圍繞量子計算即將對密碼學乃至區塊鏈構成威脅的敘事，常伴隨著炒作與誤解。
儘管風險是真實存在的，但具備能破解當今公開密鑰密碼系統的密碼學相關量子電腦(CRQC)的時間表，經常被誇大，導致過早且可能代價高昂的轉型。本文在a16z Crypto專家觀點的基礎上，剖析加密與數位簽章的不同風險特徵，澄清為何「即採即解」(HNDL)攻擊對某些系統構成迫切威脅，而區塊鏈簽章遷移則需長期、審慎規劃。我們探討量子硬體的真實現狀，揭穿常見誤解，並提出一個風險平衡的策略路線圖，協助加密生態系統在後量子時代中前行，避免陷入漏洞與實作缺陷的更直接威脅。
關於量子計算與密碼學的討論，充斥著緊迫感。標題經常警告即將來臨的「密碼崩潰」，呼籲全面轉向後量子密碼(PQC)。然而，這種過度反應多源於對量子計算現有能力與密碼威脅本質的誤解。事實遠比表面複雜。一刀切的恐慌反應不僅不必要，甚至可能有害，因為它可能使團隊忽略更迫切的安全漏洞，急於應對一個遙遠但嚴重的未來風險。
成功遷移的核心原則是將緊迫感與實際威脅相匹配。這需要區分不同的密碼原語。對於長期秘密保護的加密，威脅明顯且迫在眉睫，源自「即採即解」(HNDL)攻擊。而支撐區塊鏈交易授權的數位簽章，威脅情況則完全不同，允許更審慎的過渡。將用於加密的緊迫感誤用於簽章，會扭曲成本效益分析，並可能轉移資源，忽略我們今天面臨的最重要安全風險：實作漏洞與側信道攻擊。本文旨在剖析區塊鏈協議及其社群的量子風險，剔除雜音，提供清晰的評估。
在規劃遷移路徑前，我們必須建立對敵手到來時間的現實認識。根據所有公開科學資料，聲稱在本十年內出現具密碼學相關能力的量子電腦(CRQC)的說法，極不可能。一台CRQC不僅是量子電腦，更是具容錯、錯誤更正能力，能運行Shor演算法，足以在實用時間內破解廣泛使用的密碼方案，如橢圓曲線密碼(secp256k1)或RSA-2048，例如一個月內。
目前硬體與CRQC之間的差距仍然巨大。無論是用捕獲離子、超導量子比特，或中性原子平台，距離所需規格仍有數量級的差距。挑戰不僅在於物理量子比特數——我們需要數十萬到數百萬個——還在於實現必要的閘門保真度、量子比特連通性與持續的錯誤更正電路深度。雖然擁有超過1000個物理量子比特的系統常成為新聞焦點，但這些系統缺乏用於密碼破解的保真度與連通性。展示少量邏輯量子比特，遠遠不及用來破解實際密鑰所需的數千個高保真邏輯量子比特。
常見的公眾混淆來源：
即使是像Scott Aaronson這樣的專家也常被誤解。他預測在下一次美國大選前能運行Shor演算法，指的是用容錯方式分解像15這樣的小數，這是科學上的里程碑，但並非對任何實際系統的威脅。受過良好資訊的觀察者普遍認為，能威脅RSA-2048或secp256k1的CRQC，在未來十年內不太可能出現，因此美國政府2035年遷移到PQ的目標，是一個謹慎的規劃期限，而非恐慌的截止日期。
「即採即解」(HNDL)攻擊，是推動PQ討論的主要動因。在此情境下，像國家級的敵手會攔截並存儲今日的加密資料，待未來CRQC出現時再解密。對於長期保密需求的資料——國家機密、醫療記錄、某些金融資料——這是明顯且迫在眉睫的威脅。這些資料是靜態資產，何時解密都仍具價值。因此，將加密與密鑰交換機制遷移到PQC標準，成為處理此類資料系統的當務之急。
這也是為何主要科技平台已經行動起來。Chrome、Cloudflare、Apple的iMessage(透過PQ3)、Signal(透過PQXDH)，都已部署混合加密方案。這些方案結合了新一代後量子算法(如ML-KEM（基於格子）)，與經過驗證的經典算法(如X25519)。混合方案提供雙重保障：一方面抵禦未來HNDL攻擊，另一方面維持經典電腦的安全，對新PQC方案可能存在的未知弱點進行對沖。
