欧洲金融监管机构于9月23日警告称，足够先进的量子计算机可能破坏保护区块链的密码学，而CryptoQuant创始人Ki Young Ju估计，约有689万枚BTC可能存在与未来量子攻击相关的公钥暴露风险。
摘要
- 欧盟金融监管机构警告称，量子计算可能破坏保护区块链、交易、数据库和通信的密码学。
- CryptoQuant创始人Ki Young Ju估计，689万枚BTC可能面临未来的量子暴露风险。
- ESMA表示，尽管长期安全担忧日益加剧，但实际量子攻击仍超出当前NISQ设备的能力范围。
- 欧盟国家应在2026年前开始向后量子迁移，并不迟于2030年保护高风险用途。
- 比特币开发者已提出抗量子迁移路径，但共识和遗留代币处理问题仍未解决。
由欧洲银行管理局、欧洲保险和职业养老金管理局以及欧洲证券和市场管理局组成的欧洲监管机构联合委员会警告称，量子计算可能对保护交易、通信、数据库和区块链的密码系统构成重大风险。
9月23日发布的《2026年秋季风险更新》并未表示如今已存在能够破解比特币密码学的机器。其警告重点在于准备工作，并指出与量子相关的安全风险可能在商业上有用的量子应用成为现实之前就已出现。
欧盟监管机构称密码学风险可能提前出现
联合委员会在其风险更新中表示，量子计算可以改善金融流程、定价、欺诈检测和合规监控。同一技术最终可能削弱整个金融基础设施所使用的密码学。监管机构写道：“所带来的风险也可能比任何商业上可行的应用更快地成为现实。”
ESMA于5月发布的另一份技术分析更详细地审视了其机制。该分析称，足够先进的量子计算机可以利用Shor算法攻击包括RSA和椭圆曲线密码学（ECC）在内的公钥方案。比特币依赖椭圆曲线签名来实现所有权和交易授权。
ESMA强调，此类攻击仍超出当前含噪声中等规模量子（NISQ）机器的能力范围。其报告称，能够威胁现有密码学的系统预计不会立即出现，但漫长的迁移周期使得早期准备成为必要。
IBM在时间安排上采取了类似立场。该公司在4月表示，容错量子系统可能在本十年末开始接近密码学相关性。IBM并未表示如今已存在能够破解比特币的量子计算机。
比特币量子暴露估计取决于方法论
可能暴露于未来量子攻击者的比特币数量仍存在争议，因为研究人员对地址类型和重复使用密钥的统计方式不同。
CryptoQuant创始人Ki Young Ju在2月估计，按照他的方法论，约有689万枚BTC可能面临量子暴露。他的数字包括约191万枚BTC，这些与直接可见的公钥相关，以及其他可能通过先前花费行为暴露密钥的代币。该估计还包括归属于早期比特币用户的休眠持有量。
Glassnode 后来给出了不同的计算结果。其5月的研究测算出有604万枚BTC，即已发行供应量的30.2%，在静态状态下存在公钥暴露。在这一总量中，Glassnode 将192万枚BTC归类为结构性暴露，因为其输出类型在设计上就会暴露密钥。
Glassnode 的框架将早期的支付到公钥输出、裸多签输出和 Taproot 输出归入结构性类别。操作性暴露涵盖地址重用、部分花费或托管实践使密钥可见、而币仍与该密钥相关联的情况。
正如 crypto.news 在其关于Glassnode 测算的比特币量子暴露的报道中所指出的，该公司更狭义的结构性指标将192万枚BTC直接归入公钥因设计而暴露的类别。
暴露的公钥造成了比特币特有的风险
比特币的所有权依赖于数字签名。对于几种常见的地址格式，公钥可能一直隐藏在哈希之后，直到币被花费。其他输出类型则从创建时就暴露公钥，而地址重用可能使先前隐藏的密钥在链上可见。
BIP-360 目前在官方比特币改进提案库中列为草案，它提出了支付到默克尔根输出，旨在减少针对椭圆曲线密钥的长期暴露攻击。其规范将 P2PK、被重用的输出和 Taproot 输出列为具有长期暴露风险的类别。
该提案并未声称能解决所有量子攻击路径。BIP-360 指出，要防御攻击者在交易等待确认期间推导出密钥，可能需要后量子签名方案。
BIP-361 涉及迁移政策。该草案最终将阻止新资金被发送到量子脆弱的输出类型，并在之后收紧对传统 ECDSA 和 Schnorr 签名的花费规则。其时间表仅在后量子输出类型被实现并激活之后才开始。
正如 crypto.news 在其比特币 BIP-360 和 BIP-361 迁移报道中详细说明的，开发者们仍在争论，如果传统签名最终变得不安全，应如何处理休眠或无法访问的币。
这两项 BIP 都不是已激活的比特币共识规则。官方 BIP 库将 BIP-360 和 BIP-361 列为草案，使技术标准和迁移政策仍悬而未决。
欧洲希望后量子迁移在2026年开始
欧盟委员会已经制定了覆盖公共机构和关键基础设施的过渡时间表。其后量子路线图呼吁所有欧盟成员国在2026年底前开始向后量子密码学迁移。高风险用例应不迟于2030年底完成过渡。
该路线图源于委员会在2024年发布的一项建议，以及2025年6月通过的一项协调实施计划。2026年9月2日的一份磋商更新称，受访者倾向于明确的截止日期、基于风险的优先级排序、混合密码学方法和密码敏捷性。
ESMA 5月的文件提出了另一个被称为“先收集，后解密”的担忧。攻击者可以在今天收集加密信息，并将其存储起来，直到未来的计算机有能力解密它。该监管机构表示，某些金融信息的长期有用寿命使迁移规划成为一项持续多年的安全任务。
对于区块链而言，迁移还涉及一个额外问题，因为现有资产和密钥可能需要在旧签名系统变得不安全之前转移。比特币的变更需要开发者、矿工、企业、钱包提供商和节点运营商达成共识，新的共识规则才能生效。
机构托管方已经开始做准备，而没有等待比特币选定最终的签名系统。在相关报道中，crypto.news 报道称，Coinbase 正在设计后量子比特币托管方案，能够支持多种潜在的签名方案。Coinbase 首席密码学家 Yehuda Lindell 表示，无论区块链最终采用哪种系统，该公司都希望其托管架构保持可用。
Ledger 首席技术官 Charles Guillemet 则另行主张，迁移可能需要数年时间，因为更换钱包、托管系统和现有持仓可能比选择一种后量子算法更难。crypto.news 报道称，比特币的量子迁移仍是一项钱包与协调挑战，而 BIP-360 和 BIP-361 仍处于草案阶段。
