量子議題：是否凍結幣？

By: bitcoinmagazine.com|2026/09/16 16:39:01

比特幣的量子辯論相當複雜。這不僅僅是關於不同類型密碼學的技術辯論，以及它們在理論量子計算機面前的優勢。這是一場關於比特幣精神的哪些特性在面對困難的兩難時最強的辯論：堅持有效幣仍然可以由其擁有者使用的承諾，還是支持系統安全，通過不允許其貨幣供應的重大部分因為已知的漏洞而被掠奪。

這場爭議的核心難題在於，每一個認真的選擇都違反了比特幣用戶所關心的一個原則。什麼都不做可能會保留今天的共識規則，同時允許未來具備量子能力的行為者奪取那些擁有者從未同意的幣。凍結脆弱的幣可能會防止這種盜竊，但它會追溯性地使長期以來的支出條件失效。強制遷移到量子抗性簽名可能是明智的工程，但它也可能看起來像是一種有截止日期的沒收制度。這場辯論之所以醜陋，是因為沒有一條乾淨的道路可以同時完美地保護財產權、經濟可預測性、抗審查性、向後兼容性和用戶主權。

這就是為什麼我認為這個問題非常迷人。它是多方面的：同時具有技術性、社會學、哲學和經濟性。因此，對這個問題的任何認真討論都必須考慮每一個角度。

在這篇文章中，我將主張量子遷移辯論遠比僅僅在凍結或不凍結脆弱比特幣之間的問題更為細緻。相反，這是一個如何在橢圓曲線簽名不再可靠地驗證合法所有權的情況下，最小化總財產權侵犯的問題。 這篇文章刊登在比特幣雜誌最新的印刷版《量子議題》中。我們在這裡分享它，作為對整個議題所探討思想的早期瞥見。

量子威脅

比特幣目前的授權方案確保資金僅由其合法擁有者使用，依賴於橢圓曲線密碼學。傳統的ECDSA簽名和Schnorr簽名都使用secp256k1橢圓曲線。在普通的經典計算假設下，從公鑰推導私鑰在計算上是不可行的。運行Shor算法的加密相關量子計算機改變了這一假設：一旦公鑰可用，足夠強大的量子攻擊者可以推導出相應的私鑰並簽署交易，以花費這些資金，這將被網絡接受為有效。量子計算機威脅到打破ECDSA和Schnorr背後的公鑰到私鑰的難度假設。

這一區別很重要，因為並非所有比特幣輸出在同一時間暴露相同的信息。一些輸出類型立即顯示公鑰，並且無限期地保持脆弱。其他則在擁有者花費之前將公鑰隱藏在哈希後面。這創造了兩個廣泛的攻擊類別。長距離攻擊針對那些公鑰已經在鏈上可見的輸出，例如舊的支付公鑰輸出和Taproot輸出。短距離攻擊則針對花費時的幣：擁有者廣播交易，公鑰變得可見，快速的量子攻擊者試圖快速推導出私鑰，以便替代或搶先交易。

挖礦威脅則不同。Grover算法理論上可以加速對有效區塊哈希的暴力搜索，但它僅提供二次加速，而Shor算法則提供超多項式加速。因此，使用量子計算機進行挖礦的競爭優勢實際上要小得多。

量子量子威脅

有趣的是，量子電腦的威脅本身處於量子疊加的狀態。一台值得擔心的量子電腦可能會被建造，也可能不會，沒有人能證明或反駁這一點。量子懷疑論者並不否認 Shor 的算法可以破解 ECC。他們聲稱沒有充分的理由相信我們會建造出能在加密相關規模上運行 Shor 算法的強大容錯量子電腦。

每個人都同意，使用當今嘈雜的量子處理器無法破解 ECC。這需要許多可靠的邏輯量子位、極低的錯誤率、長時間的高相干計算，以及成功運行的量子錯誤更正。

一個強有力的懷疑論論點是，量子容錯閾值定理依賴於可能無法在所需精度下物理滿足的假設。這些假設包括足夠獨立的噪聲、足夠準確的閘、有限的非期望交互，以及在龐大系統中保持錯誤低於可接受閾值的能力。米哈伊爾·迪亞科諾夫認為，該定理假設了理想化的條件，並沒有告訴我們在實際設備中滿足每個假設所需的真實工程精度。

吉爾·卡萊的批評則更具結構性。他的論點是，現實的量子系統可能會遭受相關噪聲和噪聲積累，這會阻礙高質量量子錯誤更正碼的形成。在他2011年的論文中，他提出量子碼的物理實現、隨機系統中的相關性和積累的噪聲可能導致可擴展量子電腦的失敗。

這可能是最強的懷疑論論點：量子錯誤更正僅在噪聲可控的情況下有效。如果實際的高量子位系統產生對抗性相關的錯誤，那麼增加更多的量子位可能會使計算機變得更加脆弱和不可靠。

量子可擴展性是一個主要的未知數。懷疑論者認為，從50、100或1,000個物理量子位的進展並不自動推斷到數百萬個物理量子位或數千個邏輯量子位。量子系統是類比的、脆弱的，並與其環境相耦合。工程挑戰不僅僅是「製造更多的量子位」；而是「在抑制串擾、洩漏、相關錯誤、校準漂移、熱效應、測量錯誤、製造變異和控制噪聲的同時製造更多的量子位」。這就是為什麼批評者拒絕簡單的時間線外推。他們認為「我們在這十年內增加了X個量子位數，因此我們將在Y年內破解ECC」的推理是薄弱的。

