arXiv：谷歌量子AI團(tuán)隊(duì)最新研究——橢圓曲線密碼學(xué)的量子危機(jī)與防御

導(dǎo)語

在人類歷史上，密碼學(xué)與破譯技術(shù)始終處于一場永不停歇的競賽之中。從二戰(zhàn)時(shí)期的恩尼格瑪密碼機(jī)，到今天支撐全球數(shù)萬億美元數(shù)字資產(chǎn)的橢圓曲線密碼體系，每一次計(jì)算能力的躍遷，都會重新定義安全的邊界。而量子計(jì)算，正在成為這場競賽中最具顛覆性的變量。

近期，谷歌量子AI聯(lián)合多家機(jī)構(gòu)發(fā)布白皮書，重新評估了量子計(jì)算機(jī)破解現(xiàn)代區(qū)塊鏈密碼體系所需的資源規(guī)模。研究結(jié)果顯示，量子威脅可能比此前預(yù)想來得更早。然而，比資源估算本身更引人關(guān)注的是研究團(tuán)隊(duì)采取的發(fā)布方式：他們沒有公開核心攻擊電路，而是借助零知識證明向?qū)W術(shù)界證明其存在。隨后發(fā)生的一系列事件——驗(yàn)證系統(tǒng)被挑戰(zhàn)、隱藏電路被獨(dú)立重構(gòu)、研究作者公開承認(rèn)保密策略失效——使這項(xiàng)工作超越了單純的密碼學(xué)研究，演變?yōu)橐粓鲫P(guān)于科學(xué)開放、技術(shù)治理與數(shù)字文明未來的深刻討論。

關(guān)鍵詞：區(qū)塊鏈安全（blockchain security），后量子密碼學(xué)（post-quantum cryptography），谷歌量子AI（Google Quantum AI），橢圓曲線離散對數(shù)（ECDLP），零知識證明（zero-knowledge proofs），數(shù)字打撈（digital salvage）

李文韜丨作者

趙思怡丨審校

論文題目：Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations 論文鏈接：https://arxiv.org/abs/2603.28846 發(fā)表時(shí)間：2026年4月15日 論文來源：arXiv

具備密碼學(xué)能力的量子計(jì)算機(jī)（Cryptographically Relevant Quantum Computers, CRQCs）一旦出現(xiàn)，將對當(dāng)前數(shù)字安全體系產(chǎn)生深遠(yuǎn)影響。谷歌量子AI團(tuán)隊(duì)聯(lián)合多家機(jī)構(gòu)發(fā)布的最新白皮書，系統(tǒng)評估了量子計(jì)算對區(qū)塊鏈生態(tài)的潛在沖擊，并重新估算了破解現(xiàn)代加密貨幣核心密碼體系——256位橢圓曲線離散對數(shù)問題（ECDLP）——所需的量子資源。研究顯示，相關(guān)攻擊所需資源規(guī)模較此前普遍認(rèn)知大幅下降，意味著量子威脅可能比預(yù)期更早進(jìn)入現(xiàn)實(shí)討論范圍。

除資源估算外，研究還提出了一個(gè)新的分析框架：從量子硬件運(yùn)行速度的差異出發(fā)，區(qū)分快時(shí)鐘與慢時(shí)鐘架構(gòu)，并據(jù)此重新評估不同類型區(qū)塊鏈資產(chǎn)所面臨的風(fēng)險(xiǎn)。論文進(jìn)一步將討論從密碼學(xué)層面擴(kuò)展至系統(tǒng)治理層面，分析了智能合約、權(quán)益證明、數(shù)據(jù)可用性機(jī)制以及長期休眠資產(chǎn)在量子時(shí)代可能面臨的挑戰(zhàn)。

基于上述分析，研究者認(rèn)為，僅依靠密碼學(xué)升級并不足以應(yīng)對未來風(fēng)險(xiǎn)。區(qū)塊鏈社區(qū)需要盡快啟動向后量子密碼學(xué)（Post-Quantum Cryptography, PQC）的遷移，同時(shí)在技術(shù)治理、資產(chǎn)處置和公共政策等層面建立配套機(jī)制，為量子時(shí)代的數(shù)字基礎(chǔ)設(shè)施做好準(zhǔn)備。

量子威脅逼近：

區(qū)塊鏈安全的“阿喀琉斯之踵”

隨著量子計(jì)算技術(shù)的突飛猛進(jìn)，密碼學(xué)相關(guān)量子計(jì)算機(jī)的到來不再是遙不可及的科幻場景，而是數(shù)字安全領(lǐng)域必須面對的系統(tǒng)性危機(jī)。傳統(tǒng)的公共密鑰密碼體系，如 RSA 算法以及在現(xiàn)代區(qū)塊鏈中廣泛應(yīng)用的橢圓曲線密碼學(xué)（Elliptic Curve Cryptography, ECC），其安全基石正面臨前所未有的解體風(fēng)險(xiǎn)。其中，基于 Shor 算法的指數(shù)級量子加速能力，可以直接將求解橢圓曲線離散對數(shù)問題（Elliptic Curve Discrete Logarithm Problem, ECDLP）的計(jì)算復(fù)雜度降至多項(xiàng)式級別。

