如何保护你的加密资产免受量子计算威胁

多年来，保护加密货币免受量子攻击似乎是一个遥远的问题。如今，这个时间窗口正在迅速缩短。2026 年，Google Quantum AI 的研究人员发布了一份白皮书，更新了破解 secp256k1 所需的资源估算；比特币、以太坊及许多其他区块链都使用这条椭圆曲线。分析表明，未来采用超导架构、达到密码学攻击能力的量子计算机，实施此类攻击可能只需不到 50 万个物理量子比特，便可在数分钟内完成，资源需求几乎降至此前估算的二十分之一。

Google 正认真应对这一威胁。鉴于量子硬件、纠错和资源估算方面的近期进展，公司已将自身迁移至后量子密码学（post-quantum cryptography）的时间节点设为 2029 年。区块链面临的风险尤其紧迫，因为公链数据会永久保留。如果未来出现足够强大的量子计算机，今天记录的地址、签名和已暴露公钥，多年后仍可能遭到攻击。

对加密资产持有者而言，问题已不再是要不要准备，而是如何准备。

如何保护加密货币免受量子攻击

肖尔算法与你的公钥

加密货币最直接的量子威胁来自肖尔算法（Shor’s algorithm）。足够强大的量子计算机可以利用它求解椭圆曲线离散对数问题。这一数学难题是 ECDSA 及其他椭圆曲线签名方案的基础，比特币、以太坊和许多其他区块链都在使用这些方案。

实际风险从公钥可见时就开始了。如果未来的量子计算机能从公钥推导出私钥，攻击者就能生成有效签名，转走你的资金。

因此，关键问题很简单：你的公钥是否曾出现在链上？

这通常通过两种方式发生：

• 地址复用： 在比特币及类似的 UTXO 链上，花费代币时会公开公钥。如果之后又向同一地址收款，或在其中留下余额，这些资金就与一个已经永久记录在链上的公钥绑定。
• 旧式 P2PK 输出： 早期的支付到公钥（Pay-to-Public-Key）输出，直接将公钥放在锁定脚本中。因此，即使资金尚未花费，公钥也从一开始就已暴露。

如果属于上述任一情况，这些资金就已经进入量子威胁窗口。并不是说今天已经发生量子攻击，而是未来攻击者所需的公钥数据，可能早已永久公开，且易于归档保存。

现在收集，将来攻击

更广泛的网络安全领域，常将这一问题称为“现在收集，将来解密（Harvest Now, Decrypt Later）”：对手今天收集受保护的数据，等待未来量子计算机强大到足以破解其密码学保护。美联储也曾以比特币为例，在分布式账本网络的背景下研究这一风险。

但对于加密资产持有者，钱包风险更适合理解为“现在收集，将来攻击”。攻击者不需要解密区块链历史；公链按设计就会公开交易数据。真正相关的风险在于，今天收集的已暴露公钥、签名和交易记录，可以在未来出现具有密码学攻击能力的量子计算机后，被用于攻破钱包。

这时，区块链的不可篡改性反而成为负担。公钥一旦上链，就无法从历史中移除。即使网络后来升级到后量子密码学，此前暴露的密钥仍可能脆弱，除非用户在实际攻击成为可能之前，将资金迁至量子安全地址。