最後，量子電腦的演示顯示，當前設備只能在精心選擇的取樣任務上超越經典模擬。批評者指出，這對於執行像 Shor 的算法這樣的長期結構化算法的可靠性幾乎沒有意義，以恢復256位ECC私鑰。

為什麼後量子遷移很重要

假設出現了一台在加密上具有相關性的量子電腦，僅僅為比特幣使用者提供後量子加密的選項並不足以阻止量子攻擊。所有量子易受攻擊的比特幣總數包括早期的支付給公鑰的幣、由重複使用的公鑰控制的幣、Taproot 輸出，以及在鏈外揭示的公鑰或擴展公鑰的情況。一個引人注目的數字是 BTC 在舊 P2PK 輸出中的集中，這些輸出按數量來看只是UTXO的一小部分，但代表了更大比例的價值，約為170萬 BTC。通過鏈上分析輸出類型、活動模式和已知所有權的更廣泛估算使我們相信，即使所有活躍的比特幣用戶將他們的錢包遷移到後量子加密，仍然至少有260萬 BTC會保持易受攻擊。

因此，即使選擇後量子（PQ）密碼學，我們也應該預期會有一個系統性風險的池子，裡面充斥著無限期存在的脆弱幣種。這些幣種可能被量子攻擊者用來以各種方式損害系統——不僅僅是通過出售它們並壓低 BTC 的現貨價格。因此，保護這些脆弱的幣種免受量子威脅需要某種規則變更，這將有效地「鎖住」量子攻擊者。

圍繞這個問題的言辭經常使用「沒收」、「燒毀」、「凍結」、「盜竊」或「恢復」等術語，但這些描述了不同的機制。凍結不會將幣轉移到國家、礦工、開發者或某個恢復基金。在其最基本的形式中，這意味著改變共識規則，使某些輸出無法再使用脆弱的 ECDSA 或 Schnorr 簽名進行支出。這就是為什麼倡導者有時會說「燒毀」而不是「沒收」：這些幣並沒有被重新分配；它們通過其私鑰變得無法支出。但對於仍然擁有原始密鑰的合法擁有者來說，實際效果仍然可能感覺像是被沒收：曾經有效的支出現在不再有效。

BIP-361 將遷移概念劃分為幾個階段。首先，一旦存在量子抗性地址類型，比特幣網絡將停止允許新的幣被發送到量子脆弱地址。隨後，在一個多年的窗口期後，舊的 ECDSA 和 Schnorr 支出將變得無效。最後，仍然存在對於那些能夠證明自己是合法擁有者的用戶的恢復選項問題——例如通過從種子短語或 HD 錢包結構派生的零知識證明。該提案的主要目的是不是選擇一種後量子簽名算法；而是目標是創造激勵和截止日期，以便用戶、交易所、保管人、錢包和機構能夠及時遷移，從而使我們能夠棄用 ECC，以防止量子攻擊。

-- 價格

凍結的理由

最強的支持凍結的論點源於一個簡單的主張：從公鑰推導出私鑰的量子攻擊者在任何道德意義上都不是合法擁有者。在這種觀點下，「就讓脆弱的幣被奪走」並不是中立；這是允許一類新的行為者掠奪舊輸出，因為協議未能加強已知薄弱的鎖。凍結倡導者認為，允許量子盜竊所造成的損害不僅僅是對疏忽的擁有者，而是對所有持有者，因為成功的量子掃蕩將重新分配財富給擁有早期量子能力的人。這是有問題的，因為在單一行為者手中擁有的比特幣數量，這些行為者花費相對較少的資源獲得它們，對生態系統的安全性可能是相當危險的。比特幣的安全模型假設經濟理性的參與者受到激勵去保護其幣的價值，但具備量子能力的行為者有潛力打破這一假設。支持凍結的立場是，比特幣不應該獎勵第一個打破 ECC 的實體，讓他們擁有可能被用來損害系統的武器。

這一論點對於被認為是遺失的幣種尤其成立。如果遺失的幣突然被量子攻擊者恢復，流通供應量實際上會增加。這並不違反正式的 2100 萬上限，但確實改變了經濟格局：市場可能視為無效的幣可以重新進入流通，可能迅速且集中在少數人手中。

支持凍結的一方還主張，威脅不僅限於普通的追求利潤。具備量子能力的對手可能會在政治上攻擊比特幣，破壞市場，削弱公眾信心，讓網絡遭受多年損害，甚至獲得足夠的算力來進行51%攻擊。對博弈論的分析顯示，我們不能簡單地假設攻擊者會掃蕩脆弱的BTC以出售，然後安然離去；還有更廣泛的策略和不良結果。

一個相關的論點是市場恐慌。Pieter Wuille在郵件列表辯論中的評論尖銳地指出：中期的危險可能不僅僅是一台實際的加密學相關量子計算機，而是人們對於不久將會出現這樣一台計算機的可信信念。如果市場開始相信比特幣的供應量在任何時候都可能被攫取，僅僅提供自願的後量子輸出可能不足以恢復信心。一個可信的計劃來禁用脆弱的支出本身可能就是一個足夠的保證機制。

