现在收集，将来解密：量子计算机如何威胁已暴露的加密资产公钥

要点

• 现在收集、将来解密已经开始。 攻击者今天不需要量子计算机；他们可以先收集区块链上已暴露的公钥，等未来量子硬件有能力破解。
• 风险集中在公钥已暴露的地址。 约四分之一的比特币供应量，以及大部分以太坊供应量，可能因为对应公钥已在链上可见而面临风险。
• 后量子升级不会自动保护旧地址。 升级提供更安全的去处，但用户仍需在 Q-Day 前，将资金移离易受量子攻击的密钥。
• 区块链架构决定用户能多快应对。 需要全协议升级的网络，使迁移依赖整个生态协调；更灵活的架构，则让用户按自己的节奏采用后量子安全机制。
• 真正的挑战是迁移，而非缺少密码学方案。 后量子签名方案已经存在，关键在于区块链能否及时部署，并避免造成重大网络中断。

任何人今天都可以下载完整比特币区块链，这并不违法。但“现在收集，将来解密”（harvest now, decrypt later，HNDL）策略，将普通下载变成了一场耐心等待的攻击：攻击者先收集数据，等量子计算机有能力破解密码学机制后再动手。下文将说明哪些币真正面临风险、原因何在，以及区块链架构如何最终决定用户的暴露程度。

现在收集、将来解密对加密资产意味着什么？

HNDL 是一种量子攻击策略：对手今天收集受密码学保护的数据，保存多年，待量子计算机能够破解底层密码学机制时，再将其解密。

攻击分成相隔数年的两个阶段。收集阶段现在就能进行，无需特殊能力；解密阶段则在 Q-Day 之后开始，届时具备密码学攻击能力的量子计算机（cryptographically relevant quantum computer，CRQC）将强大到足以破解今天广泛使用的公钥密码学（public-key cryptography）。

目前还没有量子计算机能够破解这套密码学机制，这正是攻击者现在收集数据、等待未来的原因。威胁已经开始，并不在于遥远的量子时代有人会窃取你的数据，而在于数据副本可能已经存放在攻击者的硬盘里。

公共区块链为什么特别容易受到 HNDL 威胁？

公共区块链特别容易受到 HNDL 威胁，因为每笔交易永久公开。账本在数千个节点间复制，任何人都能下载，因此 HNDL 的收集阶段几乎免费。区块链的标志性优势之一，不可篡改性，也有两面性：每笔交易和已暴露公钥都会成为永久公共记录的一部分。正如美联储在分析论文中指出的，数据一旦在传统密码学保护下写入账本，就无法在不重写历史的情况下追溯重新加密。

后量子升级能保护已经暴露的公钥吗？

不会自动保护。区块链可以加入后量子密码学（post-quantum cryptography），保护新地址和未来交易，但升级不能追溯保障仍锁定在旧的、易受量子攻击公钥下的资金。

公钥一旦在链上暴露，攻击者就可以复制并无限期保存。如果所有者随后在 Q-Day 前将资金转至后量子地址，收集的密钥就不再有用，因为它不再控制任何资产。但如果具有密码学攻击能力的量子计算机出现时，资金还在旧地址，攻击者可能推导出私钥并花费这些资金。

关键区别在这里：后量子密码学可以提供安全去处，但用户仍需及时将资产迁过去。仅有协议升级不会保护每个旧地址，还必须将资金移离脆弱密钥。

因此，区块链架构很重要。网络越快引入后量子验证，个人用户越容易自主选择启用，持有者就有越多时间在密钥变得可破解前转移已暴露资产。

多少比特币面临量子计算风险？

量子计算机能偷走早期的比特币吗？能。一旦具有密码学攻击能力的量子计算机出现，它就能从已暴露公钥推导私钥，花费对应的币。

量子风险最终归结为一个问题：你的公钥是否已经在链上公开？ 如果它仍藏在哈希之后，攻击者就没有可针对的目标。但公钥一旦暴露，就成为永久公共记录。攻击者今天可以收集它，无限期保存，等量子硬件足够强大时推导相应私钥。未来量子计算机就是这样盗取比特币的。

约 450 万至 700 万 BTC 存放在公钥已暴露的地址中，因此 CRQC 一旦出现，它们就面临风险。独立估算大致落在这一范围：花旗 2026 年 1 月的报告估计，约 25% 的比特币供应量，即 450 万至 670 万 BTC，属于已暴露类别；Glassnode 估计约为 600 万 BTC；Chaincode Labs 则估计，约 626 万 BTC 因公钥复用而暴露。

不过，风险分布并不均匀。哪些具体的币面临风险，几乎完全取决于地址类型。

哪些比特币地址容易受到攻击？

HNDL 风险主要影响三类地址。

支付到公钥（Pay-to-Public-Key，P2PK）

比特币最初的地址格式直接将完整公钥写入锁定脚本。币一到账，公钥就可见，并永久暴露，因此 P2PK 输出是最脆弱的一类。其中许多币来自比特币最早期，包括被认为属于中本聪（Satoshi Nakamoto）的钱包。人们普遍认为，P2PK 输出中约 170 万 BTC 已永久丢失。

支付到公钥哈希（Pay-to-Public-Key-Hash，P2PKH）及其他基于哈希的格式（P2SH、P2WPKH 和 P2WSH）

这些地址格式将公钥隐藏在密码学哈希之后。只要地址从未发生支出，公钥就保持隐藏；只有花费资金时才会公开。如果之后复用该地址，公钥就会永久暴露，可被收集用于未来量子攻击。

