Claude 用 53 小時逼著比特幣和銀行提速

Anthropic 用 AI 優化橢圓曲線點加法量子電路，大幅降低 Toffoli 門，但僅為模組改進。比特幣 secp256k1 量子破解估算持續下降，其抗量子遷移協調難，銀行則有明確後量子密碼過渡計畫。量子計算機破解比特幣簽名還需要多久？ 銀行網站的加密連接和比特幣錢包裡的簽名有哪些區別？ 後量子密碼過渡計畫是什麼？

撰文：Conflux

銀行網站的加密連接，和比特幣錢包裡的簽名，底層都是同一類公鑰密碼：橢圓曲線或 RSA。

上週五，Anthropic 公布了一項研究：讓 Claude Mythos 5 連續跑 53 個小時，重畫了橢圓曲線點加法的量子電路。這一環節占了量子攻擊比特幣簽名時的大部分量子比特和運行成本。

量子計算機要破解比特幣的簽名，得同時滿足兩個條件：機器夠大，運行方案夠省。機器現在還差得遠。但方案這一頭，AI 剛剛把其中成本最高的一環重新設計了一遍。

省下來的是哪一步

點加法裡最貴的部分是模反轉。傳統電腦用一種叫 divsteps 的算法，跑得很快。搬到量子電路裡就麻煩了：量子計算必須可逆，每一步選了哪個分支，都得存下來，才能倒著算回去清理草稿。存這些記錄要占大量量子比特。

Claude 發現記錄可以不存。每一步算完，手裡剩下的那對數字，本身就帶著足夠的痕跡，能反推出剛才走了哪個分支。它先試了幾條簡單規則，在 256 位的數字上全部失效。之後改為從數學上推導，證明了一組代數恆等式，再用 Lean 對 divsteps 的核心性質做了形式化證明。

最終設計比此前最省量子比特的方案多用約 12% 的量子比特，Toffoli 門（衡量量子計算耗時的核心指標）降到約 十七分之一。

同樣的做法（寫成代碼、自動打分、循環迭代）被用到另外 7 項任務上，每項的改進來自不同的發現。最大的一項把量子比特與門數量的乘積壓低了 39 倍。

Anthropic 自己給了一個對照：量子化學裡一項估算，從 50 萬億個 Toffoli 門降到 3.4 億個，多個研究團隊接力幹了 8 年。這次是一個 53 小時的連續運行。

十七分之一的邊界

這裡要分開兩個數字：一個是某個電路模組的成本，另一個是完整攻擊的成本。前者下降，不等於後者按同樣比例下降。

第一，優化的只是一个模組。 從輸入比特幣公鑰到恢復私鑰，中間還有其他計算步驟、糾錯開銷、硬體架構和運行時間。只有把新電路放回完整攻擊方案，重新核算全部資源，才知道最終省了多少。

第二，十七分之一有明確的對手。 它比的是 Luo 等人的方案：約 6950 萬個 Toffoli 門、838 個邏輯量子比特 。Claude 的方案是約 400 萬個門、935 個。

換一個對手，結論就變了。Schrottenloher 今年的方案只要約 190 萬個門，但需要 1,446 個邏輯量子比特。Claude 的電路門數是它的 2.1 倍，量子比特少約 35%。門多還是量子比特多，哪個更要緊，取決於具體硬體的約束。這更像是多了一个可選的設計點，不是全面碾壓。

第三，電路允許極少數輸入失敗。 規格容忍的失敗率是每次點加法最多 2×10⁻⁴，用來換取更少的資源。Lean 證明也只覆蓋 divsteps 的部分性質，不覆蓋整條電路和門數估算。

第四，沒有在任何量子硬體上跑過。 驗證靠的是自動評估程序對候選電路的模擬檢查。Anthropic 也承認，Claude 早期偏保守，會反復核驗已經站得住的結論，研究者要求它同時走多條路線，並不時提醒它放開思路。

所以這項研究推不出「破解比特幣的時間縮短了十七倍」。它證明的是：在關鍵模組上，現有設計還有明顯的優化空間，而 AI 已經能參與尋找這些改進。

這把鎖，已經鬆過三次

比特幣用的是 secp256k1 曲線。破解它的估算，這幾年一直在掉。

2017 年，微軟研究人員的估算是約 2,330 個邏輯量子比特、2.3×10¹¹ 個 Toffoli 門。

今年 3 月底，谷歌量子 AI 團隊（合作者包括以太坊基金會的 Justin Drake 和斯坦福大學的 Dan Boneh）給出了兩套電路：一套不到 1,200 個邏輯量子比特、不到 9000 萬個門 ，另一套不到 1,450 個邏輯量子比特、不到 7000 萬個門 ，都只需不到 50 萬個物理量子比特。在「預先算好一半、等待目標出現」的場景下，運行時間約 9 分鐘。9 月，量子計算公司 IonQ 又估算，用約 2 萬個離子阱量子比特，約 26 天可以做一次。

