作者 | Justin Thaler, a16z 研究合伙人
编译 | GaryMa 吴说区块链
关于「能够对现有密码体系构成实际威胁的量子计算机」何时到来，人们常常做出夸大的时间预期 — — 从而引发了要求立即、大规模迁移至后量子密码体系的呼声。
但这些呼声往往忽略了过早迁移所带来的成本与风险，也忽略了不同密码原语所面对的风险画像完全不同：
后量子加密即便代价高昂，也必须立即部署： 「先收集后解密」（Harvest-now-decrypt-later，HNDL）攻击已经在发生，因为当量子计算机真正到来时，即便那是几十年后，今天用加密方式保护的敏感数据仍然会具有价值。尽管后量子加密带来性能开销与实现风险，但对于需要长期保密的数据而言，HNDL 攻击意味着别无选择。
后量子签名的考量则完全不同。它不受 HNDL 攻击影响，而其成本与风险（更大的尺寸、性能开销、实现尚不成熟以及潜在漏洞）意味着迁移应当是审慎推进，而非立刻实施。
这些区别非常重要。各种误解会扭曲成本收益分析，使团队反而忽视更关键的安全风险 — — 例如漏洞本身。
成功迈向后量子密码体系的真正挑战，是让「紧迫性」与「真实威胁」匹配。下面，我将澄清关于量子威胁及其对密码学 — — 包括加密、签名与零知识证明 — — 的常见误解，并特别关注这些问题对区块链的影响。
我们目前处于怎样的时间节点？
在 2020 年代出现「对密码学具有实际威胁的量子计算机（CRQC）」的可能性极低，尽管已有一些引发关注的高调宣称。
ps：对密码学具有实际威胁的量子计算机/ cryptographically relevant quantum computer，下文都将直接使用简称 CRQC。
这里所说的「对密码学具有实际威胁的量子计算机」，指的是一台可容错、已纠错的量子计算机，能够以足够规模运行 Shor 算法，在合理的时间框架内攻击椭圆曲线密码学或 RSA（例如，在最多一个月的持续运算内攻破 secp256k1 或 RSA-2048）。
根据公开的里程碑与资源评估来看，我们距离这种量子计算机还遥遥无期。尽管一些公司宣称 CRQC 很可能在 2030 年之前甚至 2035 年之前出现，但公开可见的进展并不支持这些说法。
从背景来看，在当前所有架构 — — 离子阱、超导量子比特以及中性原子系统 — — 中，没有任何量子计算平台接近运行 Shor 算法攻击 RSA-2048 或 secp256k1 所需的几十万到数百万个物理量子比特（具体数量取决于误差率与纠错方案）。
限制因素不仅仅是量子比特数量，还有门保真度、量子比特连通性，以及执行深度量子算法所必须的、可持续运行的纠错电路深度。虽然一些系统现在已超过 1,000 个物理量子比特，但单看数量会产生误导：这些系统缺乏执行密码学相关计算所需的连通性与门保真度。
近期的系统虽已接近量子纠错开始可行的物理误差水平，但尚无人展示超过少数几个具备可持续纠错电路深度的逻辑量子比特 — — 更不用说运行 Shor 算法实际所需的上千个高保真、深电路、容错的逻辑量子比特了。理论上证明量子纠错可行与真正达到能够进行密码破解所需的规模之间，仍存在巨大鸿沟。
简而言之：除非量子比特数量与保真度同时提升几个数量级，否则「对密码学具有实际威胁的量子计算机」依然遥不可及。
然而，企业新闻稿与媒体报道极易导致误解。常见的误区包括：
声称实现「量子优势」的演示，但这些演示目前针对的往往是人为构造的问题。这些问题并非因为实用而被选择，而是因为它们可以在现有硬件上运行，同时看似呈现出显著的量子加速 — — 这一点常常在宣传中被刻意弱化。
