Bitcoin 的后量子密码学：为什么迁移为时已晚

担心：Bitcoin 没有迁移计划

我想相信 Bitcoin 会适应。我自 2017 年以来一直持有 BTC。我告诉自己开发商会解决这个问题的。他们总是这样做。然后我搜索了Bitcoin的 后量子密码学 迁移计划。

没有计划。不是延迟的计划。不是计划草案。没有计划。

有研究帖子。有 BIP（Bitcoin 改进提案）讨论线程。在一些会议上，开发人员表示“这很重要，我们应该考虑一下。”但测试网上没有代码。没有激活时间表。没有社区共识。还有 量子计算机打破 Bitcoin 时间线 2029年到2033年，他们可能还有三到七年的时间。

SegWit从提出到激活花了四年时间。主根拿了三个。这些都是相对较小的升级。 Bitcoin 的后量子密码学 需要替换协议的整个加密基础。新的签名方案。新的地址格式。新的交易结构。新的块大小计算。新的钱包软件。新的硬件签名设备。

三到七年是不够的。这还不够。 2024 年，当 NIST 最终确定 Bitcoin 需要采用的标准时，时钟开始计时。

该目标比大多数持有者想象的更接近。 2026 年 3 月，Google Quantum AI 与 Ethereum 基金会和斯坦福大学合作，针对 secp256k1 编译了 Shor 的算法，结果为 1,200 至 1,450 个逻辑量子位 里面 少于 500,000 个物理量子位，完成于 分钟。早期估计大约有 2,330 个逻辑量子位。 2026 年中期的最佳公共硬件是接近 2,500 个物理量子位，并且在规模上不具有容错能力，但 IBM 路线图在 2029 年以大约 200 个逻辑量子位运行 Starling，在 2033 年以超过 2,000 个逻辑量子位运行 Blue Jay。这是 Bitcoin 无法满足的最后期限。

科学：为什么迁移在时间上在结构上是不可能的

Bitcoin 的 交易签署 在 secp256k1 椭圆曲线上使用 ECDSA。用 SPHINCS+ 等抗量子方案替换它需要同时解决以下问题：

签名尺寸爆炸。 ECDSA 签名为 72 字节。 SPHINCS+ 签名（最保守的 NIST 标准）最多为 49,856 字节。这是 700 倍的增长。 Bitcoin 的 4 MB 块重量限制需要大规模扩展，从而再次引发块大小之战。每个完整节点的带宽和存储需求都会成倍增加。

地址格式替换。 每个 Bitcoin 地址类型（P2PKH、P2SH、P2WPKH、P2TR）都是围绕 ECDSA/Schnorr 公钥构建的。后量子公钥有不同的长度、不同的结构、不同的编码。新的地址格式意味着新的钱包软件、新的交易所集成、新的支付处理器支持。

UTXO 迁移。 Bitcoin 上大约有 1.5 亿笔未花费的交易输出。它们中的每一个都需要转移到一种新的量子安全地址类型。丢失钥匙或废弃钱包的用户无法迁移。这些 UTXO 成为量子赏金。

共识陷入僵局。 Bitcoin 的治理是有意去中心化的。在增加区块大小、改变地址格式并要求通用钱包升级的硬分叉上达成共识，既是一个技术问题，也是一个政治问题。 2017 年，社区因区块大小的简单增加而分裂。这要困难几个数量级。

这 现在收获，稍后解密 维度使情况变得更糟。即使 Bitcoin 在 2033 年完成迁移，迁移前广播的每个 ECDSA 签名也会永久受到损害。不可变账本上的历史公钥无法追溯保护。这 604万比特币 在公开密钥的地址中——占供应量的 30.2%，大约 4690 亿美元（Glassnode，2026 年 5 月）——永远是量子赏金。其中大约 230 万枚硬币面临不可逆转的风险；只有大约 370 万个仍然可以由活着的主人移动。

哪些货币面临同样的迁移噩梦

Bitcoin 并不孤单。每个主要的 ECDSA/EdDSA 链都面临着相同的迁移障碍：

• Ethereum (以太坊)：Vitalik 讨论了后量子迁移，但新签名方案下智能合约重新验证的复杂性是惊人的。 EVM 操作码假定为 ECDSA。每个 DeFi 协议、每个 ERC-20 代币、每个 NFT 合约都需要审计和重新部署。
• Solana (SOL)：Ed25519 交易签署 烘焙到运行时中。高吞吐量使得签名大小扩展更加困难。更大的签名意味着每个区块的交易更少。
• 卡尔达诺（ADA）：Ed25519 已形式化验证。迁移将使多年的正式证据失效。整个验证框架需要从头开始重建。
• Monero (XMR)：Ed25519 环签名。在保留环签名隐私属性的同时替换签名方案是一个未解决的研究问题。不存在任何提案。

这 对加密货币的量子威胁 不是一个需要修补的错误。这是一个需要更换的基础。更换人们居住的建筑物下的地基不是工程。这是绝望。

没有迁移，什么实际上可以生存

唯一能够在不迁移的情况下在量子计算机上生存的链是建立在 后量子密码学 从创世开始。没有旧版 ECDSA。无过渡期。没有废弃的 UTXO 作为量子赏金。

Kyber-768 (NIST FIPS 203)：基于格的密钥封装。如果它来自块零，则不需要迁移。没有收获的 ECDH 密钥交换可供追溯破解。

SPHINCS+ (NIST FIPS 205): 基于哈希 交易签署. SPHINCS+ 使用加密盐来防止预计算攻击，针对彩虹表强化其 Merkle 树。没有 ECDSA 签名可供收获。无需破解椭圆曲线公钥。

迁移仅对于以错误密码开始的链来说是一个问题。开始正确的链没有什么可迁移的。

SynergyX 已经存在

这就是我不再等待 Bitcoin 自救的原因。

SynergyX 是在 NIST 宣布后量子决赛入围者之后设计的。架构师知道哪些算法将被标准化。他们围绕以下内容构建了协议 Kyber-768 + SPHINCS+ 从创世开始。没有 ECDSA 后备。没有 secp256k1 遗产。无需迁移。曾经。

• Kyber-768按键封装 在每次密钥交换时。点对点连接、钱包握手、 交易签署 密钥推导。全部基于格子。所有 NIST FIPS 203。
• SPHINCS+ 无状态交易签名 每笔交易。基于哈希。 加密盐 硬化。 NIST FIPS 205. Shor 算法没有代数结构。
• 守护进程混合隐形发送 和 不可链接的交易签名。没有透明的公钥分类帐。没有收获目标。
• 没有迁移噩梦。当 Bitcoin 争论 BIP 且 Ethereum 重写 EVM 时，SynergyX 用户如今使用量子安全加密技术签署交易。没有硬分叉。地址格式没有变化。没有钱包更新。它从第一天起就是这样建造的。

“需要迁移”和“从来不需要”之间的差距就是生存和灭绝之间的差距。 Bitcoin 的后量子密码学 是一次救援行动。 SynergyX 中的后量子密码学是原始架构。