撰文：Azuma（@azuma_eth），星球日报
近期，量子计算对于加密货币的威胁再次成为了外网讨论的焦点。此事的热度之所以再次升温，是因为量子计算以及加密货币行业的几位重点级人物接连发表了对量子计算发展进程及其潜在能力的新预测。
首先是在 11 月 13 日，量子计算领域的大神、得克萨斯大学量子信息中心主任 Scott Aaronson 在其发表的一篇文章中提到：「我现在认为在下一次美国总统大选之前，我们有可能拥有一台能够运行 Shor 算法的容错量子计算机……」
紧接着是在 11 月 19 日，以太坊联合创始人 Vitalik Buterin 在布宜诺斯艾利斯举行的 Devconnect 大会上也发言表示，椭圆曲线密码学（ECC）可能在 2028 年美国总统大选前被量子计算破解，并敦促以太坊在四年内升级至抗量子算法。
什么是量子威胁？
在解读 Scott 和 Vitalik 的预测之前，我们需要先简单解释一下什么叫作「量子威胁」。
简而言之，加密货币的量子威胁指的是，未来足够强大的量子计算机可能会破解保护当前加密货币安全的密码学基础，从而可能摧毁其安全模型。
当前，几乎所有加密货币（如比特币、以太坊）的安全都依赖于一种叫作「非对称加密」的技术，这其中最关键的两部分为「私钥」和「公钥」：
- 私钥：由用户秘密保管，用于签署交易，证明你对资产的所有权；
- 公钥：由私钥生成，可以公开，用作钱包地址或地址的一部分。
加密货币安全性的基石在于 —— 当前从公钥逆向推导出私钥在计算上是不可行的。然而，量子计算或可利用量子力学原理，通过运行特定的算法（比如前文提到的 Shor 算法）来极大地加快解决某些数学问题的进程，这正是非对称加密的弱点所在。
这里继续来解释下什么叫 Shor 算法。太过数学的东西这里就不提了，简而言之，Shor 算法的精髓在于可将一个在经典计算机上「几乎无解」的数学问题，转化为了在量子计算机上「相对易解」的周期寻找问题，从而可能威胁到加密货币现存的「私钥 - 公钥」密码体系。
举个更容易理解的例子，你可以把一篮草莓（类别私钥）轻松地打成果酱（类比公钥），也显然做不到把果酱逆向变回草莓，但这时突然来了个开挂的（类比量子计算）却有可能通过便捷方式（类比 Shor 算法）实现这一点。
加密货币的根基被动摇了吗？
要这么说的话，加密货币岂不是要完犊子了？
别慌，量子威胁客观存在，但问题倒也没那么紧迫。之所以这么说，原因主要有二。一是距离真正的威胁来临仍有时间；二是加密货币可以通过升级来实现反量子算法。
首先来说第一点，即便 Scott 的预测在 2028 年大选前如期实现，也不意味着能够真正威胁到加密货币的安全；Vitalik 的发言也不是在说比特币和以太坊的基础将被动摇，而只是指出了一项存在于远期的理论性风险。
Dragonfly 管理合伙人 Haseeb 就此解释表示，无需恐慌于量子计算的新时间表，运行 Shor 算法并不等同于破解一个真正的 256 位椭圆曲线密钥（ECC key）。你可以用 Shor 算法去破解 1 个数字 —— 那也足够令人印象深刻了 —— 但要分解一个拥有数百位数的数字，需要更巨大的计算规模及工程能力……这件事值得认真对待，但绝不是迫在眉睫。
加密货币安全专家 MASTR 则给出了更清晰的数学答案，破解比特币、以太坊等加密货币当前所采用的椭圆曲线签名（ECDSA）需要约 2300 个逻辑量子位（logical qubits），10¹² 到 10¹³ 次量子操作，加上纠错后则需要数百万乃至上亿个物理量子位（physical qubits）；但当前已实现的量子计算只有 100 – 400 个噪声量子位（noisy qubits），且错误率过高，相干时间过短 —— 距离破解前者的需求仍相差至少四个数量级。
至于第二点，业界的密码学家们也正在开发新的、能够抵抗量子计算攻击的后量子密码学算法（PQC），且主流区块链均已为此进行了准备。
早在去年 3 月，Vitalik 就曾撰文《假如量子攻击明天就来，以太坊如何解题？》，文中提到了 Winternitz 签名、STARKs 等对量子威胁的抵御效果，甚至还设想了突发情况下以太坊该如何紧急升级。
相较于以太坊，比特币在升级执行上可能没那么灵活，但社区早已提出了 Dilithium、Falcon、SPHINCS+ 等多种潜在的算法升级方案。近期随着相关讨论的升温，比特币 OG 大佬 Adam Back 亦曾表示，后量子时代的加密标准可以在实质性的量子计算威胁出现之前很久就得以实施。
总而言之，量子威胁就像一把悬在远方的「万能钥匙」，理论上能解开现在所有区块链的密码锁，但造锁的人早已开始研究新的、这把万能钥匙打不开的锁，并且准备在万能钥匙造好之前，给所有的门都换上新锁。
这就是当下关于量子威胁的客观现实，我们不能忽视它的进展，但也无需因此而盲目恐慌。