公司宣称已实现数千个物理量子比特。但这通常指的是量子退火机，而非运行 Shor 算法攻击公钥密码所需的门模型量子计算机。
公司对「逻辑量子比特」概念的随意使用。物理量子比特本身非常嘈杂，量子算法需要逻辑量子比特；如前所述，Shor 算法需要数千个逻辑比特。使用量子纠错，一个逻辑比特通常需要由数百到数千个物理比特构成（取决于误差率）。然而一些公司已将该术语滥用到荒谬的地步。例如，某公司近期声称通过一个距离为 2 的编码，用每个逻辑比特仅两个物理比特就实现了 48 个逻辑量子比特。这显然不合理：距离为 2 的编码只能检测错误，不能纠错。而真正用于密码破解的容错逻辑量子比特每个需要数百到数千个物理量子比特，而不是两个。
更普遍地，许多量子计算路线图中将「逻辑量子比特」用于指代仅支持 Clifford 操作的量子比特。这些操作可以被经典算法高效模拟，因此不足以运行 Shor 算法，而后者需要数千个纠错后的 T 门（或更一般的非 Clifford 门）。
因此，即便某条路线图宣称「在某一年 X 达到上千个逻辑量子比特」，也并不代表该公司预计在同一年 X 就能运行 Shor 算法以攻破经典密码体系。
这些做法严重扭曲了公众（甚至包括业内专业人士）对「我们距离真正意义上的 CRQC 有多近」的认知。
尽管如此，确实也有一些专家对进展感到振奋。例如 Scott Aaronson 最近写道，鉴于「当前硬件发展之快速令人震惊」，我现在认为，在下届美国总统大选之前，我们拥有一台运行 Shor 算法的容错量子计算机是种真实可能。
但 Aaronson 随后澄清，他的说法并不意味着一台具备密码学相关能力的量子计算机：即便一台完全容错的 Shor 算法运行只成功分解 15 = 3×5 — — 一个你用纸笔都能更快算出的数 — — 他也会认为其观点被满足。这里的标准仍然只是微型规模的 Shor 算法执行，而非具有密码学意义的规模；此前对 15 的量子分解使用的还是简化电路，而非完整的容错 Shor。此外，量子试验持续选择分解 15 不是偶然：因为模 15 的算术计算极其简单，而分解稍大一些的数（如 21）就困难得多。因此，一些声称分解 21 的量子实验往往依赖提示或捷径。
简而言之，预期未来 5 年内出现一台能够攻破 RSA-2048 或 secp256k1 的量子计算机（这才是密码学实际关心的）并没有任何公开进展作为支撑。
即便 10 年也仍属激进预测。考虑到我们与真正密码学相关的量子计算机之间仍相距甚远，即便对进展保持兴奋，也完全可以与十年以上的时间表并存。
那么，美国政府将 2035 年作为政府系统整体迁移至后量子密码体系的目标年份又意味着什么？我认为，这对于完成如此大规模迁移来说是合理的时间表。然而，这并不是对「届时将出现 CRQC」的预期预测。
HNDL 攻击适用于哪些场景（又不适用于哪些场景）？
「先收集、后解密」（Harvest now, decrypt later，HNDL）攻击是指攻击者现在储存所有加密通信数据，等待未来某一天当「对密码学具有实际威胁的量子计算机」出现时，再将其解密。可以肯定的是，国家级攻击者已经在规模性归档美国政府的加密通信，以便在未来量子计算机真正出现时将其解密。这就是为什么加密体系必须从今天开始迁移 — — 至少对于那些需要保持 10–50 年以上机密性的主体而言。
但数字签名 — — 所有区块链都依赖的技术 — — 与加密不同：它不存在可被事后攻击的「机密性」。
换句话说，当量子计算机真正到来时，确实会从那一刻起使伪造数字签名成为可能，但过去的签名并不像加密消息那样「隐藏」某种秘密。只要能够确认某个数字签名是在 CRQC 出现之前生成的，那么它就不可能是伪造的。