支持凍結的陣營還認為，截止日期是必要的，因為自願遷移可能會很慢。人們會拖延；機構行動緩慢；硬體錢包、交易所、保管人、遺產計劃、多重簽名協調者和冷存儲程序都需要時間來實施變更和計劃遷移。Matt Corallo曾主張，比特幣應該在需要之前很久就添加一個簡單的後量子能力，因為錢包需要在任何後來的緊急決策關於凍結脆弱的UTXO變得可信之前，開始嵌入或承諾量子抗性公鑰。

還有一個受託責任的論點。公共公司、ETF、保管人和交易所將無法忽視已知的遷移截止日期。鎖定的共識變更為合規部門和風險委員會提供了具體的行動依據。這也將一個抽象的未來威脅轉變為一個項目計劃：升級軟體、生成新地址、移動資金、驗證備份、與客戶溝通，並在已知日期之前完成遷移。BIP-361明確主張，一旦存在截止日期，交易所和保管人將面臨受託和法律壓力。

值得注意的是，所有這些遷移計劃適用於的不僅僅是加密學相關量子計算機的出現。這場辯論中的大多數論點適用於任何已知ECC被削弱的情況。一般來說，加密技術往往無法經受時間的考驗，任何給定的加密算法在長期（數十年）內往往會被削弱，因為研究人員發現缺陷並開發出打破先前假設的新技術。

最後，凍結的倡導者主張，比特幣一直依賴用戶執行保護整個系統的規則。在他們看來，客觀上禁用已知不安全的支出路徑的軟分叉與任意的政治沒收並不相同。所提議的界限不是「這些人不受歡迎」，而是「這些腳本類型需要的加密技術不再符合比特幣的安全假設標準。」如果這個規則是機械的、客觀的，提前幾年宣布，並且配有可行的遷移路徑，支持者認為這更像是更換一把壞鎖，而不是將某個擁有者列入黑名單。
這篇文章在比特幣雜誌最新的印刷版《量子問題》中刊登。我們在這裡分享它，作為對整個期刊中探討的想法的早期瞥見。

反凍結論點

最強的反凍結論點始於相反的前提：比特幣的社會契約是，根據收到該幣時接受的共識規則，持有相應密鑰的人可以使用有效的幣。追溯性地使該支出路徑無效跨越了一條不可侵犯的界線。它將「不是你的密鑰，不是你的幣」變成「不是你的截止日期升級的幣，不是你的幣」。即使沒有人收到凍結的幣，原擁有者也失去了實際控制權。這就是為什麼批評者將強制凍結描述為沒收，而不僅僅是保護。

這一反對意見不僅僅是情感上的。比特幣的可信度在很大程度上依賴於開發者和節點運營商不會在UTXO擁有者中選擇贏家和輸家。針對「脆弱幣」的凍結可能在技術上是客觀的，但它仍然基於過去的地址選擇、錢包設計、閒置或無法行動的情況，針對一部分擁有者。批評者擔心，一旦網絡接受了某種原因的追溯性無效，未來的聯盟可能會找到其他理由：制裁、盜竊恢復、繼承爭議、國家壓力、「顯然」丟失的幣或其他緊急情況。

第二個反對意見是凍結無法區分丟失的幣、粗心的擁有者、閒置的擁有者、被監禁的擁有者、死去的擁有者及其繼承人、處於敵對司法管轄區的用戶、時間鎖安排、被遺忘的冷存儲和故意的長期儲蓄者。比特幣有許多用戶的目標是避免被迫保持在線並對政策變化作出反應。安全存放幣數十年的人不應因為網絡的其餘部分後來宣告其存儲方法過時而必然失去這些幣。值得注意的是，當前的活躍持有者與可能無法採取行動來保護自己的非活躍合法擁有者之間存在激勵衝突。

第三個反對意見是不確定性。一台與加密相關的量子計算機可能比預期晚到，可能不會以令人擔憂的形式出現，可能會在一段時間內保持秘密，或者可能會被不那麼激烈的工具抵消。如果比特幣永久性地燒毀數百萬個幣，而威脅並未在假定的時間表上實現，則網絡將犯下不可逆轉的自我造成的財產權違規。因此，批評者認為，過早的凍結比有計劃的準備更糟。

第四個反對意見是治理和合法性。凍結脆弱幣將是比特幣歷史上最具爭議的共識變更之一。一些人警告說，宣布凍結舊UTXO可能會比量子攻擊本身更損害比特幣的形象，並可能產生一個主要的分叉，其中一方接受凍結而另一方保留舊的可支配性。在那種情況下，「解決方案」創造了一個新的政治攻擊面：交易所、保管人、礦工和用戶必須選擇他們更喜歡哪個鏈的財產權模型。

第五個反對意見是法律風險。郵件列表辯論中的一些參與者警告說，涉及故意更改代碼以凍結資金的開發者、公司或礦工可能面臨來自其幣變得無法支配的擁有者的責任索賠。即使這些索賠最終失敗，法律過程本身也可能會抑制開發、分裂機構，並使共識協調變得更加困難。

第六個反對意見是技術謙遜。後量子加密是真實存在的，但並非免費。NIST已經標準化了ML-DSA、SLH-DSA和ML-KEM，並且仍在持續進行更多工作，但比特幣有著不尋常的限制：每個位元組都很重要，驗證成本很重要，錢包兼容性很重要，而共識失敗是災難性的。Chaincode在其量子深度報告中對候選方案的比較顯示了為什麼這個選擇並不簡單：後量子簽名和密鑰可能比Schnorr或ECDSA大得多，並且方案在成熟度、簽名大小、公鑰大小、簽名成本、驗證成本和假設上有著明顯的差異。

