比特币的后量子安全准备，不只是寻找更强的密码学。它还涉及在一个复杂、持续多年的过渡过程中，迁移钱包、托管系统和网络验证，同时还要处理那些所有者无法移动的资金。量子计算对目前保护比特币安全的传统密码学构成潜在的未来威胁。
摘要
要点
- 一家持有约 5% BTC 的托管方正在为后量子安全准备其系统。
- 混合支出路径可让资金使用传统或抗量子签名。
- 暴露的遗留资金需要单独的治理和工程工作。
Coinbase 在一篇博客文章中表示，其持有约 5% 的全部 BTC，正在为其基础设施做准备，与比特币开发者和研究人员合作，并通过 Bitcoin Security Consortium 支持开源工程。该文章提出的是供讨论的技术考量，而不是最终立场。
公钥暴露是这一威胁的核心。根据 crypto.news 在 2026 年 10 月 9 日的一篇报道，Fireblocks 研究副总裁 Michael Gutkin 指向公开估计称，有 670 万至 700 万枚 BTC 处于已经在链上暴露的密钥之后。“暴露最终取决于公钥是否已经在链上可见，”他说。
比特币的后量子安全准备始于暴露的密钥
BIP 360 的作者指出，如果公钥已经暴露，一台足够强大的量子计算机就可能推导出对应的私钥。他们区分了针对长期可见密钥的攻击，以及在交易披露其密钥到确认之间窗口期内更快发生的攻击。
较早的 pay-to-public-key 输出会立即暴露密钥。Gutkin 解释说，pay-to-public-key-hash 和原生 SegWit 地址会在花费前隐藏密钥；如果在一个已经花费过的地址上再次接收更多资金，这些资金会留在一个已暴露密钥之后。Taproot 输出密钥则从创建时起就可见。
该公司提出的准备工作不只限于签名：还包括保护现有和新创建的资金、适配稀缺的区块空间、保持独立的全节点验证，以及同时支持机构托管和普通钱包。Gutkin 建议使用新的存款地址和找零地址，并持续跟踪已暴露余额。
混合支出路径与状态管理问题
一种 1-of-2 的混合结构会为同一笔资金提供替代支出路径：一条使用传统 ECDSA/Schnorr 密钥，另一条使用后量子密钥。该公司支持在最终确定遗留签名政策之前，先评估分阶段保护方案。
它还支持一种输出设计，即无需彻底重新设计，就能引入、替换或补充签名算法。BIP 360 下的 P2MR 和 P2TRv2 似乎提供了这种灵活性。Gutkin 提醒说，BIP 360 虽然降低了长期密钥暴露，但并不能提供完整的量子防护；在确认前发生的攻击仍可能需要后量子签名。
状态化签名在体积和速度上可能更有优势，但重复使用签名状态可能导致立即伪造。区块链历史无法可靠重建该状态，因为并非每一次签名或更新都会上链。
对于分布式托管服务器，状态化签名要求在签名生成期间，密钥及其状态必须由专属访问权限控制。失败的更新和备份恢复会使安全运行更加复杂。该公司建议提供清晰的钱包指引，并保留无状态的备用方案。
签名选择必须同时适用于节点和托管方
面向比特币的评估必须考虑签名和密钥大小、验证速度、安全假设、实现成熟度以及与多方计算（MPC）的兼容性。比特币签名会被每个节点存储并验证，因此通用排名并不能直接套用。
该公司建议评估 ML-DSA、SLH-DSA、在标准化后可用的 FN-DSA，以及具有不同安全假设的替代方案。通过将紧凑、状态化的 FXMSS 路径与源自 SLH-DSA 的无状态备用方案配对，SHRINCS 引出了关于恢复机制和实现可靠性的关键问题，这些问题将影响其采用。
其他测试还包括侧信道抗性、随机数依赖、签名吞吐量、硬件支持、区块容量、费用、验证负载和迁移成本。有效的 MPC 可以防止密钥被盗；该公司希望至少有一种前景良好的、兼容 MPC 的方案。
在 crypto.news 引述的一份 2026 年 9 月 23 日报告中，首席密码学家 Yehuda Lindell 表示，正在探索可编程硬件安全模块，以应对区块链所选签名方案无法与现有分布式签名系统兼容的情况。
遗留资金需要单独的迁移讨论
沉睡、丢失和已暴露的比特币资金需要不同的治理和工程解决方案。该公司将永久暴露的密钥、重复使用的地址、无法访问的种子短语以及合法控制但处于沉睡状态的持仓视为不同情形。
它表示，救援提案应证明其恢复路径具备量子安全性，并且不能被仅知道一个已暴露公钥的攻击者利用。比特币的后量子安全准备还涉及在暴露防护、可用性、隐私、费用、脚本灵活性和实现复杂性之间取得平衡。
本文由人工智能协助生成，并经编辑团队审核。