在所有受威脅的數(shù)字基礎(chǔ)設(shè)施中，去中心化加密貨幣資產(chǎn)首當(dāng)其沖。這主要源于兩個(gè)核心因素：首先，為了追求高帶寬和高效的傳輸，絕大多數(shù)區(qū)塊鏈系統(tǒng)采用了秘鑰長度極短的橢圓曲線算法（例如 secp256k1 曲線下的 256 位秘鑰），這使得破解這些秘鑰所需的量子計(jì)算機(jī)規(guī)模相比于攻破 2048 位 RSA 算法要小得多；其次，傳統(tǒng)金融體系在遭遇欺詐或黑客攻擊時(shí)往往存在中心化的多重安全機(jī)制（如沖賬、凍結(jié)），而區(qū)塊鏈網(wǎng)絡(luò)由于其固有的“代碼即法律”與去中心化設(shè)計(jì)，通常不提供任何欺詐交易逆轉(zhuǎn)途徑。這意味著，一旦量子攻擊者偽造了單一數(shù)字簽名，便可在瞬息之間完成不可逆的資金轉(zhuǎn)移。然而，當(dāng)前量子計(jì)算與區(qū)塊鏈技術(shù)交叉領(lǐng)域的系統(tǒng)性研究依然匱乏，主流討論往往依賴過時(shí)的量子硬件演進(jìn)時(shí)間表或粗糙的算法模型。

谷歌量子 AI（Google Quantum AI）團(tuán)隊(duì)聯(lián)合斯坦福大學(xué)（Stanford University）、加州大學(xué)伯克利分校（UC Berkeley）以及以太坊基金會（Ethereum Foundation），共同發(fā)表了最新的技術(shù)白皮書。該研究不僅更新了攻破區(qū)塊鏈核心加密算法的邏輯資源估算，更首次從底層物理芯片的“時(shí)鐘速度”維度解構(gòu)了不同量子架構(gòu)對區(qū)塊鏈產(chǎn)生的差異化威脅，并為加密貨幣體系提供了從技術(shù)遷移到公共政策的系統(tǒng)性全面防御框架。

無需公開的公信力：

零知識證明下的量子資源精細(xì)估計(jì)

傳統(tǒng)上，量子資源估計(jì)的學(xué)術(shù)規(guī)范要求研究團(tuán)隊(duì)完全公開算法創(chuàng)新細(xì)節(jié)、邏輯電路圖以及糾錯(cuò)優(yōu)化方案。然而，隨著量子攻防技術(shù)逐步逼近臨界點(diǎn)，公開過于詳盡的密碼分析藍(lán)圖存在極大的安全風(fēng)險(xiǎn)，容易淪為惡意行為體或敵對國家的數(shù)字武器。為了在“技術(shù)透明度”與“防止技術(shù)濫用”之間取得審慎平衡，谷歌團(tuán)隊(duì)開創(chuàng)性地采用了網(wǎng)絡(luò)安全領(lǐng)域的“負(fù)責(zé)任披露”（Responsible Disclosure）范式——他們選擇不公開底層具體的量子優(yōu)化電路，而是利用密碼學(xué)領(lǐng)域的零知識證明（zero-knowledge proofs, ZK proofs）技術(shù)向公眾提供無信任約束的科學(xué)證明。

具體而言，研究人員利用先進(jìn)的 SP1 零知識虛擬機(jī)（zkVM），生成了一個(gè) Groth16 零知識簡明非交互式知識論證（zkSNARK）證明。該證明向全網(wǎng)確證：團(tuán)隊(duì)確實(shí)擁有一個(gè)可以在絕大多數(shù)輸入情況下完美運(yùn)行 secp256k1 曲線點(diǎn)加法（Elliptic Curve Point Addition）的經(jīng)典可逆電路。由于點(diǎn)加法是 Shor 算法中最核心的計(jì)算瓶頸，驗(yàn)證了此子程序的資源消耗，便在數(shù)學(xué)上確證了整體 Shor 算法成本的真實(shí)性。

基于該零知識證明，谷歌團(tuán)隊(duì)公布了最新的資源估算數(shù)據(jù)。通過精心設(shè)計(jì)的可逆邏輯電路，攻破 256 位橢圓曲線（secp256k1）僅需：

• 低量子比特方案：1200 個(gè)邏輯量子比特（logical qubits）與 9000 萬個(gè) Toffoli 門。

• 低門數(shù)方案：1450 個(gè)邏輯量子比特與 7000 萬個(gè) Toffoli 門。

在物理實(shí)現(xiàn)層面，如果假設(shè)采用物理錯(cuò)誤率（physical error rate）為 10^-3 且具有平面四度連接性（planar degree-four connectivity）的超導(dǎo)量子處理器（類似于谷歌已在實(shí)驗(yàn)中驗(yàn)證的 Sycamore 芯片的放大版本），并運(yùn)行經(jīng)典的表面碼（surface code）糾錯(cuò)架構(gòu)，整個(gè)計(jì)算過程僅需不到50萬個(gè)物理量子比特。這一數(shù)值相比此前學(xué)術(shù)界通用的估算（如近千萬個(gè)物理量子比特）降低了近 20 倍。這一大幅度的資源縮減反映了量子算法與糾錯(cuò)方案的持續(xù)進(jìn)步，也說明量子威脅正在以超出此前預(yù)期的速度逼近區(qū)塊鏈的物理防線。