简单来说：如果你的公钥已在链上，倒计时就已经开始。

保护加密资产抵御量子威胁：五步框架

任何加密资产保管方案都无法做到永久“抵御量子攻击（quantum proof）”。标准会演进，钱包会变化，各条区块链也会按自己的时间表迈向后量子安全。

今天能做的，是减少最关键的暴露：让尚未暴露的公钥继续保持隐藏，将资金移离复用地址或旧式地址，并跟踪哪些网络确实在为后量子迁移做准备。

每条区块链都有自己的地址格式、签名方案、钱包工具和升级路径，因此不存在适合所有人的统一逐链清单。加密资产持有者需要一个能够应用于整个资产组合的通用框架。

目标很简单：找出哪些公钥已经暴露，减少今后可以避免的暴露，并将长期持有的资产逐步转向能够支持后量子密码学的基础设施。

第一步：检查公钥暴露情况

首先梳理你控制的每个钱包地址，确定其公钥是否已出现在链上。

针对每个地址，问自己三个问题。

这个地址是否曾发送过资金？
在比特币及类似 UTXO 链上，花费资金时通常会公开公钥。如果你曾从一个地址支出资金，而且仍在其中持有资金，就应将该地址视为已暴露。

这种地址格式是否默认暴露公钥？
一些早期格式，尤其是比特币旧式的支付到公钥输出，会直接将公钥放在锁定脚本中。即使资金从未转移，也已暴露。

余额有多大？
已暴露地址上的大额余额，应被视为优先迁移对象。问题不在于今天已经发生量子攻击，而在于未来攻击者所需的公钥数据，可能早已公开并被永久归档。

实际中，地址大致可以分为三类。

• 已经暴露： 公钥已出现在链上，包括旧式 P2PK 输出，以及已经用于发送资金的地址。暴露无法撤销，补救办法是转移资金。
• 尚未暴露： 公钥还未出现在链上。这些地址暂时更安全，但一旦花费其中资金，就可能暴露。
• 受后量子机制保护： 资金由使用后量子签名方案的钱包或地址结构控制，且该方案已在相应链上上线并可用。

一旦发现已暴露或复用的地址，就停止使用它们。将资金移到从未用于发送资金的新地址，今后也不要再向已发生过支出的地址存入资金。

第二步：确定资产迁移优先级

检查地址后，按紧迫程度为持有资产排序。

• 高优先级： 公钥已在链上可见的地址格式中持有的大额余额。
• 中优先级： 曾用于支出、目前仍持有资金的地址。
• 较低优先级： 公钥尚未公开的新地址。

这只是地址层面的评估，还需要评估区块链本身。

需要考虑：

• 这条链是否公布了后量子迁移计划？
• 是否已在主网实现任何后量子签名方案？
• 迁移是否需要用户操作？
• 项目是否公布了截止日期、弃用计划或升级路径？

良好的地址使用习惯可以降低个人暴露程度，却无法解决整个链层面的问题。如果网络没有明确的后量子签名迁移路径，长期持有者仍然依赖未来的协议升级、治理决策、钱包支持和用户迁移。

第三步：将长期持有资产转向抗量子基础设施

迁移有短期和长期两个时间尺度。

短期内，将大额余额从已暴露地址移至同一链上的全新一次性地址。将每个地址都视为用后即弃：收款一次、支出一次，之后不再复用。

从尚未暴露的地址转移资金时，要记住支出会公开公钥。正常情况下，这并不构成立即的实际风险，因为今天的量子计算机尚不能大规模破解区块链签名。但随着 Q-Day 临近，交易长时间停留在内存池（mempool）的问题可能更加重要，因为从广播到确认期间，公钥是可见的。

长期来看，应考虑打算持有多年的资产，是否应当只留在仍完全依赖易受量子攻击签名方案的链上。

这时，选链就很重要。有些区块链比其他链更容易支持新的密码学原语。在较不灵活的链上，增加签名方案可能需要广泛的协议层协调；在具备密码敏捷性的链（crypto-agile chains）上，新签名方案可以更直接地部署，让多种密码学选项共存。

评估抗量子基础设施时，应关注三点。

• 主网部署： 后量子签名方案已经在主网上线，而非仅停留在提案或测试阶段。
• 钱包支持： 用户确实可以使用现有钱包软件创建和管理抗量子地址。
• 持续维护： 实现有文档、有人维护，并获得开发者支持。

Nervos CKB 就是这种模型的一个例子。CKB 的基于 RISC-V 的虚拟机和 Cell 模型，让交易授权逻辑能够放在锁定脚本（Lock Scripts）中，而非在基础协议层固定为某一种签名方案。这意味着，新的密码学原语可以作为链上验证代码部署，并由钱包使用，无需所有用户同时迁移。