這使得批評者對於在目的地尚未成熟之前強迫遷移感到謹慎。一次糟糕的後量子遷移可能會降低吞吐量，提高費用，增加UTXO或見證數據的負擔，引入新的加密假設，或者如果所選算法變弱則迫使再次遷移。與此相關的是，考慮到簽名的數據大小增加，這將提高鏈上交易的成本，並可能使財力較弱的用戶無法承擔。

不作為與採取行動

正如我在一年多前的第一篇文章中所說：如果量子計算對比特幣的橢圓曲線加密（ECC）構成威脅，那麼比特幣的一項不可侵犯的特性將以某種方式被違反。

你可能熟悉Andreas Antonopoulos所提出的基本原則：

「不是你的密鑰，就不是你的硬幣。」

我認為這一原則的推論是：

「你的密鑰，只有你的硬幣。」

重點在於，密鑰不僅僅是授權支出，而簽名應該是合法密鑰持有者控制的不可偽造的證據。一個具備量子能力的實體會打破這一基本原則的推論。我們用與極大隨機數相關的數學概率來保護我們的比特幣。你的資金之所以安全，是因為真正隨機的大數字不會被世界上任何其他人發現。

不作為的立場常常被戲謔為「讓量子竊賊偷走一切」。對量子盜竊採取非干預的立場無疑是有原則的：比特幣是一種自願的持有資產，受規則約束，使用者負責管理已知的風險。如果一枚硬幣被一個隨著時間變弱的腳本所束縛，或許這與丟失種子短語、使用弱熵、信任不安全的保管人或未能遵循其他最佳實踐並無不同。在這種觀點下，網絡的工作不是保證每個歷史鎖定腳本的安全性，而是執行書面規則。

這一陣營也可以聲明，總供應量是網絡的唯一保證，而不是有效流通供應量。2100萬的上限並沒有說「2100萬減去假定丟失的硬幣」。它說不會發行超過2100萬枚硬幣。如果一枚看似丟失的硬幣因為其密鑰被找到、繼承、因弱熵而被破解，或通過量子攻擊而恢復，則總發行供應量並未改變。這一論點對於那些認為量子資金掃蕩是盜竊的人來說並不令人滿意，但它在內部是一致的：協議規則定義有效性，而不是對合法擁有權的主觀道德信念。

不作為的一方還重視操作簡單性。任何凍結規則都需要定義什麼構成脆弱的比特幣贖回腳本，選擇啟動日期，協調錢包和礦工，與用戶溝通，處理邊緣案例，並吸收政治後果。不作為避免了有爭議的共識變更。如果後量子工具變得可用，關心的用戶可以自願遷移，而不遷移的用戶則承擔自己的風險。

但「純粹不作為」的觀點的弱點在於，它將量子盜竊視為個人風險問題，而實際上它可能成為系統風險問題。如果足夠多的幣被暴露，且市場相信一個有能力的攻擊者可以利用它們來損害生態系統，那麼損害不僅限於未能遷移的擁有者。這會影響公眾對系統的信心，進而對匯率、熱力學安全（礦工收入）以及許多比特幣企業的收入造成負面壓力。因此，即使許多人對凍結感到不安，仍然支持提前準備。

冷漠的「代碼即法律」比特幣持有者可以選擇不作為，但他們不應自欺欺人地認為可以阻止其他人嘗試做些什麼。

替代提案

因為「凍結所有脆弱的UTXO」和「不作為」在各自的方式上都是殘酷的，所以許多有趣的工作在於替代提案，這些提案將幫助用戶在面對量子威脅時保留他們的財產權。

我們可以在尚未凍結舊的輸出時防止新的脆弱輸出。這是強制遷移中最不具強制性的部分。一旦存在更安全的輸出類型，共識或政策規則可以阻止或甚至禁止將比特幣發送到脆弱的鎖定腳本中。這樣可以減少未來的損害，而不會立即使舊的財產權無效。BIP-361將此納入A階段，幾位批評者對這種前瞻性的限制比對永久的追溯性燒毀更為開放。
另外，網絡可以強制執行臨時鎖定，而不是永久燒毀。Boris Nagaev建議，如果必須禁用舊的EC支出，鎖定可以包括未來重新啟用的高度或其他機制，給社區時間來建立恢復路徑。Conduition探討了這樣的階段如何與P2QRH/P2MR類似的輸出互動，並警告說，簡單地禁止所有EC檢查可能會意外影響混合結構，除非該規則設計得當。臨時鎖定的吸引力在於政治和技術：它傳達了緊急控制而非永久沒收。
另一個選擇是速率限制，代表了Hourglass提案。Hourglass V2專注於舊的P2PK幣，並將支出限制為每個區塊只能花費一個P2PK輸入，從這些輸出中每個區塊的淨限制為一個BTC。其作者將其呈現為避免立即燒毀和不受限制的量子清算的方法：幣不會被銷毀，但其淹沒市場的能力會受到限制。該提案估計，不受限制的P2PK掃描可能會非常快速，而每個區塊一個BTC的設計將使完整的P2PK移動延續數十年。

Hourglass 擁有自己的批評者。反對者認為，它仍然通過對一類本來有效的硬幣施加特殊限制來違反無許可的支出。這也可能在合法擁有者和量子攻擊者之間創造一場持久的競賽，而不是解決所有權問題。一些批評者表示，如果量子威脅是真實的，那麼花幾十年來清除暴露的 P2PK 輸出將給予攻擊者充足的時間；如果威脅不真實，那麼這項規則就是不必要的干擾。

