量子问题：量子不会来夺走你的比特币

自比特币诞生以来，各种形式的恐惧、不确定性和怀疑（FUD）一直被用来预测其灭亡。尽管如此，比特币已经发展成为一个数万亿美元的资产，并开始在全球货币秩序中占据一席之地。最近几个月，能够让攻击者从公钥重建私钥并签署比特币交易以转移他人资产的加密相关量子计算机（CRQC）的幽灵再次出现，成为一种进化形式的FUD。这对比特币的持续增长构成现实威胁吗？一句话，不。没有证据表明在十年内会建成CRQC，而且尚不清楚这样的机器是否会被建造。量子威胁仍然是FUD。

现状

迄今为止，没有任何量子计算机计算出超出一个聪明的6岁儿童能力范围的任何东西（经过实证确认）。量子计算机是卓越的技术，展示了现代世界真正值得科幻小说的能力。这些设备利用了基础技术，如光学镊子、激光冷却、超导通量量子比特、电磁陷阱、稀释制冷机等。在这些设备中，单个量子比特被强迫进入特定的亚原子状态（每种候选技术不同），纠缠成叠加态，被操控以表示计算，然后读取和解释其亚原子属性。令人惊讶的事实是，这些设备确实存在，并且可以被操控以在少量输入下产生有意义的计算。冷酷的现实是（以一个候选技术为例），进行一个小孩能做的计算需要足够的能量来给德克萨斯州的一所高中空调，数小时的设置，以及进一步数小时的后处理。

未来展望

我知道你在想什么，“但是有这么多资金流入量子计算。”资金流入一个领域是否与该领域的实际技术进步速度相关？并不完全相关。事实上，可以说，直到正确的基础技术被开发出来并确认产品市场契合度，流入一个领域的资金与适用技术被开发的可能性呈负相关。这可以通过比较NASA的航天飞机计划与SpaceX的猎鹰9号清楚地看出。SpaceX利用（大部分）已知的科学，将其转化为实践，以满足对可靠和低成本进入太空的可证明市场需求，首个载人任务的项目成本不到50亿美元。而航天飞机的成本大约为500亿美元才能达到其首个载人任务。猎鹰9号的开发成本不仅低了一个数量级，而且迄今为止拥有完美的乘员安全记录。这些差异有很多原因，但这表明，任何数量的资金都无法使尚未准备好的技术变得可行。将这一点转化为量子计算：我们可以看到，尽管有大量资金投入这个问题，但在巨额成本下进行技术演示是可能的。但这对我们来说没有任何关于更多资金是否会带来稳定、低错误率的量子比特（如猎鹰9号的可靠性）的信息。对航天飞机计划的持续开发永远不会产生猎鹰9号的低成本、高可靠性，完全有可能的是，任何数量的持续开发，无论成本如何，都不会使当前的量子计算技术可靠到足以破解单个密钥对。

现在，你可能在想，“那么最近的进展呢？”关于最近发布的进展，有两件重要的事情需要记住。首先，这些进展中的许多仅仅是在纯数学方面的进展。例如，最近谷歌发表的一篇论文有如此重要的结果，以至于他们选择隐去理论量子电路，而不是冒险让其被用于破解重要的加密系统。这看起来似乎是朝着 CRQC 未来的重大进展，但实际上并没有改变任何东西。除非（或直到）量子硬件迎来它的 Falcon 9 时刻，否则根本没有任何设备能够接近运行被隐去电路所需的稳定性和规模。这纯粹是为了掩盖一个为可能永远不存在的设备设计的电路。其次，在硬件方面，我们看到每年都有许多新的结果和进展被发布，但这些中有多少与同一种量子计算候选技术相关？有多少仅仅是在之前的结果走入死胡同后重新开始？现实是，这些进展并不代表通往最终成功的某种线性轨迹。它们代表的是在一个无限可能空间内的广度优先搜索，量子研究人员希望能找到一条可以继续前进的路径，即使是短暂的距离，而不再走入另一个死胡同。

当我们看待量子计算的未来现实时，充其量是模糊的。确实有一些有前景的技术发展。尤其在我看来，中性原子设备领域的进展。但现在判断是否有通往最终 CRQC 的路径开放在任何已知分支上还为时尚早，或者未来是否还有更多的重启。如果在某个时刻，我们看到同一种候选技术的许多迭代实现了逐渐更强大的设备，并计算出一个聪明的孩子也能计算的有意义的结果，我们可以用不同的证据重新审视这个讨论。

理论上

关于量子研究在几十年内未能开发出 CRQC 的反复失败，有两种可能的解释。可能这只是一个难题，我们继续应用科学和工程来解决它，总有一天人类的聪明才智会像在互联网、智能手机、社交媒体和比特币的发展中那样取得成功（留给读者决定这些是否是积极的发展）。另一方面，开发 CRQC 可能是不可能的，或者将永远超出我们的掌握。考虑一下 CRQC 存在意味着什么：机器必须在其叠加态中表示一个与要解决的加密问题的复杂性相同大小的可能性场。也就是说，要破解比特币 secp256k1 曲线上的 128 位安全性，量子叠加态必须表示所有可能的 128 位数字的值。在经典计算中，表示所有这些值所需的计算机存储（数量级上远远超过）是人类迄今为止生产的。如果量子叠加态存在任何细微的颗粒性（即量子叠加态在所有可能值上并不完全连续），那么量子计算机就永远无法在加密上具有相关性。如果保持叠加态所需的能量与所表示的领域的复杂性成比例，那么量子计算机也永远无法在加密上具有相关性。当前对量子物理的理解并不排除这两种可能性。

结论：比特币不能休息

尽管有上述所有情况，比特币在新密码算法方面的开发仍然必须继续。虽然对比特币密码学的量子攻击并不是迫在眉睫，但通过其他方式发现另一个缺陷是完全可能的。我们知道某些椭圆曲线已被发现存在弱点，而 secp256k1 可能是下一个。比特币之所以能够存活至今，是因为对系统的攻击使其变得更强大，随着量子 FUD 攻击的展开，这一事实将继续成立。P2MR 或 P2TRv2、SHRINCS、SPHINCS、IBC、ML-DSA 等更多后量子签名方案的发展，最终将提高比特币在未来攻击面前的韧性，即使实际的 CRQC 从未被开发出来。

这篇文章刊登在比特币杂志最新的印刷版《量子问题》中。我们在这里分享它，以便提前了解整个期刊中探讨的思想。