CKB 已在链上部署了 SPHINCS+ 后量子锁定脚本，Quantum Purse 则提供了围绕该脚本构建的自托管钱包。SPHINCS+ 后来已由美国国家标准与技术研究院（NIST）在 FIPS 205 中标准化为 SLH-DSA，成为已最终确定的后量子数字签名标准之一。

如果想了解更多区块链的量子安全准备情况，Quantum Tracker 等第三方数据库是不错的起点。

第四步：使用抗量子钱包管理长期持有资产

区块链可以支持后量子密码学，但用户仍需要能够实际使用它的钱包软件。完整保护需要两者兼备：抗量子基础设施，以及采用后量子方案签署交易的钱包。

评估任何声称具有量子抗性（quantum resistance）的钱包时，应关注：

• 经 NIST 标准化的密码学方案： 应采用已最终确定的后量子签名方案，而非实验性或专有算法。
• 自托管： 私钥应由你掌控，最好存放在自己的设备上。
• 开放的实现： 代码应可供检查，有文档且持续维护。
• 独立审查： 安全审计或外部审查很重要，对新钱包软件尤其如此。
• 明确的升级路径： 后量子标准会持续演进，钱包应设计为能够在出现更好方案或更安全参数集时作出适应。

Quantum Purse 是一个软件示例。它是围绕 SPHINCS+ 锁定脚本构建的 CKB 自托管桌面钱包，允许用户通过后量子签名管理 CKB，并已接受 ScaleBit 的独立审计。

硬件钱包的情况更复杂。一些设备开始为固件验证、安全启动或设备身份认证增加后量子保护。这有价值，却不会自动让比特币或以太坊交易具备量子抗性。如果链本身仍要求 secp256k1 签名，交易签名依然受制于该链当前采用的密码学机制。

冷存储也有相同限制。硬件钱包可以保护私钥免受互联网攻击、钓鱼和恶意软件侵害，却无法隐藏已经在链上暴露的公钥。如果资金所在地址的公钥已经可见，仅靠冷存储无法消除未来的量子风险。

免责声明： 此处提到的产品只是现有工具的示例，不构成背书或财务建议。使用任何钱包软件或硬件前，请自行进行尽职调查。加密资产保管本身存在风险，你有责任保护自己的资产。

第五步：跟踪你使用的每条链的量子迁移计划

量子迁移不会在所有地方同时发生。每条链都有自己的时间表、治理流程、钱包要求和用户操作期限。

对于你持有的每种主要资产，将官方开发者博客、治理论坛、改进提案仓库和钱包文档加入书签，定期检查以下信息：

• 地址弃用通知： 旧地址类型可能变得不安全或不再受支持的警告。
• 签名方案升级提案： 引入后量子签名或新地址格式的计划。
• 钱包迁移指南： 将资金转入更安全地址类型的操作说明。
• 用户操作期限： 持有者为保住安全性或访问权限，可能必须在此前转移资金的日期。

需要跟踪的关键时间节点：

• NIST 已将易受量子攻击的旧算法安排在 2035 年前从其标准中弃用，高风险系统则提前至 2030 年迁移。
• Google 提出了 2029 年这一内部 PQC 迁移期限。
• 比特币于 2026 年 2 月将 BIP-360（P2MR）合入 BIP 仓库，但尚无激活时间表。如果通过，迁移将由用户自愿选择。
• 以太坊已成立专门的后量子研究团队；Vitalik Buterin 和 Justin Drake 还提出了名为“Lean Ethereum”的多年路线图，目标是在 2029 年实现全面的后量子保护，但长期密码学升级仍在研究中。

这些不同的时间表表明，向量子抗性的过渡不会是一次同步发生的事件。要顺利完成过渡，就需要从惊慌之下的一次性补救，转向持续适应的状态。网络安全专家将这种长期策略称为密码敏捷性（crypto-agility）：随着标准演进，迅速将已弃用算法换成抗量子算法的适应能力。对个人持有者也是如此：目标不是一次性修补，而是建立能随环境变化不断调整的方式。