“快時(shí)鐘”與“慢時(shí)鐘”：

量子芯片物理架構(gòu)的分化威脅

在探討具體區(qū)塊鏈的漏洞時(shí)，谷歌團(tuán)隊(duì)引入了一個(gè)極為關(guān)鍵的硬件分類視角：“快時(shí)鐘”（fast-clock）架構(gòu)與“慢時(shí)鐘”（slow-clock）架構(gòu)。這一硬件特征的物理差異，直接決定了早期量子計(jì)算機(jī)能夠發(fā)動的攻擊類型。

快時(shí)鐘架構(gòu)以超導(dǎo)量子比特（superconducting qubits）、硅自旋量子比特（silicon spin qubits）以及光子量子（photonic qubits）為代表，其特點(diǎn)是邏輯門操作極快，糾錯(cuò)周期極短（通常在微秒級別）。在 10 微秒的控制系統(tǒng)反應(yīng)時(shí)間下，執(zhí)行 7000 萬到 9000 萬個(gè) Toffoli 門僅需 18 到 23 分鐘。如果利用算法中的“預(yù)計(jì)算”技術(shù)（即提前運(yùn)行不依賴特定公鑰的通用 Shor 算法狀態(tài)，使其處于“就緒”狀態(tài)），在目標(biāo)公鑰暴露的瞬間，僅需 9 到 12 分鐘即可當(dāng)場破解出對應(yīng)的私鑰。

與之形成鮮明對比的是中性原子（neutral atoms）和離子阱（ion traps）等慢時(shí)鐘架構(gòu)。盡管這些平臺在物理比特的相干時(shí)間和連接度上表現(xiàn)優(yōu)異，但其基礎(chǔ)門操作速度比快時(shí)鐘架構(gòu)慢兩到三個(gè)數(shù)量級（糾錯(cuò)周期在毫秒級別）。因此，慢時(shí)鐘量子計(jì)算機(jī)執(zhí)行同樣的破解程序可能需要數(shù)小時(shí)乃至數(shù)天之久。

基于這種物理分化，研究團(tuán)隊(duì)將量子攻擊劃分為以下三種機(jī)制：

• 在支出時(shí)攻擊（On-Spend Attacks）：專門針對在傳輸通道中處于未確認(rèn)狀態(tài)（mempool）的交易。當(dāng)用戶廣播一筆交易時(shí)，其公鑰必然在網(wǎng)絡(luò)中公開，量子攻擊者必須在交易被礦工打包并最終確認(rèn)之前（Solana 約 400 毫秒，以太坊約 12 秒，比特幣平均約 10 分鐘）計(jì)算出私鑰，并廣播一筆更高手續(xù)費(fèi)的欺詐交易將其搶跑攔截。這要求攻擊者必須持有“快時(shí)鐘”密碼學(xué)相關(guān)量子計(jì)算機(jī)。

• 靜態(tài)資產(chǎn)攻擊（At-Rest Attacks）：專門針對長期暴露在區(qū)塊鏈賬本上的靜態(tài)公鑰（例如長期未變動的歷史錢包或多次重復(fù)使用的地址）。攻擊者擁有數(shù)天甚至數(shù)月的時(shí)間在后臺從容破解。這種攻擊對“慢時(shí)鐘”量子計(jì)算機(jī)而言同樣可行。

• 在設(shè)置時(shí)攻擊（On-Setup Attacks）：這是一種極其隱蔽的攻擊方式。它針對加密協(xié)議初始化階段生成的固定公共參數(shù)（例如各種零知識證明 trusted setup 儀式中產(chǎn)生的 powers-of-tau 字符串，即所謂的“有毒廢料”）。攻擊者只需利用量子計(jì)算機(jī)進(jìn)行一次性離線計(jì)算，便可推導(dǎo)出通用后門，隨后只需使用普通商用個(gè)人電腦即可無限次偽造證明。

這一架構(gòu)層面的重要發(fā)現(xiàn)指出：如果快時(shí)鐘超導(dǎo)量子計(jì)算機(jī)率先邁過物理糾錯(cuò)門檻，那么“在支出時(shí)”攻擊與“靜態(tài)資產(chǎn)”攻擊將幾乎在同一時(shí)間成為現(xiàn)實(shí)，從而使整個(gè)區(qū)塊鏈的公共內(nèi)存池面臨即時(shí)搶跑攻擊的直接威脅。

比特幣的量子風(fēng)暴：

腳本多變性與工作量證明的“免疫力”

由于比特幣（Bitcoin）不采用賬戶模型，而是基于未花費(fèi)交易輸出（UTXO）機(jī)制運(yùn)行，其風(fēng)險(xiǎn)狀態(tài)呈現(xiàn)出高度的結(jié)構(gòu)復(fù)雜性。比特幣資金的安全強(qiáng)度完全取決于其鎖定的“腳本類型”（locking scripts）：

• 易受靜態(tài)攻擊的腳本（P2PK, P2TR）：早期的“中本聰時(shí)代”地址普遍采用 Pay-to-Public-Key（P2PK）腳本，直接將明文公鑰記錄在區(qū)塊鏈上。目前有超過 170 萬枚比特幣（約占總供應(yīng)量的 9%）被鎖定在此類腳本中（包括中本聰本人早期挖掘的 100 萬枚代幣）。此外，2021 年激活的 Taproot 升級引入了 Pay-to-Taproot（P2TR）腳本，雖然提升了多簽隱私與可組合性，但其在“密鑰路徑支出”（key path spend）中直接暴露了經(jīng)過微調(diào)的公鑰。這意味著這 170 萬枚歷史遺留比特幣以及所有采用 Taproot 的新資金，在面對哪怕最慢的量子計(jì)算機(jī)時(shí)，都會淪為無法防御的靜態(tài)靶子（at-rest vulnerable）。