因此，与加密体系相比，向后量子数字签名的迁移没有那么紧迫。
主要平台的行动也反映了这一点：Chrome 和 Cloudflare 已在 Web 传输层安全（TLS）加密中部署了混合式 X25519+ML-KEM。[在本文中，我为了易读性将这些称为「加密方案」，虽然严格意义上，TLS 等安全通信协议使用的是密钥交换或密钥封装机制，而不是公钥加密。]
这里的「混合式」意味着同时叠加使用一种后量子安全方案（ML-KEM）与一种现有方案（X25519），从而同时获得两者的安全性。这种方式希望通过 ML-KEM 阻止 HNDL 攻击，同时在 ML-KEM 被证明对当下计算机都不安全的情况下，由 X25519 提供传统安全保证。
Apple 的 iMessage 也在其 PQ3 协议中部署了类似的混合式后量子加密，Signal 也在其 PQXDH 与 SPQR 协议中实现了这种机制。
相比之下，关键 Web 基础设施向后量子数字签名的迁移会推迟到「真正逼近 CRQC 出现时」再开始，因为当前的后量子签名方案带来了明显的性能退化（本文稍后会讨论）。
zkSNARKs — — 即零知识、简洁、非交互式知识论证，它们是区块链未来可扩展性与隐私性的核心 — — 在量子威胁方面与数字签名类似。原因在于，即使一些 zkSNARK 本身不具备后量子安全性（因为它们使用与当前加密与签名相同的椭圆曲线密码学），其「零知识」性质依然是后量子安全的。
零知识性质保证证明不会泄露任何关于秘密 witness 的信息 — — 即便面对量子攻击者 — — 因此不存在可被提前「收集」、未来再解密的机密数据。
因此，zkSNARKs 不受 HNDL 攻击影响。正如今天生成的非后量子数字签名是安全的，只要 zkSNARK 证明是在 CRQC 出现之前产生的，它就是可信的（即证明的陈述一定为真） — — 哪怕 zkSNARK 使用了椭圆曲线密码学。只有在 CRQC 出现之后，攻击者才可能构造出「看似有效但实际上错误」的证明。
这对区块链意味着什么
大多数区块链并不会暴露在 HNDL 攻击之下：大多数非隐私型链 — — 例如今日的比特币与以太坊 — — 主要在交易授权中使用非后量子密码学，也就是说，它们使用的是数字签名而非加密。
再次强调，数字签名不会受到 HNDL 攻击：「先收集、后解密」攻击只适用于加密数据。例如，比特币区块链是公开的；量子威胁在于伪造签名（推导私钥以盗取资金），而不是解密已经公开的交易数据。这意味着 HNDL 攻击并不会给当前的区块链带来立即的密码学紧迫性。
遗憾的是，一些可信机构（包括美国联邦储备）在分析中仍然错误声称比特币易受 HNDL 攻击，这种错误会夸大向后量子密码迁移的紧迫程度。
不过，「紧迫性降低」并不代表比特币可以无限期等待：由于协议升级所需的巨大社会协调，比特币面临着不同的时间压力。（下面会更详细讨论比特币的独特挑战。）
当前的一个例外是隐私链，其中许多通过加密或其他方式隐藏收款人和金额。这类机密性信息可以被提前「收集」，一旦量子计算机能够攻破椭圆曲线密码学，就可能被事后去匿名化。
对于此类隐私链，攻击的严重程度因链的设计不同而异。例如，就 Monero 的基于椭圆曲线的环签名与 key image（用于阻止双花的一种每个输出唯一的可链接标签）而言，仅凭公共账本即足以在未来重建整个交易流图。但在其他隐私链中，破坏程度会更有限 — — 详见 Zcash 密码工程师兼研究员 Sean Bowe 的相关讨论。
如果用户认为「交易在未来不会因量子计算机出现而暴露」非常重要，那么隐私链应尽快迁移至后量子密码原语（或混合方案）。或者，它们应采用完全不在链上放置可被解密秘密的架构。