综合起来，最强的保护组合是：冷存储、全新且未暴露的地址、严格的地址使用习惯、后量子钱包，以及长期配置于已为量子安全做好准备或具备密码敏捷性的链。

上述五个步骤，就是实现这一组合的路径。

你不需要做什么

你无需在 Q-Day 前卖掉全部资产。目前并不存在能够破解 ECDSA、达到密码学攻击能力的量子计算机，现有量子硬件也远未达到实际攻击区块链签名所需的规模。威胁确实存在，却不是立即恐慌抛售持仓的理由。

你也无需一次性迁移全部资产。仓促迁移会带来自身风险：转错地址、支付过高手续费、使用错误的钱包格式，或在网络严重拥堵时广播交易。应有计划地分批迁移，并优先处理暴露程度最高的地址。

常见问题

量子计算机能偷走我的比特币吗？

目前不能。当前并不存在能够在实践中破解比特币签名、达到密码学攻击能力的量子计算机。

未来风险来自肖尔算法。如果足够强大的量子计算机可以从已暴露公钥推导私钥，攻击者就能生成有效签名并转移资金。紧迫性来自迁移所需的提前准备时间：去中心化网络协调升级可能耗时数年。

冷存储具备量子安全性吗？

部分具备。

冷存储可以保护私钥免受恶意软件、钓鱼和远程入侵等联网威胁，但无法抹除区块链上已经暴露的公钥。

如果冷存储地址曾用于发送资金，其公钥可能已在链上可见。这意味着，即使私钥离线保存，该地址仍可能受到未来量子攻击的威胁。

更安全的配置是冷存储加上全新、未发生支出的地址。要获得完整的后量子保护，区块链和钱包还需要支持抗量子签名。

如何让我的加密资产抵御量子攻击？

无法让加密资产在绝对意义上永久“抵御量子攻击”。密码学标准会演进，每条链也都有自己的迁移路径。

你可以做的是减少量子风险暴露：

• 避免地址复用。
• 将资金移离公钥已暴露的地址。
• 使用新地址进行长期存储。
• 跟踪你持有资产所在的每条链的后量子迁移计划。
• 为获得更强的长期保护，使用后量子签名方案已上线且可用的基础设施。

抵御量子风险，存储加密资产最安全的方式是什么？

最强的保护组合是：冷存储 + 全新且未暴露的地址 + 支持抗量子密码学的区块链。

对于比特币和以太坊，普通主网用户目前还无法在协议层面使用后量子签名。今天切实可行的方式是严格管理地址使用：避免复用，将资金移出已暴露的旧式格式，并跟踪官方升级提案。

对于主网支持后量子机制的链，保护组合可以更进一步。例如，CKB 通过锁定脚本支持后量子签名，Quantum Purse 则是围绕 SPHINCS+ 锁定脚本构建的自托管钱包。

评估任何钱包或区块链时，应关注经 NIST 标准化的后量子密码学、自托管密钥管理、持续维护，以及能够随密码学标准演进的明确升级路径。

硬件钱包具备量子安全性吗？

仅靠硬件钱包本身不具备。

硬件钱包非常适合保护私钥免受传统攻击，却不会改变区块链要求的签名方案。如果比特币或以太坊仍要求 secp256k1 签名，硬件钱包交易仍会采用这套密码学机制。

一些较新的硬件钱包架构，可能设计为支持未来的后量子固件或设备安全升级。这有价值，却不会自动让今天持有的比特币或以太坊资产具备量子抗性。

我应该在 Q-Day 前卖掉加密资产吗？

不应该。根据今天的硬件现实，纯粹因量子恐惧而出售，是反应过度。

更实际的应对是做好准备：改善地址使用习惯，优先处理已暴露地址，跟踪迁移计划，并有计划地行动，而非被动反应。

我应该在量子计算机到来之前转移比特币吗？

如果比特币存放在复用地址或旧式 P2PK 输出中，就应该转移。

这些情况下，公钥可能已在链上可见。将资金移至新地址可以减少未来暴露，前提是之后不再复用新地址。

对今天的比特币持有者来说，良好的地址使用习惯是主要的实际防护措施。BIP-360 等拟议的后量子升级可能提供更长期的迁移路径，但比特币目前尚未为普通用户激活主网后量子签名方案。