谷歌的进展让比特币暴露的密钥成为焦点_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

谷歌的进展让比特币暴露的密钥成为焦点

2026-10-17 14:16:22

谷歌量子进展引发比特币长期安全思考

这一结果进一步凸显了比特币面临的一个长期问题：如果此类硬件变得可行，哪些持仓将首先暴露？其所有者又将如何迁移？

在10月15日的公告中，Google Quantum AI 表示，其 Willow 处理器在制备专用量子态时，将错误率降低了约40倍。该实验涉及容错计算机的一个组成部分，而非攻击比特币签名所需的完整系统。

核心要点

Willow 的40倍提升仅适用于“魔法态”（magic-state）制备，并不直接等同于破解比特币密钥的成本降低。
该实验在保留约8%的尝试结果后，达到了报告的最高保真度。
早期的支付至公钥（pay-to-public-key）输出、重复使用的密钥以及 Taproot 输出面临不同的长期暴露风险。
比特币已有针对未来保护的草案提案，但尚未激活任何后量子迁移路线。

Willow 改进了容错计算所需的关键要素

题为《超导量子处理器上的魔法态培育》的研究探讨了如何为许多纠错架构基本支持范围之外的操作准备所需资源。这些资源被称为“魔法态”。它们在量子计算机运行特定操作时被消耗，这意味着长而复杂的计算需要持续供应可靠的态，以及执行计算的硬件。

培育过程始于一个不完美的态，并通过协调检查来保留更高质量的结果。研究人员报告的逻辑态保真度约为99.99%，其错误率比状态注入基线低约40倍。

这一结果伴随着重要的权衡：在选择过程之后，包括准备和测量期间执行的检查，大约只有8%的尝试得以保留。因此，报告的保真度描述的是被保留的状态，而非一台大型机器连续运行大规模计算的输出速率。

这就是为什么不应将该公告解读为攻击比特币所需资源减少了40倍。Willow 证明了这种制备方法在硬件上是可行的。然而，构建一台能够维持密码学密钥恢复所需质量、规模和吞吐量的容错计算机，仍是一项更为艰巨的任务。

首要风险：链上已可见的公钥

比特币使用数字签名来证明交易已获得授权。所有者使用私钥进行签名，而网络则根据相应的公钥验证签名。

理论上，一台具备足够能力的量子计算机运行 Shor 算法，可以从公钥推导出私钥，然后创建有效的签名。它无需窃取所有者的硬件钱包、入侵计算机或获取助记词。

公钥保持可见的时间是风险的核心所在。长期暴露攻击针对的是已经在区块链上可用的密钥，给未来的攻击者提供了尽可能多的时间来尝试密钥恢复。短期暴露攻击则在公钥出现在等待确认的交易后开始，留下的时间窗口要窄得多。

许多早期的挖矿奖励使用了支付至公钥的输出，这些输出在硬币未花费时就会揭示公钥。它们的暴露源于花费条件，而不仅仅是硬币的年龄。现代持仓也可能面临长期暴露，如果其密钥已在之前的交易中揭示，或者它们使用 Taproot 输出。

比特币输出与公钥暴露风险分析

比特币输出类型	公钥暴露情况	在量子场景下为何重要
早期支付至公钥	在硬币未花费期间，公钥保持可见。	未来的攻击者将有延长时间来针对该密钥。
新的公钥哈希输出	除非密钥在其他地方已被揭示，否则通常在花费前密钥是隐藏的。	暴露窗口较短，除非所有者重复使用已披露的密钥。
使用先前揭示密钥的输出	公钥已在此前的花费中出现过。	与该密钥关联的资金可能会长期暴露。
Taproot	输出在花费前包含一个公钥。	即使 Taproot 是一种较新的格式，它也造成了长期暴露的关注点。

Taproot 规范使用支持直接基于签名花费的输出公钥。这并不意味着 Taproot 今天不安全，但它意味着较新的地址格式并不会自动隐藏与未来量子密钥恢复攻击相关的公钥信息。

冷存储因保护私钥免受在线泄露而仍然有价值。但它无法移除已经在区块链上发布的公钥。未来的攻击仍然需要远超 Willow 能力的机器。

未来的攻击仍需远超 Willow 的硬件

另一项由 Google 主导的资源研究描述了在特定假设下，未来对比特币椭圆曲线签名攻击可能所需的内容。这并不是对 Willow 所展示能力的描述。

使用该研究对未来超导架构的假设——包括 $10^{-3}$ 的物理错误率、平面连通性和快速控制系统——估计相关电路可以在几分钟内运行，且物理量子比特数少于50万个。

对于一台“预热”的快速时钟机器，论文建模显示，在公钥可用后，平均密钥恢复时间约为九分钟。该时间取决于预先的计算以及当前硬件未在所需规模上展示的控制系统反应时间。

该模型还估计，九分钟的计算每秒需要约50万个足够可靠的 T-态。这是一个持续的生产需求，而不是机器中的量子比特数量。

其硬件估算已经包含了生产魔法态的高效方法。因此，将这个数字除以 Willow 的40倍错误减少量会重复计算进步：一种实验制备方法中较低的误差，并不等同于整个密码学攻击成本的成比例降低。

保护未来输出并不能自动解决遗留问题

比特币开发者正在考虑解决不同阶段量子暴露风险的提案。

BIP 360 提议采用 Pay-to-Merkle-Root (P2MR)，这是一种草案软叉输出类型，旨在消除 Taproot 中暴露的密钥路径花费。P2MR 旨在通过避免使 Taproot 输出在花费前易受攻击的密钥路径来减少长期暴露风险。一旦密钥在 mempool 中等待交易的交易中揭示，它并不能提供完全的保护。BIP 的作者表示，防御那些短期攻击可能需要后量子签名。

脱离比特币现有签名的迁移提案 增加了进一步的挑战。BIP 361 是一项草案信息性提案，依赖于另一个尚未指定的后量子签名提案。其建议的五年的过渡期仅在激活后才开始；这对比特币持有者来说并非活跃的截止日期。

休眠持仓提出了最难的迁移问题。失去私钥访问权限的所有者无法授权向更强保护的移动。但不活跃并不证明硬币被遗弃，这意味着限制未迁移持仓的任何规则也可能影响后来返回的合法所有者。

当务之急是准备，而非恐慌

Willow 实验中的任何东西都不意味着比特币持有者今天需要进行紧急转账。相关的问题是某个输出是否已经暴露了公钥，而不是其所有者是否将私钥保存在硬件钱包中，或者该地址看起来是否陈旧。

比特币面临的更难任务是在具有密码学相关性的量子硬件存在之前，创建并采用迁移路径：必须就新输出类型达成共识，钱包和托管软件必须支持它们，并且所有者需要一种实际的方法来转移现有资金。这个过程可能比创建新地址格式需要更长的时间，尤其是对于老旧或无法访问的硬币而言。

本文仅提供信息目的，不构成财务或投资建议。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文