2017 年到今年 3 月，估算下降隔了近 9 年；到 9 月，IonQ 的新估算只隔了半年。

硬體這一頭，Anthropic 在原文裡寫的是：目前的量子計算機只有幾百到幾千個量子比特。已演示的邏輯量子比特在幾十個到近百個之間。據 Project Eleven 今年 4 月的 Q-Day 獎項記錄，公開演示裡在真實量子硬體上破解的最大橢圓曲線密鑰只有 15 位。

另一篇今年的論文 ECDSA.Fail 以「開放式自動研究」為題，優化的同樣是點加法這一步。Project Eleven 也說，下一輪挑戰會聚焦前沿 AI 模型與量子密碼分析的交叉。

Anthropic 的研究與谷歌、IonQ 的估算不能直接相加換算：前者是單個模組的設計，後兩者是整套攻擊的資源估算。

誰的升級更慢

比特幣沒有 CEO，不能下令升級。

BIP-360 在 2 月 11 日併入官方提案庫，至今仍是草案，它只提供一種新的地址類型，用戶自願遷移。更激進的 BIP-361 由開發者 Jameson Lopp 等人提出，設想最終停止承認舊簽名，這就牽涉到長期不動的舊幣要不要凍結，成了一場關於產權的爭論。BIP-360 聯合作者 Ethan Heilman 估計，即使現在就啟動，比特幣完整遷移到後量子也要約 7 年。

暴露面不小。據 Glassnode 今年 5 月的統計，公鑰已經公開的比特幣約 604 萬枚，占已發行量的 30.2%。

以太坊走得更主動：今年 1 月成立了專門的後量子安全團隊，維塔利克·布特林（Vitalik Buterin）在 2 月公布了路線圖。

那銀行呢？NIST（美國國家標準與技術研究院）的過渡時間表仍是草案：RSA-2048 這類 112 位強度的算法，2030 年後棄用；所有易受量子攻擊的公鑰算法，2035 年後禁用。SWIFT 計畫在 2027 年推出支持後量子密碼的 SwiftNet 8.0。點加法這項研究針對的是 secp256k1，對銀行常用的曲線有沒有同樣的效果。

銀行的問題在於------ BankInfoSecurity 的一篇評論稱，多數銀行說不清自己的密碼學部署在哪些系統。

貝萊德（BlackRock）的態度更接近「已披露」。2025 年 5 月，它在比特幣 ETF（IBIT）的註冊文件裡第一次寫進量子風險，當時該基金淨資產約 640 億美元。彭博情報分析師 James Seyffart 當時提醒，這類披露本來就要羅列所有風險，包括極不可能的。

價格上，市場沒有統一說法。有分析師認為，量子風險是比特幣相對黃金走弱的原因之一。Glassnode 分析師 James Check 認為，價格偏弱主要是長期持有者拋售所致；比特幣開發者 Matt Corallo 則指出，如果量子風險真是主因，以太坊該比比特幣強得多。

改造費誰來出

銀行要重做的是盤點、替換、兼容測試和歷史系統遷移，工程量巨大，但預算和排期可以由管理層統一決定，監管機構和供應商也能一起推。費用集中，路徑清楚。

比特幣的費用分散在每個人身上。錢包、交易所、節點運營者和持幣者各自升級，沒人能保證同步。能主動遷移的持幣者可以把風險降下來，私鑰丟了或不再操作舊錢包的人，沒有這個選項。

兩邊的受益者也不同。量子硬體公司可以用更高效的算法提高機器利用率；後量子密碼的遷移，對安全服務商是一筆新業務。

下一個 「53 小時」

Anthropic 的方法很簡單：把問題寫成代碼，配一個自動打分程序，只盯一個指標，讓模型連續迭代幾天。Anthropic 在原文裡說，糾錯碼、解碼器、硬體控制這些環節也有同樣的特點，AI 可以聯合優化，設計出針對特定問題的整台容錯量子計算機。

目前這幾層基本是各自單獨設計的。如果下一輪 「53 小時」對準的是這幾層，總賬會變成多少，現在沒有人公布。這不意味著 AI 很快能獨立設計出一台破解比特幣的量子計算機，研究仍受限於任務定義、評估方法和驗證範圍。

但可以想見的是：遷移要花幾年協調，而攻擊成本的曲線並不等人。

銀行可以按 2030 年的時間表推進，比特幣也已經有了草案。可有一部分幣，既不會主動遷移，也未必還有人持有私鑰。到升級無法回避的那一天，這些公鑰早已公開的舊資產，由誰來決定它們的命運？