有一個承諾-延遲-揭示的概念，有時通過蓋伊·福克斯風格的建構來討論。基本思想是用戶首先以量子攻擊者無法立即利用的方式承諾未來的支出，等待承諾得到深度確認，然後揭示驗證支出所需的秘密。這可以防止短期暴露的量子攻擊者看到公鑰並在確認之前立即盜取硬幣。Chaincode 將承諾-延遲-揭示描述為可選且可能有用，而 Optech 摘要指出，這些方案可以讓安全可支出的比特幣避免被摧毀並減少遷移的緊迫性。
無需 EC 簽名的量子安全資金恢復，特別是對於 HD 錢包，應該是可行的。或者 Sattath 和其他人討論了“簽名提升”的想法，擁有者證明對種子或衍生路徑的知識，而不是通過脆弱的公鑰證明控制。Olaoluwa Osuntokun 使用 zk-STARKs 構建了一個概念證明，證明一個 Taproot BIP-86 輸出密鑰是從 BIP-32 種子路徑生成的。這無疑將成為拖延者恢復資金的最後手段，因為該方案的最新優化版本需要 200 KB 的證明。這無疑會使小 UTXO 的恢復成本過高，因為最佳情況下的交易費用可能會花費幾百美元，但在更高的交易費率下可能輕易達到幾千或幾萬美元。

這條恢復路徑具有吸引力，因為它改變了辯論的道德形狀。如果合法擁有者可以通過非 EC 證明來恢復凍結的硬幣，凍結不再必須意味著永久銷毀。但成本是嚴重的：大型證明、複雜的驗證、隱私洩漏、錢包衍生假設、無法涵蓋每種歷史錢包類型，以及將新型密碼學添加到比特幣共識的危險。對 zk-STARK 方法的批評者強調，兆字節級的證明和多秒的驗證時間難以與比特幣的保守設計相調和。儘管進一步的研究已經發現了更高效的優化。

雙簽名或市場驅動的遷移。Marc Johnson 和其他人建議啟用量子抗性輸出，允許可選的雙簽名，提供費用或政策激勵，並讓用戶選擇自己的風險，而不是強加硬性損失截止日期。這種方法比強制凍結更好地保護了財產權，但如果太多高價值的硬幣仍然暴露，則無法解決系統性風險問題。

複雜的技術權衡

遷移辯論無法完全與量子抗性簽名的選擇分開，因為簽名的大小將影響系統的吞吐量。NIST 的後量子標準提供了一個嚴肅的基礎：FIPS 204 標準化了 ML-DSA，FIPS 205 標準化了 SLH-DSA，而 FIPS 203 涉及鍵建立的 ML-KEM。但比特幣需要數字簽名和腳本兼容的所有權證明，而不僅僅是通用的密碼學標準。適合 TLS 或政府通信的方案並不自動適合擁有有限區塊空間和全球驗證要求的區塊鏈。

基於哈希的簽名因其假設簡單而保守且具吸引力，但它們的大小卻是個問題。Lamport風格的簽名可以通過像OP_CAT這樣的腳本升級以某種形式啟用，但Taproot的關鍵路徑問題仍然存在：如果一個Taproot輸出有一個量子脆弱的關鍵路徑，則在腳本路徑中放置Lamport簽名並不會使整個輸出變得量子安全，除非移除或禁用脆弱的關鍵路徑。BIP-347的OP_CAT討論明確指出了這個問題。

格子簽名如ML-DSA提供比許多基於哈希的選擇更緊湊的簽名，但它們帶來了不同的假設和實施風險。Falcon風格的簽名雖然緊湊，但歷史上實施起來較為脆弱。SPHINCS+/SLH-DSA則是保守但較大。實驗性方案在理論上可能吸引人，但對於比特幣共識來說過於不成熟。這就是為什麼一個可信的遷移計劃可能需要算法靈活性、測試部署、錢包實驗、仔細的費用建模，以及或許多條可接受的後量子路徑，而不是單一匆忙的勝者。

區塊空間問題非常嚴重，但並非無法解決。Chaincode估計，如果遷移消耗所有區塊空間，則遷移所有UTXO大約需要76到142天；如果消耗25%的區塊空間，則需要305到568天。這僅僅是原始的遷移吞吐量；它不包括人員協調、錢包升級、機構批准、對空氣隔離簽名的支持、硬件更換、會計工作流程等。

UTXO集的完整遷移時間表以年為單位，而不是以週為單位。Chaincode的高級估計描繪了大約五年的最佳情況和接近十五年的最壞情況，用於研究、BIP工作、實施、部署和遷移。同一報告指出，在緊急情況下，時間框架可能會加速到2年，但歷史上的緊急協議修復並不完全類似，因為量子遷移問題觸及生態系統的每一層。

財產權的倫理

道德上的分歧來自於兩種競爭的所有權定義。

反凍結方支持“代碼即法律”的觀點：所有權意味著在共識規則下的控制。如果一個輸出可以被ECDSA或Schnorr簽名花費，那麼禁用該花費路徑就違反了所有者的財產權。網絡無法知道一枚硬幣是丟失、被放棄、繼承、故意靜止還是因臨時原因無法訪問。因此，凍結是對一部分用戶的集體懲罰，因為他們未能遵循新的遷移要求。

