自比特币诞生以来，各种新的恐慌、疑虑和不确定性一直被用来预测它的终结。尽管如此，比特币已经成长为一个数万亿美元的资产，并开始在全球货币秩序中占据一席之地。近几个月来，所谓“密码学相关量子计算机”（CRQC）可能让攻击者从公钥重建私钥，并签署比特币交易、转走他人币的阴影，又以一种升级版的恐慌形式回来了。这个威胁对比特币持续增长来说现实吗？一句话，不现实。没有证据表明一台 CRQC 会在十年内建成，而且这种机器是否会被建成也仍然未知。量子威胁仍然属于恐慌性说法。

现状

截至目前，没有任何量子计算机算出过超出一个早熟 6 岁儿童能力范围的结果（经实证确认）。量子计算机是一项令人惊叹的技术，展示了现代世界真正具有科幻色彩的能力。这些设备利用了光镊、激光冷却、超导磁通量子比特、电磁阱、稀释制冷机等基础技术。在这些设备中，单个量子比特会被迫进入特定的亚原子状态（不同技术路线各不相同），被纠缠进叠加态，经过操控以表示计算，然后再读取并解释其亚原子属性。令人惊叹的事实是，这些设备确实存在，并且能够在少量输入上产生有意义的计算结果。冷冰冰的现实是，以某种候选技术为例，要完成一个小孩子也能做的计算，需要足以给得克萨斯州一所高中空调供电的能量、数小时的准备时间，以及之后更多小时的后处理。

读未来

我知道你在想什么：“可是有那么多钱流入量子计算领域。” 资金流入某个领域，是否就意味着该领域现实技术进步的速度会更快？其实并不一定。事实上，可以说在底层正确技术尚未成熟、产品与市场匹配尚未确认之前，资金流入某个方向与可应用技术被开发出来的可能性，甚至可能呈负相关。NASA 的航天飞机计划与 SpaceX 的猎鹰 9 号可以清楚说明这一点。SpaceX 采用了（大体上）已知的科学，并将其付诸实践，以满足对可靠、低成本太空进入能力的明确市场需求；其项目成本不到 50 亿美元就实现了首次载人任务。航天飞机达到首次载人任务的成本大约为 500 亿美元。猎鹰 9 号不仅开发成本低了一个数量级，而且迄今为止保持着完美的载人安全记录。造成这些差异的原因有很多，但这说明，任何资金都无法让一项尚未成熟的技术变得可行。把这一点映射到量子计算上：我们可以看到，尽管大量资金被投入其中，仍然可以出现代价高昂的技术演示。但这并不能告诉我们，更多资金是否会带来我们梦寐以求的稳定、低错误率量子比特（就像猎鹰 9 号那样可靠）。继续推进航天飞机项目，无论投入多少，都不可能产生猎鹰 9 号那样的低成本和高可靠性；同样，也完全有可能，无论投入多少、持续开发多久，当前任何一种量子计算技术都永远无法达到破解单个密钥对所需的可靠程度。

你现在可能又会想：“那最近那些进展呢？” 对最近发表的进展，有两点需要记住。第一，许多进展其实只是纯数学层面的进展。例如，谷歌最近发表的一篇论文得出了一个如此重要的结果，以至于他们选择将理论量子电路删去，以免被用于破解重要的密码系统。看起来这似乎是朝着 CRQC 未来迈出的巨大一步，但实际上什么也没有改变。除非（或者直到）量子硬件迎来它的“猎鹰 9 号时刻”，否则根本不存在任何接近所需稳定性和规模的设备来运行被删去的电路。把一个为可能永远不会存在的设备设计的电路藏起来，本质上只是表演。第二，在硬件层面，我们每年都会看到许多新结果和一些进展，但其中有多少属于同一种量子计算候选技术？又有多少只是某项先前结果走进死胡同后重新开始的起点？现实是，这些进展并不代表一条通向最终成功的线性路径。它们更像是在一个无限可能空间里做广度优先搜索，研究人员希望能找到一条路径，让自己至少能向前推进一小段，而不是再次撞上死胡同。

如果看量子计算的未来现实，最多也只是前景模糊而已。确实存在一些有希望的技术进展。就我看来，中性原子设备尤其值得关注。但现在判断，沿着目前已知的任何分支，是否真的存在通向最终 CRQC 的路径，或者未来是否还会不断重来，仍然为时过早。如果未来某个时候，我们看到同一种候选技术经历多轮迭代，做出越来越强大的设备，并且能够完成连早熟儿童也无法完成的有意义计算，那么我们可以基于不同证据重新讨论这个问题。

理论上

量子研究在数十年里反复未能开发出 CRQC，可能有两种解释。其一，这确实是个难题，而我们仍在不断运用科学与工程去解决它，终有一天，人类的创造力会像在互联网、智能手机、社交媒体和比特币的发展中那样取得胜利（这些是否是正面发展，留给读者自行判断）。反过来，也可能是，开发 CRQC 要么根本不可能，要么永远超出我们的掌握。想想 CRQC 真正意味着什么：这台机器必须在其叠加态中，表示出与待解决密码学问题复杂度相同规模的一整片可能性空间。也就是说，要破解比特币 secp256k1 曲线上的椭圆曲线离散对数 128 位安全性，量子叠加态就必须表示一个 128 位数字的所有可能取值。在经典计算中，要表示这些取值所需的存储量，远远超过人类历史上制造过的任何计算机存储规模。如果量子叠加态哪怕只有一丝粒度差异（也就是说，它并不是在所有可能值之间完美连续），量子计算机就永远不可能具备密码学相关性。如果维持叠加态所需的能量随所表示的复杂度而增长，那么量子计算机也永远不可能具备密码学相关性。现有量子物理学的理解并没有排除这两种可能。

结论：比特币不能停下脚步

尽管有上述所有观点，比特币在新密码算法方面的开发仍必须继续。虽然量子攻击比特币密码学并不迫在眉睫，但完全有可能通过其他方式发现新的漏洞。我们知道，某些椭圆曲线已经被发现存在弱点，secp256k1 也可能是下一个。比特币之所以能存续至今，是因为针对系统的攻击让它变得更强，而量子恐慌攻击展开时，这一点也仍将成立。P2MR 或 P2TRv2、SHRINCS、SPHINCS、IBC、ML-DSA 以及更多后量子签名方案的开发，最终将有助于提升比特币面对未来攻击时的韧性，即便真正的 CRQC 最终从未被开发出来。

标签

• 量子计算机
• 量子噪声
• 量子问题