• 靜態(tài)免疫但支出時(shí)易損的腳本（P2PKH, P2WPKH）：行業(yè)標(biāo)準(zhǔn)的 Pay-to-Public-Key-Hash（P2PKH，以 1 開頭）以及 SegWit 升級后的 Pay-to-Witness-Public-Key-Hash（P2WPKH，以 bc1q 開頭）腳本，將公鑰隱藏在雙重哈希算法（SHA-256 和 RIPEMD-160）之后。由于量子計(jì)算機(jī)無法高效逆轉(zhuǎn)哈希函數(shù)，這些資金在靜止?fàn)顟B(tài)下是絕對安全的。然而，當(dāng)用戶嘗試花費(fèi)這些比特幣時(shí)，必須在解鎖腳本（unlocking script）中提供明文公鑰和數(shù)字簽名。此時(shí)，公鑰會被同步廣播至公開內(nèi)存池（public mempool），從而將自己置于“在支出時(shí)”搶跑攻擊的險(xiǎn)境中。

值得特別澄清的是，網(wǎng)絡(luò)輿論常年擔(dān)憂量子計(jì)算通過 Grover 算法實(shí)現(xiàn)算力暴增，從而顛覆比特幣的工作量證明（Proof-of-Work, PoW）共識機(jī)制。谷歌團(tuán)隊(duì)在白皮書中明確指出，這一擔(dān)憂純屬科技妄想。

首先，Grover 算法帶來的二次多項(xiàng)式級別（quadratic）量子加速優(yōu)勢，在被龐大的物理糾錯(cuò)開銷（QEC overheads）稀釋后，其實(shí)際運(yùn)算速度微乎其微。即使在最不切實(shí)際的“超高速量子糾錯(cuò)物理芯片”（單次哈希執(zhí)行僅 1 微秒）假設(shè)下，一臺頂級量子礦機(jī)的哈希率也僅為 0.25 TH/s，相比主流的商用 ASIC 礦機(jī)（如螞蟻礦機(jī) S19 Pro 的 110 TH/s）慢了整整兩個(gè)數(shù)量級。在現(xiàn)實(shí)物理約束下，這一差距會進(jìn)一步放大 10 個(gè)數(shù)量級以上。其次，Grover 算法在物理上極其難以進(jìn)行跨地理分布的分布式并行化計(jì)算（parallelization）。因此，經(jīng)典 ASIC 礦機(jī)強(qiáng)大的規(guī)模并行化優(yōu)勢將持續(xù)領(lǐng)先量子計(jì)算。

以太坊的多維危機(jī)：

從智能合約特權(quán)到共識層的系統(tǒng)性隱患

相比于功能單一的比特幣，以太坊（Ethereum）作為一臺“全球分布式計(jì)算機(jī)”，其龐大的去中心化金融（DeFi）生態(tài)和資產(chǎn)可組合性，使其量子攻擊面（attack surface）呈現(xiàn)出多維嵌套的特征。白皮書詳細(xì)梳理了以太坊特有的五重系統(tǒng)性量子漏洞：

1. 賬戶漏洞（Account Vulnerability）：與比特幣不同，以太坊運(yùn)行在持續(xù)性的賬戶模型之上。為了在 DeFi 協(xié)議中保持身份、信譽(yù)和抵押品倉位，用戶幾乎不可能頻繁更換Externally Owned Accounts (EOA) 賬戶。一旦某個(gè) EOA 賬戶發(fā)起過哪怕一次交易，其對應(yīng)的 ECDSA 公鑰就將永久暴露在全網(wǎng)賬本中。谷歌團(tuán)隊(duì)通過大數(shù)據(jù)分析指出，截至 2026 年初，僅以太坊前 1000 個(gè)高凈值賬戶中，就有大量已暴露公鑰的地址，累計(jì)鎖定了超過2050萬枚以太坊（ETH）。在快時(shí)鐘量子計(jì)算機(jī)面前，攻擊者僅需不到 9 天時(shí)間便可將其全部洗劫一空。

1. 管理員控制特權(quán)漏洞（Admin Vulnerability）：這是以太坊生態(tài)中最突出的系統(tǒng)性弱點(diǎn)。在以太坊上運(yùn)行的大量智能合約（如法幣托管型穩(wěn)定幣 USDT/USDC、各類跨鏈橋、去中心化預(yù)言機(jī) Oracle 等）通常保留了極高的管理員特權(quán)，如暫停合約、單方面鑄造/銷毀代幣、升級智能合約邏輯代碼或提取應(yīng)急備用資金。這些管理員控制賬戶往往由多簽（multisig）密鑰治理，且其公鑰長期處于公開狀態(tài)。谷歌團(tuán)隊(duì)對前 500 個(gè)以太坊智能合約進(jìn)行代碼特征掃描發(fā)現(xiàn)，至少有 70 個(gè)涉及核心 DeFi 協(xié)議的管理合約完全暴露于該風(fēng)險(xiǎn)下，鎖定了近 250 萬枚原生 ETH，以及超過2000億美元的法幣穩(wěn)定幣與代幣化真實(shí)世界資產(chǎn)（RWA）。一旦這些多簽管理員密鑰被量子計(jì)算機(jī)攻破，黑客便可偽造簽名任意增發(fā)無限量的空頭穩(wěn)定幣，沖擊鏈上資產(chǎn)與法幣之間的剛性兌付錨定，引發(fā)大規(guī)模 DeFi 清算連鎖反應(yīng)。