比特币的特殊难题：治理机制 + 被遗弃的币
对比特币而言，有两项现实因素使得开始向后量子数字签名迁移变得紧迫，而这两项因素与量子技术本身毫无关系。第一项担忧是治理速度：比特币的演进极其缓慢。任何存在争议的问题，只要社区无法就适当的解决方案达成一致，都可能触发一次具有破坏性的硬分叉。
第二项担忧是，比特币切换至后量子签名无法通过被动迁移完成：币的持有者必须主动迁移资金。这意味着那些已被遗弃、但仍暴露于量子威胁的币无法受到保护。一些估计认为，量子脆弱且可能已被遗弃的 BTC 数量高达数百万枚，以当前价格（截至 2025 年 12 月）计算价值数千亿美元。
不过，量子威胁并不会让比特币出现某种突如其来的「灾难性一夜崩塌」……更可能呈现为一种选择性、逐步展开的攻击过程。量子计算机不会一次性攻破所有加密方案 — — Shor 算法必须逐个目标地破解公钥。早期量子攻击的成本将极其高昂且缓慢。因此，一旦量子计算机能够攻破单个比特币签名密钥，攻击者将优先选择价值最高的钱包下手。
此外，只要用户避免地址复用，且不使用 Taproot 地址（后者会直接在链上暴露公钥），即便协议本身尚未升级，他们也基本受到保护：其公钥在花费之前仍隐藏在哈希函数之后。当他们最终广播一笔花费交易时，公钥才变为公开，此时会存在一个短暂的「实时竞赛窗口」：诚实用户需要让自己的交易尽快确认，而量子攻击者则试图在交易确认前找出私钥并抢先花费这笔币。因此，真正脆弱的币，是那些公钥已暴露多年的：早期 P2PK 输出、被重复使用的地址、以及 Taproot 持仓。
对于那些已经被遗弃的脆弱币，目前没有容易的解决方案。可选方案包括：
- 比特币社区达成共识，设定一个「旗帜日」（flag day），在该日之后所有未迁移的币视为已销毁。
- 放任所有已被遗弃且暴露于量子风险的币任由任何拥有 CRQC 的人夺取。
第二种方案会带来严重的法律与安全问题。使用量子计算机在没有私钥的情况下占有资金 — — 即便声称是出于合法所有权或善意 — — 在许多司法辖区都会触及盗窃与计算机欺诈法律。
此外，「被遗弃」本身是一种基于不活跃性的假设，但没有人能确切知道这些币是否真的失去了拥有密钥的活跃持有者。即便某人能证明自己曾经持有这些币，也未必拥有合法权力去破坏密码保护以「重新取回」它们。这种法律上的模糊性，使得这些被遗弃、且暴露于量子风险的币极有可能落入无视法律约束的恶意攻击者之手。
比特币的另一个特殊问题是其极低的交易吞吐量。即使迁移方案最终敲定，要将所有暴露于量子威胁的资金迁移至后量子安全地址，按比特币当前的交易速率仍需要数月时间。
这些挑战使得比特币必须从现在开始规划后量子迁移 — — 不是因为 2030 年之前很可能出现 CRQC，而是因为协调治理、达成共识、以及实际迁移价值数千亿美元资金的技术物流，将需要多年才能完成。
比特币面临的量子威胁是真实的，但时间压力来自比特币自身的结构约束，而不是量子计算机的迫近。其他区块链也面临量子脆弱资金的问题，但比特币尤其独特：最早的交易使用 pay-to-public-key (P2PK) 输出，直接将公钥暴露在链上，使相当大比例的 BTC 暴露于量子威胁之下。其技术历史，加上链龄久远、价值集中度高、吞吐量低、治理僵化，使得问题格外严重。
需要注意的是，上述脆弱性只适用于比特币数字签名的密码安全性 — — 并不涉及比特币区块链的经济安全性。比特币的经济安全来自其工作量证明（PoW）共识机制，而这并不像签名方案那样易受量子攻击，原因有三：
