“

为什么我们无法依赖早期预警系统来应对 ECDLP 被破解

”

“

原文：https://murmurationstwo.substack.com/p/if-the-quantum-canary-sings-its-too

作者：Nic Carter

译者：Kurt Pan

”

在量子计算与比特币风险的讨论语境中，人们常谈到三类「金丝雀」[^1]，希望借此获得有意义的提前预警：由越来越大的密钥构成的挑战阶梯、金丝雀资金，以及中本聪本人的币。但它们都带有同一个致命缺陷：当金丝雀被触发时，一切已经太迟了。比特币持有者必须基于今天可得的信息采取行动。

[^1] 我知道金丝雀实际上不是这样运作的。历史上煤矿里之所以放金丝雀，是因为它们对一氧化碳、硫化氢等一系列有毒气体远比人类敏感。这些气体出现时它们不会鸣唱，而是直接死掉。但用「金丝雀死了」当标题就没那么好听了。我宁愿它们鸣唱，而不是死去。

关于破解越来越大的密钥

人们很容易这样想：「那我们何不设立一个挑战阶梯，从 10 比特的 ECDLP 实例一路排到 256 比特，并约定当有人解出 比特时（ 是你的担忧阈值）就开始警觉。」这正是 Q-day Prize 背后的构想，而这个奖项令一些人相当不满。[^2] 我也见过其他一些出于善意的比特币支持者对这类奖项抱有期待。

• https://blog.projecteleven.com/posts/project-eleven-awards-1-btc-q-day-prize-for-largest-quantum-attack-on-elliptic-curve-cryptography-to-date

[^2] 事后看来，Q-day 奖并没有那么大帮助，但我认为那些指责非常愚蠢，而且大多出自对量子风险持否认态度的比特币支持者之口。我还没见过哪个批评者提出更好的金丝雀方案。

但遗憾的是，它们行不通，原因很简单：

低于 120 比特的量子结果永远会被「经典作弊」的指控所笼罩；而当量子计算机毫无争议地超越经典能力时，预警窗口已经太短。

用三段论的形式来表述：

1. 经典计算机今天能解出约 120 比特以内的 ECDLP [^3]
2. 低于经典阈值的量子结果几乎不提供信息信号，因为它们容易招致作弊指控
3. 117 比特与 256 比特之间的差距对经典计算机而言大到无法逾越，但对运行 Shor 算法的量子计算机而言相对平缓，因为其复杂度按多项式增长
4. 因此，当你看到一次毫无争议的量子破解时，距离 CRQC 可能只剩数月而非数年
5. 在比特币上部署后量子签名方案并迁移所有脆弱币所需的时间以年计
6. 因此，我们不能指望中等规模 ECDLP 实例的量子破解为我们提供足够的提前通知

[^3]: 取决于你怎么看，你可以合理地说 117 比特与 130 比特的 ECDLP 实例都已被破解。参见进一步的讨论。

让我快速为前三个前提辩护。

1. 经典计算机今天能解出约 120 比特的 ECDLP

经典计算机在求解 ECDLP 方面其实相当出色，截至 2016 年，一般性纪录停留在 117.35 比特。当然，从经典角度看没有什么可担心的，因为使用 Pollard rho 类攻击求解 secp256k1 的难度仍然要高出约 倍。

• https://eprint.iacr.org/2016/382

具体到 secp256k1 曲线，一个 130 比特的 ECDLP 密钥于 2024 年 9 月在 Bitcoin Puzzle 挑战中被破解。之所以能达到 130 比特而非其他场合 117 比特的最高水平，是因为 Bitcoin Puzzle 挑战的设计允许攻击者使用性能更强的 Pollard kangaroo算法，而 117 比特破解所用的是效率较低的 Pollard rho。（我知道这有点绕，但这两个结果衡量的是不同的东西，所需的工作量却相近。本文将引用更具一般性的 117 比特结果。）

