撰文：刘教链
最近，量子计算 FUD 又来了。
这次站出来敲警钟的是美国最大的合规交易所 Coinbase。4 月 22 日，Coinbase 旗下量子计算与区块链独立顾问委员会发布了一份报告，专门指出采用权益证明（PoS）机制的区块链，比如以太坊和 Solana，可能面临比比特币更大的量子风险[1]。
Coinbase 到底说了什么
先看看这份报告的核心内容。
Coinbase 的顾问委员会指出，PoS 链面临两个主要风险点：
第一，验证者签名。以太坊用的是 BLS 签名，Solana 用的是 ed25519 签名。这些签名机制是 PoS 链达成共识的基石。如果未来量子计算机强大到能破解这些签名，攻击者就可以伪造验证者身份，进而威胁整个网络的安全性。
第二，钱包签名。无论 PoS 还是 PoW，用户钱包用来证明所有权的数字签名，同样面临被量子破解的风险。报告特别提到，全网大约有 690 万枚比特币存放在公钥已暴露的地址中，属于高风险类别。
但报告紧接着说了一句很重要的话：目前能够破解现代加密签名的量子计算机尚不存在，这样的机器需要比现有系统强大得多[1]。
Coinbase 的发言人说得更直白：客户资产今天仍然是安全的，行业不应该把“不紧迫”等同于“不重要”[1]。
PoS 链为什么更脆弱
教链在《预防量子计算威胁实用指南》里讲过，比特币地址分两种：一种是 P2PKH 地址（1 开头），存的是公钥的哈希值，公钥本身不暴露；另一种是 P2PK 地址（04 开头），直接暴露公钥。只有极早期的一些旧地址是这样的格式[2]。
中本聪在 2010 年就说过：为了让比特币地址更短，它们采用公钥的哈希，而不是公钥。这样一来，支付到比特币地址的交易的安全性就只和哈希的安全性一样了[3]。
哈希函数对量子计算有天然的抵抗力。Grover 算法只能把攻击哈希的难度从 2^256 降低到 2^128，这仍然是一个天文数字。
但 PoS 链的情况不同。
以太坊的验证者需要频繁使用 BLS 签名参与共识，这些签名的公钥是公开的。Solana 的情况类似，其 ed25519 签名同样暴露公钥。这就意味着，一旦 Shor 算法实用化，这些暴露的公钥可以直接被逆向推导出私钥，没有哈希外壳保护。
更麻烦的是，PoS 链的共识机制本身依赖这些签名。正如 Coinbase 报告所说：PoS 链的挑战不仅仅是升级钱包，核心共识机制本身可能都需要重新设计[1]。
比特币的 PoW 机制呢？Coinbase 报告也给出了评估：量子计算机运行 Grover 算法理论上可以更快地解决 PoW 难题，但在当前 PoW 谜题的规模下，运行 Grover 算法的开销超过了其理论优势[1]。
翻译成大白话就是，量子计算机对 PoS 链的威胁，远高于对比特币挖矿的威胁。
升级之路：PoS 链的独特挑战
Coinbase 报告还提到了一个关键问题：以太坊开发者其实已经在行动了。
报告指出，以太坊联合创始人 Vitalik Buterin 在今年 2 月就提出过一个方案，计划将 BLS 验证者签名、KZG 承诺和 ECDSA 钱包签名全部替换为抗量子替代方案[1]。
这听起来不错，但挑战在于规模。
Coinbase 顾问委员会指出，抗量子签名比现有签名大得多，这会影响交易速度、存储成本和网络吞吐量。对于以太坊这样已经面临扩展性挑战的网络来说，这可不是小问题。
报告还提出了一个棘手的问题：那些永远不会升级的钱包怎么办？丢失的密钥、不活跃的账户、被遗弃的钱包——如果量子攻击成为可能，这些资产将永久暴露[1]。
这个问题在 PoS 链上比在比特币上更严重。因为比特币用户可以把自己的币迁移到新地址，但 PoS 链上的质押资产、验证者节点，牵涉到整个网络的经济安全和治理结构。
比特币的准备与优势
教链一直强调一个观点：比特币是活的，它能升级。
2021 年底的 Taproot 升级已经为未来更换签名算法铺平了道路。比特币社区也一直在关注抗量子算法的最新进展。
Blockstream CEO Adam Back 最近接受 Bloomberg 采访时就表示：谨慎的做法是让比特币做好准备，给人们选择将密钥迁移到抗量子格式的选项。比特币用户迁移密钥的时间越长，就越安全[1]。
Coinbase 报告也承认，比特币的核心基础设施——包括挖矿过程、哈希函数和历史账本——在当前理解下并不被认为存在实质性漏洞[1]。
这不是因为比特币有什么魔法，而是因为它从一开始就设计得更加保守。哈希外壳保护、地址不重用、去中心化的治理，这些特性让比特币在面对量子威胁时，比那些追求高性能的 PoS 链从容得多。
Coinbase 这份报告的真正价值，不是制造恐慌，而是给行业提了个醒：量子威胁是真实存在的长期风险，需要开始规划，但不需要惊慌失措。
报告的最后一段话说得很好：一台具有密码学相关性的量子计算机仍然需要从今天的系统实现重大飞跃，但升级钱包、交易所、托管机构和去中心化网络是一项多年期的工作。这就是为什么我们现在就要发布这份报告：让讨论建立在科学而非炒作之上，明确哪些东西真正面临风险，帮助行业尽早开始做出实际的迁移决策[1]。
a16z crypto 在年初发布的长文中也给出了类似判断：能够破解 secp256k1 或 RSA-2048 的容错量子计算机，在 5 年内出现的可能性极低[4]。
教链的态度一直很明确：保持关注，但不必恐慌。
PoS 链的挑战比比特币更大，这是事实。但这不意味着明天就要出事。行业有足够的时间来准备、测试、升级。
毕竟，最危险的从来不是威胁本身，而是对威胁的错误判断——要么过度恐慌，要么完全无视。
参考资料：
[2] 刘教链, "预防量子计算威胁实用指南", Dec 20, 2024.
[4] a16z crypto, "Quantum Computing and Blockchain: Separating Signal from Noise", Jan 25, 2026.