支持凍結的一方則認為，所有權不能意味著“任何能破解加密的人都能獲得硬幣”。比特幣的簽名旨在驗證合法的密鑰持有者，而不是為誰首先建造出能擊敗驗證方案的機器而創造獎勵。如果量子能力將公鑰轉變為私鑰，那麼EC簽名不再承載它之前所承載的相同道德信息。在這種觀點下，拒絕凍結並不是中立；這是一種安全失敗，故意允許一個被破壞的驗證機制轉移財富。

這兩種立場都是一致的。第一種保護規則的穩定性和持有資產的最終性。第二種則保護鎖定腳本的更深層意圖。痛苦的點在於，比特幣的共識規則是唯一的實際仲裁者。協議無法讀取意圖。它只能根據規則接受或拒絕交易。任何試圖在ECC破壞後編碼“正當所有權”的嘗試，要麼變得過於寬泛，要麼依賴新的證明，或者留下某些受害者。

我認為比特幣上的財產權曾經被侵犯。讓我向你介紹被普遍稱為價值溢出事件的事件。

在2010年8月15日，發現區塊74,638包含了一筆交易，為三個不同的地址創造了184,467,440,737.09551616比特幣。兩個地址各自獲得了922億比特幣，而解決該區塊的人則獲得了在交易之前不存在的額外0.01 BTC。這一切之所以能夠發生，是因為用於檢查交易的代碼在將其納入區塊之前，並未考慮到輸出值過大而在相加時溢出的情況。

在發現後五小時內，發布了新版本的客戶端，該版本包含了一項軟分叉的共識規則變更，拒絕輸出值溢出的交易。區塊鏈被分叉。儘管許多未修補的節點繼續在“壞”的區塊鏈上進行建設，但“好”的區塊鏈在區塊高度74,691時超越了它，屆時所有節點都接受了“好”的區塊鏈作為比特幣交易歷史的權威來源。

對於使用擁有最大累積工作量的鏈的人來說，這筆壞交易不再存在。因此，由它創造的比特幣也不再存在。

因此，從純粹的財產權角度來看，當時遵循網絡規則的人，其財產被沒收，因為絕大多數其他網絡參與者認為他們的行為是不可取的，並且對網絡構成威脅。

反對凍結的人可能會說這不是問題，因為協議規則的意圖才是重要的，而意圖是讓網絡保證最多供應2100萬BTC。我會傾向於同意，並反駁說使用ECC來保護BTC的意圖是確保任何人都無法猜測你的私鑰。
這篇文章在比特幣雜誌最新的印刷版《量子問題》中刊登。我們在這裡分享它，作為對整個期刊中探討的思想的提前瞥見。

經濟風險

量子能力實體的突然資金掃蕩可能通過幾個渠道影響比特幣。

被認為是休眠的硬幣將重新進入流通，增加有效的比特幣供應。
如果出現可信的證據表明存在或接近CRQC，市場可能會在任何實際掃蕩之前出現恐慌。
如果價格急劇下跌，礦工可能會受到影響，因為他們的預算與以BTC計算的區塊補貼和費用相關，轉換為經營收入。
如果客戶存款暴露或市場結構在不確定性下崩潰，交易所和其他企業可能面臨運營壓力和巨大的收入下降。

“失去的硬幣只會讓其他人的硬幣稍微更有價值。把它看作是對每個人的捐贈。” -- 中本聰

如果這是真的，那麼推論是：

“量子恢復的硬幣只會讓其他人的硬幣變得更少。把它看作是對每個人的盜竊。”

如果大量BTC永久丟失，剩餘的持有者將受益於較低的有效流通供應。如果量子攻擊者恢復那些硬幣，剩餘的持有者將失去這一好處。凍結的批評者回應說，這正是為什麼活躍的持有者有利益衝突：他們可能更喜歡燒掉休眠的硬幣，因為這使他們自己的硬幣更稀缺。這不是一個微不足道的反對意見。凍結可以被框架為保護網絡，但也可以被框架為在不活躍者的代價上使活躍持有者更富有。

這場衝突就是為什麼脆弱貨幣的具體定義至關重要。凍結只有古老的 P2PK 輸出且已經暴露的公鑰比凍結每個脆弱輸出更容易辯護，因為資金更有可能會丟失。凍結 Taproot 輸出在政治上更為複雜，因為 Taproot 是最近的，並且是由遵循現代錢包指導的用戶自願採用的。凍結重複使用的輸出則提出了另一個問題：脆弱性可能來自用戶行為而非地址類型。基於鏈上公鑰洩漏進行凍結也是一種半措施，因為鏈無法知道鏈外洩漏了什麼；例如，許多錢包會與第三方共享其 xpub。

因此，廣泛的凍結可能既不夠包容也過於包容。它可能會錯過鏈外暴露的密鑰，同時捕捉到休眠但合法的擁有者。狹隘的凍結可能會減少最壞的風險，但留下足夠的脆弱價值來維持恐慌。這就是為什麼我認為最佳解決方案是複雜的，並且需要多階段的方法、救援證明和客觀的腳本規則，而不是任意的地址列表。