- PoW 依赖哈希函数，因此最多只会受到 Grover 搜索算法带来的二次方量级加速，而不会受到 Shor 算法带来的指数级加速。
- 实施 Grover 搜索的实际开销极大，使得任何量子计算机在比特币 PoW 上获得哪怕有限的实际加速，都极其不可能。
- 即便量子计算机真能实现显著加速，其效果只会让拥有量子算力的大型矿工相对更具优势，而不会从根本上破坏比特币经济安全模型。
后量子签名的成本与风险
要理解为什么区块链不应该仓促部署后量子签名，我们需要同时考虑性能成本与我们对于后量子安全性仍在演变中的信心。
大多数后量子密码学基于以下五类方法之一：哈希（hashing）、码（纠错码）、格（lattices）、多变量二次方程组（MQ）、同源（isogenies）。
为什么会有五种不同的方法？原因是，任何后量子密码原语的安全性都依赖一个假设：量子计算机无法高效求解某个特定数学问题。问题的结构越「强」，我们就能构建出效率越高的密码协议。
但这是一把双刃剑：更多结构也意味着更大的攻击面，算法更容易被突破。这造成了根本性的张力 — — 更强的假设带来更好的性能，但代价是潜在的安全漏洞（即假设被证明错误的可能性更高）。
总体而言，从安全性角度看，基于哈希的方法最为保守稳健，因为我们最有信心量子计算机无法高效攻击它们。但它们的性能也是最差的。例如，NIST 标准化的哈希签名方案，即使在最小参数设置下，其签名大小也有 7–8 KB。作为对比，如今基于椭圆曲线的数字签名只有 64 字节，约小 100 倍。
格方案是当前部署的重点方向。NIST 已经选定的唯一加密方案、以及三种签名算法中的两种，都基于格。其中一种格签名（ML-DSA，原名 Dilithium）在 128-bit 安全级别下的签名大小为 2.4 KB，在 256-bit 安全级别下为 4.6 KB — — 约为当前椭圆曲线签名的 40–70 倍。另一种格方案 Falcon 的签名更小（Falcon-512 为 666 字节，Falcon-1024 为 1.3 KB），但依赖复杂的浮点运算，NIST 自己也将其标记为实现时的重大挑战。Falcon 设计者之一 Thomas Pornin 称其为「迄今为止我实现过的最复杂的密码算法」。
在实现安全性方面，格签名比椭圆曲线方案困难得多：ML-DSA 包含更多敏感的中间值与复杂的拒绝采样逻辑，这些都需要侧信道和故障攻击防护。Falcon 更是增加了恒定时间浮点运算的复杂性；已有多个针对 Falcon 实现的侧信道攻击成功恢复私钥。
这些问题带来的风险是立即存在的，完全不同于「对密码学具有实际威胁的量子计算机」这种遥远威胁。
对更高性能的后量子密码方案保持谨慎是有充分理由的。历史上曾领先的方案，如 Rainbow（基于 MQ 的签名）与 SIKE/SIDH（基于同源的加密），都被「经典地」攻破了 — — 也就是说，它们被当今的计算机击破，而非量子计算机。
这发生在 NIST 标准化流程已经推进很深的阶段。这当然反映了健康的科学过程，但也说明过早标准化与部署可能带来反效果。
如前所述，互联网基础设施正在采取慎重方式推进签名迁移。这一点值得注意，因为互联网的密码过渡一旦启动往往需要多年才能完成。即便 MD5 与 SHA-1 等哈希函数被互联网标准机构正式废弃多年，它们的实际迁移仍持续多年，至今在部分场景仍未完全淘汰。这些算法是被完全破解的，而非仅仅「可能在未来某天会被破解」。
区块链 vs 互联网基础设施的独特挑战
