量子计算机“Q-Day”将至？两位专家警告：比特币可能归零

没有人能准确说出量子计算机何时会攻破比特币，但两位专家警告，行业正以过于随意的态度对待一个万亿美元级别的风险。正确的问题不是具体日期，而是概率和损失。

在BeInCrypto专家委员会最新一期讨论中，Stefano Gogioso和Daniela Herrmann阐述了这一观点。两人都自称乐观主义者，但都认为准备工作不能等到证据出现。

读者经常询问“Q-Day”何时到来——即量子计算机能够攻破比特币密码学的那一天。Gogioso在讨论中表示，纠结于具体日期毫无意义。“问题不是‘2030年会不会到来？’而是，到2030年发生尾事件（tail event）的概率是多少，我们会损失多少？即使是2%，如果没有准备，对比特币和加密货币的影响基本上是大部分资产归零。那是数万亿美元。即使只是1%的损失，也足以支付全世界所有密码学家半年的薪酬。”Gogioso是牛津大学量子计算讲师、Spooqy联合创始人。

这种逻辑类似于保险，而非预测。你为房子买保险，不是因为你预期会着火，而是因为损失将是毁灭性的，而保费很低。同样的数学将遥远的科学故事转变为今天的决策。

实用量子计算的预估时间不断缩短。Herrmann亲眼见证了这种变化。“2024年我在台上说量子计算将在30年内实现。到2025年，降到了15到20年。2026年，又变成三到五到十年。突然在10月，我们听到两年、一年。市场发展速度、创新速度都超过了当初的沟通。”Dynex公司CEO兼联合创始人Herrmann说道。

她的建议直言不讳：停止提及具体年份，改为为意外做好准备。Gogioso解释了为何进展会加速：最难的一步是第一步，而不是最后一步。“从零个逻辑量子比特到一个逻辑量子比特之间存在巨大鸿沟。从一个到一百万个之间的差距反而更小。一旦你让它工作起来，扩展其实相当容易。”研究也支持这一观点。2025年5月，谷歌研究员Craig Gidney表示，攻破RSA-2048可能只需要不到100万个量子比特，这比他2019年约2000万的估计大幅下降。

下一个结果直接瞄准了加密货币。2026年3月，谷歌量子AI与以太坊基金会和斯坦福大学合作。团队估计，攻破比特币椭圆曲线密码学可能只需要不到50万个物理量子比特。研究针对secp256k1——比特币和以太坊签名背后的曲线。这个数字大约是之前最佳估计的1/20。两个目标的降幅都很显著。不过有一个前提：Gidney表示，在没有新假设的情况下，他不期望再出现十倍的下降。每次缩减也将负担转移到更难的、尚未解决的工程问题上。

无论量子计算机是在2030年还是2035年出现，都不如不对称性重要。小概率的完全损失仍然构成行动的理由。准备的代价与犯错相比微不足道。迁移也很缓慢：将金融系统转换到新密码学需要数年时间。因此，工作必须在任何量子计算机存在之前就开始。最清晰的信号来自建设者。谷歌设定了内部2029年目标，将其自有产品迁移到抗量子加密。当领先的量子实验室将这视为十年内的问题时，任何拖延都显得鲁莽。

关于Q-Day的流行想象是一个戏剧性的早晨。但讨论中描述的现实更为安静且危险：损害在于信念，而非代码。机制现已清晰：当你花费比特币时，你的公钥会短暂暴露。一台强大的量子计算机可以据此推导出你的私钥。谷歌的数据表明，核心计算大约可在9分钟内完成。比特币的平均出块时间约为10分钟。这个狭窄的时间窗口就是整个攻击面。Gogioso强调，真正的弱点是心理上的。“这不是技术问题，而是公关问题。一旦有一个创世时期的币带着‘你被量子搞了’的信息从钱包中转移，那就完了。即使75%的币是受保护的，它们也会一文不值。所有人都会恐慌并抛售。”Herrmann用历史类比——郁金香狂热——信念可以近乎普遍，直到崩塌的那一刻。“一旦有一个币被转移，故事就结束了。想象一下你是一个机构资产管理者。你醒来发现你的投资组合不再安全。你有义务尽快抛售——如果你还能的话。如果你不能，你就完了。”2026年3月的结果被谨慎地披露：谷歌公布了资源估算，但通过零知识证明隐藏了电路设计。这个选择表明一个真实的风险，而非思想实验。

如果威胁真实存在，修复又便宜，为什么比特币没有行动？Gogioso指出了治理问题——或者说缺乏治理。“比特币的治理结构完全不同——它没有治理。一些独立的声音陷入了量子否定论（quantum denialism）。他们不相信这是威胁。有一种保守倾向：他们不想做不必要的改变。但这是你必须做的改变。”以太坊形成了对比。Vitalik Buterin已敦促在约四年内迁移到抗量子密码学，并警告椭圆曲线密码学可能在2028年左右面临风险。他的团队在2026年初发布了一份正式路线图，此前以太坊基金会成立了专门的后量子研究小组。更大的时钟也在滴答作响：美国标准机构NIST计划在2030年淘汰当前的椭圆曲线签名标准，并在2035年禁止使用。比特币没有相应的机构来协调这样的变化。Gogioso关于否认的警告很尖锐：“它可能就在明天。就你所知，它已经发生了。”

这一切并不意味着比特币注定失败。两位嘉宾都是该技术的坚定乐观者。Herrmann表示，解决方案已经存在雏形。“从比特币过渡到量子安全比特币已经有了具体想法。新旧币之间的迁移方法，以及它们之间的偏移。这从来不是一个线性的后果。”迁移的工具已经就绪。缺少的是开始行动的意愿。Herrmann指出，对大多数大型组织来说，威胁尚未纳入战略规划。一个大机构无法在危险出现的那一天改变方向。讨论并不呼吁恐慌。它呼吁认真对待一个低概率、高影响的事件，而代价低廉、时间仍然充裕。唯一不能保证的是时间线会保持不变。