1. 合約運(yùn)行環(huán)境代碼漏洞（Code Vulnerability）：由于以太坊虛擬機(jī)（EVM）運(yùn)行需要消耗“Gas 費(fèi)用”，這導(dǎo)致開發(fā)者無法直接在 EVM 字節(jié)碼中實(shí)現(xiàn)高成本的密碼學(xué)算法。為此，以太坊在系統(tǒng)底層固化了若干高性能的“預(yù)編譯合約”（precompiled contracts）。然而，截至目前，以太坊底層沒有任何支持后性能量子密碼算法的預(yù)編譯合約。所有活躍的 Layer 2 擴(kuò)容網(wǎng)絡(luò)（如各種基于 Optimistic 或 ZK-SNARK 架構(gòu)的 Rollups）以及鏈上應(yīng)用，不得不繼續(xù)使用極易受量子攻擊的傳統(tǒng)配對曲線（如alt_bn128）。這使得高達(dá) 1500萬枚 ETH 的 Layer 2 鎖定資產(chǎn)全部暴露在代碼層的密碼脆弱性之下。

2. 驗(yàn)證者共識層漏洞（Consensus Vulnerability）：以太坊在 2022 年轉(zhuǎn)向了權(quán)益證明（Proof-of-Stake, PoS）共識機(jī)制。為了壓縮海量驗(yàn)證者（Validator）每秒產(chǎn)生的幾十萬個(gè)簽名，以太坊共識層選用了 BLS12-381 曲線下的 BLS 簽名聚合方案。這意味著，以太坊整個(gè)共識層的信任鏈條同樣建立在易受量子破譯的橢圓曲線密碼學(xué)之上。當(dāng)前在信標(biāo)鏈（Beacon Chain）中質(zhì)押的3700萬枚 ETH 共識資產(chǎn)全部暴露于此。一旦攻擊者破譯了超過 1/3 的驗(yàn)證者私鑰，即可單方面導(dǎo)致網(wǎng)絡(luò)無法達(dá)成最終一致性（liveness failure）；若攻破超過 2/3 的驗(yàn)證者，攻擊者將徹底接管整條區(qū)塊鏈的歷史賬本，能夠隨意篡改過往交易，導(dǎo)致以太坊徹底喪失作為全球清算結(jié)算層的中立性。

3. 數(shù)據(jù)可用性采樣漏洞（Data Availability Vulnerability）：為了提升擴(kuò)容吞吐量，以太坊引入了 PeerDAS 數(shù)據(jù)可用性采樣機(jī)制。這一機(jī)制深度依賴基于 BLS12-381 曲線的 KZG 多項(xiàng)式承諾方案。這種方案不僅面臨直接的密碼破譯風(fēng)險(xiǎn)，更極易遭受“在設(shè)置時(shí)”（on-setup）攻擊。因?yàn)?KZG 承諾依賴于一次性 trusted setup 儀式產(chǎn)生的結(jié)構(gòu)化參考字符串（Structured Reference String, SRS），其殘留的“有毒廢料”在數(shù)學(xué)上就是一個(gè)離線離散對數(shù)。量子攻擊者僅需一次性破解該 SRS 參數(shù)，便可在無需量子計(jì)算機(jī)配合的情況下，使用普通經(jīng)典電腦無限次地偽造虛假的數(shù)據(jù)可用性采樣證明，從而徹底阻斷和癱瘓所有的 Layer 2 擴(kuò)容網(wǎng)絡(luò)。

“數(shù)字打撈”與“壞側(cè)鏈”：

應(yīng)對休眠資產(chǎn)沉沒的政策創(chuàng)新

在探討區(qū)塊鏈如何向后量子密碼學(xué)（PQC）過渡時(shí)，一個(gè)最棘手且往往被工程技術(shù)人員忽視的難題是——休眠資產(chǎn)（Dormant Digital Assets）的處置。

無論是比特幣中因私鑰丟失、持有人過世而永久塵封的 170 萬枚 P2PK 早期比特幣（包括中本聰?shù)馁Y產(chǎn)），還是以太坊中大量無人維護(hù)的早期合約，這些資產(chǎn)都無法像活躍錢包那樣，通過用戶主動發(fā)起簽名交易來將資金遷移至新的后量子安全地址。如果區(qū)塊鏈網(wǎng)絡(luò)決定強(qiáng)行將這些未遷移資金“燒毀”（Burn），雖然徹底根除了量子攻擊者竊取資金、沖擊市場本位的風(fēng)險(xiǎn)，但卻違背了加密貨幣的核心價(jià)值觀，極易引發(fā)社區(qū)劇烈的哲學(xué)分歧與物理硬分叉（Hard Fork）。