幸运的是，由开源社区维护的区块链（如以太坊、Solana）比传统互联网基础设施更容易快速升级。另一方面，互联网基础设施受益于频繁的密钥轮换，这意味着攻击面变化比早期量子计算机能追上的速度更快 — — 而区块链不具备这一点，因为币及其密钥可能无限期暴露。但总体而言，区块链仍应借鉴互联网的谨慎方法推进签名迁移。两者都不受签名类 HNDL 攻击影响，而过早迁移至尚未成熟的后量子方案的成本与风险，依然显著，不随密钥生命周期长短而改变。
此外，区块链还有一些让过早迁移尤其危险且复杂的挑战：例如，区块链对签名方案有独特需求，特别是对「快速聚合大量签名」的需求。如今常用的 BLS 签名因其高效聚合能力而流行，但它们并不具备后量子安全性。研究者正在探索基于 SNARK 的后量子签名聚合方案。尽管进展可期，但仍处于早期阶段。
针对 SNARK 本身，当前社区主要关注基于哈希的后量子结构。但一个重大转变即将到来：我有信心在未来数月与数年中，格方案将成为极具吸引力的替代路线。它们将在多个维度上提供更优性能，例如更短的证明长度 — — 类似格签名比哈希签名更短。
当前更严重的问题：实现安全
在未来多年内，实现漏洞将远比「真正威胁密码学的量子计算机」更现实、更严重。对于 SNARK，首要担忧是漏洞（bugs）。
漏洞已经在数字签名与加密算法中是主要挑战，而 SNARK 的复杂度要高得多。实际上，一个数字签名方案可以被视为一种极其简化的 zkSNARK，用于证明「我知道与公钥对应的私钥，并且我授权了这条消息。」
对于后量子签名，当前真正紧迫的风险还包括实现攻击，例如侧信道攻击与故障注入攻击。这些攻击类型已有大量实证，并能从现实系统中提取私钥。它们带来的威胁远比「遥远未来的量子攻击」迫切得多。
社区将在未来多年持续识别并修复 SNARK 的漏洞，并加固后量子签名的实现以抵御侧信道与故障注入攻击。在后量子 SNARK 与签名聚合方案尚未稳定成型的阶段过早迁移，区块链将面临将自己锁定在次优方案中的风险 — — 一旦更好的方案出现或当前方案暴露重大实现漏洞，就可能不得不再次迁移。
我们应该怎么做？七条建议
基于前文讨论的现实情况，我将以下建议提供给不同的参与者 — — 从开发者到政策制定者。总体原则是：认真对待量子威胁，但不要在「2030 年前必然出现对密码学构成实际威胁的量子计算机」这一前提下采取行动。目前的技术进展并不支持这一前提。然而，我们现在仍然有许多可以、也应该着手进行的准备工作：
1. 立即部署混合加密
至少在长期机密性重要且性能成本可接受的场景中。许多浏览器、CDN、以及消息应用（如 iMessage 和 Signal）已经部署了混合方案。混合方案 — — 后量子 + 经典密码 — — 既能抵御 HNDL 攻击，又能防范后量子方案本身潜在的弱点。
2. 在能容忍大尺寸签名的场景中立即使用哈希签名
软件／固件更新等低频率、对大小不敏感的场景应当立即采用混合式哈希签名。（混合是为了防范新方案中的实现漏洞，而不是因为哈希安全性假设存在疑问。）这是保守且稳妥的做法，可以为社会提供一个明确的「救生艇」，以防量子计算机突然提前到来。如果没有已经部署的后量子签名的软件更新机制，那么在 CRQC 出现后我们将面临引导问题：无法安全地分发抵御量子威胁所需的密码更新。
3. 区块链不需要仓促部署后量子签名 — — 但应从现在开始规划
区块链开发者应学习 Web PKI 的做法，以审慎方式推进后量子签名的部署。这让后量子签名方案有时间在性能和安全理解上进一步成熟。同时，这也给开发者时间重新设计系统，以容纳更大的签名并开发更好的聚合技术。对于比特币和其他一层链：社区需要制定迁移路径，以及关于量子脆弱且被遗弃资金的政策。被动迁移不可能，因此规划至关重要。而比特币面临的挑战大多不是技术性的 — — 治理缓慢，以及大量高价值潜在被遗弃的量子脆弱地址 — — 更凸显了比特币社区应尽早开始规划。