關鍵是，這套邏輯不適用於數位簽章。 簽章提供身份驗證與完整性，非保密性。沒有秘密可供「即採」以後解密。今日產生的簽章，要嘛有效授權交易，要嘛無效。未來CRQC出現，可能偽造新簽章，但無法追溯性地使過去合法簽章失效。只要網路能驗證簽章是在**CRQC出現之前的時間點產生，簽章的有效性就成立。這個根本差異，將簽章的緊迫感與加密的緊迫感區隔開來。同樣，zkSNARKs的零知識屬性——即使建立在經典橢圓曲線上——也是後量子安全的，因為不會洩露秘密證人資料。
對區塊鏈生態來說，這個區分具有深遠意義。大多數公開、非隱私鏈如比特幣與以太坊，並未受到HNDL攻擊的威脅。它們主要用於數位簽章，來驗證交易。因此，「即採即解」的威脅不適用於其帳本資料。它們面臨的量子風險是前瞻性的：未來可能的簽章偽造，用以竊取資金。這將把時間壓力從量子電腦的到來，轉移到這些去中心化網路內在的協調挑戰。
比特幣的情況最為複雜，並非因為量子接近，而是因為其獨特的社會與技術限制。兩個非量子因素推動其緊迫性：
量子攻擊比特幣，不會是突然的全網關閉，而是針對高價值錢包的逐步、選擇性攻擊。這個現實提供了規劃的窗口，也凸顯了高風險。比特幣的時間壓力來自於其自身需要協調一個持續數年、價值數十億美元的遷移，而非CRQC明年出現。
後量子密碼學並非單一體系，而是由多個不同數學族群組成，各自有不同的安全假設與性能取捨。理解這個格局，有助於做出明智的區塊鏈遷移決策。
基於雜湊的密碼學提供最保守的安全性，依賴於雜湊函數的碰撞抗性。其最大優點是對量子抗性有高度信心，但代價是簽章尺寸巨大，約7-8KB，約為標準ECDSA簽章的100倍。適合低頻率、對大小不敏感的應用，如軟體或韌體更新。
格子基密碼學是目前實務部署的主要焦點，已成為NIST選定的ML-KEM(加密)與ML-DSA(簽章)標準的基礎。它在安全性與性能之間取得平衡。ML-DSA的簽章大小約2.4KB到4.6KB，仍較ECDSA大40-70倍，但較雜湊簽章更易管理。主要缺點是實作複雜，涉及繁瑣數學，對安全、抗側信道的程式設計提出挑戰。
碼基密碼學長期研究，依賴解碼隨機線性碼的困難性。雖被認為堅固，但最大限制是公鑰尺寸過大，應用上較不便。仍是加密的可行候選。
多變數二次方程(MQ)密碼學，基於解決有限域上多變數二次方程系統的困難。一些方案驗證速度快，但歷史上已有Rainbow等著名方案在標準化過程中被用經典電腦破解的案例，凸顯新數學構想的風險。
同源性密碼學，利用橢圓曲線同源的數學，曾被認為能產生極緻密的密鑰與簽章。不幸的是，領先的同源性加密候選SIKE(SIDH)在2022年被經典攻破，提醒我們：優雅的數學不一定安全，過早標準化可能危險。
由於簽章的量子威脅尚遠，採取審慎的遷移策略是明智的。匆忙行動，可能付出巨大代價，甚至得不償失。PQ簽章的性能負擔很重，格子簽章比ECDSA大40-70倍，直接影響區塊鏈的吞吐與存儲，對擴展性構成挑戰。
更重要的是，實作安全才是當前最迫切的威脅。後量子算法，尤其是格子類，天生較複雜，涉及敏感中間值與繁瑣抽樣，容易受到側信道與故障注入攻擊。早期Falcon實作已示範多次此類攻擊。大規模部署這些複雜算法，若未經充分測試，反而可能引發*****經典*攻擊，甚至比未來量子威脅更具破壞性。
