程度：按数量计算，它们仅占 UTXO 的极小一部分，却代表了大得多的价值份额，约为 170 万 BTC。通过链上分析输出类型、活动模式和已知所有权进行更广泛的估算后，我们认为，即使所有活跃的比特币用户都将钱包迁移到后量子密码学，仍至少有 260 万 BTC 易受攻击。
因此，即使采用可选择启用的后量子（PQ）密码学，我们仍应预期会有一批规模足以构成系统性风险的易受攻击代币无限期地滞留。这些代币可能被量子攻击者用来以多种方式危害系统，而不仅仅是通过抛售它们来压低 BTC 的现货价格。因此，要保护这些易受攻击的代币免受量子威胁，就需要以某种方式修改规则，从而有效地“阻止”量子攻击者。
围绕这一问题的讨论常使用“没收”“销毁”“冻结”“盗窃”或“找回”等词语，但它们描述的是不同机制。冻结并不意味着将代币转移给国家、矿工、开发者或某个找回基金。最基本的做法是修改共识规则，使某些输出无法再通过易受攻击的 ECDSA 或 Schnorr 签名进行花费。因此，支持者有时会说“销毁”而不是“没收”：代币不会被重新分配，而是无法再通过其私钥花费。但对于仍持有原始密钥的合法所有者来说，实际效果仍可能让人感觉像是被没收了：过去有效的花费操作不再有效。
BIP-361 将迁移方案划分为多个阶段。首先，在抗量子地址类型出现后，比特币网络将不再允许将新币发送至易受量子攻击的地址。之后，经过数年的过渡期，旧版 ECDSA 和 Schnorr 花费将失效。最后，还需要考虑用户的恢复选项：用户必须能够证明自己是合法所有者，且不能仅依赖已被攻破的 ECC；例如，可以使用由助记词或 HD 钱包结构生成的零知识证明。该提案的主要目的并非选定一种后量子签名算法，而是通过设定激励措施和截止期限，促使用户、交易所、托管机构、钱包和机构及时完成迁移，从而能够逐步弃用 ECC，防止量子攻击。
支持冻结的理由
支持冻结的最有力论据始于一个简单的主张：量子攻击者从公钥推导出私钥，并不意味着其在任何有道德意义的层面上就是合法所有者。按照这种观点，“就让易受攻击的币被拿走吧”并非中立，而是任由一类新的行为者窃取旧的输出，只因协议未能加固一把已知脆弱的锁。冻结支持者认为，放任量子盗窃造成的损害，不仅会落在疏忽大意的持有者身上，也会波及所有持币者，因为一次成功的量子扫荡会把财富重新分配给任何拥有早期量子能力的人。这令人担忧，因为单一行为者只需投入相对少量的资源就能取得如此数量的比特币，这可能会对整个生态系统的安全构成相当大的威胁。比特币的安全模型假设参与者在经济上是理性的，并受到保护自身持币价值的激励；但具备量子能力的行为者可能打破这一假设。支持冻结的立场是，比特币不应把可能被用来损害系统的弹药，奖赏给最先攻破椭圆曲线密码学（ECC）的实体。
这一论点对于被认为已经丢失的币尤其成立。如果量子攻击者突然能够找回丢失的币，流通供应量实际上就会增加。这并不违反形式上的 2100 万枚上限，但确实会改变经济格局：市场可能一直视为沉寂的币重新进入流通，而且速度可能很快，持有者也可能高度集中。
主张冻结的一方还认为，这种威胁并不局限于普通的逐利行为。具备量子计算能力的对手可能出于政治目的攻击比特币、扰乱市场、削弱公众信心、长期骚扰网络，甚至获取足够的算力对网络发起 51% 攻击。对其中博弈论的分析表明，我们不能简单地假设攻击者会扫荡存在漏洞的 BTC，将其卖掉后便一走了之；可能的策略和不良后果要广泛得多。
来源：BitcoinMagazine
