撰文: Clow
一个零知识证明工具,243 毫秒就能帮你的比特币逃过量子攻击。但中本聪的 110 万枚?没救。
不是量子计算机不够强,是它还没来,比特币社区就先打起来了。
Project Eleven 刚发布了一个零知识证明恢复工具,能让现代钱包持有者在量子攻击到来前安全迁移资产。在 M5 芯片的 MacBook Air 上跑了个基准测试,生成证明 243 毫秒,验证 40 毫秒,峰值内存 2.1 GB。很快,很轻,很优雅。
但这套方案有一个硬伤:它只对 2012 年之后创建的 HD 钱包有效。
2012 年之前的旧币,包括中本聪挖出的约 110 万枚比特币,分散在大约 2.2 万个 P2PK 地址里,每个地址约 50 BTC。这些地址没有父级密钥,没有助记词,没有任何可以构建零知识证明的派生路径。密码学上,它们是死胡同。
所以真正的问题从来不是「量子计算机什么时候来」,而是「这 110 万枚旧币怎么办」。
这个问题的答案,不在密码学里,在政治里。
01 谁能自救,谁被判了死刑
理解这场危机,先要搞清楚一件事:不是所有比特币都一样脆弱。
链上资产按公钥暴露程度大致分三档。
最安全的是哈希保护的未用地址,公钥藏在哈希后面,量子计算机拿它没办法,占流通总量 65% 以上。
中间档是暴露了公钥的现代地址,因为地址复用或 Taproot 设计,公钥被永久记录在链上,大约 450 万到 520 万枚 BTC。
最危险的是早期 P2PK 地址,公钥直接写在交易脚本里,约 170 万到 190 万枚。
中间那一档有救。Project Eleven 的工具正是为它们设计的。
原理叫「签名提升」,由研究人员 Or Sattath 和 Shai Wyborski 在 2023 年提出 Shor 算法破解椭圆曲线签名,但对哈希函数无能为力。
现代 HD 钱包的子地址私钥,都是通过主密钥经 HMAC-SHA512 哈希派生出来的。量子计算机就算推出了某个子地址的私钥,也没法越过哈希壁垒向上逆推。
钱包持有者只需要证明自己掌握派生路径上游的父级密钥,生成一个零知识证明,绑定到抗量子地址,完成迁移。不暴露主私钥,不暴露助记词,链上可验证。
但 2012 年之前的旧币没有这棵「密钥树」。中本聪活跃的 2009 到 2010 年,比特币钱包每次生成地址都是完全随机的,彼此独立。
没有父子层级,没有主密钥,没有 BIP-39 助记词。密码学逻辑上,Project Eleven 的方案对它们完全失效。
170 万枚比特币,被一条 2012 年画下的技术分界线挡在了自救路径之外。
02 四个方案,四种死法
技术救不了的问题,只能交给政治。社区面前摆着四条路,每一条都通向某种形式的灾难。
第一条:不作为,放任清算。严守「私钥即正义」,谁先有量子计算机谁拿走。听起来最纯粹,代价也最大。
170 万枚被市场当作「永久丢失」的比特币突然涌入二级市场,相当于凭空多出 8% 到 9% 的流通供给。「数字黄金」的叙事,会因为底层产权的实际易主而动摇。
第二条:强制冻结。BIP-361 提案计划在启动后第三年禁止向脆弱地址存入新资金,第五年彻底废除传统签名的支出效力。未迁移的币永久锁定。
经济上等于主动销毁 170 万枚比特币,制造一次永久性通缩。但社区的反应很直接:为了防止资产被偷,你们决定先帮用户把钱没收?
协议开发者 Mark Erhardt 在社交媒体分享这个提案时,评论区被骂翻了。
第三条:「沙漏」限流。开发者 Hunter Beast 提出折中方案,承认旧币可能被盗的事实,但对 P2PK 地址的支出设极低门槛。
每个区块最多确认一笔 P2PK 支出,单笔限额 1 BTC。就算中本聪的 110 万枚全部被量子黑客控制,抛售也得拉长到上百年。
想要套现的攻击者必须在手续费市场激烈竞价,这些钱最终会流向矿工,变成网络安全的长期补贴。
第四条:强制重分配。最激进的选项。通过硬分叉把无主旧币「国库化」,等比例分发给迁移到抗量子地址的活跃持币者。
总供给还是 2100 万枚,但账本承诺被直接推翻。结果几乎可以预见:社区分裂,多条「正统链」并行,估值灾难性分化。
Cardano 创始人 Charles Hoskinson 对 BIP-361 的批评一针见血:这不是软分叉,这是硬分叉。
任何试图通过设定截止日期强制冻结早期资产的方案,都是对比特币产权原则的践踏。BIP-361 共同作者 Jameson Lopp 也承认,这个提案更像是一份「紧急备用方案草图」,不是最终答案。
讽刺的是,四个方案的目标都是保护比特币的价值,但每一个都在破坏它试图保护的东西。放任盗取破坏价值存储,强制冻结破坏产权承诺,限流承认盗取合法性,重分配破坏账本不可篡改性。
这不是一道技术题,是一道没有正确答案的政治题。
03 市场已经开始投票了
多数投资者还在把量子威胁当作一个「硬件何时达标」的远期问题。
但市场已经在定价了。
2026 年 1 月,Jefferies 宣布清空其养老金模型组合中 10% 的比特币持仓。
策略师说得很明白:清空理由不是量子计算机已经问世,而是比特币社区在「如何处置早期脆弱硬币」上表现出的治理不确定性。
这才是真正的预期差。物理学家还在实验室里跟纠错逻辑比特较劲,华尔街已经在给治理风险打折扣了。
对于寻求法律确定性的机构资本来说,逻辑很简单:如果中本聪的币可以被代码强制冻结,那未来任何币都可以被共识剥夺。
不容忽视的还有「现时收割、日后解密」的隐性风险。区块链账本是公开的,攻击者现在就在下载和存储整个比特币账本。
一旦实用的量子计算机问世,他们不需要接入网络,离线就能破解那些暴露了公钥的旧钱包。这种延时攻击让治理博弈更加紧迫。
各家机构对脆弱比特币的统计口径差异也值得注意。BIP-361 提案称超过 34% 的供应暴露了公钥,花旗银行的数字是 25% 到 37%,Glassnode 统计约 30%,Talos 的全账本扫描给出 34.5%。不管取哪个数字,都意味着至少四分之一的比特币处于长期量子威胁之下。
而且 Project Eleven 的工具目前只是一个未经安全审计的早期原型,仅支持三类钱包,上主网前还需要高争议性的共识规则修改。把它当成随时可用的应急通道,为时过早。
回到那个根本问题:比特币怎样在不破坏自身产权原则的前提下,完成一场历史技术断代的清算?
没有人有答案。量子计算机还没来,信仰危机已经先到了。