• https://privatekeys.pw/puzzles/bitcoin-puzzle-tx?table=0&status=solved#p130

2. 低于经典阈值的量子结果几乎不提供信息信号，因为它们容易招致作弊指控

因此，低于 117 比特经典最高水平的量子破解，可以被「预置」（priming）的指控所削弱——即在电路构造中实质性地嵌入答案，等于把经典方法算出的答案喂给量子计算机，再假装那是量子手段取得的成果。

上周（译著：原文发表于2026年5月1日。） Q-day 奖的得主宣称破解了一个 15 比特的 ECDLP 实例，看起来正是这种情况。正如 Craig Gidney 所总结的：「你构造了一个正确的电路，得到了预期的结果，你开始庆祝……但你是出于错误的原因得到了正确的答案。」

• https://blog.projecteleven.com/posts/project-eleven-awards-1-btc-q-day-prize-for-largest-quantum-attack-on-elliptic-curve-cryptography-to-date
• https://algassert.com/post/2601

任何在大学上过知识论课的人都会认出，这类似于葛梯尔问题（Gettier problem）——你持有一个为真且有证据支持的信念，但你对如何获得这一知识的逻辑解释并不充分。[^4] 你是对的……不过是碰巧对的。

• https://iep.utm.edu/gettier/

[^4] 极其偶尔地，哲学与现实世界确实相关。

目前有一些旨在增加预置难度的技术提案，但没有一项得到广泛使用。只要我们仍处在经典可能性的阈值之下，所有量子结果在持怀疑态度的旁观者心中都将笼罩着疑云。因此这些挑战无法实现其宣称的目标——在技术社区中制造紧迫感。

3. 对运行 Shor 算法的量子计算机而言，117 比特与 256 比特之间的差距相对平缓，因为其复杂度按多项式增长

求解 ECDLP 的经典算法（如 Pollard rho）的复杂度按 增长，意味着每增加一个比特，难度大约翻倍。这就是为什么 117 比特与 256 比特之间的鸿沟在实践中不可能跨越。所以我们完全不担心对 secp256k1 的经典攻击，至少就已知技术而言如此。

在量子计算机上运行的 Shor 算法，其门操作数按 增长。用 Shor 从 117 比特走到 256 比特，只需要区区 10.5 倍的门操作。门操作数是运行时间的代理指标，因此你可以这样理解：从 117 比特到 256 比特的跨越在经典意义上不可想象，但对量子计算机而言，不过是把计算多跑 10 倍时间那么简单。逻辑量子比特的扩展规律更简单，大致是线性的。依据 Google 的 Babbush 等人（2026）论文，我们可以看到 117 比特与 256 比特之间的差别，只是 548 个逻辑量子比特（我的插值）对 1200 个逻辑量子比特的问题。

• https://quantumai.google/static/site-assets/downloads/cryptocurrency-whitepaper.pdf

你可以从下图获得直观感受：

【图表：资源估计，源自 Babbush 等人（2026）】

Google 的这篇论文对此说得相当明确。他们将量子计算的进展描述为非线性且基于阈值的，最先进处理器中的逻辑量子比特数并非衡量整体量子进展的良好指标。

关于量子金丝雀这一话题，他们写道：

“

相应地，其他渐进式的进展度量——例如文献 [90] 中提出的、由模数与群阶从 6 比特到 256 比特难度递增的 ECDLP 实例构成的挑战阶梯——同样无法充分衡量迈向 CRQC 的进展，也可能无法提供可靠的早期预警。事实上，如果某个领先的量子架构在造出能解（比如）32 比特 ECDLP 的设备之前，就已经遭遇并克服了其所有的规模化难题，那么从破解 32 比特 ECDLP 到破解 256 比特 ECDLP 之间可能所剩时间无几。此外，社区不应指望看到最先进的量子错误更正架构与量子算法被部署到密码分析问题上的公开演示。

”

换句话说，如果一台量子处理器能解出 120 比特的 ECDLP，那么能解出 256 比特的版本要么就是同一台机器，要么是它的下一代。你关于经典安全性的直觉在 Shor 算法面前完全失效：跨越那 136 比特的差距，不过是把逻辑量子比特数翻倍、把运行时间拉长 10 倍的事。一台能够克服错误更正与量子比特相干性难题、从而解出中等规模电路的量子计算机，距离能够清空一个比特币地址的机器已经不远。