此外，區塊鏈系統有獨特需求，現有PQ標準尚未完全滿足。例如，簽章聚合（如以太坊的擴展方案）目前由BLS簽章優雅解決，但BLS不抗量子。研究中利用SNARKs進行PQ簽章聚合，尚在萌芽階段。類似地，後量子zkSNARKs也是活躍研究領域，雜湊基方案較保守但笨重，格子方案則在路上。若今日遷移一個主要區塊鏈，可能會鎖定在次優方案，未來當更安全、更高效的方案成熟時，又得付出高昂的遷移成本。
後量子轉型需保持冷靜、策略性，優先應對當前真實威脅，同時積極準備未來。以下是對開發者、研究者與社群的具體建議。
1. 採用混合加密，保障隱私鏈與服務。 任何加密用戶資料的區塊鏈或服務（如Monero、Zcash、錢包通訊層）都應優先整合混合PQC方案，直接降低HNDL威脅。效法Cloudflare與Apple的做法，提供成熟範例。
2. 規劃，勿恐慌，推動簽章標準化。 區塊鏈核心開發者應積極參與並監控PQ標準化（如NIST、IETF），避免急於主網部署。重點在於研究、測試網實作與架構規劃。比特幣社群則應立即展開非技術層面的遷移路徑與遺棄資金的政策討論。
3. 以實作安全為首要。 未來5-10年，區塊鏈面臨的最大密碼學威脅是實作漏洞，而非量子電腦。應大量投入於高階審計、形式驗證、模糊測試與側信道防禦，涵蓋傳統與新型PQ密碼庫。單一關鍵漏洞，可能比CRQC更具破壞性。
4. 設計密碼學彈性架構。 下一代區塊鏈設計的教訓是：避免將單一簽章方案硬編入帳戶身份。以太坊向智能合約錢包與帳戶抽象的轉型，正是密碼學彈性原則的體現，允許升級驗證邏輯而不改變核心帳戶地址。此設計將使未來的PQC遷移更為順暢。
5. 保持批判性視角。 量子計算領域將持續產出令人印象深刻甚至誇大的里程碑。每次公告都應視為評估長期進展的數據點，而非緊急調整協議的觸發點。這些頻繁的公告本身，就是許多技術障礙尚未突破的證明。
遵循此平衡路線圖，區塊鏈產業能在面對量子未來時，避免陷入匆忙部署與不安全實作的陷阱。風暴正在醞釀，但尚遠；我們仍有時間建造堅固的方舟，只要不恐慌，不拆解已在航行的船。
1. 量子電腦何時能破解比特幣？
根據目前公開的量子硬體進展，具密碼學能力的量子電腦(CRQC)在2035年前極不可能出現。比特幣的緊迫性來自其緩慢的治理與數十億美元資金的協調遷移，而非即將到來的量子突破。
2. 我的比特幣目前受到量子攻擊的威脅嗎？
大多數用戶是安全的。若你使用現代錢包，且每次交易都產生新地址(避免地址重用)，且未用Taproot存錢，你的公開金鑰在未花費前未曝光於區塊鏈。風險集中在早期的「付錢給公開金鑰」(P2PK)輸出、重複地址與未花費的Taproot輸出，這些已公開金鑰。
3. 什麼是「即採即解」(HNDL)攻擊？
敵手會記錄當前的加密網路流量，待未來量子電腦出現時再解密。這對長期秘密（如國家機密、醫療記錄、某些金融資料）是重大威脅。對於用於簽章授權的數位簽章，則不適用，因為簽章不含秘密資料。
4. 為何區塊鏈不立即轉向後量子簽章？
現有的後量子簽章方案存在重大缺點：簽章尺寸過大（40-70倍ECDSA）、實作尚不成熟、易出現傳統漏洞與側信道攻擊，且缺乏高效的聚合方法。匆忙部署，反而可能引入更大安全風險。採用標準化、漸進式的策略，讓技術成熟，才是正道。
5. 作為加密用戶，我今天應該做些什麼來應對量子風險？
目前，應遵循一般最佳實踐：使用非托管錢包、不重複地址、妥善保管助記詞，並持續關注相關資訊。不要將資金轉移到尚未經安全社群充分驗證的「量子安全」區塊鏈或錢包。最重要的是，開發者與社群應規劃未來，而非用戶恐慌。