Taproot（P2TR）

Taproot 改善了比特币的隐私和效率，但会将一个经过调整的公钥直接放入输出。这意味着，币一到账，公钥就可见，早于任何支出。因此，Taproot 输出属于长期 HNDL 风险类别。虽然 Taproot 使用 Schnorr 签名，而不是 ECDSA，但两者都依赖椭圆曲线密码学，因此都易受肖尔算法（Shor’s algorithm）攻击。

比特币的很大一部分量子风险暴露可以避免。从未发生支出、由哈希保护的 P2PKH 类地址，仍将公钥隐藏。用户在 Q-Day 前将已暴露的币转至量子安全地址，就能完全消除盗窃风险。

HNDL 对以太坊意味着什么？

以太坊及许多其他区块链，使用与比特币相同的底层密码学方案：secp256k1 椭圆曲线上的 ECDSA。它的安全依赖椭圆曲线离散对数问题，经典计算机无法大规模有效求解。足够强大的量子计算机运行肖尔算法，会彻底改变这一点，使公钥到私钥的推导能在多项式时间内完成。

与比特币不同，以太坊不会在币被花费前将公钥藏在哈希后面。它采用基于账户的模型（account-based model）。正如以太坊基金会指出的，账户发出第一笔交易后，公钥便永久暴露在链上。实际上，这意味着绝大多数活跃以太坊钱包已经公开公钥。花旗估计，超过 65% 的以太坊供应量最终可能受到量子攻击威胁。

尽管暴露面更广，以太坊提供了相对顺畅的迁移路径。它正在走向原生账户抽象（account abstraction），而不是将交易授权永久绑定在协议规定的单一签名方案上。EIP-8141 等提案将允许账户定义自己的签名验证逻辑，提供从 ECDSA 迁往后量子签名的原生、自愿选择路径。

这种方式不能追溯保护已暴露公钥，却能显著简化未来迁移，让个人用户独立升级，无需等待全网所有账户同时行动。

什么样的区块链更不易受到现在收集、将来解密的威胁？

每条区块链最终都需要采用新的密码学标准，这一点已无疑问。2024 年 8 月，美国国家标准与技术研究院（NIST）最终确定了第一代后量子数字签名标准，包括 ML-DSA 和 SLH-DSA，为行业提供了明确的密码学迁移目标。

挑战已不再是选择算法，而是将整个去中心化网络迁移过去。

没有中心化机构协调升级，迁移就成了真正瓶颈。在旧有区块链上，更换签名方案需要数年的生态范围协调。

在比特币中，交易授权绑定在共识层执行的签名规则上，因此添加后量子签名需要全网协议升级。这一领域的主要提案 BIP-360 仍是草案，激活还需广泛生态共识。它本身也不引入后量子签名方案，而是提议一种新输出类型，移除 Taproot 易受量子攻击的密钥路径花费方式，为未来后量子迁移建立更安全的基础。

以太坊通过 EIP-8141 等提案提供更灵活的路径，但启用原生账户抽象，仍需先完成全网协议层升级，用户才能选择加入。

两个生态的重大协议升级，历史上都推进缓慢，且经常引发争议。比特币仍没有达成共识的后量子迁移时间表。BIP-360 只是初步步骤，要采用哪些后量子签名、现有持有者如何迁移，以及未转移的脆弱币如何处理等重大问题，仍未解决。

这种不确定性很重要，因为在资金转移至后量子签名保护之前，已暴露公钥始终脆弱。在需要全网共识的架构中，用户无法准备好就立即行动，迁移窗口取决于更广泛生态何时完成必要升级。

因此，如果用户无需等待协调一致的协议变更，就能按自己的节奏迁往量子安全地址，这条区块链在结构上受到的 HNDL 威胁就更小。自主安排迁移，缩短了认识威胁与真正保护资金之间的间隔。

一些区块链围绕这一原则设计。例如，Nervos CKB 将密码学验证放在可编程的锁定脚本（Lock Scripts）中，这些脚本运行于 CKB-VM，而非把签名验证嵌入共识规则本身。因此，无需硬分叉或协议升级就能部署新签名方案，用户可以随时选择迁移。

这并非仅停留在理论上。可用于生产环境的 SPHINCS+（SLH-DSA）锁定脚本，已在 CKB 主网上线，并为 Quantum Purse 提供支持，让用户今天就有可以迁入的后量子安全去处。

实际迁移指南请参阅 《如何保护你的加密资产免受量子计算威胁》。

结语

现在收集、将来解密并非未来威胁，而是已经开始。今天没有量子计算机能够破解区块链密码学，但攻击者无需量子计算机就能开始准备。每个已暴露公钥都可以被收集保存，等待量子硬件赶上的那一天。

风险最高的资产，是公钥已在链上可见的资产：约四分之一的比特币供应量和大部分以太坊供应量。实际盗窃或许还在数年之后，但准备阶段已经开始。

幸运的是，这是用户可以防范的一部分量子威胁。在 Q-Day 前将资金从已暴露密钥转至量子安全地址，可以彻底消除这一攻击。挑战在于，能否在量子计算机到来前让迁移成为可能。

因此，区块链架构与密码学本身同样重要。后量子算法已经存在，真正的挑战是足够快地部署，并为用户提供切实可行的采用方式。允许用户自主迁移，而非等待多年协议协调的网络，可以大幅缩短现在收集、将来解密量子攻击能够得手的窗口。