如果你接受前三个前提，并承认比特币所需的升级时间以年计，这个论证便成立了。

• https://murmurationstwo.substack.com/p/bitcoin-developers-are-sleepwalking

关于量子金丝雀资金

量子准备文献中一个流行的想法，是设立赏金或激励，诱使潜在的量子攻击者自我暴露。这一想法的最新表述来自 BitMEX Research。他们提议创建一个私钥未知的有效地址，使其只能被拥有 CRQC 的实体恢复。事实上，比特币社区甚至可以把一次冻结脆弱币（如中本聪的 p2pk 币）的后量子软分叉，与该金丝雀地址的一次成功花费绑定起来。这就避免了不必要地废止脆弱币的问题。担心量子风险的比特币支持者可以向该地址捐款，抬高赏金。

• https://www.bitmex.com/blog/Avoiding-An-Unnecessary-Quantum-Freeze

问题当然在于，第一台 CRQC 拥有者的动机完全不可捉摸。我们根本不知道他们是利他的、商业导向的、隶属于民族国家的，还是别的什么。如果非要我猜，我预计那会是一家美国私营公司，或一家与中国政府有关联的公司，但即便如此，这也算不上什么安慰。我们没有理由相信，第一个拥有规模化量子计算机的实体会选择通过领取一笔（很可能不算大的）指定赏金来暴露自己。他们可能会去取中本聪的币，或者币安的冷钱包。他们也可能完全无视比特币。我们就是不知道。

如果非要我猜，我会想象第一个拥有量子计算机的实体会尽可能久地保守秘密，因为让你的地缘政治对手（你想监听的对象）对你解密其通信的能力一无所知，具有巨大的战略价值。

我不认为他们会为了领取一笔相对小的赏金而亮出底牌。

关于中本聪的币被移动

那中本聪的币呢？有一派观点认为，存放在传统 p2pk 输出中、约 170 万枚推定已被遗弃的 BTC 本身就是一只金丝雀。Hunter Beast 推广了这一想法，称之为「中本聪之盾」（Satoshi's shield）。按这一思路，中本聪（以及其他早期矿工）的币为我们争取了时间，因为量子攻击者大概率会把最初的算力投入到那约三万笔、每笔 50 BTC 的输出上，而不是盯着手里只有 0.2 BTC 的普通人。对量子计算机运行时间的估计表明，最初的攻击（尤其是在中性原子这类时钟较慢的硬件上）将耗时数周而非数分钟。这样一来，磨完所有脆弱的 p2pk 地址需要很长时间，其他所有人便得到了应有的通知与升级时间。如果你能接受这约 170 万枚以上推定被遗弃且量子脆弱的币最终落入量子攻击者手中，这倒可能是一个相对优雅的情形。

• https://x.com/cryptoquick/status/1866826898652991844

然而，事情也未必如此。

首先，如果我是一个动机不良的量子攻击者（想想朝鲜那个级别），我可能干脆去攻击最大的脆弱地址，并把它伪装成一次普通的经典黑客攻击。设想 CRQC 出现时，比特币尚未完成向后量子地址类型的迁移。在那种情况下，如果你是攻击者，想要最大化你的收获（以及把战利品变现的能力），你会想在利用一个大型脆弱地址的同时，努力让人们相信你并没有量子计算机。你会去攻击币安冷钱包或类似目标。请记住，从网络的视角看，量子计算机产生的签名与任何普通签名一模一样。因此，仅凭查看交易本身，根本无从判断它是不是量子攻击的产物。

现在再设想，当 CRQC 出现时，所有活跃地址确实都已迁移到后量子方案，剩下的只有那些因主人丢失密钥或已然放弃而未迁移的地址。即便如此，我们也未必能从 p2pk 地址那里得到任何有意义的预警。