為了破解這一技術(shù)僵局，谷歌團(tuán)隊(duì)提出了一套綜合治理框架：

• 技術(shù)解：壞側(cè)鏈（Bad Sidechain）：受傳統(tǒng)金融體系中用于剝離和逐步處置壞賬的“壞銀行”（Bad Bank）模式啟發(fā)，研究人員建議社區(qū)聯(lián)合開發(fā)一條兼容后量子密碼學(xué)的專用掛鉤側(cè)鏈。該側(cè)鏈支持用戶在離線狀態(tài)下，通過展示歷史助記詞（Mnemonic words）或利用 Project 11 的 Yellowpages 注冊表展示 offchain 密碼學(xué)所有權(quán)證明。量子計(jì)算機(jī)服務(wù)商可以作為合規(guī)的“打撈中介”，將鏈上破解的休眠 P2PK 比特幣統(tǒng)一發(fā)送至該“壞側(cè)鏈”進(jìn)行托管。如果原持有人能夠提供合規(guī)的脫鏈所有權(quán)證明，資產(chǎn)將被扣除一定的“打撈費(fèi)”后返還；若超出約定期限（如采用 hourglass 漏斗漸進(jìn)機(jī)制），未被申領(lǐng)的沉沒資產(chǎn)將按計(jì)劃分批銷毀或流向公共信托，從而最大限度地保護(hù)真正的私有財(cái)產(chǎn)權(quán)，同時(shí)平抑貨幣通脹風(fēng)險(xiǎn)。

• 政策解：數(shù)字打撈權(quán)（Digital Salvage）：在法律與公共政策層面，白皮書指出，政府無法單方面依靠行政命令強(qiáng)行命令礦工進(jìn)行“交易審查”（Censorship）來凍結(jié)休眠資金，因?yàn)檫@會導(dǎo)致礦工和節(jié)點(diǎn)算力向海外不受管轄的區(qū)域流失，甚至直接造成鏈的分裂。更可行的立法路徑是借鑒國際海事法中的“沉船打撈”與“無主物占有”（Escheatment）原則，將利用量子計(jì)算機(jī)進(jìn)行休眠私鑰破譯和資金回收定義為一種受監(jiān)管的特許打撈活動（類似于尋找深海沉船寶藏）。通過制定《統(tǒng)一無主財(cái)產(chǎn)法》（RUUPA）的量子數(shù)字修訂版，政府可以將打撈上來的無主數(shù)字資產(chǎn)合法地納入正式的、可征稅的宏觀經(jīng)濟(jì)運(yùn)行體系中，防止這些數(shù)百億美元規(guī)模的數(shù)字財(cái)富在暗網(wǎng)中轉(zhuǎn)化為跨國犯罪集團(tuán)、黑客組織或敵對地緣政治實(shí)體的隱秘政治資金。

跨學(xué)科的共識：

向后量子時(shí)代（PQC）遷徙的全景

橢圓曲線的量子防線正在快速收縮，但應(yīng)對方案也在逐步成型。在技術(shù)層面，向后量子密碼學(xué)（Post-Quantum Cryptography, PQC）的艱難遷徙已經(jīng)是區(qū)塊鏈行業(yè)的唯一出路。

目前，基于格密碼（Lattice-based）與基于哈希（Hash-based）的簽名算法已被美國國家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）正式標(biāo)準(zhǔn)化。在加密貨幣界，部分先驅(qū)網(wǎng)絡(luò)已從誕生之初就全面部署了 PQC，例如基于 XMSS 和 CRYSTALS-Dilithium 的量子抗性賬本（QRL）、使用 Winternitz 一次性簽名的 Mochimo，以及深度采用格密碼的隱私鏈 Abelian。即使是主流公鏈，也在積極開展實(shí)驗(yàn)：Algorand 已于 2025 年成功執(zhí)行了全球首筆基于 Falcon 簽名算法的后量子抗性交易；Solana 部署了實(shí)驗(yàn)性的 Winternitz 金庫；XRP Ledger（瑞波賬本）也在其 AlphaNet 測試網(wǎng)上上線了 ML-DSA 后量子簽名，用以保護(hù)數(shù)千萬美元的國債型代幣（TBILL）免受潛在量子威脅。

然而，后量子算法并非沒有代價(jià)。其高昂的計(jì)算和存儲開銷（例如 Falcon 簽名大小為 1280 字節(jié)，而經(jīng)典 ECDSA 僅為 70 字節(jié)）會直接導(dǎo)致區(qū)塊鏈吞吐量下降、Gas 成本飆升以及節(jié)點(diǎn)運(yùn)行中心化風(fēng)險(xiǎn)。如何通過 Layer 2 簽名聚合、遞歸證明（Recursive Proofs）以及后量子 zk-STARKs 技術(shù)平抑這部分物理開銷，是計(jì)算機(jī)科學(xué)家面臨的下一個(gè)重大挑戰(zhàn)。

谷歌量子 AI 團(tuán)隊(duì)的這篇白皮書，在量子計(jì)算與去中心化金融這兩個(gè)長期缺乏深度交互的領(lǐng)域之間搭建了橋梁。量子威脅不僅是空想或者口號，它對共識安全性、DeFi管理員權(quán)力、數(shù)據(jù)采樣后門以及宏觀政策設(shè)計(jì)提出了具體的技術(shù)要求。唯有依靠計(jì)算機(jī)科學(xué)、法學(xué)、公共政策學(xué)、博弈論以及整個(gè)區(qū)塊鏈去中心化社區(qū)的跨學(xué)科深度對齊與緊密協(xié)作，數(shù)字經(jīng)濟(jì)才能在即將到來的量子時(shí)代洪流中保持穩(wěn)健，構(gòu)建可靠的去信任化基礎(chǔ)設(shè)施。