餵貓

比特幣是一個沒有統治者的無政府規則系統。它沒有權威可以指揮共識規則的變更。一項淘汰 ECC 的規則需要節點運營商、礦工、交易所、錢包、保管人、商家和用戶之間的廣泛共識。在正式術語中，許多提案是軟分叉：它們使先前有效的支出在更嚴格的規則下變得無效。但在社會術語中，禁用舊幣的軟分叉比普通的收緊規則要重得多。它直接影響財產預期。

在緊急情況下，這個治理問題變得更糟。如果比特幣等到有可信的 CRQC 證據，社區可能不得不在恐慌、錯誤信息、市場壓力和對抗壓力下行動。但如果比特幣行動過早，它就有可能在威脅尚未真實到足以證明其合理性之前凍結貨幣。Chaincode 明確警告說，計劃和溝通應在威脅變得尖銳之前進行，同時也承認利益相關者協調、監管、稅收和用戶溝通是主要障礙。

這造成了一個悖論。設計量子遷移的最佳時機是在迫切需要之前。說服人們接受有爭議的措施的最困難時期也是在迫切需要之前。一旦緊急情況變得明顯，技術和社會選擇會急劇縮小。簡而言之，因為：比特幣的變化緩慢，如果我們想要一個不混亂的結果，某些行動必須在相關計算機到達之前發生。

因此，可信的過程幾乎和最終規則一樣重要。社區需要清晰的定義、模擬、參考實現、錢包支持、測試網部署、啟用閾值、恢復研究和與非技術用戶的溝通。沒有這些，ECC 淘汰提案看起來就像是對休眠持有者的協調。有了這些，即使反對者也至少可以評估具體的權衡，而不是對抽象的反應。

治理博弈論

量子攻擊者的威脅類似於以太坊在 2016 年必須處理的 DAO 事件。換句話說：生態系統有時間（大約一個月）採取行動，以阻止攻擊者逃脫並獲得當時 5% 的所有 ETH。5% 的所有 ETH 進入惡意行為者手中被認為是一種系統性風險。

為了將此放入上下文中，根據我對區塊鏈的分析，我認為對於暴露的公鑰來說，丟失的貨幣數量的合理估計大約是 2,600,000 BTC，或當前總供應量的 13%。換句話說，這大約是我預期的 BTC 數量，如果我們達成共識實施後量子簽名方案，將無法遷移到量子安全鎖定腳本。

然而，請注意 DAO 情況與這個情況之間的關鍵差異。對於 DAO 來說，以太坊社區必須進行硬分叉以重新控制被盜的代幣。而採用 BIP-361 風格的變更，則會是軟分叉。也就是說：反對 DAO 分叉相對容易：不需要做任何事情，並且保持在原有規則的鏈上。那條鏈現在被稱為以太坊經典。反對量子遷移的軟分叉，假設它擁有超過半數的哈希率，將需要持不同政見的用戶協調一個用戶拒絕的軟分叉，這在歷史上從未發生過。 ## 集中化的滑坡一些人表示，像 BIP-361 這樣的強制遷移提案是不可行的，因為它會為誰能使用比特幣設立“集中計劃”的先例。換句話說，這可能導致類似的凍結措施，以阻止任何被視為“壞行為者”的人使用系統，例如對重大盜竊和黑客攻擊的回應。我們已經知道，比特幣的規則沒有任何東西是真正不可改變的。無法創建一個不可能改變的協議——你能做的最好的事情是調整激勵，使其不太可能改變。在提出像改變所有權/貨幣供應這樣有爭議的變更的情況下，你應該預期這樣的提案只有在替代方案預期對幾乎所有比特幣持有者有害的情況下，才有微弱的被接受的希望。至於聲稱這將導致對黑客等行為的協議級沒收，對於像比特幣這樣分散的生態系統來說，協調一個快速的回應以超越個別行為者是根本不可能的。更準確地說：試圖將特定地址/地址集列入黑名單是不可行的，因為這樣的協議級黑名單的“目標”將會比生態系統協調凍結的速度更快地轉移其資金。 ## 先前的先例 DAO 是一個特殊案例，去中心化社區實際上有時間對大規模盜竊做出反應，因為 DAO 的智能合約本質上有一個“冷卻規則”，使他們在最初將資金重定向到自己的控制權後必須等待一個月，才能將其發送到其他地方，例如“提現”。因此，有時間從更廣泛的生態系統中收集共識（他們甚至進行了代幣投票），以通過一個相當有爭議的硬分叉。最終結果是什麼？我們實際上可以觀察市場的反應。儘管有所有的爭議，經濟現實是明確的。以太坊經典遵循“代碼即法律”和“什麼都不做”的觀點，允許攻擊者保留 5% 的網絡代幣，甚至難以達到干預性以太坊市場價值的 10%，後者改變了網絡的規則以將資金歸還給其合法擁有者。如前所述，比特幣也曾發生過價值溢出事件，其中由於某人“遵循協議的規則”而創造的比特幣被協調的共識變更所奪走。這些都是我相信經濟激勵可以並將超越道德和哲學原則的鮮明例子。有人肯定會說以太坊和比特幣幾乎沒有共同之處，這確實是事實，這些不同的網絡往往有非常不同的精神和驅動因素。但從經濟的角度來看，它們在惡意實體控制市場價值的相當一部分方面共享相同的激勵結構。2026 年的比特幣生態系統與 2016 年的比特幣生態系統截然不同。考慮所有的新進者，其中許多人並不是因為自由意志主義的立場而採用 BTC。