与此同时，需要让后量子 SNARK 与可聚合签名的研究继续成熟（可能还需要数年）。再次强调，过早迁移可能导致被锁定在次优方案中，或者在发现实现漏洞后不得不再次迁移。
关于以太坊账户模型的一点说明：以太坊支持两种账户类型，对后量子迁移有不同影响：由 secp256k1 私钥控制的外部账户（EOAs），以及具有可编程授权逻辑的智能合约钱包。
在非紧急情境中，当以太坊增加后量子签名支持时，可升级的智能合约钱包可以通过合约升级切换到后量子验证 — — 而 EOA 则可能需要将资产转移到新的后量子安全地址（尽管以太坊也可能为 EOAs 提供专门的迁移机制）。在量子紧急情境下，以太坊研究者提出了硬分叉方案：冻结脆弱账户，让用户用后量子安全的 SNARK 通过证明自己掌握助记词来恢复资产。此机制适用于 EOAs 和未升级的智能钱包。
对用户的实际影响是：经过良好审计且可升级的智能钱包可能带来稍微更顺畅的迁移路径 — — 但差距不大，并伴随对钱包提供方与升级治理的信任权衡。相比账户类型，更重要的是以太坊社区持续推进后量子原语与应急方案。
更广泛的设计启示：很多区块链将账户身份与特定密码原语紧密耦合 — — 例如比特币和以太坊都绑定 secp256k1，其他链绑定 EdDSA。后量子迁移的困难凸显了将账户身份从特定签名方案中解耦的价值。以太坊向智能账户（smart accounts）的演进，以及其他链的账户抽象趋势，都体现了这一方向：允许账户升级其认证逻辑，同时保留链上历史与状态。这不会让后量子迁移变得简单，但比起将账户固定在单一签名方案上，灵活性显著提升。（这也启用其他功能，如代付交易、社交恢复、多签等。）
4. 对隐私链来说，只要性能允许，应优先推进迁移
这些链对交易细节进行加密或隐藏，因此用户隐私目前暴露于 HNDL 攻击 — — 尽管严重程度因设计而异。那些仅凭公共账本即足以完全事后去匿名化的链风险最高。可以采用混合方案（后量子 + 经典）以防后量子方案本身被证明在经典场景下也不安全，或采用架构改造避免把可解密的秘密放在链上。
5. 近期优先关注实现安全 — — 而不是量子威胁缓解
尤其对于 SNARK 和后量子签名这种复杂原语，漏洞与实现攻击（侧信道、故障注入）将在未来多年内远比 CRQC 更现实、更紧迫。现在就应该投入审计、模糊测试、形式化验证、以及多层防御等工作 — — 不要让对量子威胁的担忧盖过漏洞这一更紧迫的真实威胁！
6. 支持量子计算发展
从国家安全角度看，我们必须持续投入量子计算的研发与人才培养。如果主要对手国家比美国更早实现 CRQC，将对美国及全球带来严重的国家安全风险。
7. 对量子计算相关公告保持正确视角
随着量子硬件成熟，未来几年会出现大量里程碑式新闻。矛盾的是，这些新闻的频繁出现本身就是我们距离 CRQC 仍相当遥远的证据：每个里程碑都只是通往最终目标的众多桥梁之一，而每座桥梁的跨越都会引发一波媒体关注与兴奋。应将新闻稿视为需要批判性评估的进度报告，而不是要求立即行动的信号。
当然，未来可能出现意外突破，加速时间表；也可能出现严重瓶颈，拖慢时间表。
我要强调的是：我并不认为在五年内出现 CRQC 是「绝对不可能」，只是「极不可能」。以上建议对这种不确定性具有稳健性，并且可以帮助我们避免那些更直接、更现实的风险：漏洞、仓促部署，以及密码迁移中常见的各种错误。
Justin Thaler 是 a16z 的研究合伙人，也是乔治城大学计算机科学系的副教授。他的研究方向包括可验证计算、复杂性理论，以及大规模数据集的算法。