補(bǔ)記：零知識證明的“攻防戰(zhàn)”

谷歌量子AI團(tuán)隊(duì)的這篇白皮書不僅因?yàn)槠浯蠓档土似平鈾E圓曲線密碼所需的量子資源估算而受到關(guān)注，更因?yàn)樗_創(chuàng)了一種極為特殊的研究發(fā)布方式。出于“負(fù)責(zé)任披露”的考慮，研究團(tuán)隊(duì)并未公開核心量子電路，而是首次利用零知識證明向?qū)W術(shù)界證明：自己確實(shí)掌握了一套能夠達(dá)到論文所述性能指標(biāo)的量子攻擊方案。這種做法試圖在學(xué)術(shù)透明與安全保密之間尋找平衡——既避免公開潛在的攻擊路徑，又能夠讓外界驗(yàn)證研究結(jié)果的真實(shí)性。

然而，圍繞這一策略的爭論很快展開。首先，網(wǎng)絡(luò)安全公司 Trail of Bits 發(fā)現(xiàn)其零知識證明系統(tǒng)存在軟件工程層面的漏洞，證明“隱藏方案”的可信性并不像想象中那樣牢不可破；隨后，法國學(xué)者 André Schrottenloher 則完全繞過零知識證明本身，通過獨(dú)立推導(dǎo)和優(yōu)化公開文獻(xiàn)中的已有思路，成功重構(gòu)出被谷歌刻意隱藏的量子電路，甚至在部分指標(biāo)上進(jìn)一步超越原方案。于是，這場原本關(guān)于量子計(jì)算資源估算的研究，逐漸演變成了一場圍繞科學(xué)開放、技術(shù)保密與知識傳播邊界的真實(shí)攻防戰(zhàn)。

1. 什么是零知識證明？

簡單而言，零知識證明是一種密碼學(xué)協(xié)議，允許證明者（Prover）在不泄露任何關(guān)于秘密本身（本文中為具體的量子電路設(shè)計(jì)）的信息的前提下，向驗(yàn)證者（Verifier）證實(shí)某一斷言（本文中為“我們確實(shí)擁有能在特定量子資源限制下完成計(jì)算的電路”）的真實(shí)性。

目前，量子電路的性能還無法運(yùn)行谷歌提出的算法。因此，谷歌利用 Succinct Labs 的 SP1 zkVM（零知識虛擬機(jī)）運(yùn)行經(jīng)典模擬器來驗(yàn)證其量子電路。該虛擬機(jī)接受的輸入是量子電路，輸出的則是輸入電路的資源消耗，例如所需量子門的數(shù)量、運(yùn)行時(shí)間等，而輸出又會與一般認(rèn)為的“合理資源消耗上限”進(jìn)行對比，若少于“合理的消耗上限”，則等價(jià)于輸出了“成功”，否則等價(jià)于輸出“失敗”。

零知識證明的關(guān)鍵是：虛擬機(jī)的輸入可以是不公開的，但其輸出是公開的，并且虛擬機(jī)本身也是公開的。任何人只需將谷歌提供的量子電路輸入虛擬機(jī)，就能在不接觸實(shí)際電路圖的情況下，從虛擬機(jī)的輸出結(jié)果確證：谷歌確實(shí)掌握了高效率的量子攻擊路徑。

因此，在零知識證明的框架下，“在虛擬機(jī)上成功運(yùn)行”是量子電路完成任務(wù)的充分條件。虛擬機(jī)起到了篩選作用，它的輸入如果是某個(gè)無法完成任務(wù)的量子電路，那么它的輸出也必須是“失敗”。從這個(gè)命題的逆否命題我們才能推出，如果某個(gè)量子電路的輸出為“成功”，那么它確實(shí)是一個(gè)具有現(xiàn)實(shí)意義和可行性、有潛力破解加密貨幣的算法。

2. Trail of Bits 的軟件“偽造”與 zkVM 的范式隱憂

2026 年 4 月，網(wǎng)絡(luò)安全公司 Trail of Bits 發(fā)表了一項(xiàng)研究，宣布成功“偽造”了谷歌的零知識證明。他們生成的偽造證明在谷歌未打補(bǔ)丁的驗(yàn)證器上順利通過，但其聲稱的量子資源消耗卻低得不合常理（例如 Toffoli 門數(shù)量為零）。

Trail of Bits 公司在其官方博客中指出，這次“破解”并未動搖論文本身的量子物理學(xué)結(jié)論，也非零知識證明本身的數(shù)學(xué)原理失效，而是該公司利用了零知識證明的軟件漏洞，騙過了該證明的驗(yàn)證器。

在技術(shù)層面上，生成零知識證明的計(jì)算開銷極大。為了縮短證明生成時(shí)間，谷歌在編寫基于 Rust 語言的 zkVM 程序時(shí)，使用了unsafe代碼塊，從而繞過了Rust編譯器的安全檢查。Trail of Bits 正是利用了unsafe代碼導(dǎo)致的內(nèi)存安全與邏輯漏洞，在 zkVM 外部操縱了電路的序列化數(shù)據(jù)，從而欺騙了零知識證明虛擬機(jī)。