要讓主流觀眾相信如果有手段可以阻止壞行為者，那麼就不應該阻止他們，這是一個相當艱難的銷售。告訴那些從管理資產中賺取數百萬甚至數十億美元的公司和機構，他們應該袖手旁觀，目睹對其業務線的生存威脅發動攻擊，這更是艱難，因為這種攻擊不僅可以提前幾個月，甚至可能提前幾年或幾十年進行準備。

框架很重要

我認為這場辯論最糟糕的框架是「量子安全與不負責任的用戶」。這簡化了對財產權的反對意見。在我看來，另一個糟糕的框架是「凍結總是盜竊，因此不需要準備」。這簡化了系統風險問題，並忽視了我們可以用來幫助保護財產權的選擇。

Matt Corallo 精明地指出，關於貶低使用脆弱簽名的辯論是有趣的，因為它可以用非常不同的方式來框架，表面上聽起來相同。

「在可能的範圍內保護人們的財產權。」
「不要凍結任何人的硬幣。」

第一種觀點支持凍結 ECC 支出，同時增加安全恢復資金的最大方式（BIP-32 證明、非 BIP-32 錢包和定時鎖定硬幣錢包的預先 Q 日承諾等）。

第二種立場實際上最小化了能夠保留硬幣的人數，並最大化了盜竊風險。但這更簡單，並且避免了有争议的分叉。

因此，我認為這不是「凍結還是不凍結」的二元辯論。相反，問題的更優框架是：在原始的加密身份驗證機制不再可靠以驗證合法所有權的情況下，什麼是最優的規則集，以最小化財產權的侵犯？

在這種框架下，如果滿足幾個條件，貶低 ECDSA 簽名變得更具辯護性。

必須有一個廣泛審查的量子抵抗目的地。用戶不能被迫遷移到一個半成品或實驗性的機制。這個目的地可以是 P2MR 加上未來的 PQ 腳本路徑、一種標準化且經過良好審核的 PQ 簽名類型、一個提交-揭示結構，或是一個混合方案。但它必須能被普通錢包和機構使用，而不僅僅是技術上可想像的。
遷移窗口必須足夠長，以便真實世界的用戶使用。我們的區塊空間吞吐量估計顯示，原始交易容量只是其中一個瓶頸。一個嚴肅的截止日期必須考慮到錢包升級、硬體設備、多重簽名協調、繼承、機構控制、冷存儲物流和費用激增。五年的窗口在軟體術語中聽起來很長，但對於全球持有資產的遷移來說可能是短暫的。
廢止規則應該盡可能客觀和狹窄。根據命名地址或假定身份進行凍結將是有害的。根據明確脆弱的支出條件進行凍結則更具辯護性，儘管仍然存在爭議。即便如此，設計者必須避免意外禁用仍以非危險方式使用 EC 操作的混合或恢復結構。
凍結資金的救援選項是必須的。永久燒毀最大化了清晰度，但也最大化了道德傷害。臨時鎖定、種子知識證明、提交-揭示路徑或其他非 EC 所有權證明可能保留更多比特幣的財產權理念。目前的恢復想法尚不成熟，但它們至關重要，因為它們將二元的燒毀與盜竊選擇轉變為更人性化的遷移路徑。
社區應提前定義警告標準，同時接受完美證據可能永遠不會到來。針對 secp256k1 的公共 CRQC 演示對某些攻擊類別來說將為時已晚。但模糊的恐懼不足以證明燒毀硬幣的合理性。合理的標準可能包括在容錯量子錯誤更正方面的可信進展、政府遷移截止日期、專家密碼分析共識、觀察到的市場壓力或其他公共信號。NSA 和 NIST 的過渡顯示，主要機構已經將後量子遷移視為一個嚴重的規劃問題，但機構的謹慎並不等同於證明比特幣現在必須凍結硬幣。

一個金髮女孩的問題

對 BIP-361 的一個常見批評（除了「量子電腦不真實」）是它「匆忙」。我認為這是因為人們對啟用的假設不正確。沒有人聲稱 BIP-361 應該今天或甚至不久後啟用……在啟用 PQC 計劃之前，這甚至是不可能的。相反，BIP-361 的重點是制定一個應急計劃，以防威脅看起來是真實的，並且遷移變得可取。

我們為 BIP-361 確定了五年的遷移時間框架，因為過早遷移和過晚遷移都有缺點。過早遷移，我們可能會在不必要的情況下對生態系統施加巨大成本。此外，由於後量子計劃和量子安全資金救援計劃正在積極研究，過早遷移可能會將我們鎖定在次優解決方案中。過晚遷移，我們將使生態系統面臨系統性威脅，這可能會造成巨大的損害和對網絡的信心喪失。我們也知道，這需要多年的方法，因為協議變更在生態系統中傳播需要時間。

我不期望任何人認真建議啟用 BIP-361，除非看起來加密相關的量子電腦在十年內出現的可能性非常高。

棄用ECC最終可能變得可辯護，但僅作為最後的共識選擇，前提是存在可行的遷移路徑，客觀規則被明確，長期的公開截止日期被發布，並且達成粗略共識，即允許易受攻擊的貨幣通過ECC保持可支配性將造成比禁用它更大的權利侵犯。

這場辯論中最誠實的結論是，雙方都在捍衛比特幣的原則，只是詮釋略有不同。棄用ECC的一方捍衛協議安全、系統生存和對抗量子攻擊的財產權。無所作為的一方則捍衛協議規則的穩定性、抵抗審查和不活躍用戶的權利。