不难设想这样一种局面：第一个造出 CRQC 的实体确实想通过中本聪的币变现，但同时也想尽可能久地保住自己的优势，于是他们恢复了旧 p2pk 密钥对应的约 3.5 万笔输出的全部私钥，却并不实际广播交易。一旦怀疑有人快要赶上来，他们可以突然广播所有花费交易，这大约会占用 6 个区块。我认为事情可能就以这种方式发生，而且是在美国政府的授意之下。

• https://murmurationstwo.substack.com/p/how-to-resolve-the-matter-of-the

当然，我们不知道事情会如何发展。也许在这一切发生之前，这些币就会被冻结。但我确实认为，「Q-day」有可能在任何可疑交易出现在链上之前数月乃至数年就已到来。

那么，什么证据才算数？

那么，如果量子金丝雀注定无用，我们又能凭借什么指标来判断何时该从「模糊的担忧」转向「迫在眉睫的威胁」？最简单的答案就是听取专家的提示，比如 Google Quantum AI 团队（「立即开始后量子迁移」），或 Coinbase 的量子顾问委员会（「现在就是开始准备的时候」）。问题当然在于，你总能找到一批持完全相反意见的、有头衔的专家。仍有少数严肃的物理学家或计算机科学家坚持宣称（无视不断累积的经验证据），规模化的、经过错误更正的量子计算在理论上不可能实现。于是怀疑论者永远可以说：「这位专家说量子计算是不可能的。」

• https://quantumai.google/static/site-assets/downloads/cryptocurrency-whitepaper.pdf
• https://www.coinbase.com/blog/coinbase-quantum-advisory-council-publishes-position-paper-on-quantum-computing-and-blockchain

那量子计算机早期的非密码学应用呢？遗憾的是，由于量子计算机的已知应用本就不多，而且能在量子计算机具备密码学相关性之前就显现出来的「微缩版」应用更少，我们可能根本没有一条从 10 个含噪量子比特到 1000 个错误更正量子比特之间清晰可辨的坡道。Craig Gidney 在其 Q-day 奖回顾中承认：「我想不出如何让公开基准测试成为现实。」

• https://algassert.com/post/2601

Scott Aaronson 最近在 Stacker News 的 AMA 中被问及量子计算机能否真正胜过经典对手的证据时，给出了一个发人深省的回答：

• https://stacker.news/items/1477467

“

可以说我们已经到了那一步，比如去年 Quantinuum 对 Fermi-Hubbard 模型的模拟，或 Google 对「OTOC」（乱序时间关联函数）的测量。

就算还没到，也马上就会到。所以我已经在展望下一个里程碑了：那就是当凝聚态物理学家、材料科学家等这些「本质上」根本不关心量子计算的人，也开始把它当作工具，用来回答他们真正关心、却无法用高性能经典计算解答的问题之时。再之后的下一个里程碑，则是具有商业意义的量子模拟。

”

我认为这是迄今最好的答案，尽管并不令人满足。怀疑论者永远会指责任何在量子实验室工作的人夸大自己的进展或能力。量子成功的真正标准，是量子计算机能否做到费曼最初为它们设想的事情——粒子模拟。

我查阅了文献，想弄清是否存在既有经济价值、又能在比破解 ECC 更小规模上实现的量子计算机商业应用。结论并不乐观：

【图表：量子计算机商业应用与 ECDLP 破解的规模对比】

就我所知，量子计算机已知的商业应用中，没有一项能充当 ECDLP 破解的有用金丝雀。那些成本低廉的演示，要么不具备经济意义，要么并未明确超越经典方法，要么不够清晰可辨、无法迫使各方形成共识。即便是图中的「小分子」数据点，目前也可以用经典方法处理，只有在更大规模上才具有量子相关性。就我所知，CRQC 是容错量子计算这棵树上最低垂的果实之一。

正如我在导言中所说，比特币（以及所有其他区块链）将不得不仅凭信念为其区块链加入后量子签名。如果你不想听我说，那就听听 Scott Aaronson 的：

• https://scottaaronson.blog/

“

所以，话就放在这里：如果几年之后量子计算机开始破解密码学，你可别跑到这个博客来说我没警告过你。这篇文章就是你的警告。请开始切换到抗量子加密，并敦促你的公司、组织、区块链或标准机构也这么做。

”