Kwant 一比特幣：為什麼 Saylora 的樂觀情緒可能為時過早

邁克爾·塞勒（Michael Saylor），MicroStrategy的負責人，在2024年近幾個月中提出了在量子電腦時代比特幣未來的願景，聽起來充滿希望：網絡將不是被破解，而是被強化。這一前景在部分加密貨幣社群中引發了熱情。然而，當我們審視實際的技術和經濟環境時，畫面變得更加複雜。比特幣將面臨的真正威脅到底是什麼？而向後量子安全的轉型是否真的會像樂觀的敘事所暗示的那樣順利？技術分析揭示了這一場景中的漏洞，尤其是已經暴露的170萬比特幣。

什麼是比特幣的量子威脅？它們如何逐步逼近？

在加密貨幣安全的背景下，量子——指的是潛在的量子電腦——利用量子力學的特性進行計算，能完成傳統電腦無法完成的運算。對比特幣來說，主要的威脅不是對工作量證明機制的攻擊，而是對保護私鑰的數字簽名的攻擊。

比特幣網絡依賴於ECDSA和secp256k1標準的Schnorr簽名算法。根據量子計算理論，Shor算法有可能在量子電腦達到一定規模時，從公開金鑰中逆推出私鑰。現有估計指出，約需要2000到4000個邏輯量子比特的量子電腦才會構成實質威脅。目前的量子設備遠未達到這一水平，意味著具有實質威脅的量子電腦仍需10到15年以上才能實現。

值得注意的是，美國國家標準與技術研究院（NIST）已經制定並批准了抗量子攻擊的數字簽名標準：ML-DSA（Dilithium）和SLH-DSA（SPHINCS+），作為FIPS 204和205標準，而FN-DSA（Falcon）則等待FIPS 206的批准。理論上，這些系統可以通過新型輸出或混合簽名方式整合到比特幣中。Bitcoin Optech已經在追蹤這些提案。

已有170萬BTC面臨量子攻擊的風險

但這裡出現了一個關鍵問題，塞勒沒有充分考慮。量子攻擊的脆弱性完全取決於比特幣地址的類型，以及公開金鑰是否已在區塊鏈上曝光。

早期的pay-to-public-key（P2PK）地址來自Satoshi早期時代，直接在鏈上存放未經哈希的公開金鑰。這些地址一旦出現，便不可逆轉地暴露出私鑰，存在永久性風險。標準的P2PKH地址和現代的SegWit P2WPKH地址則將公開金鑰隱藏在哈希值之後，但僅在幣未花費前如此——一旦幣被花出，金鑰就會顯露。隨著Taproot的普及，出現了一個新的風險類別：P2TR地址在一開始就存放公開金鑰，這使得UTXO在未花費前就已暴露。

最新分析（包括德勤的研究）顯示，約25%的比特幣供應已經處於公開金鑰暴露的地址中。具體來說，約有170萬BTC來自早期時代，還有數十萬在Taproot地址中。這些幣中，有些長期未動，持有者可能已經去世、失聯或忘記了存取方式。這些“丟失”的幣不會永遠被鎖死，但可能成為第一個擁有足夠先進量子電腦的攻擊者的獵物。

那些從未暴露過公開金鑰（如純粹的P2PKH或P2WPKH地址）的幣，則受到哈希地址的保護。對它們，Grover算法只能提供平方級的加速，理論上可以通過調整安全參數來抵消，但這部分供應量較少。

技術轉型不僅僅是加密問題

塞勒聲稱“安全性會提升，供應量會下降”。這一說法過於簡化了實際情況的複雜性。轉向後量子簽名方案並非純粹的勝利——它伴隨著實際成本。

經過同行評審的研究表明，現實中的轉型將涉及重大折衷。後量子簽名比當前的ECDSA簽名大得多，可能導致區塊容量縮減約50%。節點的運行成本也會增加，因為驗證這些簽名需要更多計算能力。交易手續費可能上升，因為每筆交易的簽名佔用更多空間。

更難的是管理問題。比特幣沒有中央權威來強制推行變更。任何後量子軟分叉都需要開發者、礦工、交易所和大戶之間的壓倒性共識。所有人都必須協調行動，並且要在真正的量子電腦出現之前就做好準備。最新的A16z分析強調，協調和時間比加密技術本身更具風險。

三種可能：縮減、盜竊或恐慌？

在後量子情境下，供應量的變化並非自動進行。有三種競爭性可能，各自對市場產生不同影響。

第一種——“因放棄而縮減”：那些脆弱地址中的幣，持有者從未更新錢包（可能已去世、無法操作或忘記存取），被視為永久丟失。供應量實際上會縮減，但不是通過安全遷移，而是由於無作為。

第二種——“被盜而扭曲”：擁有先進量子電腦的攻擊者開始清空暴露公開金鑰的老錢包。這些幣不會從流通中消失，而是落入盜賊手中。所謂的“簽名即盜竊”攻擊，攻擊者觀察內存池，迅速找回私鑰，並用更高手續費的交易搶先轉移。

第三種——“恐慌與分裂”：僅僅是量子電腦的前景就可能引發拋售，甚至在真正的量子電腦出現之前就導致區塊鏈分裂成競爭的分支。歷史證明，市場恐慌的危險與技術威脅同樣巨大。

這些情景都不一定會導致系統性供應下降，反而可能引發價格的混亂波動和社群內部的衝突。

比特幣真的會變得更強嗎？

塞勒在一個關鍵點上是對的：比特幣在技術上可以變得更強。網絡有足夠的時間來部署後量子簽名標準，這些標準已經在NIST的批准標準中。它可以更新暴露的輸出，並將安全性提升到量子電腦幾乎無法威脅的水平。

但這一樂觀願景建立在一系列假設之上，並非保證。假設包括：

• 比特幣開發者和持幣者能協調一致、提前行動
• 遷移過程不會引發市場恐慌或社群分裂
• 攻擊者不會利用從發現到實施的時間窗口
• 社群願意接受更高的手續費和較小的容量，以換取安全

邁克爾·塞勒的信心在很大程度上是對網絡協調能力的押注，而非純粹的加密技術本身。比特幣確實可能在量子時代變得更強——擁有更好的簽名方案，也許還有部分被燒毀的幣。但前提是它能在成本高昂、政治艱難且技術複雜的升級完成之前，成功趕上量子威脅。在即使軟分叉也引發社群爭議的時代，這一願景更像是對管理去中心化網絡藝術的信仰，而非單純的物理可能性。