這一事件為將 zkVM 作為學(xué)術(shù)出版范式的嘗試敲響了警鐘。從技術(shù)角度看，零知識證明本意是將對“人”或“機(jī)構(gòu)”的信任轉(zhuǎn)移給“數(shù)學(xué)”，但 zkVM 的引入實(shí)際上將信任鏈條延伸到了極其復(fù)雜的軟件工程與編譯器正確性上。底層代碼中一個(gè)為了性能妥協(xié)而產(chǎn)生的微小漏洞，就足以讓整座密碼學(xué)大廈在驗(yàn)證端失效。

3. Schrottenloher 直接復(fù)現(xiàn)量子電路：公開出版的價(jià)值

如果說 Trail of Bits 的工作暴露了軟件實(shí)現(xiàn)上的瑕疵，那么法國國家信息與自動化研究所（Inria）學(xué)者 André Schrottenloher 于 2026 年 6 月發(fā)表的預(yù)印本論文（arXiv:2606.02235），則從學(xué)術(shù)層面徹底宣告了谷歌“隱瞞電路”策略的失效。

Schrottenloher 并未試圖去破解零知識證明的軟件，而是選擇直接攻克數(shù)學(xué)本身。通過將谷歌研究員 Craig Gidney 先前公開的思路，進(jìn)行重組與優(yōu)化，Schrottenloher 獨(dú)立重構(gòu)出了這套被谷歌隱藏的量子電路。 Schrottenloher 的開源設(shè)計(jì)不僅在量子比特效率上與谷歌相當(dāng)，在 Toffoli 門數(shù)量上甚至比谷歌的設(shè)計(jì)還減少了6.5% 至 10%。這證明了在沒有谷歌原始電路參考的情況下，同行依然能夠獨(dú)立達(dá)到、甚至超越其技術(shù)指標(biāo)。

對此，該谷歌論文的共同作者、量子電路的主要設(shè)計(jì)者 Craig Gidney 在其個(gè)人技術(shù)博客 Algorithmic Assertions 上發(fā)表了題為《法國人拿到了量子電路》（The French have the Quantum Circuits）的文章，公開向 Schrottenloher 表示祝賀。Gidney 在文章中反思道，利用零知識證明來隱藏學(xué)術(shù)成果的做法實(shí)際上引發(fā)了“史翠珊效應(yīng)”（Streisand effect），越是刻意隱藏，越是激發(fā)了同行強(qiáng)烈的破解與重構(gòu)欲望。他坦言，試圖通過密碼學(xué)手段在學(xué)術(shù)界維持技術(shù)秘密是行不通的，未來的研究應(yīng)當(dāng)回歸到完全公開出版的傳統(tǒng)軌道上。

這一系列圍繞谷歌論文的學(xué)術(shù)交鋒，不僅展示了開源社區(qū)在量子算法優(yōu)化上的深厚積淀，也為前沿科技的披露機(jī)制提供了一個(gè)具有啟發(fā)性的案例。它表明，在科學(xué)探索的實(shí)踐中，負(fù)責(zé)任披露策略雖然看似合理，但較為脆弱，且有可能因?yàn)榕c學(xué)術(shù)內(nèi)容無關(guān)的原因?qū)е聦W(xué)術(shù)發(fā)現(xiàn)本身的錯(cuò)誤；集體的開放審視，依然是推動技術(shù)安全與進(jìn)步最有效的路徑。

李永樂：量子物理導(dǎo)論課程 | 新課上線

2025年12月集智學(xué)園聯(lián)合上海大學(xué)理學(xué)院教授 (博導(dǎo))、知乎“物理學(xué)”話題優(yōu)秀答主李永樂推出「統(tǒng)計(jì)物理基礎(chǔ)」系列課程，從統(tǒng)計(jì)物理出發(fā)，討論了一個(gè)復(fù)雜科學(xué)中的經(jīng)典問題：大量微觀粒子的隨機(jī)運(yùn)動，如何涌現(xiàn)出穩(wěn)定的宏觀定律。

今年，我們希望把這條問題鏈再往前推進(jìn)一步。如果說統(tǒng)計(jì)物理更多關(guān)心的是“現(xiàn)實(shí)世界如何描述”，那么「量子物理導(dǎo)論」課程關(guān)心“原子尺度下的世界究竟遵循怎樣的底層規(guī)則”。為初學(xué)者補(bǔ)充經(jīng)典物理必備知識，建立量子態(tài)、密度算符的基本概念，介紹量子力學(xué)中的典型模型與近似方法，建立基于量子力學(xué)思考問題的思路，并以量子計(jì)算為典型應(yīng)用案例，以一位用戶的角度提供一條簡明的學(xué)習(xí)路徑：掌握量子語言的起源，提供一個(gè)把握當(dāng)代量子科技的接口。

現(xiàn)在量子科學(xué)與技術(shù)進(jìn)入全球與中國科技布局的核心視野：2025 年被聯(lián)合國確立為“國際量子科學(xué)與技術(shù)年”，而 2026 年政府工作報(bào)告和“十五五”規(guī)劃綱要都把量子科技列入未來產(chǎn)業(yè)重點(diǎn)方向。對一個(gè)關(guān)注復(fù)雜科學(xué)、人工智能與交叉研究的學(xué)習(xí)者來說，掌握量子物理，既是在補(bǔ)一門重要的基礎(chǔ)語言，也是在回應(yīng)正在展開的科技前沿。

歡迎感興趣的研究者加入課程，現(xiàn)在加入可享早鳥價(jià)格。

詳情請見：

1.

2.

3.

4.

5.

6.

7.